III OSK 2495/22

III OSK 2495/22 - Wyrok NSA
Data orzeczenia
2025-12-04
orzeczenie prawomocne
Data wpływu
2022-10-14
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Mirosław Wincenciak
Sławomir Wojciechowski /przewodniczący/
Tadeusz Kiełkowski /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 3217/21 - Wyrok WSA w Warszawie z 2022-02-16
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2016 poz 922
art. 18 ust. 1
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Sławomir Wojciechowski Sędziowie: Sędzia NSA Mirosław Wincenciak Sędzia del. WSA Tadeusz Kiełkowski (spr.) Protokolant: starszy asystent sędziego Dawid Piaskowski po rozpoznaniu w dniu 4 grudnia 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej R. D. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 16 lutego 2022 r. sygn. akt II SA/Wa 3217/21 w sprawie ze skargi R. D. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 21 lipca 2021 r. nr ZSPU.440.161.2019.AZ.II/132387,132388 w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od R. D. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wyrokiem z dnia 16 lutego 2022 r., sygn. akt II SA/Wa 3217/21, Wojewódzki Sąd Administracyjny w Warszawie (dalej "WSA w Warszawie", "Sąd I instancji") oddalił skargę R. D. (dalej "skarżący" na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej "organ", "Prezes UODO") z dnia 21 lipca 2021 r., nr ZSPU.440.161.2019.AZ.II/132387,132388, w przedmiocie przetwarzania danych osobowych.
Powyższy wyrok, od którego została złożona skarga kasacyjna, zapadł w następujących okolicznościach faktycznych i prawnych.
Skarżący złożył do organu skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółdzielnię "[...]" z siedzibą w W. (dalej "Spółdzielnia"). Skarżący wskazał, że Spółdzielnia przetwarza jego dane osobowe w rejestrze członków spółdzielni bez jego zgody i bez podstawy prawnej (ponieważ jest podmiotem nieistniejącym) oraz że pismem z dnia 15 stycznia 2018 r. udostępniła jego dane osobowe w zakresie nazwiska pozostałym członkom Spółdzielni. W wyniku przeprowadzonego przez Prezesa UODO postępowania administracyjnego ustalono, że skarżący jest członkiem Spółdzielni na mocy § 2 statutu z 2013 r., który stanowi, że "Spółdzielnia jest dobrowolnym zrzeszeniem właścicieli segmentów i mieszkań zbudowanych na gruntach wchodzących w zakres osiedla [...] w W. przy ul. N. [...], [...], [...], [...], [...] oraz ul. P. [...], [...], [...], [...]". Spółdzielnia jest wpisana do Krajowego Rejestru Sądowego pod numerem [...]. Pismem z dnia 15 stycznia 2018 r. osoby zamieszkujące na terenie Spółdzielni zostały poinformowane, że skarżący odmówił uiszczenia zapłaty za wymianę rur. W piśmie tym, dostarczonym do mieszkańców poprzez wrzucenie do skrzynek pocztowych, pojawiło się nazwisko skarżącego.
Prezes UODO decyzją z dnia 12 czerwca 2019 r. odmówił uwzględnienia wniosku skarżącego. W uzasadnieniu tego rozstrzygnięcia organ wyjaśnił, że z dniem wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm.), tj. z dniem 25 maja 2018 r., Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Na podstawie art. 160 ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r., prowadzone są przez Prezesa UODO, na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm., dalej "u.o.d.o."), zgodnie z zasadami określonymi w k.p.a. Wszelkie czynności podejmowane przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne. Do spraw rozstrzyganych przez Prezesa UODO w zakresie prawa materialnego zastosowanie mają przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2, dalej "RODO"), a w zakresie proceduralnym przepisy u.o.d.o.
Organ wskazał, że ze zgromadzonego w sprawie materiału dowodowego wynika, że skarżący w istocie żąda ustalenia istnienia Spółdzielni. Zgodnie z art. 19 k.p.a., organy administracji publicznej przestrzegają z urzędu swojej właściwości rzeczowej i miejscowej. Art. 20 k.p.a. wskazuje natomiast, że właściwość rzeczową organu administracji publicznej ustala się według przepisów o zakresie jego działania, które dla Prezesa UODO są wskazane w RODO i ustawie z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm.). Zdaniem Prezesa UODO żadna z ustaw nie daje mu kompetencji do rozstrzygania, czy określona osoba prawna istnieje. W niniejszej sprawie to nie Prezes UODO jest organem właściwym do rozstrzygnięcia przedmiotowej kwestii, lecz sąd powszechny. Organ wskazał również, że art. 23 ust. 1 ustawy z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym (Dz. U. z 2018 r. poz. 986 ze zm., dalej "u.k.r.s.") stanowi, że sąd rejestrowy bada, czy dołączone do wniosku dokumenty są zgodne pod względem formy i treści z przepisami prawa, a więc Prezes UODO nie jest organem właściwym także w kwestii dotyczącej ważności uchwał, czy innych dokumentów dołączonych do akt KRS. Zgodnie z art. 17 ust. 1 u.k.r.s. domniemywa się, że dane wpisane do Rejestru są prawdziwe, zatem przy braku kompetencji Prezesa UODO do rozstrzygania o istnieniu bądź nieistnieniu podmiotu wpisanego do KRS, należy przyjąć, że Spółdzielnia, skoro jest wpisana do KRS, jest podmiotem istniejącym, a skarżący na mocy § 2 jej statutu jest jej członkiem. W konsekwencji Prezes UODO stwierdził, że nie jest organem właściwym do rozstrzygnięcia ważności uchwał podejmowanych przez organy spółdzielni i jej reprezentacji. Te kwestie może rozstrzygać tylko sąd powszechny.
Odnosząc się do kwestii podniesionej w piśmie skarżącego z dnia 1 lutego 2019 r., dotyczącej nieprawdziwości podpisu złożonego na liście obecności na Walnym Zgromadzeniu Spółdzielni z dnia 28 czerwca 2018 r., organ wskazał, że zgodnie powołanymi przepisami o właściwości, także i w tym przypadku Prezes UODO nie jest organem właściwym do jej rozstrzygania. Samo twierdzenie skarżącego, że to nie jego podpis znajduje się na liście, nie mogło zostać uznane za dowód popełnienia przestępstwa, tym bardziej na tle konfliktu istniejącego pomiędzy skarżącym a Spółdzielnią. Dlatego też Prezes UODO nie powziął przekonania o popełnieniu przestępstwa i nie zawiadomił organów ścigania.
