III OSK 485/23

III OSK 485/23 - Wyrok NSA
Data orzeczenia
2024-09-26
orzeczenie prawomocne
Data wpływu
2023-03-07
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Paweł Mierzejewski /sprawozdawca/
Teresa Zyglewska
Zbigniew Ślusarczyk /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 411/22 - Wyrok WSA w Warszawie z 2022-11-08
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżony wyrok w części oraz decyzję II instancji w części
Powołane przepisy
Dz.U. 2023 poz 1634
art. 188 w zw. z art. 145 par. 1 pkt 1 lit. a i c
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U. 2019 poz 1781
art. 159 ust. 1, art. 160 ust. 1
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U. 2016 poz 922
art. 18 ust. 1
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Zbigniew Ślusarczyk Sędziowie: Sędzia NSA Teresa Zyglewska Sędzia del. WSA Paweł Mierzejewski (spr.) po rozpoznaniu w dniu 26 września 2024 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej A.Z. (aktualne nazwisko K.) od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 listopada 2022 r. sygn. akt II SA/Wa 411/22 w sprawie ze skargi A.Z. (aktualne nazwisko K.) na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 29 grudnia 2021 r. nr ZSZZS.440.835.2018.ZS.JK w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok w części, w jakiej oddalono skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 29 grudnia 2021 r. nr ZSZZS.440.835.2018.ZS.JK w przedmiocie przetwarzania danych osobowych w zakresie w jakim decyzja ta odnosi się do umorzenia postępowania w zakresie udostępnienia danych osobowych; 2. uchyla pkt 1 zaskarżonej decyzji; 3. oddala skargę kasacyjną w pozostałej części.
Uzasadnienie
Wyrokiem z dnia 8 listopada 2022 r., sygn. akt II SA/Wa 411/22, Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu sprawy ze skargi A.Z. (dalej jako "skarżąca" albo "skarżąca kasacyjnie"; obecne nazwisko K. – uwaga Naczelnego Sądu Administracyjnego) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej jako "Prezes UODO" albo "organ") z dnia 29 grudnia 2021 r. nr ZSZZS.440.835.2018.ZS.JK w przedmiocie przetwarzania danych osobowych, oddalił skargę.
U podstaw rozstrzygnięcia wydanego przez Sąd pierwszej instancji legły następujące ustalenia oraz ocena prawna.
Skarżąca w piśmie z 14 listopada 2018 r. (data wpływu do Urzędu Ochrony Danych Osobowych – 26 listopada 2018 r.) wniosła do Prezesa UODO skargę na przetwarzanie, w tym udostępnienie jej danych osobowych osobom trzecim, przez J.Z. prowadzącego działalność gospodarczą pod firmą H. "H." J.Z. w P. (dalej również jako "przedsiębiorca"). Skarżąca zażądała usunięcia uchybień, usunięcia danych przetwarzanych bez podstawy prawnej, zaprzestania przetwarzania danych przez przedsiębiorcę oraz nałożenia na przedsiębiorcę kary administracyjnej.
W toku postępowania Prezes UODO ustalił, że:
1) skarżąca była zatrudniona w firmie przedsiębiorcy od 6 czerwca 2006 r. do 23 marca 2015 r.;
2) skarżąca podniosła, że jej dane osobowe zawarte w dokumentacji pracowniczej prowadzonej przez przedsiębiorcę zostały udostępnione na rzecz osób trzecich – M.Z. (byłego męża skarżącej, syna przedsiębiorcy) oraz jego pełnomocnika – r. pr. P.M.; kopie dokumentów, poświadczone za zgodność z oryginałem w dniu 20 grudnia 2017 r. przez P.M. zostały wykorzystane jako materiał dowodowy w postępowaniu sądowym o sygn. akt I Ns 776/17;
3) skarżąca podniosła, że wyżej wymienione osoby miały dostęp do dokumentów zawierających jej dane osobowe "z uwagi na fakt, iż dotyczą one pracy u rodziców Wnioskodawcy, a teściów Uczestniczki";
4) przedsiębiorca zaprzeczył udostępnieniu danych osobowych skarżącej zawartych w jej teczce akt osobowych na rzecz syna i jego pełnomocnika; wskazał również, że skarżąca przechowywała kopie przedmiotowej dokumentacji w miejscu wspólnego zamieszkania z M.Z., a P.M. uzyskała dostęp do dokumentacji pracowniczej w związku z poradą prawną udzielaną na rzecz przedsiębiorcy z zakresu "kwestii pracowniczych i ochrony danych osobowych".
Prezes UODO działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (tekst jedn. Dz. U. z 2020 r., poz. 256), dalej jako "k.p.a.", oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 ze zm.), dalej jako "Rozporządzenie RODO albo "RODO", wydał w dniu 9 czerwca 2020 r. decyzję nr ZSZZS.440.835.2018.ZS.JM.77602,77603, mocą której odmówił uwzględnienia wniosku.
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 16 kwietnia 2021 r. (sygn. akt II SA/Wa 1506/20), po rozpoznaniu sprawy ze skargi A.Z. na wyżej wskazaną decyzję, uchylił decyzję Prezesa UODO z dnia 9 czerwca 2020 r. Uchylając zaskarżoną decyzję Sąd stwierdził, że Prezes UODO przedwcześnie uznał, iż brak jest podstaw do uwzględnienia skargi skarżącej w zakresie przetwarzania jej danych osobowych przez przedsiębiorcę poprzez ich udostępnienie na rzecz osób trzecich w sytuacji, gdy okoliczności faktyczne sprawy nie zostały w sposób wyczerpujący ustalone. W ocenie Sądu, organ nadzorczy nie wyjaśnił w sposób niebudzący wątpliwości, czy w istocie po stronie przedsiębiorcy nie zaistniały nieprawidłowości w przetwarzaniu danych osobowych skarżącej poprzez ich udostępnienie M.Z. oraz P.M. Odwoławszy się do uzasadnienia zaskarżonej decyzji, Sąd stwierdził, że Prezes UODO w ogóle nie wyjaśnił swego stanowiska w sprawie, nie wskazał, z jakich przyczyn uznał za wiarygodne wyjaśnienia przedsiębiorcy, a z jakich przyczyn odmówił wiarygodności dowodom przedłożonym przez skarżącą. W konsekwencji organ nie wyjaśnił w sposób przekonujący, z jakich powodów uznał, że wniosek skarżącej w zakresie udostępnienia jej danych osobowych byłemu mężowi i jego pełnomocnikowi nie zasługuje na uwzględnienie. W ocenie Sądu, miało to tym większe znaczenie, że wyjaśnienia przedsiębiorcy odnośnie do "usługi porady prawnej z zakresu zatrudnienia i ochrony danych osobowych" są dalece nieprecyzyjne, zwłaszcza w kontekście podnoszonej przez skarżącą okoliczności, iż była ona zatrudniona w firmie przedsiębiorcy od dnia 6 czerwca 2006 r. do dnia 23 marca 2015 r., a więc na długo przed datą poświadczenia kopii dokumentów za zgodność z oryginałem (20 grudnia 2017 r.). Sąd zauważył, że w wyjaśnieniach przedsiębiorca nie podał choćby daty świadczenia powołanej usługi prawnej, nie wskazał również na okoliczność poświadczenia za zgodność z oryginałem kopii dokumentów przedstawionych przez skarżącą. Nie potwierdził też wykonania usługi prawnej jakąkolwiek dokumentacją. Mimo to, organ oparł się na wyjaśnieniach przedsiębiorcy, jako przesądzających sposób załatwienia sprawy.
