III OSK 2256/24

III OSK 2256/24 - Wyrok NSA
Data orzeczenia
2026-01-20
orzeczenie prawomocne
Data wpływu
2024-08-29
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Artur Kuś /przewodniczący/
Sławomir Pauter
Sławomir Wojciechowski /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 1378/23 - Wyrok WSA w Warszawie z 2024-03-27
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2024 poz 935
art. 184
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Artur Kuś Sędziowie: sędzia NSA Sławomir Wojciechowski (spr.) sędzia del. WSA Sławomir Pauter po rozpoznaniu w dniu 20 stycznia 2026 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej S.W. prowadzącego działalność gospodarczą pod firmą [...] z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 27 marca 2024 r., sygn. akt II SA/Wa 1378/23 w sprawie ze skargi S.W. prowadzącego działalność gospodarczą pod firmą [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 28 kwietnia 2023 r., nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wyrokiem z dnia 27 marca 2024 r., sygn. akt II SA/Wa 1378/23, Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu w trybie uproszczonym, sprawy ze skargi S.W. prowadzącego działalność gospodarczą pod firmą [...] z siedzibą w [...] (dalej także jako: "Przedsiębiorca", "skarżący, "skarżący kasacyjnie") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej jako: "PUODO", "Prezes UODO", "organ") z dnia 28 kwietnia 2023 r., nr [...] w przedmiocie przetwarzania danych osobowych: oddalił skargę.
Stan faktyczny sprawy przedstawia się w sposób następujący:
Skarżący, działając przez pełnomocnika, wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa UODO z dnia 28 kwietnia 2023 r. w przedmiocie przetwarzania danych osobowych.
W uzasadnieniu zaskarżonej decyzji wskazano, że do Urzędu Ochrony Danych Osobowych wpłynęła skarga J.N. (dalej także jako: "uczestniczka"), na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Przedsiębiorcę, polegające na niespełnieniu żądania usunięcia numeru telefonu uczestniczki ze strony internetowej Przedsiębiorcy po ustaniu stosunku pracy.
W toku prowadzonego postępowania organ ustalił, że uczestniczka była zatrudniona u Przedsiębiorcy jako [...] restauracji domu weselnego [...] w miejscowości [...]. Uczestniczka w trakcie trwania zatrudnienia wyraziła zgodę na udostępnienie jej prywatnego numeru telefonu na potrzeby prowadzenia restauracji i kontaktu z klientami, który widniał na stronie internetowej domu weselnego i restauracji [...]. Z chwilą ustania zatrudnienia tj. w sierpniu 2019 r., uczestniczka cofnęła zgodę na przetwarzanie jej numeru telefonu tj. [...]. Pismem z dnia 2 grudnia 2019 r. oraz 17 grudnia 2019 r. uczestniczka zwróciła się do Przedsiębiorcy o usunięcie jej numeru telefonu ze wszystkich baz, rejestrów, a w szczególności z portali społecznościowych oraz innych stron internetowych. Podniosła, że na skutek dalszego przetwarzania jej numeru telefonu na stronie internetowej, otrzymuje połączenia, które dotyczą prowadzonej przez Przedsiębiorcę działalności.
Przedsiębiorca wyjaśnił, że uczestniczka za pośrednictwem swojego prywatnego numeru telefonu kontaktowała się z klientami domu weselnego. Odbywało się to za jej zgodą do momentu zakończenia współpracy. Przedsiębiorca podniósł, że strona internetowa domu weselnego, na której znajduje się numer telefonu uczestniczki została założona przez jego brata M.W. i to on nią zarządza. Przedsiębiorca wskazał, że uprzedzał uczestniczkę, że nie odpowiada za działania jego brata, który podszywa się pod jego działalność. Wyjaśnił też, że niezwłocznie reagował na żądania uczestniczki dotyczącej usunięcia jej numeru telefonu, mimo, iż nie miał faktycznych możliwości, aby ten numer usunąć. Przedsiębiorca zwracał się zarówno do swojego brata, który dysponował dostępem do strony internetowej domu weselnego o usunięcie tych danych, jak również do właściciela domeny strony internetowej, na której widnieją dane, lecz jego działania nie odniosły żadnego skutku, w związku z tym numer telefonu uczestniczki dalej jest przetwarzany na stronie internetowej domu weselnego.
Przedsiębiorca wyjaśnił, że wytworzenie strony internetowej domu weselnego [...] nigdy nie zostało zlecone przez niego. Wyłącznym dysponentem decyzji w tym zakresie był M.W. – jego brat, z którym jest skonfliktowany, a który zlecił wykonanie strony internetowej podmiotowi zewnętrznemu bez wiedzy i zgody Przedsiębiorcy. W związku z pełnionymi obowiązkami posiadał on do wyłącznej dyspozycji laptopa służbowego, który w chwili zdania na rzecz pracodawcy po ustaniu stosunku pracy nie posiadał już zapisanych żadnych haseł ani danych mogących pozwolić na uzyskanie uprawnień administratora. Co więcej po utworzeniu strony internetowej Przedsiębiorca nigdy nie otrzymał danych dostępowych, a według jego wiedzy dysponentem tych informacji jest M.W.
W kwestii przetwarzania numeru telefonu uczestniczki na portalu społecznościowym, Przedsiębiorca dokonał zmiany hasła uzyskując w ten sposób możliwość dostępu do tego portalu oraz niezwłocznie usunął numer telefonu uczestniczki, co miało miejsce jeszcze w 2019 r. i obecnie żadne dane nie znajdują są na tym portalu społecznościowym.
Brat Przedsiębiorcy – M.W. wyjaśnił, że był współtwórcą projektu strony internetowej domu weselnego [...]. Oświadczył, że jego udział ograniczał się do znalezienia portalu [...], gdzie można było bezpłatnie zaprojektować stronę internetową i wskazaniu jej bratu oraz sugestii co do treści jakie mają się pojawić na stronie oraz szaty graficznej. Nigdy nie zawierał ze swoim bratem żadnej umowy na wykonanie albo administrowanie ww. stroną internetową albo innymi nośnikami informacji internetowych. M.W. oświadczył, że strona była stworzona przez Przedsiębiorcę na darmowym portalu [...]. Wskazał, że nigdy nie był administratorem konta. Dane potrzebne do logowania do strony internetowej są w posiadaniu Przedsiębiorcy.
