II SA/Wa 1869/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Janusz Walawski (spr.), Sędzia WSA Piotr Borowiecki, Sędzia WSA Joanna Kruszewska Grońska, po rozpoznaniu w trybie uproszczonym w dniu 7 maja 2021 r. sprawy ze skargi [...] Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. nr [...] w przedmiocie umorzenia postępowania oddala skargę. Prezes Urzędu Ochrony Danych Osobowych, dalej jako "Prezes UODO", na podstawie art. 105 k.p.a. oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE.L.2016.119.1 i Dz. U.UE.L.2018.127.2) w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. u. z 2019 r. poz..1781 w dniu [...] lipca 2020 r. września 2019 r. wydał decyzję nr [...], którą umorzył postępowanie. Prezes UODO w uzasadnieniu decyzji podał, że w dniu [...] września 2018 r. do Urzędu Ochrony Danych Osobowych wpłynął wniosek [...] Sp. z o.o. z siedzibą w [...] przy ul. [...], dalej jako "Spółka", o nakazanie udostępnienia danych osobowych w zakresie imienia, nazwiska i adresu IP komputera, osoby, która w dniu [...] grudnia 2017 r., o godzinie 22:04, wysłała z adresu mailowego: [...] wiadomość na adres:[...]. Przed 25 maja 2018 r. polski organ nadzorczy uznawał się za kompetentny do wydawania nakazów na podstawie art. 18 ust. 1 ustawy z dnia 29 sierpnia o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 z późn. zm.). Przepis ten wskazywał, że polski organ ochrony danych osobowych w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych "w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem", w tym mógł nakazać "uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych". Obecnie polska ustawa o ochronie danych osobowych z dnia 10 maja 2018 r. )Dz. U. z 2019 r. poz. 1781) nie zawiera podobnych przepisów. Podkreślić należy, że decydujące znaczenie dla rozstrzygnięcia, jakie musi być wydane w przedmiotowej sprawie, ma okoliczność, że Prezes UODO nie ma kompetencji umożliwiających nakazanie udostępnienia danych osobowych osoby trzeciej. W związku z tym postępowanie staje się bezprzedmiotowe. Reasumując, postępowanie administracyjne prowadzone przez Prezesa UODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). W świetle obowiązujących przepisów o ochronie danych osobowych niemożliwym jest nakazanie udostępnienia na rzecz Spółki danych osobowych osoby trzeciej. Spółka, reprezentowana przez profesjonalnego pełnomocnika, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyżej określoną decyzję Prezesa UODO. W skardze podniesiono zarzut naruszenia przepisów prawa materialnego, tj.: 1. art. 6 ust. 1 pkt f przedmiotowego rozporządzenia w zw. z art. 58 ust. 1 pkt a tego rozporządzenia, poprzez pominięcie, że na gruncie niniejszej sprawy Spółka ma podstawy do uzyskania danych osobowych, o które zawnioskowała, zaś Prezes UODO ma uprawnienia do nakazania Wojewódzkiej Stacji Sanitarno Epidemiologicznej w [...] dostarczanie tych danych, jako (wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań"; 2. art. 6 ust. 1 pkt f przedmiotowego rozporządzenia w zw. z art 58 ust. 2 pkt c tego rozporządzenia, poprzez błędne przyjęcie, że Prezesowi UODO nie przysługuje kompetencja umożliwiająca nakazanie udostępnienia na rzecz Spółki danych osobowych osoby trzeciej. Pełnomocnik Spółki podnosząc powyższe zarzuty wniósł o uchylenie zaskarżonej decyzji. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie i podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2019 r. poz. 2167 z późn. zm.) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej pod względem zgodności z prawem. Stosownie do art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325 z późn. zm.) - dalej "p.p.s.a." - sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną. Stosownie do treści art. 145 § 1 pkt 1 p.p.s.a. uwzględnienie przez sąd administracyjny skargi i uchylenie zaskarżonej decyzji bądź postanowienia w całości lub w części następuje wtedy gdy sąd stwierdzi: a) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, b) naruszenie prawa dające podstawę do wznowienia postępowania administracyjnego, c) inne naruszenie przepisów postępowania, jeżeli mogło ono mieć istotny wpływ na wynik sprawy. Wojewódzki sąd administracyjny, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - Dz. U. z 2019 r. poz. 2325, dalej jako: "p.p.s.a."). Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy, którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej. Należy podkreślić, że zgodnie z zasadą pierwszeństwa, prawo Unii Europejskiej ma wartość nadrzędną nad prawem krajowym państw członkowskich Unii Europejskiej. Nie ulega wątpliwości, że zasada pierwszeństwa dotyczy wszystkich aktów wspólnotowych, które mają moc wiążącą. W konsekwencji, państwa członkowskie UE nie mogą więc stosować przepisu krajowego, który jest niezgodny z prawem UE, gdyż zasada pierwszeństwa gwarantuje jednolitą ochronę prawną obywateli na całym terytorium UE. Jednocześnie, nie ulega wątpliwości, że sądy krajowe muszą czuwać nad przestrzeganiem zasady pierwszeństwa. Warto również zwrócić uwagę na zasadę bezpośredniego skutku prawa UE, która umożliwia podmiotom indywidualnym powoływanie się bezpośrednio na prawo unijne przed sądami i to niezależnie od tego, czy w prawie krajowym istnieją podobne regulacje prawne. W ten sposób zasada bezpośredniego skutku gwarantuje stosowanie i skuteczność prawa unijnego w krajach UE. Zasada bezpośredniego skutku dotyczy nie tylko prawa pierwotnego zawartego w Traktatach UE, ale także aktów prawa wtórnego, a więc aktów przyjętych przez instytucje Unii Europejskiej na podstawie wspomnianego prawa traktatowego. W tym miejscu, należy jednak wyraźnie zauważyć, że zakres bezpośredniego skutku zależy od rodzaju danego aktu. W świetle zarówno przepisów traktatowych, jak i dotychczasowego orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej, pełny skutek bezpośredni mają przepisy rozporządzeń, które są bezpośrednio stosowane w państwach członkowskich UE. W tej sytuacji, Sąd, dokonując oceny legalności zaskarżonej decyzji Prezesa UODO z dnia [...] lipca 2020 r., zobowiązany był zbadać również jej zgodność z przepisami prawa europejskiego, w tym przede wszystkim regulacjami zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - zwane także: "RODO"; publikowane (w:) Dz .Urz. UE. L 119 z dnia 4 maja 2016 r.). W ocenie Sądu, analizowana pod tym kątem skarga nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja nie narusza w sposób istotny obowiązujących przepisów prawa. Zgodnie z art. 58 ust. 1 i 2 przedmiotowego rozporządzenia, każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie prowadzonych postępowań: a) nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań; b) prowadzenie postępowań w formie audytów ochrony danych; c) dokonywanie przeglądu udzielonych certyfikacji na mocy art. 42 ust. 7; d) zawiadamianie administratora lub podmiotu przetwarzającego o podejrzeniu naruszenia niniejszego rozporządzenia; e) uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań; f) uzyskiwanie dostępu do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych, zgodnie z procedurami określonymi w prawie unijnym lub w prawie państwa członkowskiego. Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze: a) wydawanie ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania; b) udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania; c) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia; d) nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu; e) nakazanie administratorowi zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych; f) wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania; g) nakazanie na mocy art. 16, 17 i 18 sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz nakazanie na mocy art. 17 ust. 2 i art. 19 