II SA/Wa 1750/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Ewa Kwiecińska (spr.), Sędzia WSA Karolina Kisielewicz, po rozpoznaniu w trybie uproszczonym w dniu 23 kwietnia 2021 r. sprawy ze skargi T. H. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. nr [...] w przedmiocie odmowy wszczęcia postępowania 1. uchyla zaskarżone postanowienie; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego T. H. kwotę 597 (słownie: pięćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania. Prezes Urzędu Ochrony Danych Osobowych wydał w dniu [...] lipca 2020 r. postanowienie nr [...], którym na podstawie art. 61 a § 1 ustawy Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 ze zm.) w zw. z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych po rozpatrzeniu skargi T. H., dotyczącej przetwarzania jego danych osobowych przez Ministerstwo Cyfryzacji odmówił wszczęcia postępowania. Do Urzędu Ochrony Danych Osobowych wpłynęła skarga T. H. dotycząca przetwarzania jego danych osobowych przez Ministerstwo Cyfryzacji i Pocztę Polską S.A. w W. Skarżący podniósł, iż Ministerstwo Cyfryzacji przekazało jego dane osobowe na rzecz Poczty Polskiej S.A. bez podstawy prawnej. Zarzucił ponadto Poczcie Polskiej S.A. naruszenie art. 5 i art. 14 oraz art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1 i Dz.U.UE.L.2018.127.2), zwanego dalej RODO, poprzez przetwarzanie jego danych osobowych bez podstawy prawnej, w sposób nierzetelny i nieprzejrzysty oraz poprzez niedopełnienie wobec niego obowiązku informacyjnego, w szczególności w zakresie informacji co do podstawy prawnej przetwarzania, zakresu danych osobowych jakie przetwarza i celu ich przetwarzania. Z pisma Ministerstwa Cyfryzacji z dnia [...] maja 2020 r., znak: [...], skierowanego do Prezesa Urzędu Ochrony Danych Osobowych, wynika, iż dane z rejestru PESEL zostały przekazane Poczcie Polskiej S.A w związku z realizacją działań w zakresie przeciwdziałania COVID-19 polegających na podjęciu i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów Prezydenta Rzeczypospolitej Polskiej w 2020 r. w trybie korespondencyjnym, w związku z decyzją Prezesa Rady Ministrów z dnia [...] kwietnia 2020 r. znak: [...]. Decyzją z dnia [...] kwietnia 2020 r., znak: [...] wydaną na podstawie art. 11 ust. 2 w zw. z art. 11 ust. 2a i ust. 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2020 r. poz. 374), Prezes Rady Ministrów polecił Poczcie Polskiej S.A. realizację działań w zakresie przeciwdziałania COVID-19, polegających na podjęciu i realizacji niezbędnych czynności zmierzających do przygotowania przeprowadzenia wyborów powszechnych na Prezydenta Rzeczypospolitej Polskiej w 2020 r. w trybie korespondencyjnym, w szczególności poprzez przygotowanie struktury organizacyjnej, zapewnienie niezbędnej infrastruktury oraz pozyskanie koniecznych zasobów materialnych i kadrowych. Wnioskiem z dnia [...] kwietnia 2020 r., znak: [...] z powołaniem na art. 99 ustawy z dnia 16 kwietnia 2020 r. o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 (Dz. U. z 2020 r. poz. 695), Poczta Polska S.A. wystąpiła do Ministerstwa Cyfryzacji o przekazanie w formie elektronicznej danych z rejestru PESEL w zakresie ostatniego adresu zameldowania na pobyt stały oraz adresu zameldowania na pobyt czasowy oraz daty upływu deklarowanego terminu pobytu, imienia, drugiego imienia, nazwiska i numeru PESEL. Poczta w ww. wniosku wskazała, iż dane otrzymane z bazy PESEL będą połączone przez Pocztę Polską S.A. z rejestrami wyborców z gmin i w przypadku braku wskazania przez gminy adresów, na które należy doręczyć pakiety wyborcze Poczta Polska S.A. będzie posiłkować się danymi z bazy PESEL. Skutkiem tego połączenia będzie zbudowanie najbardziej aktualnej bazy adresów wyborców do doręczenia pakietów wyborczych w oparciu o dane z gmin oraz bazy PESEL. Poczta Polska S.A. oświadczyła, że ww. dane są potrzebne i zostaną wykorzystane wyłącznie w celu realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej, a po zrealizowaniu celu zostaną usunięte z systemu teleinformatycznego operatora. Decyzją Prezesa Urzędu Komunikacji Elektronicznej z dnia [...] czerwca 2015 r. nr [...] Poczta Polska S.A. została