Organ ustalił, że na stronie internetowej domu weselnego pod adresem [...] aktualnie przetwarzany jest numer telefonu uczestniczki.
Po zapoznaniu się z całością zgromadzonego materiału dowodowego, Prezes UODO zaskarżoną decyzją nakazał skarżącemu usunięcie danych osobowych J.N. w zakresie numeru telefonu tj. [...] przetwarzanego na stronie internetowej [...] bez podstawy prawnej.
Uzasadniając swoje rozstrzygnięcie organ przytoczył treść art. 4 pkt 1 i 2, art. 5 ust. 1 lit. a i art. 17 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ((Dz. Urz. UE L 119 z dnia 4 maja 2016, str. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018, str. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021, str. 35 dalej: RODO) i podał, że Przedsiębiorca przetwarzał dane osobowe uczestniczki w zakresie jej prywatnego numeru telefonu w oparciu o wcześniej wyrażoną zgodę. Uczestniczka po zakończeniu współpracy cofnęła zgodę na przetwarzanie jej numeru telefonu przez Przedsiębiorcę.
Prezes UODO na podstawie zebranego materiału dowodowego ustalił, że strona [...] została utworzona na dane S.W.. W treści maila z dnia 18 grudnia 2019 r. skierowanego przez Przedsiębiorcę do właściciela domeny [...], stwierdza, że jest on właścicielem ww. strony internetowej, lecz z powodu zmiany haseł dostępu, nie może dostać się na stronę, aby zrealizować żądanie uczestniczki. Przedsiębiorca w ramach prowadzonej działalności gospodarczej prowadzi dom weselny [...], którego pracownikiem była uczestniczka. Powyższe wskazuje, że to Przedsiębiorca jest administratorem danych osobowych uczestniczki. Tym samym to na nim ciąży obowiązek przetwarzania jej danych osobowych zgodnie z prawem i ponosi odpowiedzialność za uchybienia w tym zakresie. Strona internetowa, na której widnieje numer telefonu uczestniczki jest powiązana z prowadzoną przez Przedsiębiorcę działalnością gospodarczą zatem to Przedsiębiorca odpowiada za informacje (dane osobowe) jakie są przetwarzane na tej stronie. Mając na względzie, że dane uczestniczki w zakresie jej numeru telefonu w dalszym ciągu widnieją na stronie internetowej pomimo wycofania przez nią zgody na przetwarzanie jej numeru telefonu przez Przedsiębiorcę, zobowiązany jest on do jego niezwłocznego usunięcia.
Organ wyjaśnił dalej, że postępowanie administracyjne prowadzone przez Prezesa UODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej przywracającej stan zgodny z prawem na podstawie art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. Wobec powyższego, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO Prezes UODO nakazał usunięcie danych osobowych uczestniczki w zakresie numeru telefonu przetwarzanego na ww. stronie internetowej.
Z tym rozstrzygnięciem Przedsiębiorca nie zgodził się i wywiódł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, wnosząc o uchylenie zaskarżonej decyzji oraz o zasądzenie od organu na jego rzecz kosztów postępowania.
W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał swoje dotychczasowe stanowisko. Organ ustosunkował się do zarzutów skargi uznając je za bezzasadne.
Wyrokiem z dnia 27 marca 2024 r., sygn. akt II SA/Wa 1378/23, Wojewódzki Sąd Administracyjny w Warszawie oddalając skargę przedstawił następujące motywy:
Zasadniczą dla rozstrzygnięcia przedmiotowej sprawy kwestią było w pierwszej kolejności rozważenie, czy Prezes UODO prawidłowo stwierdził, że numer telefonu komórkowego uczestniczki stanowi daną osobową. O ile bowiem okazałoby się, że ustalenia organu w tym zakresie są błędne, niedopuszczalna byłaby ocena przetwarzania przez skarżącego tej informacji pod względem zgodności z przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 ze zm.).
W ocenie Sądu, nie budzi wątpliwości, że zidentyfikowanie osoby fizycznej nie musi polegać na określeniu jej imienia i nazwiska, a wystarczające jest oznaczenie danej osoby w sposób umożliwiający wywieranie na nią określonego wpływu (zob. Opinia Grupy Roboczej z 20 czerwca 2007 r. nr 4/2007; str. 14; zob. też D. Lubasz [w:] Ochrona Danych Osobowych [red.] D. Lubasz, Warszawa 2020 r., str. 81). Nie chodzi zatem o możliwość odniesienia konkretnej informacji do konkretnej osoby, lecz o możliwość wskazania danej osoby, rozumianego jako faktyczne wyodrębnienie jej spośród innych osób (zob. P. Litwiński [w:] Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, Komentarz [red.] P. Litwiński, Warszawa 2018 r., str. 181). Taką możliwość daje numer telefonu osoby fizycznej, także wtedy gdy podmiot, który jest w jego posiadaniu, nie dysponuje innymi danymi identyfikującymi tę osobę lub rozsądnie prawdopodobnym do wykorzystania sposobem uzyskania takich danych.
W ocenie Sądu, numer telefonu osoby fizycznej stanowi tzw. "punkt kontaktowy", ponieważ umożliwia osobie trzeciej podjęcie inicjatywy kontaktu z osobą fizyczną, a w konsekwencji wywierania na nią określonego wpływu. Numer telefonu osoby fizycznej stanowi niepowtarzalną kombinację cyfr, która jest do tej osoby przypisana i odróżnia ją, po pierwsze od osób niekorzystających z usługi telekomunikacyjnej (połączeń telefonicznych), a po drugie, korzystających z innych numerów telefonów. Jest informacją na temat tej osoby, która umożliwia podmiotowi, który wejdzie w posiadanie numeru telefonu, kontakt z nią i skierowanie do niej określonej informacji (zarówno ustanej, jak i tekstowej).
W realiach rozpoznanej sprawy nie budzi wątpliwości, że numer telefonu [...] jest numerem telefonu komórkowego uczestniczki, z którego korzystała ona dla potrzeb wykonywania pracy w domu weselnym [...], pełniąc funkcję [...]. Numer telefonu komórkowego uczestniczki stanowi zatem daną osobową.
