III OSK 6974/21

III OSK 6974/21 - Wyrok NSA
Data orzeczenia
2023-03-14
orzeczenie prawomocne
Data wpływu
2021-10-14
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Jerzy Stelmasiak /przewodniczący/
Kazimierz Bandarzewski
Mirosław Wincenciak /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 1869/20 - Wyrok WSA w Warszawie z 2021-05-07
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U.UE.L 2016 nr 119 poz 1 art. 6 ust. 1 pkt f, art. 58 ust. 1 pkt a i ust. 2
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dz.U. 2022 poz 2000
art. 105 § 1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Sentencja
Dnia 14 marca 2023 r. Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Jerzy Stelmasiak sędzia NSA Mirosław Wincenciak (spr.) sędzia del. WSA Kazimierz Bandarzewski po rozpoznaniu w dniu 14 marca 2023 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej E. Sp. z o.o. z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 7 maja 2021 r. sygn. akt II SA/Wa 1869/20 w sprawie ze skargi E. Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 22 lipca 2020 r. nr ZSPR.440.1187.2019.WP.TP w przedmiocie umorzenia postępowania oddala skargę kasacyjną.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 7 maja 2021 r. sygn. akt II SA/Wa 1869/20 oddalił skargę E. Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 22 lipca 2020 r. nr ZSPR.440.1187.2019.WP.TP w przedmiocie umorzenia postępowania.
Skargę kasacyjną od powyższego wyroku do Naczelnego Sądu Administracyjnego wniosła E. Sp. z o.o. z siedzibą w [...]. Zaskarżając wyrok w całości, na podstawie art. 174 pkt 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j.: Dz. U. z 2019 r., poz. 2325 ze zm., dalej w skrócie "p.p.s.a.") zarzucił naruszenie prawa materialnego, tj.:
1) art. 6 ust. 1 pkt f w zw. z art. 58 ust. 1 pkt a rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE.L.2016.119.1 i Dz. U.UE.L.2018.127.2, dalej w skrócie "RODO"), poprzez ich błędną wykładnię i w rezultacie pominięcie, że na gruncie niniejszej sprawy skarżąca Spółka ma podstawy do uzyskania danych osobowych, o które zawnioskowała, zaś Prezes Urzędu Ochrony Danych Osobowych ma uprawnienie do nakazania Wojewódzkiej Stacji Sanitarno-Epidemiologicznej w [...] dostarczenia tych danych jako "wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań";
2) art. 6 ust. 1 pkt f w zw. z art. 58 ust. 2 pkt c RODO, poprzez ich błędną wykładnię i w rezultacie nieprawidłowe przyjęcie że Prezesowi Urzędu Ochrony Danych Osobowych nie przysługuje kompetencja umożliwiająca nakazanie udostępnienia na rzecz skarżącej Spółki danych osobowych osoby trzeciej.
Wskazując na powyższe zarzuty, skarżąca kasacyjnie wniosła o uchylenie zaskarżonego wyroku w całości i rozpoznanie skargi, ewentualnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania. Ponadto wniosła o zasądzenie zwrotu kosztów postępowania według norm przepisanych oraz oświadczyła, że zrzeka się rozprawy.
W uzasadnieniu skargi kasacyjnej przedstawiła argumentację mającą wykazać zasadność podniesionych w niej zarzutów.
Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę kasacyjną wniósł o jej oddalenie. Ustosunkowując się do powołanych w skardze kasacyjnej zarzutów stwierdził, że są one niezasadne, a zaskarżony wyrok odpowiada prawu.
Naczelny Sąd Administracyjny zważył, co następuje:
W świetle art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach:
1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,
2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.
Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, ponieważ w świetle art. 183 § 1 p.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Jeżeli zatem nie wystąpiły przesłanki nieważności postępowania wymienione w art. 183 § 2 p.p.s.a., a w rozpoznawanej sprawie przesłanek tych brak, to Sąd związany jest granicami skargi kasacyjnej. Oznacza to, że Sąd nie jest uprawniony do samodzielnego dokonywania konkretyzacji zarzutów skargi kasacyjnej, a upoważniony jest do oceny zaskarżonego orzeczenia wyłącznie w granicach przedstawionych we wniesionej skardze kasacyjnej.
Skarga kasacyjna nie zawiera usprawiedliwionych podstaw, bowiem zaskarżony wyrok odpowiada prawu.
Zgodnie z art. 193 zdanie drugie p.p.s.a., uzasadnienie wyroku oddalającego skargę kasacyjną zawiera ocenę zarzutów skargi kasacyjnej. Zatem Naczelny Sąd Administracyjny nie przedstawia w uzasadnieniu wyroku oddalającego skargę kasacyjną opisu ustaleń faktycznych i argumentacji prawnej podawanej przez organy i Sąd pierwszej instancji.
W rozpoznawanej sprawie Prezes Urzędu Ochrony Danych Osobowych umorzył postępowanie administracyjne jako bezprzedmiotowe, uznając, że obowiązująca regulacja prawna nie daje mu uprawnień do spełnienia żądania wnioskodawcy, domagającego się ujawnienia danych osobowych podmiotu, który narusza dobre imię Spółki.
