III OSK 537/22

III OSK 537/22 - Wyrok NSA
Data orzeczenia
2023-07-07
orzeczenie prawomocne
Data wpływu
2022-02-28
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Piotr Korzeniowski
Przemysław Szustakiewicz /przewodniczący/
Rafał Stasikowski /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Sygn. powiązane
II SA/Wa 338/21 - Wyrok WSA w Warszawie z 2021-11-19
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Przemysław Szustakiewicz Sędziowie: Sędzia NSA Rafał Stasikowski (spr.) Sędzia NSA Piotr Korzeniowski po rozpoznaniu w dniu 7 lipca 2023 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej K. B. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 listopada 2021 r., sygn. akt II SA/Wa 338/21 w sprawie ze skargi K. B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 15 grudnia 2020 r., nr ZSPR.440.527.2019.PR.KM w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wyrokiem z 19 listopada 2021 r., sygn. akt II SA/Wa 338/21, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę K. B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 15 grudnia 2020 r.,
nr ZSPR.440.527.2019.PR.KM, w przedmiocie przetwarzania danych osobowych.
Wyrok zapadł w następujących okolicznościach faktycznych i prawnych:
W dniu 14 sierpnia 2018 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga R. G. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez K. B. - administratora strony internetowej znajdującej się pod adresem [...], polegające na udostępnieniu danych osobowych skarżącego w zakresie imienia, nazwiska, daty urodzenia, imion rodziców, znaku wywoławczego, statusu, pseudonimu oraz numeru rejestracji, bez podstawy prawnej na ww. stronie internetowej oraz niespełnieniu żądania skarżącego w zakresie usunięcia jego danych osobowych z ww. strony internetowej. W związku z powyższym R. G. wniósł o nakazanie przez Prezesa UODO usunięcia jego danych osobowych z ww. strony internetowej.
W piśmie z 24 kwietnia 2019 r. K. B. wyjaśnił, że dane R. G. pozyskał z zasobów archiwalnych IPN, ponieważ prowadzi badania naukowe oparte o kwerendę w zasobach archiwalnych tego Instytutu, na podstawie złożonego w dniu 26 czerwca 2014 r. wniosku. Badania dotyczą działalności służb specjalnych PRL (cywilnych i wojskowych) w wybranych środowiskach społecznych. Ww. okoliczność K. B. potwierdził pismem dyrektora Oddziału IPN w [...] z 5 kwietnia 2019 r. Wyjaśnił, że dane R. G. są ogólnodostępne na stronie internetowej, której administratorem jest IPN. Wskazał, że wstępne rezultaty badań naukowych publikuje na prowadzonej przez siebie stronie internetowej, co w jego ocenie stanowi formę wypowiedzi akademickiej. Aktualnie przetwarza dane osobowe R. G. wyłącznie w celu prowadzonych badań naukowych.
Decyzją z 15 grudnia 2020 r. Prezes UODO nakazał K. B. usunięcie danych osobowych R. G. w zakresie jego znaku wywoławczego oraz imienia matki, które udostępnione zostały na stronie internetowej znajdującej się pod adresem [...] oraz odmówił uwzględnienia wniosku w pozostałym zakresie.
Powołując treść przepisu art. 6 ust. 1 lit. e rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016, str. 1 oraz Dz. Urz. L 127 z 23 maja 2018 r., str. 2 ze. zm.; dalej "RODO") oraz art. 36 ust. 1 pkt 2 ustawy z dnia 18 grudnia 1998 r. o Instytucie Pamięci Narodowej - Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu (Dz. U. z 2019 r. poz. 1882 ze. zm.; dalej "ustawa o IPN"), Prezes UODO stwierdził, że dane osobowe R. G. zostały pozyskane przez K. B. w związku z prowadzonymi przez niego badaniami naukowymi. Przetwarzanie tych danych Prezes UODO uznał za niezbędne do wykonania zadania realizowanego przez skarżącego w interesie publicznym, co stanowi wypełnienie przesłanki legalizującej proces przetwarzania danych wynikającej z art. 6 ust. 1 lit. e RODO. Organ ten przytoczył art. 85 ust. 2 RODO oraz 2 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), stwierdzając, że do wypowiedzi akademickiej nie stosuje się przepisów art. 13, art. 15 ust. 3 i 4, art. 18, art. 27, art. 28 ust. 2-10 oraz art. 30 RODO.