W rozpatrywanej sprawie właściwa była ocena organu, że strona [...] utworzona na dane S.W. i dotyczy prowadzonej przez niego działalności gospodarczej tj. domu weselnego [...]. Nie budzi też wątpliwości, iż to skarżący jako pracodawca zamieścił na tej stronie numer telefonu uczestniczki gdyż niezbędne to było do wykonywania przez nią pracy [...] domu weselnego [...]. Powyższe wskazuje, że to Przedsiębiorca był (i jest) administratorem danych osobowych uczestniczki. To na nim zatem ciąży obowiązek przetwarzania jej danych osobowych zgodnie z prawem i ponosi odpowiedzialność za uchybienia w tym zakresie.
Uczestniczka postępowania była pracownikiem skarżącego – [...] domu weselnego i udzieliła zgody na udostępnienie jej prywatnego numeru telefonu na ww. stronie internetowej. Następnie uczestniczka po rozwiązaniu stosunku pracy, cofnęła zgodę na udostępnienie jej danych osobowych na stronie internetowej domu weselnego [...] (numeru telefonu), natomiast do dnia wydania zaskarżonej decyzji jej numer telefon nadal widoczny jest na tej stronie.
Słusznie zatem, Prezes UODO zaskarżoną decyzją nakazał skarżącemu usunięcie danych osobowych J.N. w zakresie numeru telefonu tj. [...] przetwarzanego na stronie internetowej [...] bez podstawy prawnej. Wyjaśnić przy tym należy, iż wszelkie kwestie związane z opisywanym konfliktem skarżącego z jego bratem, problemy techniczne – także w zakresie dostępu do ww. strony internetowej pozostać muszą poza oceną organu i Sądu. Istotne dla rozstrzygnięcia sprawy okoliczności zostały prawidłowo przez organ ustalone. Podkreślić należy, iż niniejsza sprawy dotyczy przetwarzania danych osobowych i zakończona została decyzją Prezesa UODO. Nie jest to organ uprawniony do rozstrzygania kwestii właściwych dla innych organów, chociażby takich jak prokuratura. Prezes UODO poczynił w tej sprawie ustalenia niezbędne do rozstrzygnięcia sprawy w zakresie przetwarzania danych osobowych. Ustalenia ta znajdują potwierdzenie w zgromadzonym materiale dowodowym. Nawet jeżeli skarżący aktualnie nie posiada (bez względu na przyczynę) technicznych możliwości wykonania decyzji tj. usunięcia danych osobowych uczestniczki, to nie czyni to samej decyzji niewykonalnej. Skarżący błędnie rozumie kwestię "niewykonalności decyzji".
Sąd uznając, że relewantne dla sprawy ustalenia zostały prawidłowo poczynione przez organ – oddalił wnioski dowodowe skarżącego, jak i wniosek o zawieszenie postępowania sądowego. Jeszcze raz należy podkreślić, że sprawa niniejsza dotyczy przetwarzania danych osobowych uczestniczki, a kwestie związane prowadzonymi przez prokuraturę postępowaniami pozostają poza granicami tej sprawy. Prezes UODO prawidłowo ustalił, że strona [...] została utworzona na dane S.W. i dotyczy prowadzonej przez niego działalności gospodarczej tj. domu weselnego [...]. Nie budzi też wątpliwości, iż to skarżący jako pracodawca zamieścił na tej stronie numer telefonu uczestniczki gdyż niezbędne to było do wykonywania przez nią pracy [...] domu weselnego [...]. Te ustalenia potwierdzają twierdzenia skarżącego, że to z jego zawiadomienia prokuratura wszczęła dochodzenie w sprawie bezprawnego pozbawienia go możliwości zapoznania się z danymi dostępu do administrowania strona internetową i zarządzania zamieszczonymi na niej danymi oraz, że w sposób bezprawny posłużono się jego danymi osobowymi w celu zmiany haseł dostępu do administrowania stroną internetową. Należy również zwrócić uwagę, że Prokuratura prowadzi postępowanie w sprawie o przestępstwo z art. 268 § 1 kk, tj. udaremnienia osobie uprawnionej (S.W.) w okresie od 2 grudnia 2019 roku do 4 czerwca 2020 r. w nieustalonym miejscu poprzez zmianę hasła i loginu dostępu do strony internetowej Domu Weselnego Restauracji [...]. Oznacza to, że skarżący jest de facto osobą uprawnioną do administrowania stroną internetową Domu Weselnego Restauracji [...]. Sam z resztą podnosił, że został pozbawiony jakiejkolwiek możliwości ingerowania w dane zawarte na stronie, co oznacza, że takie możliwości miał jako osoba uprawniona czyli właściciel strony i administrator danych osobowych.
Z tych wszystkich względów Sąd uznał, że zaskarżona decyzja odpowiada prawu.
