III SAB/Gd 64/25

Wojewódzki Sąd Administracyjny w Gdańsku w składzie następującym: Przewodniczący: Sędzia WSA Janina Guść Sędziowie: Sędzia WSA Bartłomiej Adamczak (spr.) Asesor WSA Adam Osik po rozpoznaniu na posiedzeniu niejawnym w trybie uproszczonym w dniu 19 lutego 2025 r. sprawy ze skargi P. N. na bezczynność Dyrektora Szkoły Podstawowej w Borku Kamiennym w przedmiocie udostępnienia informacji publicznej oddala skargę. Wnioskiem z dnia 13 września 2024 r. P. N. (dalej zwany także: "skarżącym" lub "wnioskodawcą") wystąpił za pośrednictwem poczty elektronicznej ([...]) do Dyrektora Szkoły Podstawowej w Borku Kamiennym o udzielenie informacji publicznej w następującym zakresie: "Na podstawie art. 61 ust. 1 i 2 Konstytucji RP oraz art. 10 ust. 1 ustawy o dostępie do informacji publicznej, wnoszę o przesłanie kopii wszystkich faktur za licencję lub zakup oprogramowania do prowadzenia dziennika elektronicznego, które zostały wystawione w roku 2024. Proszę o przesłanie odpowiedzi w formacie PDF na mój adres email". Następnie, pismem z dnia 3 października 2024 r., P. N., reprezentowany przez radcę prawnego, wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Gdańsku na bezczynność Dyrektora Szkoły Podstawowej w Borku Kamiennym w przedmiocie udostępnienia informacji publicznej, zarzucając organowi naruszenie art. 10 ust. 1 w zw. z art. 13 ust. 1 i ust. 2 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (t.j.: Dz.U. z 2022 r., poz. 902 - dalej jako: "u.d.i.p."), poprzez brak udostępnienia skarżącemu informacji publicznej pomimo upływu terminu ustawowego oraz brak poinformowania skarżącego o braku możliwości udostępnienia informacji publicznej w określonym ustawowo terminie ze wskazaniem powodów opóźnienia oraz nowego terminu udostępnienia informacji. Skarżący wniósł o: 1/ stwierdzenie, że organ dopuścił się bezczynności; 2/ zobowiązanie organu do załatwienia wniosku niezwłocznie, nie później jednak niż w terminie 14 dni od uprawomocnienia się wyroku; 3/ rozpoznanie sprawy w trybie uproszczonym na posiedzeniu niejawnym oraz 4/ zasądzenie od organu na rzecz skarżącego kosztów postępowania. W uzasadnieniu skargi przedstawiono stan faktyczny sprawy oraz podniesiono, że bezczynność organu w zakresie udostępnienia przedmiotowej informacji publicznej jest nieuzasadniona i stanowi naruszenie przepisów prawa. W odpowiedzi na skargę Dyrektor Szkoły Podstawowej w Borku Kamiennym wniósł o jej oddalenie; ewentualnie o umorzenie postępowania i odstąpienie od obciążenia organu kosztami postępowania. W uzasadnieniu organ wskazał, że przedmiotowy wniosek pochodził od nadawcy: [...] i nie wskazywał podpisu nadawcy, tj. imienia, nazwiska, nazwy podmiotu. Biorąc pod uwagę nieznany adres e-mail nadawcy, brak podpisu, szkolenia z zakresu cyberbezpieczeństwa oraz posiadane informacje w zakresie bezpieczeństwa danych, organ uznał, iż wskazany e-mail [...] pochodzi od nieznanego nadawcy i może stanowić phishing, na skutek czego nie udzielił w terminie 14 dni przedmiotowej informacji. Organ wyjaśnił, że w dniu 11 października 2024 r. do organu wpłynęła skarga na bezczynność organu w zakresie nieudostępnienia informacji publicznej w zakresie przesłania kopii wszystkich faktur za licencję lub zakup oprogramowania do prowadzenia dziennika elektronicznego, które zostały wystawione w roku 2024, a z treści uzasadnienia skargi wynikało, że wniosek z dnia 14 września 2024 r. nie stanowił informacji phishingowej, lecz pochodził od adresata tj. skarżącego P. N. W tej sytuacji organ w dniu 16 października 2024 r. udzielił skarżącemu odpowiedzi przesyłając żądane informacje na wskazany adres email, tj.