III OSK 2836/21

III OSK 2836/21 - Wyrok NSA
Data orzeczenia
2023-11-24
orzeczenie prawomocne
Data wpływu
2021-01-04
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Hanna Knysiak - Sudyka /sprawozdawca/
Olga Żurawska - Matusiak
Wojciech Jakimowicz /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 1551/19 - Wyrok WSA w Warszawie z 2020-02-14
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżony wyrok oraz decyzję I i II instancji
Powołane przepisy
Dz.U. 2019 poz 2325
art. 145 § 1 pkt 1 lit. a i c
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U. 2018 poz 2096
art. 6, art. 28, art. 61 § 4
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - tekst jedn.
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Wojciech Jakimowicz Sędziowie: Sędzia NSA Olga Żurawska-Matusiak Sędzia del. WSA Hanna Knysiak-Sudyka (spr.) Protokolant: asystent sędziego Olga Malicka po rozpoznaniu w dniu 24 listopada 2023 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Dyrektora Centrum [...] z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 14 lutego 2020 r. sygn. akt II SA/Wa 1551/19 sprawy ze skargi Centrum [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2019 r. nr [...] w przedmiocie udostępnienia danych osobowych 1. uchyla zaskarżony wyrok, zaskarżoną decyzję oraz poprzedzającą ją decyzję Prezesa Urzędu Danych Osobowych z dnia [...] styczna 2019 r. znak: [...] 2. zasądza od Prezesa Urzędu Danych Osobowych na rzecz Dyrektora Centrum [...] z siedzibą w [...] kwotę 1120 (tysiąc sto dwadzieścia) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 14 lutego 2020 r. sygn. akt II SA/Wa 1551/19 oddalił skargę Centrum [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2019 r. nr [...] w przedmiocie udostępnienia danych osobowych.
Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy.
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2019 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm., zwana dalej: "k.p.a."), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm.) w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) oraz art. 5 ust. 1 lit a), art. 6 ust. 1, art. 57 ust. 1 lit. a) i lit. f) i art. 58 ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1, zwane dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie skargi B. S. na nieuprawnione udostępnienie dotyczących jej danych osobowych przez Centrum [...] z siedzibą w [...], udzielił upomnienia Centrum [...] z siedzibą w [...] w związku z nieuprawnionym udostępnieniem danych osobowych B. S. na rzecz M. M. - zatrudnionej w przeszłości w Centrum [...] na stanowisku Zastępcy Kierownika Powiatowego Centrum Zarządzania Kryzysowego w Centrum [...].
W uzasadnieniu organ wskazał, że do Biura Generalnego Inspektora Ochrony Danych Osobowych (aktualnie Urzędu Ochrony Danych Osobowych) wpłynęła skarga B. S. na nieuprawnione udostępnienie dotyczących jej danych osobowych przez Centrum [...]. Jak wskazała, wystąpiła ona do Dyrektora Centrum z wnioskiem o udostępnienie jej określonych informacji w trybie przepisów o dostępie do informacji publicznej. Odpowiedź, jakiej udzielił Dyrektor Centrum na ww. wniosek, została przez niego przekazana również osobie, której dotyczyła wnioskowana informacja (tj. M. M. zatrudnionej w przeszłości w Centrum). W opisany sposób doszło zdaniem strony do kwestionowanego udostępnienia przez Dyrektora Centrum, na rzecz osoby nieupoważnionej, danych osobowych skarżącej w zakresie obejmującym jej imię, nazwisko oraz adres. Strona wniosła o "(...) wszczęcie postępowania wyjaśniającego w przedmiotowej sprawie (...) wydanie decyzji administracyjnej nakazującej przywrócenia stanu zgodnego z prawem (...) wszczęcie postępowania dyscyplinarnego przeciw Komendantowi Centrum [...] (...)".
Od powyższej decyzji został złożony wniosek o ponowne rozpatrzenie sprawy.
Prezes Urzędu Ochrony Danych Osobowych, po rozpatrzeniu wniosku o ponowne rozpoznanie sprawy, decyzją z dnia [...] maja 2019 r. nr [...], na podstawie art. 138 § 1 pkt 1 k.p.a., utrzymał w mocy własną decyzję z dnia [...] stycznia 2019 r.
Centrum [...] z siedzibą w [...] wniosło skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.
Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując dotychczasowe ustalenia.
Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku oddalił skargę Centrum [...] z siedzibą w [...] uznając, że zaskarżona decyzja została wydana zgodnie z prawem.
Uzasadniając swoje stanowisko Sąd I instancji wskazał, że zaskarżona i poprzedzająca ją decyzja Prezesa Urzędu Ochrony Danych Osobowych nie naruszają ani prawa materialnego ani prawa procesowego. Decyzje te wydane zostały po należytym przeprowadzeniu postępowania administracyjnego, w którym w sposób wyczerpujący ustalono pełny stan faktyczny sprawy (art. 7 k.p.a.). Organ rozpatrzył cały materiał dowodowy (art. 77 § 1 k.p.a.) i dokonał jego trafnej oceny (art. 80 k.p.a.). Na podstawie całości zgromadzonego materiału dowodowego Sąd stwierdził, że ocena ta nie była dowolna. Organ wydając zaskarżoną i poprzedzającą ją decyzję nie naruszył zasady praworządności (art. 6 k.p.a.), zastosował właściwe przepisy prawa. Nadto, uzasadnienia obu decyzji spełniają wszystkie wymogi art. 107 § 3 k.p.a. i nie pozostawiają wątpliwości, co do przyczyn, dla których Prezes UODO podjął rozstrzygnięcie w postaci udzielenia Centrum [...] upomnienia.
Dokonane w niniejszej sprawie przez Prezesa UODO ustalenie, że udostępnienie przez Centrum [...] danych osobowych B. S. (osoby wnioskującej o udostępnienie informacji publicznej) M. M. (osobie trzeciej) było nieuprawnione, albowiem nastąpiło bez podstawy prawnej – jest trafne. Zasadnie, w stanie faktycznym tej sprawy, Prezes UODO stwierdził, że nie zaszła żadna z podstaw uprawniających do udostępnienia danych osobowych, określonych w art. 6 RODO, a nadto naruszono art. 5 ust. 1a RODO. W sprawie nie ma wątpliwości, że osoba wnioskująca o udostępnienie informacji publicznej nie wyraziła zgody na udostępnienie jej danych osobowych (imienia, nazwiska, adresu i numeru PESEL) osobie trzeciej (M. M.). Nie została zatem spełniona przesłanka z art. 6 ust. 1 lit. a RODO. Udostępnienie przez Centrum [...] danych osobowych wnioskodawcy osobie trzeciej nie było także niezbędne dla zawarcia bądź wykonania umowy (art. 6 ust. 1 lit. b RODO). Z całą pewnością nie może być mowy o spełnieniu przesłanki w postaci wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO). Udostępnienie danych nie było też niezbędne do ochrony żywotnych interesów osoby wnioskującej o udostępnienie informacji publicznej, czy też żywotnych interesów innej osoby fizycznej (art. 6 ust. 1 lit. d RODO). Prawidłowo Prezes UODO stwierdził, że udostępnienie danych nie było niezbędne również do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO). Udostępnienie danych osobowych B. S. osobie trzeciej nie było w końcu niezbędne Centrum do realizacji prawnie usprawiedliwionych interesów realizowanych przez ten podmiot lub przez jakąkolwiek stronę trzecią (art. 6 ust. 1 lit. f RODO). Trafnie przy tym organ stwierdził, że bez znaczenia dla rozstrzygnięcia tej sprawy była podnoszona przez Centrum okoliczność, że osoba wnioskująca o informację publiczną była osobą prowadzącą działalność gospodarczą.
W ocenie Sądu twierdzenie Centrum [...], że dane osoby wnioskującej o informację publiczną udostępniono M. M. jako stronie postępowania w rozumieniu art. 28 k.p.a. w sprawie o udostępnienie informacji publicznej jest całkowicie nietrafne i nie znajduje oparcia w przepisach prawa.
Trafnie też Prezes UODO stwierdził, że nie było żadnych podstaw, aby przyjąć w tej sprawie, że udostępnienie danych osobowych wnioskującej o informację publiczną było niezbędne z punktu widzenia jakichkolwiek praw M. M. na gruncie art. 23 i 24 k.c. Z akt sprawy jednoznacznie wynika, że udostępnienie danych osobowych B. S. nastąpiło ściśle w związku z rozpatrywaniem przez Centrum [...] wniosku o udostępnienie informacji publicznej.
Zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie, Prezes UODO trafnie stwierdził, że udostępnienie danych osobowych M. S. osobie trzeciej nastąpiło bez podstawy prawnej, a tym samym naruszało również art. 5 ust. 1 lit. a RODO.
W ocenie Sądu prawidłowo Prezes UODO zastosował w niniejszej sprawie przepisy RODO. Przepis art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych nie wyklucza stosowania RODO. Przepis ten stanowi, że postępowania, o których mowa w ust. 1 (a zatem wszczęte i niezakończone przed dniem 25 maja 2018 r.), prowadzi się na podstawie ustawy uchylanej w art. 175 (a zatem ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych), zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2017 r., poz. 1257 oraz z 2018 r. poz. 149 i 650). Sąd podzielił ustalenie organu, że powołany przepis przewiduje stosowanie jedynie przepisów proceduralnych ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, to jest art. 12, art. 22 i art. 18 tej ustawy. Zarzut naruszenia powołanego przepisu nie jest zasadny. W ocenie Sądu wywodzenie w stanie faktycznym niniejszej sprawy, że przepisy RODO nie miały zastosowania i organ ochrony danych osobowych nie mógł zastosować art. 58 ust. 2 lit. b RODO w zw. z art. 57 ust. 1 lit. a i lit. f RODO jest nietrafne. Okoliczność, że zdarzenie w postaci udostępnienia osobie trzeciej (nieuprawnionej) danych osobowych osoby wnioskującej o udostępnienie informacji publicznej nastąpiło w dniu 7 kwietnia 2017 r. i nie zostało zakończone przed dniem 25 maja 2018 r. nie oznacza pozbawienia Prezesa UODO przyznanych mu przepisami RODO uprawnień i nie pozbawia tego organu kompetencji do podejmowania działań naprawczych. Przepisy RODO bezspornie znajdowały zastosowanie w niniejszej sprawie.
Sąd I instancji podkreślił, że zastosowany środek naprawczy w postaci udzielonego upomnienia jest w tej sprawie właściwy i znajduje umocowanie w przepisie art. 58 ust. 2 lit. b RODO. Nie ma żadnych wątpliwości, że w stanie faktycznym tej sprawy, nie ma możliwości przywrócenia stanu sprzed naruszenia. Osoba nieuprawniona zapoznała się już bowiem wskutek nieuprawnionego działania Centrum [...] z danymi osobowymi wnioskującej o informację publiczną. Zarówno fakt zaistniałego naruszenia, jego znaczenie (waga) i nieodwracalność dawały Prezesowi UODO podstawę do zastosowania środka w postaci upomnienia.
Skargę kasacyjną od tego wyroku wniósł Dyrektor Centrum [...] z siedzibą w [...], zaskarżając wyrok w całości i zarzucając mu:
1) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, a to:
a) art. 145 § 1 pkt 1 lit. c ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325 z późn. zm., zwana dalej: "p.p.s.a.") w związku z zasadą praworządności z art. 6 k.p.a. poprzez nie uchylenie zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych z [...].05.2019 r. i jej sanowanie, a to zastosowanie w podstawie prawnej decyzji - do zdarzenia z 7.04.2017 r. - przepisów art. 5 ust. 1 lit. a, art. 6 ust. 1, art. 57 ust. 1 lit. a i lit. f, art. 58 ust. 2 lit. b RODO - gdy przepisy intertemporalne - art. 159 ust. 1. art. 160 ust. 2 i 3 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000 z późn. zm) - nakazywały wprost do sprawy wszczętej [...].05.2017 r. i znak: [...], art. 61 § 3a k.p.a.) i nie zakończonej przed 25.05.2018 r. - zastosowanie przepisów dotychczasowych (czyli ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych);
b) art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 28 k.p.a. w zw. z art. 61 § 4 k.p.a. oraz w zw. z art. 23 k.c. - poprzez bezzasadne uznanie, że zawiadomienie Pani M. M. o zainicjowanym przez Panią B. S. postępowaniu o udostępnienie jej ocen okresowych tej byłej pracownicy [...] (nie pełniącej funkcji publicznej), do którego nie mają zastosowania przepisy ustawy z 6 września 2001 r. o dostępie do informacji publicznej - nastąpiło w sposób nieuprawniony i bez podstawy prawnej;
2) obrazę prawa materialnego która miała istotny wpływ na wynik sprawy, a to art. 145 § 1 pkt 1 lit. a p.p.s.a. art. 160 ust. 2 ustawy z 10.05.2018 r. o ochronie danych osobowych - poprzez błędną wykładnię i niewłaściwe zastosowanie, a to pominięcie w podstawie prawnej decyzji przepisów dotychczasowych ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych i uznanie przez organ a za nim Sąd, że wskazany przepis dotyczy stosowania wyłącznie przepisów proceduralnych tej ustawy z 1997 r., jak art. 12, art. 22 i art. 18 (str. 12 uzasadnienia).