Skargę kasacyjną od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie wywiódł, reprezentowany przez zawodowego pełnomocnika w osobie adwokata, skarżący zaskarżając go w całości i na podstawie art. 174 pkt 1 i 2 p.p.s.a. zarzucając zaskarżonemu orzeczeniu:
1) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 134 § 1 p.p.s.a. w zw. z art. 133 § 1 p.p.s.a., poprzez brak merytorycznego rozpoznania zarzutów zawartych w skardze co miało istotny wpływ na wynik sprawy, albowiem Sąd I instancji naruszył powyższe przepisy postępowania sądowoadministracyjnego i nie rozpoznał prawidłowo sprawy w wymaganym zakresie, co skutkowało bezpośrednio oddaleniem skargi zamiast jej uwzględnieniem, a zatem miało istotny wpływ na wynik sprawy;
2) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 134 § 1 p.p.s.a. i nieskontrolowanie zaskarżonej decyzji poza granice zakreślone w skardze; naruszenie powyższych przepisów postępowania sądowoadministracyjnego przez Sąd miało istotny wpływ na wynik sprawy, albowiem Sąd nie powinien oddalać skargi, a powinien uchylić w całości zaskarżoną decyzję, w szczególności z uwagi na naruszenia przez Organ II instancji przepisów postępowania, w tym art. 7, 8, 77, 80 k.p.a.;
3) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 125 § 1 pkt 1 p.p.s.a. w zw. z art. 11 p.p.s.a., poprzez odmowę zawieszenia przedmiotowego postępowania pomimo toczącego się postępowania karnego, którego wynik mógłby mieć znaczenie dla sprawy, albowiem w wyniku wydania wyroku karnego okazać się mogło, że administratorem strony nie jest S.W., a jego brat M.W.;
4) naruszenie art. 5 ust. 1 lit. f oraz art. 5 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, poprzez jego niewłaściwe zastosowanie polegające na przyjęciu, iż S.W. jest Administratorem danych osobowych zamieszczonych na stronie internetowej [...], podczas gdy z zebranego w sprawie materiału wynika, że nie jest właścicielem ani administratorem strony internetowej i nie ma prawa i możliwości zamieszczania tam danych, a w konsekwencji stan faktyczny, ustalony w sprawie, błędnie uznano za odpowiadający stanowi hipotetycznemu, przewidzianemu w normie prawnej;
5) naruszenie art. 17 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, poprzez jego niewłaściwe zastosowanie polegające na przyjęciu, iż S.W. jest Administratorem danych osobowych zamieszczonych na stronie internetowej [...], podczas gdy z zebranego w sprawie materiału wynika, że nie jest właścicielem ani administratorem strony internetowej i nie ma prawa i możliwości zamieszczania tam danych, a co za tym idzie nakazanie mu usunięcia danych uczestniczki J.N., a w konsekwencji stan faktyczny, ustalony w sprawie, błędnie uznano za odpowiadający stanowi hipotetycznemu, przewidzianemu w normie prawnej;
6) naruszenie art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, poprzez jego niewłaściwe zastosowanie polegające na przyjęciu, iż S.W. jest Administratorem danych osobowych zamieszczonych na stronie internetowej [...], podczas gdy z zebranego w sprawie materiału wynika, że nie jest właścicielem ani administratorem strony internetowej i nie ma prawa i możliwości zamieszczania tam danych, a co za tym idzie nakazanie mu wykonania żądania osoby której dane dotyczą jako podmiotowi niewłaściwemu, a w konsekwencji stan faktyczny, ustalony w sprawie, błędnie uznano za odpowiadający stanowi hipotetycznemu, przewidzianemu w normie prawnej.
Wskazując na powyższe zarzuty kasacyjne skarżący wniósł o:
1) uchylenie zaskarżonego wyroku Wojewódzkiego Sądu Administracyjnego z dnia 27 marca 2024 r. i rozpoznanie skargi na decyzję PUODO, ewentualnie uchylenie zaskarżonego wyroku w całości i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania w całości na podstawie art. 185 § 1 p.p.s.a.;
2) zasądzenie od organu na rzecz skarżącego kosztów postępowania, w tym kosztów zastępstwa adwokackiego według norm przepisanych;
3) odstąpienie od wyznaczania rozprawy albowiem skarżący zrzeka się w niniejszej sprawie przeprowadzenia rozprawy;
4) przeprowadzenie przez Sąd oddalonych przez Sąd Administracyjny istotnych dla poczynienia ustaleń w sprawie dowodów z dokumentów a to:
a. wiadomości mailowej S.W. do M.W. z dnia 08.05.2019 r., godz. 23:45:30;
b. screenu przedstawiającego ogłoszenie sprzedaży lokalu [...] pod adresem internetowym [...];
c. protokołu przesłuchania świadka M.W. z dnia 27.09.2023 r.;
d. protokołu przesłuchania świadka M.W. z dnia 02.10.2023 r.;
e. protokołu przesłuchania świadka J.N. z dnia 11.12.2023 r.,
na okoliczność posiadania dostępów do administrowania stroną internetową [...] przez brata Skarżącego M.W., na okoliczność, że to nie Skarżący był administratorem strony internetowej [...];
f. notatki urzędowej mł. asp. D.K. z dnia 17.07.2023 r.,
na wykazanie faktu, że S.W. nie był administratorem strony internetowej [...], na okoliczność, że na dane S.W. nie została założona i prowadzona strona internetowa [...];
g. tłumaczenia poświadczonego z języka francuskiego obejmującego sporządzone w języku francuskim wiadomości mailowe wysyłane do właściciela domeny internetowej [...],
na wykazanie faktu, że Skarżący zgłaszał do właściciela domeny brak możliwości administrowania stroną internetową [...],
na wykazanie faktu, że właściciel domeny, na której utworzona jest strona internetowa – wprost stwierdził, że właścicielem witryny jest inna osoba niż Skarżący, oraz stwierdził brak możliwości udzielenia Skarżącemu dostępu do strony internetowej.
Wobec oddalenia przez Sąd Administracyjny w Warszawie powyższych dowodów z dokumentów ich powołanie oraz przedłożenie wraz z niniejszą skargą stało się konieczne i nie winno być uznane za spóźnione.
W uzasadnieniu przedstawiono argumentację przemawiającą za zasadnością skargi kasacyjnej.
W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o oddalenie skargi kasacyjnej oraz nie zażądał przeprowadzenia rozprawy w niniejszej sprawie.
Naczelny Sąd Administracyjny zważył, co następuje:
Skarga kasacyjna nie zasługuje na uwzględnienie.
Stosownie do art. 183 § 1 ustawy z dnia z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tj. z dnia 23 maja 2024 r., Dz.U. z 2024 r. poz. 935; dalej jako: "p.p.s.a."), Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę przesłanki uzasadniające nieważność postępowania wymienione w art. 183 § 2 p.p.s.a. Granice skargi kasacyjnej są wyznaczone przez zakres zaskarżenia orzeczenia sądu pierwszej instancji oraz podniesione i poddane konkretyzacji podstawy kasacyjne.
Zgodnie z treścią art. 174 p.p.s.a., skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie; 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.
Powyższe ustawowe podstawy kasacyjne wymagają od skarżącego kasacyjnie konkretyzacji poprzez sformułowanie tzw. zarzutów kasacyjnych. Oznacza to, że jeżeli – tak jak w rozpoznawanej sprawie – nie zachodzi nieważność postępowania zakres postępowania kasacyjnego wyznacza strona wnosząca skargę kasacyjną przez przytoczenie podstaw kasacyjnych i ich uzasadnienie.