Sąd wskazał, że ponownie rozpatrując sprawę Prezes UODO będzie zobowiązany ustalić stan faktyczny sprawy w sposób jednoznaczny. W tym celu rozważy uzupełnienie materiału dowodowego o dodatkowe wyjaśnienia przedsiębiorcy oraz skarżącej, a następnie dokona oceny zgromadzonego materiału dowodowego w taki sposób, aby ocena ta była swobodna, lecz nie dowolna. Sąd zauważył, że organ nadzorczy jest oczywiście uprawniony do zakwestionowania przedłożonych przez stronę dowodów i twierdzeń, lecz musi wykazać, jakie były przyczyny takiej decyzji.
Ponownie rozpatrując sprawę, Prezes UODO w piśmie z 21 października 2021 r. wezwał przedsiębiorcę do złożenia wyjaśnień poprzez:
1) precyzyjne wskazanie zakresu oraz daty porady prawnej świadczonej przez P.M. na jego rzecz, w czasie której udostępnione zostały dokumenty zawierające dane osobowe skarżącej oraz nadesłanie kopii dokumentu, np. faktury potwierdzającej uzyskanie porady prawnej przez przedsiębiorcę;
2) wyjaśnienie, w jakim celu oraz na jakiej podstawie prawnej oraz w jakim zakresie udostępnił P.M. dokumenty zawierające dane osobowe skarżącej, wskazując, że należy doprecyzować – wymienić dokumenty, które zostały udostępnione P.M.
W piśmie z tej samej daty Prezes UODO wezwał również skarżącą do nadesłania dowodów potwierdzających udostępnienie jej danych osobowych na rzecz osób trzecich, w szczególności wymienionych w skardze z 9 lipca 2020 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie.
J.Z. w piśmie z dnia 2 listopada 2021 r. wyjaśnił, że z uwagi na upływ czasu nie pamięta szczegółów dotyczących udzielanej porady prawnej. Oświadczył, że pamięta, iż dotyczyła ona kwestii związanych z zatrudnieniem, w tym dokumentacją pracowniczą i obejmowała wszystkich pracowników.
Skarżąca w piśmie z 3 dnia listopada 2021 r. podtrzymała skargę z dnia 14 listopada 2018 r. oraz zawarte w niej twierdzenia i wnioski.
Po zapoznaniu się z aktami sprawy, skarżąca w piśmie z dnia 26 listopada 2021 r. podtrzymała stanowisko w sprawie i zakwestionowała wyjaśnienia zawarte w piśmie J.Z. z dnia 2 listopada 2021 r.
Prezes UODO decyzją z 29 grudnia 2021 r. nr ZSZZS.440.835.2018.ZS.JK wydaną na podstawie art. 105 § 1 k.p.a. oraz art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781):
- umorzył postępowanie w zakresie udostępnienia przez J.Z., prowadzącego działalność gospodarczą pod firmą H. "H." J.Z. P. na rzecz osób trzecich - r. pr. P.M. oraz M.Z. - danych osobowych A.Z. oraz
- odmówił uwzględnienia wniosku A.Z. w zakresie nakazania J.Z., prowadzącemu działalność gospodarczą pod firmą H. "H." J.Z., usunięcia danych osobowych A.Z.
W uzasadnieniu wydanej decyzji organ przedstawił dotychczasowy przebieg postępowania. Następnie zaznaczył, że przedmiotem sprawy była ocena procesu przetwarzania przez przedsiębiorcę danych osobowych skarżącej, polegającego na udostępnieniu tych danych, zawartych w dokumentach z jej akt osobowych, na rzecz osób nieuprawnionych, to jest r. pr. P.M. oraz M.Z. Dalej Prezes UODO wywiódł, że w oparciu o zebrany materiał dowodowy w postaci dokumentów złożonych przez skarżącą ustalił, iż udostępnienie przez przedsiębiorcę danych osobowych skarżącej na rzecz r.pr. P.M. nie mogło nastąpić później niż 20 grudnia 2017 r., na co wskazuje pieczątka o treści "za zgodność z oryginałem Radca Prawny P.M. X-[...] 20.12.2017 P.". Mając powyższe na uwadze, Prezes UODO zauważył, że w tym czasie (w czasie udostępnienia danych) obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, dalej jako "u.o.d.o. 1997 r.". Przepisy te określały zasady przetwarzania danych osobowych do 24 maja 2018 r., natomiast od 25 maja 2018 r. obowiązują przepisy RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), dalej jako "u.o.d.o. 2018 r.". W związku z tym, opisane w treści skargi zdarzenie, czyli udostępnienie na rzecz r.pr. P.M. nie może być rozpatrywane w toku postępowania administracyjnego zmierzającego do wydania decyzji w oparciu o przepisy RODO. Proces przetwarzania danych osobowych przez J.Z., zgodnie z oświadczeniem skarżącej rozpoczął się i zakończył przed 25 maja 2018 r. Przepis art. 99 ust. 1 RODO wprost wskazuje natomiast, że ma ono zastosowanie od dnia 25 maja 2018 r. W związku z tym, przepisy RODO mają zastosowanie wyłącznie w sprawach, w których skargę wniesiono od 25 maja 2018 r. i w tej dacie kwestionowany proces przetwarzania danych osobowych trwał. Odwoławszy się następnie do motywu 122 RODO oraz art. 55 ust. 1, art. 57 ust. 1 lit. h oraz art. 58 RODO, Prezes UODO skonstatował, że w przedmiotowej sprawie nie ma możliwości zastosowania przysługujących mu uprawnień naprawczych. Zdarzenie opisane przez skarżącą zakończyło się przed dniem 25 maja 2018 r., a postępowanie administracyjne w tej sprawie zostało zainicjowane po dniu 25 maja 2018 r.
Następnie organ nadzorczy stwierdził, że z uwagi na fakt, iż kwestionowane w skardze zdarzenie miało miejsce i zakończyło się w czasie, gdy obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r., a postępowanie administracyjne w sprawie zostało zainicjowane w czasie, gdy zaczęły obowiązywać przepisy ustawy z dnia 10 maja 2018 r., do rozstrzygnięcia przedmiotowej sprawy nie jest możliwe również zastosowanie przepisów ustawy z dnia 29 sierpnia 1997 r. Przepisy art. 160 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. stanowią bowiem, że jedynie postępowania wszczęte i niezakończone przed dniem wejścia w życie tej ustawy są prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie u.o.d.o. 1997 r. Tym samym, jak skonstatował Prezes UODO, nie ma możliwości prowadzenia postępowania administracyjnego w oparciu o przepisy u.o.d.o. 1997 r., gdyż postępowanie w przedmiotowej sprawie zostało wszczęte po dniu wejścia w życie u.o.d.o. 2018 r.
Prezes UODO stwierdził również, że brak jest podstawy do skorzystania z uprawnień przewidzianych w uchylonej ustawie z 29 sierpnia 1997 r., w tym do oceny zgodności zachowania administratora z wyżej wymienionymi przepisami w przypadku, gdy skarżony proces przetwarzania nie był kontynuowany po 25 maja 2018 r. Organ nie może również dokonać oceny zgodności kwestionowanych w skardze działań administratora z RODO, ponieważ zdarzenie będące przedmiotem skargi ma charakter zakończony i nie było kontynuowane po 25 maja 2018 r. Prezes UODO zauważył, że brak jest obecnie przepisów kompetencyjnych uprawniających go do prowadzenia postępowania w przedmiocie oceny zgodności działania administratora z przepisami u.o.d.o. 1997 r.
