III OSK 274/22

III OSK 274/22 - Wyrok NSA
Data orzeczenia
2025-03-21
orzeczenie prawomocne
Data wpływu
2022-01-27
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Ewa Kwiecińska /przewodniczący/
Ireneusz Dukiel /sprawozdawca/
Wojciech Jakimowicz
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 1951/20 - Wyrok WSA w Warszawie z 2021-08-31
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżony wyrok i zaskarżoną decyzję
Powołane przepisy
Dz.U. 2021 poz 922
art. 23, art. 26, art. 38
Ustawa z dnia 20 kwietnia 2021 r. o zmianie ustaw regulujących przygotowanie i realizację kluczowych inwestycji w zakresie strategicznej  infrastruktury energetycznej
Dz.U. 2019 poz 1781
art. 160 ust. 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Ewa Kwiecińska Sędziowie: sędzia NSA Wojciech Jakimowicz sędzia del. WSA Ireneusz Dukiel (spr.) Protokolant sekretarz sądowy Rafał Pawłowski po rozpoznaniu w dniu 21 marca 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej H.E. i B.F. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 31 sierpnia 2021 r. sygn. akt II SA/Wa 1951/20 w sprawie ze skargi H.E. i B.F. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 10 lipca 2020 r. nr ZSPU.440.217.2019.WP.ZS.82835,82836 w przedmiocie umorzenia postępowania 1. uchyla zaskarżony wyrok i zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych solidarnie na rzecz H.E. i B.F. kwotę 914 (dziewięćset czternaście) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 31 sierpnia 2021 r., sygn. akt II SA/Wa 1951/20, oddalił skargę H.E. i B.F. (dalej jako skarżący, strona skarżąca lub skarżący kasacyjnie) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej jako organ lub Prezes UODO) z dnia 10 lipca 2020 r., Nr ZSPU.440.217.2019.WP.ZS.82835,82836, w przedmiocie umorzenia postępowania.
Powyższy wyrok zapadł w następującym stanie faktycznym i prawnym:
W dniu 3 lipca 2018 r. do Urzędu Ochrony Danych Osobowych wpłynęło skarga skarżących dotycząca naruszenia ich danych osobowych wraz z wnioskiem o podjęcie działań zmierzających do wyciągnięcia konsekwencji wobec osób winnych naruszenia. Skarżący wskazali, że Naczelnik Urzędu Skarbowego w P. (dalej jako Naczelnik US) udostępnił w decyzjach wydanych w 2015 r. wobec osoby trzeciej szczegółową analizę operacji na rachunku bankowym należącym do skarżących.
W piśmie uzupełniającym z dnia 21 lutego 2019 r. wnieśli o udzielenie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów rozporządzenia przez operacje przetwarzania art. 58 ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119, str. 1 oraz Dz.U.UE.L.2018.127, str. 2, dalej jako rozporządzenie 2016/679) oraz zastosowanie oprócz lub zamiast środków, o których mowa art. 58 ust. 2 rozporządzenia 2016/679, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy (art. 58 ust. 2 lit. i) rozporządzenia 2016/679).
Prezes UODO decyzją z dnia 10 lipca 2020 r. umorzył postępowanie w sprawie. Organ stwierdził, że w czasie, gdy miało miejsce zdarzenie opisane przez skarżących, tj. udostępnienie w decyzjach wydanych przez Naczelnika US w 2015 r. wobec osoby trzeciej szczegółowej analizy operacji na rachunku bankowym należącym do skarżących, obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. jedn. Dz.U. z 2016 r., poz. 922 ze zm., dalej jako u.o.d.o. z 1997 r.). Przepisy te określały zasady przetwarzania danych osobowych do dnia 24 maja 2018 r., natomiast od 25 maja 2018 r. obowiązują przepisy rozporządzenia 2016/679 oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t. jedn. Dz.U. z 2019 r., poz. 1781, dalej jako u.o.d.o. z 2018 r.). W ocenie organu zdarzenie to nie może być rozpatrywane w toku postępowania administracyjnego zmierzającego do wydania decyzji w oparciu o przepisy rozporządzenia 