III OSK 32/23

III OSK 32/23 - Wyrok NSA
Data orzeczenia
2025-12-12
orzeczenie prawomocne
Data wpływu
2023-01-05
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Arkadiusz Windak
Sławomir Wojciechowski
Wojciech Jakimowicz /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 3812/21 - Wyrok WSA w Warszawie z 2022-10-06
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2025 poz 764
art. 7e ust. 1
Ustawa z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych  chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (t. j.)
Dz.U. 2025 poz 1071
art. 117, art. 188 i art. 119
Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny
Dz.U.UE.L 2016 nr 119 poz 1 art. 5 ust. 1 lit.a i b, ust. 2, art. 6 ust. 1 lit.e i art. 9 ust. 1 i ust. 2 lit. i  art. 58 ust. 2 lit. c
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Wojciech Jakimowicz (spr.) Sędziowie: Sędzia NSA Sławomir Wojciechowski Sędzia del. WSA Arkadiusz Windak Protokolant: asystent sędziego Aleksandra Kraus po rozpoznaniu w dniu 12 grudnia 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Ministra Cyfryzacji od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 6 października 2022 r., sygn. akt II SA/Wa 3812/21 w sprawie ze skargi Ministra Cyfryzacji na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 10 września 2021 r., nr DS.523.6501.2020.ZS.AO w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 6 października 2022 r., sygn. akt II SA/Wa 3812/21 oddalił skargę Ministra Cyfryzacji (dalej także jako: strona skarżąca, Minister) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej także jako: Prezes UODO, organ) z dnia 10 września 2021 r., nr DS.523.6501.2020.ZS.AO w przedmiocie przetwarzania danych osobowych.
Wyrok ten zapadł w następującym stanie faktycznym i prawnym sprawy:
Decyzją z dnia 10 września 2021 r., nr DS.523.6501.2020.ZS.AO Prezes Urzędu Ochrony Danych Osobowych, na podstawie art. 104 § 1 Kodeksu postępowania administracyjnego w związku z art. 9 ust. 1 i art. 5 ust. 2 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych); dalej jako: RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi P. Ł. (dalej także jako: uczestnik postępowania) na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Ministra, polegające na odmowie usunięcia jego danych osobowych przetwarzanych za pośrednictwem aplikacji "kwarantanna domowa", nakazał Ministrowi usunięcie danych osobowych uczestnika postępowania przetwarzanych za pośrednictwem aplikacji "Kwarantanna domowa" w zakresie ID Obywatela – techniczny identyfikator Obywatela; imię; nazwisko; numer telefonu; deklarowany adres pobytu; lokalizacja, w tym deklarowana lokalizacja odbywania kwarantanny oraz lokalizacja wyznaczona przez system w czasie wykonywania zadania weryfikacji; data końca kwarantanny.
W uzasadnieniu decyzji organ wskazał, że do Urzędu Ochrony Danych Osobowych wpłynęła skarga uczestnika postępowania na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Ministra Cyfryzacji, polegające na odmowie usunięcia jego danych osobowych przetwarzanych za pośrednictwem aplikacji "Kwarantanna domowa".
Prezes UODO podał, że w toku prowadzonego postępowania administracyjnego uzyskał następujące wyjaśnienia odnośnie do okoliczności sprawy. Uczestnik postępowania korzystał z aplikacji "Kwarantanna domowa" w dniach od 2 do 19 grudnia 2020 r. Uczestnik postępowania za pośrednictwem maila, który dotarł na skrzynkę odbiorczą Ministra w dniu 19 grudnia 2020 r., powołując się na art. 17 RODO, zawnioskował o usunięcie jego danych osobowych z bazy danych Administratora oraz baz danych ewentualnych podmiotów z nim powiązanych. Uczestnik postępowania podkreślił, że nie wyraża zgody na przetwarzanie jego danych osobowych, cofa wyrażoną przez siebie zgodę w tym zakresie oraz nie wyraża zgody na kontaktowanie się z nim za pośrednictwem podanego numeru telefonu oraz adresu mailowego. Uzasadniając swój wniosek uczestnik postępowania wskazał na brak konieczności przetwarzania jego danych osobowych z uwagi na zakończenie kwarantanny.
W dniu 22 grudnia 2020 r. z adresu: www.aplikacja.kwarantannadomowa.mc.gov.pl wysłano uczestnikowi postępowania odpowiedź na jego wniosek, w której poinformowano go, że przetwarzanie danych osobowych w aplikacji "Kwarantanna domowa" odbywa się ze względu na ważny interes publiczny, tj. zaistniałą sytuację związaną z rozprzestrzenianiem się wirusa SARS-CoV-2, dlatego dane osobowe uczestnika postępowania nie mogą zostać usunięte. Minister wskazał, że aplikacja jest obowiązkowa dla osób objętych kwarantanną, a przetwarzanie ich danych osobowych odbywa się na podstawie art. 9 ust. 2 lit. i RODO w związku z art. 7e ust. 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych. Jednocześnie wyjaśnił, że wniesienie żądania usunięcia danych nie powoduje automatycznego zaprzestania ich przetwarzania. Administrator może odmówić zaprzestania przetwarzania danych osobowych, jeżeli ma ono miejsce – tak jak w niniejszym przypadku – ze względu na ważny interes publiczny. Z uwagi na to, że uczestnik postępowania nie przedłożył dowodu świadczącego o błędnym nałożeniu na niego obowiązku odbywania kwarantanny, a taki obowiązek jest obowiązkiem ustawowym z uwagi na sytuację epidemiologiczną, to w ocenie Ministra powoduje to, że wniesienie żądania usunięcia danych nie może być przez Administratora zrealizowane. Zgodnie z Regulaminem aplikacji, dane użytkowników aplikacji są gromadzone wyłącznie w trakcie korzystania z aplikacji i są przechowywane (z wyjątkiem zdjęć, które usuwane są w momencie dezaktywacji konta) przez okres przedawnienia roszczeń określony w art. 118 Kodeksu cywilnego (6 lat), który jest liczony od momentu dezaktywacji konta w systemie.
Sekretarz Stanu w Kancelarii Prezesa Rady Ministrów wyjaśnił, że administratorem danych osobowych przetwarzanych w aplikacji i systemie wspomagającym jej działanie jest Minister Cyfryzacji. Podstawą prawną obligującą osoby podlegające obowiązkowej kwarantannie w związku z podejrzeniem zakażenia wirusem SARS-CoV-2 do instalacji na swoim urządzeniu mobilnym oprogramowania udostępnionego przez ministra właściwego do spraw informatyzacji, jest art. 7e ust. 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych. Zakres danych osobowych osób objętych kwarantanną przetwarzanych w aplikacji jest następujący: ID Obywatela – techniczny identyfikator Obywatela; imię; nazwisko; numer telefonu; deklarowany adres pobytu; zdjęcie; lokalizacja Obywatela, w tym deklarowana lokalizacja odbywania kwarantanny oraz lokalizacja wyznaczona przez system w czasie wykonywania zadania weryfikacji; data końca kwarantanny. Przetwarzanie danych osobowych następuje w celu wsparcia służb w monitoringu realizacji kwarantanny osób co do których istnieje podejrzenie, że mogą być roznosicielami choroby zakaźnej COVID-19.
Sekretarz Stanu wskazał również, że w przypadku uczestnika postępowania 6-letni okres przechowywania danych w celu związanym z przedawnieniem roszczeń rozpoczyna się w dniu 20 grudnia 2020 r.
Prezes UODO stwierdził, że podziela poglądy wyrażone w dotychczasowym orzecznictwie o niedopuszczalności przetwarzania danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości (zob. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 11 stycznia 2017, sygn. akt II SA/Wa 1574/16, wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 12 lipca 2017 r. sygn. akt II SA/Wa 2221/16).
