III OSK 2262/24

III OSK 2262/24 - Wyrok NSA
Data orzeczenia
2026-01-21
orzeczenie prawomocne
Data wpływu
2024-08-30
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Kazimierz Bandarzewski /sprawozdawca/
Olga Żurawska - Matusiak /przewodniczący/
Rafał Stasikowski
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 777/23 - Wyrok WSA w Warszawie z 2024-03-13
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2022 poz 503
art. 53 ust. 1
Ustawa z dnia 27 marca 2003 r. o planowaniu i zagospodarowaniu przestrzennym (t. j.)
Dz.U. 2022 poz 2000
art. 49 § 1, art. 77 § 1, art. 107
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 art. 4 pkt. 2 i 7, art. 4 pkt. 8, art. 6 ust. 1 lit.e
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Olga Żurawska-Matusiak Sędziowie: Sędzia NSA Rafał Stasikowski Sędzia del. WSA Kazimierz Bandarzewski (sprawozdawca) po rozpoznaniu w dniu 21 stycznia 2026 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej Burmistrza Miasta i Gminy B. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 13 marca 2024 r. sygn. akt II SA/Wa 777/23 w sprawie ze skargi Burmistrza Miasta i Gminy B. na punkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 13 marca 2024 r. sygn. akt II SA/Wa 777/23 oddalił skargę Burmistrza Miasta i Gminy B. (dalej skarżący lub Burmistrz) na punkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych (dalej Prezes UODO lub organ) z dnia [...] lutego 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych.
W uzasadnieniu wyroku Sąd wskazał w pierwszej kolejności, że w wyniku przeprowadzonej analizy stanowiska Prezesa UODO w zakresie udzielonego Burmistrzowi w punkcie 2 decyzji upomnienia za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, s. 1, Dz. Urz. UE L 127 z 23.05.2018, s. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, s. 35) zwanego dalej RODO polegającego na udostępnieniu danych osobowych uczestniczki postępowania zawartych w obwieszczeniu SKO z [...] lutego 2021 r. w miejscach ogólnodostępnych na terenie miasta i gminy B., Sąd stwierdził, że - wbrew zarzutom skargi - organ ochrony danych osobowych, rozstrzygając, jak w punkcie 2 decyzji, nie dopuścił się naruszenia powołanych w skardze przepisów prawa materialnego, jak również - mogącego mieć wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej. Sąd nie stwierdził w szczególności, po dokonaniu oceny przeprowadzonego przez organ postępowania, aby organ naruszył w sposób istotny art. 7 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r. poz. 2000 z późn. zm.) zwanego dalej K.p.a., art. 77 § 1 K.p.a., art. 80 K.p.a., czy art. 107 § 3 K.p.a. W ocenie Sądu organ wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia niniejszej sprawy, tj. dotyczącej udzielenia Burmistrzowi upomnienia za naruszenie art. 6 ust. 1 RODO.
W rozpoznawanej sprawie Sąd stwierdził, że odnosząc się do zarzutu naruszenia art. 4 pkt 2 RODO Sąd wskazał, że zarzut ten nie jest zasadny. Zgodnie z tym przepisem, "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Przetwarzaniem danych osobowych jest zatem m.in. rozpowszechnianie lub innego rodzaju udostępnianie. Burmistrz poprzez rozmieszczenie obwieszczenia zawierającego dane osobowe K. T. w miejscach ogólnodostępnych, także w BIP, przetwarzał dane osobowe uczestniczki niniejszego postępowania, albowiem udostępnił je, ujawnił (rozpowszechnił) w miejscach ogólnodostępnych w okresie od 4 marca 2021 r. do 19 marca 2021 r. Tego rodzaju działanie stanowi operację przetwarzania danych osobowych. Ujawnienie danych, rozpowszechnienie ich stanowi przetwarzanie danych osobowych. Nie ma przy tym znaczenia dla oceny zgodności z prawem punktu 2 decyzji Prezesa UODO, argumentacja Burmistrza, że obwieszczenie, którego rozmieszczenia dokonał Urząd Miasta i Gminy w B. zredagowane zostało przez SKO w Kielcach. Ocena zgodności z prawem działań SKO w zakresie dotyczącym udostępnienia danych osobowych uczestniczki postępowania była przedmiotem odrębnej sprawy. Okoliczność zredagowania treści obwieszczenia przez inny podmiot nie wyłącza odpowiedzialności Burmistrza za udostępnienie (ujawnienie) danych osobowych uczestniczki w związku z działaniami Burmistrza (Urzędu Miasta i Gminy) poprzez rozpowszechnienie tych danych w miejscach publicznych, ogólnodostępnych.