2016/679. Proces przetwarzania danych osobowych przez Naczelnika US rozpoczął się i zakończył przed dniem 25 maja 2018 r. Artykuł 99 ust. 1 rozporządzenia 2016/679 wprost wskazuje, że rozporządzenie to ma zastosowanie od dnia 25 maja 2018 r. W związku z tym, jego zdaniem przepisy rozporządzenia 2016/679 mają zastosowanie wyłącznie w sprawach, w których skargę wniesiono od dnia 25 maja 2018 r. i w tej dacie kwestionowany proces przetwarzania danych osobowych trwał. Wskazano także, że z uwagi na fakt, że zdarzenie miało miejsce i zakończyło się w czasie, gdy obowiązywały przepisy u.o.d.o. z 1997 r., a postępowanie administracyjne przed organem nadzorczym zostało zainicjowane w czasie, gdy zaczęły obowiązywać przepisy u.o.d.o. z 2018 r., do rozstrzygnięcia sprawy nie jest możliwe zastosowanie przepisów u.o.d.o. z 1997 r. Artykuł 160 ust. 1 i 2 u.o.d.o. z 2018 r. stanowi, że jedynie postępowania, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy z dnia 10 maja 2018 r., są prowadzone przez Prezesa UODO, na podstawie ustawy z dnia 29 sierpnia 1997 r. W rezultacie przyjęto, że Prezes UODO nie ma możliwości prowadzenia postępowania administracyjnego w oparciu o przepisy u.o.d.o. z 1997 r., gdyż postępowanie w przedmiotowej sprawie zostało wszczęte po dniu wejścia w życie u.o.d.o. z 2018 r. W ocenie organu brak jest podstawy prawnej do korzystania przez PUODO z uprawnień przewidzianych w uchylonej u.o.d.o. z 1997 r. w przypadku, gdy skarżony proces przetwarzania nie był kontynuowany po dniu 25 maja 2018 r. Organ uznał, że nie może dokonać oceny zgodności kwestionowanych w skardze działań administratora z rozporządzeniem 2016/679, ponieważ zdarzenie będące przedmiotem skargi ma charakter zakończony i nie było kontynuowane po dniu 25 maja 2018 r. Ponadto wskazał, że brak jest obecnie przepisów kompetencyjnych, które uprawniałyby Prezesa UODO do prowadzenia postępowania w przedmiocie oceny zgodności działania administratora z przepisami u.o.d.o. z 1997 r. W zaistniałej sytuacji, zdaniem organu, postępowanie podlegało umorzeniu na podstawie art. 105 § 1 k.p.a., bowiem stało się bezprzedmiotowe.
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 31 sierpnia 2021 r., sygn. akt II SA/Wa 1951/20, oddalił skargę uznając ją za niezasadną. Jak wskazano w uzasadnieniu Sąd pierwszej instancji nie dopatrzył się w działaniu organu rozstrzygającego w niniejszej sprawie nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa. W ocenie Sądu Wojewódzkiego wyjaśnione zostały motywy podjętego rozstrzygnięcia, a przytoczona na ten temat argumentacja była wyczerpująca. Jak zaznaczono zaskarżona decyzja niewątpliwie wydana został po dniu 25 maja 2018 r., od którego obowiązuje u.o.d.o. z 2018 r., jak również bezpośrednie zastosowanie znajdują unijne przepisy rozporządzenia 2016/679. Uwzględniając treść art. 91 ust. 3 Konstytucji RP i w świetle prawa polskiego po dniu 24 maja 2018 r. nie jest dopuszczalne stosowanie przepisów u.o.d.o. z 1997 r. w takim zakresie, w jakim do danego stanu faktycznego znajdują zastosowanie przepisy rozporządzenia 2016/679. Sąd pierwszej instancji wskazał nadto, że u.o.d.o. z 2018 r. wprowadziła w art. 160 ust. 2 przepis przejściowy, w myśl którego, postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie u.o.d.o. z 2018 r. prowadzi się na podstawie ustawy uchylanej, zgodnie z zasadami określonymi w k.p.a. Zdaniem Sądu Wojewódzkiego art. 160 ust. 2 u.o.d.o. z 2018 r. odnosi się wyłącznie do "prowadzenia postępowania" i dotyczy tylko regulacji o charakterze procesowym. W ocenie Sądu pierwszej instancji za przyjęciem takiego stanowiska dodatkowo przemawia zasada bezpośredniego stosowania rozporządzenia 2016/679, jak również przepis końcowy art. 175 u.o.d.o. z 2018 r., w którym