Jak już wyżej wskazano z przytoczonych przepisów wynika, że wywołane skargą kasacyjną postępowanie przed Naczelnym Sądem Administracyjnym podlega zasadzie dyspozycyjności i nie polega na ponownym rozpoznaniu sprawy w jej całokształcie, lecz ogranicza się do rozpatrzenia poszczególnych zarzutów przedstawionych w skardze kasacyjnej w ramach wskazanych podstaw kasacyjnych. Istotą tego postępowania jest bowiem weryfikacja zgodności z prawem orzeczenia wojewódzkiego sądu administracyjnego oraz postępowania, które doprowadziło do jego wydania.
Rozpoznawszy skargę kasacyjną, w tak zakreślonych granicach, Naczelny Sąd Administracyjny stwierdził, że nie ma ona usprawiedliwionych podstaw i tym samym podlega oddaleniu.
W skardze kasacyjnej zarzucono naruszenie prawa materialnego, jak i naruszenie przepisów postępowania (art. 174 pkt 1 i 2 p.p.s.a.). W sytuacji, gdy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania. Dopiero bowiem po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy, albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez sąd pierwszej instancji przepis prawa materialnego.
Wskazać należy, że dla uznania za usprawiedliwioną podstawę kasacyjną z art. 174 pkt 2 p.p.s.a. nie wystarcza samo wskazanie naruszenia przepisów postępowania, ale nadto wymagane jest, aby skarżący kasacyjnie wykazał, że następstwa stwierdzonych wadliwości postępowania były tego rodzaju lub skali, iż kształtowały one lub współkształtowały treść kwestionowanego w sprawie orzeczenia (tak: wyrok Naczelnego Sądu Administracyjnego z dnia 4 lipca 2024 r., sygn. akt III OSK 2469/22, Legalis). Dalej, o skuteczności zarzutów naruszenia przepisów postępowania nie decyduje każde uchybienie przepisów postępowania, lecz tylko i wyłącznie takie, które mogło mieć istotny wpływ na wynik sprawy. Przez "wpływ", o którym mowa w art. 174 pkt 2 p.p.s.a. rozumieć należy istnienie związku przyczynowego pomiędzy uchybieniem procesowym stanowiącym przedmiot zarzutu skargi kasacyjnej, a wydanym w sprawie zaskarżonym orzeczeniem sądu administracyjnego pierwszej instancji, który to związek przyczynowy, jakkolwiek nie musi być realny, to jednak musi uzasadniać istnienie hipotetycznej możliwości odmiennego wyniku sprawy. W konsekwencji, dla spełnienia wymogu z art. 174 pkt 2 p.p.s.a. nie wystarczy przytoczenie w petitum skargi kasacyjnej formuły o naruszeniu przepisów postępowania w stopniu mającym wpływ na wynik sprawy, lecz konieczne jest wykazanie, który przepis postępowania został naruszony, w jaki sposób oraz wpływu zarzucanego naruszenia na wynik sprawy. Trzeba zatem wskazać indywidualne uzasadnienie dla każdego zarzutu formułowanego wobec każdego z tych przepisów, który w ocenie skarżącego kasacyjnie naruszył Sąd pierwszej instancji. Ponadto w treści samego zarzutu – niezależnie od obowiązku wyjaśnienia zajętego stanowiska w uzasadnieniu skargi kasacyjnej – konieczne jest wskazanie, na czym polegało naruszenie konkretnego przepisu, oraz przedstawienie prawidłowej – w ocenie autora skargi kasacyjnej – wersji wykładni lub zastosowania danego przepisu, a także określenie wpływu zarzucanego naruszenia na treść rozstrzygnięcia (patrz: wyrok Naczelnego Sądu Administracyjnego z dnia 12 lipca 2024 r., II GSK 666/24, Legalis). Powyższego wymogu nie spełnia ani sposób sformułowania zarzutów skargi kasacyjnej ani uzasadnienie skargi kasacyjnej.
Odnosząc do zarzutów naruszenia przepisów postępowania, tj. art. 134 § 1 p.p.s.a. w zw. z art. 133 § 1 p.p.s.a. (pkt 1. petitum skargi kasacyjnej) oraz art. 134 § 1 p.p.s.a. (pkt 2. petitum skargi kasacyjnej) nie zasługują na uwzględnienie jako całkowicie bezzasadne. Autor skargi kasacyjne dopatruje się naruszenia ww. przepisów poprzez "brak merytorycznego rozpoznania zarzutów zawartych w skardze co miało istotny wpływ na wynik sprawy, albowiem Sąd I instancji naruszył powyższe przepisy postępowania sądowoadministracyjnego i nie rozpoznał prawidłowo sprawy w wymaganym zakresie" oraz "nieskontrolowanie zaskarżonej decyzji poza granice zakreślone w skardze".
Zgodnie z dyspozycją art. 133 § 1 p.p.s.a., Sąd wydaje wyrok po zamknięciu rozprawy na podstawie akt sprawy, chyba że organ nie wykonał obowiązku, o którym mowa w art. 54 § 2. Wyrok może być wydany na posiedzeniu niejawnym w postępowaniu uproszczonym albo jeżeli ustawa tak stanowi. Orzekanie "na podstawie akt sprawy" oznacza, że sąd przy ocenie legalności decyzji bierze pod uwagę okoliczności, które z akt tych wynikają, i które legły u podstaw zaskarżonego aktu. Podstawą orzekania przez sąd administracyjny jest zatem materiał dowodowy zgromadzony przez organ administracji publicznej w toku postępowania. Skoro wyrok wydawany jest na podstawie akt sprawy, to tym samym badając legalność zaskarżonego aktu sąd ocenia jego zgodność z prawem materialnym i procesowym w aspekcie całości zgromadzonego w postępowaniu przed organem administracyjnym materiału dowodowego. Wskazany wyżej przepis mógłby zostać naruszony, gdyby sąd wyszedł poza ten materiał i dopuścił na przykład dowód z przesłuchania świadków. Obowiązek wydania wyroku na podstawie akt sprawy oznacza bowiem zakaz wyjścia poza materiał znajdujący się w aktach sprawy (por. wyrok NSA z dnia 7 marca 2013 r., sygn. II GSK 2374/11, LEX nr 1296049). Sąd pierwszej instancji nie uchybił temu przepisowi, a kwestionowany wyrok został wydany na podstawie zgromadzonego materiału aktowego.