Jednocześnie Sąd pierwszej instancji stwierdził, że niezasadny jest też zarzut naruszenia art. 4 pkt 7 i 8 RODO poprzez brak ustalenia, czy Burmistrz działał jak administrator, czy podmiot przetwarzający. Zgodnie z pierwszym z powołanych przepisów, "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Stosownie zaś do art. 4 pkt 8 RODO "podmiot przetwarzający" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora.
Zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie odnosząc się do argumentacji skargi podkreślenia wymaga, że okoliczność, iż SKO zwróciło się o zamieszczenie obwieszczenia w miejscach publicznie dostępnych, na co Burmistrz wskazywał w toku postępowania administracyjnego, nie oznacza, że Burmistrz przetwarzał dane w imieniu administratora i nie ustalał celów i sposobów przetwarzania danych osobowych. W stanie faktycznym tej sprawy nie ma mowy o usłudze przetwarzania danych w imieniu administratora (art. 28 RODO). Zgodnie z tym przepisem, jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą (pkt 1). Próba podważenia w skardze stanowiska Prezesa UODO, który uznał Burmistrza za administratora, nie jest w świetle przepisów RODO zrozumiała. W sprawie ujawnienia przez Burmistrza danych osobowych uczestniczki niniejszego postępowania poprzez rozplakatowanie obwieszczenia SKO (zawierającego dane osobowe) nie mamy do czynienia z usługą w rozumieniu art. 28 RODO. Burmistrz jest organem władzy, jest podmiotem publicznym, realizującym zadania w interesie publicznym. Zatem samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych. W sprawie tej nie mamy do czynienia z umową powierzenia przetwarzania danych. Burmistrz ani w toku postępowania przed Prezesem UODO ani w skardze nie powołuje się na żadną umowę przetwarzania danych. Prezes UODO w uzasadnieniu zakwestionowanej decyzji nie wskazuje wprawdzie wprost, że Burmistrz jest administratorem, jednakże nie ma wątpliwości co do tego ustalenia, albowiem rozstrzygnięcie punktu 2 decyzji – udzielenie upomnienia Burmistrzowi – wprost wskazuje na naruszenie art. 6 ust. 1 RODO określającego przesłanki zgodności z prawem przetwarzania danych osobowych. Okoliczność, że dane w obwieszczeniu zostały zamieszczone przez SKO nie zmienia tego, że Burmistrz poprzez wywieszenie obwieszczenia w miejscach ogólnodostępnych ujawnił (rozpowszechnił) dane osobowe K. T.. Nie można zgodzić się ze skarżącym, że jedynie zawiadomił w sposób zwyczajowo przyjęty o wydaniu ostatecznej decyzji w przedmiocie ustalenia lokalizacji inwestycji celu publicznego. Nic nie stało na przeszkodzie, aby Burmistrz obwieszczeniem zawiadomił o wydaniu przez SKO decyzji o utrzymaniu w mocy jego decyzji z dnia [...] grudnia 2020 r.
W rozpoznawanej sprawie Sąd pierwszej instancji wskazał, że powoływany przez Burmistrza przepis art. 53 ust. 1 ustawy z dnia 27 marca 2003 r. o planowaniu i zagospodarowaniu przestrzennym (Dz. U. z 2022 r. poz. 503 z późn. zm.) zwanego dalej P.z.p. nie nakazuje i nie uprawnia do ujawniania w zawiadomieniu (poprzez publiczne obwieszczenie) o wydaniu decyzji kończącej postępowanie w przedmiocie ustalenia lokalizacji celu publicznego danych osobowych odwołującego się. Przepis ten nie stanowi podstawy do ujawnienia publicznie – dla nieokreślonego, nieograniczonego kręgu podmiotów – danych osobowych odwołującego się od decyzji o ustaleniu lokalizacji celu publicznego. Udostępnienie przez Burmistrza w miejscach ogólnodostępnych i w BIP Urzędu danych osobowych K. T. nie stanowiło też wypełnienia obowiązku prawnego ciążącego na administratorze. Jeśli w ocenie Burmistrza spoczywał na nim obowiązek obwieszczenia o wydaniu decyzji ostatecznej, to bezspornie ujawnienie danych osobowych odwołującej się poprzez rozpowszechnienie tych danych w miejscach ogólnodostępnych i w BIP Urzędu nie znajduje podstawy prawnej. Strony postępowania mogły zapoznać się z aktami w godzinach pracy Urzędu, w tym tą drogą mogły uzyskać informację o osobie, która złożyła odwołanie. Skoro tylko strony mogą zapoznać się z aktami sprawy, to tylko strony były uprawnione do uzyskania informacji o osobie składającej odwołanie. Działanie skarżącego polegające na udostępnieniu danych osobowych odwołującej się doprowadziło zaś do ujawnienia jej danych osobowych wobec nieograniczonego kręgu podmiotów, do czego nie było podstaw prawnych, co zasadnie stwierdził Prezes UODO.