wymieniono wprawdzie zachowujące moc przepisy u.o.d.o. z 1997 r., jednakże wyłącznie "w odniesieniu do przetwarzania danych osobowych w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, prowadzenia postępowań w sprawach dotyczących tych czynów oraz wykonywania orzeczeń w nich wydanych, kar porządkowych i środków przymusu w zakresie określonym w przepisach stanowiących podstawę działania służb i organów uprawnionych do realizacji zadań w tym zakresie". W konsekwencji, wobec braku przepisu intertemporalnego, który wyraźnie odsyła do regulacji materialnych u.o.d.o. z 1997 r., Sąd Wojewódzki odwołał się do ogólnych reguł prawa intertemporalnego, a w konsekwencji stwierdził, że bezpośrednie stosowanie nowej ustawy nie jest możliwe w odniesieniu do stanów rzeczy, które ustały przed dniem wejścia w życie nowego prawa, o ile oczywiście nie postanawia tak przepis przejściowy. Dla zastosowania właściwych norm prawa materialnego decydujące znaczenie miała okoliczność czy zarzucane przez skarżących naruszenia ustały czy też trwają one nadal. Sąd Wojewódzki stwierdził, że w czasie gdy (w ocenie skarżących) doszło do nieprawidłowości w procesie przetwarzania ich danych, polegające na udostępnieniu w decyzjach wydanych przez Naczelnika US w 2015 r. wobec osoby trzeciej szczegółowej analizy operacji na rachunku bankowym należącym do skarżących, obowiązywały przepisy u.o.d.o. z 1997 r. Przepisy te określały zasady przetwarzania danych osobowych do dnia 24 maja 2018 r., natomiast od 25 maja 2018 r. obowiązują przepisy rozporządzenia 2016/679 oraz u.o.d.o. z 2018 r. Tym samym postępowanie w sprawie należało prowadzić od dnia 25 maja 2018 r. na podstawie przepisów procesowych u.o.d.o. z 1997 r. oraz przepisów k.p.a. Natomiast dążąc do merytorycznego rozstrzygnięcia sprawy, organ winien stosować przepisy adekwatne do istnienia stanu naruszenia. Jak wskazał Sąd pierwszej instancji w stanie faktycznym sprawy chodziło o naruszenie polegające na przekazaniu danych osobowych skarżących przez udostępnieniu wobec osoby trzeciej w decyzjach wydanych przez Naczelnika US w 2015 r szczegółowej analizy operacji na rachunku bankowym należącym do skarżących. W ocenie Sądu pierwszej instancji, opisane przez skarżących zdarzenie nie może być rozpatrywane w toku postępowania administracyjnego zmierzającego do wydania decyzji w oparciu o przepisy rozporządzenia 2016/679. Proces przetwarzania danych osobowych przez Naczelnika US rozpoczął się i zakończył przed dniem 25 maja 2018 r. Jak podkreślono art. 99 ust. 1 rozporządzenia 2016/679 wskazuje, że rozporządzenie ma zastosowanie od dnia 25 maja 2018 r., a w związku z tym, przepisy rozporządzenia 2016/679 mają zastosowanie wyłącznie w sprawach, w których skargę wniesiono od dnia 25 maja 2018 r. i w tej dacie kwestionowany proces przetwarzania danych osobowych trwał. Jak natomiast wskazał Sąd Wojewódzki, z akt sprawy wynika, że naruszenie, które miało polegać na nieuprawnionym udostępnieniu danych osobowych przez Naczelnika US na rzecz osób nieuprawnionych miało miejsce i ustało przed wejściem w życie nowej ustawy. Analizując decyzję z dnia 10 lipca 2020 r. Sąd Wojewódzki zaznaczył, że nie badał jej zasadności pod względem materialnym, bowiem zgodnie z art. 160 ust. 2 u.o.d.o. z 2018 r. w sprawie mają zastosowanie tylko przepisy proceduralne, gdyż przepis ten odnosi się jedynie do regulacji procesowych. W konsekwencji Sąd pierwszej instancji stwierdził, że przedmiotem skargi było zdarzenie przeszłe jakim miało być udostępnienie przez administratora danych skarżących na rzecz nieuprawnionych osób, co bezsprzecznie wiązało się z koniecznością uznania postępowania za bezprzedmiotowe w świetle mających zastosowanie w tym przypadku przepisów o ochronie danych osobowych.