powiadomienia o tych czynnościach odbiorców, którym dane osobowe ujawniono; h) cofnięcie certyfikacji lub nakazanie podmiotowi certyfikującemu cofnięcia certyfikacji udzielonej na mocy art. 42 lub 43, lub nakazanie podmiotowi certyfikującemu nieudzielania certyfikacji, jeżeli jej wymogi nie są spełnione lub przestały być spełniane; i) zastosowanie, oprócz lub zamiast środków, o których mowa w niniejszym ustępie, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy; j) nakazanie zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej. W tym miejscu przypomnieć należy, że od dnia 25 maja 2018 r., bezpośrednie zastosowanie w polskim porządku prawnym mają przepisy rozporządzenia 2016/679. Ponadto w dniu 25 maja 2018 r. weszła w życie ustawa o ochronie danych osobowych, którą to ustawę stosuje się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w zakresie określonym w art. 2 i art. 3 RODO (art. 1 ust. 1 u.o.d.o.). Katalog uprawnień nadzorczych w zakresie prowadzonych przez Prezesa UODO postępowań określony został w art. 58 ust. 1 RODO, natomiast przysługujące Prezesowi UODO uprawnienia naprawcze zostały wymienione w art. 58 ust. 2 RODO i są one dla organu wiążące. Prezesowi UODO przysługuje uprawnienie naprawcze w postaci prawa do nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. Tym żądaniem może być prawo dostępu do danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do przenoszenia danych oraz prawo do sprzeciwu i niepodlegania decyzjom opartym na zautomatyzowanym przetwarzaniu. Powyższe przepisy ujmują prawa osób, których dane dotyczą, w sposób wyczerpujący. Tak określone uprawnienia Prezesa UODO nie przewidują możliwości ingerencji tego organu w materię związaną z ujawnieniem danych osobowych osobie trzeciej. Stanowisko organu w tym zakresie w ocenie Sądu, jest prawidłowe. Sąd uznał, że Prezes UODO, wydając zaskarżoną decyzję nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem zaskarżonej decyzji. Przede wszystkim, przyjąć należy, iż umarzając postępowanie administracyjne Prezes UODO nie naruszył art. 105 § 1 k.p.a., albowiem - wbrew zarzutom pełnomocnika Spółki - prawidłowo przyjął, iż w niniejszej sprawie zachodzi sytuacja, w której organ nadzorczy nie miał podstaw do rozstrzygnięcia sprawy zgodnie z wnioskiem Spółki, co w konsekwencji oznaczało bezprzedmiotowość tego postępowania. W działaniu Prezesa Urzędu, jako organu administracji publicznej wydającego zaskarżoną decyzję, Sąd nie dopatrzył się jakichkolwiek istotnych nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa materialnego. Ponadto, Sąd uznał, że w uzasadnieniu zaskarżonej decyzji Prezesa UODO wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej. W ocenie Sądu, organ prawidłowo ocenił zebrany materiał dowodowy w jego istotnych aspektach; nie było jego obowiązkiem odnoszenie się do wszelkich twierdzeń i stanowisk, formułowanych przez pełnomocnika Spółki (w kontekście uzasadnienia skargi nie jest to zresztą także powinnością Sądu). Przedmiotem sprawy było wyłącznie ustalenie, czy istnieją przesłanki do wydania decyzji o zobowiązaniu do usunięcia określonych nieprawidłowości. Organ w sposób jasny i komunikatywny przedstawił przesłanki uznania braku przesłanek do orzeczenia wedle żądań skargi. Inną kwestią jest to czy stosowna argumentacja organu przekonała skarżącego. Zdaniem Sądu, wbrew twierdzeniom pełnomocnika Spółki, ustalenie przez Prezesa UODO zaistnienia przesłanki, o której mowa w art. 105 § 1 k.p.a., zobowiązywało go do umorzenia postępowania, gdyż nie miał podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy. W związku z powyższym skarga nie zasługiwała na uwzględnienie, a podniesione w niej zarzuty nie mogły mieć wpływu na rozstrzygnięcie sprawy. Biorąc powyższe pod uwagę, Wojewódzki Sąd Administracyjny w Warszawie - działając na podstawie art. 151 p.p.s.a. - orzekł, jak w sentencji wyroku.