W ocenie organu w przedmiotowej sprawie Minister Cyfryzacji nie wykazał, na jakiej podstawie uznał przypuszczenie powstania roszczeń za uzasadnione, ani nie wykazał, by obecnie toczyło się postępowanie, w którym Minister Cyfryzacji broni lub dochodzi roszczeń. Co więcej, Minister Cyfryzacji nie wykazał żadnej innej przesłanki, która pozwalałaby na przetwarzanie danych osobowych uczestnika postępowania, zwłaszcza, że uczestnik postępowania nie wyraził zgody na przetwarzanie jego danych po zakończeniu przez niego kwarantanny.
Prezes UODO uznał, biorąc pod uwagę stanowisko EROD oraz art. 5 ust. 1 lit. b RODO, zgodnie z którym dane można przetwarzać ściśle do tego celu, których dane dotyczą oraz to, że w przedmiotowej sprawie kwarantanna uczestnika postępowania zakończona została w dniu 19 grudnia 2019 r., a co za tym idzie dezaktualizacji uległ cel przetwarzania danych określony w art. 7e specustawy oraz brak jest innej podstawy do przetwarzania danych, że aktualne przetwarzanie danych osobowych uczestnika postępowania przez Ministra Cyfryzacji za pośrednictwem aplikacji "Kwarantanna domowa" odbywa się z naruszeniem art. 5 ust. 1 lit. a i lit. b oraz art. 6 ust. 1 RODO.
Organ podkreślił przy tym, że podstawy prawnej do przetwarzania danych osobowych nie może stanowić regulamin aplikacji "Kwarantanna domowa", który wskazuje dodatkowo inne niż wskazane w art. 7e specustawy cele przetwarzania danych, bowiem nie może on zastąpić prawa powszechnie obowiązującego.
W związku z powyższym w ocenie Prezesa UODO, Minister Cyfryzacji nieprawidłowo przetwarza dane osobowe uczestnika postępowania w zakresie: ID Obywatela - techniczny identyfikator Obywatela; imię; nazwisko; numer telefonu; deklarowany adres pobytu; lokalizacja, w tym deklarowana lokalizacja odbywania kwarantanny oraz lokalizacja wyznaczona przez system w czasie wykonywania zadania weryfikacji; data końca kwarantanny, z uwagi na niewykazanie przez Ministra Cyfryzacji legitymowania się przesłanką legalizującą przetwarzanie danych osobowych uczestnika postępowania w przedmiotowym zakresie po zakończeniu przez niego kwarantanny domowej.
Wobec powyższego organ nakazał usunięcie danych osobowych uczestnika postępowania w powyższym zakresie.
W piśmie z dnia 9 października 2021 r. strona skarżąca wywiodła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na ww. decyzję Prezesa Urzędu Ochrony Danych Osobowych i wnosząc o uchylenie zaskarżonej decyzji w całości oraz o zasądzenie od organu na rzecz Ministra zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych, zaskarżonemu rozstrzygnięciu zarzuciła:
I. naruszenie prawa procesowego, tj. art. 7 w związku z art. 77 § 1 oraz art. 80 Kodeksu postępowania administracyjnego polegające na niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy i załatwienia sprawy, co skutkowało nakazaniem Ministrowi usunięcia danych osobowych uczestnika postępowania;
II. naruszenie prawa materialnego, tj.:
1. art. 7e ust. 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych w związku z art. 6 ust. 1 lit. e i art. 9 ust. 2 lit. i RODO w związku z art. 1171 § 2, art. 118 i art. 119 Kodeksu cywilnego polegające na uznaniu, że przechowywanie danych uczestnika postępowania przez okres przedawnienia roszczeń jest sprzeczne z przesłankami legalizacyjnymi przetwarzanie danych osobowych wskazanych w art. 7e ust. 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych w związku z art. 6 ust. 1 lit. e i art. 9 ust. 2 lit. i RODO;
2. art. 9 ust. 1 w związku z art. 5 ust. 2 oraz art. 58 ust. 2 lit. c RODO, poprzez ich niewłaściwe zastosowanie polegające na nakazaniu Ministrowi Cyfryzacji usunięcia danych osobowych uczestnika przetwarzanych za pośrednictwem aplikacji "Kwarantanna domowa".
W uzasadnieniu skargi Minister podniósł, że po zakończeniu kwarantanny przetwarzanie danych osobowych użytkowników aplikacji "Kwarantanna domowa" (w tym uczestnika postępowania) odbywa się jedynie w celu określonym w powszechnie obowiązujących przepisach prawa, to jest zgodnie z art. 118 Kodeksu cywilnego. Przytoczony przepis prawa wskazuje także dopuszczalny okres, przez który administrator może przetwarzać dane osobowe. Wbrew prezentowanemu stanowisku PUODO, w ocenie Ministra zapewnienie okresu dla ewentualnych roszczeń, które są przedmiotem rozważania w przywołanym przepisie, jest jak najbardziej uzasadnione. Jak wskazał Minister, przykładowo roszczenie może powstać w związku ze zdarzeniem związanym z okresem podlegania obowiązkowi kwarantanny. Zatem, ewentualne roszczenie może wnieść każda ze stron, która zostanie dotknięta zdarzeniem związanym z funkcjonowaniem aplikacji "Kwarantanna domowa". Roszczenie takie może zostać wniesione do właściwego sądu powszechnego w terminie przewidzianym przepisami prawa powszechnie obowiązującego.
W ocenie Ministra Cyfryzacji, nie jest możliwe wskazanie zaistnienia konkretnego zdarzenia, które stanowić będzie podstawę do dochodzenia roszczenia, już na wstępnym etapie danego procesu przetwarzania danych osobowych. Roszczenie może powstać także po zakończeniu obowiązku odbycia kwarantanny oraz korzystania z aplikacji "Kwarantanna domowa", a może mieć bezpośredni związek z jej przebiegiem. Wówczas niezbędne może okazać się udowodnienie okoliczności związanych z użytkowaniem aplikacji podczas kwarantanny, w odniesieniu do konkretnej osoby fizycznej, korzystającej z aplikacji "Kwarantanna domowa", a co za tym idzie konieczne będzie również przetwarzanie danych osobowych dotyczących tej osoby.
Minister wskazał, że planując proces przetwarzania danych osobowych, przyjął wyraźnie określone cele przetwarzania, mające swoje uzasadnienie w powszechnie obowiązujących przepisach prawa. Administrator zastosował adekwatne podstawy prawne, określił minimalny zakres danych osobowych niezbędny do realizacji przyjętych celów oraz niezbędny czas przetwarzania danych osobowych. Wszystkie działania były realizowane przy zastosowaniu zasad określonych w art. 5 RODO oraz przesłanek legalizujących przetwarzanie danych osobowych wskazanych w art. 6 ust. 1 lit. e i art. 9 ust. 2 lit. i RODO.
Zdaniem Ministra, wbrew twierdzeniom organu, w realiach przedmiotowej sprawy nie można mówić o "przetwarzaniu na zapas", skoro istnieją roszczenia, które mogą być dochodzone wobec administratora danych. Wszczęcie przez uczestnika postępowania przed Prezesem UODO sugeruje wprost, że uczestnik uważa, że przetwarzanie jego danych odbywało się z naruszeniem prawa, co bardzo jasno wskazuje na realną możliwość dochodzenia przez niego roszczeń przed sądem.
W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie podtrzymując w całości stanowisko wyrażone w zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 6 października 2022 r., sygn. akt II SA/Wa 3812/21 oddalił skargę Ministra na decyzję Prezesa UODO z dnia 10 września 2021 r., nr DS.523.6501.2020.ZS.AO w przedmiocie przetwarzania danych osobowych.