Odnosząc się do procesu przetwarzania danych osobowych A.Z. polegającego na udostępnieniu przez przedsiębiorcę na rzecz M.Z. jej danych osobowych Prezes UODO wskazał, że zgromadzony w sprawie materiał dowodowy nie potwierdził jednoznacznie tej okoliczności. W ocenie organu nadzorczego, dowody przedłożone przez skarżącą wskazują, że jej były mąż miał dostęp do jej danych osobowych zawartych w dokumentacji pracowniczej prowadzonej przez przedsiębiorcę, niemniej w złożonych wyjaśnieniach przedsiębiorca zaprzeczył udostępnieniu danych osobowych skarżącej na rzecz M.Z. Jak skonstatował Prezes UODO, w powyższym zakresie analiza materiału dowodowego nie wykazała w sposób jednoznaczny i bezsporny, aby to właśnie przedsiębiorca udostępnił M.Z. dokumenty zawierające dane osobowe skarżącej, których przetwarzanie skarżąca kwestionuje. Przedsiębiorca wskazał, że za czasów wspólnego pożycia skarżącej i M.Z. mógł on uzyskać dostęp do dokumentów będących własnością skarżącej, w których zawarte były jej dane osobowe. Skarżąca natomiast oparła skargę na własnym przekonaniu, że M.Z. mógł pozyskać dane osobowe wyłącznie od przedsiębiorcy, jednak nie przedstawiła niebudzących wątpliwości dowodów na potwierdzenie stawianych zarzutów. Prezes UODO zaznaczył, że nie kwestionuje tym samym faktu, że do danych osobowych skarżącej mógł mieć dostęp M.Z., niemniej z okoliczności sprawy i zgromadzonego w jej toku materiału dowodowego nie wynika, aby to przedsiębiorca był odpowiedzialny za kwestionowane przez skarżącą udostępnienie. Organ uznał zatem, że materiał dowodowy zebrany w sprawie nie świadczy o prawdziwości opisanych w skardze okoliczności. Tym samym Prezes UODO nie podzielił stanowiska skarżącej wskazującego na udostępnienie przez przedsiębiorcę dokumentacji pracowniczej zawierającej jej dane osobowe, z uwagi na brak dowodów, które bezsprzecznie potwierdzałyby tę okoliczność.
Wobec powyższego, Prezes UODO umorzył postępowanie w powyższym zakresie, obejmującym udostępnienie przez przedsiębiorcę danych osobowych A.Z. na rzecz osób trzecich – r. pr. P.M. oraz M.Z.
Odnosząc się natomiast do żądania nakazania przedsiębiorcy usunięcia danych osobowych A.Z., Prezes UODO stwierdził, że dane osobowe skarżącej zawarte w dokumentacji pracowniczej są przetwarzane przez przedsiębiorcę, to jest jej byłego pracodawcę na podstawie art. 94 ust. 9a Kodeksu pracy, zgodnie z którym jest on obowiązany prowadzić i przechowywać w postaci papierowej lub elektronicznej dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników. Ponadto art. 94 ust. 9b Kodeksu pracy wskazuje, że dokumentacja pracownicza powinna być przechowywana przez okres 10 lat od końca roku kalendarzowego, w którym rozwiązano stosunek pracy. Oznacza to, że dane osobowe skarżącej zawarte w dokumentacji pracowniczej są przetwarzane przez przedsiębiorcę na podstawie ciążącego na nim obowiązku prawnego, tj. zgodnie z art. 6 ust. 1 lit. c RODO oraz art. 9 ust. 2 lit. h RODO. Tym samym brak jest podstaw do spełnienia żądania skarżącej w zakresie nakazania usunięcia jej danych osobowych. Odnosząc się do żądania nałożenia kary administracyjnej Prezes UODO stwierdził, że uprawnienie to należy do zadań organu, a nie uprawnień naprawczych i tym samym nie może stanowić przedmiotu postępowania prowadzonego w indywidualnej sprawie.
A.Z. zaskarżyła decyzję Prezesa UODO z dnia 29 grudnia 2021 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie podnosząc, że decyzja jest krzywdząca, stronnicza, niezgodna ze stanem faktycznym, nie uwzględnia obowiązujących przepisów oraz błędnie zinterpretowano w niej stan faktyczny. Skarżąca wskazał, że jej dane osobowe zostały udostępnione osobom trzecim, były powielane i wykorzystywane do spraw osób niemających prawa ich używać i wykorzystywać. Skarżąca zażądała uznania, że były pracodawca udostępniając jej dane osobowe naruszył prawo oraz stwierdzenia, że Prezes UODO powołał się na błędne przepisy prawa i wydał decyzję błędną, na niekorzyść skarżącej. Skarżąca wniosła też o wezwanie J.Z. do okazania teczki akt osobowych "celem potwierdzenia złożonych dokumentów" i potwierdzenia, że r. pr. P.M. "poświadczyła za zgodność".
W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie.
Oddalając skargę na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2022 r. poz. 329 ze zm.), dalej jako "P.p.s.a.", Wojewódzki Sąd Administracyjny w Warszawie, uznał, że skarga nie zasługiwała na uwzględnienie.
W uzasadnieniu wydanego wyroku Sąd pierwszej instancji wskazał, że w wyroku z dnia 16 kwietnia 2021 r. sygn. akt II SA/Wa 1506/20 Wojewódzki Sąd Administracyjny w Warszawie stwierdził, iż Prezes UODO naruszył w stopniu mogącym mieć istotny wpływ na wynik sprawy przepisy postępowania administracyjnego, tj. art. 77 § 1, art. 75 § 1, art. 80 i art. 107 § 3 k.p.a., gdyż przedwczesne uznał stwierdzenie przez organ nadzorczy, że brak jest podstaw do uwzględnienia skargi skarżącej w zakresie przetwarzania jej danych osobowych przez przedsiębiorcę poprzez ich udostępnienie na rzecz osób trzecich w sytuacji, gdy okoliczności faktyczne sprawy nie zostały wyczerpująco ustalone. Stwierdzono także, że Prezes UODO nie wyjaśnił w sposób niebudzący wątpliwości, czy w istocie po stronie przedsiębiorcy nie zaistniały nieprawidłowości w przetwarzaniu danych osobowych skarżącej poprzez ich udostępnienie M.Z. oraz r. pr. P.M. Wziąwszy pod uwagę, że organ nadzorczy powołał się w uzasadnieniu decyzji z dnia 9 czerwca 2020 r. na wyjaśnienia przedsiębiorcy i oparł na nich rozstrzygnięcie, Sąd stwierdził, że Prezes UODO nie wyjaśnił w ogóle swego