Następnie Prezes UODO wyjaśnił, że przetwarzanie danych osobowych zawsze musi opierać się na przynajmniej jednej z przesłanek wymienionych w art. 6 ust. 1 lub art. 9 ust. 2 RODO. Przesłanki przetwarzania danych osobowych są od siebie niezależne i wystarczy spełnienie tylko jednej z nich dla legalności przetwarzania. Art. 30 ustawy z dnia 16 września 1982 r. Prawo spółdzielcze (Dz. U. z 2018 r. poz. poz. 1285, dalej "p.s.") stanowi, że zarząd spółdzielni prowadzi rejestr członków zawierający ich imiona i nazwiska oraz miejsce zamieszkania (w odniesieniu do członków będących osobami prawnymi – ich nazwę i siedzibę), wysokość zadeklarowanych i wniesionych udziałów, wysokość wniesionych wkładów, ich rodzaj, jeżeli są to wkłady niepieniężne, zmiany tych danych, datę przyjęcia w poczet członków, datę wypowiedzenia członkostwa i jego ustania, a także inne dane przewidziane w statucie. Członek spółdzielni, jego małżonek i wierzyciel członka lub spółdzielni ma prawo przeglądać rejestr. Treść powołanego przepisu wypełnia przesłankę z art. 6 ust. 1 lit. c RODO, a zatem przetwarzanie danych osobowych skarżącego przez Spółdzielnię jest zgodne z prawem i nie wymaga zgody skarżącego.
Odnosząc się do kwestii udostępnienia danych osobowych skarżącego w piśmie z dnia 15 stycznia 2018 r., organ wskazał, że Spółdzielnia nie wskazała, na jakiej podstawie prawnej doszło do udostępnienia nazwiska skarżącego oraz informacji o jego zaległościach wobec Spółdzielni – wyjaśniła natomiast, że kierowała się względami słuszności. Przedmiotowe pismo stanowiło zwykłą informację przesłaną do mieszkańców osiedla [...], którzy niekoniecznie musieli być członkami Spółdzielni, a zatem poprzez jego wysłanie mogło dojść do udostępnienia danych osobowych skarżącego osobom nieuprawnionym. Zasady przetwarzania danych osobowych opisane są w art. 5 RODO. Jedną z nich jest zasada integralności i poufności wyrażona w art. 5 ust. 1 lit. f RODO, zgodnie z którą dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. Umieszczenie przedmiotowego pisma w skrzynkach pocztowych stoi w sprzeczności z wymienioną zasadą, gdyż takie działanie mogło potencjalnie doprowadzić do ujawnienia danych osobowych skarżącego osobom nieupoważnionym, np. mieszkańcom osiedla niebędącym członkami Spółdzielni. Prezes UODO uznał zatem, że naruszenie przepisów o ochronie danych osobowych miało miejsce i jest ono nieodwracalne. Jednocześnie organ stwierdził, że stan naruszenia ustał, a więc w sytuacji tej nie jest możliwe przywrócenie stanu zgodnego z prawem. Miarodajny w tym zakresie jest stan obowiązujący w dacie wydania decyzji.
Na skutek wniosku o ponowne rozpatrzenie sprawy, w którym skarżący podniósł w szczególności, że nigdy nie składał deklaracji przystąpienia do Spółdzielni – Prezes UODO wydał decyzję z dnia 21 lipca 2021 r., którą utrzymał w mocy zaskarżoną decyzję z dnia 12 czerwca 2019 r. W uzasadnieniu tej decyzji organ podał, że w toku postępowania ustalił, iż skarżący był członkiem Spółdzielni na mocy złożonego wniosku z 1986 r. W związku z nabyciem własności domu ustało jego członkostwo w Spółdzielni (pismo Spółdzielni z dnia 1 sierpnia 2019 r. skierowane do Urzędu Ochrony Danych Osobowych, wniosek skarżącego o przydział działki/mieszkania z dnia 26 kwietnia 1986 r., wyciąg z rejestru członków obejmujący pozycję nr 163, pod którą figuruje skarżący, dowód wpłaty udziału członkowskiego w kwocie 90.000 zł, dowód wpłaty 1.500.000 zł na rzecz Spółdzielni, kopia aktu notarialnego Rep. Nr A 1051/92 z dnia 30 czerwca 1992 r., postanowienia statutu Spółdzielni z 1978 r. – § 5 ust. 2 pkt 1 statutu, § 20 pkt 4 statutu). Skarżący nie wypełnił deklaracji członkowskiej na mocy statutu Spółdzielni z dnia 25 czerwca 2013 r. (pismo z dnia 30 czerwca 2019 r.). Pismem z dnia 15 stycznia 2018 r. osoby zamieszkujące na terenie Spółdzielni zostały poinformowane, że skarżący odmówił uiszczenia zapłaty za wymianę rur. W piśmie tym, dostarczonym do mieszkańców poprzez wrzucenie do skrzynek pocztowych, pojawiło się jego nazwisko. Organ ustalił również, że skarżący zalega z zapłatą należności na rzecz Spółdzielni z tytułu czynszu.
Prezes UODO stwierdził, że choć zaskarżona decyzja została oparta na błędnie ustalonym stanie faktycznym, to rozstrzygnięcie w niej zawarte odpowiada prawu. Organ uznał za błędne ustalenie, że skarżący ma status członka Spółdzielni. Zebrany w sprawie materiał dowodowy, w tym postanowienia statutu z 1978 r. wykazały, iż skarżący na dzień wydawania zaskarżonego rozstrzygnięcia tego statusu nie posiadał. Zgodnie z § 21 statutu z 1978 r. członkostwo Spółdzielni ustaje na skutek: 1) wystąpienia członka, 2) wykluczenia członka, 3) wykreślenia członka z rejestru członków, 4) nabycia własności domu, 5) śmierci członka. Zatem członkostwo skarżącego zgodnie z powyższym przepisem ustało z dniem, w którym nastąpiło przeniesienie własności domu, co potwierdza załączony do akt sprawy akt notarialny z dnia 30 września 1992 r. (Repertorium Nr A 1051/92) dotyczący przeniesienia części prawa użytkowania wieczystego i własności lokali mieszkalnych. Z kolei w aktach sprawy brak jest informacji, aby na mocy nowo uchwalonego statutu Spółdzielni z dnia 25 czerwca 2013 r. skarżący ponownie ubiegał się o członkostwo w Spółdzielni poprzez wypełnienie deklaracji.