Mając powyższe na uwadze skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, zasądzenie kosztów postępowania, w tym kasacyjnego wraz z kosztami zastępstwa procesowego przez adwokata według norm przepisanych, a także rozpoznanie skargi kasacyjnej na rozprawie (z uwzględnieniem art. 15 zzs4 ust. 1 ustawy z 2.03.2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19...; Dz.U. z 2020 r., poz 374 z późn. zm. ost. poz. 875).
Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej.
Pismem z dnia 10 października 2023 r. Dyrektor Centrum [...] z siedzibą w [...] podtrzymał dotychczasowe stanowisko w sprawie.
Naczelny Sąd Administracyjny zważył, co następuje:
Skarga kasacyjna zasługuje na uwzględnienie, choć nie wszystkie podniesione w niej zarzuty są zasadne.
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2023 r. poz. 259), Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.
Zdaniem Naczelnego Sądu Administracyjnego zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 159 ust. 1 i art. 160 ust. 2 i 3 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) dalej jako u.o.d.o., jest trafny. Nie można się zgodzić ze stanowiskiem, że w kontrolowanym postępowaniu znajdują zastosowanie jedynie przepisy ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych o charakterze procesowym (dalej u.o.d.o. z 1997 r.).
Na obecnym etapie postępowania, wobec treści zarzutów skargi kasacyjnej istota sprawy sprowadza się do wykładni art. 160 ust. 2 u.o.d.o. Artykuł 160 u.o.d.o stanowi, że:
1. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu.
2. Postępowania, o których mowa w ust. 1, prowadzi się na podstawie ustawy uchylanej w art. 175, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 oraz z 2019 r. poz. 60, 730 i 1133).
3. Czynności dokonane w postępowaniach, o których mowa w ust. 1, pozostają skuteczne.
4. Postępowania prowadzone na podstawie rozdziału 6 ustawy uchylanej w art. 175 umarza się. Decyzji o umorzeniu postępowania nie wydaje się.
Przepis art. 160 ust. 2 u.o.d.o. stanowi zatem, że postępowania wszczęte i niezakończone przed 25 maja 2018 r. prowadzi się na podstawie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Zdaniem Naczelnego Sądu Administracyjnego wykładnia tego przepisu wskazuje na to, że w postępowaniach wszczętych pod rządami ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, które nie zostały prawomocnie zakończone do czasu uchylenia tej ustawy, należy stosować przepisy u.o.d.o. z 1997 r. i to zarówno w zakresie podejmowanych czynności proceduralnych, jak i materialnoprawnej oceny zdarzeń będących przedmiotem postępowania. Należy zgodzić się za stanowiskiem, że z brzmienia cytowanego przepisu nie wynikają żadne ograniczenia co do zakresu stosowania przepisów u.o.d.o. z 1997 r. w postępowaniach, które zostały wszczęte i niezakończone przed 25 maja 2018 r. Gdyby intencją ustawodawcy było rzeczywiście ograniczenie zakresu stosowania przepisów u.o.d.o. z 1997 r. do czynności proceduralnych, to wskazałby to wprost w treści art. 160 ust. 2 u.o.d.o. z 2018 r., np. przez wymienienie konkretnych przepisów "starej" ustawy mających zastosowanie w postępowaniach niezakończonych przed wejściem w życie i rozpoczęciem stosowania nowych regulacji prawnych. Dobrą praktyką legislacyjną jest bowiem, aby przepisy przejściowe były formułowane w sposób jednoznaczny i aby precyzyjnie odnosiły się do konkretnych postępowań, stanów prawnych lub czynności, które zaistniały pod rządami starych przepisów (por. Dobre praktyki legislacyjne. Przepisy przejściowe a zasada działania nowego prawa wprost, pub. www.rcl.gov.pl.). Skoro takie nie zostały wprost wymienione w analizowanym wykładanym przepisie, uzasadnione jest twierdzenie, że u.o.d.o. z 1997 r. ma zastosowanie zarówno w aspekcie proceduralnym, jak też materialnym, w postępowaniach wszczętych i niezakończonych przed 25 maja 2018 r. Nie sposób przy tym przyjąć, iż taka regulacja jest efektem niedbalstwa ustawodawcy lub jego nieprzemyślanych decyzji, i jego rzeczywisty zamiar w tym względzie był inny, bowiem w odniesieniu do postępowań, których dalsze prowadzenie, czy to w oparciu o "stare", czy też "nowe" przepisy, uznał za niecelowe lub bezprzedmiotowe, wprost to uregulował w art. 160 ust. 4 u.o.d.o. Jest to jedyne wyłączenie, na które zdecydował się ustawodawca, w odniesieniu do postępowań wszczętych przed organem właściwym w sprawie ochrony danych osobowych i niezakończonych przed 25 maja 2018 r.
