III OSK 426/23

III OSK 426/23 - Wyrok NSA
Data orzeczenia
2026-01-14
orzeczenie prawomocne
Data wpływu
2023-03-01
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Artur Kuś
Hanna Knysiak - Sudyka /sprawozdawca/
Rafał Stasikowski /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 282/22 - Wyrok WSA w Warszawie z 2022-11-09
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U.UE.L 2016 nr 119 poz 1 art. 4 pkt 2, art. 6 ust. 1 lit. f
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dz.U. 2019 poz 1781
art. 160 ust. 1 oraz ust. 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U. 2016 poz 922
art. 18 ust. 1 pkt 2, art. 23 ust. 1 pkt 5
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
Dz.U. 2020 poz 1575
art. 126 § 2 i art. 187 § 1
Ustawa z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego - t.j.
Dz.U. 2022 poz 2000
art. 7, art. 77 § 1, art. 80 i art. 107 § 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U. 2024 poz 935
art. 184
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący sędzia NSA Rafał Stasikowski Sędziowie: sędzia NSA Artur Kuś sędzia del. WSA Hanna Knysiak-Sudyka (spr.) Protokolant: starszy asystent sędziego Krzysztof Poseniak po rozpoznaniu w dniu 14 stycznia 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 9 listopada 2022 r. sygn. akt II SA/Wa 282/22 w sprawie ze skargi [...] S.A. [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 6 grudnia 2021 r. nr ZSZZS.440.559.2019.ZS.WWB.II w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] S.A. [...] kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 9 listopada 2022 r., sygn. akt II SA/Wa 282/22, po rozpoznaniu sprawy ze skargi [...] S.A. [...] (dalej: "skarżąca" lub "Spółka") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "organ" lub "Prezes UODO") z dnia 6 grudnia 2021 r. nr ZSZZS.440.559.2019.ZS.WWB.II w przedmiocie przetwarzania danych osobowych: w pkt 1 uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję Prezesa UODO z dnia 24 sierpnia 2021 r., nr ZSZZS.440.559.2019.ZS.RW, w pkt 2 zasądził od organu na rzecz strony skarżącej kwotę 697 złotych tytułem zwrotu kosztów postępowania sądowego.
Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy.
Zaskarżoną decyzją z dnia 6 grudnia 2021 r. nr ZSZZS.440.559.2019.ZS.WWB.II Prezes UODO działając na podstawie art. 138 § 1 pkt 1 k.p.a. oraz art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922 ze zm.; dalej: "ustawa z 1997 r.") w związku z art. 160 ust. 1 oraz ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r. poz. 1781; dalej: "u.o.d.o." lub "ustawa z 2018 r.") i art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie Spółki o ponowne rozpatrzenie sprawy zakończonej decyzją Prezesa UODO z 24 sierpnia 2021 r. w sprawie skargi E.M. (dalej: "uczestniczka") na odmowę udostępnienia przez Spółkę danych osobowych w zakresie numeru IP, imienia, nazwiska, adresu, a także nazwy dostawcy usług telekomunikacyjnych osób, które dokonały wpisów na stronie internetowej www. [...] - utrzymał w mocy zaskarżoną decyzję w części, w której nakazał Spółce udostępnienie na rzecz Wnioskodawcy danych osobowych w zakresie numerów IP urządzeń, z których użytkownicy wskazani przez uczestniczkę zamieścili w podanych dniach i godzinach na forum dyskusyjnym portalu [...] wpisy jej dotyczące: użytkownika " [...]", wpis z dnia 17 grudnia 2015 r., o godz. 17:27; użytkownika "[...]", wpis dnia 21 grudnia 2015 r., o godz. 19:54; użytkownika "[...]", wpis z dnia 22 grudnia 2015 r., o godz. 11:28; użytkownika "[...]", wpis z dnia 22 grudnia 2015 r., o godz. 19:14; użytkownika "[...]", wpis z dnia 14 stycznia 2016 r., o godz. 21:16; użytkownika "[...]", wpis z dnia 18 stycznia 2016 r., o godz. 18:29, zaś w pozostałym zakresie umorzył postępowanie.