W związku z powyższym Prezes UODO podniósł, że wypowiedź akademicka związana jest z prowadzoną działalnością naukową i dydaktyczną kierowaną do ściśle określonej grupy adresatów i prowadzoną pod afiliacją uczelni wyższej.
W przedmiotowej sprawie kluczowe znaczenie ma natomiast fakt, że z przeprowadzonych przez Prezesa UODO oględzin strony internetowej, na której K. B. opublikował dane osobowe skarżącego, wynika, że treści publikowane przez ww. stanowią formę prowadzonych przez niego ogólnych rozważań. Umieszczając dane osobowe R. G. na wskazanej stronie internetowej, K. B. umożliwia zapoznanie się z publikowanymi przez niego treściami nieograniczonej liczbie osób i tym samym udostępnia te dane każdemu, kto ma możliwość połączenia się z Internetem. Prezes UODO zaznaczył, że odbiorcy ww. strony internetowej nie muszą być związani z działalnością naukową prowadzoną przez K. B.. Ponadto nie przedstawił on żadnych dowodów na prowadzenie badań naukowych pod afiliacją uczelni wyższej.
Prezes UODO uznał, że opublikowania przez K. B. treści, w których udostępnił on dane osobowe R. G., nie można uzasadnić jego działalnością naukową ani dydaktyczną. Treści zawierające ww. dane osobowe nie stanowią więc formy wypowiedzi akademickiej w rozumieniu ustawy o ochronie danych osobowych. Prezes UODO wskazał również, że zamieszczenie na wskazanej stronie internetowej danych osób fizycznych, w tym R. G., które umożliwiają ich identyfikację, nie stanowi przetwarzania danych o charakterze czysto osobistym lub domowym, zatem wyłączenie przewidziane w art. 2 ust. 2 pkt c RODO nie może znaleźć zastosowania w niniejszym przypadku.
Prezes UODO wyjaśnił też, że z zebranego w sprawie materiału dowodowego wynika, że dane R. G. w zakresie imienia, nazwiska, daty urodzenia, imienia ojca, statusu, pseudonimu oraz numeru rejestracji, opublikowane zostały na ogólnodostępnej stronie internetowej, której administratorem jest IPN na podstawie art. 28a ustawy o IPN. Dlatego też nie ma podstaw, aby stwierdzić, że K. B. poprzez ich publikację na swojej stronie internetowej dopuścił się naruszenia przepisów RODO. Odmiennie jednak organ ocenił publikację na stronie internetowej K. B. danych osobowych R. G. w zakresie jego znaku wywoławczego oraz imienia matki, ponieważ dane w ww. zakresie nie zostały ujawnione poprzez ich zamieszczenie na stronie internetowej IPN na podstawie art. 28a ustawy o IPN. Przetwarzanie ww. danych w szczególności nie znajduje oparcia w żadnej z przesłanek określonych w art. 6 ust. 1 RODO, a tym samym stanowi jego naruszenie.
Organ zaznaczył, że w treści skargi R. G. wskazał, że zwrócił się do K. B. z żądaniem usunięcia dotyczących go danych z ww. strony internetowej, lecz K. B. nie ustosunkował się w żaden sposób do tego wniosku. W związku z tym, że udostępnienie danych osobowych skarżącego w zakresie jego znaku wywoławczego oraz imienia matki na wskazanej stronie internetowej nie znajduje prawnego uzasadnienia w przepisach RODO, jak również w związku ze zgłoszonym przez skarżącego żądaniem, K. B. miał obowiązek niezwłocznego usunięcia opublikowanych danych osobowych w ww. zakresie.