Jako bezzasadny uznać również należy zarzut naruszenia przez Sąd pierwszej instancji dyspozycji art. 134 § 1 p.p.s.a. Zgodnie z art. 134 § 1 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Wymaga podkreślenia, że art. 134 § 1 p.p.s.a. można naruszyć wtedy, gdy strona w postępowaniu sądowym wskazywała na istotne dla sprawy uchybienia popełnione na etapie postępowania administracyjnego bądź powołała w postępowaniu sądowym dowody, które zostały przez sąd pominięte, względnie, gdy w postępowaniu administracyjnym popełniono uchybienia na tyle istotne, a przy tym oczywiste, iż bez względu na treść zarzutów sąd nie powinien był przechodzić nad nimi do porządku (zob. w tej materii m.in.: wyroki Naczelnego Sądu Administracyjnego: z dnia 17 kwietnia 2013 r.; sygn. akt I GSK 1151/11 oraz z dnia 18 sierpnia 2020 r.; sygn. akt I OSK 848/20), a także wtedy gdy sąd pierwszej instancji rozpoznając skargę dokonał oceny pod względem zgodności z prawem innej sprawy (w znaczeniu przedmiotowym i podmiotowym) lub z przekroczeniem granic danej sprawy (zob. w tej materii m.in. wyroki Naczelnego Sądu Administracyjnego: z dnia 26 września 2024 r.; sygn. akt III OSK 4/23 oraz z dnia 28 czerwca 2022 r.; sygn. akt II GSK 356/19). Żadna z powyższych okoliczności nie miała miejsca w realiach rozpatrywanej sprawy. Równocześnie należy podkreślić, że za pomocą zarzutu naruszenia art. 134 § 1 p.p.s.a. nie można kwestionować ocen prawnych zawartych w uzasadnieniu zaskarżonego wyroku, tj. nie można skutecznie kwestionować prawidłowości zajętego stanowiska prawnego i poglądów wyrażonych w uzasadnieniu zaskarżonego wyroku ani prawidłowości oceny materiału dowodowego sprawy (por. wyrok Naczelnego Sądu Administracyjnego z dnia 2 lipca 2015 r., sygn. akt I OSK 450/15).
Niezależnie od powyższego odnosząc się do dalszej treści zarzutu z pkt 2. petitum skargi kasacyjnej, tj. naruszenia przez organ administracji publicznej przepisów postępowania, w tym art. 7, art. 8, art. 77 i 80 k.p.a. wskazać należy, że skarżący kasacyjnie powołał się na przepisy statuujące zasadę prawdy materialnej, zasadę pogłębiania zaufania oraz regulujące ocenę dowodów (art. 7, art. 8, art. 77 § 1 i art. 80 k.p.a.). Z treści zarzutów wynika, że – zdaniem skarżącego kasacyjnie – Wojewódzki Sąd Administracyjny w Warszawie "nie powinien oddalać skargi, a powinien uchylić w całości zaskarżoną decyzję".
Stosownie do przytoczonego w podstawie kasacyjnej art. 77 § 1 k.p.a., na organie administracji publicznej spoczywa obowiązek zebrania w sposób wyczerpujący całego materiału dowodowego sprawy niezbędnego do jej wyjaśnienia. Postępowanie wyjaśniające prowadzone przez organ administracji publicznej powinno być zakończone po zbadaniu wszystkich okoliczności faktycznych istotnych dla danej sprawy, których zakres określają przepisy prawa materialnego mające zastosowanie w sprawie. Z kolei w uzasadnieniu decyzji organ powinien m.in. wskazać dowody, na których się oparł oraz przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej (art. 107 § 3 k.p.a.). Zgodnie z ogólnymi zasadami postępowania administracyjnego, organy administracji stoją na straży praworządności i podejmują kroki niezbędne do dokładnego ustalenia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli (art. 7 k.p.a.). Organy administracji publicznej są również zobowiązane w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy (art. 77 § 1 k.p.a.) i dopiero na podstawie całokształtu materiału dowodowego ocenić, czy dana okoliczność została udowodniona (art. 80 k.p.a.).
Rozpatrzenie całego materiału dowodowego w niniejszej sprawie było związane z zasadą swobodnej oceny dowodów, która była dokonana zgodnie z normami prawa procesowego oraz z zachowaniem reguł tej oceny. Dokonując kontroli legalności zaskarżonej decyzji, poprzez analizę dokumentów zawartych w aktach administracyjnych, Wojewódzki Sąd Administracyjny w Warszawie zasadnie nie dopatrzył się tego rodzaju uchybień, które musiałyby skutkować wyeliminowaniem z obrotu prawnego kwestionowanego rozstrzygnięcia. Po wnikliwej analizie materiału sprawy i procedur poprzedzających wydanie zaskarżonej decyzji, stwierdzić należy, że organ prowadzący kontrolowane postępowanie wypełnił zawarty w art. 7 k.p.a. nakaz dokładnego wyjaśnienia stanu faktycznego sprawy oraz określony w przepisie art. 77 § 1 k.p.a. obowiązek zebrania i rozpatrzenia w sposób wyczerpujący materiału dowodowego. Przyjęta w sprawie faktyczna podstawa rozstrzygnięcia ustalona została z uwzględnieniem wymogów wynikających z przepisów art. 7, art. 77 § 1 i art. 80 k.p.a. Organ ustalił wszystkie istotne do załatwienia sprawy okoliczności faktyczne i prawne, a zgromadzony w sprawie materiał dowodowy ma walor kompletności, zaś jego ocena nie nosi znamion dowolności. Na gruncie reguł i norm procesowych wyprowadził logicznie uprawnione i merytorycznie trafne wnioski. Natomiast z zasady zaufania obywateli do organów państwa (art. 8 k.p.a.) wynika obowiązek praworządnego i sprawiedliwego rozpatrzenia sprawy przez organ i wydania decyzji. W szczególności, uzasadnienie decyzji powinno umożliwiać stronie zapoznanie się z argumentacją organu i powodami wydanej decyzji. Nie można wywodzić naruszenia zasady zaufania z faktu, że wydane przez organ rozstrzygnięcie nie jest zgodne z oczekiwaniem strony.