Uzasadniając swoje stanowisko organ wskazał, że pismem z 10 marca 2016 r. uczestniczka zwróciła się do Spółki z żądaniem zaprzestania naruszania jej dóbr osobistych, usunięcie obraźliwych postów na forum [...] oraz wniosła o udostępnienie danych (w zakresie numerów IP użytkowników oraz dostawców usług telekomunikacyjnych) użytkowników, którzy dokonali przedmiotowych wpisów. Przytaczając treść wpisów dokonanych przez wymienionych użytkowników uczestniczka wskazała, że potrzebuje żądanych danych do podjęcia kroków prawnych na drodze sądowej celem ochrony swoich dóbr osobistych.
Pismem z 21 marca 2016 r. Spółka powiadomiła uczestniczkę, iż wszystkie objęte zgłoszeniem wypowiedzi zostały usunięte ze strony forum portalu [...]. Odnosząc się do jej żądania udostępnienia danych użytkowników, Spółka poinformowała, że w jej ocenie nie zostały spełnione wymagane przepisami prawa przesłanki wydania danych osobowych użytkowników portalu [...].
W odpowiedzi na skierowane przez Generalnego Inspektora Ochrony Danych Osobowych (dalej: "GIODO") z 26 sierpnia 2016 r. wezwanie do złożenia wyjaśnień Spółka poinformowała, że - spośród danych objętych żądaniem - posiada jedynie adresy IP komputerów, z których korzystali użytkownicy łącząc się z serwerem portalu [...] i zamieszczając sporne wypowiedzi. Wskazując na podstawy odmowy udostępnienia danych na żądanie Spółka powołała się na przepisy ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną oraz art. 23 ust. 1 pkt 5 ustawy z 1997 r.
Prezes UODO decyzją administracyjną z 24 sierpnia 2021 r. nakazał Spółce udostępnienie na rzecz uczestniczki danych osobowych w zakresie numerów IP urządzeń, z których wskazani przez nią użytkownicy zamieścili w podanych dniach i godzinach na forum dyskusyjnym portalu [...] wpisy jej dotyczące, tj. użytkownika "[...]", wpis z dnia 17 grudnia 2015 r., o godz. 17:27; użytkownika "[...]", wpis z dnia 21 grudnia 2015 r., o godz. 19:54; użytkownika "[...]", wpis z dnia 22 grudnia 2015 r., o godz. 11:28; użytkownika "[...]", wpis z dnia 22 grudnia 2015 r., o godz. 19:14; użytkownika "[...]", wpis z dnia 14 stycznia 2016 r., o godz. 21:16; użytkownika "[...]", wpis z dnia 18 stycznia 2016 r., o godz. 18:29, a w pozostałym zakresie umorzył postępowanie.
W wyniku ponownego rozpatrzenia sprawy Prezes Urzędu Ochrony Danych Osobowych (wcześniej GIODO) zaskarżoną na wstępie decyzją z dnia 6 grudnia 2021 r. utrzymał w mocy zaskarżoną decyzję w części, w której nakazał Spółce udostępnienie na rzecz uczestniczki danych osobowych w zakresie numerów IP urządzeń, z których użytkownicy wskazani przez uczestnika postępowania zamieścili w podanych dniach i godzinach na forum dyskusyjnym portalu [...] wpisy dotyczące E.M., zaś w pozostałym zakresie umorzył postępowanie.
Prezes UODO wskazał, że zgodnie z art. 160 ust. 1 i 2 ustawy z 2018 r. postępowania prowadzone przez GIODO na podstawie ustawy z 1997 r., wszczęte i niezakończone przed dniem wejścia w życie ustawy z 2018 r., prowadzi Prezesa UODO, zgodnie z zasadami k.p.a. Wszelkie czynności podejmowane przez GIODO przed 25 maja 2018 r. pozostają skuteczne. Zgodnie z ww. przepisami do spraw rozstrzyganych przez Prezesa UODO mają zastosowanie w zakresie prawa materialnego - przepisy RODO, a w zakresie proceduralnym - przepisy ustawy z 1997 r.