[...]. Uzasadniając wniosek o oddalenie skargi organ zaznaczył, że biorąc pod uwagę adres nadawczy wnioskodawcy (tj. e-mail: [...]), zakres wniosku o dostęp do informacji publicznej i brak podpisu oraz wskazania podmiotu od jakiego pochodzi (tj. imienia i nazwiska, nazwy firmy), organ miał uzasadnione wątpliwości co do podmiotu, od którego wniosek pochodzi (nie wykluczając możliwości ataku hakerskiego typu phishing). Wnioskodawca używał adresu e-mail, który wzbudził u organu jako odbiorcy skojarzenie z powszechnie znanym procederem podszywania się pod komercyjne firmy, w tym wypadku firmę V. (zajmującą się m.in. oprogramowaniem dziennika elektronicznego). Z tego powodu nie podjął stosownych działań w terminie 14-dniowym przewidzianym ustawą o dostępie do informacji publicznej, liczonym od dnia 13 września 2024 r. Dopiero skarga na bezczynność, która wpłynęła do organu w dniu 11 października 2024 r., i zawarte w niej informacje, tj. załączenie pełnej treści wiadomości e-mail z dnia 13 września 2024 r. od adresata: [...] oraz wskazanie nadawcy wiadomości - P. N., pozwoliła na uwiarygodnienie adresata wiadomości, a tym samym uznanie, iż wniosek z dnia 13 września 2024 r. nie stanowił informacji pishingowej. Uznając zatem w okolicznościach faktycznych sprawy, że wniosek o udostepnienie informacji publicznej z dnia 13 września 2024 r. nie stanowi informacji pishingowej w dacie otrzymania skargi na bezczynność organu, Dyrektor Szkoły Podstawowej udzielił odpowiedzi na ten wniosek niezwłocznie, tj. dnia 16 października 2024 r., przesyłając żądane informacje na wskazany adres e-mail [...]. W konsekwencji, w ocenie organu nie można uznać, że organ pozostawał w bezczynności. Organ wyjaśnił, że zgodnie z ustawą o dostępie do informacji publicznej wniosek o udzielenie informacji publicznej może przybrać każdą formę, w tym dopuszczalne jest złożenie wniosku za pośrednictwem poczty elektronicznej i to nawet w sytuacji, w której do autoryzacji tego zapytania nie zostanie użyty kwalifikowany podpis elektroniczny, albowiem - w świetle stanowiska judykatury - brak autoryzowanego podpisu na wniosku o udostępnienie informacji publicznej nie stanowi jego braku formalnego (por. wyroki NSA: z dnia 16 marca 2009 r., sygn. akt I OSK 1277/08; z dnia 30 listopada 2012 r., sygn. akt I OSK 1991/12 oraz z dnia 14 grudnia 2012 r., sygn. akt I OSK 1013/12). Niemniej w świetle intensywnego rozwoju komunikacji internetowej, a także w związku z gwałtownym rozwojem technologii cyfrowych - który w ostatnich latach objął każdą niemal dziedzinę życia i pociągnął za sobą eskalację nielegalnych działań (tzw. cyberprzestępczości) mających na celu m.in. przejęcie różnego rodzaju baz danych, obejmujących dane osobowe czy inne mogące posłużyć w celach przestępczych, takich jak kradzież środków z kont bankowych, udostępnianie informacji niejawnych osobom nieupoważnionym, oszustwa i szantaże - organ podjął działania zapobiegające ewentualnemu atakowi hakerskiemu. Organ podkreślił, że baza danych, którą dysponuje szkoła zawiera szereg danych osobowych w tym danych wrażliwych dotyczących ucznia, jego rodziców, numerów pesel, numerów telefonów, adresów zamieszkania, sytuacji rodzinnej i majątkowej itd., a więc z tych względów organ otwierając wiadomości e-mail musi być szczególnie wrażliwy na przesyłane