Powyższe stanowisko zostało także zaakceptowane w doktrynie. P. Fajgielski komentując art. 160 u.o.d.o. wskazuje, że "[k]omentowany artykuł stanowi kolejny przepis intertemporalny odnoszący się do postępowań prowadzonych przez poprzedni organ nadzorczy - GIODO. Postępowania, które nie zostały zakończone do 25 maja 2018 r., mają być nadal prowadzone przez nowy organ - Prezesa Urzędu Ochrony Danych Osobowych, w oparciu o stare przepisy (u.o.d.o.1997) i zasady określone w Kodeksie postępowania administracyjnego, przy czym komentowany przepis wskazuje, że czynności dokonane w tych postępowaniach pozostają skuteczne" (P. Fajgielski, Komentarz do ustawy o ochronie danych osobowych, (w:) Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz. WKP 2018, LEX).
Natomiast w Komentarzu do ustawy o ochronie danych osobowych SIP LEX 2023 r. pod red. B. Marcinkowskiego podniesiono, że "Prezes Urzędu - jako sukcesor prawny GIODO - prowadzi postępowania wszczęte przed 25 maja 2018 r. i niezakończone przed tym dniem. W celu realizacji ciągłości postępowania, jak również przeciwdziałaniu retroaktywności prawa, ustawodawca zdecydował, że do tych postępowań będą miały zastosowanie dotychczasowe przepisy - ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych oraz zasady określone w Kodeksie postępowania administracyjnego. Innymi słowy, postępowania wszczęte i niezakończone przed 25 maja 2018 r. toczą się dalej na dotychczasowych zasadach, jednakże prowadzone są przez Prezesa Urzędu".
Z kolei I. Bogucka w Komentarzu do ustawy o ochronie danych osobowych z 2018 r. SIP LEX 2023 wskazuje, że "[z) dniem wejścia w życie komentowanej ustawy (25 maja 2018 r.) utraciła moc obowiązującą ustawa o ochronie danych osobowych z 1997 r. Derogacja aktu prawnego nie oznacza jednak, że nie może on znaleźć zastosowania i nie mogą być dokonywane akty stosowania prawa oparte na uchylonych przepisach - o ile tylko rozstrzygane są fakty prawne, które zaszły w czasie, gdy derogacja jeszcze nie nastąpiła. Kwestię, jaki przepis powinien mieć zastosowanie w przypadku zmiany stanu prawnego, powinien każdorazowo unormować prawodawca poprzez wskazanie wybranej reguły intertemporalnej. Wyznaczenie w przepisach prawa zakresu temporalnego faktów, z którymi wiązane są skutki prawne, może nastąpić w zróżnicowany sposób, w szczególności prawodawca może w przepisie wskazać termin ad quem, zgodnie z którym faktami prawnymi rodzącymi skutki prawne są opisane tam fakty następujące "do dnia" lub "przed dniem". W art. 160 ust. 2 komentowanej ustawy prawodawca zawarł regulację o charakterze intertemporalnym, zgodnie z którą postępowania wszczęte i niezakończone przed dniem wejścia w życie aktualnie obowiązującej ustawy są prowadzone na podstawie ustawy poprzednio obowiązującej." W ostatnim z wymienionych komentarzy powołano się na monografię T. Pietrzykowskiego, w której autor zwraca uwagę, że zasada lex retro non agit (rozumiana jako zakaz retroaktywnego stosowania prawa) i zasada tempus regit actum (zalecająca oceniać skutki zdarzeń prawnych na podstawie przepisów obowiązujących w czasie, gdy zdarzenia te nastąpiły) zawierają w praktyce równoważną dyrektywę nakazującą stosowanie do oceny faktu prawnego przepisów obowiązujących w czasie jego wystąpienia, nie zaś przepisów obowiązujących w chwili wydania decyzji stosowania prawa (por. T. Pietrzykowski, Wsteczne działanie prawa i jego zakaz, Kraków 2004).