Skoro zatem skarżąca odmówiła uczestniczce udostępnienia ww. danych i stan ten trwa nadal, to w sprawie znajdzie zastosowanie art. 6 ust. 1 lit. f RODO w związku z art. 4 pkt 2 RODO, z którego wynika, że przetwarzanie to m.in. udostępnianie danych. Jeżeli zatem uczestniczka wskazała, że żądane dane są jej niezbędne do celów wynikających z jej prawnie uzasadnionych interesów - podjęcia kroków prawnych na drodze sądowej, w celu ochrony dóbr osobistych, to niezbędnym elementem planowanego pozwu jest oznaczenie osób, przeciwko którym skierowane będzie żądanie (art. 126 § 2 i art. 187 § 1 k.p.c.) Podejmowane przez uczestniczkę działania służące ustaleniu tożsamości tych osób, w celu pociągnięcia ich do odpowiedzialności, w związku z treścią ww. publikacji, gdy nie dysponuje ona w zasadzie żadnymi danymi, mieści się w pojęciu prawnie usprawiedliwionych celów. Zdaniem Prezesa UODO Spółka bezpodstawnie odmówiła udostępnienia ww. danych osobowych w zakresie numerów IP komputerów autorów kwestionowanych wpisów, uniemożliwiając podjęcie dalszych działań służących identyfikacji autorów wpisów i skuteczne zainicjowanie przeciwko nim planowanych postępowań.
Na powyższą decyzję Spółka wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, który przywołanym wyrokiem z 9 listopada 2022 r. w oparciu o art. 145 § 1 pkt 1 lit. a i c ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2022r., poz. 329 ze zm.; dalej: "p.p.s.a.") uznał ją za zasadną, uchylając obie zaskarżone decyzje organu.
Uzasadniając swoje stanowisko Sąd pierwszej instancji wskazał, że sąd administracyjny, dokonując oceny legalności zaskarżonych rozstrzygnięć Prezesa UODO, zobowiązany jest - co do zasady - zbadać ich zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami zawartymi w RODO. W rozpoznawanej sprawie należało też uwzględnić art. 160 ust. 2 u.o.d.o., gdyż postępowanie prowadził także GIODO w związku z wnioskiem uczestniczki z 10 marca 2016 r. i nie zostało ono zakończone przed dniem wejścia w życie ustawy z 25 maja 2018 r. Prezes UODO zobowiązany był więc prowadzić postępowanie, wszczęte ww. wnioskiem, na podstawie ustawy z 1997 r., zgodnie z zasadami określonymi w k.p.a., przy jednoczesnym uwzględnieniu, że – na mocy art. 160 ust. 3 u.o.d.o. - czynności dokonane w tych postępowaniach pozostawały skuteczne.
W ocenie Sądu pierwszej instancji analizowana pod tym kątem skarga, także w świetle ww. przepisów intertemporalnych, zasługiwała na uwzględnienie, gdyż obie zaskarżone decyzji w części nakazującej Spółce udostępnienie danych osobowych w zakresie nr IP urządzeń, z których wskazani użytkownicy dokonali wpisów, były niezgodne z prawem. Prezes UODO, wydając ww. decyzje administracyjne w zakresie wyżej wskazanym dopuścił się bowiem - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a. w związku z art. 8 i art. 11 k.p.a. w związku z art. 107 § 3 k.p.a. w związku z art. 160 ust.1 i 2 u.o.d.o. i w związku z art. 23 ust. 1 pkt 5 ustawy z 1997 r., przez brak rozważenia zastosowania w sprawie przepisów ustawy z 1997 r., przy jednoczesnym powołaniu się w podstawach prawnych ww. decyzji przede wszystkim na art. 6 ust. 1 lit. f i art. 4 pkt 2 RODO. Nie mogło to ujść uwadze Sądu, choć skarżąca formułowała w skardze przede wszystkim zarzuty naruszenia przepisów RODO, które Prezes UODO wskazał jako podstawę materialnoprawną ww. decyzji.