wiadomości i potencjalne zagrożenia, pomimo iż dysponuje szeregiem zabezpieczeń uniemożliwiających przeniknięcie przez podmioty nieuprawnione do stosowanych w tych instytucjach systemów informatycznych (które mogą okazać się niewystarczające). Organ zaznaczył, że ustawa z dnia 6 września 2001 r. o dostępie do informacji publicznej była uchwalana w zupełnie innych realiach, zarówno co do rozwoju technologii komunikacji cyfrowej, jak i co do możliwych zagrożeń bezpieczeństwa, i mimo intensywnego postępu w zakresie cyfryzacji i dostępu do nowych technologii do chwili obecnej nie została zmodyfikowana. Organy administracji publicznej czy samorządowej są zatem nie tylko uprawnione, ale i zobowiązane, aby podejmować wszelkie działania mające na celu ochronę posiadanych danych i zapewnienie im bezpiecznego, sprawnego działania, wobec możliwych ataków hakerskich. Hipotetycznie gdyby organ otworzył "podejrzaną" w jego ocenie wiadomość pochodzącą od "niezaufanego" i budzącego skojarzenia z komercyjną firmą - a mimo to innego adresu email - nadawcy i faktycznie nastąpiłoby "włamanie" do systemu informatycznego szkoły i pozyskania danych przez podmiot nieuprawniony, to konsekwencje dla organu byłyby bardzo istotne, włącznie z konsekwencjami finansowymi. W okolicznościach zatem niniejszej sprawy należy uznać, że pomimo wpływu wniosku dnia 13 września 2024 r. na pocztę elektroniczną, organ z przyczyn wskazanych powyżej udzielił odpowiedzi na wniosek dopiero w dniu 16 października 2024 r., dlatego skarga winna zostać oddalona. Końcowo, organ wskazał, że przyjmując, iż pozostawał w bezczynności, to jego ewentualna bezczynność nie była zawiniona, lecz wynikała z podjętej ochrony w zakresie cyberbezpieczeństwa z przyczyn opisanych powyżej. Ostatecznie organ po zweryfikowaniu wiadomości udzielił odpowiedzi w dniu 16 października 2024 r,. na skutek czego nie pozostawał w bezczynności, dlatego wniósł także o umorzenie postępowania wywołanego wniesieniem skargi i odstąpienie od obciążenia kosztami postępowania. Wojewódzki Sąd Administracyjny w Gdańsku zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (t.j.: Dz. U. z 2024 r., poz. 1267), sąd administracyjny sprawuje, w zakresie swej właściwości, kontrolę pod względem zgodności z prawem, jeżeli ustawa nie stanowi inaczej, natomiast sąd administracyjny w ramach kontroli działalności administracji publicznej przewidzianej w art. 3 § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j: Dz. U. z 2024 r., poz. 935 ze zm. - dalej jako: "p.p.s.a.") orzeka m.in. w sprawach skarg na bezczynność lub przewlekłe prowadzenie postępowania w przypadkach określonych w pkt 1-4 lub przewlekłe prowadzenie postępowania w przypadku określonym w pkt 4a (pkt 8) oraz bezczynność lub przewlekłe prowadzenie postępowania w sprawach dotyczących innych niż określone w pkt 1-3 aktów lub czynności z zakresu administracji publicznej dotyczących uprawnień lub obowiązków wynikających z przepisów prawa podjętych w ramach postępowania administracyjnego określonego w ustawie z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego oraz postępowań określonych w działach IV, V i VI ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa oraz postępowań, do których mają zastosowanie przepisy powołanych ustaw (pkt 9). W tak określonym zakresie kognicji Sąd stwierdził, że wniesiona w niniejszej sprawie skarga na może zostać uwzględniona. W rozpoznawanej sprawie skarżący zarzucił Dyrektorowi Szkoły Podstawowej w