Z uwagi na powyższe za całkowicie pozbawione racji uznano zarzuty naruszenia przepisów postępowania z pkt 1. i 2. petitum skargi kasacyjnej. Zarzuty skargi kasacyjnej w tym zakresie są oczywiście bezzasadne i stanowią niczym nie popartą próbę nieudolnej polemiki z prawidłowymi ustaleniami organów administracyjnych oraz stanowiskiem Sądu pierwszej instancji wyrażonym w uzasadnieniu zaskarżonego wyroku.
Oczekiwanego przez skarżącego kasacyjnie skutku nie mógł odnieść także zarzut naruszenia art. 125 § 1 pkt 1 p.p.s.a. w zw. z art. 11 p.p.s.a. (pkt 3. petitum skargi kasacyjnej). Zgodnie z art. 125 § 1 pkt 1 p.p.s.a., Sąd może zawiesić postępowanie z urzędu, jeżeli rozstrzygnięcie sprawy zależy od wyniku innego toczącego się postępowania administracyjnego, sądowoadministracyjnego, sądowego lub przed Trybunałem Konstytucyjnym. Zawieszenie postępowania na podstawie tej przesłanki ma charakter fakultatywny i zależy od uznania sądu, "który powinien rozważyć, czy w danym wypadku jest celowe wstrzymywanie biegu sprawy z uwagi na opisane okoliczności." (B. Dauter, B. Gruszczyński, A. Kabat, M. Niezgódka-Medek, Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, LEX, 2009, wyd. III) Sąd może zwiesić postępowanie na podstawie powołanego powyżej przepisu jedynie w przypadku zaistnienia między dwoma postępowaniami tej szczególnej relacji, w której rozstrzygnięcie jednego postępowania zależy od wyniku drugiego toczącego się postępowania. Ocena zawieszenia pozostawiona została uznaniu sądu, który powinien rozważyć, czy w sprawie celowe jest wstrzymywanie jej biegu. Fakultatywność zawieszenia ma skutek taki, że nie można mówić o naruszeniu prawa procesowego, mogącego mieć istotny wpływ na wynik sprawy, w sytuacji, gdy sąd administracyjny nie zawiesi postępowania sądowego mimo wystąpienia przesłanki określonej przepisem art. 125 § 1 pkt 1 p.p.s.a. Naczelny Sąd Administracyjny stwierdza, że rozstrzygnięcie niniejszej sprawy nie było uzależnione od toczącego się postępowania karnego.
Mając na uwadze powyższe Naczelny Sąd Administracyjny pragnie dostrzec, że autor skargi kasacyjnej nie zakwestionował w sposób skuteczny ustaleń stanu faktycznego, na których oparto skarżone rozstrzygnięcie. Zarzuty naruszenia przepisów postępowania służą m.in. kwestionowaniu ustaleń i ocen w zakresie stanu faktycznego sprawy, co oznacza, że brak zarzutów naruszenia przepisów postępowania czy też ich nieskuteczność powoduje, że Naczelny Sąd Administracyjny w procesie kontroli instancyjnej przyjmuje, jako niezakwestionowany punkt odniesienia, stan faktyczny i jego ocenę przyjęte przez Sąd pierwszej instancji.
Nieskuteczne okazały się również zarzuty naruszenia prawa materialnego.
Konstrukcja zarzutów z pkt 4., 5. i 6. petitum skargi kasacyjnej sformułowanych przez skarżącego kasacyjnie, z uwagi na ich komplementarny charakter umożliwia ich łączne rozpoznanie, bowiem ich istota sprowadza się do zakwestionowania merytorycznego stanowiska Sądu pierwszej instancji leżącego u podstaw oddalenie skargi, że strona [...] została utworzona na dane S.W. i dotyczy prowadzonej przez niego działalności gospodarczej tj. domu weselnego [...], tym samym skarżący był (i jest) administratorem danych osobowych uczestniczki, tym samym to na nim ciąży obowiązek przetwarzania jej danych osobowych zgodnie z prawem i ponosi odpowiedzialność za uchybienia w tym zakresie.
Przechodząc do oceny zarzutów naruszenia prawa materialnego należy wskazać, że zgodnie z art. 4 pkt 7 RODO "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Administrator jest podmiotem, który określa, dlaczego odbywa się przetwarzanie (tj. "w jakim celu", "po co") i jak ten cel zostanie osiągnięty (tj. jakie środki zostaną zastosowane, aby osiągnąć ten cel). Dla administratora zostały zastrzeżone takie decyzje, jak: wybór danych, jakie będą przetwarzane, czas trwania przetwarzania, kategorie odbiorców danych, ustalenie, czyje dane osobowe będą przetwarzane. Ponadto, nawet jeśli podmiot będący administratorem wyznacza konkretną osobę fizyczną, która odpowiada za zapewnienie zgodności z RODO, a nawet decyduje o celach przetwarzania danych osobowych pod jego kontrolą, nie prowadzi to do uzyskania przez tę osobę przymiotu administratora danych – w dalszym ciągu jest nim pierwotny administrator, w imieniu którego działa wyznaczona osoba fizyczna (patrz: wyrok Naczelnego Sądu Administracyjnego z dnia 7 lutego 2025 r., sygn. akt III OSK 6801/21, Legalis).
Naczelny Sąd Administracyjny podziela ocenę prawną Sądu pierwszej instancji, że w niniejszej sprawie wszelkie kwestie związane z opisywanym konfliktem skarżącego z jego bratem, problemy techniczne – także w zakresie dostępu do ww. strony internetowej pozostać muszą poza oceną organu i Sądu. Istotne dla rozstrzygnięcia sprawy okoliczności zostały prawidłowo przez organ ustalone. Podkreślić należy, iż niniejsza sprawy dotyczy przetwarzania danych osobowych i zakończona została decyzją Prezesa UODO. Prezes UODO poczynił w tej sprawie ustalenia niezbędne do rozstrzygnięcia sprawy w zakresie przetwarzania danych osobowych. Ustalenia ta znajdują potwierdzenie w zgromadzonym materiale dowodowym.
Wskazać należy, że przepisy art. 5 ust. 1 lit. f i ust. 2 RODO określają wprost obowiązki administratora danych osobowych. Przepis art. 5 ust. 1 lit. f RODO zobowiązuje administratora danych osobowych do przetwarzania danych osobowych w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Przepis art. 5 ust. 2 RODO stanowi, że administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność").