Prezes UODO przypomniał, że postępowanie administracyjne prowadzone przez niego służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej. Decyzje Prezesa UODO służą przywróceniu stanu zgodnego z prawem między innymi na podstawie art. 58 ust. 2 lit. c RODO, w myśl którego w przypadku naruszenia przepisów o ochronie danych osobowych Prezes UODO nakazuje administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. W związku z tym zaistniała niezbędna przesłanka do wydania przez organ decyzji nakazującej usunięcie danych osobowych R. G. w zakresie jego znaku wywoławczego oraz imienia matki z ww. strony internetowej.
Skargę na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego
w Warszawie wniósł K. B.. Podkreślił w niej, że uzyskał zgodę Prezesa IPN na prowadzenie badań naukowych w zakresie działań służb specjalnych PRL wobec wybranych środowisk społecznych.
W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, podtrzymując argumentację przedstawioną w zaskarżonej decyzji.
Oddalając skargę, sąd pierwszej instancji wskazał, że w stanie faktycznym niniejszej sprawy Prezes UODO nie kwestionował faktu, że dane osobowe R. G. zostały pozyskane przez K. B. w związku z prowadzonymi przez niego badaniami naukowymi, co organ uznał za niezbędne do wykonania zadania realizowanego przez skarżącego w interesie publicznym, a co stanowi wypełnienie przesłanki legalizującej proces przetwarzania danych wynikającej z art. 6 ust. 1 lit. e RODO.
Zdaniem sądu poczynione w sprawie ustalenia faktyczne wykazały, że opublikowania danych R. G. na stronie internetowej prowadzonej przez K. B. nie można uznać za niezbędne do wykonania zadania realizowanego przez niego w interesie publicznym. Opublikowania przez K. B. na prowadzonej przez niego stronie internetowej danych R. G. pozyskanych przez niego z zasobów archiwalnych IPN nie można uzasadnić jego działalnością naukową ani dydaktyczną. Opublikowane treści zawierające przedmiotowe dane osobowe nie stanowią bowiem formy wypowiedzi akademickiej w rozumieniu ww. ustawy o ochronie danych osobowych.
Z przeprowadzonych przez Prezesa UODO oględzin strony internetowej, na której skarżący opublikował przedmiotowe dane osobowe, wynika, że treści te stanowią formę prowadzonych przez niego ogólnych rozważań. Ponadto, umieszczając dane osobowe R. G. na wskazanej stronie internetowej, skarżący umożliwia zapoznanie się z publikowanymi przez niego treściami nieograniczonej liczbie osób i tym samym udostępnia te dane każdemu, kto ma możliwość połączenia się z Internetem. K. B. nie przedstawił też żadnych dowodów na prowadzenie badań naukowych pod afiliacją uczelni wyższej. Skoro zaś materiał dowodowy zebrany w sprawie wykazał, że opublikowanie na stronie internetowej przez skarżącego danych R. G. nie można uzasadnić jego działalnością naukową ani dydaktyczną, to nie było też podstaw do zastosowania wyłączenia prawa do bycia zapomnianym wynikającego z treści art. 17 ust. 3 lit. d RODO.
