III OSK 2302/22

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Tamara Dziełakowska Sędziowie: sędzia NSA Rafał Stasikowski sędzia del. WSA Hanna Knysiak-Sudyka (spr.) Protokolant: asystent sędziego Adam Płusa po rozpoznaniu w dniu 25 września 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od punktu 1, 2 i 4 wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 31 maja 2022 r. sygn. akt II SAB/Wa 69/22 w sprawie ze skargi M. K. na bezczynność i przewlekłość Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpoznania skargi z dnia 13 września 2021 r. 1. uchyla zaskarżony wyrok w punktach 1, 2 i 4 i w tym zakresie przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, 2. zasądza od M. K. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 460 (czterysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 31 maja 2022 r. sygn. akt II SAB/Wa 69/22, po rozpoznaniu sprawy ze skargi M. K. na bezczynność i przewlekłość Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpoznania skargi z dnia 13 września 2021 r., stwierdził, że Prezes Urzędu Ochrony Danych Osobowych dopuścił się przewlekłego prowadzenia postępowania (pkt 1), stwierdził, że przewlekłe prowadzenie postępowania przez organ nie miało miejsca z rażącym naruszeniem prawa (pkt 2), oddalił skargę w pozostałym zakresie (pkt 3), a także zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz M. K. kwotę 100 złotych tytułem zwrotu kosztów postępowania (pkt 4). Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy. Pismem z dnia 13 września 2021 r. (data wpływu do organu - 20 września 2021 r.) M. K. (dalej: "skarżący", "wnioskodawca") skierował do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez S. z siedzibą w G. przy ul. B. (dalej: "S."), polegające na przetwarzaniu jego danych osobowych w zakresie zapytania kredytowego z dnia 29 grudnia 2019 r. bez podstawy prawnej i ich udostępnieniu na rzecz B. S.A. z siedzibą w W. przy ul. Z. (dalej: "B."). Pismem z dnia 21 września 2021 r. Prezes UODO poinformował wnioskodawcę o wszczęciu postępowania zainicjowanego jego skargą. Jednocześnie zwrócił się do S. oraz B. o złożenie wyjaśnień w sprawie. Wyjaśnienia S. wpłynęły do organu w dniach 11 października 2021 r. i 10 listopada 2021 r., natomiast wyjaśnienia B. zostały złożone w dniu 8 listopada 2021 r. Pismem z dnia 28 listopada 2021 r. (data wpływu do organu - 3 grudnia 2021 r.) skarżący złożył do Prezesa UODO ponaglenie, w treści którego skarżący wniósł o stwierdzenie, że w niniejszym postępowaniu doszło do przewlekłości i bezczynności mającej charakter rażącego naruszenia prawa. W treści ww. ponaglenia skarżący zawarł też wniosek o przesłanie mu przed wydaniem decyzji uwierzytelnionych kopii dokumentów, znajdujących się w aktach sprawy. Wskazał, że ważnym interesem strony jest fakt, że zachodzi uzasadnione podejrzenie popełnienia przestępstwa przez podmioty, wobec których Prezes UODO prowadzi przedmiotowe postępowanie oraz sprawdzenie, czy organ dopełnił swoich ustawowych obowiązków. Podał przy tym, że wnioskowane dokumenty są mu niezbędne do złożenia zawiadomienia do organów ścigania. Pismem z dnia 16 grudnia 2021 r. Prezes UODO wezwał S. do uzupełnienia wyjaśnień złożonych w sprawie. Jednocześnie poinformował skarżącego o podjętych w sprawie czynnościach. M. K. wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. W odpowiedzi na skargę organ wniósł o jej oddalenie. Postanowieniem z dnia 31 grudnia 2021 r., wydanym już po wniesieniu skargi, Prezes UODO odmówił uwzględnienia wniosku skarżącego o