W uzasadnieniu wyroku Sąd I instancji wyjaśnił na wstępie, że przepisem uprawniającym administratorów do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Natomiast przesłanki legalności przetwarzania szczególnych kategorii danych osobowych, w tym danych osobowych dotyczących zdrowia, określone zostały w art. 9 ust. 2 RODO. Katalog przesłanek wymienionych w art. 6 ust. 1 i art. 9 ust. 2 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych.
W konsekwencji Sąd I instancji podkreślił, że zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator wykaże spełnienie innej z wymienionych w art. 6 ust. 1 i art. 9 ust. 2 RODO przesłanek.
Jak wskazał Wojewódzki Sąd Administracyjny w Warszawie, zgodnie z art. 5 ust. 1 lit. a, lit. b i lit. c RODO dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"), zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu") oraz adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych").
Następnie Sąd I instancji wyjaśnił, że zgodnie z wytycznymi Europejskiej Rady Ochrony Danych w sprawie aplikacji wspierających walkę z COVID-19, omawiane aplikacje mają stanowić narzędzie umożliwiające wykonywanie konkretnych zadań, tj. identyfikacji i poddaniu testom oraz udzieleniu porad osobom, które miały kontakt z osobami zarażonymi COVID-19. Wojewódzki Sąd Administracyjny w Warszawie podkreślił przy tym, że z uwagi na ekstraordynaryjny charakter środków służących do walki z pandemią należy cele te pojmować wąsko.
Wojewódzki Sąd Administracyjny w Warszawie wskazał, że kwestie związane z przetwarzaniem danych dotyczących zdrowia na skutek działań zapobiegających rozprzestrzenianiu się wirusa COVID-19 regulowane są w Polsce w przepisach szczególnych, w tym przede wszystkim w ustawie z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych, tzw. specustawie. Wskazane przepisy nie stoją w sprzeczności z zasadami przetwarzania danych i nie naruszają RODO, a korespondują z przepisami rozporządzenia. Zgodnie z art. 7e ust. 1 specustawy osoba podlegająca na podstawie przepisów o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi obowiązkowej kwarantannie w związku z podejrzeniem zakażenia wirusem SARS-CoV-2 instaluje na swoim urządzeniu mobilnym udostępnione przez ministra właściwego do spraw informatyzacji oprogramowanie służące do potwierdzania realizacji obowiązku, przestrzegania kwarantanny oraz używa go do potwierdzania realizacji tego obowiązku. Tym samym przetwarzanie danych osobowych osób przebywających na kwarantannie w ramach aplikacji "Kwarantanna domowa" odbywa się na podstawie art. 9 ust. 2 lit. i RODO w związku z art. 7e ust. 1 specustawy, tj. ze względu na niezbędność przetwarzania danych dla ważnego interesu publicznego w dziedzinie zdrowia publicznego, takich jak m.in. ochrona przed transgranicznymi zagrożeniami zdrowotnymi.
Wojewódzki Sąd Administracyjny w Warszawie przypomniał, że w przedmiotowej sprawie ustalono, że uczestnik postępowania przebywał na kwarantannie w okresie od 2 do 19 grudnia 2020 r., korzystając w jej trakcie z aplikacji "Kwarantanna domowa". Jako przesłankę aktualnego przetwarzania danych osobowych uczestnika postępowania w aplikacji "Kwarantanna domowa" Minister Cyfryzacji powołał przedawnienie roszczeń z upływem 6 lat, o których mowa w art. 118 Kodeksu cywilnego, który jest liczony od momentu dezaktywacji konta uczestnika postępowania w systemie, tj. od dnia 19 grudnia 2020 r., a zatem art. 9 ust. 2 lit. f RODO (przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy).
Jednak w ocenie Sądu I instancji organ prawidłowo przyjął w przedmiotowej sprawie, że Minister Cyfryzacji przetwarza dane osobowe niejako "na zapas", ponieważ nie wykazał na jakiej podstawie uznał przypuszczenie powstania roszczeń za uzasadnione, ani nie wykazał by obecnie toczyło się postępowanie, w którym Minister Cyfryzacji broni lub dochodzi roszczeń związanych z funkcjonowaniem aplikacji. Wojewódzki Sąd Administracyjny w Warszawie dodał, że Minister Cyfryzacji nie wykazał też żadnej innej przesłanki, która pozwalałaby na przetwarzanie danych osobowych uczestnika postępowania, zwłaszcza, że nie wyraził on zgody na przetwarzanie jego danych po zakończeniu przez niego kwarantanny.
Biorąc pod uwagę stanowisko EROD oraz art. 5 ust. 1 lit. b RODO, zgodnie z którym dane można przetwarzać ściśle do tego celu, których dane dotyczą, a w przedmiotowej sprawie kwarantanna uczestnika postępowania zakończyła się w dniu 19 grudnia 2019 r., a co za tym idzie dezaktualizacji uległ cel przetwarzania danych określony w art. 7e specustawy oraz brak jest innej podstawy do przetwarzania danych, aktualne przetwarzanie danych osobowych uczestnika postępowania przez Ministra Cyfryzacji za pośrednictwem aplikacji "Kwarantanna domowa" odbywa się w ocenie Sadu I instancji z naruszeniem art. 5 ust. 1 lit. a i lit. b oraz art. 6 ust. 1 RODO. Wojewódzki Sąd Administracyjny w Warszawie podkreślił przy tym, że podstawy prawnej do przetwarzania danych osobowych nie może stanowić regulamin aplikacji "Kwarantanna domowa", który wskazuje dodatkowo inne niż podane w art. 7e specustawy cele przetwarzania danych, bowiem nie może on zastąpić prawa powszechnie obowiązującego.
Skoro w przedmiotowej sprawie Minister Cyfryzacji nie legitymuje się przesłanką legalizującą przetwarzanie danych osobowych uczestnika postępowania po zakończeniu przez niego kwarantanny domowej w zakresie ID Obywatela - techniczny identyfikator Obywatela; imię; nazwisko; numer telefonu; deklarowany adres pobytu; lokalizacja, w tym deklarowana lokalizacja odbywania kwarantanny oraz lokalizacja wyznaczona przez system, to Sąd I instancji uznał, że Prezes UODO prawidłowo nakazał usunięcie danych osobowych uczestnika postępowania w tym zakresie.