Odnosząc się do sformułowanego w skardze zarzutu naruszenia przez Prezesa UODO art. 2 ust. 2 lit. a RODO w zw. z art. 71 ustawy o IPN, sąd ten wskazał, że skarga skierowana przez R. G. do Prezesa UODO dotyczyła przetwarzania jego danych osobowych przez K. B. na prowadzonej przez niego stronie internetowej, a nie przetwarzania jego danych osobowych przez Instytut Pamięci Narodowej. Z faktu, że K. B. zostały udostępnione dokumenty znajdujące się w archiwach IPN na podstawie złożonego przez niego wniosku w trybie art. 36 ust. 1 pkt 2 ustawy o IPN nie można wywodzić, że mają do niego zastosowanie regulacje szczególne dotyczące przetwarzania danych osobowych osób fizycznych przez IPN. Zdaniem sądu, pozyskując dane osobowe R. G. z archiwów IPN, skarżący stał się administratorem tych danych, w związku z czym zobowiązany jest do ich przetwarzania zgodnie z przepisami o ochronie danych osobowych. Zgodnie bowiem z art. 36 ust. 5 ustawy o IPN podmioty, które złożyły wniosek i którym dokumenty zostały udostępnione, ponoszą odpowiedzialność prawną za sposób ich wykorzystania, o czym należy je poinformować na piśmie. Przetwarzanie danych osobowych R. G. poprzez ich opublikowanie na stronie internetowej prowadzonej przez K. B. nie znajduje oparcia w żadnej z przesłanek określonych w art. 6 ust. 1 RODO.
Dlatego też w ocenie sądu pierwszej instancji Prezes UODO zasadnie nakazał K. B. usunięcie danych osobowych R. G. w zakresie jego znaku wywoławczego oraz imienia matki, ponieważ dane w ww. zakresie nie zostały ujawnione poprzez ich zamieszczenie na stronie internetowej IPN na podstawie art. 28a ustawy o IPN. Zdaniem sądu zaskarżona decyzja odpowiada prawu.
Mając na uwadze powyższe, sąd pierwszej instancji na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 r., poz. 259 ze zm.; zwanej dalej: "p.p.s.a.") oddalił skargę.
Skargę kasacyjną od powyższego wyroku wywiódł K. B., zaskarżając wyrok w całości. Wniósł o uchylenie zaskarżonego wyroku w całości i o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego. Nadto zrzekł się rozprawy.
Na podstawie art. 174 p.p.s.a. zaskarżonemu wyrokowi zarzucił:
- naruszenie prawa materialnego przez niewłaściwe zastosowanie zapisu Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) wyłączającego stosowanie prawa o przetwarzaniu danych osobowych wyłącznie do ustawowej działalności Instytutu Pamięci Narodowej, a nie do każdej działalności objętej owym wyłączeniem, czyli nieobjętej zakresem prawa Unii. Niewłaściwe zastosowanie prawa polegało na ograniczeniu jego użycia (w zakresie wyłączenia spod zakresu stosowania) zarówno przez organ, jak i Wojewódzki Sąd Administracyjny w Warszawie, wyłącznie do działalności ustawowej IPN.
W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o jej oddalenie.
Niniejsza sprawa zastała rozpoznana na posiedzeniu niejawnym na podstawie art. 182 § 2 i 3 p.p.s.a., bowiem strona skarżąca kasacyjnie zrzekła się rozprawy, zaś organ
w odpowiedzi na skargę nie zażądał jej przeprowadzenia.
Naczelny Sąd Administracyjny zważył, co następuje.
Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują enumeratywnie wyliczone w art. 183 § 2 p.p.s.a. przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu przy rozpoznaniu sprawy Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej.
Skargę kasacyjną można oprzeć na następujących podstawach:
1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,
2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.).
Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy.