Prezes UODO wskazał dalej, że stosownie do art. 23 ust. 1 pkt 2 uchylonej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych przetwarzanie danych osobowych było dopuszczalne wtedy, gdy było to niezbędne dla realizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Obecnie ten przepis ma swój odpowiednik w art. 6 ust. 1 lit. c RODO, zgodnie z którym przetwarzanie jest zgodne z prawem, gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Odnosząc się do twierdzenia skarżącego, iż nie jest członkiem Spółdzielni, Prezes UODO podał, że obowiązki wynikające z art. 4 ustawy z dnia 15 grudnia 2000 r. o spółdzielniach mieszkaniowych (Dz. U. z 2021 r. poz. 1208) dotyczą także osób niebędących członkami Spółdzielni. Zgodnie bowiem z art. 4 ust. 4 tej ustawy właściciele lokali niebędący członkami spółdzielni są obowiązani uczestniczyć w pokrywaniu kosztów związanych z eksploatacją i utrzymaniem ich lokali, eksploatacją i utrzymaniem nieruchomości wspólnych. Są oni również obowiązani uczestniczyć w wydatkach związanych z eksploatacją i utrzymaniem nieruchomości stanowiących mienie spółdzielni, które są przeznaczone do wspólnego korzystania przez osoby zamieszkujące w określonych budynkach lub osiedlu. Obowiązki te wykonują przez uiszczanie opłat na takich samych zasadach, jak członkowie spółdzielni, z zastrzeżeniem art. 5. Z kolei zgodnie z art. 4 ust. 6 ustawy o spółdzielniach mieszkaniowych, za opłaty, o których mowa w ust. 1-2 i 4, odpowiadają solidarnie z członkami spółdzielni, właścicielami lokali niebędącymi członkami spółdzielni lub osobami niebędącymi członkami spółdzielni, którym przysługują spółdzielcze własnościowe prawa do lokali, osoby pełnoletnie stale z nimi zamieszkujące w lokalu, z wyjątkiem pełnoletnich zstępnych pozostających na ich utrzymaniu, a także osoby faktycznie korzystające z lokalu. Zdaniem Prezesa UODO treść tych przepisów stanowi podstawę do przetwarzania danych osobowych skarżącego przez Spółdzielnię. Skarżący, mimo iż nie jest członkiem Spółdzielni, jest zobowiązany do ponoszenia opłat związanych z eksploatacją i utrzymaniem jego lokalu oraz nieruchomości wspólnych. Natomiast do prowadzenia ewidencji opłat czy rozliczeń ze skarżącym niezbędne jest posiadanie przez Spółdzielnię jego danych osobowych, takich jak imię i nazwisko oraz adres lokalu, którego jest właścicielem. Podstawę przetwarzania danych osobowych skarżącego przez Spółdzielnię stanowią przepisy ustawy o spółdzielniach mieszkaniowych, a przesłanką legalizującą przetwarzanie danych w tym celu i zakresie był art. 23 ust. 1 pkt 2 uchylonej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, natomiast obecnie jest nią art. 6 ust. 1 lit. c RODO.
Odnosząc się do kwestii udostępnienia danych osobowych skarżącego na rzecz innych członków Spółdzielni organ wskazał, iż przetwarzanie danych osobowych przez spółdzielnie mieszkaniowe (w tym również ich udostępnianie lub podawanie do publicznej wiadomości) regulują przepisy szczególne wobec ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych przepisy prawa, takie jak ustawa z dnia 15 grudnia 2000 r. o spółdzielniach mieszkaniowych, a w zakresie nieuregulowanym w jej przepisach – ustawa z dnia 16 września 1982 r. Prawo spółdzielcze (Dz. U. z 2021 r. poz. 648). Żaden z wymienionych aktów prawnych nie zezwala na udostępnianie informacji o zadłużeniach członków spółdzielni innym osobom niż te wymienione w art. 30 ustawy Prawo spółdzielcze oraz nie zezwala na podawanie tych danych do publicznej wiadomości. Działanie takie można by uznać za zgodne z prawem tylko wtedy, gdyby osoby, których informacje dotyczą, wyraziły na to zgodę. Wobec powyższego, Prezes UODO stwierdził, że udostępnienie danych osobowych Skarżącego w piśmie z dnia 15 stycznia 2019 r. na rzecz członków Spółdzielni stanowiło naruszenie art. 23 ust. 1 u.o.d.o. Prezes UODO ponownie podniósł, że nie jest organem właściwym do rozstrzygnięcia kwestii dotyczącej ważności uchwał podejmowanych przez organy Spółdzielni i jej reprezentacji. Te kwestie może rozstrzygać wyłącznie sąd powszechny. Organ wskazał, że zgodnie z art. 18 ust. 1 u.o.d.o. organ ochrony danych w przypadku naruszenia przepisów o ochronie danych osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Z uwagi na to, iż kwestionowany proces udostępnienia danych osobowych skarżącego przez Spółdzielnię był działaniem jednorazowym i nie jest obecnie kontynuowany, brak było możliwości zastosowania przez organ art. 18 ust. 1 u.o.d.o. w celu przywrócenia stanu zgodności z prawem, bowiem stan niezgodności aktualnie nie zachodzi.
Pismem z dnia 23 sierpnia 2021 r. skarżący skierował do WSA w Warszawie skargę na decyzję Prezesa UODO z dnia 21 lipca 2021 r. Skarżący zarzucił zaskarżonej decyzji: 1) niewłaściwe zastosowanie art. 6 ust. 1 lit. c w związku z art. 6 ust. 1 lit. e RODO poprzez błędne zastosowanie i utrzymanie w mocy nadzorowanej decyzji, mimo iż nadzorowana decyzja wydana została z naruszeniem prawa, 2) niezastosowanie art. 157 § 1 i 2 k.p.a. w związku z art. 104 § 1 k.p.a. w związku z art. 107 § 1 pkt 5 k.p.a.; 3) oparcie decyzji na błędnie ustalonym stanie faktycznym, naruszenie art. 6 ust. 1 lit. c w związku z art. 6 ust. 1 lit. e RODO, art 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, art. 6, art. 7 k.p.a. poprzez niewłaściwe zastosowanie, art. 8 § 1, art. 12 , 75, 77 § 1, 80 k.p.a. poprzez ich niezastosowanie i przeprowadzenie postępowania w sposób stronniczy, w szczególności w oderwaniu od zasad prawdy obiektywnej oraz bezstronności organów publicznych – co w konsekwencji doprowadziło do wydania orzeczenia z naruszeniem prawa. Skarżący wniósł o: 1) uchylenie zaskarżonej decyzji Prezesa UODO i zwrócenie sprawy do organu w celu prawidłowego przeprowadzenia postępowania administracyjnego, zmianę (uchylenie) nadzorowanej decyzji i orzeczenie co do istoty sprawy poprzez nakazanie Spółdzielni zaprzestania przetwarzania danych osobowych skarżącego znajdujących się w zbiorze pn. "lista obecności na walnym zgromadzeniu członków [...]"; 2) przeprowadzenie dowodu z dokumentów znajdujących się w aktach sprawy administracyjnej oraz załączonych do skargi; 3) zwrot kosztów postępowania. Organ wniósł o oddalenie skargi.