W tym konkretnym przypadku nie można odwołać się do bezpośredniego stosowania RODO, w tym jego art. 12 w związku z art. 15 ust. 1 lit. c. Nie negując zasady bezpośredniego stosowania rozporządzeń UE w porządku prawnym państwa członkowskiego należy bowiem zauważyć, że oznacza ona jedynie tyle, że przepisy zawarte w takim rozporządzeniu nie wymagają dla uzyskania mocy obowiązującej w tym państwie żadnej transpozycji do krajowych aktów prawnych, stając się wprost elementem porządku prawnego tego państwa. Należy też zauważyć, że z przepisów RODO, w tym z art. 99 ust. 1 i 2, nie wynika, aby przepisy art. 12 i 15 RODO miały zastosowanie do oceny zdarzeń mających miejsce przed 25 maja 2018 r., tj. przed dniem, od którego to rozporządzenie ma zastosowanie w państwach członkowskich.
Odnosząc się zatem do zasady bezpośredniego działania nowego prawa rozumianej jako decyzja ustawodawcy (podjęta chociażby przez rezygnację z uchwalenia przepisów intertemporalnych) oznaczająca stosowanie, od chwili ich wejścia w życie, nowych norm prawnych do wszystkich stosunków, zdarzeń i stanów rzeczy zarówno tych, które dopiero powstają, jak i tych które powstały przed wejściem w życie nowych norm, ale trwają w czasie dokonywania zmiany prawa - należy podnieść, że zasada ta nie w każdym przypadku ma i może mieć zastosowanie, gdyż w polskim systemie prawnym nie obowiązuje żadna ogólna zasada (lub domniemanie) bezpośredniego działania prawa nowego. W tym zakresie rację ma Trybunał Konstytucyjny, który stwierdził, że "obiegowo przyjmowana teza, jakoby istniało swoiste "domniemanie" przemawiające za bezpośrednim działaniem prawa nowego jest - obecnie - znacznym konstytucyjnym uproszczeniem" (wyrok TK z 9 czerwca 2003 r., SK 12/03, OTK-A, Nr 6, poz. 51; zob. też wyroki TK: z 23 lipca 2013 r., P 36/12, OTK seria A, Nr 6, poz. 81, i z 5 grudnia 2013 r., K 27/13, OTK A, Nr 9, poz. 134). Obecnie nie ma już wątpliwości, że brak przepisów przejściowych oznacza lukę w zakresie rozstrzygnięcia problemów intertemporalnych i z żadnego z przepisów obowiązującej Konstytucji RP nie da się wyprowadzić "domniemania" bezpośredniego działania prawa nowego. Trzeba więc kwestie intertemporalne rozstrzygać wyraźnymi przepisami przejściowymi (tak: G. Wierczyński, Komentarz do rozporządzenia w sprawie "Zasad techniki prawodawczej", (w:) Redagowanie i ogłaszanie aktów normatywnych. Komentarz, wyd. II, WK 2016, LEX/el. 2019).