stanowiska w sprawie. Nie wskazał bowiem z jakich przyczyn uznał za wiarygodne wyjaśnienia przedsiębiorcy, a z jakich przyczyn odmówił wiarygodności dowodom przedłożonym przez skarżącą. W konsekwencji nie wyjaśnił w sposób przekonujący, z jakich powodów uznał, że wniosek skarżącej w zakresie obejmujących udostępnienie jej danych osobowych przez przedsiębiorcę (J.Z.) r. pr. P.M. oraz M.Z. nie zasługuje na uwzględnienie. Z wyjaśnienia podstawy prawnej rozstrzygnięcia zawartej w uzasadnieniu wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 16 kwietnia 2021 r. sygn. akt II SA/Wa 1506/20 wynikało jednoznacznie, że ocena prawna zawarta w tym wyroku objęła stwierdzenie naruszenia przepisów postępowania, a nie objęła wykładni przepisów prawa materialnego i ich zastosowania w okolicznościach przedmiotowej sprawy. Te bowiem, wskutek naruszenia przepisów postępowania, nie zostały należycie ustalone, co doprowadziło do nieuprawnionego – przedwczesnego – stwierdzenia, że w sprawie nie doszło do niezgodnego z prawem udostępnienia danych osobowych A.Z. przez J.Z. Sąd stwierdził wprawdzie w uzasadnieniu wyroku, że zgodnie z art. 58 ust. 2 lit. i RODO administracyjna kara pieniężna jest jednym z uprawnień naprawczych organu nadzorczego, którego ogólne warunki stosowania określa art. 83 RODO. Tym samym zakwestionował stanowisko Prezesa UODO co do możliwości wymierzenia administracyjnej kary pieniężnej w postępowaniu wywołanym skargą osoby, której dane dotyczą. Stanowisko to wyraził jednak in abstracto, bowiem w ten sposób do tej kwestii odniósł się także Prezes UODO w uzasadnieniu decyzji z dnia 9 czerwca 2020 r. Sąd nie rozważał natomiast, podobnie jak nie rozważał Prezes UODO, czy w okolicznościach tej konkretnej sprawy zachodziły podstawy do wymierzenia kary pieniężnej. Powodem odmowy uwzględnienia wniosku A.Z. w decyzji z 9 czerwca 2020 r. było bowiem stwierdzenie, że nie doszło do niezgodnego z prawem przetwarzania jej danych osobowych. Skutkiem powyższej oceny prawnej było zobowiązanie Prezesa UODO przez Sąd do ustalenia w sposób jednoznaczny stanu faktycznego sprawy, a w tym celu rozważenia, czy niezbędne jest uzupełnienie materiału dowodowego o dodatkowe wyjaśnienia przedsiębiorcy oraz skarżącej, a także do dokonania oceny zgromadzonego materiału dowodowego, tak by nie była ona dowolna, ale zgodna z wymogami określonymi przepisach k.p.a., co pozwoli uzyskać jednoznaczność ustaleń faktycznych, jak również do uzasadnienia nowo wydanej decyzji zgodnie z wymogami określonymi w art. 107 § 3 k.p.a.
Sąd pierwszej instancji wskazał, że w ponownie przeprowadzonym postępowaniu Prezes UODO zobowiązał J.Z. do złożenia wyjaśnień poprzez: precyzyjne wskazanie zakresu oraz daty porady prawnej świadczonej przez r. pr. P.M. na jego rzecz, w czasie której udostępnione zostały dokumenty zawierające dane osobowe A.Z. oraz nadesłania kopii dokumentu, np. faktury potwierdzającej uzyskanie porady prawnej przez przedsiębiorcę, a także wyjaśnienie, w jakim celu oraz na jakiej podstawie prawnej oraz w jakim zakresie udostępnił r. pr. P.M. dokumenty zawierające dane osobowe skarżącej. Prezes UODO zobowiązał także skarżącą do nadesłania dowodów potwierdzających udostępnienie jej danych osobowych na rzecz osób trzecich, w szczególności wymienionych w skardze z dnia 9 lipca 2020 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie. W świetle powyższego nie budziło wątpliwości, że zgodnie ze wskazaniami co do dalszego postępowania zawartymi w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 16 kwietnia 2021 r. sygn. akt II SA/Wa 1506/20 Prezes UODO podjął czynności w celu uzupełnienia materiału dowodowego sprawy, a tym samym prawidłowego ustalenia stanu faktycznego.
Sąd pierwszej instancji wskazał dalej, że J.Z. w piśmie z dnia 2 listopada 2021 r. wyjaśnił, że z uwagi na upływ czasu nie pamięta szczegółów dotyczących udzielanej porady prawnej i podał, iż pamięta wyłącznie, że dotyczyła ona kwestii związanych z zatrudnieniem, w tym dokumentacją pracowniczą i obejmowała wszystkich pracowników. Skarżąca złożyła natomiast w toku postępowania dwa kolejne, opisane w części sprawozdawczej uzasadnienia, pisma z 3 listopada 2021 r. i z 26 listopada 2021 r. Do pierwszego z nich dołączyła 22 załączniki mające potwierdzać udostępnienie jej danych osobowych zawartych w aktach osobowych przez J.Z. jej byłemu mężowi (M.Z.) oraz jego pełnomocnikowi w postępowaniu przez Sądem Rejonowym w O. (r. pr. P.M.). Na podstawie tych dokumentów, a także dokumentów dołączonych do skargi z 14 listopada 2018 r., Prezes UODO w ocenie Sądu pierwszej instancji doszedł do trafnego wniosku, że do udostępnienia przez J.Z. danych osobowych A.Z. zawartych w jej aktach osobowych musiało dojść najpóźniej w dniu 20 grudnia 2017 r., to jest w dniu w którym r. pr. P.M. potwierdziła zgodność z oryginałem wykonanych kopii tych dokumentów.
W okolicznościach przedmiotowej sprawy, w ocenie Sądu pierwszej instancji nie było wprawdzie podstaw do zakwestionowania stanowiska organu nadzorczego, że w sprawie nie ustalono w sposób jednoznaczny, iż J.Z. udostępnił dane osobowe skarżącej M.Z., niemniej – ponieważ dowodem przedstawianym przez skarżącą na tę okoliczność są właśnie potwierdzone za zgodność z oryginałem przez r. pr. P.M. kopie dokumentów z akt osobowych - stwierdzono, że nawet jeśli (a na taką możliwość wskazuje skarżąca) J.Z. najpierw udostępnił dane skarżącej z akt osobowych M.Z., a dopiero M.Z. udostępnił je r. pr. P.M., która potwierdziła zgodność kopii z oryginałem, to także nastąpiło to najpóźniej 20 grudnia 2017 r.