Skarga kasacyjna wskazuje na naruszenie art. 6 ust. 1 lit. f RODO, zgodnie z którym przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest warunek, że przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Natomiast art. 58 ust. 1 lit. a RODO stanowi, że każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie prowadzonych postępowań: a) nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań. Z kolei z art. 58 ust. 2 lit. c RODO wynika, że organowi nadzorczemu przysługują uprawnienia naprawcze w postaci nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. Z powyższych norm skarżąca kasacyjnie wywodzi, że przetwarzanie (w tym pozyskanie) danych osobowych wskazanej osoby jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez E. Sp. z o.o. z siedzibą w [...], jako stronę trzecią (tak odczytuje art. 6 ust. 1 lit. f RODO), a organ nadzoru powinien nakazać udostępnienie tych danych administratorowi, na co – zdaniem skarżącej kasacyjnie – zezwala art. 58 ust. 1 lit. a RODO i miałoby to być działanie naprawcze, o jakim mowa w art. 58 ust. 2 lit. c RODO.
Naczelny Sąd Administracyjny tego stanowiska nie podziela.
Zgodnie z art. 77 ust. 1 RODO, "(...) każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie". W doktrynie podnosi się, że: "RODO zatem wprost wskazuje, że z prawa do wniesienia skargi do właściwego organu nadzorczego może skorzystać wyłącznie osoba fizyczna – osoba, której dane dotyczą. Dodatkowo skarga do organu musi wynikać lub mieć związek z przetwarzaniem danych osobowych tej osoby, które narusza przepisy RODO. W przeciwieństwie zatem do dyrektywy 95/46/WE instytucja skargi do organu nadzorczego zawarta w art. 77 RODO jest podmiotowo węższa. Skarga nie może zostać złożona przez podmioty, które nie podlegają ochronie RODO, a zatem przez wszelkie inne podmioty niż osoby fizyczne. Ponadto skarga musi dotyczyć naruszenia dotyczącego bezpośrednio danych konkretnej osoby składającej skargę do organu. (...) W toku postępowania Prezes Urzędu Ochrony Danych Osobowych w pierwszej kolejności weryfikuje skargę pod kątem formalnym, tj. przede wszystkim sprawdza, czy podmiot, który złożył skargę był do tego uprawniony. (...) Odmowa wszczęcia postępowania w drodze postanowienia może nastąpić w przypadku, gdy skargę złożyła osoba nieuprawniona, np. osoba, której dane osobowe nie dotyczą (art. 61a § 1 k.p.a.)" (B. Fischer, M. Mazewski, Środki ochrony prawnej przysługujące w razie naruszenia ochrony danych, LEX/el. 2018, por. też wyrok NSA III OSK 4837/21).
Według art. 57 ust. 1 lit. f RODO, "Bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium: rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80 (...)". Skarżąca kasacyjnie Spółka nie jest żadnym z podmiotów, o których mowa w art. 80 RODO. W konsekwencji E. Sp. z o.o. z siedzibą w [...], jako osoba prawna, której nie mogą dotyczyć dane osobowe – "dane osobowe" oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą") (art. 4 pkt 1 RODO) – nie mogła być uznana za podmiot uprawniony do wniesienia skargi do organu nadzoru. Skarga taka nie mogła też wynikać lub mieć związek z przetwarzaniem danych osobowych podmiotu wnoszącego, które naruszałoby przepisy RODO. Skarżąca kasacyjnie powołuje się na prawnie uzasadniony interes w postaci naruszenia dóbr osobistych, a to nie jest kategoria, która podlega ochronie w ramach RODO. Skoro postępowanie administracyjne ze skargi Spółki przed Prezesem Urzędu Ochrony Danych Osobowych okazało się bezprzedmiotowe, to nieuzasadnione jest twierdzenie, że w zakresie prowadzonego postępowania konieczne było nakazanie administratorowi dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań (art. 58 ust. 1 lit. a RODO), ani też, że byłoby to działanie naprawcze służące spełnieniu żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy RODO (art. 58 ust. 2 lit c RODO). Jak już wyżej wskazano, skarżąca kasacyjnie Spółka nie jest podmiotem, którego dotyczą dane osobowe. W tych okolicznościach za racjonalne należy uznać też twierdzenie organu nadzoru i Sądu pierwszej instancji, że na gruncie art. 6 ust. 1 lit. f RODO E. Sp. z o.o. z siedzibą w [...] mogłaby przetwarzać dane osobowe wskazywanego przez nią podmiotu z uwagi na niezbędność do celów wynikających z prawnie uzasadnionych interesów realizowanych przez nią, jako stronę trzecią (nie wnikając w tym miejscu w spełnienie warunku niezbędności), gdyby takimi danymi osobowymi już dysponowała. Natomiast w odniesieniu do podmiotu, który nie był uprawniony do wszczęcia postępowania administracyjnego przed Prezesem Urzędu Ochrony Danych Osobowych, o jakim mowa w rozdziale 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j.: Dz. U. z 2019 r., poz. 1781), nie było podstaw do korzystania przez organ nadzoru z jakichkolwiek jego uprawnień, należnych mu w trakcie prowadzonego postępowania.
Z tych względów Naczelny Sąd Administracyjny, na podstawie art. 184 p.p.s.a., orzekł, jak w sentencji wyroku.
Podstawą do rozpoznania skargi kasacyjnej na posiedzeniu niejawnym był art. 182 § 2 i 3 in fine p.p.s.a.