W dniu 16 lutego 2022 r. WSA w Warszawie wydał opisany na wstępie wyrok, którym oddalił skargę. W uzasadnieniu tego wyroku Sąd I instancji wskazał, że organ wypełnił standardy wynikające z art. 7, art. 77 § 1 i art. 107 § 3 k.p.a., a w szczególności, ponownie rozpatrując sprawę, wyraźnie stwierdził, że z zebranego w sprawie materiału dowodowego, w tym postanowień statutu z 1978 r. wynika, iż skarżący na dzień wydawania przez organ rozstrzygnięcia z dnia 12 czerwca 2019 r. statusu członka Spółdzielni nie posiadał. Niezasadne są na tym tle również zarzuty dotyczące nieuwzględnienia przez organ przedłożonego przez skarżącego dowodu w postaci aktu notarialnego. Z analizy akt sprawy oraz treści uzasadnienia zaskarżonej decyzji wynika bowiem, że to właśnie treść aktu notarialnego w konfrontacji z postanowieniami statutu z 1978 r. doprowadziły Prezesa UODO do ustalenia, iż skarżący członkiem Spółdzielni nie jest. Kwestia ta, w ocenie Sądu I instancji, nie budzi wątpliwości. Członkostwo skarżącego w Spółdzielni ustało z dniem, w którym nastąpiło przeniesienie własności domu, co jednoznacznie potwierdza załączony do akt sprawy akt notarialny z dnia 30 września 1992 r. Brak jest informacji, aby na mocy "nowo" uchwalonego statutu Spółdzielni z dnia 25 czerwca 2013 r. skarżący ponownie ubiegał się o członkostwo w Spółdzielni poprzez wypełnienie deklaracji lub nabył takie członkostwo w inny sposób.
W ocenie Sądu I instancji, chybiony jest również zarzut skargi, że rozstrzygnięcie organu zawarte w decyzji z dnia 12 czerwca 2019 r. nie było rozstrzygnięciem merytorycznym; że jest rozstrzygnięciem nieprzewidzianym w przepisach uodo czy RODO oraz że nie spełnia wymogów art. 107 § 1 k.p.a. Brak jest podstaw do stwierdzenia nieważności decyzji z dnia 12 czerwca 2019 r. Sąd I instancji przytoczył art. 4 pkt 1-3, art. 6 ust. 1 oraz art. 57 ust. 1 lit. f RODO, a także art. 23 ust. 1 pkt 2 uchylonej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (z zaznaczeniem, że obecnie przepis ten ma swój odpowiednik w art. 6 ust. 1 lit. c RODO) – i wskazał, że obowiązki wynikające z art. 4 ustawy z dnia 15 grudnia 2000 r. o spółdzielniach mieszkaniowych dotyczą także – co umyka skarżącemu – osób niebędących członkami Spółdzielni. Zgodnie bowiem z art. 4 ust. 4 tej ustawy właściciele lokali niebędący członkami spółdzielni są obowiązani uczestniczyć w pokrywaniu kosztów związanych z eksploatacją i utrzymaniem ich lokali, eksploatacją i utrzymaniem nieruchomości wspólnych. Są oni również obowiązani uczestniczyć w wydatkach związanych z eksploatacją i utrzymaniem nieruchomości stanowiących mienie spółdzielni, które są przeznaczone do wspólnego korzystania przez osoby zamieszkujące w określonych budynkach lub osiedlu. Obowiązki te wykonują przez uiszczanie opłat na takich samych zasadach, jak członkowie spółdzielni, z zastrzeżeniem art. 5. Z kolei zgodnie z art. 4 ust. 6 ustawy o spółdzielniach mieszkaniowych, za opłaty, o których mowa w ust. 1-2 i 4, odpowiadają solidarnie z członkami spółdzielni, właścicielami lokali niebędącymi członkami spółdzielni lub osobami niebędącymi członkami spółdzielni, którym przysługują spółdzielcze własnościowe prawa do lokali, osoby pełnoletnie stale z nimi zamieszkujące w lokalu, z wyjątkiem pełnoletnich zstępnych pozostających na ich utrzymaniu, a także osoby faktycznie korzystające z lokalu. Jak słusznie rozstrzygnął Prezes UODO, treść wyżej tych przepisów stanowi podstawę do przetwarzania danych osobowych skarżącego przez Spółdzielnię. Oznacza to, że skarżący, mimo iż nie jest członkiem Spółdzielni, jest zobowiązany do ponoszenia opłat związanych z eksploatacją i utrzymaniem jego lokalu oraz nieruchomości wspólnych. Do prowadzenia ewidencji opłat czy rozliczeń Spółdzielni z takimi osobami niezbędne jest posiadanie przez Spółdzielnię danych osobowych – w realiach sprawy – skarżącego, takich jak imię i nazwisko oraz adres lokalu, którego jest właścicielem. Sąd I instancji podzielił pogląd organu, że wobec istnienia podstaw prawnych do przetwarzania danych, wskazywana przez skarżącego lista, na której te dane się znajdują, jest kwestią wtórną, gdyż jest wyłącznie sposobem utrwalenia danych i ich przechowywania.
W ocenie Sądu I instancji, nie mogły również odnieść pożądanego skutku podnoszone przez skarżącego zarzuty dotyczące tego, że nie zawierał ze Spółdzielnią żadnej umowy o zarządzanie nieruchomością wspólną, ani te, że z chwilą przeniesienia własności domu przestał być członkiem Spółdzielni, a budynek ten nie stanowi zasobu mieszkaniowego Spółdzielni. Skarżący korzystał bowiem lub mógł korzystać z części wspólnych czy też innych urządzeń będących w zasobach Spółdzielni albo instalowanych (wymienianych) przez nią, jak np. "rury". Podstawę przetwarzania danych osobowych skarżącego przez Spółdzielnię stanowią zatem przepisy ustawy o spółdzielniach mieszkaniowych, a przesłanką legalizującą przetwarzanie danych w tym celu i zakresie był art. 23 ust. 1 pkt 2 uchylonej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, natomiast obecnie jest nią art. 6 ust. 1 lit. c RODO.
W związku z powyższym – zdaniem Sądu I instancji – nieuzasadnione były również zarzuty skargi dotyczące naruszenia prawa materialnego, tj. przepisu art. 6 ust. 1 lit. c RODO oraz art. 6 ust. 1 lit. e RODO. Przesłanki przetwarzania danych osobowych określone w art. 6 ust. 1 RODO mają charakter autonomiczny, co oznacza, iż wystarcza spełnienie którejkolwiek z nich, by uznać proces przetwarzania za legalny. W badanej sprawie przesłankę tę stanowi art. 6 ust. 1 lit. c RODO, a nie art. 6 ust. 1 lit. e RODO, a zatem poszukiwanie przez skarżącego zadania realizowanego w interesie publicznym nie ma uzasadnienia.