Skargę kasacyjną od powyższego wyroku do Naczelnego Sądu Administracyjnego wniósł Burmistrz Miasta i Gminy B., zaskarżając go w całości. Zaskarżonemu orzeczeniu zarzucił naruszenie:
1. art. 4 pkt 2 i 7 RODO w zw. art. 53 ust. 1 P.z.p. w zw. z art. 49 § 1 K.p.a. poprzez uznanie, że w niniejszej sprawie Burmistrz Miasta i Gminy B. przetwarzał dane osobowe podczas gdy Burmistrz Miasta i Gminy B. działając na wniosek Samorządowego Kolegium Odwoławczego w Kielcach dokonał w sposób zwyczajowo przyjęty w danej miejscowości zawiadomienia o wydaniu ostatecznej decyzji o ustaleniu lokalizacji inwestycji celu publicznego poprzez umieszczenia obwieszczenia zredagowanego przez SKO w Kielcach;
2. art. 4 pkt 7 i 8 w zw. z art. 4 pkt 7 i art. 6 pkt 1 lit. e RODO w zw. art. 53 ust. 1 P.z.p. w zw. z art. 49 § 1, 77 § 1 i 107 K.p.a. poprzez niewłaściwe zastosowanie skutkujące brakiem ustalenia kto w niniejszej sprawie pełnił rolę administratora, o którym mowa w art. 6 pkt. 1 lit. e czy Burmistrz Miasta i Gminy B. czy Samorządowe Kolegium Odwoławcze;
3. art. 6 pkt. 1 lit. e RODO i art. 4 pkt 7 w zw. art. 53 ust. 1 P.z.p. w zw. z art. 49 § 1 K.p.a. poprzez niewłaściwe zastosowanie i ustalenie, że w niniejszej sprawie Burmistrz Miasta i Gminy B. działał z naruszeniem przepisów RODO podczas, gdy organ działał na wniosek SKO w Kielcach w celu wykonania ciążących na nim obowiązków powiadomienia stron w sposób zwyczajowo przyjęty w danej miejscowości o podjętej ostatecznej decyzji o ustaleniu lokalizacji inwestycji celu publicznego, nie decydował o celach i sposobach przetwarzania a jedynie zawiadomił w sposób zwyczajowo przyjęty o wydaniu ostatecznej decyzji o ustaleniu lokalizacji inwestycji celu publicznego poprzez umieszczenia obwieszczenia zredagowanego przez SKO w Kielcach i zgodnie z wnioskiem SKO w Kielcach, więc nie działał jako administrator, a jedynie wykonał polecenie organu nadrzędnego zgodnie z art. 1 ustawy o samorządowych kolegiach odwoławczych.
W oparciu o powyższe zarzuty w skardze kasacyjnej wniesiono o uchylenie zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania oraz zasądzenie zwrotu kosztów postępowania wraz z kosztami zastępstwa procesowego według norm przepisanych, które nie zostały uiszczone ani w całości ani w części. Jednocześnie zrzeczono się przeprowadzenia rozprawy.
W odpowiedzi na skargę kasacyjną PUODO wniósł o jej oddalenie.
Naczelny Sąd Administracyjny zważył, co następuje:
Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 1634 z późn. zm.) zwanej dalej P.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę przesłanki uzasadniające nieważność postępowania wymienione w art. 183 § 2 P.p.s.a. oraz przesłanki uzasadniające odrzucenie skargi bądź umorzenie postępowania przed wojewódzkim sądem administracyjnym, stosownie do treści art. 189 P.p.s.a. Żadna z powyższych przesłanek w tej sprawie nie zaistniała.
Sprawa podlega na podstawie art. 182 § 2 P.p.s.a. rozpoznaniu na posiedzeniu niejawnym, ponieważ strona wnosząca skargę kasacyjną zrzekła się rozprawy, a strona przeciwna po doręczeniu odpisu skargi kasacyjnej nie zażądała jej przeprowadzenia.
