III OSK 6697/21

III OSK 6697/21 - Wyrok NSA
Data orzeczenia
2023-04-19
orzeczenie prawomocne
Data wpływu
2021-09-23
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Maciej Kobak /sprawozdawca/
Mirosław Wincenciak /przewodniczący/
Olga Żurawska - Matusiak
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 1879/20 - Wyrok WSA w Warszawie z 2021-04-20
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2018 poz 1000
art. 160  ust.1 i ust. 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
Dz.U. 2023 poz 259
art. 184
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 art. 99 ust. 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Mirosław Wincenciak Sędziowie Sędzia NSA Olga Żurawska - Matusiak Sędzia del. WSA Maciej Kobak (spr.) po rozpoznaniu w dniu 19 kwietnia 2023 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej J.S. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 kwietnia 2021 r. sygn. akt II SA/Wa 1879/20 w sprawie ze skargi J.S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wyrokiem z 20 kwietnia 2021 r., sygn. akt II SA/Wa 1879/20 Wojewódzki Sąd Administracyjny w Warszawie (dalej: "WSA"), po rozpoznaniu sprawy ze skargi J.S. (dalej: "Skarżący") na decyzję Generalnego Inspektora Ochrony Danych Osobowych (dalej: "Organ") z [...] sierpnia 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych – oddalił skargę.
Wyrok ten zapadł w następujących okolicznościach faktycznych i prawnych sprawy.
W dniu [...] czerwca 2018 r. do Organu wpłynęła skarga Skarżącego, w której podał, że w dniu [...] września 2013 r. osoby zatrudnione na stanowisku obsługi pacjentów w Niepublicznym Zakładzie Opieki Zdrowotnej [...] Sp. z o. o. z siedzibą w P. (obecnie [...] Sp. z o.o. z siedzibą w J., dalej: "NZOZ") udostępniły jego dane osobowe - imię, nazwisko i adres zamieszkania osobie nieuprawnionej, a mianowicie pracującemu tam lekarzowi. Skarżący zażądał przeprowadzenia kontroli NZOZ, a następnie przekazania mu protokołu pokontrolnego oraz wydania decyzji stwierdzającej naruszenie przepisów o ochronie danych osobowych na jego szkodę, a także - w wypadku stwierdzenia popełnienia przestępstwa bądź utrudniania czynności kontrolnych - zawiadomienia organów ścigania. W piśmie z [...] grudnia 2018 r. Skarżący oświadczył, że w jego sprawie doszło do naruszenia praw określonych w art. 5 ust. 1a w zw. z art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: "RODO"), tj. niezgodnego z prawem przetwarzania jego danych osobowych bez właściwej, legalizującej to przetwarzanie przesłanki. Skarżący wniósł o podjęcie działań polegających na merytorycznym zbadaniu i rozpatrzeniu skargi w trybie określonym w art. 77 RODO, w tym poinformowanie go o postępach i efektach rozpatrywania skargi.
W toku postępowania administracyjnego zainicjowanego ww. skargą, Organ ustalił, że NZOZ przetwarza dane osobowe Skarżącego jako pacjenta w oparciu o przepisy ustawy z 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych (t. j. Dz. U. z 2020 r., poz. 1398 z późn. zm.) w zakresie: imienia i nazwiska, numeru PESEL, daty urodzenia, adresu zamieszkania oraz stanu zdrowia. W dniu [...] września 2013 r. w placówce NZOZ doszło do zdarzenia, w wyniku którego pokrzywdzony został lekarz zatrudniony w NZOZ i dysponujący upoważnieniem do przetwarzania danych osobowych pacjentów. W związku z tym zdarzeniem została wezwana Policja. Wobec podejrzenia, iż Skarżący był sprawcą tego incydentu, podczas interwencji Policji, w obecności lekarza, funkcjonariuszom Policji zostały udostępnione dane osobowe Skarżącego w zakresie imienia i nazwiska oraz adresu zamieszkania.