Przed odniesieniem się do zarzutów skargi kasacyjnej konieczne jest podkreślenie, że ze względu na to, że konstrukcja art. 174 p.p.s.a. umożliwia zaskarżenie wszelkich naruszeń prawa, jakich mógł się dopuścić sąd pierwszej instancji przy wydawaniu rozstrzygnięcia, granice skargi kasacyjnej wyznaczane są przez stronę skarżącą. Powinny one zawsze zostać wyznaczone w sposób precyzyjny. Obowiązkiem strony składającej środek odwoławczy jest takie zredagowanie podstaw kasacyjnych i zarzutów skargi, a także ich uzasadnienia, aby nie budziły one wątpliwości interpretacyjnych (por. wyrok NSA z 19 lutego 2009 r., II FSK 1688/07, LEX nr 1095923). Naczelny Sąd Administracyjny nie może bowiem domniemywać granic skargi kasacyjnej. Sąd kasacyjny jest władny badać naruszenie jedynie tych przepisów (norm), które zostały wyraźnie wskazane przez stronę skarżącą. Nie jest dopuszczalna wykładnia zakresu zaskarżenia i jego kierunków oraz konkretyzowanie, uściślanie, uzupełnianie zarzutów skargi kasacyjnej czy też poprawianie jej niedokładności (por. wyroki NSA: z 13 listopada 2014 r., I OSK 1420/14; z 12 kwietnia 2018 r., sygn. II OSK 2457/17; z 8 marca 2018 r., sygn. I OSK 955/16; z 2 marca 2018 r., sygn. I OSK 2306/17; z 27 listopada 2015 r., sygn. I OSK 902/14; z 25 listopada 2014 r., sygn. II GSK 1253/13 – wszystkie dostępne w CBOSA).
Właściwe określenie w skardze kasacyjnej zakresu i podstaw zaskarżenia jest również konieczne z uwagi na ustanowioną w art. 183 p.p.s.a. wskazaną wyżej zasadę stanowiącą, że Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Uwagi te są konieczne w rozpoznawanej sprawie, bowiem autor skargi kasacyjnej nie wywiązał się prawidłowo ze swoich obowiązków. W petitum nie została określona podstawa skargi kasacyjnej, gdyż wskazanie samego tylko art. 174 p.p.s.a. bez określenia punktu, nie może zostać uznane za prawidłowe określenie podstawy. Nie został także sposób jasny, precyzyjny i nie budzący wątpliwości określony zarzut. W petitum skargi kasacyjnej wskazano jedynie, iż zarzuca się naruszenie prawa materialnego przez niewłaściwe zastosowanie zapisu RODO wyłączającego stosowanie prawa o przetwarzaniu danych osobowych wyłącznie do ustawowej działalności Instytutu Pamięci Narodowej, a nie do każdej działalności objętej owym wyłączeniem, czyli nieobjętej zakresem prawa Unii. Z uzasadnienia skargi kasacyjnej wynika, iż zarzucono niewłaściwe zastosowanie art. 2 ust. 2a RODO polegające na ograniczeniu jego użycia wyłącznie do działalności ustawowej IPN, a skarżący uważa, że wyłączenie to należy stosować do każdej innej działalności każdego innego podmiotu, a w związku z tym, iż jego działalność nie została objęta nigdy prawem Unii, to nie znajdują do niej zastosowanie przepisy RODO. W tym kształcie zarzut ten nadaje się do merytorycznego rozpoznania.
Zarzut naruszenia prawa materialnego jest nieuzasadniony.
Skarżący kasacyjnie stoi na stanowisku, iż ze względu na to, iż jego działalność polegająca na prowadzeniu badań naukowych w zakresie działań służb specjalnych PRL wobec wybranych środowisk społecznych, a następnie publikacja na własnej stronie internetowej ich wyników, w tym publikacja danych osobowych osoby trzeciej, nie podlega prawu Unii, to w konsekwencji nie znajdują do jego działalności zastosowania przepisy RODO. Powołuje się przy tym na przepis art. 2 ust. 2a RODO, zgodnie z którym niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych w ramach działalności nieobjętej zakresem prawa Unii.
Autor skargi kasacyjnej dokonał wyrywkowej wykładni przepisów prawa i wyciągnął z nich nieuprawnione wnioski. Wykazanie bezzasadności tego zarzutu wymaga wskazania na trzy sfery: pierwsza to sfera kompetencji UE, w tym kompetencji do uregulowania kwestii ochrony danych osobowych; druga to sfera zakresu zastosowania przepisów RODO wynikająca z art. 2 ust. 1 RODO; a trzecia to sfera, do której nie znajdują zastosowania przepisy RODO, wynikająca z art. 2 ust. 2 RODO.