Zdaniem Sądu pierwszej instancji Prezes UODO trafnie odwołał się do art. 99 ust. 2 RODO, zgodnie z którym ma ono zastosowanie od dnia 25 maja 2018 r., a także do art. 160 ust. 1 i ust. 2 u.o.d.o. 2018 r., z których wynika, że postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie tej ustawy (25 maja 2018 r.), prowadzone są przez Prezesa UODO na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723). Przedmiotowe udostępnienie danych osobowych skarżącej miało miejsce najpóźniej 20 grudnia 2017 r., zatem nie mogło mieć do niego zastosowania RODO, które ma zastosowanie od 25 maja 2018 r. Trafnie stwierdził Prezes UODO, że z art. 99 ust. 2 RODO wynika, że ma ono zastosowanie do procesów przetwarzania danych osobowych, które trwały 25 maja 2018 r. Postępowanie w sprawie zostało wszczęte skargą A.Z. z 14 listopada 2018 r., która wpłynęła do Prezesa UODO 26 listopada 2018 r., zatem po 25 maja 2018 r., co natomiast wykluczyło możliwość prowadzenia tego postępowania na podstawie u.o.d.o. 1997 r. Mocą art. 160 ust. 2 u.o.d.o. 2018 r., na podstawie ustawy z dnia 29 sierpnia 1997 r. mogą być prowadzone wyłącznie postępowania wszczęte przed 25 maja 2018 r. Cezurą jest tu więc data wszczęcia postępowania, a nie rozpoczęcia procesu przetwarzania danych osobowych. Z wyjątkiem postępowań, które zostały wszczęte (i niezakończone) przed wejściem w życie u.o.d.o. 2018 r. i rozpoczęciem stosowania RODO (czyli przed 25 maja 2018 r.), Prezes UODO nie ma obecnie kompetencji do oceny zgodności z prawem procesów przetwarzania danych osobowych, które rozpoczęły się i zakończyły przed tą datą. Taka natomiast sytuacja miała miejsce w realiach rozpoznanej sprawy, w zakresie (zakończonego przed 25 maja 2018 r. procesu) udostępnienia przez J.Z. danych osobowych A.Z. zawartych w jej aktach osobowych. Przy tym zaznaczono, że w stanie prawnym obowiązującym przed 25 maja 2018 r., zgodnie z art. 18 ust. 1 u.o.d.o. 1997 r., w przypadku naruszenia przepisów o ochronie danych osobowych Prezes UODO z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej nakazywał przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Ponieważ zatem operacja udostępnienia przez J.Z. danych osobowych skarżącej zawartych w jej aktach osobowych została zakończona, to nawet gdyby postępowanie w sprawie zostało wszczęte przed 25 maja 2018 r., a tym samym możliwe byłoby zastosowanie przepisów u.o.d.o. 1997 r., organ nadzorczy nie miałby podstaw do wydania decyzji na podstawie art. 18 u.o.d.o. 1997 r. W świetle zawartych w nim przepisów, działania naprawcze organu ochrony danych osobowych ograniczone zostały bowiem zasadniczo do wydawania nakazów przywrócenia stanu zgodnego z prawem. Nie przewidywały zaś możliwości zastosowania przez organ takich środków naprawczych jak np. udzielenie upomnienia, czy nałożenie administracyjnej kary pieniężnej, które to środki zostały wprowadzone dopiero przez przepisy RODO, a ich zastosowanie – ze względu na jednoznaczną treść art. 99 ust. 2 RODO - w stosunku do stwierdzonego udostępnienia jest w realiach rozpoznanej sprawy niedopuszczalne.
Jeśli chodzi natomiast o rozstrzygnięcie zaskarżonej decyzji w zakresie obejmującym nakazanie J.Z. (byłemu pracodawcy skarżącej) usunięcia jej danych osobowych, należy stwierdzić, że trafnie organ nadzorczy odwołał się do art. 94 pkt 9a) i pkt 9b) Kodeksu pracy. Zgodnie z art. 94 pkt 9b) Kodeksu pracy (stan prawny na dzień wydania zaskarżonej decyzji - Dz. U. z 2020 r. poz. 1320 ze zm.) pracodawca jest obowiązany w szczególności przechowywać dokumentację pracowniczą w sposób gwarantujący zachowanie jej poufności, integralności, kompletności oraz dostępności, w warunkach niegrożących uszkodzeniem lub zniszczeniem przez okres zatrudnienia, a także przez okres 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł, chyba że odrębne przepisy przewidują dłuższy okres przechowywania dokumentacji pracowniczej. Przetwarzanie przez J.Z. (prowadzącego działalność gospodarczą pod firmą H. "H." J.Z. w P.) danych osobowych A.Z. zawartych w jej aktach osobowych było więc niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, a tym samym znajdowało oparcie w art. 6 ust. 1 lit. c RODO. Organ nie miał więc podstaw do nakazania administratorowi usunięcia danych osobowych A.Z.
Sąd pierwszej instancji wskazał dalej, że zawarte w końcowej części uzasadnienia zaskarżonej decyzji stwierdzenie, że nałożenie kary administracyjnej należy do zadań organu, a nie uprawnień naprawczych i tym samym nie może stanowić przedmiotu postępowania prowadzonego w indywidualnej sprawie, stanowi powtórzenie stanowiska zawartego w decyzji z dnia 9 czerwca 2020 r., które zakwestionował Wojewódzki Sąd Administracyjny w Warszawie w wydanym w sprawie wyroku z dnia 16 kwietnia 2021 r. sygn. akt II SA/Wa 1506/20, stwierdzając, że zgodnie z art. 58 ust. 2 lit. i RODO, administracyjna kara pieniężna jest jednym z uprawnień naprawczych organu nadzorczego, którego ogólne warunki stosowania określa art. 83 RODO. W tym zakresie zaskarżona decyzja jest niezgodna z oceną prawną wyrażoną w powołanym wyroku. Jak już jednak zauważono, ocena ta została wyrażona nie w odniesieniu do realiów tej konkretnej sprawy, ale in abstracto – jako wskazanie, że administracyjna kara pieniężna jest jednym z uprawnień naprawczych przysługujących organowi nadzorczemu. Ze względu na to, że w prawidłowo ustalonym w sprawie stanie faktycznym, organ nadzorczy – z uwagi na zakończenie procesu udostępnienia przed 25 maja 2018 r. - nie był uprawniony do oceny zgodności z prawem udostępnienia przez J.Z. danych osobowych skarżącej r. pr. P.M. oraz M.Z., natomiast w dniu rozstrzygnięcia sprawy przedsiębiorca przetwarzał dane osobowe skarżącej zawarte w jej aktach osobowych zgodnie z prawem – jako były pracodawca w oparciu o przesłankę legalizującą zawartą w art. 6 ust. 1 lit. c RODO, stwierdzone naruszenie art. 153 P.p.s.a. w zw. z art. 58 ust. 2 lit. i RODO nie miało wpływu na wynik sprawy. Reasumując, kontrola decyzji Prezesa UODO z dnia 29 grudnia 2021 r. nr ZSZZS.440.835.2018.ZS.JK w granicach sprawy nie dała w ocenie Sądu pierwszej instancji podstaw do stwierdzenia, że została ona wydana z naruszeniem przepisów postępowania, zaś stwierdzone naruszenie prawa materialnego, nie miało wpływu na wynik sprawy. Prezes UODO zastosował się do wskazań co do dalszego postępowania zawartych w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 16 kwietnia 2021 r.; sygn. akt II SA/Wa 1506/20. Brak jest zatem podstaw do uznania, że w postępowaniu zakończonym wydaniem zaskarżonej decyzji nie wyjaśniono wszystkich kwestii mających wpływ na rozstrzygnięcie sprawy. Uzasadnienie zaskarżonej decyzji odpowiada prawu. W zakresie dotyczącym udostępnienia danych osobowych skarżącej r. pr. P.M. uzasadnienie faktyczne zawiera wskazanie faktu, który organ uznał za rozstrzygający dla stwierdzenia, że – objęty skargą z dni 14 listopada 2018 r. - proces przetwarzania (udostępnienia) danych osobowych zakończył się przed wejściem w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych i rozpoczęciem stosowania RODO. Faktem tym jest potwierdzenie w dniu 20 grudnia 2017 r. przez r. pr. P.M. za zgodność z oryginałem kopii dokumentów złożonych do Sądu Rejonowego w O. w sprawie o sygn. akt I Ns 776/17. Fakt ten został ustalony na podstawie dokumentów dołączonych przez skarżącą do skargi z 14 listopada 2018 r. oraz do pisma z 3 listopada 2021 r.