Skargę kasacyjną od powyższego wyroku wywiódł Minister i zaskarżając ten wyrok w całości oraz wnosząc o wstrzymanie wykonania zaskarżonej decyzji Prezesa UODO z dnia 10 września 2021 r., nr DS./523/6501.2020.ZS.AO, uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, zasądzenie od organu na rzecz Ministra zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych oraz o rozpoznanie skargi kasacyjnej na rozprawie, zarzucił zaskarżonemu rozstrzygnięciu:
I. naruszenie przepisów prawa materialnego, poprzez jego błędną wykładnię lub niewłaściwe zastosowanie, tj.:
1. art. 7e ust. 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych w związku z art. 6 ust. 1 lit. e i art. 9 ust. 2 lit. i RODO w związku z art. 1171 § 2, art. 188 i art. 119 Kodeksu cywilnego, poprzez błędną wykładnię skutkującą przyjęciem, że przechowywanie danych uczestnika postępowania przez okres przedawnienia roszczeń jest sprzeczne z przesłankami legalizacyjnymi przetwarzanie danych osobowych wskazanych w art. 7e ust. 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych w związku z art. 6 ust. 1 lit. e i art. 9 ust. 2 lit. i RODO, podczas gdy przetwarzanie danych odbywa się na podstawie art 9 ust. 2 lit. f RODO i przyjęciu jakoby przechowywanie danych przez okres przedawnienia roszczeń - również, gdy ani administrator ani osoba, której dane dotyczą nie zgłosiła jeszcze roszczenia, nie stanowi prawnie uzasadnionego interesu Ministra Cyfryzacji, w sytuacji gdy przepisy te uprawniają Ministra Cyfryzacji do przetwarzania danych osobowych w celu ustalenia, dochodzenia i ochrony przed roszczeniami, a w konsekwencji doprowadziło to do naruszenia art. 17 ust. 3 lit. c i e RODO, poprzez jego niezastosowanie, w sytuacji, gdy uczestnikowi nie przysługiwało prawo żądania od administratora niezwłocznego usunięcia jego danych osobowych;
2. art. 9 ust. 1 w związku z art. 5 ust. 2 oraz art. 58 ust. 2 lit. c RODO, poprzez ich błędną wykładnię skutkująca przyjęciem, że decyzja PUODO nakazująca Ministrowi Cyfryzacji usunięcie danych osobowych uczestnika postępowania przetwarzanych za pośrednictwem aplikacji "Kwarantanna domowa" jest prawidłowa i że organowi nadzorczemu przysługiwały uprawnienia naprawcze w postaci nakazania administratorowi spełnienia żądanie osoby, której dane dotyczą, co doprowadziło do oddalenia skargi, w sytuacji gdy podstawę przetwarzania danych uczestnika postępowania stanowi art. 9 ust. 2 lit. f RODO przez okres przedawnienia roszczeń określony w art 118 Kodeksu cywilnego (6 lat), który jest liczony od momentu dezaktywacji konta uczestnika w systemie;
3. art. 5 ust. 1 lit. a i b oraz art. 6 ust. 1 RODO, poprzez jego błędną wykładnię skutkująca przyjęciem, że aktualne przetwarzanie danych uczestnika postępowania przez Ministra odbywa się z jego naruszeniem, podczas gdy przetwarzanie danych osobowych uczestnika postępowania przez Ministra za pośrednictwem aplikacji "Kwarantanna domowa" odbywa się zgodnie z celem przetwarzania, który nie uległ dezaktualizacji, którym jest art. 9 ust 2 lit. f RODO;
4. art. 17 ust. 3 lit. c i e RODO, poprzez jego niezastosowanie, w sytuacji gdy uczestnikowi postępowania nie przysługiwało prawo żądania od administratora niezwłocznego usunięcia jego danych osobowych, z uwagi na to, że żądanie nie ma zastosowania w zakresie w jakim przetwarzanie jest niezbędne, z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego zgodnie z art. 9 ust. 2 lit. h oraz art. 9 ust. 3 oraz do ustalenia, dochodzenia lub obrony roszczeń (art. 17 ust. 3 lit. e RODO), co doprowadziło do oddalenia skargi;
II. naruszenie przepisów postępowania mogące mieć wpływ na wynik sprawy, tj.:
1. art. 151 ustawy Prawo o postępowaniu przed sądami administracyjnymi, poprzez jego niewłaściwe zastosowanie i oddalenie skargi w całości, a w konsekwencji naruszenie art. 145 § 1 lit. c ustawy Prawo o postępowaniu przed sądami administracyjnymi, poprzez jego niezastosowanie w sytuacji, gdy organ naruszył obowiązującą go procedurę postępowania administracyjnego, tj. art. 77 § 1 w związku z art. 7 oraz art. 80 Kodeksu postępowania administracyjnego, poprzez niewyjaśnienie wszystkich istotnych okoliczności sprawy, w drodze niezebrania oraz nierozpatrzenia w sposób wyczerpujący materiału dowodowego w sprawie, w tym w szczególności uznanie za udowodnione okoliczności wynikających jedynie z oświadczenia jednej ze stron postępowania, a pominięcie stanowiska Ministra Cyfryzacji, w sytuacji gdy zachodziły przesłanki do zastosowania art. 145 § 1 lit. c ustawy Prawo o postępowaniu przed sądami administracyjnymi i uchylenia decyzji Prezesa UODO w całości;
2. art. 1 § 2 ustawy Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 7, art. 77 i art. 80 Kodeksu postępowania administracyjnego, poprzez ich niewłaściwe zastosowanie i zaniechanie przez Sąd I instancji wnikliwej kontroli legalności zaskarżonej decyzji oraz oddalenie skargi, pomimo że w toku postępowania administracyjnego nie odniesiono się do kryteriów pozwalających na obiektywną ocenę sytuacji, w szczególności na ustaleniu czy na uczestnika postępowania błędnie został nałożony obowiązek odbywania kwarantanny. Wojewódzki Sąd Administracyjny w Warszawie nie dostrzegł, że organ naruszył normy art 7, art. 77 § 1 oraz art. 80 Kodeksu postępowania administracyjnego, polegające na niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, co skutkowało nakazaniem Ministrowi usunięcia danych osobowych uczestnika postępowania, w wyniku czego błędnie ustalono, że aktualne przetwarzanie danych osobowych uczestnika przez Ministra Cyfryzacji za pośrednictwem aplikacji "Kwarantanna domowa" odbywa się z naruszeniem art. 5 ust. 1 lit. a i lit. b oraz art. 6 ust. 1 RODO, co miało istotny wpływ na wydanie i treść decyzji, gdyż doprowadziło do nakazania Ministrowi usunięcia danych uczestnika postępowania, a także na treść wyroku Sądu I instancji, poprzez oddalenie skargi;
3. art. 151 ustawy Prawo o postępowaniu przed sądami administracyjnymi, poprzez jego niewłaściwe zastosowanie i oddalenie skargi w całości, a w konsekwencji naruszenie art. 145 § 1 lit. a ustawy Prawo o postępowaniu przed sądami administracyjnymi, poprzez jego niezastosowanie, w sytuacji gdy zachodziły przesłanki do zastosowania przez Sąd art. 145 § 1 lit. a ustawy Prawo o postępowaniu przed sądami administracyjnymi i uchylenie decyzji PUODO w całości, w sytuacji gdy naruszone zostały przepisy prawa materialnego: art. 7e ust 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych w związku z art. 6 ust. 1 lit e i art. 9 ust. 2 lit. i RODO w związku z art. 1171 § 2, art. 118 i art. 119 Kodeksu cywilnego, art 9 ust 1 w związku z art. 5 ust. 2 oraz art 58 ust. 2 lit. c RODO; art. 5 ust 1 lit. a i lit. b oraz art. 6 ust. 1 RODO; art. 17 ust. 3 lit. c i e RODO - poprzez jego niezastosowanie;
4. art. 61 § 3 ustawy Prawo o postępowaniu przed sądami administracyjnymi, poprzez jego niewłaściwe zastosowanie skutkujące odmową wstrzymania zaskarżonej decyzji PUODO z dnia 10 września 2021 r., nr DS.523.6501.2020.ZS.AO., w sytuacji gdy wykonanie zaskarżonej decyzji wywoła trudne do odwrócenia skutki w postaci nieodwracalnego i definitywnego usunięcia danych osobowych uczestnika postępowania w okresie, w którym przysługują mu wobec Ministra Cyfryzacji roszczenia cywilnoprawne, co powoduje również ryzyko poniesienia przez Ministra Cyfryzacji znacznej szkody majątkowej, nie sposób ograniczać tego art. tylko do roszczeń aktualnie dochodzonych w chwili wykonywania prawa do bycia zapomnianym.