Rozpoznając sprawę Naczelny Sąd Administracyjny związany jest granicami skargi. Związanie granicami skargi oznacza związanie podstawami zaskarżenia wskazanymi w skardze kasacyjnej oraz jej wnioskami. Naczelny Sąd Administracyjny bada przy tym wszystkie podniesione przez stronę skarżącą kasacyjnie zarzuty naruszenia prawa (tak NSA w uchwale pełnego składu z 26 października 2009 r. I OPS 10/09, opubl. w ONSAiWSA 2010 z. 1 poz. 1).
Zgodnie z art. 174 P.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, a także 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.
Stosownie do treści art. 176 P.p.s.a. strona skarżąca kasacyjnie ma obowiązek przytoczyć podstawy skargi kasacyjnej wnoszonej od wyroku Sądu pierwszej instancji i szczegółowo je uzasadnić wskazując, które przepisy ustawy zostały naruszone, na czym to naruszenie polegało i jaki miało wpływ na wynik sprawy. Rola Naczelnego Sądu Administracyjnego w postępowaniu kasacyjnym ogranicza się do skontrolowania i zweryfikowania zarzutów wnoszącego skargę kasacyjną.
Zawarte w skardze kasacyjnej zarzuty nie mogą doprowadzić do uchylenia zaskarżonego wyroku.
Zarzuty te bowiem tylko w niewielkim zakresie uwzględniają wymagania wynikające z powołanego już art. 174 pkt 1 i pkt 2 P.p.s.a. Strona skarżąca kasacyjnie nie zawarła w skardze kasacyjnej żadnego zarzutu naruszenia przez Sąd pierwszej instancji przepisów Prawa o postępowaniu przed sądami administracyjnymi. Ponadto nie wskazała, aby którykolwiek z trzech sformułowanych zarzutów dotyczył naruszenia przez Sąd pierwszej instancji przepisów postępowania w stopniu mogącym mieć istotny wpływ na wynik sprawy.
W dwóch zarzutach (drugim i trzecim) strona skarżąca kasacyjnie podniosła, że Wojewódzki Sąd Administracyjny w Warszawie niewłaściwie zastosował przepisy RODO oraz przepisy Kodeksu postępowania administracyjnego i ustawy o planowaniu i zagospodarowaniu przestrzennym. Nie wskazano jednak wprost, aby był to zarzut naruszenia prawa materialnego. Można stwierdzić, że skarga kasacyjna w zakresie swoich zarzutów stanowi dokładne powtórzenie zarzutów zawartych w skardze wniesionej do Sądu pierwszej instancji. Takie zaś redagowanie środka zaskarżenia jakim jest skarga kasacyjna jest wadliwe już z tego powodu, że Naczelny Sąd Administracyjny nie rozpoznaje ponownie danej sprawy na skutek wniesienia środka zaskarżenia, ale jedynie kontroluje zaskarżony wyrok i tym samym skutecznie wniesienie skargi kasacyjnej wymaga wskazania na uchybienia wojewódzkiego sądu administracyjnego.
Wyjaśnienia także wymaga, że wskazanych w skardze kasacyjnej przepisów Kodeksu postępowania administracyjnego Sąd pierwszej instancji nie stosował. Mógł je jedynie naruszyć podczas dokonywania kontroli legalności zaskarżonej decyzji, czyli w sposób pośredni. Skarżący kasacyjnie podniósł natomiast zarzuty naruszenia przepisów Kodeksu postępowania administracyjnego bez jakiegokolwiek powiązania ich z przepisami Prawa o postępowaniu przed sądami administracyjnymi. Dla poprawności zarzutu naruszenia przepisów postępowania konieczne jest co do zasady wskazanie przepisów procedury sądowoadministracyjnej naruszonych przez sąd w powiązaniu z właściwymi przepisami regulującymi postępowanie przed organami administracji publicznej. Przedmiotem zaskarżenia jest bowiem orzeczenie sądu, a nie akt lub czynność administracji publicznej. Działanie sądu administracyjnego podlega regulacji Prawa o ustroju sądów administracyjnych, a nie Kodeksu postępowania administracyjnego. Rolą sądu administracyjnego, rozstrzygającego w granicach sprawy i na podstawie akt sprawy jest przeprowadzenie procesu kontroli działania organu administracji z punktu widzenia jego zgodności z prawem. W konsekwencji, zarzucając naruszenie przepisów postępowania administracyjnego skarżący kasacyjnie powinien powiązać je z naruszeniem przez Sąd pierwszej instancji odpowiednich przepisów postępowania sądowoadministracyjnego - czego w niniejszej skardze kasacyjnej nie uczyniono (por. wyrok NSA z dnia 25 maja 2020 r. I OSK 1239/19).