przesłanie mu przed wydaniem decyzji uwierzytelnionych kopii dokumentów znajdujących się w aktach sprawy. W dniu 10 stycznia 2022 r. (data wpływu do organu) do Prezesa UODO wpłynęła odpowiedź S. z dnia 3 stycznia 2022 r. na wezwanie z dnia 16 grudnia 2021 r. Pismami z dnia 11 stycznia 2022 r. Prezes UODO (uznając, że zebrany w sprawie materiał dowodowy, w dalszym ciągu nie jest wystarczający do wydania decyzji), ponownie wezwał B. oraz S. do uzupełnienia wyjaśnień w sprawie. Jednocześnie organ poinformował wnioskodawcę o podjętych działaniach. W dniu 22 kwietnia 2022 Prezes UODO wydał decyzję znak DS.523.5941.2021.FT.UD merytorycznie orzekając w sprawie ze skargi M.K. Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku uznał, że skarga była zasadna i zasługiwała na uwzględnienie. Uzasadniając swoje stanowisko Sąd I instancji wskazał, że nie podzielił stanowiska Prezesa UODO, że organ ten nie jest związanym terminami załatwienia sprawy określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 z późn. zm., zwana dalej: "k.p.a."), a jedynie ma obowiązek informować stronę o podejmowanych czynnościach w jej sprawie w odstępach czasu nie przekraczających trzech miesięcy. W szczególności organ twierdził, że przepis art. 78 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm., zwane dalej: "rozporządzenie 2016/679", "RODO"), jest przepisem szczególnym względem uregulowań Kodeksu postępowania administracyjnego. Zdaniem WSA w Warszawie powołany przepis pozostaje w związku z art. 77 ust. 2 i art. 57 ust. 1 lit. f rozporządzenia 2016/679, w którym mowa jest o informowaniu skarżącego – w rozsądnym terminie – o postępach i wynikach prowadzonych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym. Sam zaś przepis art. 78 ust. 2 rozporządzenia 2016/679 daje każdej osobie, której dane dotyczą, prawo do skutecznego środka ochrony prawnej przed sądem - bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej - jeżeli organ nadzorczy (Prezes UODO), nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77 rozporządzenia 2016/679. Sąd I instancji podkreślił, że art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, zwana dalej: "u.o.d.o."), stanowi, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej "postępowaniem", jest prowadzone przez Prezesa Urzędu. Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 u.o.d.o., który postępowania z rozdziałów 4-7 i 11 tej ustawy kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tych postępowań Kodeksu postępowania administracyjnego. Należy przy tym zauważyć, że ustawodawca w art. 7 ust. 1 u.o.d.o. nie przewiduje stosowania odpowiedniego, zatem przepisy k.p.a. mają zastosowanie wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych. W ocenie Sądu w stanie faktycznym niniejszej sprawy, organ prowadził postępowanie w sposób przewlekły, nie dążąc w sposób efektywny do zgromadzenia materiału dowodowego, niezbędnego do zakończenia postępowania. Sposób procedowania organu w niniejszej sprawie wskazuje na naruszenie zasady szybkości i efektywności postępowania administracyjnego. Nie można bowiem zaaprobować stanu, w którym organ, podejmując określone czynności procesowe w dużych odstępach czasowych, nie załatwił skargi strony przez okres prawie 7 miesięcy. Sąd I instancji podkreślił, że rozporządzenie 2016/679 nie zawiera odrębnych od k.p.a. przepisów, dotyczących terminów załatwienia sprawy, jak również nie wyłącza stosowania przepisów k.p.a. Pogląd ten jest zgodny z powszechnie aprobowaną zasadą, że realizacja kompetencji organu administracji publicznej jest jego prawnym obowiązkiem, od którego nie zwalniają go tzw. trudności obiektywne w postaci np. złożoności sprawy. Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że organ wydał decyzję administracyjną w dniu 22 kwietnia 2022 r., a więc po wniesieniu skargi, lecz przed datą wyrokowania w niniejszej sprawie. Ta okoliczność powoduje, iż Sąd nie miał podstaw do zobowiązania organu do rozpoznania skargi skarżącego w myśl art. 149 § 1 pkt 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329 z późn. zm., zwana dalej: "p.p.s.a."), stwierdził jednak, że organ dopuścił się przewlekłego prowadzenia postępowania - stosownie do art. 149 § 1 pkt 3 p.p.s.a. Jednocześnie Sąd uznał, że stwierdzone przewlekłe prowadzenie postępowania nie miało miejsca z rażącym naruszeniem prawa. Skargę kasacyjną od tego wyroku wniósł Prezes Urzędu Ochrony Danych Osobowych, zaskarżając wyrok w części w zakresie pkt 1, 2 i 4 oraz zarzucając mu naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj. art. 149 § 1 pkt 3 p.p.s.a. w zw. z art. 35 § 1 i § 3 k.p.a., poprzez błędne przyjęcie, że powyższe przepisy kpa mają zastosowanie w niniejszej sprawie, podczas gdy do określenia terminu załatwienia przedmiotowej sprawy miał zastosowanie art. 78 ust. 2 rozporządzenia 2016/679. Mając powyższe na uwadze skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku w zakresie pkt 1, 2, 4 i rozpoznanie skargi kasacyjnej przez Naczelny Sąd Administracyjny, ewentualnie o uchylenie zaskarżonego wyroku w zakresie pkt 1, 2, 4 i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Jednocześnie organ wniósł o zasądzenie zwrotu kosztów postępowania na rzecz organu według norm przepisanych, a także rozpoznanie przedstawionej skargi kasacyjnej na rozprawie. Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej. Odpowiedzi na skargę kasacyjną nie wniesiono. Naczelny Sąd Administracyjny zważył, co następuje: Stosownie do art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegał wyłącznie zarzut podniesiony w skardze kasacyjnej na uzasadnienie przytoczonej podstawy kasacyjnej. Naczelny Sąd Administracyjny uznał, że wniesiona skarga kasacyjna jest zasadna. Wskazać należy, że zgodnie z art. 78 ust. 2 RODO "Bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli organ nadzorczy właściwy zgodnie z art. 55 i 56 nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77." W doktrynie można spotkać pogląd, że "Zgodnie z art. 35 § 4 k.p.a. przepisy szczególne mogą określać inne terminy niż wskazane w treści tego artykułu. Takim przepisem szczególnym nie jest jednak art. 78 ust. 2 rozporządzenia 2016/679 RODO, nie określa on bowiem terminu załatwienia skargi przez organ nadzorczy. Termin trzech miesięcy, o jakim mowa w tym przepisie, odnosi się do wykonania przez organ nadzorczy obowiązku poinformowania strony, której dane dotyczą, o postępach i efektach rozpoznawania jej skargi, z jego upływem RODO łączy możliwość uruchomienia przez podmiot danych środków ochrony prawnej przed sądem - wniesienia skargi na bezczynność organu nadzorczego" (por.: I. Bogucka (w:) Ustawa o ochronie danych osobowych. Komentarz, D. Lubasz (red.), Warszawa 2019, art. 62). Pogląd ten wydaje się podzielać Sąd I instancji. Powyższe zapatrywania przedstawicieli doktryny prawa nie zostały podzielone w orzecznictwie sądowym (zob. wyroki Naczelnego Sądu Administracyjnego z dnia 7 lipca 2023 r. sygn. akt III OSK 5190/21, III OSK 4754/21 oraz III OSK 1959/22). Naczelny Sąd Administracyjny w składzie rozpoznającym niniejszą sprawę w pełni