Przechodząc do pierwszego zagadnienia, wskazać należy, że Traktat o Unii Europejskiej (dalej TUE) wskazuje, że UE może podejmować tylko takie działania, do których Unia została wyraźnie upoważniona przez państwa członkowskie (art. 5 TUE). Podział kompetencji pomiędzy UE a państwa członkowskie został dokonany w przepisach art. 2-6 Traktatu o funkcjonowaniu Unii Europejskiej (dalej TFUE). Rozdział ich nastąpił przy zastosowaniu bardzo ogólnych kategorii pojęciowych. Sama analiza tych przepisów jest zatem niewystarczająca dla ustalenia zakresu kompetencji legislacyjnych UE. W zakresie przedmiotowo istotnym z punktu widzenia rozpoznawanej sprawy konieczne jest odwołanie się do art. 16 TFUE.
Zgodnie z art. 16 ust. 1 TFUE każda osoba ma prawo do ochrony danych osobowych jej dotyczących. Z ust. 2 wynika z kolei, że Parlament Europejski i Rada, stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, określają zasady dotyczące ochrony osób fizycznych w zakresie przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii oraz przez Państwa Członkowskie w wykonywaniu działań wchodzących w zakres zastosowania prawa Unii, a także zasady dotyczące swobodnego przepływu takich danych. Przestrzeganie tych zasad podlega kontroli niezależnych organów. Prawo to uregulowane zostało także w art. 8 ust. 1 Karty Praw Podstawowych UE, zgodnie z którym każdy ma prawo do ochrony danych osobowych, które go dotyczą. Unia Europejska była zatem kompetentna w zakresie wprowadzenia przepisów RODO. Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest bowiem jednym z praw podstawowych, a ich ochrona jest sensem funkcjonowania UE. Ujmując to inaczej, ochrona prawa do prywatności, w tym ochrona osób fizycznych w zakresie przetwarzania danych osobowych, jest działalnością objętą zakresem prawa Unii w rozumieniu art. 2 ust. 2a RODO.
Po drugie, materialny zakres zastosowania przepisów RODO w aspekcie pozytywnym określony został w przepisie art. 2 ust. 1 RODO. W art. 2 ust. 1 RODO przyjęto, że niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych. Z przepisu tego wynika, że przetwarzanie danych, które odbywa się w sposób niezautomatyzowany (ręcznie), a przetwarzane dane nie stanowią (lub nie mają stanowić) zbioru, nie jest objęte zakresem przedmiotowym RODO, a zatem w tym przypadku komentowane rozporządzenie nie znajduje zastosowania. To z kolei oznacza, że obowiązek stosowania komentowanego rozporządzenia wiąże się nie tylko z przetwarzaniem danych, ale także z zaistnieniem jednej z dwóch przesłanek wskazanych w komentowanym przepisie: 1) przetwarzanie danych osobowych odbywa się w sposób całkowicie lub częściowo zautomatyzowany albo 2) przetwarzanie odbywa się w sposób inny niż zautomatyzowany, a dane osobowe stanowią lub mają stanowić część zbioru danych.
Dla dokonania oceny czy komentowane rozporządzenie znajduje zastosowanie nie wystarczy zatem stwierdzić, czy ma miejsce przetwarzanie danych, ale trzeba jeszcze ocenić, czy przetwarzanie jest zautomatyzowane. Przetwarzanie danych osobowych ma charakter zautomatyzowany w przypadku, gdy operacje na danych osobowych wykonywane są za pomocą urządzeń (najczęściej systemów informatycznych, komputerów, serwerów i towarzyszących im oprogramowań) pozwalających na automatyczne działanie (a więc wykonujących samoczynnie określone czynności bez konieczności wykonywania każdej czynności przez człowieka). Procesy przetwarzania danych osobowych realizowane są najczęściej za pomocą systemów informatycznych pozwalających zautomatyzować czynności, poprawić efektywność przetwarzania przy jednoczesnym zwiększeniu szybkości i obniżeniu kosztów wykonywania tego rodzaju działań. W niniejszej sprawie doszło do zamieszczenia danych osobowych na stronie internetowej prowadzonej przez skarżącego kasacyjnie. Brak jest zatem wątpliwości, iż ze względu na treść art. 2 ust.1 RODO przepisy rozporządzenia znajdują zastosowanie w niniejszej sprawie.