Tym samym skarga kasacyjna w tym zakresie, w jakim zarzuca Sądowi pierwszej instancji tylko naruszenie przepisów Kodeksu postępowania administracyjnego nie poddaje się kontroli i jest bezzasadna.
Strona skarżąca kasacyjnie w zakresie zarzutu nr 2 podniosła, że Sąd pierwszej instancji dokonał niewłaściwego zastosowania art. 4 pkt 7 i 8 oraz art. 6 pkt 1 lit. e RODO w związku z art. 53 § 1 P.z.p. oraz art. 49 § 1, art. 77 § 1 i art. 107 K.p.a. Niewłaściwe zastosowanie przepisu dotyczy jednej z form naruszeń przepisów materialnoprawnych. Tym samym można przyjąć, że jest to zarzut naruszenia prawa materialnego poprzez niewłaściwe zastosowanie ww. przepisów.
Samo jednak powołanie się na niewłaściwe zastosowanie nie jest spełnieniem wymogu wynikającego z art. 174 pkt 1 P.p.s.a. w związku z art. 176 § 1 pkt 2 tej ustawy, zgodnie z którym skarga kasacyjna powinna zawierać przytoczenie podstaw kasacyjnych i ich uzasadnienie. Uzasadnienie zarzutu niewłaściwego zastosowania przepisu prawa materialnego powinno dotyczyć błędu subsumcji popełnionego przez Sąd pierwszej instancji czyli wskazywać, że Sąd niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa materialnego. Strona skarżąca kasacyjnej musi wykazać, jak w jej ocenie powinien być zastosowany dany przepis prawa. Ocena zasadności zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie ustalonego w sprawie stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (por. wyrok NSA z 13 sierpnia 2013 r. sygn. akt II GSK 717/12; wyrok NSA z 2 grudnia 2025 r. sygn. akt III OSK 2812/24).
Zarzut niewłaściwego zastosowania prawa materialnego w postaci pozytywnej, czyli zarzucenia zastosowania normy prawnej, która nie powinna być w danej sprawie zastosowana, a także w postaci negatywnej, czyli zarzucenia niezastosowania normy prawnej, która w ocenie wnoszącego skargę kasacyjną powinna być zastosowana wymaga należytej precyzji w konstruowaniu danego zarzutu kasacyjnego w konkretnej sprawie (por. wyrok NSA z 3 października 2013 sygn. akt II FSK 1020/12). Trudno jest w oparciu o skargę kasacyjną ustalić daleko idącą precyzyjność tego zarzutu, tym niemniej Naczelny Sąd Administracyjny dokonał kontroli zaskarżonego wyroku w takim zakresie, w jakim pozwala tak sformułowany zarzut.
Strona skarżąca zarzuca Sądowi pierwszej instancji niewłaściwe zastosowanie art. 4 pkt 7 i 8 i art. 6 pkt 1 lit. e RODO w związku art. 53 ust. 1 P.z.p. i w związku z art. 49 § 1, 77 § 1 i 107 K.p.a. polegające na braku ustalenia, kto w niniejszej sprawie pełnił rolę administratora, o którym mowa w art. 6 pkt 1 lit. e RODO, tj. Burmistrz Miasta i Gminy B. czy Samorządowe Kolegium Odwoławcze.
Zarzut ten jest niezasadny. Sąd pierwszej instancji w uzasadnieniu zaskarżonego wyroku wprost wskazał, że Burmistrz Miasta i Gminy B. pełni w zakresie objętym tą sprawą funkcję administratora. Uzasadnienie traktowania ww. Burmistrza jako administratora zawiera większą część uzasadnienia zaskarżonego wyroku (s. 13-18). Tym samym niezrozumiałym jest twierdzenie, jakoby Sąd pierwszej instancji nie ustalił, kto był administratorem przetwarzającym dane osobowe.
Art. 4 RODO zawiera definicje pojęć na potrzeby tej regulacji. Zgodnie z art. 4 pkt 7 RODO pod pojęciem administratora należy rozumieć osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych, a jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Zgodnie zaś z art. 4 pkt 8 RODO pod pojęciem podmiotu przetwarzającego rozumie się osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora.