W orzecznictwie Naczelnego Sądu Administracyjnego mocno podkreślana jest zasada niedziałania prawa wstecz (lex retro non agit), jako jedna z podstawowych zasad prawa międzyczasowego, od której odstąpić można jedynie w wyjątkowych sytuacjach, jeżeli przemawiałaby za tym konieczność ochrony istotnych wartości konstytucyjnych. W wyroku z 26 października 2017 r. (sygn. akt II GSK 24/16) Naczelny Sąd Administracyjny stwierdził, że "[w) demokratycznym porządku prawnym prawo powinno działać w zasadzie na przyszłość, a nie wstecz, w tym znaczeniu, że powinno wiązać określone w nim skutki prawne ze zdarzeniami mającymi miejsce po jego wejściu w życie. Zasada lex retro non agit jest adresowana przede wszystkim do ustawodawcy i zakazuje mu stanowić norm prawnych, które miałyby być stosowane do zdarzeń, sytuacji, które miały miejsce i zostały zakończone przed wejściem w życie tych norm (szerzej na ten temat m.in. (w:) Proces prawotwórczy w świetle orzecznictwa Trybunału Konstytucyjnego. Wypowiedzi Trybunału Konstytucyjnego dotyczące zagadnień związanych z procesem legislacyjnym. Warszawa 2015, s. 48 i nast. oraz przytoczone tam orzecznictwo TK). Zasada ta nie ma charakteru bezwzględnego, można od niej odstąpić, jednakże wyjątkowo, jeżeli przemawia za tym konieczność ochrony innych wartości konstytucyjnych niż bezpieczeństwo prawne i zaufanie obywateli do państwa zagrożone pogorszeniem ich sytuacji prawnej wskutek nałożenia na nich określonych obowiązków z mocą wsteczną". Dalej NSA stwierdził też że "[n]awet jeżeli przyjąć, że zasadą ogólną jest bezpośrednie działanie prawa, to z samej tej zasady nie można wyprowadzać domniemania, że wobec braku konkretnej wypowiedzi ustawodawcy, przepis, zwłaszcza materialnoprawny może mieć zastosowanie z mocą wsteczną (np. wyroki TK: z 9 czerwca 2003 r., sygn. SK 12/03, OTK nr 6/A/2003, poz. 51 i z 23 lipca 2013 r., P 36/12, OTK nr 6/2013, poz. 82). Należy bowiem podkreślić, że granice jego zastosowania w czasie wyznacza zasada lex retro non agit (por. wyrok TK z 12 maja 2009 r., P 66/07, OTK nr 5/A/2009, poz. 65)". Z kolei w wyroku z 6 stycznia 2010 r., sygn. akt II GSK 266/09, NSA stwierdził, że "W razie kolizji, czy w sprawie ma zastosowanie przepis dotychczasowy, czy nowy, przyjmuje się, że przepis dotychczasowy ma zastosowanie, jeżeli pod jego rządem powstał (zmienił się albo wygasł) stosunek prawny, którego treść została bezpośrednio wyznaczona przez ten przepis. Na tej podstawie sformułowana została ogólna zasada, w myśl której nowa ustawa nie ma być stosowana przy ocenie tak pozytywnych, jak i negatywnych skutków zdarzeń prawnych, które nastąpiły przed jej wejściem w życie (por. J. Gwiazdomorski, Międzyczasowe prawo prywatne; "Nowe Prawo" 1965, nr 6). Podobne stanowisko prezentowane jest w nowszym piśmiennictwie. I tak, dalsze działanie ustawy dawnej zachodzi, jeżeli należy oceniać wedle jej przepisów zaszłe po wejściu w życie ustawy nowej skutki zdarzenia prawnego, które:
1) nastąpiło przed wejściem w życie ustawy nowej albo
2) nastąpiło po wejściu w życie ustawy nowej i związane jest z sytuacją prawną powstałą przed wejściem w życie ustawy nowej.
Zachodzi ono w szczególności, gdy ustawie dawnej dalej podlega, po jej uchyleniu, treść stosunku prawnego powstałego, czy też szerzej - sytuacja prawna powstała, przed jej uchyleniem. Istnienie takiego stosunku prawnego o określonej treści w danym czasie jest bowiem skutkiem zdarzenia prawnego, które nastąpiło przed uchyleniem ustawy dawnej i ukształtowało tę treść. Dalsze działanie ustawy dawnej zachodzi także, jeżeli ustawie dawnej podlegają skutki zdarzenia prawnego, które wprawdzie nastąpiło już po jej uchyleniu, lecz związane jest z sytuacją prawną powstałą, w szczególności stosunkiem prawnym powstałym, pod jej rządami (por. M. Kłoda, Sposoby działania ustawy w prawie międzyczasowym prywatnym; "Przegląd Legislacyjny" 2001.1.7). Przedstawione wyżej poglądy Naczelny Sąd Administracyjny podziela.