Borku Kamiennym bezczynność w zakresie udzielenia mu informacji publicznej. W orzecznictwie i doktrynie przyjmuje się, że z "bezczynnością" organu mamy do czynienia wówczas, gdy w przewidzianym terminie organ nie podjął żadnych czynności w sprawie lub co prawda prowadził postępowanie, ale pomimo ustawowego obowiązku, nie zakończył go wydaniem w terminie decyzji, postanowienia lub też innego aktu lub nie podjął w terminie stosownej czynności (zob. T. Woś [w:] T. Woś, H. Knysiak-Molczyk, M. Romańska, Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, LexisNexis, Warszawa 2005, s. 86). Dla stwierdzenia, że w konkretnym wypadku mamy do czynienia z bezczynnością organu administracji publicznej konieczne jest jednak w pierwszej kolejności ustalenie, że organ administracyjny zobowiązany był w świetle przepisów obowiązującego prawa do wydania decyzji lub innego aktu albo do podjęcia określonych czynności. W rozpoznawanej sprawie zaznaczenia wymaga, że przedmiotem sporu nie pozostawała kwestia charakteru żądanej informacji, czy też podmiotu obowiązanego do jej udostępnienia. Żadna z tych kwestii - wobec brzemienia przepisów art. 4 ust. 1 pkt 4 i art. 6 ust. 1 pkt 2 i 5 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (t.j.: Dz. U. z 2022 r., poz. 902 - zwanej dalej w skrócie: "u.d.i.p.") - nie budzi w rozpoznawanej sprawie wątpliwości. Okolicznością wymagającą rozstrzygnięcia w niniejszej sprawie pozostawało natomiast ustalenie, czy wniosek o udostępnienie informacji publicznej był skuteczny i czy mógł zainicjować postępowanie obligujące organ zobowiązany, jakim niewątpliwie jest szkoła publiczna, do jej udzielenia w oparciu o otrzymany pocztą elektroniczną w dniu 13 września 2024 r. wniosek. Rozważania w powyższym zakresie poprzedzić należy wyjaśnieniem, że oczywistym pozostaje, iż przepisy u.d.i.p. wprowadzają minimum formalizmu w zakresie procedury wnioskowej. Złożony wniosek musi zawierać jednak co najmniej te elementy, które umożliwią udzielenie żądanej informacji, względnie – wydanie i doręczenie decyzji administracyjnej w przypadku odmowy udostępnienia żądanej informacji. Oczywiste jest zatem, że wniosek o udostępnienie informacji publicznej nie może być anonimowy. Niezależnie więc od formy jego wniesienia winien zawierać wskazanie imienia i nazwiska wnoszącego oraz jego adres i treść żądania. Użycie bowiem w art. 2 ust. 1 u.d.i.p. określenia "każdy" nie jest równoznaczne z "anonimowym każdym". I wprawdzie nie ma żadnych przeszkód, by wniosek został złożony drogą elektroniczną, bez opatrzenia bezpiecznym podpisem, gdyż nie musi spełniać wymogów formalnych, o których mowa w art. 63 k.p.a., to jednak winien zawierać wskazanie imienia i nazwiska, czy nazwy w przypadku podmiotów nie będących osobami fizycznymi (por. wyroki NSA: z dnia 16 marca 2009 r., sygn. akt I OSK 1277/08 oraz z dnia 18 grudnia 2024 r., sygn. akt III OSK 1602/24 oraz wyroki WSA w Łodzi z dnia 22 czerwca 2016 r. sygn. akt II SAB/Łd 56/16; z dnia 24 czerwca 2016 r., sygn. akt II SAB/Łd 86/16 oraz z dnia 13 lipca 2016 r., sygn. akt II SAB/Łd 132/16; a także: I. Kamińska, M. Rozbicka-Ostrowska, Ustawa o dostępie do informacji publicznej. Komentarz, Lexis Nexis 2012; M. Jaśkowska, Dostęp do informacji publicznej w świetle orzecznictwa Naczelnego Sądu Administracyjnego, Toruń 2002, s. 60 oraz M. Kłaczyński:, Dostęp do informacji publicznej. Komentarz, Lex/el 2003). Zatem mimo odformalizowania i uproszczenia postępowania w sprawach udzielenia