Sąd pierwszej instancji wskazał również, że jego zdaniem Prezes UODO nie miał także podstaw do zobowiązywania skarżącej, jako administratora danych osobowych, do udostępniania - będących w jej posiadaniu - danych osobowych ww. użytkowników portalu internetowego uczestnikowi, na potrzeby ewentualnego wytoczenia przez tę osobę trzecią powództwa cywilnego czy karnego. Ze stanowiska prezentowanego w judykaturze wynika, że do nakazania przez GIODO - na podstawie art. 18 ust. 1 pkt 2 w związku z art. 23 ust. 1 pkt 5 ustawy z 1997 r. - udostępnienia danych osobowych osób na potrzeby wniesienia pozwu do sądu przez jednostkę wnioskującą o te dane - konieczne jest wnikliwe przeanalizowanie i zweryfikowanie przez organ nadzorczy, że zamiar tej jednostki skorzystania z prawa do sądu jest realny i rzeczywisty. Niedopuszczalne jest powoływanie się na wolę skorzystania z przysługującego prawa do sądu po to, aby w istocie jedynie poznać dane osobowe innej osoby, gdyż stanowiłoby to niezasługujące na ochronę nadużycie art. 23 ust. 1 pkt 5 ustawy z 1997 r. Z tego względu w judykaturze wskazuje się, że organ nadzorczy musi dokładnie ustalić zamiary podmiotu wnioskującego o udostępnienie mu danych na potrzeby postępowania sądowego, w szczególności, czy w warunkach konkretnego stanu faktycznego powoływanie się przez ten podmiot na wolę wszczęcia postępowania sądowego nie ma charakteru pozornego. Organ zobowiązany jest zatem ocenić realność podawanej podstawy faktycznej uruchomienia w konkretnej sprawie postępowania sądowego. Ocena, czy cel wnioskodawcy jest prawnie usprawiedliwiony, należy nie tylko do kompetencji organu nadzorczego, ale także do jego obowiązków w ramach realizacji normy prawnej określonej w art. 23 ust. 1 pkt 5 ustawy z 1997 r. W rozpoznawanej sprawie organ tego nie uczynił.
Konkludując Sąd pierwszej instancji uznał, że skoro działanie Prezesa UODO nie spełniało ww. warunków, zaszły podstawy do wyeliminowania z obrotu prawnego zarówno zaskarżonej decyzji Prezesa, jak i poprzedzającej ją decyzji z 24 sierpnia 2021 r. w części nakazującej skarżącej udostępnienie ww. danych osobowych użytkowników portalu internetowego w zakresie numerów IP ich komputerów.
Od powyższego wyroku Prezes UODO wywiódł skargę kasacyjną do Naczelnego Sądu Administracyjnego, zaskarżając go w całości i zarzucając orzeczeniu:
I. naruszenie prawa materialnego, tj.:
- art. 23 ust. 1 pkt 5 ustawy z 1997 r., poprzez jego zastosowanie w sytuacji, gdy w postępowaniu wszczętym i niezakończonym przed dniem wejścia w życie ustawy z 2018 r. w zakresie prawa materialnego zastosowanie mają przepisy RODO;
- art. 6 ust. 1 lit. f RODO, poprzez jego niezastosowanie w sytuacji, gdy w postępowaniu wszczętym i niezakończonym przed dniem wejścia w życie ustawy z 2018 r. w zakresie prawa materialnego zastosowanie mają przepisy RODO;
II. naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj.:
- art. 160 ust. 2 ustawy z 2018 r., poprzez jego błędną wykładnię i przyjęcie, iż w postępowaniu wszczętym i niezakończonym przed dniem wejścia w życie ustawy z 2018 r. zastosowanie mają wyłącznie przepisy ustawy z 1997 r., podczas gdy w sprawach tych w zakresie prawa materialnego zastosowanie mają przepisy RODO;
- naruszenie art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7, 77 § 1, 80 i 107 § 3 k.p.a., poprzez błędne przyjęcie, że Prezes UODO wydał zaskarżone decyzje z 24 sierpnia 2021 r. oraz z 6 grudnia 2021 r. bez właściwego wyjaśnienia sprawy i zgromadzenia wystarczającego materiału dowodowego, a w szczególności braku ustalenia i dokonania oceny realności dochodzenia przez uczestniczkę roszczeń wobec autorów kwestionowanych komentarzy na drodze sądowej.
