II SAB/Wa 67/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Łukasz Krzycki, Asesor WSA Anna Pośpiech-Kłak, po rozpoznaniu w trybie uproszczonym w dniu 11 czerwca 2025 r. sprawy ze skargi T. B. na bezczynność Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie nieprawidłowości w procesie przetwarzania danych 1. stwierdza, że Prezes Urzędu Ochrony Danych Osobowych dopuścił się bezczynności; 2. stwierdza, że bezczynność Prezesa Urzędu Ochrony Danych Osobowych miała miejsce z rażącym naruszeniem prawa; 3. wymierza Prezesowi Urzędu Ochrony Danych Osobowych grzywnę w wysokości 2000 (słownie: dwa tysiące) złotych; 4. przyznaje od Prezesa Urzędu Ochrony Danych Osobowych na rzecz T. B. sumę pieniężną w wysokości 1000 (słownie: tysiąc) złotych; 5. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz T. B. kwotę 100 (słownie: sto) złotych, tytułem zwrotu kosztów postępowania. W dniu [...] listopada 2021r. ([...] listopada 2021r.data wpływu do organu) T. B. (dalej: "Skarżący") wniósł do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "PUODO") skargę na naruszenie przepisów o ochronie danych osobowych przez Bank [...] S.A. z siedzibą w W. (dalej: "Bank"). W tym samym piśmie, Skarżący wniósł o nałożenie przez PUODO na Bank kary pieniężnej na podstawie art. 101 ustawy o ochronie danych osobowych (Dz.U. z 2019 poz. 1781) w zw. z art. 83 ust. 5 pkt a) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016r. w sprawie osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, w związku z naruszeniem przepisów dotyczących podstawowych zasad przetwarzania danych osobowych, w tym warunków zgody. W uzasadnieniu skargi, T. B. wskazał, że z Bankiem łączy go umowa o prowadzenie rachunku bankowego dla osoby fizycznej. W związku z tym podczas wykonywania przez Skarżącego transakcji za pośrednictwem elektronicznego systemu bankowego, dane dotyczące ich wykonywania były przez Bank przetwarzane bez Jego zgody. W dniu [...] września 2021r. na numer telefonu podany do potwierdzenia transakcji w ramach bankowości elektronicznej, Bank wysłał do Skarżącego wiadomość o możliwości połączenia jego drugiego konta w innym banku z aplikacją Banku [...]. Skarżący niezwłocznie zgłosił ten fakt naruszenia danych osobowych i tajemnicy bankowej poprzez formularz zamieszczony na stronie Banku. W odpowiedzi na zgłoszenie, Bank poinformował Skarżącego, że podczas wykonywania przelewu na konto prowadzone w innym banku wyraził on zgodę na profilowanie czyli indywidualizowanie ofert, dlatego Bank zaproponował Skarżącemu dodanie konta z innego banku do aplikacji Banku [...] i skorzystanie z usługi otwartej bankowości. Skarżący podnosi, że nigdy nie wyrażał zgody o której wspomniał Bank w przesłanej do niego wiadomości. Mimo próśb Skarżącego o podanie przez Bank daty i formy w jakiej ta zgoda została wyrażona, Bank pozostawił prośbę Skarżącego bez odpowiedzi. Oświadczył natomiast, że wycofał zgodę Skarżącego i uznał to za złożenie sprzeciwu. Pismem z dnia [...] grudnia 2021 r. Prezes Urzędu Ochrony Danych Osobowych wezwał Skarżącego do jednoznacznego wskazania, czy swoim pismem jedynie zawiadamia Prezesa Urzędu Ochrony Danych Osobowych o nieprawidłowościach w procesie przetwarzania danych, czy też chce aby Organ podjął działania w jego sprawie indywidualnej. Jednocześnie Skarżący został poinformowany, że jeśli pismo stanowi zawiadomienie, to Prezes Urzędu Ochrony Danych Osobowych może rozważyć podjęcie przewidzianych prawem czynności z urzędu np. przeprowadzenie kontroli, a ponadto, że nie będzie on informowany o podejmowanych przez Prezesa Urzędu Ochrony Danych Osobowych działaniach i ich skutku. Jednocześnie