W uzasadnieniu skargi kasacyjnej strona skarżąca kasacyjnie podkreśliła, że przetwarzanie danych osobowych uczestnika postępowania w aplikacji "Kwarantanna domowa" odbywało się ze względu na ważny interes publiczny, tj. zaistniałą sytuację związaną z rozprzestrzenianiem się wirusa SARS-CoV-2. Aplikacja była obowiązkowa dla osób objętych kwarantanną, a przetwarzanie danych odbywało się na podstawie art. 9 ust. 2 lit. i RODO w związku z art. 7e ust. 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych. W ocenie strony skarżącej kasacyjnie zarówno organ, jak i Sąd I instancji, nie podjęli wszelkich niezbędnych czynności zmierzających do ustalenia, czy obowiązek odbycia kwarantanny został błędnie nałożony na uczestnika postępowania. Natomiast zgodnie z Regulaminem aplikacji, dane użytkowników aplikacji są gromadzone wyłącznie w trakcie korzystania z aplikacji i są przechowywane (z wyjątkiem zdjęć, które usuwane są w momencie dezaktywacji konta) przez okres przedawnienia roszczeń określony w art. 118 Kodeksu cywilnego, tj. przez 6 lat, który jest liczony od momentu dezaktywacji konta w systemie.
Strona skarżąca kasacyjnie podkreśliła, że jedną z głównych zasad przetwarzania danych osobowych jest zasada celowości, nazywana także zasadą "ograniczenia celem" lub "związania celem" przetwarzania. Zgodnie z treścią przepisu art. 5 ust. 1 lit. b RODO, dane osobowe powinny być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Zrealizowanie celów przetwarzania powinno pociągać za sobą zakończenie przetwarzania danych. Jednak w niniejszej sprawie w ocenie strony skarżącej kasacyjnie cel nie został zrealizowany, a więc istnieje podstawa prawna do przetwarzania danych uczestnika postępowania.
Zdaniem strony skarżącej kasacyjnie decyzja Prezesa UODO nakazuje Ministrowi usunięcie danych osobowych uczestnika postepowania, co przekłada się na realizację "prawa do bycia zapomnianym". W związku z powyższym strona skarżąca kasacyjnie wskazała, że prawo do bycia zapomnianym stanowi swoisty konglomerat dwóch uprawnień: prawa do żądania usunięcia danych oraz prawa do żądania poinformowania innych administratorów danych o żądaniu usunięcia danych. Strona skarżąca kasacyjnie podkreśliła, że jeżeli rozpatrujemy ograniczenia tego prawa, to jako całości. Prawo do bycia zapomnianym ograniczone zostało poprzez odwołanie się do przypadków, w których przetwarzanie danych jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Jako że nie można przewidzieć kiedy i jakich roszczeń będą dochodziły podmioty uprawnione, strona skarżąca kasacyjnie podkreśliła, że nie sposób ograniczać komentowanego wyjątku tylko do roszczeń aktualnie dochodzonych w chwili wykonywania prawa do bycia zapomnianym. W przeciwnym wypadku administrator danych stawiany byłby w pozycji nieporównywalnie mniej korzystnej niż osoba, której dane dotyczą, która mogłaby wykonać prawo do bycia zapomnianym, doprowadzając w ten sposób do trwałego usunięcia swoich danych osobowych, a następnie wystąpić z roszczeniem związanym z przetwarzaniem tychże danych, co do którego administrator danych nie dysponowałby już żadnymi środkami dowodowymi, jako że dane usunął. Przez to w ocenie strony skarżącej kasacyjnie administratorzy danych zostaliby pozbawieni realnej możliwości obrony przed roszczeniami podmiotów danych.
W ocenie strony skarżącej kasacyjnie nakaz zawarty w zaskarżonej decyzji oraz podtrzymany w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie, ogranicza skarżącemu kasacyjnie prawo do sądu. W przypadku zarzutów lub roszczeń cywilnych wysuwanych wobec niego, zostanie on pobawiony prawa do obrony. Dane zostaną trwale usunięte. Nie będą zatem istniały dane, które mogą być przetwarzane. Minister Cyfryzacji nie będzie mógł bowiem przetwarzać danych osobowych uczestnika postępowania, które przetwarzać powinien, żeby np. wnieść odpowiedź na pozew, środek zaskarżenia w postępowaniu przed Prezesem UODO.
Odpowiedzi na skargę kasacyjną nie wniesiono.
Postanowieniem z dnia 24 stycznia 2023 r., sygn. akt III OSK 32/23 Naczelny Sąd Administracyjny, na podstawie art. 61 § 3 w związku z art. 193 ustawy Prawo o postępowaniu przed sądami administracyjnymi, wstrzymał wykonanie zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych.
Naczelny Sąd Administracyjny zważył, co następuje:
Zgodnie z treścią art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tj.: Dz.U. z 2024 r., poz. 935) - zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej.
Skargę kasacyjną można oprzeć na następujących podstawach:
1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,
2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.).
Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy.
W skardze kasacyjnej zarzucono naruszenie prawa materialnego, jak i naruszenie przepisów postępowania, przy czym istota zarzutów sformułowanych przez stronę skarżącą kasacyjnie w skardze kasacyjnej sprowadza się do próby podważenia prawidłowości dokonania przez Sąd I instancji wykładni art. 7e ust. 1 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2025 r., poz. 764), dalej jako: "ustawa covidowa" w związku z przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., str. 35), dalej jako: "RODO", tj. art. 5 ust. 1 lit. a i b, ust. 2, art. 6 ust. 1 lit. e i art. 9 ust. 1 i ust. 2 lit. i, lit. f, a także art. 58 ust. 2 lit. c RODO oraz art. 1171 § 2, art. 188 i art. 119 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2025 r. poz. 1071), dalej jako: "k.c." skutkującej błędnym - w ocenie skarżącego kasacyjnie - uznaniu przez Sąd I instancji, że w niniejszej sprawie brak jest przesłanek legalizujących przetwarzanie przez Ministra danych osobowych uczestnika postępowania za pośrednictwem aplikacji "Kwarantanna domowa". Z tego powodu w pierwszej kolejności należało ocenić skuteczność zarzutów naruszenia prawa materialnego. Rozpoznając skargę kasacyjną w tak zakreślonych granicach, stwierdzić jednak należy, że skarga ta nie zasługuje na uwzględnienie.
Ocenę zarzutów sformułowanych przez stronę skarżącą kasacyjnie w ramach pierwszej podstawy kasacyjnej należy rozpocząć od przypomnienia, że naruszenie prawa materialnego może przejawiać się w dwóch postaciach: jako błędna wykładnia albo jako niewłaściwe zastosowanie określonego przepisu prawa. Podnosząc zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, że sąd stosując przepis popełnił błąd subsumcji, czyli że niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie odpowiada lub nie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa. W obu tych przypadkach autor skargi kasacyjnej wykazać musi, jak w jego ocenie powinna być rozumiana norma zawarta w stosowanym przepisie prawa, czyli jaka powinna być jego prawidłowa wykładnia. Jednocześnie należy podkreślić, że ocena zasadności zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie ustalonego w sprawie stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (por. wyrok NSA z dnia 13 sierpnia 2013 r., II GSK 717/12, LEX nr 1408530; wyrok NSA z dnia 4 lipca 2013 r., I GSK 934/12, LEX nr 1372091).