Art. 6 ust. 1 lit. e RODO stanowi zaś, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy spełniony jest warunek niezbędności przetwarzania danych osobowych. W tym zakresie przepis ten stanowi, że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
Jak wynika z treści zaskarżonego wyroku Sąd pierwszej instancji dokonał wykładni zarówno pojęcia "administrator" danych osobowych, jak i "podmiot przetwarzający" dane osobowe. Dokonał również oceny, czy w tej sprawie zaistniała przesłanka z art. 6 ust. 1 lit. e RODO pozwalająca na przetwarzanie danych osobowych zgodnie z prawem w zakresie zamieszczenia w obwieszczeniu informującym o zakończeniu postępowania w sprawie ustalenia na rzecz Gminy B. lokalizacji inwestycji celu publicznego danych osobowych odwołującej się.
Tym samym skoro zarzut skargi kasacyjnej dotyczy jedynie braku ustalenia przez Sąd pierwszej instancji roli pełnionej przez Burmistrza Miasta i Gminy B., to tak podniesione przepisy nie mogą być zasadne dla uznanie tego zarzutu za trafny.
Nie zasługuje na uwzględnienie zarzut nr 3 skargi kasacyjnej stosownie do którego zarzuca się Sądowi pierwszej instancji niewłaściwe zastosowanie art. 6 ust. 1 lit. e RODO i art. 4 pkt 7 w związku z art. 53 ust. 1 P.z.p. i w związku z art. 49 § 1 K.p.a. polegające na ustaleniu, że w niniejszej sprawie Burmistrz Miasta i Gminy B. działał z naruszeniem przepisów RODO podczas gdy organ działał na wniosek SKO w Kielcach w celu wykonania ciążących na nim obowiązków powiadomienia stron w sposób zwyczajowo przyjęty w danej miejscowości o podjętej ostatecznej decyzji o ustaleniu lokalizacji inwestycji celu publicznego i tym samym nie decydował o celach i sposobach przetwarzania, a jedynie zawiadomił poprzez umieszczenia obwieszczenia zredagowanego przez SKO w Kielcach i zgodnie z wnioskiem SKO w Kielcach, a więc nie działał jako administrator, a jedynie wykonał polecenie organu nadrzędnego.
Zarzut ten nie jest zasadny z tego powodu, że ani art. 53 ust. 1 P.z.p., ani też art. 49 § 1 K.p.a. nie reguluje treści zawiadomienia dokonywanego w drodze obwieszczenia lub innego publicznego ogłoszenia w sposób zwyczajowo przyjęty w danej miejscowości. Niewątpliwie organem kończącym postępowanie drugoinstancyjne w przedmiocie lokalizacji inwestycji celu publicznego było w zakresie objętym sprawą SKO w Kielcach i ten organ zredagował obwieszczenie. Tym samym to SKO jako organ właściwy powinno dokonać stosownych obwieszczeń. Okoliczność przekazania Burmistrzowi Miasta i Gminy B. prośby SKO w Kielcach o dokonanie obwieszczeń w sytuacji, w której ich treść zawierała dane osobowe konkretnej osoby i organy te nie miały prawa (ani SKO w Kielcach ani Burmistrz Miasta i Gminy B.) ich publicznego udostępnienia nie zwalnia z odpowiedzialności organu Gminy.
Także w orzecznictwie sądowym wyrażono pogląd, zgodnie z którym art. 53 ust. 1 P.z.p. określa jedynie sposoby informowania stron i nie zawiera regulacji co treści takiej informacji dopuszczając przyjęcie, że dane osobowe stron ze względu na ich ochronę nie powinny być tam umieszczone (wyrok NSA z 27 kwietnia 2021 r. sygn. akt II OSK 2134/18). WSA w Krakowie w prawomocnym wyroku z 12 stycznia 2023 r. sygn. akt II SA/Kr 1190/22 stwierdził, że prawidłowym działaniem jest niezamieszczanie danych osobowych stron w obwieszczeniu dokonywanym w oparciu o art. 53 ust. 1 P.z.p.
Tym samym nie zwalniało Burmistrza Miasta i Gminy B. z obowiązku przestrzegania prawa w zakresie dopuszczalności udostępniania danych osobowych nawet to, że obwieszczenie zawierające – jak wynika z akt tej sprawy – dane osobowe niepodlegające upublicznieniu zostało zredagowane przez organ odwoławczy.
Naczelny Sąd Administracyjny mając powyższe na uwadze orzekł na podstawie art. 184 P.p.s.a. o oddaleniu skargi kasacyjnej.