Organ wskazał, że w przypadku jeśli Skarżący chce, aby Prezes Urzędu Ochrony Danych Osobowych podjął działania w jego indywidualnej sprawie, pismo ją inicjujące musi spełniać wymogi dla podań określone w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572), zwanej dalej k.p.a. W takim przypadku Skarżący został wezwany na podstawie art. 64 § 2 k.p.a. - do usunięcia braków formalnych złożonej skargi. W tym celu Prezes Urzędu Ochrony Danych Osobowych wezwał Skarżącego do wskazania jego żądania, które może zainicjować postępowanie w sprawie skargi indywidualnej poprzez wskazanie m.in. na czym polega kwestionowanego przez niego działanie lub zaniechanie skarżonego podmiotu, a także poprzez wskazanie jakiego rodzaju czynności oczekuje od Prezesa Urzędu Ochrony Danych Osobowych. Dodatkowo Skarżący został poinformowany o tym, że w sferze kompetencji Prezesa Urzędu Ochrony Danych Osobowych mieści się przeprowadzanie kontroli co do zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych przez określony podmiot (administratora/podmiot przetwarzający), lecz organ nie podejmuje tego rodzaju działań na wniosek osoby składającej skargę, a także, że nakładanie administracyjnych kar pieniężnych należy wyłącznie do uprawnień Prezesa Urzędu Ochrony Danych Osobowych niezależnych od żądania osoby składającej skargę (art. 58 ust. 2 lit. i RODO). W odpowiedzi na powyższe w dniu [...] stycznia 2022 r. do Prezesa Urzędu Ochrony Danych Osobowych wpłynęło pismo Skarżącego z dnia [...] stycznia 2022 r. stanowiące odpowiedź na powyższe wezwanie Organu, w którym Skarżący wskazał, że kwestionuje działania Banku polegające na przetwarzaniu jego danych osobowych dotyczących wykorzystywanych przez niego operacji w ramach systemu bankowości elektronicznej i posiadania przez Skarżącego konta w innym banku, które stanowiło w ocenie Skarżącego proces przetwarzania niemający oparcia w przepisach prawa. Ponadto, Skarżący zarzucił Bankowi wprowadzenie go w błąd w zakresie przetwarzania jego danych osobowych poprzez przekazanie nieprawdziwej informacji dotyczącej udzielenia przez Skarżącego zgody na przetwarzanie jego danych osobowych w powyższym zakresie. Pismem z dnia [...] stycznia 2022 r. Prezes Urzędu Ochrony Danych Osobowych zwrócił się do Banku o złożenie wyjaśnień w sprawie, jednocześnie pisemnie informując Skarżącego o wszczęciu postępowania w sprawie i podjęciu czynności wyjaśniających. W dniu [...] lutego 2022 r. do Organu wpłynęły wyjaśnienia Banku. Z uwagi na konieczność uzupełnienia materiału dowodowego zebranego w sprawie w dniu [...] marca 2022 r. Organ zwrócił się do Banku o złożenie dodatkowych wyjaśnień w sprawie, o czym ponownie Skarżący został powiadomiony w tym samym dniu. Do powyższego pisma Bank ustosunkował się pismem z dnia [...]marca 2022 r. Materiał dowodowy w dalszym ciągu wymagał uzupełnienia wobec powyższego w dniu [...] czerwca 2022 r. Organ ponownie zwrócił się do Banku o dodatkowe wyjaśnienia w sprawie. Tak jak uprzednio, jednocześnie z podjęciem czynności wyjaśniających, Skarżący został o nich poinformowany pisemnie. Odpowiedź Banku nastąpiła w dniu [...] lipca 2022 r. Kolejne czynności wyjaśniające względem Banku i poinformowanie o nich Skarżącego miało miejsce w dniu [...] grudnia 2022 r. Do powyższego Bank ustosunkował się w dniu [...] grudnia 2022 r. Pismami z dnia [...] grudnia 2022 r. Prezes Urzędu Ochrony Danych Osobowych powiadomił strony postępowania, tj. Skarżącego oraz Bank, o zakończeniu czynności wyjaśniających w sprawie i zebraniu materiału dowodowego wystarczającego do wydania końcowego rozstrzygnięcia w sprawie. W ww. pismach Prezes Urzędu Ochrony Danych