Orzeczenie · 2025-12-03

III OSK 2593/22Uchylenie decyzji uodo zagubienie danych bank

Sąd

Naczelny Sąd Administracyjny

Data

2025-12-03

NSAAdministracyjneWysokansa

ochrona danych osobowychRODOprzetwarzanie danychnaruszenie ochrony danychzagubienie przesyłkiodpowiedzialność administratoraoperator pocztowypostępowanie administracyjneskarga kasacyjnaNSA

Podsumowanie

Przejdź do pełnego tekstu

Naczelny Sąd Administracyjny rozpoznał skargę kasacyjną Banku [...] S.A. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie, który oddalił skargę banku na decyzję Prezesa Urzędu Ochrony Danych Osobowych. Prezes UODO udzielił bankowi upomnienia za naruszenie przepisów RODO (art. 5 ust. 1 lit. f, art. 24 ust. 1, art. 32 ust. 1 i 2) polegające na zagubieniu przez firmę kurierską przesyłki zawierającej dane osobowe klientów banku. Bank kwestionował swoją odpowiedzialność, wskazując, że winę ponosi operator pocztowy. Sąd pierwszej instancji uznał bank za administratora danych i utrzymał w mocy decyzję Prezesa UODO. Naczelny Sąd Administracyjny, uwzględniając skargę kasacyjną, uchylił zaskarżony wyrok WSA oraz decyzję Prezesa UODO. Sąd uznał, że sąd pierwszej instancji naruszył przepisy postępowania, w szczególności art. 151 p.p.s.a. w zw. z art. 7, 77 § 1 i art. 80 k.p.a. oraz art. 133 § 1 w zw. z art. 134 § 1 w zw. z art. 132 oraz art. 145 § 1 pkt 1 lit. c p.p.s.a., poprzez dokonanie samodzielnych ustaleń faktycznych i próbę zastąpienia organu w postępowaniu wyjaśniającym, zamiast oceny legalności zaskarżonego aktu. Sąd uznał, że uzasadnienie decyzji organu było niewystarczające, a sąd pierwszej instancji nie odniósł się do wszystkich zarzutów banku. Zarzut naruszenia art. 141 § 4 p.p.s.a. został uznany za chybiony. Sprawa została przekazana do ponownego rozpoznania przez Prezesa UODO z uwzględnieniem uwag NSA.

Asystent · analiza prawna

Przeanalizuj tę sprawę w pełnym kontekście orzecznictwa.

Analiza orzecznictwa · odpowiedzi na pytania · badanie przepisów · drafting pism.

Wypróbuj Asystenta

Wartość praktyczna

Siła precedensu: Wysoka

Do czego można powołać

Ustalenie zakresu odpowiedzialności administratora danych w przypadku korzystania z usług zewnętrznych przewoźników oraz kontrola sądów administracyjnych nad postępowaniem organów ochrony danych.

Ograniczenia stosowania

Orzeczenie dotyczy specyficznej sytuacji zagubienia przesyłki i odpowiedzialności banku, ale jego zasady dotyczące kontroli sądowej nad postępowaniem administracyjnym są szeroko stosowalne.

Zagadnienia prawne (2)

Czy bank, jako administrator danych osobowych, ponosi odpowiedzialność za zagubienie przesyłki zawierającej dane osobowe przez zewnętrznego operatora pocztowego?Ratio decidendi

Odpowiedź sądu

Tak, bank jako administrator danych ponosi odpowiedzialność za zapewnienie bezpieczeństwa danych, nawet jeśli powierzył ich transport zewnętrznemu podmiotowi.

Uzasadnienie

NSA uznał, że sąd pierwszej instancji nieprawidłowo ocenił sprawę, nie przeprowadzając wystarczających ustaleń faktycznych i próbując zastąpić organ w postępowaniu wyjaśniającym. Sąd wskazał na potrzebę oceny, czy bank podjął odpowiednie środki w celu zabezpieczenia danych w przypadku korzystania z usług kurierskich.

Czy sąd administracyjny pierwszej instancji prawidłowo ocenił legalność decyzji organu, dokonując samodzielnych ustaleń faktycznych i wykraczając poza materiał dowodowy zgromadzony w postępowaniu administracyjnym?Ratio decidendi

Odpowiedź sądu

Nie, sąd pierwszej instancji naruszył przepisy postępowania, dokonując samodzielnych ustaleń faktycznych i próbując zastąpić organ w zakresie przeprowadzenia postępowania wyjaśniającego.

Uzasadnienie

NSA stwierdził, że sąd pierwszej instancji próbował zastąpić organ w zakresie przeprowadzenia postępowania wyjaśniającego i subsumpcji stanu faktycznego pod obowiązujące przepisy prawa, analizując zagadnienie zarządzania ryzykiem, co wykraczało poza jego kompetencje.

Rozstrzygnięcie

Decyzja

Uchylono decyzję

Zaskarżony wyrok WSA i decyzja Prezesa UODO zostały uchylone. Sprawa została przekazana do ponownego rozpoznania przez Prezesa UODO.

Przepisy (29)

Główne

p.p.s.a. art. 133 § 1

Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi

p.p.s.a. art. 188

Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi

Pomocnicze

p.p.s.a. art. 141 § 4

Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi

p.p.s.a. art. 151

Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi

p.p.s.a. art. 145 § 1

Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi

p.p.s.a. art. 203 § 1

Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi

p.p.s.a. art. 209

Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi

p.p.s.a. art. 205 § 2

Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądamii administracyjnymi

Rozporządzenie Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie art. 14 § 1

k.p.a. art. 7

Kodeks postępowania administracyjnego

k.p.a. art. 77 § 1

Kodeks postępowania administracyjnego

k.p.a. art. 80

Kodeks postępowania administracyjnego

k.p.a. art. 104 § 1

Kodeks postępowania administracyjnego

u.o.d.o. art. 7

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych

RODO art. 6 § 1

Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

RODO art. 5 § 1

RODO art. 24 § 1

RODO art. 32 § 1

RODO art. 32 § 2

RODO art. 58 § 2

RODO art. 4 § 7

u.p.p. art. 2 § 1