informacji publicznej, to - w ocenie Sądu rozpatrującego przedmiotową skargę - wniosek o udzielenie tej informacji powinien zawierać wskazanie co najmniej: podmiotu, który ma udzielić informacji, żądanej informacji, sposobu i formy jej udzielenia, ale także danych wnioskodawcy (por. M. Bidziński, M. Chmaj, P. Szustakiewicz, Ustawa o dostępie do informacji publicznej. Komentarz, Wydawnictwo C.H.Beck, Warszawa 2015, s. 140). Przeciwne stanowisko nie pozwala na ustalenie, kto w istocie występuje z wnioskiem, czy osoba fizyczna, czy osoba prawna, czy organ administracji publicznej, czy też wniosek został wysłany z adresu mailowego stworzonego "sztucznie" przez program komputerowy, co przy aktualnej technologii nie jest wykluczone. W takiej sytuacji nie można ponadto też stwierdzić, czy zachodzi tożsamość między wnioskodawcą a stroną skarżącą (por. wyrok WSA w Szczecinie z dnia 20 kwietnia 2023 r., sygn. akt II SAB/Sz 16/23). W niniejszej sprawie w dniu 13 września 2024 r., przy użyciu poczty elektronicznej z adresu: [...], skarżący anonimowo złożył do organu wniosek o udostępnienie informacji publicznej, przesyłając go na adres poczty elektronicznej szkoły ([email protected]). Wniosek ten nie zawierał żadnych danych umożliwiających identyfikację wnioskodawcy, nie zawierał wskazania imienia i nazwiska wnioskodawcy. Danych tych nie identyfikował również adres poczty elektronicznej, z której został przesłany ([...]). Niewątpliwie zatem tak sformułowane żądanie nie pozwalało na ustalenie kto w istocie występuje z tym żądaniem, czy osoba fizyczna, czy osoba prawna, czy może organ administracji publicznej, czy też może wiadomość została wysłana z adresu mailowego stworzonego "sztucznie" przez program komputerowy. W ocenie Sądu tak sformułowane żądanie nie pozwalało na zakwalifikowanie go do kategorii wniosków o udostępnienie informacji publicznej, w rozumieniu art. 10 u.d.i.p. Pomimo, że – jak to zostało zasygnalizowane powyżej - u.d.i.p. wprowadza daleko idące odformalizowanie i ułatwienia co do sposobu i formy ubiegania się o informację publiczną, to jednak nie mogą one prowadzić do wypaczenia podstawowych zasad obrotu prawnego dotyczących m.in. zidentyfikowania podmiotu uprawnionego, czyli osoby wykonującej prawo do informacji publicznej. Użyte w art. 2 ust. 1 u.d.i.p. określenie "każdy" nie jest synonimiczne z anonimem i brak jest podstaw do ich utożsamiania. A skoro tak, to stwierdzić należało, że w dacie złożenia skargi do sądu organ nie pozostawał w bezczynności w zakresie udostępnienia informacji publicznej, gdyż jedynie skuteczne złożenie wniosku o udostępnienie informacji publicznej stanowić może podstawę merytorycznego badania i ewentualnego stwierdzenia pozostawiania przez organ w bezczynności. Nieskuteczne złożenie wniosku, a z takim mamy do czynienia w niniejszej sprawie, nie mogło zatem doprowadzić do uznania, że organ pozostaje w bezczynności. Biorąc powyższe pod uwagę, Wojewódzki Sąd Administracyjny – na podstawie art. 151 p.p.s.a. – oddalił skargę. Orzeczenie w niniejszej sprawie zostało wydane na posiedzeniu niejawnym w postępowaniu uproszczonym na podstawie art. 119 pkt 4 p.p.s.a. Zgodnie z tą regulacją sprawa może być rozpoznana w trybie uproszczonym, jeżeli przedmiotem skargi jest bezczynność lub przewlekłe prowadzenie postępowania. Powołane w uzasadnieniu orzeczenia sądów administracyjnych są dostępne w Centralnej Bazie Orzeczeń Sądów Administracyjnych (na stronie internetowej: orzeczenia.nsa.gov.pl).