Wobec powyższych zarzutów skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku i oddalenie skargi (art. 188 p.p.s.a.), ewentualnie o uchylenie zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Jednocześnie zawnioskował o rozpoznanie skargi kasacyjnej na rozprawie oraz zasądzenie zwrotu kosztów postępowania sądowego.
W uzasadnieniu skargi kasacyjnej organ przedstawił argumentację mającą na celu wykazanie zasadności podniesionych zarzutów.
W odpowiedzi na skargę kasacyjną Spółka wniosła o jej oddalenie oraz zasądzenie od organu zwrotu kosztów procesowych według norm przepisanych.
Naczelny Sąd Administracyjny zważył, co następuje:
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2024 r., poz. 935; dalej: "p.p.s.a.") Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. Nie zachodzi również żadna z przesłanek odrzucenia skargi albo umorzenia postępowania przed wojewódzkim sądem administracyjnym, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli wyroku zaskarżonego skargą kasacyjną.
W skardze kasacyjnej zgłoszone zostały zarówno zarzuty naruszenia prawa materialnego, jak i przepisów postępowania. W sytuacji, kiedy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, w pierwszej kolejności rozpoznaniu winny podlegać zarzuty naruszenia przepisów postępowania. W niniejszej sprawie jednak drugi zarzut w ramach drugiej podstawy kasacyjnej musi zostać omówiony łącznie z zarzutem naruszenia prawa materialnego.
Rozpatrzenie podniesionego w skardze kasacyjnej pierwszego zarzutu naruszenia przepisów postępowania, który odnosi się wyłącznie do kwestii intertemporalnych wymaga poczynienia ustaleń dotyczących podstaw prawnych regulujących proces przetwarzania danych osobowych w niniejszej sprawie oraz podstaw prawnych, które obowiązywały organ w dniu wszczęcia postępowania, jak i ich wzajemnej korelacji.
Podkreślenia wymaga, że zdarzenia będące przedmiotem skargi wszczynającej postępowanie miały miejsce przed dniem 25 maja 2018 r., a zatem w okresie poprzedzającym zmianę stanu prawnego. Wpisy internetowe zostały bowiem dokonane w latach 2015 - 2016. Wypowiedzi zostały usunięte z forum internetowego, o czym skarżąca powiadomiła uczestniczkę pismem z dnia 21 marca 2016 r. Wniosek o wszczęcie postępowania został wniesiony do GIODO w dniu 10 marca 2016 r. Zdarzenia mające znaczenie dla oceny kwestii intertemporalnych nastąpiły zatem w czasie obowiązywania ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r., poz. 922 ze zm.; dalej: "ustawa z 1997 r."). Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016, str. 1; dalej: "rozporządzenie 2016/679" lub "rozporządzenie RODO"), zgodnie z art. 99 ust. 1, weszło w życie po 20 dniach od publikacji w Dzienniku Urzędowym UE, co oznacza, iż weszło ono w życie i ma zastosowanie od dnia 25 maja 2018 r. Postępowanie przed organem zostało wszczęte przed wejściem w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r., poz. 1781; dalej: "ustawa z 2018 r.") i nie zostało zakończone do czasu jej wejścia w życie. Oba akty normatywne weszły w życie jednocześnie w dniu 25 maja 2018 r. Z dniem wejścia w życie ustawy z 2018 r. utraciła moc obowiązującą ustawa o ochronie danych osobowych z 1997 r.