Odnosząc się odrębnie do kwestii udostępnienia danych osobowych skarżącego na rzecz innych członków Spółdzielni, Sąd I instancji stwierdził, iż przetwarzanie danych osobowych przez spółdzielnie mieszkaniowe (w tym również ich udostępnianie lub podawanie do publicznej wiadomości) regulują przepisy szczególne wobec ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych przepisy prawa, takie jak ustawa z dnia 15 grudnia 2000 r. o spółdzielniach mieszkaniowych, a w zakresie nieuregulowanym w jej przepisach – ustawa z dnia 16 września 1982 r. Prawo spółdzielcze (Dz. U. z 2021 r. poz. 648). Zgodnie z art. 1 § 1 ustawy Prawo spółdzielcze, spółdzielnia jest dobrowolnym zrzeszeniem nieograniczonej liczby osób, która w interesie swoich członków prowadzi wspólną działalność gospodarczą. Majątek spółdzielni jest prywatną własnością jej członków (o czym stanowi art. 3 wymienionej ustawy). Niewątpliwie informacje o zadłużeniach czynszowych poszczególnych członków spółdzielni mieszkaniowej mogą być istotne dla każdego z jej członków, gdyż dotyczą również "pośrednio" ich majątku. Powyższe prowadzi do wniosku, że każdy z członków spółdzielni ma interes faktyczny w uzyskaniu tych informacji, z tym zastrzeżeniem, że tryb i forma ich udostępniania powinny być szczegółowo uregulowane w statucie spółdzielni. Zgodnie z art. 30 ustawy – Prawo spółdzielcze uprawnienia do przeglądania takiego rejestru nadane zostało wyłącznie wskazanym w nim osobom tj. członkowi spółdzielni, współmałżonkowi i wierzycielowi członka lub spółdzielni. Dostęp do danych osobowych dotyczących kwot zadłużenia powinny mieć jedynie osoby uprawnione do przeglądania rejestru. W konsekwencji dostęp do takich danych można by uznać za zgodny z prawem tylko wtedy, gdyby osoby, których informacje te dotyczą, wyraziły na to zgodę. Skoro skarżący takiej zgody nie udzielił, to przyjąć należy za organem, że udostępnienie danych osobowych skarżącego w piśmie z dnia 15 stycznia 2019 r. na rzecz członków Spółdzielni stanowiło naruszenie art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Przytoczywszy art. 18 ust. 1 powołanej ustawy, Sąd I instancji podał, że w sprawie doszło do nieprawidłowego udostępnienia danych osobowych skarżącego przez Spółdzielnię (poprzez skrzynkę pocztową), jednak w kontekście opisanych okoliczności oraz – w szczególności – faktu, że było to działanie jednorazowe i – jak ustalił organ – "nie jest obecnie kontynuowane", prawidłowym było niezastosowanie przez organ art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w celu przywrócenia stanu zgodności z prawem; stan niezgodności nie zachodzi, a stwierdzone uchybienie ma skutek nieodwracalny.
Pismem z dnia 17 sierpnia 2022 r. skarżący (dalej także "skarżący kasacyjnie") wniósł skargę kasacyjną od wyroku WSA w Warszawie z dnia 16 lutego 2022 r., zaskarżając go w całości. Skarżący kasacyjnie zarzucił zaskarżonemu wyrokowi:
I. Naruszenie prawa materialnego poprzez:
a) niewłaściwe zastosowanie art. 5 ust. 1 lit. f RODO wynikające z błędnego uznania, iż naruszenie ww. przepisu ma charakter nieodwracalny oraz że stan naruszenia ustał, a więc nie jest możliwe przywrócenie stanu zgodnego z prawem, podczas gdy stan naruszenia przepisów o ochronie danych osobowych nadal trwa, ponieważ dane osobowe skarżącego w dalszym ciągu są przetwarzane i udostępniane w zbiorze pn. "Lista obecności na walnym zgromadzeniu członków [...]" przez Spółdzielnię, a zatem nie zostały także usunięte skutki naruszenia;
b) błędną wykładnię art. 18 ust. 1 u.o.d.o. na skutek bezzasadnego uznania, że prawidłowe było niezastosowanie ww. przepisu przez organ, podczas gdy jedyną przesłanką warunkującą podjęcie działań przez Generalnego Inspektora Ochrony Danych Osobowych (aktualnie Prezesa UODO) jest stwierdzenie naruszenia przepisów o ochronie danych osobowych, co w niniejszej sprawie zostało udowodnione, a zatem z uwagi na związany charakter ww. normy prawnej organ miał obowiązek podjęcia działań w celu wydania, w drodze decyzji administracyjnej, nakazu przywrócenia stanu zgodnego z prawem;
c) obrazę prawa materialnego, tj. art. 18 ust. 1 u.o.d.o. poprzez jego niezastosowanie w sytuacji, gdy spełniona została przesłanka do podjęcia działań w celu wydania, w drodze decyzji administracyjnej, nakazu przywrócenia stanu zgodnego z prawem, oraz w sytuacji, gdy stan naruszenia przepisów o ochronie danych osobowych nadal trwa, ponieważ dane osobowe skarżącego w dalszym ciągu są przetwarzane i udostępniane w zbiorze pn. "Lista obecności na walnym zgromadzeniu członków [...]" przez Spółdzielnię, a zatem nie zostały także usunięte skutki naruszenia;
d) niewłaściwe zastosowanie art. 6 ust. 1 lit. c RODO polegające na błędnym uznaniu, że przetwarzanie danych osobowych skarżącego jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, podczas gdy Spółdzielnia nie ma obowiązku prawnego do zarządzania nieruchomością stanowiącej współwłasność skarżącego i jego małżonki J. A. oraz współwłaścicieli drugiego mieszkania, a w konsekwencji do przetwarzania danych osobowych skarżącego;
e) nietrafną ocenę ze strony WSA w Warszawie w wyroku z dnia 16 lutego 2022 r. prawidłowości zastosowania przez Prezesa UODO następujących uregulowań prawnych: – art. 6 ust. 1 lit. c RODO poprzez błędne uznanie, że przetwarzanie danych osobowych skarżącego jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, podczas gdy Spółdzielnia nie ma obowiązku prawnego do zarządzania nieruchomością stanowiącej współwłasność skarżącego i jego małżonki J. A. oraz współwłaścicieli drugiego mieszkania, a w konsekwencji do przetwarzania danych osobowych skarżącego; – art. 18 ust. 1 u.o.d.o. poprzez błędne uznanie, że prawidłowe było niezastosowanie tego przepisu przez organ, podczas kiedy spełniona została przesłanka do podjęcia działań w celu wydania, w drodze decyzji administracyjnej, nakazu przywrócenia stanu zgodnego z prawem, oraz w sytuacji, gdy stan naruszenia przepisów o ochronie danych osobowych dalej trwa, ponieważ dane osobowe skarżącego w dalszym ciągu są przetwarzane i udostępniane w zbiorze pn. "Lista obecności na walnym zgromadzeniu członków [...]" przez Spółdzielnię, a zatem nie zostały także usunięte skutki naruszenia;
I. Naruszenie przepisów postępowania mogące mieć istotny wpływ na wynik sprawy:
a) art. 133 § 1 p.p.s.a. poprzez przeprowadzenie kontroli legalności zaskarżonego aktu, które doprowadziło do przedstawienia przez Sąd I instancji stanu sprawy w sposób oderwany od materiału dowodowego zawartego w aktach administracyjnych sprawy, ponieważ Sąd I instancji bezpodstawnie uznał, że stan niezgodności z prawem nie zachodzi, podczas gdy stan naruszenia przepisów o ochronie danych osobowych dalej trwa, ponieważ dane osobowe skarżącego w dalszym ciągu są przetwarzane i udostępniane w zbiorze pn. "Lista obecności na walnym zgromadzeniu członków [...]" przez Spółdzielnię, a zatem nie zostały także usunięte skutki naruszenia;
b) art. 133 § 1 p.p.s.a. poprzez przeprowadzenie kontroli legalności zaskarżonego aktu, które doprowadziło do przedstawienia przez Sąd I instancji stanu sprawy w sposób oderwany od materiału dowodowego zawartego w aktach administracyjnych sprawy, ponieważ Sąd I instancji bezpodstawnie uznał, że Spółdzielnia ma obowiązek prawny do zarządzania nieruchomością stanowiącej współwłasność skarżącego i jego małżonki J. A. oraz współwłaścicieli drugiego mieszkania, a w konsekwencji do przetwarzania danych osobowych skarżącego;
c) art. 141 § 4 p.p.s.a. poprzez błędną ocenę stanu faktycznego i przyjęcie, że organ prawidłowo ustalił, że nieprawidłowe udostępnienie danych osobowych skarżącego przez Spółdzielnię to działanie, które nie jest obecnie kontynuowane, podczas gdy dane osobowe skarżącego w dalszym ciągu są przetwarzane i udostępniane w zbiorze pn. "Lista obecności na walnym zgromadzeniu członków [...]" przez Spółdzielnię;
d) art. 141 § 4 p.p.s.a. poprzez błędną ocenę stanu faktycznego i przyjęcie, że organ prawidłowo ustalił, iż Spółdzielnia ma obowiązek prawny do zarządzania nieruchomością stanowiącej współwłasność skarżącego i jego małżonki J. A. oraz współwłaścicieli drugiego mieszkania, a w konsekwencji do przetwarzania danych osobowych skarżącego;
e) art. 151 p.p.s.a. w zw. z art. 7, art. 77 § 1 i art. 80 k.p.a. poprzez oddalenie skargi, mimo rażącego naruszenia przez Prezesa UODO wskazanych przepisów k.p.a., polegającego na bezpodstawnym ustaleniu, że nieprawidłowe udostępnienie danych osobowych skarżącego przez Spółdzielnię to działanie, które nie jest obecnie kontynuowane, podczas kiedy dane osobowe skarżącego w dalszym ciągu są przetwarzane i udostępniane w zbiorze pn. "Lista obecności na walnym zgromadzeniu członków [...]" przez Spółdzielnię, a także skutkującego pominięciem materiału dowodowego zgromadzonego w sprawie, a w szczególności: statutu Spółdzielni z 28 czerwca 1978 r. oraz z 25 czerwca 2013 r.; aktu notarialnego - rep. Nr A 1051/92 z dnia 30 czerwca 1992 r.; oświadczenia złożonego w imieniu skarżącego, iż nigdy nie podpisał umowy ze Spółdzielnią o zarząd nieruchomością stanowiącą współwłasność małżonków D. i małżonków będących współwłaścicielami drugiego mieszkania; oświadczeń/zawiadomień skarżącego w sprawie przetwarzania jego danych osobowych na liście obecności na Walnym Zgromadzeniu Członków [...] z dnia 22 lutego 2019 r.; uwag i wyjaśnień do zgromadzonego materiału dowodowego zawartych w piśmie z dnia 4 września 2019 r. adresowanym do Urzędu ochrony danych osobowych w sprawie ZSPU.440.161.2019.11.46144; uwag i wyjaśnień do zgromadzonego materiału dowodowego zawartych w piśmie z dnia 30 kwietnia 2019 r. adresowanym do Generalnego Dyrektora Ochrony Danych Osobowych w sprawie ZSPU.440.161.2019.GŻ.I.;
f) art. 151 p.p.s.a. w zw. z art. 107 § 1 pkt 5 k.p.a. poprzez oddalenie skargi, mimo rażącego naruszenia przez Prezesa UODO wskazanego przepisu k.p.a., polegającego na błędnym określeniu rozstrzygnięcia sprawy jako "odmowa uwzględnienia wniosku", podczas gdy katalog rozstrzygnięć podejmowanych w przypadku naruszenia przepisów o ochronie danych osobowych zawiera art. 18 ust. 1 u.o.d.o., zgodnie z którym orzeczony powinien zostać nakaz przywrócenia stanu zgodnego z prawem;
g) pominięciu materiału dowodowego zgromadzonego w sprawie, a w szczególności: statutu Spółdzielni z 28 czerwca 1978 r. oraz z 25 czerwca 2013 r.; aktu notarialnego - rep. Nr A 1051/92 z dnia 30 czerwca 1992 r.; oświadczenia złożonego w imieniu skarżącego, iż nigdy nie podpisał umowy ze Spółdzielnią o zarząd nieruchomością stanowiącą współwłasność małżonków D. i małżonków będących współwłaścicielami drugiego mieszkania; oświadczeń/zawiadomień skarżącego w sprawie przetwarzania jego danych osobowych na liście obecności na Walnym Zgromadzeniu Członków [...] z dnia 22 lutego 2019 r.; uwag i wyjaśnień do zgromadzonego materiału dowodowego zawartych w piśmie z dnia 4 września 2019 r. adresowanym do Urzędu ochrony danych osobowych w sprawie ZSPU.440.161.2019.11.46144; uwag i wyjaśnień do zgromadzonego materiału dowodowego zawartych w piśmie z dnia 30 kwietnia 2019 r. adresowanym do Generalnego Dyrektora Ochrony Danych Osobowych w sprawie ZSPU.440.161.2019.GŻ.I.
Skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania WSA w Warszawie oraz o zasądzenie od organu na rzecz skarżącego kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. W uzasadnieniu skargi kasacyjnej przedstawiono argumentację na poparcie sformułowanych zarzutów i wniosków. Odpowiadając na skargę kasacyjną, PUODO wniósł o jej oddalenie.
Naczelny Sąd Administracyjny zważył, co następuje.
Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r. poz. 935, dalej p.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W niniejszej sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. Zgodnie z art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.
Rozpoznawszy skargę kasacyjną z uwzględnieniem powyższych uwarunkowań, Naczelny Sąd Administracyjny stwierdził, że nie ma ona usprawiedliwionych podstaw i tym samym podlega oddaleniu.
Skarga kasacyjna została oparta na obu podstawach kasacyjnych, podniesiono bowiem zarzuty naruszenia prawa materialnego, jak i zarzuty naruszenia przepisów postępowania. W takiej sytuacji co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania. Uchybienia przepisom postępowania mogą być skutecznie podnoszone, jeśli jednocześnie strona skarżąca kasacyjnie wykaże, że mogły mieć one istotny wpływ na wynik sprawy (por. wyrok NSA z dnia 24 marca 2023 r., III OSK 1167/22).