Z wydanym wyrokiem nie zgodzili się skarżący, którzy w wywiedzionej skardze kasacyjnej zarzucili:
1. naruszenie przepisów postępowania, których uchybienie mogło mieć istotny wpływ na wynik sprawy, tj.:
a) art. 3 § 1 w zw. z art. 151 i art. 145 § 1 pkt 1 lit. c) ustawy z dnia 30 sierpnia 2002r. - Prawo o postępowaniu przed sądami administracyjnymi (obecnie t. jedn. Dz.U. z 2024 r. poz. 935 ze zm., dalej jako u.p.p.s.a.) w zw. z art. 160 ust. 2 u.o.d.o. z 2018r. poprzez błędne przyjęcie przez Sąd pierwszej instancji, że przepis art. 160 ust. 2 u.o.d.o. z 2018 r. przesądza o tym, że w sprawie znajdują zastosowanie wyłącznie przepisy o charakterze proceduralnym u.o.d.o. z 1997 r. i z tego względu odstąpienie od badania zasadności zaskarżonej decyzji pod względem materialnym, podczas gdy ww. przepis reguluje zasady stosowania przepisów o charakterze wyłącznie procesowym i tym samym pozostaje bez wpływu na mające zastosowanie prawo materialne;
b) art. 3 § 1 w zw. z art. 151 i art. 145 § 1 pkt 1 lit. c) u.p.p.s.a. w zw. z art 160 ust. 2 u.o.d.o. z 2018 r. poprzez błędne przyjęcie przez Sąd pierwszej instancji, że postępowanie w sprawie należało prowadzić na podstawie przepisów procesowych u.o.d.o. z 1997 r., podczas gdy przepis art. 160 ust. 2 u.o.d.o. z 2018 r. nakazuje stosować przepisy procesowe u.o.d.o. z 1997 r. wyłącznie w stosunku do spraw wszczętych przed dniem 25 maja 2018 r.;
c) art. 3 § 1 w zw. z art. 151 i art. 145 § 1 pkt 1 lit. c) u.p.p.s.a. w zw. z art. 99 ust. 2 rozporządzenia 2016/679 poprzez błędne uznanie przez Sąd pierwszej instancji, że przepisy rozporządzenia 2016/679, w tym o charakterze procesowym, mają zastosowanie wyłącznie w sprawach, w których skargę wniesiono od dnia 25 maja 2018 r. i w tej dacie kwestionowany proces przetwarzania danych osobowych trwał, podczas gdy według ogólnych zasad intertemporalnych obowiązujące w danym momencie przepisy postępowania mają zastosowanie do spraw wszczynanych w czasie ich obowiązywania, chyba że ustawa stanowi inaczej, a fakt dalszego trwania naruszenia pozostaje w tym zakresie bezprzedmiotowy;
d) art. 3 § 1 w zw. z art. 151 i art. 145 § 1 pkt 1 lit. c) u.p,p,s.a. w zw. z art. 60 u.o.d.o. z 2018 r. w zw. z art. 58 ust. 2 rozporządzenia 2016/679 poprzez błędne przyjęcie przez Sąd pierwszej instancji, że skarżony organ prawidłowo zastosował art. 58 ust. 2 rozporządzenia 2016/679 wydając zaskarżoną decyzję, podczas gdy skarżony organ w rzeczywistości nie podjął żadnych z przysługujących mu na podstawie tego przepisu uprawnień naprawczych, choć powinien był zastosować ww. przepisy w sprawie i wydać rozstrzygnięcie o charakterze merytorycznym;
e) art. 3 § 1 w zw. z art. 151 i art. 145 § 1 pkt 1 lit. c) u.p.p.s.a. w zw. z art. 7, art. 75 § 1, art. 77 § 1, art. 78 § 1 i art. 80 k.p.a. w zw. z art. 58 ust. 1 rozporządzenia 2016/679 poprzez błędne uznanie przez Sąd pierwszej instancji, że organ w sposób prawidłowy ustalił stan faktyczny sprawy, podczas gdy według wiedzy skarżących organ nie przeprowadził dowodu z decyzji podatkowych wydanych wobec L.F. o sygn. akt: PP/4423-0129/15/05, PP/4423-0130/15/05, PP/4423-0131/15/05, PP/4423-0132/15/05 i PP/4423-0133/15/05, postanowienia dowodowego z dnia 28 kwietnia 2015 r. oraz informacji o przeglądaniu akt sprawy przez L.F. w październiku 2015 r. pomimo tego, że analiza i ocena dowodów była niezbędna do merytorycznego rozstrzygnięcia sprawy oraz pomimo stosownych wniosków skarżących;
f) art. 3 § 1 w zw. z art. 151 i art. 145 § 1 pkt 1 lit. c) u.p.p.s.a. w zw. z art. 105 § 1 w zw. z art. 6 i art. 8 § 1 k.p.a. poprzez błędne uznanie przez Sąd pierwszej instancji, że w sprawie zaszła przesłanka do umorzenia postępowania z uwagi na fakt, iż postępowanie w sprawie jest bezprzedmiotowe w świetle mających zastosowanie w tym przypadku przepisów o ochronie danych osobowych, podczas gdy stwierdzenie w toku postępowania, że w ustalonym stanie faktycznym zastosowanie znajdują inne przepisy prawa materialnego nie powoduje bezprzedmiotowości postępowania, lecz jedynie zmianę kwalifikacji prawnej rozpatrywanej sprawy, co narusza zasadę praworządności oraz zasadę zaufania obywateli do władzy publicznej;
2. naruszenie prawa materialnego, tj.:
a) art. 3 § 1 w zw. z art. 151 i art. 145 § 1 pkt 1 lit. a) u.p.p.s.a. w zw. z art. 23, art. 26 i art. 38 u.o.d.o. z 1997 r. poprzez ich niezastosowanie i w konsekwencji odmowę wydania rozstrzygnięcia o charakterze merytorycznym, podczas gdy w sprawie winny znajdować zastosowanie przepisy prawa materialnego obowiązujące w czasie dokonanego naruszenia, tj. przepisy u.o.d.o. z 1997 r., a zachowanie, którego dotyczy postępowanie przed skarżonym organem stanowi naruszenie tychże przepisów.