Istotne jest w tym miejscu wskazanie, że w ustawie z 2018 r. zawarto regulację intertemporalną odnoszącą się do postępowań administracyjnych wszczętych i niezakończonych przed wejściem w życie przepisów tej ustawy. Stosownie do treści art. 160 ust. 2 ustawy z 2018 r. postępowania wszczęte i niezakończone przed 25 maja 2018 r. prowadzi się na podstawie ustawy z 1997 r., zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Wykładnia tego przepisu wskazuje, że w postępowaniach wszczętych pod rządami ustawy z 1997 r., które nie zostały prawomocnie zakończone do czasu uchylenia tej ustawy, należy stosować przepisy ustawy z 1997 r. i to zarówno w zakresie podejmowanych czynności proceduralnych, jak i materialnoprawnej oceny zdarzeń będących przedmiotem postępowania. Brak jest natomiast przepisu przejściowego regulującego postępowania, które zostały wszczęte po wejściu w życie nowej ustawy, a dla których przesłanki faktyczne determinujące jego wszczęcie wystąpiły jeszcze przed wejściem w życie przedmiotowych przepisów, lecz taka sytuacja nie ma miejsca w niniejszej sprawie.
Nie budzi wątpliwości Naczelnego Sądu Administracyjnego, na gruncie niniejszej sprawy, że zdarzenie prawne będące przedmiotem oceny materialnoprawnej Prezesa UODO, to jest żądanie nakazania udostępnienia danych osobowych, miało miejsce przed dniem 25 maja 2018 r., a więc w czasie, gdy obowiązywała ustawa z 1997 r. Zdarzenie prawne będące przedmiotem oceny Prezesa UODO było zdarzeniem, które zakończyło się przed wszczęciem postępowania administracyjnego. O zastosowaniu starego czy nowego prawa powinien zaś decydować moment, w którym doszło do ocenianego zdarzenia, to jest żądania nakazania udostępnienia danych osobowych, mając na uwadze, że kontrowersyjne wpisy w dacie zgłoszenia żądania zostały już usunięte. Jak wskazał zasadnie Naczelny Sąd Administracyjny w uzasadnieniu wyroku z dnia 15 stycznia 2021 r. (sygn. akt III OSK 2892/21) problematyka intertemporalna w ustawie z 2018 r. nie została uregulowana przez ustawodawcę w sposób wyczerpujący. Zakresem regulacji objęta została tylko kwestia postępowań wszczętych i niezakończonych przez GIODO przed 25 maja 2018 r. Uwadze ustawodawcy umknęły zaś wszelkie inne kwestie prawa międzyczasowego. Brak jest przepisów odnoszących się do przypadków, gdy postępowania nie zostały jeszcze wszczęte, a zdarzenia objęte nimi miały miejsce przed 25 maja 2018 r. Nie rozstrzygnął on problemów stosunków prawnych lub faktów, które powstały lub wystąpiły pod rządami dawnego prawa i trwają po jego uchyleniu pod rządami nowego prawa, jak również stosunków prawnych lub faktów, które wystąpiły i zakończyły się pod rządami starego prawa, a postępowania administracyjne odnoszące się do nich zostały wszczęte dopiero po 25 maja 2018 r. W ocenie Naczelnego Sądu Administracyjnego z przepisu art. 160 ust. 2 ustawy z 2018 r. wynika bez wątpienia, iż stare prawo znajduje dalsze zastosowanie do spraw wszczętych i nie zakończonych przed 25 maja 2018 r. W takich przypadkach wyłączną podstawą orzekania przez organ będą stanowić przepisy starego prawa. Do wszystkich pozostałych sytuacji stosowania prawa organ w związku z treścią przepisów art. 2 i art. 7 Konstytucji RP oraz art. 6 k.p.a. obowiązany będzie zastosować nowe prawo, mimo że fakty prawne, które miałyby zostać rozstrzygnięte w drodze aktu stosowania prawa zaszły w czasie, zanim weszło w życie nowe prawo.
Mając na uwadze powyższe zapatrywanie zasadną jest konstatacja, że zdarzenie stanowiące podstawę złożenia przez skarżącą skargi do organu UODO powinno podlegać ocenie według przepisów prawa materialnego obowiązujących w dniu, w którym dane zdarzenie miało miejsce. Stanowisko Sądu pierwszej instancji jest prawidłowe, a zarzut skargi kasacyjnej – bezzasadny. Wobec powyższego niezasadny jest również zarzut naruszenia art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych poprzez jego zastosowanie oraz zarzut naruszenia art. 6 ust. 1 lit. f rozporządzenia RODO poprzez jego niezastosowanie.