Odnosząc się zatem w pierwszej kolejności do zarzutów naruszenia art. 141 § 4 p.p.s.a. (zarzuty II.c i II.d), zauważyć trzeba, że przepis ten traktuje o elementach uzasadnienia wyroku – stanowi, że uzasadnienie wyroku powinno zawierać zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Jeżeli w wyniku uwzględnienia skargi sprawa ma być ponownie rozpatrzona przez organ administracji, uzasadnienie powinno ponadto zawierać wskazania co do dalszego postępowania. Zarzut naruszenia art. 141 § 4 p.p.s.a. może być skutecznie postawiony w dwóch przypadkach: gdy uzasadnienie wyroku nie zawiera wszystkich elementów, wymienionych w tym przepisie, i gdy w ramach przedstawienia stanu sprawy wojewódzki sąd administracyjny nie wskaże, jaki i dlaczego stan faktyczny przyjął za podstawę orzekania. Naruszenie to musi być przy tym na tyle istotne, aby mogło mieć wpływ na wynik sprawy (art. 174 pkt 2 p.p.s.a.). Za pomocą odnośnego zarzutu nie można skutecznie zwalczać prawidłowości przyjętego przez sąd stanu faktycznego ani kwestionować stanowiska sądu co do wykładni bądź zastosowania prawa materialnego. W ramach rozpatrywania zarzutu naruszenia art. 141 § 4 p.p.s.a. Naczelny Sąd Administracyjny zobowiązany jest jedynie do kontroli zgodności uzasadnienia zaskarżonego wyroku z wymogami wynikającymi ze statuowanej tym przepisem normy prawnej. Wadliwość uzasadnienia orzeczenia może stanowić przedmiot skutecznego zarzutu kasacyjnego z art. 141 § 4 p.p.s.a. w sytuacji, gdy sporządzone jest ono w taki sposób, że niemożliwa jest kontrola instancyjna zaskarżonego wyroku (por. wyrok NSA z dnia 27 września 2024 r., III OSK 2850/22).
W ocenie Naczelnego Sądu Administracyjnego uzasadnienie zaskarżonego wyroku spełnia wymogi określone w art. 141 § 4 p.p.s.a., wyjaśnia motywy podjętego przez Sąd I instancji rozstrzygnięcia i tym samym sprawia, że poddaje się ono kontroli instancyjnej. Skarżący kasacyjnie wskazuje, że naruszenie art. 141 § 4 p.p.s.a. nastąpiło poprzez "błędną ocenę stanu faktycznego" – tymczasem, jak już wyżej zaznaczono, za pomocą zarzutu naruszenia art. 141 § 4 p.p.s.a. w założeniu nie można skutecznie zwalczać prawidłowości przyjętego przez sąd stanu faktycznego ani kwestionować stanowiska sądu co do wykładni bądź zastosowania prawa materialnego. Zarzuty, o których mowa, są zatem nietrafne.
Gdy idzie o powołany w zarzutach II.a i II.b art. 133 § 1 p.p.s.a. ("Sąd wydaje wyrok po zamknięciu rozprawy na podstawie akt sprawy, chyba że organ nie wykonał obowiązku, o którym mowa w art. 54 § 2. Wyrok może być wydany na posiedzeniu niejawnym w postępowaniu uproszczonym albo jeżeli ustawa tak stanowi"), to: "Naruszenie określonej w art. 133 § 1 p.p.s.a. zasady orzekania na podstawie akt sprawy może stanowić podstawę kasacyjną wskazaną w art. 174 pkt 2 p.p.s.a., jeżeli polega ono na: oddaleniu skargi, mimo niekompletnych akt sprawy; pominięciu istotnej części tych akt; oparciu orzeczenia na własnych ustaleniach sądu nie znajdujących odzwierciedlenia w aktach sprawy (...). Należy odróżnić poddanie sądowej kontroli działalności administracji publicznej na podstawie innego materiału, niż akta sprawy, od wydania wyroku na podstawie akt sprawy, z przyjęciem odmiennej oceny materiału dowodowego zawartego w tych aktach. Przepis art. 133 § 1 p.p.s.a. nie może służyć kwestionowaniu ustaleń i oceny przyjętego w sprawie stanu faktycznego. Nie może też zostać naruszony przez dokonaną zaskarżonym wyrokiem ocenę prawną okoliczności sprawy" (zob. wyrok NSA z dnia 5 marca 2025 r., III OSK 5450/21). W niniejszej sprawie nie doszło do naruszenia art. 133 § 1 p.p.s.a. w żadnej z wchodzących w rachubę postaci. Analiza treści odnośnych zarzutów prowadzi do wniosku, że za ich pomocą skarżący kasacyjnie tak naprawdę podejmuje polemikę z ustaleniami faktycznymi Sądu I instancji tudzież ich oceną prawną. Skarżący kasacyjnie podnosi tu bowiem, iż: "Sąd I instancji bezpodstawnie uznał, że stan niezgodności z prawem nie zachodzi, podczas gdy stan naruszenia przepisów o ochronie danych osobowych dalej trwa" (zarzut II.a); "Sąd I instancji bezpodstawnie uznał, że Spółdzielnia (...) ma obowiązek prawny do zarządzania nieruchomością stanowiącą współwłasność skarżącego" (zarzut IIb.). Przytoczone ustalenia Sądu I instancji nie mogą być skutecznie kwestionowane zarzutami naruszenia art. 133 § 1 p.p.s.a. Zarzuty te nie są zatem zasadne i nie zasługują na uwzględnienie.
W ocenie Naczelnego Sądu Administracyjnego, niezasadny jest zarzut II.e, tj. zarzut naruszenia art. 151 p.p.s.a. w zw. art. 7, art. 77 § 1, art. 80 k.p.a. poprzez oddalenie skargi, mimo rażącego naruszenia przez Prezesa UODO wskazanych przepisów k.p.a. Wbrew twierdzeniom skarżącego kasacyjnie, organ nie pominął wymienionych w treści tego zarzutu dokumentów, lecz dokonał odmiennej niż oczekiwał skarżący kasacyjnie oceny tegoż materiału dowodowego tudzież ustaleń poczynionych na jego podstawie. W postępowaniu administracyjnym nie doszło zatem do naruszenia art. 7, art. 77 § 1 ani art. 80 k.p.a. W zarzucie II.g skarżący kasacyjnie odwołuje się do tych samych dokumentów, suponując ich pominięcie przez Sąd I instancji – zarzut ten, sformułowany bez powiązania z konkretnym przepisem postępowania, również nie zasługuje na uwzględnienie. Nie ma podstaw, by twierdzić, że Sąd I instancji przedmiotowe dokumenty "pominął", ani też nie ma podstaw, by twierdzić, że Sąd I instancji nie miał na względzie okoliczności z tych dokumentów wynikających. W ramach zarzutu II.e skarżący kasacyjnie kwestionuje też ustalenie (ocenę) Prezesa UODO oraz Sądu I instancji, że "nieprawidłowe udostępnienie danych osobowych skarżącego przez Spółdzielnię to działanie, które nie jest obecnie kontynuowane" – wokół tego ustalenia (oceny) oscylują również zarzuty naruszenia prawa materialnego, toteż będzie o nim mowa niżej.