Treść i konstrukcja trzech pierwszych zarzutów naruszenia prawa materialnego umożliwia ich łączne rozpoznanie. Na ich podstawie strona skarżąca kasacyjnie usiłuje bowiem wytknąć Sądowi I instancji dokonanie błędnej wykładni:
1. art. 7e ust. 1 ustawy covidowej w związku z art. 6 ust. 1 lit. e i art. 9 ust. 2 lit. i RODO w związku z art. 1171 § 2, art. 188 i art. 119 k.c., skutkującej przyjęciem, że przechowywanie danych uczestnika postępowania przez okres przedawnienia roszczeń jest sprzeczne z przesłankami legalizacyjnymi przetwarzanie danych osobowych wskazanych w art. 7e ust. 1 ustawy covidowej w związku z art. 6 ust. 1 lit. e i art. 9 ust. 2 lit. i RODO, podczas gdy przetwarzanie danych odbywa się na podstawie art 9 ust. 2 lit. f RODO i przyjęciu jakoby przechowywanie danych przez okres przedawnienia roszczeń - również, gdy ani administrator ani osoba, której dane dotyczą nie zgłosiła jeszcze roszczenia, nie stanowi prawnie uzasadnionego interesu Ministra Cyfryzacji, w sytuacji gdy przepisy te uprawniają Ministra Cyfryzacji do przetwarzania danych osobowych w celu ustalenia, dochodzenia i ochrony przed roszczeniami, a w konsekwencji doprowadziło to do naruszenia art. 17 ust. 3 lit. c i e RODO, poprzez jego niezastosowanie, w sytuacji, gdy uczestnikowi nie przysługiwało prawo żądania od administratora niezwłocznego usunięcia jego danych osobowych;
2. art. 9 ust. 1 w związku z art. 5 ust. 2 oraz art. 58 ust. 2 lit. c RODO skutkującej przyjęciem, że decyzja PUODO nakazująca Ministrowi Cyfryzacji usunięcie danych osobowych uczestnika postępowania przetwarzanych za pośrednictwem aplikacji "Kwarantanna domowa" jest prawidłowa i że organowi nadzorczemu przysługiwały uprawnienia naprawcze w postaci nakazania administratorowi spełnienia żądanie osoby, której dane dotyczą, co doprowadziło do oddalenia skargi, w sytuacji gdy podstawę przetwarzania danych uczestnika postępowania stanowi art 9 ust. 2 lit. f RODO przez okres przedawnienia roszczeń określony w art 118 k.c. (6 lat), który jest liczony od momentu dezaktywacji konta uczestnika w systemie;
3. art. 5 ust. 1 lit. a i b oraz art. 6 ust. 1 RODO, skutkującej przyjęciem, że aktualne przetwarzanie danych uczestnika postępowania przez Ministra odbywa się z jego naruszeniem, podczas gdy przetwarzanie danych osobowych uczestnika postępowania przez Ministra za pośrednictwem aplikacji "Kwarantanna domowa" odbywa się zgodnie z celem przetwarzania, który nie uległ dezaktualizacji, którym jest art. 9 ust 2 lit. f RODO.
Treść powyższych zarzutów umożliwia zatem ich łączne rozpoznanie, bowiem na ich podstawie strona skarżąca kasacyjnie podnosząc zarzut dokonania przez Sąd I instancji błędnej wykładni ww. przepisów usiłuje zakwestionować stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie w zakresie uznania braku przesłanek legalizujących przetwarzanie danych osobowych uczestnika postępowania w niniejszej sprawie, w sytuacji gdy w jej ocenie podstawę tego przetwarzania stanowi art. 7e ust. 1 ustawy covidowej w związku z art. 9 ust. 2 lit. f RODO.
Odnosząc się do konstrukcji i treści omawianych zarzutów podkreślenia wymaga, że podnosząc zarzut błędnej wykładni określonych przepisów prawa strona skarżąca kasacyjnie powinna wskazać, na czym polega błędne rozumienie tych przepisów i jaka, jej zdaniem, powinna być ich prawidłowa wykładnia. Tymczasem w niniejszej sprawie strona skarżąca kasacyjnie w treści omawianych zarzutów nie tylko nie wykazała na czym polega w jej ocenie błędne rozumienie art. 7e ust. 1 ustawy covidowej oraz art. 5 ust. 1 lit. a i b, ust. 2, art. 6 ust. 1 lit. e i art. 9 ust. 1 i ust. 2 lit. i, lit. f, a także art. 58 ust. 2 lit. c RODO oraz art. 1171 § 2, art. 188 i art. 119 k.c. ani też jaka powinna być ich prawidłowa wykładnia, lecz w ogóle nie odnosiła się do kwestii rozumienia tych przepisów przyjętego przez Sąd I instancji.
Nawet jeśli przyjąć – w ramach rekonstrukcji omawianych zarzutów skargi kasacyjnej – że dotyczyły one niewłaściwego zastosowania ww. przepisów, to przywołane zarzuty rozumiane w ten sposób również nie mogły odnieść skutku, bowiem skoro – jak wyżej wskazano – niewłaściwe zastosowanie prawa materialnego oznacza błąd w zakresie subsumcji stanu faktycznego wobec treści stosowanej normy prawnej, to może być ono konsekwencją wcześniejszych błędnych ustaleń w zakresie stanu faktycznego, jak i błędnej wykładni prawa materialnego, ale może mieć miejsce również wtedy, gdy prawidłowe są ustalenia i oceny w zakresie stanu faktycznego oraz wykładnia prawa materialnego, a wadliwość przejawia się wyłącznie w zestawieniu stanu faktycznego ze stanem prawnym sprawy. W rozpatrywanej skardze kasacyjnej nie zakwestionowano natomiast skutecznie ustaleń i ocen w zakresie stanu faktycznego. W treści podniesionych zarzutów nie podważono również prawidłowości wykładni prawa materialnego w zakresie objętym omawianym zarzutem i stosowanego w realiach niniejszej sprawy. Oznacza to, że w realiach rozpatrywanej sprawy istotne jest zweryfikowanie, czy w podniesionych zarzutach strona skarżąca kasacyjnie wykazała, że Sąd I instancji w przyjętym przez ten Sąd stanie faktycznym i prawnym sprawy dokonał ich wadliwego zestawienia. W ocenie Naczelnego Sądu Administracyjnego treść omawianych zarzutów nie daje jednak podstaw do przyjęcia wypełnienia tego obowiązku przez stronę skarżącą kasacyjnie.
Niezależnie od powyższego, odnosząc się do stanowiska strony skarżącej kasacyjnie jakoby podstawę legalizującą przetwarzanie przez Ministra danych osobowych uczestnika postępowania za pośrednictwem aplikacji "Kwarantanna domowa", już po zakończeniu przez niego tejże kwarantanny domowej, mógł stanowić art. 9 ust. 2 lit. f RODO w związku z art. 7e ust. 1 ustawy covidowej, wskazać należy, że ww. stanowisko strony skarżącej kasacyjnie jest niezasadne, a argumentacja przedstawiona przez Wojewódzki Sąd Administracyjny w Warszawie w niniejszej sprawie jest prawidłowa.
Zgodnie z art. 7e ust. 1 ustawy covidowej: "Osoba podlegająca na podstawie przepisów o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi obowiązkowej kwarantannie w związku z podejrzeniem zakażenia wirusem SARS-CoV-2 instaluje na swoim urządzeniu mobilnym udostępnione przez ministra właściwego do spraw informatyzacji oprogramowanie służące do potwierdzania realizacji obowiązku przestrzegania kwarantanny oraz używa go do potwierdzania realizacji tego obowiązku". Treść tego przepisu wskazuje zatem wprost, że dotyczy on osób podlegających obowiązkowej kwarantannie na podstawie przepisów o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi w związku z podejrzeniem zakażenia wirusem SARS-CoV-2. Nie dotyczy on zaś osób, które tak jak uczestnik postępowania w niniejszej sprawie, kwarantannę tę już zakończyły.