W uzasadnieniu skargi kasacyjnej wskazano m.in., że co do zasady Sąd pierwszej instancji dokonał prawidłowej wykładni przepisu art. 160 ust. 2 u.o.d.o. z 2018 r. Równocześnie jednak Sąd ten wskazał, iż nie badał zasadności zaskarżonej decyzji pod względem materialnym, co w ocenie skarżących nie zasługuje na uwzględnienie, bowiem przepis ten nie wyklucza, aby przepisy o charakterze materialnoprawnym u.o.d.o. z 1997 r. znajdowały zastosowanie w sprawach, które prowadzone są na podstawie aktualnie obowiązujących przepisów postępowania, jednak dotyczą zdarzeń mających miejsce pod rządami ustawy poprzedniej. W związku z powyższym, w ocenie skarżących Sąd Wojewódzki w sposób nieprawidłowy doszedł do wniosku, iż w sprawie mają zastosowanie tylko przepisy proceduralne u.o.d.o. z 1997 r. Sąd pierwszej instancji niesłusznie przyjął także, że stosownie do przepisu przejściowego art. 160 ust. 2 u.o.d.o. z 2018 r. postępowanie w sprawie należało prowadzić od dnia 25 maja 2018 r. na podstawie przepisów procesowych u.o.d.o. z 1997 r. oraz przepisów k.p.a. Zdaniem skarżących przepis ten znajduje zastosowanie wyłącznie w sprawach, które zostały wszczęte przed 25 maja 2018 r. Tymczasem skarżący wnieśli zaś skargę do Prezesa UODO dnia 3 lipca 2018 r., co wyklucza stosowanie art. 160 ust. 2 u.o.d.o. z 2018 r. Z kolei wobec braku jasnego i konsekwentnego rozróżnienia norm materialnoprawnych od norm procesowych w uzasadnieniu zaskarżonego wyroku, skarżący nie mają pewności, czy twierdzenie Sądu pierwszej instancji odnośnie zastosowania przepisów rozporządzenia 2016/679 ma zastosowanie wyłącznie do norm prawa materialnego. Z tego też względu w ocenie skarżących fakt dalszego trwania naruszenia pozostaje bezprzedmiotowy dla oceny, które przepisy postępowania znajdują zastosowanie w danej sprawie, o ile taki warunek nie wynika z przepisu szczególnego. Zdaniem skarżących w przypadku uznania przez Prezesa UODO, że przepisy materialne u.o.d.o. z 2018 r. nie mogą mieć zastosowania w sprawie z uwagi na moment wystąpienia zdarzenia, Prezes UODO powinien był zastosować przepisy materialne obowiązujące w czasie, kiedy przedmiotowe zdarzenie nastąpiło. Jednocześnie organ powinien był ustalić przepisy postępowania mające zastosowanie w niniejszej sprawie i przeprowadzić postępowanie w oparciu o nie. Organ nie był jednak uprawniony do umorzenia postępowania z uwagi na jego bezprzedmiotowość z tego tylko względu, że w czasie wszczęcia postępowania obowiązywały inne przepisy materialne i procesowe aniżeli w momencie wystąpienia skarżonego zdarzenia, o ile nowe przepisy nie wykluczają sankcjonowania takiego zachowania. Takie działanie Prezesa UODO narusza bowiem zasadę praworządności oraz zasadę zaufania obywateli do władzy publicznej.
Mając powyższe na uwadze wniesiono w skardze kasacyjnej o uchylenie zaskarżonego wyroku w całości i rozpoznanie skargi poprzez uchylenie zaskarżonej decyzji w całości i zobowiązanie skarżonego organu do wydania w określonym terminie decyzji wskazując sposób załatwienia sprawy lub rozstrzygnięcie, ewentualnie uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz zasądzenie kosztów postępowania kasacyjnego, w tym kosztów zastępstwa profesjonalnego pełnomocnika według norm prawem przepisanych.
W odpowiedzi na skargę kasacyjną organ wniósł o oddalenie skargi kasacyjnej. Jednocześnie wskazano, że Prezes UODO w pełni podziela stanowisko Sądu pierwszej instancji wyrażone w zaskarżonym wyroku, a skarga kasacyjna nie zasługuje na uwzględnienie. Opisane w treści skargi zdarzenie nie mogło być rozpatrywane w toku postępowania administracyjnego zmierzającego do wydania decyzji w oparciu o przepisy rozporządzenia 2016/679. Skarżony proces przetwarzania danych osobowych przez Naczelnika US rozpoczął się i zakończył przed dniem 25 maja 2018 r. W ocenie organu zarzuty skargi kasacyjnej stanowią nieuzasadnioną polemikę z prawidłowym stanowiskiem Sądu Wojewódzkiego.