W trzech zarzutach naruszenia prawa materialnego skarżący kasacyjnie powołuje jeden i ten sam przepis, tj. art. 18 ust. 1 u.o.d.o. (zarzuty I.b, I.c, I.e tiret 2). Powołany przepis stanowi, że w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień; 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych; 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe; 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego; 5) zabezpieczenie danych lub przekazanie ich innym podmiotom; 6) usunięcie danych osobowych. Wydanie decyzji nakazowej na podstawie tego przepisu było możliwe, gdy stan naruszenia przepisów o ochronie danych osobowych istniał w dacie wydania decyzji (zob. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych, Warszawa 2015, s. 384). W niniejszej sprawie organ stwierdził, że udostępnienie danych osobowych skarżącego w piśmie z dnia 15 stycznia 2019 r. na rzecz członków spółdzielni stanowiło naruszenie art. 23 ust. 1 u.o.d.o. – jednak było to działanie jednorazowe, które nie jest kontynuowane, wobec czego nie ma podstaw do zastosowania art. 18 ust. 1 u.o.d.o. (stan niezgodności z prawem nie zachodzi w dniu orzekania). Sąd I instancji uznał za prawidłowe to stanowisko organu i leżącą u jego podstaw wykładnię odnośnego przepisu – Naczelny Sąd Administracyjny podziela tę ocenę Sądu I instancji. Nie doszło zatem do naruszenia art. 18 ust. 1 u.o.d.o. ani przez błędną wykładnię, ani przez niewłaściwe zastosowanie. Nawiązując do treści zarzutów I.a. i I.e tiret 2, należy dodać, iż – zdaniem Naczelnego Sądu Administracyjnego – nie ma racji skarżący kasacyjnie, gdy twierdzi, że dane osobowe skarżącego w dalszym ciągu są udostępniane przez Spółdzielnię w zbiorze pn. "Lista obecności na walnym zgromadzeniu członków [...]". Słusznie bowiem Sąd I instancji stwierdził, że przedmiotowa lista jest wyłącznie sposobem utrwalenia danych i ich przechowywania – a do tego Spółdzielnia jest uprawniona. Z kolei nawiązując do treści zarzutu I.b, wypada podkreślić, że – inaczej niż twierdzi skarżący kasacyjnie – nie jest tak, iż każde naruszenie przepisów o ochronie danych osobowych implikuje podstawę do wydania decyzji nakazowej. Takiej podstawy nie ma w szczególności wtedy, gdy wspomniane naruszenie jest już zaszłością. Omawiane zarzuty skargi kasacyjnej (zarzuty I.b, I.c, I.e tiret 2) jawią się zatem jako niezasadne.
Niezasadny jest zarzut niewłaściwego zastosowania art. 5 ust. 1 lit. f RODO (zarzut I.a), stanowiącego, że dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Kwestia zapewnienia przez administratora integralności i poufności danych w istocie nie była przedmiotem postępowania – na co zasadnie zwrócił organ w odpowiedzi na skargę kasacyjną – o ponadto zarzut, o którym mowa, również zasadza się na założeniu, że dane osobowe skarżącego w dalszym ciągu są udostępniane przez Spółdzielnię w zbiorze pn. "Lista obecności na walnym zgromadzeniu członków [...]". Pozostaje w tym miejscu powtórzyć, że lista ta jest wyłącznie sposobem utrwalenia danych i ich przechowywania – a do tego Spółdzielnia jest uprawniona.
Zdaniem Naczelnego Sądu Administracyjnego, zasadne jest stanowisko Prezesa UODO, zaakceptowane przez Sąd I instancji, że uprawnienie Spółdzielni do przetwarzania danych skarżącego – niebędącego członkiem Spółdzielni – wynika z art. 4 ust. 4 i 6 ustawy z dnia 15 grudnia 2000 r. o spółdzielniach mieszkaniowych. Nie ma przy tym podstaw do negowania ustaleń Sądu I instancji co do tego, że skarżący korzystał lub mógł korzystać z części wspólnych czy też innych urządzeń będących w zasobach Spółdzielni albo instalowanych (wymienianych) przez nią (notabene ewentualne podważenie tych ustaleń w założeniu nie mogłoby nastąpić za pomocą zarzutu naruszenia prawa materialnego). Z tych względów zarzut naruszenia art. 6 ust. 1 lit. c RODO uznać trzeba za niezasadny (zarzuty I.d i I.e tiret 1). Przesłanka zgodnego z prawem przetwarzania danych osobowych skarżącego opisana w powołanym przepisie ("przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze") została przez organ prawidłowo stwierdzona, a Sąd I instancji dokonał prawidłowej kontroli w tym zakresie.
Odnosząc się końcowo do zarzutu naruszenia art. 151 p.p.s.a. w zw. z art. 107 § 1 pkt 5 k.p.a. "poprzez oddalenie skargi, mimo rażącego naruszenia przez Prezesa UODO wskazanego przepisu k.p.a., polegającego na błędnym określeniu rozstrzygnięcia sprawy jako »odmowa uwzględnienia wniosku«, podczas gdy katalog rozstrzygnięć podejmowanych w przypadku naruszenia przepisów o ochronie danych osobowych zawiera art. 18 ust. 1 u.o.d.o." (zarzut II.f) – wskazać należy, że normy kompetencyjne w prawie administracyjnym co do zasady opisują i wyraźnie antycypuję tylko treść pozytywnego rozstrzygnięcia, konkretyzującego czyjeś prawa i obowiązki; możliwość wydania decyzji odmownej na ogół nie jest artykułowana w sposób wyraźny (choć oczywiście są w tej mierze liczne wyjątki). Zwykle przyjmuje się jednak, że przepisy przewidujące kompetencję organu do ukształtowania określonych powinności i praw stanowią również wystarczającą podstawę do wydania decyzji odmownej, nawet jeśli o niej wprost nie mówią. W tym ujęciu decyzję odmowną należy wydać, ilekroć został złożony wniosek o uczynienie użytku z kompetencji, a przesłanki faktyczne, od których zależy ona sama tudzież odnośne powinności i prawa, nie zostały spełnione (por. np. wyrok NSA z dnia 25 stycznia 2006 r., I OSK 207/05). Rozstrzygnięcie odmowne organu, zawarte w zaskarżonej decyzji, nie jest zatem nieprawidłowe. Gdyby nawet uznać, że organ powinien – zamiast wydania decyzji odmownej – umorzyć postępowanie jako bezprzedmiotowe – to tego rodzaju uchybienie nie stanowiłoby istotnego naruszenia prawa (por. wyrok NSA z dnia 27 maja 2025 r., I OSK 900/22, oraz powołana tam literatura). Zarzut naruszenia art. 151 p.p.s.a. w zw. z art. 107 § 1 pkt 5 k.p.a. jest zatem niezasadny.
Z tych przyczyn Naczelny Sąd Administracyjny, na podstawie art. 184 p.p.s.a., oddalił skargę kasacyjną.
O kosztach postępowania kasacyjnego orzeczono w pkt 2 sentencji wyroku na podstawie art. 204 pkt 1 p.p.s.a.