podziela zapatrywania wyrażone w powyższych judykatach, przyjmując je za własne. Mając na uwadze istotę problemu w sprawie jak i podniesione przez organ argumenty należy podkreślić, że trzymiesięczny termin z art. 78 ust. 2 RODO nie odnosi się tylko do obowiązku poinformowania osoby, której dane dotyczą, o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77 RODO, ale w pierwszej kolejności odnosi się do rozpatrzenia skargi, co wynika z treści przepisu ("jeżeli organ nadzorczy właściwy zgodnie z art. 55 i 56 nie rozpatrzył skargi lub nie poinformował..."). Rozpatrzenie skargi w rozumieniu art. 78 ust. 2 RODO w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781 z późn. zm.), dalej: u.o.d.o., oznacza wydanie decyzji administracyjnej. Nie jest więc uprawnione twierdzenie, że art. 78 ust. 2 RODO nie wyznacza terminu na załatwienie sprawy administracyjnej. Skoro upływ trzymiesięcznego terminu, o jakim mowa w art. 78 ust. 2 RODO, uprawnia do wniesienia skargi na bezczynność (jak podnosi przywołana wyżej doktryna; zob. też P. Fajgielski (w:) Komentarz do ustawy o ochronie danych osobowych (w:) Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 62, uw. 4) - a bezczynność wiąże się z niezałatwieniem sprawy w terminie określonym w art. 35 k.p.a. lub przepisach szczególnych ani w terminie wskazanym zgodnie z art. 36 § 1 k.p.a. (zob. art. 37 § 1 pkt 1 k.p.a.) - to termin z art. 78 ust. 2 RODO musi być traktowany jako termin szczególny, w rozumieniu art. 35 § 4 k.p.a. W ocenie Naczelnego Sądu Administracyjnego art. 78 ust. 2 RODO należy odczytywać zatem w ten sposób, że obowiązek organu nadzoru poinformowania osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi staje się aktualny, jeśli skarga nie została rozpatrzona w tym terminie (czyli nie została wydana decyzja administracyjna) i zachodzi potrzeba jego wydłużenia, w trybie art. 36 k.p.a., co koresponduje z art. 62 u.o.d.o., nakazującym dodatkowo w takiej sytuacji poinformowanie stron o stanie sprawy i przeprowadzonych w jej toku czynnościach. Zgodnie bowiem z art. 62 u.o.d.o. "W przypadku, o którym mowa w art. 36 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, Prezes Urzędu, zawiadamiając strony o niezałatwieniu sprawy w terminie, jest obowiązany również poinformować o stanie sprawy i przeprowadzonych w jej toku czynnościach." Co oczywiste, nic nie stoi na przeszkodzie w złożeniu przez dany podmiot skargi na przewlekłe prowadzenie postępowania, jeżeli postępowanie jest prowadzone dłużej niż jest to niezbędne do załatwienia sprawy (art. 37 § 1 pkt 2 k.p.a.). Sąd I instancji dokonując oceny zasadności skargi w przedmiocie przewlekłego prowadzenia postępowania oparł się jednak na niewłaściwej podstawie prawnej, a tym samym nie rozpoznał istoty sprawy, co uniemożliwia Naczelnemu Sądowi Administracyjnemu poznanie rzeczywistych motywów rozstrzygnięcia. Mając powyższe na uwadze, Naczelny Sąd Administracyjny na podstawie art. 185 § 1 p.p.s.a. uchylił zaskarżony wyrok w punktach 1, 2 i 4 i przekazał sprawę w tym zakresie Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania. Ponownie rozpoznając sprawę Wojewódzki Sąd Administracyjny uwzględni przedstawioną wyżej ocenę prawną. O kosztach postępowania orzeczono na zasadzie art. 203 pkt 2 p.p.s.a., zgodnie z którym stronie, która wniosła skargę kasacyjną, należy się zwrot poniesionych przez nią niezbędnych kosztów postępowania kasacyjnego od skarżącego - jeżeli w wyniku uwzględnienia skargi kasacyjnej został uchylony wyrok sądu pierwszej instancji uwzględniający skargę.