W art. 9 RODO określono natomiast warunki przetwarzania szczególnych kategorii danych osobowych. Podkreślenia przy tym wymaga, że ochrona danych o takim charakterze jest dalej idąca niż ochrona danych na ogólnych zasadach przetwarzania wskazanych w art. 6 ust. 1 rozporządzenia RODO, bowiem w art. 9 ust. 1 RODO wprowadzono całkowity zakaz ich przetwarzania. Zgodnie z art. 9 ust. 1 RODO: "Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby". W art. 9 ust. 2 RODO wskazano jednak odstępstwa od tego zakazu i tak z art. 9 ust. 2 lit. f RODO wynika, że art. 9 ust. 1 RODO nie ma zastosowania m.in. jeżeli przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy (art. 9 ust. 2 lit. f RODO).
Abstrahując od tego, że dane osobowe, których usunięcie nakazał Prezes UODO w niniejszej sprawie nie mają charakteru danych osobowych szczególnej kategorii, słusznie wskazał Sąd I instancji, że art. 9 ust. 2 lit. f RODO nie może stanowić podstawy przetwarzania danych osobowych tzw. "na zapas", w celu zabezpieczenia się przed ewentualnym (przyszłym i niepewnym) roszczeniem, zgłaszanym ewentualnie w przyszłości. Nie jest możliwa akceptacja takiej interpretacji przywołanego przepisu, która legalizowałaby przetwarzanie danych osobowych wyłącznie z uwagi na hipotetyczną i domniemaną konieczność ustalenia, dochodzenia lub obrony roszczeń. Zgromadzony w niniejszym postępowaniu materiał dowodowy nie wykazał natomiast, aby uczestnik postepowania wystąpił z jakimkolwiek roszczeniem wobec skarżącego kasacyjnie, a zatem w sprawie słusznie stwierdzono brak podstawy legalizującej przetwarzanie danych osobowych uczestnika postępowania, w zakresie objętym decyzją, już po zakończeniu przez niego kwarantanny domowej i tym samym prawidłowe jest stanowisko, że przetwarzanie danych osobowych uczestnika postępowania nie ma umocowania w przepisach prawa, w tym w art. 7e ust. 1 ustawy covidowej oraz w art. 9 ust. 2 lit. f RODO. Z tych wszystkich powodów omawiane zarzuty dokonania błędnej wykładni wskazywanych na ich podstawie przepisów nie mogły odnieść skutku.
Nieskuteczny okazał się także zarzut niezastosowania przez Sąd I instancji art. 17 ust. 3 lit. c i e RODO, "w sytuacji, gdy uczestnikowi postępowania nie przysługiwało prawo żądania od administratora niezwłocznego usunięcia jego danych osobowych, z uwagi na to, że żądanie nie ma zastosowania w zakresie w jakim przetwarzanie jest niezbędne, z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego zgodnie z art. 9 ust. 2 lit. h oraz art. 9 ust. 3 oraz do ustalenia, dochodzenia lub obrony roszczeń (art. 17 ust. 3 lit. e RODO), co doprowadziło do oddalenia skargi".
W związku z tym, że strona skarżąca kasacyjnie na podstawie omawianego zarzutu wytyka Sądowi I instancji niezastosowanie art. 17 ust. 3 lit. c i e RODO podkreślenia wymaga, że w orzecznictwie Naczelnego Sądu Administracyjnego prezentowane jest stanowisko, zgodnie z którym nie jest dopuszczalne w świetle brzmienia art. 174 p.p.s.a. formułowanie zarzutu skargi kasacyjnej jako naruszenie przepisu prawa "poprzez jego niezastosowanie" czy "pominięcie" (por. wyrok NSA z dnia 3 grudnia 2008 r., I OSK 1807/07, LEX nr 525973; wyrok NSA z dnia 14 maja 2007 r., I OSK 1247/06, LEX nr 342527; wyrok NSA z dnia 28 marca 2007 r., I OSK 31/07, LEX nr 327781; postanowienie NSA z dnia 2 marca 2012 r., I OSK 294/12, LEX nr 1136684). Zgodnie jednak z dominującym poglądem wyrażanym w orzecznictwie sądowoadministracyjnym, w ramach pierwszej podstawy kasacyjnej możliwe jest również kwestionowanie niezastosowania określonego przepisu prawa, z tym jednak zastrzeżeniem, że jeżeli strona skarżąca kasacyjnie podnosi w skardze kasacyjnej, że Sąd rozpoznający sprawę zastosował nie ten przepis prawa materialnego, który powinien być zastosowany, to powinna wskazać przepis właściwy jako podstawę materialną rozstrzygnięcia i uzasadnić, dlaczego ten właśnie przepis powinien lec u podstaw kwestionowanego rozstrzygnięcia, tj. dlaczego powinien być zastosowany (por. wyrok NSA z dnia 14 kwietnia 2004 r., OSK 121/04, Lex 120212; wyrok NSA z dnia 19 grudnia 2005 r., II OSK 299/05, LEX nr 190971; wyrok NSA z dnia 15 marca 2011 r., II OSK 323/10, LEX nr 1080252). Zarzut niewłaściwego zastosowania prawa materialnego w postaci pozytywnej, czyli zarzucenia zastosowania normy prawnej, która nie powinna być w danej sprawie zastosowana, a także w postaci negatywnej, czyli zarzucenia niezastosowania normy prawnej, która w ocenie wnoszącego skargę kasacyjną powinna być zastosowana, wymaga należytej precyzji w jego konstruowaniu w konkretnej sprawie (por. wyrok NSA z dnia 3 października 2013 r., II FSK 1020/12, LEX nr 1382183). Niezastosowany przez sąd w procesie kontroli przepis prawa materialnego może stanowić podstawę skargi kasacyjnej, jeżeli w konkretnym stanie faktycznym istniały podstawy do dokonania subsumcji (zob. B. Dauter: Prawo o postępowaniu przed sądami administracyjnymi. Komentarz do art. 174 Prawa o postępowaniu przed sądami administracyjnymi, teza 5, Lex 2013; wyrok NSA z dnia 16 marca 2011 r., II GSK 400/10, LEX nr 1080145), a sąd nie dostrzegając właściwej podstawy oparł swoje rozstrzygnięcie na podstawie niewłaściwej. Należy zatem stwierdzić, że nie dyskwalifikowałoby omawianego zarzutu skargi kasacyjnej wskazanie przez stronę skarżącą kasacyjnie na niezastosowanie art. 17 ust. 3 lit. c i e RODO, jedynie wtedy, gdyby strona skarżąca kasacyjnie jednocześnie wskazała przepis lub przepisy, które w jej przekonaniu zostały wadliwie zastosowane zamiast przepisu przez nią wskazywanego wraz z podaniem uzasadnienia tego stanowiska. Jednak wymogu tego skarga kasacyjna w zakresie omawianego zarzutu nie spełnia, co tym samym czyni podnoszony zarzut niezastosowania art. 17 ust. 3 lit. c i e RODO nieskutecznym.
W związku z uznaniem zarzutów naruszenia prawa materialnego za nieskuteczne, nie mógł odnieść skutku trzeci zarzut naruszenia przepisów postępowania, tj. art. 151 i art. 145 § 1 lit. a p.p.s.a. sformułowany jako konsekwencja naruszenia art. 7e ust. 1 ustawy covidowej, art. 6 ust. 1 lit. e, art. 9 ust. 2 lit. i RODO w związku z art. 1171 § 2, art. 118 i art. 119 k.c., art 9 ust 1 w związku z art. 5 ust. 2 oraz art 58 ust. 2 lit. c RODO; art. 5 ust 1 lit. a i lit. b oraz art. 6 ust. 1 RODO; art. 17 ust. 3 lit. c i e RODO.