Nie jest zasadny także zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a.
Trzeba podnieść, że zakres postępowania wyjaśniającego jest uzależniony od podstawy prawnej decyzji, która ma być wydana w konkretnym postępowania. Jak już wyżej wskazano, podstawę tą stanowił art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych z 1997 r. Stosownie do treści tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Naczelny Sąd Administracyjny podziela w całości wykładnię tego przepisu obszernie przedstawioną przez Sąd pierwszej instancji w uzasadnieniu zaskarżonego wyroku, mającą oparcie w przytoczonym szeroko przez ten Sąd orzecznictwie Naczelnego Sądu Administracyjnego. Ze stanowiska Sądu pierwszej instancji wynika, że zamiar wszczęcia postępowania cywilnego w zakresie ochrony dóbr osobistych może stanowić podstawę do udostępnienia danych osobowych, o której mowa w art. 23 ust. 1 pkt 5 u.o.d.o., jednak musi być realny (aktualny i pewny), a nie pozorny. Zdaniem Sądu pierwszej instancji organ nie wywiązał się z obowiązku ustalenia tej okoliczności, co było jedną z przyczyn uchylenia zaskarżonej decyzji nakazującej [...] S.A. [...] udostępnienie E.M. danych osobowych dotyczących autorów wypowiedzi zamieszczonych na forum internetowym.
Naczelny Sąd Administracyjny uznał, że błędna jest wykładnia art. 23 ust. 1 pkt 5 u.o.d.o. prezentowana przez organ, sprowadzająca się do tego, że sama deklaracja podmiotu wnioskującego o nakazanie udostępnienia danych użytkowników serwisu internetowego na potrzeby dochodzenia roszczeń na drodze sądowej, przesądza o dopuszczalności przetwarzania danych osobowych na podstawie tego przepisu. Zdaniem Naczelnego Sądu Administracyjnego dla nakazania przez organ na podstawie art. 18 ust. 1 pkt 2 w zw. z art. 23 ust. 1 pkt 5 u.o.d.o. udostępnienia danych osobowych osób na potrzeby wniesienia powództwa do sądu przez podmiot wnioskujący o te dane, konieczne jest, jak to prawidłowo stwierdził Sąd pierwszej instancji, wnikliwe przeanalizowanie i zweryfikowanie przez organ, czy posiadanie danych osobowych jest konieczne do osiągnięcia celu wskazanego we wniosku, oraz że zamiar tego podmiotu skorzystania z prawa do sądu jest realny. Udostępnienie danych każdemu podmiotowi, który tego zażąda, uzasadniając krótko, iż uzyskane dane są mu potrzebne do dochodzenia roszczeń na drodze sądowej, oznaczałoby w istocie, iż przepisy ustawy, której celem jest ochrona danych, stałyby się podstawą do w zasadzie niekontrolowanego wypływu tych danych ze zbiorów posiadanych przez podmiot administrujący danymi użytkowników forum internetowego. W razie udostępnienia żądanych danych ich dysponentem będzie żądający udostępnienia, do którego wyłącznej decyzji będzie należało ewentualne skierowanie do sądu pozwu. Nie można bowiem wykluczyć, że żądający udostępnienia danych osobowych będzie nie tylko pierwszym, ale i ostatnim dysponentem uzyskanych danych, nie ulega bowiem wątpliwości, że w systemie prawa cywilnego brak jest instrumentów pozwalających wymusić wniesienie do sądu powództwa. Nie ma zatem gwarancji, że udostępnione dane osobowe zostaną wykorzystane wyłącznie w procesie sądowym, a kontrolę nad ich wykorzystaniem będzie wykonywał sąd. Stanowisko, w myśl którego do realizacji usprawiedliwionego celu przez odbiorcę danych dochodzi w każdej sytuacji, w której wnioskodawca wskazuje cel związany z dochodzeniem roszczeń przez sądem, prowadzi do uznania, iż każdorazowo interes wnioskodawcy przeważa nad interesem osób, których dane dotyczą. Taka wykładnia jest niezgodna z brzmieniem art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych z 1997 r. oraz celem powyższej ustawy, jakim jest przede wszystkim ochrona danych osobowych i prywatności.