W zakresie obejmującym przetwarzanie danych osobowych skarżącej przez J.Z. – jako byłego pracodawcę – organ odwołał się natomiast do niespornych w tym zakresie twierdzeń stron zawartych w skardze i wyjaśnieniach J.Z. z 23 stycznia 2019 r., z których wynika, że A.Z. była zatrudniona przez J.Z. w okresie od 6 czerwca 2006 r. do 23 marca 2015 r. Prezes UODO wyjaśnił także przekonująco, dlaczego nie uznał za udowodniony faktu udostępnienia danych osobowych skarżącej M. Z., przy czym – jak wyżej wyjaśniono – nawet, jeżeli dane te zostały najpierw udostępnione przez J.Z. M.Z., który przekazał je r. pr. P.M. reprezentującej go w postępowaniu przed Sądem Rejonowym w O., to i tak udostępnienie danych M.Z. musiało nastąpić najpóźniej 20 grudnia 2017 r. Zatem także w tej sytuacji Prezes UODO nie miałby podstaw prawnych do oceny zgodności tego udostępnienia z prawem. Uzasadnienie prawne decyzji zawiera wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa.
Skarżąca wywiodła skargę kasacyjną od powyższego wyroku, zaskarżając wyrok w całości i zarzucając naruszenie:
1) art. 159 ust. 1 i art. 160 ust. 1 oraz art. 175 i art. 176 u.o.d.o. 2018 r. poprzez ich błędną wykładnię i nieuzasadnione przyjęcie, że Prezes UODO nie posiada kompetencji do prowadzenia postępowania dotyczącego oceny zgodności z prawem udostępnienia przez przedsiębiorcę danych osobowych skarżącej, mającego miejsce przed dniom 25 maja 2018 r., to jest w czasie obowiązywania przepisów u.o.d.o. 1997 r. - wszczętego po wejściu w życie ww. ustawy u.o.d.o. 2018 r.;
2) przepisów postępowania: art. 1 § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r., poz. 2492 ze zm.), dalej jako "P.u.s.a." w zw. z art. 7, 77 i 80 k.p.a., poprzez ich niewłaściwe zastosowanie i zaniechanie przez Sąd wnikliwej kontroli legalności zaskarżonej decyzji pomimo, że w toku postępowania administracyjnego nie dokonano jednoznacznego ustalenia stanu faktycznego w zakresie udostępnienia przez przedsiębiorcę J.Z. danych osobowych skarżącej, co mogło mieć wpływ na wynik sprawy.
Z uwagi na powyższe zarzuty skarżąca kasacyjnie wniosła o uchylenie zaskarżonego wyroku w całości, przekazanie sprawy w całości do ponownego rozpoznania Sądowi pierwszej instancji, ewentualnie uchylenie zaskarżonego wyroku i rozpoznanie skargi, w przypadku uznania, że istota sprawy jest dostatecznie wyjaśniona, to jest miało miejsce nieuprawnione udostępnienie danych osobowych skarżącej przez przedsiębiorcę J.Z., ewentualnie o zmianę treści uzasadnienia wyroku, w części dotyczącej ustalenia, jakie przepisy o ochronie danych osobowych stosuje się do rozpoznania skargi skarżącej dnia 14 listopada 2018 r. złożonej do Prezesa UODO.
Ponadto skarżąca kasacyjnie wniosła o przyznanie ze środków budżetowych Sądu na rzecz pełnomocnika wynagrodzenia tytułem nieopłaconej pomocy prawnej świadczonej z urzędu w postępowaniu odwoławczym według zasad określonych w przepisach o opłatach za czynności adwokatów, radców prawnych, doradców podatkowych albo rzeczników patentowych w zakresie ponoszenia kosztów nieopłaconej pomocy prawnej oraz zwrotu niezbędnych i udokumentowanych wydatków (w wysokości 150 % stawki minimalnej) oświadczając, że koszty te nie zostały na rzecz pełnomocnika uiszczone ani w całości ani w części.
Ponadto skarżąca kasacyjnie oświadczyła, że zrzeka się przeprowadzenia rozprawy.
W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o jej oddalenie wskazując, że w pełni podziela stanowisko wyrażone w uzasadnieniu wyroku wydanego przez Sąd pierwszej instancji.
Naczelny Sąd Administracyjny zważył, co następuje:
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2024 r. poz. 935), dalej jako P.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 P.p.s.a. Nie zachodzi również żadna z przesłanek odrzucenia skargi albo umorzenia postępowania przed wojewódzkim sądem administracyjnym, o których mowa w art. 189 P.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli wyroku zaskarżonego skargą kasacyjną.
W skardze kasacyjnej zgłoszone zostały zarówno zarzuty naruszenia prawa materialnego, jak i przepisów postępowania. W sytuacji, kiedy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, w pierwszej kolejności rozpoznaniu winny podlegać zarzuty naruszenia przepisów postępowania.
Za całkowicie chybiony należy uznać opisany w pkt 2 petitum skargi kasacyjnej zarzut naruszenia art. 1 § 2 P.u.s.a. w zw. z art. 7, art. 77 i art. 80 k.p.a.
Wskazać w tym miejscu należy, że art. 1 § 1 i § 2 to przepis ustrojowy normujący zakres i kryterium kontroli działalności administracji publicznej przez sądy administracyjne. Co do zasady przepis ten nie może stanowić samodzielnej podstawy kasacyjnej. Może on być skutecznie wskazany jako naruszony w ramach drugiej podstawy kasacyjnej (opisanej w art. 174 pkt 2 P.p.s.a.) w powiązaniu z konkretnie oznaczonymi przepisami P.p.s.a. Skoro zatem art. 1 § 1 i § 2 P.u.s.a. jako przepis ustrojowy, a nie procesowy, wskazuje w § 2 podstawowe kryterium sprawowania kontroli administracji publicznej przez sądy administracyjne, to przepis ten mógłby stanowić samodzielną podstawę kasacyjną tylko wówczas, gdyby sąd przyjął inne, niż legalność, kryterium kontroli. Zarzucając naruszenie tego przepisu strona skarżąca kasacyjnie powinna zatem wskazać konkretny przepis prawa, który powinien uwzględnić sąd pierwszej instancji dokonując kontroli legalności działania organów administracji, bądź ewentualnie przepis wskazujący inne kryterium kontroli (wykraczające poza zgodność z prawem). Wykazując naruszenie tego przepisu strona może wywodzić, że sąd pierwszej instancji niezasadnie wyszedł poza kryterium kontroli działalności administracji publicznej pod względem jej zgodności z prawem. W każdym innym wypadku należy wskazać w podstawie skargi kasacyjnej naruszony, zdaniem wnoszącego skargę kasacyjną, przepis prawa procesowego, przy czym powinien to być przepis stanowiący samodzielną podstawę skargi kasacyjnej. Na żaden z tych sposobów naruszenia art. 1 § 2 P.u.s.a. autor rozpatrywanej skargi kasacyjnej nie wskazał koncentrując się na twierdzeniu, że Sąd pierwszej instancji - poprzez niewłaściwe zastosowanie art. 1 § 2 P.u.s.a. w zw. z art. 7, 77 i 80 k.p.a. - zaniechał wnikliwej kontroli legalności zaskarżonej decyzji.
Naczelny Sąd Administracyjny wskazuje, że Sąd pierwszej instancji mógłby naruszyć art. 1 § 1 i 2 P.u.s.a. odmawiając rozpoznania skargi, mimo wniesienia jej z zachowaniem przepisów prawa, bądź rozpoznając ją, ale stosując przy kontroli inne kryterium niż kryterium zgodności z prawem. Ponadto naruszenie przepisu art. 1 § 2 P.u.s.a. może polegać na wykroczeniu poza właściwość sądu albo zastosowaniu środka nieznanego ustawie, przy czym żaden z powołanych przepisów nie może być naruszony poprzez wadliwe dokonanie kontroli (zob. w tej materii m.in. wyroki Naczelnego Sądu Administracyjnego z dnia 30 stycznia 2013 r.; sygn. akt II GSK 2147/11 oraz z dnia 16 czerwca 2023 r.; sygn. akt I GSK 1355/19).