Nie mogły również odnieść skutku dwa pierwsze zarzuty naruszenia przepisów postępowania, na podstawie których strona skarżąca kasacyjnie zarzucając Sądowi I instancji naruszenie art. 151 i art. 145 § 1 lit. c p.p.s.a. w związku z art. 7, art. 77 § 1 oraz art. 80 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r., poz. 572 ze zm.), dalej jako: k.p.a. oraz art. 1 § 2 p.p.s.a. w związku z ww. przepisami k.p.a., usiłuje wytknąć nieprawidłowości w przeprowadzonym przez Prezesa Urzędu Ochrony Danych Osobowych postępowaniu, polegające m.in. na niewyjaśnieniu wszystkich istotnych okoliczności faktycznych sprawy, pominięciu stanowiska prezentowanego przez Ministra i oparcie rozstrzygnięcia wyłącznie o argumentację przedstawioną przez drugą ze stron, czy niezebranie i nierozpatrzenie w sposób wyczerpujący materiału dowodowego. Zarzuty te nie mogły jednak odnieść skutku.
Przede wszystkim odnosząc się do konstrukcji ww. zarzutów, na podstawie których strona skarżąca kasacyjnie zarzuca naruszenie przez Wojewódzki Sąd Administracyjny w Warszawie art. 151 i art. 145 § 1 pkt 1 lit. c p.p.s.a., a także art. 1 2 p.p.s.a. w powiązaniu z ww. przepisami k.p.a. podkreślenia wymaga, że w orzecznictwie Naczelnego Sądu Administracyjnego ugruntowane jest stanowisko, że przepisy art. 151 i art. 145 § 1 pkt 1 lit. c p.p.s.a., podobnie zresztą jak art. 146 § 1, art. 147, art. 149 § 1, czy też art. 161 § 1 p.p.s.a. mają charakter ogólny (blankietowy) i określają kompetencje sądu administracyjnego w fazie orzekania. Tego typu przepis nie może więc stanowić samodzielnej podstawy kasacyjnej. Strona skarżąca kasacyjnie chcąc powołać się na zarzut naruszenia art. 151, czy art. 145 § 1 pkt 1 lit. c p.p.s.a. zobowiązana jest więc bezpośrednio powiązać omawiany zarzut z zarzutem naruszenia konkretnych przepisów, którym – jej zdaniem – Sąd I instancji uchybił w toku rozpoznania sprawy. Naruszenie ww. przepisów jest zawsze następstwem uchybienia innym przepisom, czy to procesowym, czy też materialnym (por. wyroki NSA: z dnia 30 kwietnia 2015 r., I OSK 1701/14, z dnia 29 kwietnia 2015 r., I OSK 1595/14, z dnia 29 kwietnia 2015 r., I OSK 1596/14, z dnia 24 kwietnia 2015 r., I OSK 1088/14, z dnia 8 kwietnia 2015 r., I OSK 71/15, z dnia 9 stycznia 2015 r., I OSK 638/14). Niezależnie jednak od tego, z uwagi na to, że strona skarżąca kasacyjnie wytyka Sądowi I instancji naruszenie art. 145 § 1 pkt 1 lit. c p.p.s.a., podkreślenia wymaga to, że Wojewódzki Sąd Administracyjny w Warszawie oddalając skargę w niniejszej sprawie na podstawie art. 151 p.p.s.a., nie stosował art. 145 § 1 pkt 1 lit. c p.p.s.a. określającego kompetencje sądu w razie uwzględnienia skargi na decyzję lub postanowienie, a zatem przede wszystkim z tego powodu nie mógł naruszyć tego przepisu.
Odnosząc się zaś do zarzutu naruszenia "art. 1 § 2 p.p.s.a." wskazać należy przede wszystkim, że taki przepis nie istnieje, bowiem art. 1 p.p.s.a. nie dzieli się na mniejsze jednostki redakcyjne. Jednak niezależnie od powyższego powiązanie zarzutu niestosowanego w sprawie art. 145 § 1 pkt 1 lit. c p.p.s.a. oraz art. 151 p.p.s.a. z art. 1 p.p.s.a. także nie mogło odnieść skutku, bowiem art. 1 p.p.s.a. również ma charakter ogólny i nie może stanowić samodzielnej podstawy kasacyjnej. Uregulowano w nim bowiem zakres obowiązywania ustawy Prawo o postępowaniu przed sądami administracyjnymi.
Niezależnie od powyższego, odnosząc się do zarzutów naruszenia przepisów k.p.a., z którymi powiązano zarzut naruszenia art. 1, art. 151 i niestosowanego w sprawie art. 145 § 1 pkt 1 lit. c p.p.s.a., wskazać należy, że wbrew twierdzeniom skarżącego kasacyjnie w rozpoznawanej sprawie wszystkie istotne okoliczności z punktu widzenia przedmiotu postępowania dotyczącego przetwarzania przez Ministra danych osobowych uczestnika postępowania za pośrednictwem aplikacji "Kwarantanna domowa", zostały wyjaśnione, a zgromadzone dowody związane z ww. przetwarzaniem danych, w tym również wyjaśnienia Ministra przedstawione w tym zakresie, zostały poddane wszechstronnej i odpowiadającej prawu ocenie. W sprawie wyjaśniano również wyczerpująco podstawy prawne działania organu w sprawie. Podkreślenia w tym miejscu wymaga, że w postępowaniu sądowoadministracyjnym sąd nie ustala stanu faktycznego, lecz bada, czy w trakcie postępowania administracyjnego zostały ujawnione wszystkie okoliczności istotne dla wydania decyzji, czy były one uwzględnione przy wydaniu decyzji i w jaki sposób zostały ocenione przez organ (por. wyrok NSA z 16 maja 2008 r., II OSK 554/07). Sąd I instancji prawidłowo wywiązał się z tego obowiązku, dokonał poprawnej oceny zaskarżonej decyzji i słusznie przyjął ustalony przez organ stan faktyczny za odpowiadający wymogom prawa. Organ prowadząc postępowanie w niniejszej sprawie, powziął wszelkie niezbędne kroki do dokładnego wyjaśnienia stanu faktycznego sprawy. Zebrał i rozpatrzył cały materiał dowodowy, wskazując podstawy podjętego rozstrzygnięcia, a ocena ta nie narusza zasady swobodnej oceny dowodów. Organ ustosunkował się do wszelkich istotnych okoliczności wskazanych przez uczestnika postępowania, jak i Ministra, a w związku z tym, że ocena materiału dowodowego dokonana przez organ i zaakceptowana przez Sąd I instancji nie została w skardze kasacyjnej skutecznie podważona, to w konsekwencji powyższego, Sąd I instancji prawidłowo, na podstawie art. 151 p.p.s.a. oddalił skargę Ministra.
Nie mógł także odnieść skutku zarzut naruszenia art. 61 § 3 p.p.s.a. dotyczący dopuszczalności wstrzymania wykonania zaskarżonego aktu przez Sąd. Abstrahując od tego, że Naczelny Sąd Administracyjny rozpoznając skargę kasacyjną nie bada dopuszczalności wstrzymania wykonania zaskarżonego aktu, to wskazać należy, że postanowieniem Naczelnego Sądu Administracyjnego z dnia 24 stycznia 2023 r., sygn. akt III OSK 32/23, na podstawie art. 61 § 3 w związku z art. 193 p.p.s.a. wstrzymano wykonanie zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych, a więc zarzuty w tym zakresie są z oczywistych względów bezzasadne.
Skoro podniesione w skardze kasacyjnej zarzuty okazały się nieskuteczne, Naczelny Sąd Administracyjny nie miał podstaw do jej uwzględnienia, co skutkowało oddaleniem skargi kasacyjnej w oparciu o art. 184 p.p.s.a.