Po trzecie, sfera do której nie znajdują zastosowania przepisy RODO, wynika z art. 2 ust. 2 a-d RODO. Interpretacja tych przepisów winna być dokonana przy uwzględnieniu treści motywów RODO. Wykładnia art. 2 ust. 2a RODO winna uwzględniać motyw 16, zgodnie z którym niniejsze rozporządzenie nie ma zastosowania do kwestii ochrony podstawowych praw i wolności ani do swobodnego przepływu danych osobowych w związku z działalnością nieobjętą zakresem prawa Unii, taką jak działalność dotycząca bezpieczeństwa narodowego. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez państwa członkowskie w związku z działaniami związanymi ze wspólną polityką zagraniczną i bezpieczeństwa Unii. Pierwsza kwestia, tj. dotycząca bezpieczeństwa narodowego, jest poza sferą kompetencji UE. W drugiej sferze UE posiada kompetencje w zakresie wynikającym z traktatów, lecz mocą wyraźnego zapisu została ona wyłączona spod obowiązywania RODO. Treść motywu 16 RODO ma charakter nie tylko normatywny, lecz stanowi dyrektywę interpretacyjną dla wykładni przepisu art. 2 ust. 2 a RODO, z której wynika m.in., że skoro Unia Europejska posiada kompetencje legislacyjne w zakresie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych, to ochrona osób fizycznych w zakresie przetwarzania danych osobowych jest działalnością objętą zakresem prawa Unii w rozumieniu art. 2 ust. 2 a RODO interpretowanym a contrario, chyba że przetwarzanie danych osobowych dotyczy kwestii ochrony podstawowych praw i wolności, swobodnego przepływu danych osobowych w związku z działalnością nieobjętą zakresem prawa Unii, taką jak działalność dotycząca bezpieczeństwa narodowego lub przetwarzanie następuje przez państwa członkowskie w związku z działaniami związanymi ze wspólną polityką zagraniczną i bezpieczeństwem Unii. Oznacza to, że przetwarzanie danych osobowych może nie podlegać przepisom RODO w określonych kontekstach sytuacyjnych, jeśli wynikać to będzie expressis verbis z odpowiedniego przepisu prawa.
Istotą działalności skarżącego było przetwarzanie danych osobowych osoby trzeciej na prowadzonej przez siebie stronie internetowej. Przetwarzanie to odbywało się w związku z prowadzonymi badaniami materiałów zgromadzonych w archiwach IPN i udostępnionych mu legalnie celem realizacji jego planów badawczych. Kontekst sytuacyjny, w ramach którego to nastąpiło, był jedynie tłem istoty jego działania. Nie zmienił on jednak istoty jego działalności, która w rozpoznawanej sprawie administracyjnej sprowadzała się do przetwarzania danych osobowych osoby trzeciej przez ich upublicznienie na stronie internetowej. Było to przetwarzanie danych osobowych osoby fizycznej w sposób, o którym mowa w art. 2 ust. 1 RODO, co oznacza, iż do przetwarzania tego znajdują zastosowanie RODO, bowiem nie zachodzi przypadek wyłączający zastosowanie powyższego rozporządzenia. Z tych przyczyn zarzut należało uznać za nieuzasadniony.
Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., orzekł o oddaleniu skargi kasacyjnej.