Decyzją z [...] sierpnia 2020 r. nr [...] Organ działając na podstawie art. 105 § 1 ustawy z 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t. j. Dz. U. z 2020 r., poz. 256 z późn. zm., dalej: "k.p.a.") w zw. z art. 7 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz. U. z 2019 r., poz. 1781 z późn. zm., dalej: "u.o.d.o. z 2018 r.") - umorzył postępowanie administracyjne w sprawie.
W uzasadnieniu decyzji Organ wskazał, że w czasie, gdy miało miejsce zdarzenie opisane w skardze, tj. [...] marca 2018 r., obowiązywały przepisy ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2016 r., poz. 922 z późn. zm., dalej: "u.o.d.o. z 1997 r."), które określały zasady przetwarzania danych osobowych do 24 maja 2018 r. Natomiast od 25 maja 2018 r., obowiązują przepisy RODO oraz u.o.d.o. z 2018 r. Organ uznał więc, że zdarzenie opisane w skardze nie może być rozpatrywane w toku postępowania zmierzającego do wydania decyzji w oparciu o przepisy RODO. Proces przetwarzania danych osobowych przez uczestnika postępowania rozpoczął się i zakończył przed 25 maja 2018 r. Organ nie ma natomiast możliwości prowadzenia postępowania administracyjnego w oparciu o przepisy u.o.d.o. z 1997 r., skoro kwestionowany proces przetwarzania nie był kontynuowany po 25 maja 2018 r. Z tego też względu Organ nie może dokonać oceny zgodności opisanych w skardze działań administratora z RODO.
Opisanym na wstępie wyrokiem WSA oddalił skargę decyzję Organu. W uzasadnieniu wyroku WSA zgodził się z Organem, że skarga Skarżącego nie mogła doprowadzić do merytorycznego załatwienia sprawy, stosownie do przepisów RODO. Zgodnie bowiem z treścią art. 99 ust. 1 RODO, rozporządzenie ma zastosowanie od 25 maja 2018 r., a zatem do spraw, w których skargę wniesiono od 25 maja 2018 r., a także do spraw, w których w ww. dacie trwał skarżony proces przetwarzania danych osobowych. Zdarzenie stanowiące podstawę skargi Skarżącego miało miejsce 27 września 2013 r. Do kwestionowanego przetwarzania danych osobowych Skarżącego doszło więc pod rządami przepisów u.o.d.o. z 1997 r. Proces przetwarzania nie był kontynuowany po 25 maja 2018 r. Zgodnie z art. 160 ust. 1 i 2 u.o.d.o. z 2018 r. wyłącznie postępowania, wszczęte i niezakończone przed dniem wejścia w życie ustawy z 10 maja 2018 r., są prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie u.o.d.o. z 1997 r.
Ustosunkowując się do zgłoszonego wniosku dowodowego WSA stwierdził, że treść pisma Dyrektora Departamentu Nadzoru i Kontroli Ministerstwa Zdrowia z [...] stycznia 2021 r. nie mogła mieć wpływu na kontrolowane postępowanie administracyjne, bowiem pismo to nie pozostawało w związku z oceną legalności zaskarżonego aktu.
WSA stwierdził, że akcentowana w skardze opieszałość Organu w prowadzeniu postępowania administracyjnego zakończonego zaskarżoną decyzją pozostaje poza granicami niniejszej sprawy. Była ona zresztą przedmiotem rozpoznania przez Wojewódzki Sąd Administracyjny w Warszawie w odrębnym postępowaniu sądowoadministracyjnym.
WSA nie zgodził się ze Skarżącym, iż w niniejszej sprawie Organ zebrał "maksymalnie obszerny materiał dowodowy", bowiem po wezwaniu Skarżącego do sprecyzowania skargi, organ prowadził korespondencję z NZOZ w celu ustalenia stanu faktycznego związanego ze skarżonym przetwarzaniem danych osobowych. Poczynione w tym zakresie ustalenia świadczące o zakończeniu przetwarzania danych osobowych Skarżącego przed 25 maja 2018 r., przy jednoczesnym wszczęciu przez niego postępowania po tej dacie (skargą z [...] czerwca 2018 r.) doprowadziły Organ do prawidłowego wniosku, iż postępowanie w sprawie należało umorzyć wobec jego bezprzedmiotowości.