W realiach rozpatrywanej sprawy nie ma żadnych podstaw do przyjęcia, że Sąd pierwszej instancji nie dokonał kontroli zaskarżonego przejawu działalności organu administracji publicznej (decyzji administracyjnej) oraz, że badanie to przeprowadził w innym aspekcie niż zgodność z przepisami, które miały w sprawie zastosowanie. To, czy ocena legalności zaskarżonej decyzji była prawidłowa, czy też błędna, nie może być utożsamiane z naruszeniem art. 1 § 2 P.u.s.a.
Nadto należy wskazać, że w postępowaniu sądowoadministracyjnym sąd nie stosuje przepisów procedury administracyjnej a jedynie weryfikuje czy organy administracji publicznej prawidłowo zastosowały te przepisy. Prawidłowo sformułowany zarzut naruszenia procedury administracyjnej powinien zatem wskazywać na naruszenie przepisów postępowania administracyjnego w związku z odpowiednim przepisem procedury sądowowadministracyjnej, czego w zarzucie procesowym skargi kasacyjnej nie uczyniono.
Rozpatrzenie podniesionego w skardze zarzutu naruszenia prawa materialnego (pkt 1 petitum skargi kasacyjnej), który odnosi się wyłącznie do kwestii intertemporalnych wymaga z kolei poczynienia ustaleń dotyczących podstaw prawnych regulujących proces przetwarzania danych osobowych obowiązujących w dniu 20 grudnia 2017 r. (data graniczna, w której doszło do udostępnienia przez administratora danych osobowych skarżącej) oraz podstaw prawnych, które obowiązywały organ w dniu wszczęcia postępowania, jak i ich wzajemnej korelacji.
Podkreślenia wymaga, że zdarzenie będące przedmiotem skargi skarżącej z dnia 14 listopada 2018 r. (skargi wszczynającej postępowanie) miało charakter jednorazowy i zakończony oraz nie było kontynuowane po dnia 25 maja 2018 r., a zatem w czasie gdy nastąpiła zmiana stanu prawnego. Zdarzenie to nastąpiło bowiem w czasie obowiązywania ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r. poz. 922 ze zm.), dalej jako "ustawa z 1997 r.". Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016, str. 1), dalej jako "rozporządzenie 2016/679", zgodnie z art. 99 ust. 1, weszło w życie po 20 dniach od publikacji w Dzienniku Urzędowym UE, co oznacza, iż weszło ono w życie i ma zastosowanie od dnia 25 maja 2018 r. Postępowanie przed organem zostało z kolei wszczęte skargą skarżącej złożoną w dniu 26 listopada 2018 r., gdy obowiązywała już ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2019 r. poz. 1781), dalej jako "ustawa z 2018 r.". Oba akty normatywne weszły w życie jednocześnie w dniu 25 maja 2018 r. Z dniem wejścia w życie ustawy z 2018 r. utraciła moc obowiązującą ustawa o ochronie danych osobowych z 1997 r.
Istotnym jest w tym miejscu wskazanie, że w ustawie z 2018 r. zawarto regulację intertemporalną odnoszącą się do postępowań administracyjnych wszczętych i niezakończonych przed wejściem w życie przepisów tej ustawy. Stosownie do treści art. 160 ust. 2 ustawy z 2018 r. postępowania wszczęte i niezakończone przed 25 maja 2018 r. prowadzi się na podstawie ustawy z 1997 r., zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Wykładnia tego przepisu wskazuje, że w postępowaniach wszczętych pod rządami ustawy z 1997 r., które nie zostały prawomocnie zakończone do czasu uchylenia tej ustawy, należy stosować przepisy ustawy z 1997 r. i to zarówno w zakresie podejmowanych czynności proceduralnych, jak i materialnoprawnej oceny zdarzeń będących przedmiotem postępowania. Brak jest jednakże przepisu przejściowego regulującego postępowania, które zostały wszczęte po wejściu w życie nowej ustawy, a dla których przesłanki faktyczne determinujące jego wszczęcie wystąpiły jeszcze przed wejściem w życie przedmiotowych przepisów.
Podstawową zasadą znajdującą zastosowanie przy braku przepisów intertemporalnych - aprobowaną przez Trybunał Sprawiedliwości Unii Europejskiej - jest nakaz stosowania przepisów obowiązujących w momencie zakończenia zdarzeń, który miały miejsce przed wejściem w życie nowych przepisów, ale trwają jeszcze po ich wejściu w życie. Do zdarzeń natomiast, które zakończyły swój bieg przed wejściem w życie nowych przepisów, należy stosować przepisy w dotychczasowym brzmieniu (por. wyroki TSUE: w sprawie C - 201/04 (Belgische Staat vs Molenbergnatie NV) z dnia 23 lutego 2006 r.; zob. nadto wyroki w sprawach połączonych C - 121/91 i C - 122/91 (CT Control (Rotterdam) BV and JCT Benelux BV vs Komisja Europejska) z dnia 6 lipca 1993 r. w sprawie C - 61/98 (De Haan Beheer BV vs. Inspecteur der Invoerrechten en Accijnzen te Rotterdam) z dnia 7 września 1999 r. oraz w sprawie C - 251/00 (Ilumitrónica - Iluminaçăo e Electrónica Lda - Chefe da Divisăo de Procedimentos Aduaneiros e Fiscais/Direcçăo das Alfândegas de Lisboa - Ministério Público) z dnia 14 listopada 2002 r.).
Zasada ta znajduje swoje odzwierciedlenie również w systemie prawa krajowego. W szczególności zasada demokratycznego państwa prawa i wynikająca z niej zasada niedziałania prawa wstecz (art. 2 Konstytucji RP z dnia 2 kwietnia
1997 r.; Dz. U. Nr 78, poz. 483 ze zm.) w związku z zasadą zaufania wyrażoną w art. 8 k.p.a. wskazują, że w przypadku braku ustanowienia przez ustawodawcę przepisu przejściowego do zdarzeń prawnych stosuje się przepisy obowiązujące w momencie ich zaistnienia.
W orzecznictwie Naczelnego Sądu Administracyjnego podkreśla się fundamentalne znaczenie zasady niedziałania prawa wstecz (lex retro non agit), jako jednej z podstawowych zasad prawa międzyczasowego. W wyroku z dnia 26 października 2017 r. (sygn. akt II GSK 24/16) Naczelny Sąd Administracyjny wskazał, że zasada lex retro non agit jest adresowana przede wszystkim do ustawodawcy i zakazuje mu stanowienia norm prawnych, które miałyby być stosowane do zdarzeń, sytuacji, które miały miejsce i zostały zakończone przed wejściem w życie tych norm. Zasada ta nie ma charakteru bezwzględnego, można od niej odstąpić, jednakże wyjątkowo, jeżeli przemawia za tym konieczność ochrony innych wartości konstytucyjnych niż bezpieczeństwo prawne i zaufanie obywateli do państwa zagrożone pogorszeniem ich sytuacji prawnej wskutek nałożenia na nich określonych obowiązków z mocą wsteczną. Dalej Naczelny Sąd Administracyjny wywiódł, że nawet jeżeli przyjąć, że zasadą ogólną jest bezpośrednie działanie prawa, to z samej tej zasady nie można wyprowadzać domniemania, że wobec braku konkretnej wypowiedzi ustawodawcy, przepis, zwłaszcza materialnoprawny może mieć zastosowanie z mocą wsteczną. Granice jego zastosowania w czasie wyznacza zasada lex retro non agit. Z kolei w wyroku z dnia 6 stycznia 2010 r. (sygn. akt II GSK 266/09) Naczelny Sąd Administracyjny wskazał, że w razie kolizji, czy w sprawie ma zastosowanie przepis dotychczasowy, czy nowy, przyjmuje się, że przepis dotychczasowy ma zastosowanie, jeżeli pod jego rządem powstał (zmienił się albo wygasł) stosunek prawny, którego treść została bezpośrednio wyznaczona przez ten przepis. Na tej podstawie sformułowana została ogólna zasada, w myśl której nowa ustawa nie ma być stosowana przy ocenie tak pozytywnych, jak i negatywnych skutków zdarzeń prawnych, które nastąpiły przed jej wejściem w życie.