Żądająca udostępnienia danych osobowych użytkowników forum internetowego E.M. nie wykazała w wiarygodny sposób, że pozyskanie danych użytkowników jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów, przez nią realizowanych. Lakoniczne stwierdzenie, iż uzyskanie danych umożliwi jej ochronę praw przed sądem nie może być uznane za wystarczające.
Sąd pierwszej instancji zasadnie przyjął, że organ w niniejszej sprawie nie dokonał wyważenia interesu użytkowników portalu rozumianego jako wolność wypowiedzi i ochrona prywatności oraz interesu uczestniczki. Rozstrzygając niniejszą sprawę organ w obu podjętych decyzjach oparł się wyłącznie na konstatacji, iż wobec stwierdzenia wnioskodawczyni wskazującej cel pozyskania danych związany z dochodzeniem roszczeń, przyjąć należy zaistnienie przesłanki niezbędności. Organ nie pochylił się nad sprawą w kontekście zasady proporcjonalności, całkowicie pomijając interes osób, których dane objęte żądaniem udostępnienia dotyczą. Zauważyć należy, że postępowanie prowadzone w niniejszej sprawie dotyczy konstytucyjnych wolności i praw osób, których dane zostały objęte żądaniem udostępnienia, jednak z oczywistych względów w toku postepowania nie może nastąpić konkretyzacja tych osób, co uniemożliwia im obronę i ochronę ich interesu prawnego. Tym bardziej ciężar działania w tym zakresie, a więc ustalenie i uwzględnienie interesu prawnego tych osób spoczywa na organie. Organ winien brać pod uwagę nie tylko interes podmiotu wnioskującego o udostępnienie danych osobowych, ale także wszystkich tych, których dane osobowe mają zostać udostępnione. Tymczasem organ nie wyważył interesów obu stron, tj. wnioskodawczyni i osób, których dane objęte zostały nakazem udostępnienia. Organ nawet nie podjął próby takiego wyważenia. Wobec braku instrumentów pozwalających na jakąkolwiek kontrolę wykorzystania udostępnionych danych, należało wziąć w niniejszej sprawie pod uwagę możliwość wykorzystania udostępnionych danych osobowych w celu niezgodnym z tym, dla którego będą udostępnione.
W niniejszej sprawie mamy do czynienia z kolizją praw i wolności, tj. z prawem żądającego udostępnienia danych osobowych do dochodzenia naruszonych praw przed sądem i prawem do prywatności oraz do poufności komunikacji gwarantowanej w art. 49 Konstytucji RP. Warunkami domagania się udostępnienia danych, jakie zgromadził administrator serwisu internetowego, są proporcjonalność środków i celów oraz równowaga pomiędzy ochroną różnych dóbr: wolności wypowiedzi i prawa do ochrony dóbr osobistych. Bezrefleksyjny automatyzm w udostępnianiu informacji o osobach korzystających z wolności wypowiedzi w Internecie może wywołać tzw. efekt mrożący (ang. chilling effect), zniechęcający do prezentowania własnych racji i poglądów, a zatem godzić w wolność myśli i słowa.
Oczywistą konsekwencją błędnej wykładni art. 23 ust. 1 pkt 5 ustawy z 1997 r., dokonanej przez organ, było nierozpoznanie sprawy w zakresie wynikającym z przedstawionej wykładni tych przepisów przez Sąd pierwszej instancji. Organ nie przedsięwziął wszystkich wnikających z prawidłowej wykładni tych przepisów czynności służących wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych sprawy i nie dokonał ich prawidłowej oceny. Wobec tego zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. nie jest zasadny.
Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie ma usprawiedliwionych podstaw, dlatego na mocy art. 184 p.p.s.a. ją oddalił.
O kosztach postępowania orzeczono zgodnie z zasadą odpowiedzialności za wynik postępowania, na podstawie art. 204 pkt 2 p.p.s.a. w związku z art. 205 § 2 p.p.s.a.