Skarżący wywiódł skargę kasacyjną od powyższego wyroku – zaskarżając to orzeczenie w całości. Zaskarżonemu wyrokowi zarzucił:
1) na podstawie art. 174 pkt 1 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2023 r., poz. 259 – dalej: "p.p.s.a.") naruszenie prawa materialnego poprzez błędną jego wykładnię, co dotyczy art. 99 ust. 1 RODO w zw. z art. 51 Konstytucji RP oraz w zw. z art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej poprzez przyjęcie, że przepis ten ogranicza stosowanie RODO wyłącznie do spraw, w których skargę wniesiono od 25 maja 2018 r., a także do spraw, w których w ww. dacie trwał skarżony proces przetwarzania danych osobowych, podczas gdy taka wykładnia stoi w rażącej sprzeczności z fundamentalnymi prawami jednostki do ochrony swoich danych osobowych, których elementem jest prawo do zbadania legalności procesu ich przetwarzania przez właściwy organ administracji publicznej,
2) na podstawie art. 174 pkt 2 p.p.s.a. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, a to:
- art. 151 p.p.s.a. poprzez jego zastosowanie i tym samym niewłaściwą kontrolę legalności działalności administracji publicznej skutkującą oddaleniem skargi w sytuacji, gdy Skarżący wykazał, iż postępowanie Organu dotknięte było wadą w postaci bezzasadnego umorzenia postępowania administracyjnego;
- art. 141 § 4 zdanie pierwsze p.p.s.a. poprzez sporządzenie uzasadnienia z pominięciem wyjaśnienia, dlaczego rozprawy nie można było przeprowadzić na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku, od której to przesłanki uzależniona jest legalność zastosowania przepisu art. 15zzs4 ust. 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (t. j. Dz. U. z 2020 r., poz. 1842 z późn. zm.), co uniemożliwia kontrolę zgodności z prawem działania Sądu w tym zakresie.
Wobec powyższych zarzutów Skarżący wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania WSA, a ponadto o zasądzenie od Organu zwrotu kosztów postępowania według norm przepisanych.
W uzasadnieniu skargi kasacyjnej Skarżący przedstawił argumentację na poparcie postawionych zarzutów.
W odpowiedzi na skargę kasacyjną Organ wniósł o jej oddalenie.
Naczelny Sąd Administracyjny zważył, co następuje:
Sprawa została skierowana do rozpoznania na posiedzeniu niejawnym zarządzeniem Przewodniczącej Wydziału III Izby Ogólnoadministracyjnej. Podstawę tego zarządzenia stanowił art. 15zzs4 ust. 1 i 3 ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2021 r., poz. 2095 z późn. zm.). Biorąc pod uwagę gwarancję prawa do obrony, strona musi mieć zapewnione prawo do przedstawienia swojego stanowiska, tym samym odstępstwo od zachowania formy posiedzenia jawnego powinno nastąpić z zachowaniem wymogów rzetelnego procesu sądowego. Strony zostały powiadomione o skierowaniu sprawy na posiedzenie niejawne i miały możliwość zajęcia stanowiska w sprawie, co oznacza, że standardy ochrony praw stron i uczestników zostały zachowane. Rozpoznanie przedmiotowej sprawy na posiedzeniu niejawnym było więc dopuszczalne.
Stosownie do art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. Wobec tego Naczelny Sąd Administracyjny przeszedł do zbadania zarzutów kasacyjnych.
Skarga kasacyjna jest niezasadna i jako taka podlega oddaleniu na podstawie art. 184 p.p.s.a.