W odpowiedzi na skargę kasacyjną Dyrektor Izby Administracji Skarbowej w Gdańsku (dalej jako uczestnik postępowania) wniósł o oddalenie skargi kasacyjnej oraz o zasądzenie na rzecz uczestnika postępowania kosztów postępowania kasacyjnego w tym kosztów zastępstwa procesowego według norm przepisanych.
Naczelny Sąd Administracyjny zważył, co następuje:
Stosownie do treści art. 183 § 1 u.p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej z urzędu biorąc pod rozwagę jedynie nieważność postępowania. Wobec niestwierdzenia żadnej z wad wymienionych w art. 183 § 2 u.p.p.s.a., a nadto w związku z niezaistnieniem przesłanek, o których mowa w art. 189 u.p.p.s.a., Naczelny Sąd Administracyjny dokonał kontroli zaskarżonego wyroku jedynie w zakresie wyznaczonym podstawami kasacyjnymi.
W sytuacji oparcia skargi kasacyjnej zarówno na zarzutach materialnych, jak i procesowych, w pierwszej kolejności rozpatrzeniu zazwyczaj podlegają te ostatnie, albowiem ich zasadność wyklucza możliwość merytorycznego odniesienia się do pozostałych zarzutów kasacyjnych (por. wyroki NSA z dnia 4 września 2014 r., sygn. akt II GSK 1293/13, oraz z dnia 16 października 2013 r., sygn. akt II GSK 937/12 – dostępne w centralnej bazie orzeczeń sądów administracyjnych: http:// orzeczenia.nsa. gov.pl, podobnie jak i pozostałe orzeczenia sądów administracyjnych powołane w niniejszym uzasadnieniu).
W pierwszej kolejności Naczelny Sąd Administracyjny wskazuje, że na uwzględnienie zasługiwał zarzut naruszenia art. 3 § 1 w zw. z art. 151 i art. 145 § 1 pkt 1 lit. c) u.p.p.s.a. w zw. z art. 7, art. 75 § 1, art. 77 § 1, art. 78 § 1 i art. 80 k.p.a. w zw. z art. 58 ust. 1 rozporządzenia 2016/679. W uzasadnieniu zaskarżonego wyroku wskazano bowiem, że Sąd pierwszej instancji nie dopatrzył się w działaniu organu nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa. Tymczasem analiza akt sprawy prowadzi do wniosku, że Prezes UODO nie zgromadził w aktach sprawy nawet tak podstawowych dla rozstrzygnięcia dokumentów jak decyzje nr PP/4423-0129/15/05, PP/4423-0130/15/05, PP/4423-0131/15/05, PP/4423-0132/15/05 i PP/4423-0133/15/05, na które powoływali się skarżący, a w ramach których miało dojść do naruszenia danych osobowych. W tym zakresie organ poprzestał na oświadczeniu strony skarżącej oraz wyjaśnieniach Dyrektora Izby Administracji Skarbowej w Gdańsku. Tym samym organ nie ustalił nawet precyzyjnych dat zdarzeń mających świadczyć o naruszeniu danych osobowych skarżących, co umknęło Sądowi pierwszej instancji.
W odniesieniu zaś do pozostałych zarzutów (zarówno natury procesowej, jak również zarzutu naruszenia norm prawa materialnego) stwierdzić należy, że stanowią one swoje dopełnienie i wymagają wspólnego rozpoznania. Oscylują one zasadniczo wokół kwestionowania prawidłowości uznania przez Sąd pierwszej instancji, że umorzenie postępowania przez organ było zasadne.
Zagadnieniem o elementarnym znaczeniu pozostaje zatem kwestia ustalenia podstaw normatywnych regulujących proces przetwarzania danych osobowych obowiązujących w 2015 r. oraz podstaw prawnych, które obowiązywały organ w dniu wszczęcia postępowania, jak i ich wzajemnej korelacji.
Podkreślenia wymaga, że zdarzenia będące przedmiotem skargi z dnia 3 lipca 2018 r. (skargi wszczynającej postępowanie) miały mieć miejsce w 2015 r. i nie były kontynuowane po dniu 25 maja 2018 r., a zatem w czasie gdy nastąpiła zmiana stanu prawnego. Zdarzenie to nastąpiło zatem w czasie obowiązywania u.o.d.o. z 1997 r. Natomiast rozporządzenie 2016/679 weszło w życie i ma zastosowanie od dnia 25 maja 2018 r. Jak już to natomiast sygnalizowano postępowanie przed organem zostało wszczęte skargą z dnia 3 lipca 2018 r., czyli gdy obowiązywało już u.o.d.o. z 2018 r. Oba akty normatywne weszły w życie jednocześnie w dniu 25 maja 2018 r. Z dniem wejścia w życie u.o.d.o. z 2018 r. utraciła moc u.o.d.o. z 1997 r.