Nie budzi wątpliwości Naczelnego Sądu Administracyjnego, na gruncie niniejszej sprawy, że zdarzenie prawne będące przedmiotem oceny materialnoprawnej Prezesa UODO, to jest udostępnienie danych osobowych skarżącej, miało miejsce przed dniem 25 maja 2018 r. a więc w czasie gdy obowiązywała ustawa z 1997 r. Zdarzenie prawne będące przedmiotem oceny Prezesa UODO było zdarzeniem, które zakończyło się przed wszczęciem postępowania administracyjnego. To, czy istotnie doszło do nieprawidłowości w procesie przetwarzania danych osobowych, wymagało oceny organu przy zastosowaniu odpowiedniego przepisu prawa materialnego. O zastosowaniu starego czy nowego prawa powinien decydować zaś moment, w którym doszło do ocenianego zdarzenia, to jest udostępnienia danych osobowych. Jak wskazał zasadnie Naczelny Sąd Administracyjny w uzasadnieniu wyroku z dnia 15 stycznia 2021 r. (sygn. akt III OSK 2892/21) problematyka intertemporalna w ustawie z 2018 r. nie została uregulowana przez ustawodawcę w sposób wyczerpujący. Zakresem regulacji objęta została tylko kwestia postępowań wszczętych i niezakończonych przez GIODO przed 25 maja 2018 r. Uwadze ustawodawcy umknęły zaś wszelkie inne kwestie prawa międzyczasowego. Brak jest przepisów odnoszących się do przypadków, gdy postępowania nie zostały jeszcze wszczęte, a zdarzenia objęte nimi miały miejsce przed 25 maja 2018 r. Nie rozstrzygnął on problemów stosunków prawnych lub faktów, które powstały lub wystąpiły pod rządami dawnego prawa i trwają po jego uchyleniu pod rządami nowego prawa, jak również stosunków prawnych lub faktów, które wystąpiły i zakończyły się pod rządami starego prawa, a postępowania administracyjne odnoszące się do nich zostały wszczęte dopiero po 25 maja 2018 r. W ocenie Naczelnego Sądu Administracyjnego z przepisu art. 160 ust. 2 ustawy z 2018 r. wynika bez wątpienia, iż stare prawo znajduje dalsze zastosowanie do spraw wszczętych i nie zakończonych przed 25 maja 2018 r. W takich przypadkach wyłączną podstawą orzekania przez organ będą stanowić przepisy starego prawa. Do wszystkich pozostałych sytuacji stosowania prawa organ w związku z treścią przepisów art. 2 i art. 7 Konstytucji RP oraz art. 6 k.p.a. obowiązany będzie zastosować nowe prawo, mimo że fakty prawne, które miałyby zostać rozstrzygnięte w drodze aktu stosowania prawa zaszły w czasie zanim weszło w życie nowe prawo.
Mając na uwadze powyższe zapatrywanie zasadną jest konstatacja, że zdarzenie stanowiące podstawę złożenia przez skarżącą kasacyjnie skargi do Prezesa UODO powinno podlegać ocenie według przepisów prawa materialnego obowiązujących w dniu, w którym dane zdarzenie miało miejsce. Postępowanie administracyjne w tym przedmiocie powinno być zaś prowadzone w oparciu o ustawę z 2018 r. oraz rozporządzenie nr 2016/679, gdyż stosowny wniosek skarżącej kasacyjnie wpłynął do organu w dniu 26 listopada 2018 r. Nie do pogodzenia z istotą wymiaru sprawiedliwości jest bowiem przyjęcie interpretacji przepisów w sposób, który prowadziłby do sytuacji, w której - z uwagi na brak przepisów intertemporalnych - obywatel pokrzywdzony naruszeniem przepisów o ochronie danych osobowych nie mógłby dochodzić swoich praw, a określony podmiot pozostawałby w istocie bezkarny nawet pomimo oczywistego naruszenia przepisów o ochronie danych osobowych.
Mając na uwadze powyższe Naczelny Sąd Administracyjny uznał, że zarzut opisany pkt 1 petitum skargi kasacyjnej należało uwzględnić. Zasadność zarzutu naruszenia prawa materialnego przesądza z kolei o konieczności uchylenia zaskarżonego wyroku w części, w jakiej oddalono skargę na decyzję organu z dnia 29 grudnia 2021 r. w zakresie w jakim organ orzekł o umorzeniu postępowania w zakresie udostępnienia danych osobowych skarżącej kasacyjnie. Z uwagi na fakt, iż istota sprawy została dostatecznie wyjaśniona, Sąd uznał za konieczne podjęcie rozstrzygnięcia merytorycznego poprzez uchylenie pkt 1 zaskarżonej decyzji w zakresie w jakim organ umorzył prowadzone postępowanie. Z tych względów i na podstawie art. 188 w zw. z art. 145 § 1 pkt 1 lit. a) i c) P.p.s.a. Naczelny Sąd Administracyjny orzekł jak w punkcie pierwszym i drugim w sentencji wyroku.
W pozostałej części (orzeczenie jak w punkcie trzecim sentencji wyroku) skarga kasacyjna została oddalona na podstawie art. 184 P.p.s.a. W skardze kasacyjnej nie podniesiono bowiem skutecznie zarzutów skorelowanych z wyrokiem Sądu pierwszej instancji w części, w jakiej wyrok ten odnosi się do pkt 2 zaskarżonej decyzji, mocą której organ odmówił uwzględnienia wniosku skarżącej kasacyjnie o nakazanie byłemu pracodawcy skarżącej kasacyjnie usunięcia jej danych osobowych. Z petitum skargi kasacyjnej wynika zaś wprost, że skarżąca kasacyjnie zaskarżyła wyrok Sądu pierwszej instancji w całości.
Zawarty w skardze kasacyjnej wniosek pełnomocnika skarżącej kasacyjnie o przyznanie wynagrodzenia za zastępstwo prawne wykonane na zasadzie prawa pomocy w postępowaniu kasacyjnym Naczelny Sąd Administracyjny pozostawił z kolei do rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Wniosek taki winien być bowiem złożony do właściwego wojewódzkiego sądu administracyjnego (art. 254 § 1 P.p.s.a.), który rozpoznaje ten wniosek w postępowaniu określonym w przepisach art. 250 i art. 258 P.p.s.a.
Niniejsza sprawa została rozpoznana na posiedzeniu niejawnym na podstawie art. 182 § 2 i 3 P.p.s.a., bowiem skarżąca kasacyjnie zrzekła się rozprawy, zaś organ nie zażądał jej przeprowadzenia.