wybrana jako operator wyznaczony do świadczenia usług powszechnych na lata 2016-2025. W uzasadnieniu postanowienia z dnia [...] lipca 2020 r. nr [...] Prezes UODO stwierdził, iż zgodnie z art. 99 ustawy SARS, operator wyznaczony w rozumieniu ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe po złożeniu przez siebie wniosku w formie elektronicznej, otrzymuje dane z rejestru PESEL, bądź też z innego spisu lub rejestru będącego w dyspozycji organu administracji publicznej, jeżeli dane te są potrzebne do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej bądź w celu wykonania innych obowiązków nałożonych przez organy administracji rządowej. Dane, o których mowa w zdaniu pierwszym, przekazywane są operatorowi wyznaczonemu, w formie elektronicznej, w terminie nie dłuższym niż 2 dni robocze od dnia otrzymania wniosku. Operator wyznaczony uprawniony jest do przetwarzania danych wyłącznie w celu, w jakim otrzymał te dane. Zgodnie z art. 11 ust. 3 ustawy COVID, Prezes Rady Ministrów może, z własnej inicjatywy, wydawać polecenia obowiązujące podmioty, o których mowa w ust. 1 i 2. Wydając polecenie wobec przedsiębiorcy, Prezes Rady Ministrów może wyznaczyć organ odpowiedzialny za zawarcie umowy. Zgodnie z art. 11 ust. 4 ustawy COVID, polecenia, o których mowa w ust. 1-3, są wydawane w związku z przeciwdziałaniem COVID-19, w drodze decyzji administracyjnej i podlegają natychmiastowemu wykonaniu z chwilą ich doręczenia lub ogłoszenia oraz nie wymagają uzasadnienia. PUODO wskazał, iż aktualne brzmienie art. 11 ust. 3 ustawy COVID jest zbieżne z brzmieniem art. 11 ust. 2 ustawy COVID, obowiązującym w dacie wydania ww. decyzji z dnia [...] kwietnia 2020 r., zgodnie z którym Prezes Rady Ministrów, z własnej inicjatywy lub na wniosek wojewody, po poinformowaniu ministra właściwego do spraw gospodarki może, w związku z przeciwdziałaniem COVID-19, wydawać polecenia obowiązujące inne, niż wymienione w ust. 1, osoby prawne i jednostki organizacyjne nieposiadające osobowości prawnej oraz przedsiębiorców. Polecenia są wydawane w drodze decyzji administracyjnej, podlegają one natychmiastowemu wykonaniu z chwilą ich doręczenia lub ogłoszenia oraz nie wymagają uzasadnienia. Organ nadmienił, że z art. 6 ust. 1 lit. c) RODO wynika, że przetwarzanie danych osobowych jest zgodne z prawem, gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Z kolei z art. 99 ustawy SARS wynika, że operator pocztowy jest uprawniony do pozyskania od organu administracji publicznej danych osobowych wskazanych ww. przepisem prawa, jeżeli zachodzi jedna z dwóch niezależnych od siebie przesłanek. W pierwszym przypadku udostępnienie danych jest możliwe, jeżeli dane te są potrzebne do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej. Natomiast w drugim przypadku udostępnienie danych jest możliwe, jeżeli dane te są potrzebne w celu wykonania innych obowiązków nałożonych przez organy administracji rządowej. Z uwagi na istniejące w obrocie prawnym, w czasie przekazywania danych osobowych z rejestru PESEL, rozstrzygnięcie Prezesa Rady Ministrów z dnia [...] kwietnia 2020 r., nakładające na Pocztę Polską S.A. obowiązek, o którym mowa w art. 99 ustawy SARS, dla realizacji którego potrzebne jest pozyskanie danych osobowych przez operatora pocztowego, organ uznał, że istniała podstawa prawna do udostępnienia tych danych operatorowi pocztowemu. Pozyskanie danych osobowych przez Pocztę Polską S.A. miało zatem oparcie w art. 6 ust. 1 lit. c) RODO w związku z art. 99 ustawy SARS. Odnosząc się do zarzutu niedopełnienia przez Pocztę Polską S.A. obowiązku informacyjnego, o którym mowa w art. 14 RODO, organ wskazał, iż stosownie do art. 14 ust. 1 RODO, jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą, administrator podaje osobie, której dane dotyczą informacje wymienione w pkt a) do f) tego przepisu. Ponadto, administrator podaje osobie, której dane dotyczą informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania, wskazane w art. 14 ust. 2 pkt a) do g) RODO. Jednakże, stosownie do art. 14 ust. 5 lit. c) RODO, powołane przepisy nie mają zastosowania, gdy pozyskiwanie lub ujawnianie jest wyraźnie uregulowane prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator, przewidującym odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą. Zgodnie z art. 57 ust. 1 lit. a) RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia. Uprawnienia naprawcze przysługujące organowi nadzorczemu w wypadku stwierdzenia naruszenia przepisów RODO statuuje art. 58 ust. 2 lit. a) do j) RODO. Z treści art. 1 ust. 2 pkt 5 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych wynika, iż ustawa określa postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych. Stosownie do art. 60 u.o.d.o. Prezes Urzędu Ochrony Danych Osobowych prowadzi postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych. Postępowanie prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych ma na celu ustalenie, czy w sprawie doszło do naruszenia przepisów o ochronie danych osobowych, a w razie stwierdzenia tego naruszenia, skorzystanie z uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO. Zdaniem PUODO w niniejszym postępowaniu, kwestionowane przez skarżącego udostępnienie jego danych osobowych przez Ministerstwo Cyfryzacji na rzecz Poczty Polskiej S.A. jest wynikiem wykonania przez ww. podmioty obowiązku jednoznacznie określonego w przepisach prawa. Przetwarzanie to ma oparcie w powołanym wyżej art. 6 ust. 1 lit. c) RODO. Pozyskanie i przetwarzanie danych osobowych skarżącego przez Pocztę Polską S.A. w tym wypadku jest uregulowane przepisem prawa, zgodnie zatem z art. 14 ust. 5 lit. c) RODO nie ma w sprawie zastosowania art. 14 ust. 1 i 2 RODO dotyczący spełnienia obowiązku informacyjnego wobec osoby, której dane dotyczą. Prezes Urzędu Ochrony Danych Osobowych podkreślił, iż nie ma podstaw do stwierdzenia naruszenia przepisów o ochronie danych osobowych. Powoduje to, iż wszczęcie postępowania ukierunkowane na ewentualne skorzystanie z uprawnień naprawczych przewidzianych w art. 58 ust. 2 RODO, jest bezprzedmiotowe w rozumieniu art. 105 § 1 k.p.a., bowiem wskazany stan naruszenia w sprawie nie zachodzi. Bezprzedmiotowość złożonego wniosku wypełnia dyspozycję art. 61 a § 1 k.p.a., stanowiąc uzasadnioną przyczynę niemożności wszczęcia postępowania. Skarżony podmiot przetwarzał dane osobowe w celu wypełnienia ciążącego na nim obowiązku prawnego (art. 6 ust. 1 lit. c) RODO). T. H. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. nr [...]. Zaskarżonemu postanowieniu skarżący zarzucił naruszenie: - art. 2, art. 7, art. 31 ust. 3, art. 51 ust. 1, 2 i 5 Konstytucji RP oraz art. 8 ust. 2 Karty Praw Podstawowych Unii Europejskiej, art. 6 ust. 1 lit. "c" rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietna 2016 r. – RODO, poprzez przetwarzanie danych osobowych skarżącego bez podstawy prawnej, w konsekwencji rażące naruszenie zasady praworządności, - art. 6 ust. 1 i 3 RODO poprzez przyjęcie, że przepis art. 99 ustawy o szczególnych instrumentach wsparcia w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 był podstawą przetwarzania danych osobowych, podczas gdy przepis ten ma zbyt wysoki poziom ogólności oraz brak określonego celu przetwarzania danych osobowych - przepisów prawa materialnego art. 6 ust. 1 lit. a RODO w zw. z art. 14 i 15 RODO poprzez uznanie, że Poczta Polska S.A. nie była zobowiązana do udzielenia skarżącemu stosownych i jasnych informacji co do przetwarzania jego danych osobowych, - art. 7, art. 77 § 1, art. 80 k.p.a. oraz art. 107 § 1 i 3 k.p.a. poprzez brak odniesienia do wszystkich zarzutów skargi, niewyjaśnienie dlaczego Poczta Polska S.A. nie była zobowiązana do spełnienia obowiązku informacyjnego określonego w art. 15 RODO, podczas gdy przepis ten nakłada na administratora obowiązek udzielenia informacji na żądanie osoby, której dane dotyczą, niezależnie od tego czy dane są pozyskane w sposób legalny, czy też nie. Skarżący wniósł o uchylenie zaskarżonego postanowienia i zasądzenie na rzecz skarżącego zwrotu kosztów postępowania. Zażądał również przeprowadzenia dowodu z załączonych do skargi dokumentów. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zaskarżone postanowienie Prezesa Urzędu Ochrony Danych Osobowych o odmowie wszczęcia postępowania administracyjnego ze skargi T. H. na niezgodne z prawem przetwarzanie jego danych osobowych, wydane zostało z naruszeniem prawa i dlatego skarga zasługuje na uwzględnienie. Z przepisu art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, który był podstawą wydania tego postanowienia, wynika, że gdy żądanie wszczęcia postępowania administracyjnego w danej sprawie zostało wniesione przez osobę niebędącą stroną lub z innych przyczyn jego wszczęcie jest niedopuszczalne, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. W orzecznictwie zgodnie przyjmuje się, że przez "inne uzasadnione przyczyny", o których mowa w art. 61a § 1 k.p.a., należy rozumieć takie sytuacje, które w sposób oczywisty stanowią przeszkodę do wszczęcia postępowania, np. gdy w tej samej sprawie postępowanie administracyjne już się toczy albo w sprawie takiej zapadło już rozstrzygnięcie lub gdy w przepisach prawa brak jest podstawy materialnoprawnej do rozpatrzenia żądania w trybie administracyjnym i wydania decyzji załatwiającej wniesione żądanie (por. np. wyrok Naczelnego Sądu Administracyjnego z 7 lutego 2014 r., sygn. akt I OSK 2159/12 i z 22 lipca 2014 r., sygn. akt I OSK 1635/14, dostępne na stronie internetowej: nsa.gov.pl/orzecznictwo). Istnienie "przeszkody" uniemożliwiającej wszczęcie i prowadzenie postępowania musi być oczywiste, dostrzegalne na "pierwszy rzut oka", a więc takie, której ustalenie i wskazanie nie wymaga prowadzenia postępowania wyjaśniającego przez organ (por. np. wyrok WSA z 15 maja 2019 r., II SA/Gd 45/19, (Lex nr 2676387). Postanowienie o odmowie wszczęcia postępowania jest orzeczeniem formalnym, a nie merytorycznym, nie rozstrzyga sprawy co do jej istoty, co prowadzi do wniosku, że w postanowieniu wydanym w trybie art. 61a § 1 k.p.a. organ nie może formułować wniosków i ocen dotyczących meritum żądania (por. np. wyrok NSA z dnia 8 marca 2017 r., sygn. akt II OSK 2600/16). Zaskarżone postanowienie o odmowie wszczęcia postępowania ma w istocie charakter merytoryczny, a nie wyłącznie formalny. Należy przypomnieć, że T. H. w swojej skardze skierowanej do Prezesa Urzędu Ochrony Danych Osobowych żądał wszczęcia postępowania i wydania decyzji nakazującej Poczcie Polskiej S.A. usunięcie jego danych ze spisu wyborców przekazanego Poczcie Polskiej. Wskazał, że w obowiązującym porządku prawnym nie ma przepisu upoważniającego Pocztę Polską S.A. do realizacji zadań związanych z organizacją wyborów Prezydenta Rzeczypospolitej Polskiej. W konsekwencji nie można przyjąć, że przetwarzanie danych osobowych miało oparcie w art. 6 ust. 1 lit. c RODO, w myśl którego przetwarzanie danych osobowych jest zgodne z prawem, gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Organ w zaskarżonym postanowieniu odniósł się do tego przepisu prawnego i stwierdził, że przetwarzanie danych osobowych miało oparcie w art. 6 ust. 1 lit. c RODO, a konsekwencji nie ma podstaw do zastosowania art. 58 ust. 2 RODO. W istocie więc organ rozpoznał sprawę co do istoty i odmówił wydania pozytywnej dla strony decyzji uwzględniającej jej żądanie, nadając tej odmowie formę rozstrzygnięcia procesowego o odmowie wszczęcia postępowania administracyjnego w tej sprawie. Prezes Urzędu Ochrony Danych Osobowych w istocie przeprowadził w niniejszej sprawie postępowanie administracyjne, a następnie zakończył je postanowieniem z dnia [...] lipca 2020 r. o odmowie wszczęcia postępowania z powodu niezasadności żądania, stanowiącego przedmiot wniosku. Zaskarżone postanowienie zostało zatem wydane z naruszeniem art. 61a § 1 k.p.a. Naruszenie to zdaniem Sądu, mogło mieć istotny wpływ na wynik sprawy (art. 145 § 1 pkt 1 lit. c P.p.s.a.). Organ rozpatrując ponownie sprawę, powinien wziąć pod uwagę treść art. 104 § 1 i 2 k.p.a., które to przepisy określają formę załatwienia sprawy administracyjnej. Z przedstawionych powodów Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 145 § 1 pkt 1 lit. c ustawy – Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 61a §1 ustawy – Kodeks postępowania administracyjnego, uchylił zaskarżone postanowienie. O kosztach postępowania Sąd orzekł na podstawie art. 200 i art. 205 § 2 ustawy. Sąd rozpoznał sprawę na posiedzeniu niejawnym, w trybie uproszczonym, na podstawie art. 119 pkt 3 P.p.s.a.