Istotnym jest w tym miejscu wskazanie, że w u.o.d.o. z 2018 r. zawarto regulację intertemporalną odnoszącą się do postępowań administracyjnych wszczętych i niezakończonych przed wejściem w życie przepisów tej ustawy. Stosownie do treści art. 160 ust. 2 u.o.d.o. z 2018 r. postępowania wszczęte i niezakończone przed 25 maja 2018 r. prowadzi się na podstawie u.o.d.o. z 1997 r., zgodnie z zasadami określonymi w k.p.a. Wykładnia tego przepisu wskazuje, że w postępowaniach wszczętych pod rządami u.o.d.o. z 1997 r., które nie zostały prawomocnie zakończone do czasu uchylenia tej ustawy, należy stosować przepisy u.o.d.o. z 1997 r. i to zarówno w zakresie podejmowanych czynności proceduralnych, jak i materialnoprawnej oceny zdarzeń będących przedmiotem postępowania. Brak jest jednakże przepisu przejściowego regulującego postępowania, które zostały wszczęte po wejściu w życie nowej ustawy, a dla których przesłanki faktyczne determinujące jego wszczęcie wystąpiły jeszcze przed wejściem w życie przedmiotowych przepisów.
Podstawową zasadą znajdującą zastosowanie przy braku przepisów intertemporalnych - aprobowaną przez Trybunał Sprawiedliwości Unii Europejskiej - jest nakaz stosowania przepisów obowiązujących w momencie zakończenia zdarzeń, który miały miejsce przed wejściem w życie nowych przepisów, ale trwają jeszcze po ich wejściu w życie. Do zdarzeń natomiast, które zakończyły swój bieg przed wejściem w życie nowych przepisów, należy stosować przepisy w dotychczasowym brzmieniu (por. wyroki TSUE: w sprawie C - 201/04 z dnia 23 lutego 2006 r.; zob. również wyroki w sprawach połączonych C - 121/91 i C - 122/91 z dnia 6 lipca 1993 r. w sprawie C - 61/98 z dnia 7 września 1999 r. oraz w sprawie C - 251/00 z dnia 14 listopada 2002 r.).
Zasada ta znajduje swoje odzwierciedlenie również w systemie prawa krajowego. W szczególności zasada demokratycznego państwa prawa i wynikająca z niej zasada niedziałania prawa wstecz (art. 2 Konstytucji RP) w związku z zasadą zaufania wyrażoną w art. 8 k.p.a. wskazują, że w przypadku braku ustanowienia przez ustawodawcę przepisu przejściowego do zdarzeń prawnych stosuje się przepisy obowiązujące w momencie ich zaistnienia.
W judykaturze podkreśla się fundamentalne znaczenie zasady niedziałania prawa wstecz, jako jednej z podstawowych zasad prawa międzyczasowego. I tak np. w wyroku Naczelnego Sądu Administracyjnego z dnia 26 października 2017 r., sygn. akt II GSK 24/16, wskazano, że zasada lex retro non agit jest adresowana przede wszystkim do ustawodawcy i zakazuje mu stanowienia norm prawnych, które miałyby być stosowane do zdarzeń, sytuacji, które miały miejsce i zostały zakończone przed wejściem w życie tych norm. Zasada ta nie ma charakteru bezwzględnego, można od niej odstąpić, jednakże wyjątkowo, jeżeli przemawia za tym konieczność ochrony innych wartości konstytucyjnych niż bezpieczeństwo prawne i zaufanie obywateli do państwa zagrożone pogorszeniem ich sytuacji prawnej wskutek nałożenia na nich określonych obowiązków z mocą wsteczną. Dalej Naczelny Sąd Administracyjny wywiódł, że nawet jeżeli przyjąć, że zasadą ogólną jest bezpośrednie działanie prawa, to z samej tej zasady nie można wyprowadzać domniemania, że wobec braku konkretnej wypowiedzi ustawodawcy, przepis, zwłaszcza materialnoprawny może mieć zastosowanie z mocą wsteczną. Granice jego zastosowania w czasie wyznacza zasada lex retro non agit.
Z kolei w wyroku z dnia 6 stycznia 2010 r., sygn. akt II GSK 266/09, Naczelny Sąd Administracyjny wskazał, że w razie kolizji, czy w sprawie ma zastosowanie przepis dotychczasowy, czy nowy, przyjmuje się, że przepis dotychczasowy ma zastosowanie, jeżeli pod jego rządem powstał (zmienił się albo wygasł) stosunek prawny, którego treść została bezpośrednio wyznaczona przez ten przepis. Na tej podstawie sformułowana została ogólna zasada, w myśl której nowa ustawa nie ma być stosowana przy ocenie tak pozytywnych, jak i negatywnych skutków zdarzeń prawnych, które nastąpiły przed jej wejściem w życie.