Żaden z przepisów wskazanych w zarzucie skargi kasacyjnej, a to art. 5 ust. 1 lit. f i ust. 2 RODO, nie był tym samym stosowany przez organ, a proces ich zastosowania rozumiany jako proces przekształcenia normy generalno-abstrakcyjnej zawartej w ustawie (lub innym przepisie powszechnie obowiązującym) w normę indywidualno-konkretną zawartą w akcie administracyjnym (w decyzji administracyjnej), nie został poddany kontroli Sądu pierwszej instancji. Przedmiotem skargi został bowiem uczyniony akt kończący procedurę kontrolną przestrzegania przez skarżącego przepisów art. 5 ust. 1 lit. f i ust. 2 RODO. Organ w zaskarżonej do sądu administracyjnego decyzji administracyjnej dokonał procedury kontroli przestrzegania przez administratora danych osobowych obowiązków adresowanych do niego bezpośrednio przez prawodawcę, a wskazanych w przepisach art. 5 ust. 1 lit. f i ust. 2 RODO, a stwierdzając niedopełnienie im, wydał na podstawie art. 58 ust. 2 lit. c RODO akt administracyjny w ramach, jak to określa RODO, uprawnień naprawczych. Jest to w swej istocie środek prawny będący sankcją administracyjną, rozumianą jako negatywna konsekwencja naruszenia obowiązków wprost nałożonych przez ustawę na ich adresata. Decyzja poddana kontroli sądowoadministracyjnej była więc efektem zastosowania przepisu art. 58 ust. 2 lit. c RODO. Nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia, o którym mowa w tym przepisie, wymaga przeprowadzenie odpowiedniego postępowania kontrolnego, a w jego ramach postępowania wyjaśniającego, w ramach którego ustala się czy doszło do naruszenia przepisów RODO przez operację przetwarzania.
Rekapitulując te część rozważań, stwierdzenie naruszenia przepisów art. 5 ust. 1 lit. f i ust. 2 RODO, określających wprost obowiązki administratora danych osobowych, jest elementem postępowania wyjaśniającego prowadzonego przez Prezesa UODO w ramach postępowania kontrolnego nakierowanego na wydanie aktu stosowania prawa na podstawie art. 58 ust. 2 lit. c RODO.
Z tej przyczyny zarzut skargi kasacyjnej nie mógł się ostać, bowiem przepisy 5 ust. 1 lit. f i ust. 2 RODO nie mogły zostać naruszone przez ich niewłaściwe zastosowanie, tak jak wskazano w skardze kasacyjnej, gdyż nie były one stosowane przez organ. Organ dokonał bowiem kontroli ich przestrzegania przez administratora danych osobowych. Stwierdzenie ich niedochowania jest przesłanką materialną do zastosowania przepisu art. 58 ust. 2 lit. c RODO i orzeczenia wskazanej w nim sankcji administracyjnej.
Niezależnie od powyższego trafne jest stanowisko Prezesa UODO i Sądu pierwszej instancji, że strona skarżąca kasacyjnie nie dokonała w sposób prawidłowy oceny ryzyka w zakresie możliwości naruszenia zasady ograniczenia przechowywania danych (art. 5 ust. 1 lit. f RODO). Zgodnie z powyższą regulacją: "Dane osobowe muszą być: f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność")".
W związku z tym za pozbawione podstaw uznać należy zarzuty naruszenia prawa materialnego, których istota wiąże się z próbą uchylenia się przez administratora danych osobowych za naruszenie zasad ich przetwarzania i przyjęcia założenia, że odpowiedzialność ta spoczywa na gruncie okoliczności faktycznych niniejszej sprawy na innym podmiocie. Autor skargi kasacyjne w przedmiotowych zarzutach, każdorazowo, argumentuje swoje stanowisko, że nie jest administratorem danych, tym samym nie było podstaw do zastosowania art. 17 ust. 1 RODO, będącego podstawą prawa do usunięcia danych (,,prawo do bycia zapomnianym''), a dalej konsekwencji naruszenia przepisów RODO i wymierzenia sankcji administracyjnej w postaci nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia (art. 58 ust. 2 lit. c RODO).
Dlatego przedmiotowe zarzuty naruszenia prawa materialnego nie mogły odnieść zamierzonego skutku.
Co do wniosku skarżącego kasacyjnie o przeprowadzenie dowodu z dokumentów wskazać należy, że Naczelny Sąd Administracyjny jest sądem kasacyjnym, którego rolą jest kontrola zgodności z prawem orzeczeń sądów administracyjnych I instancji. Postępowanie kasacyjne nie jest co do zasady postępowaniem dowodowym, a jego celem nie jest ponowne ustalanie stanu faktycznego sprawy. Dopuszczenie dowodów na tym etapie ma charakter wyjątkowy i jest możliwe, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania. Zatem w realiach przedmiotowej sprawy oferowane dowody ocenić przyjdzie jako zbędne z punktu widzenia wyjaśnienia istotnych wątpliwości, których Sąd w tym składzie nie powziął, a nadto formułowana przez skarżącego teza dowodowa nie miała znaczenia dla rozstrzygnięcia sprawy.
Jak wskazano na wstępie, przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego wyroku determinują zakres kontroli dokonywanej przez sąd drugiej instancji, który w odróżnieniu od sądu pierwszej instancji nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów podniesionych we wniesionym środku odwoławczym. W rekapitulacji przedstawionych argumentów należało więc stwierdzić, że zarzuty skargi kasacyjnej nie podważają zgodności z prawem zaskarżonego wyroku, albowiem nie zostały oparte na usprawiedliwionych podstawach.
Skoro więc podniesione w skardze kasacyjnej zarzuty okazały się nieskuteczne, Naczelny Sąd Administracyjny nie miał podstaw do jej uwzględnienia, co z kolei skutkowało oddaleniem skargi kasacyjnej w oparciu o art. 184 p.p.s.a.
Sprawa niniejsza podlegała rozpoznaniu na posiedzeniu niejawnym, ponieważ strona wnosząca skargę kasacyjną zrzekła się rozprawy, a strona przeciwna po doręczeniu skargi kasacyjnej nie zażądała, stosownie do art. 182 § 2 p.p.s.a., przeprowadzenia rozprawy.