Na gruncie niniejszej sprawy nie budzi wątpliwości Naczelnego Sądu Administracyjnego, że zdarzenie prawne będące przedmiotem oceny materialnoprawnej Prezesa UODO, tj. skarga na nieprawidłowości w procesie przetwarzania danych osobowych, jak i samo kwestionowane udostępnienie danych osobowych, miały miejsce przed 25 maja 2018 r. a więc w czasie gdy obowiązywała ustawa o ochronie danych osobowych z 1997 r. Zdarzenie prawne będące przedmiotem oceny Prezesa UODO było zdarzeniem, które zakończyło się przed wszczęciem postępowania administracyjnego. To, czy istotnie doszło do nieprawidłowości w procesie przetwarzania danych osobowych, wymagało oceny organu przy zastosowaniu odpowiedniego prawa materialnego. O zastosowaniu starego czy nowego prawa decyduje moment, w którym doszło do ocenianego zdarzenia, to jest udostępnienia danych osobowych. Zdarzenie podlega zatem ocenie według przepisów obowiązujących na dzień tego zdarzenia, a nie według przepisów nowych, obowiązujących później.
Zasadność analizowanego wyżej zarzutu skargi kasacyjnej przesądza o konieczności uchylenia zaskarżonego wyroku. Z uwagi na fakt, iż istota sprawy została dostatecznie wyjaśniona, Sąd uznał za konieczne podjęcie rozstrzygnięcia merytorycznego poprzez uchylenie zaskarżonej decyzji oraz poprzedzającej ją decyzji Prezesa Urzędu Ochrony Danych Osobowych z [...] stycznia 2019 r. znak [...].
Nie jest natomiast uzasadniony zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 28 k.p.a., w zw. z art. 61 § 1 k.p.a. oraz w zw. z art. 23 k.c. Udostępnienie danych osobowych nastąpiło w wyniku rozpoznania wniosku o udostępnienie informacji publicznej. Stroną w takim postępowaniu jest wyłącznie wnioskodawca, a nie osoba, której dane są udostępniane. Postępowanie w sprawie udostępnienia informacji publicznej nie jest postępowaniem administracyjnym jurysdykcyjnym i nie znajdują do niego zastosowania przepisy Kodeksu postępowania administracyjnego, aż do momentu, w którym podmiot zobowiązany zamierza wydać decyzję administracyjną w oparciu o art. 14 ust. 2 lub art. 16 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (t.j. Dz.U. z 2022 r., poz. 902). Na etapie udostępniania informacji publicznej nie znajdują zastosowania w szczególności art. 28 k.p.a. oraz art. 61 § 1 k.p.a. Zgodnie z art. 61 § 1 k.p.a. postępowanie administracyjne wszczyna się na żądanie strony lub z urzędu. Tymczasem art. 10 ustawy o dostępie do informacji publicznej wyraźnie wprowadza tryb wnioskowy, stanowiąc, że informacja publiczna, która nie została udostępniona w Biuletynie Informacji Publicznej lub portalu danych, jest udostępniana na wniosek, a informacja publiczna, która może być niezwłocznie udostępniona, jest udostępniana w formie ustnej lub pisemnej bez pisemnego wniosku.
Trafne jest stanowisko organu oraz Sądu I instancji, iż nie było podstaw do uznania, że udostępnienie danych osobowych było niezbędne z punktu widzenia praw M. M. na gruncie art. 23 k.c. Kwestia ta jednakże nie powinna być rozpatrywana w oparciu o przepisy RODO, lecz o przepisy materialnoprawne u.o.d.o. z 1997 r.
Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna jest zasadna, dlatego na mocy art. 188 p.p.s.a. orzekł jak w punkcie I sentencji wyroku. Ponownie rozstrzygając sprawę organ weźmie pod uwagę ocenę prawną wyrażoną w niniejszym wyroku.
O kosztach postępowania orzeczono na podstawie art. 200 p.p.s.a., art. 205 § 2 p.p.s.a. oraz art. 203 pkt 1 p.p.s.a.