W okolicznościach sprawy zdarzenia prawne będące przedmiotem oceny materialnoprawnej Prezesa UODO miały mieć miejsce przed dniem 25 maja 2018 r., a więc w czasie gdy obowiązywała u.o.d.o. z 1997 r. To, czy istotnie doszło do nieprawidłowości w procesie przetwarzania danych osobowych, wymagało oceny organu przy zastosowaniu odpowiedniego przepisu prawa materialnego. O zastosowaniu starego czy nowego prawa powinien decydować zaś moment, w którym doszło do ocenianego zdarzenia, to jest udostępnienia danych osobowych. Jak wskazał zasadnie Naczelny Sąd Administracyjny w uzasadnieniu wyroku z dnia 15 stycznia 2021 r., sygn. akt III OSK 2892/21, problematyka intertemporalna w u.o.d.o. z 2018 r. nie została uregulowana przez ustawodawcę w sposób wyczerpujący. Zakresem regulacji objęta została tylko kwestia postępowań wszczętych i niezakończonych przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. Uwadze ustawodawcy umknęły zaś wszelkie inne kwestie prawa międzyczasowego. Brak jest przepisów odnoszących się do przypadków, gdy postępowania nie zostały jeszcze wszczęte, a zdarzenia objęte nimi miały miejsce przed 25 maja 2018 r. Nie rozstrzygnął on problemów stosunków prawnych lub faktów, które powstały lub wystąpiły pod rządami dawnego prawa i trwają po jego uchyleniu pod rządami nowego prawa, jak również stosunków prawnych lub faktów, które wystąpiły i zakończyły się pod rządami starego prawa, a postępowania administracyjne odnoszące się do nich zostały wszczęte dopiero po 25 maja 2018 r.
W ocenie Naczelnego Sądu Administracyjnego z przepisu art. 160 ust. 2 u.o.d.o. z 2018 r. wynika, że stare prawo znajduje dalsze zastosowanie do spraw wszczętych i nie zakończonych przed 25 maja 2018 r. W takich przypadkach wyłączną podstawą orzekania przez organ będą stanowić przepisy starego prawa. Do wszystkich pozostałych sytuacji stosowania prawa organ, w związku z treścią przepisów art. 2 i art. 7 Konstytucji RP oraz art. 6 k.p.a., obowiązany będzie zastosować nowe prawo, mimo że fakty prawne, które miałyby zostać rozstrzygnięte w drodze aktu stosowania prawa zaszły w czasie zanim weszło w życie nowe prawo.
Mając na uwadze powyższe zapatrywanie zasadną jest konstatacja, że zdarzenie stanowiące podstawę złożenia przez skarżącą kasacyjnie skargi do Prezesa UODO powinno podlegać ocenie według przepisów prawa materialnego obowiązujących w dniu, w którym dane zdarzenie miało miejsce. Postępowanie administracyjne w tym przedmiocie powinno być zaś prowadzone w oparciu o u.o.d.o. z 2018 r. oraz rozporządzenie nr 2016/679, gdyż stosowny wniosek skarżących kasacyjnie wpłynął do organu w dniu 3 lipca 2018 r. Nie do pogodzenia z istotą wymiaru sprawiedliwości jest bowiem przyjęcie interpretacji przepisów w sposób, który prowadziłby do sytuacji, w której - z uwagi na brak przepisów intertemporalnych - obywatel pokrzywdzony naruszeniem przepisów o ochronie danych osobowych nie mógłby dochodzić swoich praw, a określony podmiot pozostawałby w istocie bezkarny, nawet pomimo oczywistego naruszenia przepisów o ochronie danych osobowych.
W konsekwencji Naczelny Sąd Administracyjny uznał na podstawie art. 188 u.p.p.s.a., że skarga kasacyjna zasługuje na uwzględnienie i uchylił zaskarżony wyrok Sądu pierwszej instancji, a nadto, wobec uznania, że istota sprawy jest dostatecznie wyjaśniona, na podstawie art. 145 § 1 pkt 1 lit. a) i c) u.p.p.s.a., uchylił zaskarżoną decyzję Prezesa UODO.
O kosztach postępowania kasacyjnego, obejmujących zasądzenie od organu solidarnie na rzecz skarżących kwoty 914 zł (opłaty kancelaryjne za uzasadnienie wyroku – 200 zł, wpis od skargi kasacyjnej - 200 zł, koszty zastępstwa procesowego - 480 zł oraz opłata skarbowa od pełnomocnictwa – 34 zł), orzeczono na podstawie art. 203 pkt 1 w zw. z art. 205 § 2 u.p.p.s.a.