Naczelny Sąd Administracyjny nie znalazł podstaw do uwzględnienia zarzutu błędnej wykładni art. 99 ust. 1 RODO w zw. z art. 51 Konstytucji RP oraz w zw. z art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskie. W ocenie Skarżącego wywiedziona przez WSA z treści art. 99 ust. 1 RODO dyrektywa wadliwie wyłącza z zakresu stosowania RODO sprawy wszczęte po jego wejściu w życie, to jest po 25 maja 2018 r., a dotyczące przetwarzania danych osobowych z okresu sprzed tej daty. Należy zauważyć, że art. 99 ust. 1 RODO, którego dotyczy zarzut błędnej wykładni jest przepisem określającym dzień wejścia w życie RODO. Stosownie do jego treści "niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po publikacji w Dzienniku Urzędowym Unii Europejskiej." Art. 99 ust. 1 RODO jest więc przepisem "o wejściu w życie aktu prawnego". Jego treść odnosi się wyłącznie do daty włączenia RODO do obowiązującego porządku prawnego. Art. 99 ust. 1 RODO nie jest przepisem przejściowym, który reguluje wpływ nowych przepisów (nowego prawa) na stosunki powstałe przed datą ich wejścia w życie, a więc pod rządami prawa już nieobowiązującego. W rezultacie w oparciu o art. 99 ust. 1 RODO nie można konstruować normy regulującej zakres stosowania RODO do przetwarzania danych, jakie miało miejsce przed jego wejściem w życie. Zaznaczyć należy, że stanowiska takiego nie prezentował również WSA. Z uzasadnienia wyroku wynika, że WSA w oparciu o przepisy RODO ustalił jedynie, że mają one zastosowanie od 25 maja 2018 r., a więc, że dotyczą stosunków powstałych po tej dacie. Wprawdzie WSA wadliwie powołał się na art. 99 ust. 1 zamiast na art. 99 ust. 2 RODO, niemniej uchybienie to nie miało żadnego znaczenia w sprawie. Przepisem przejściowym, na podstawie którego WSA potwierdził stanowisko Organu o bezprzedmiotowości postępowania wszczętego po wejściu w życie RODO (tj. po 25 maja 2018 r.), a dotyczącego nieprawidłowego przetwarzania danych osobowych, które rozpoczęło się i zakończyło przed wejściem w życie RODO jest art. 160 ust. 1 i ust. 2 u.o.d.o. z 2018 r. Wykładnia i stosowanie tego przepisu nie zostały jednak zakwestionowane w skardze kasacyjnej. Wobec nieskuteczności zarzutu błędnej wykładni art. 99 ust. 1 RODO oczekiwanych skutków nie mogły odnieść związkowo podniesione zarzuty naruszenia art. 51 Konstytucji RP oraz w zw. z art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej.
WSA nie naruszył art. 141 § 4 p.p.s.a. Powołany przepis określa strukturalne wymogi uzasadnienia wyroku sądu administracyjnego, zaliczając do nich zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Skarżący naruszenia art. 141 § 4 p.p.s.a. upatruje w braku wyjaśnienia przez WSA podstawy prawnej skierowania sprawy do rozpoznania na posiedzeniu niejawnym. Należy zaznaczyć, że we wstępnej części warstwy zważającej uzasadnienia WSA podał, że sprawa została rozpoznana na posiedzeniu niejawnym na podstawie art. 15zzs4 ust. 3 ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2020 r., poz. 1842 z późn. zm.). Zarzut naruszenia art. 141 § 4 p.p.s.a. jest więc niezasadny.
Zarzut naruszenia art. 151 p.p.s.a. podniesiono w formule uzupełniającej, jako konsekwencję wadliwej rekonstrukcji podstawy prawnej wydanego przez WSA wyroku i idącym za nią nieuzasadnionym oddalaniem skargi. Ponieważ art. 151 p.p.s.a. jest przepisem wynikowym, określającym sposób sformułowania rozstrzygnięcia w razie bezzasadności skargi, uwzględnienie zarzutu jego naruszenia jest możliwe wyłącznie w razie pozytywnego zweryfikowania pozostałych zarzutów skargi kasacyjnej. W niniejszej sprawie taki układ nie występuje, albowiem wszystkie pozostałe zarzuty skargi kasacyjnej okazały się nietrafne.
W tym stanie rzeczy Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a. oddalił skargę kasacyjną.