Osobowych pouczył strony o przysługującym im prawie wypowiedzenia się co do zebranych w toku postępowania dowodów i materiałów oraz zgłoszonych żądań przed wydaniem decyzji oraz prawie wglądu w akta sprawy, sporządzania z nich notatek, kopii lub odpisów. Organ wyjaśnił stronom sposób, w jaki mogą skorzystać z tych uprawnień oraz wskazał siedmiodniowy termin na ich realizację. Dodatkowo należy wskazać, że w dniu [...] stycznia 2024 r. do Organu wpłynęło od Banku pismo o cofnięciu pełnomocnictwa dla dotychczasowego pełnomocnika występującego w sprawie. Skarżący w dniu [...] kwietnia 2024r. wniósł do PUODO ponaglenie w związku ze skargą jaką złożył w dniu [...] listopada 2021r. W uzasadnieniu ponaglenia wskazuje, że w dniu [...] stycznia 2022r. otrzymał pismo zawierające wezwanie do złożenia wyjaśnień i uzupełnienia braków formalnych, co Skarżący uczynił pismem z dnia [...] stycznia 2022r. Kolejno pismem z dnia [...] stycznia 2022r. (odebranym w dniu [...] lutego 2022r.) Skarżący został poinformowany przez PUODO o wszczęciu postępowania wyjaśniającego i zwróceniu się do Banku o złożenie wyjaśnień w sprawie. Wskazano również, że o podjętych czynnościach wyjaśniających i merytorycznym rozstrzygnięciu sprawy Skarżący zostanie poinformowany osobnym pismem. Następnie pismem z dnia [...] marca 2022r. został poinformowany o zwróceniu się przez PUODO do Banku o złożenie dodatkowych wyjaśnień w sprawie, wskazano, że o podjętych czynnościach oraz merytorycznym rozstrzygnięciu sprawy Skarżący zostanie poinformowany osobnym pismem. Skarżący ponownie pismem z dnia [...] grudnia 2022r. został poinformowany przez PUODO, że zgromadzony materiał jest w dalszym ciągu nie wystarczający wobec czego PUODO wezwał Bank do złożenia dodatkowych wyjaśnień w sprawie. Skarżący podnosił, że mimo upływu 28 miesięcy od złożenia skargi i nieskomplikowanej materii sprawy nie otrzymał on żadnej informacji o podjętych czynnościach wyjaśniających i merytorycznym rozstrzygnięciu sprawy. W dniu [...] grudnia 2024r. Skarżący złożył do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na bezczynność lub co najmniej przewlekłe prowadzenie postępowania Prezesa Urzędu Ochrony Danych Osobowych w sprawie skargi złożonej w dniu [...] listopada 2021r. Wniósł o stwierdzenie bezczynności oraz ewentualnego przewlekłego prowadzenia postępowania przez PUODO w stopniu rażącym, zobowiązanie PUODO do prowadzenie czynności mających na celu załatwienie wniosku i przekazanie Skarżącemu pisemnej informacji o sposobie załatwienia wniosku oraz nałożenie na PUODO kary grzywny i zasądzenie na rzecz Skarżącego sumy pieniężnej oraz zwrotu kosztów postępowania. W uzasadnieniu skargi wskazano, że Skarżący do dnia złożenia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie nie otrzymał żadnej merytorycznej odpowiedzi od PUODO. Skarżący wskazuje, że od momentu złożenia skargi do PUODO do dnia złożenia skargi do Wojewódzkiego Sądu Administracyjnego minęło 36 miesięcy. Całokształt działań organu w sprawie wskazuje, iż przynajmniej od grudnia 2022 r. były one nastawione na celowe uniknięcie rozstrzygnięcia sprawy, które w ocenie Skarżącego wynikało co najmniej z obawy przed stosowaniem sankcji prawnych wobec jednej z większych instytucji bankowych w kraju. Sprawa jest nieskomplikowana, wymaga ustalenia tylko jednej okoliczności, nic nie uzasadnia prowadzenia jej przez ponad 3 lata. Brak jest również jakichkolwiek okoliczności uniemożliwiających rozpatrzenie ponaglenia przez ponad 6 miesięcy. Naruszenie prawa przez PUODO jest w niniejszym przypadku oczywiste i pozbawione jakiegokolwiek racjonalnego uzasadnienia. Powyższe uzasadnia przyjęcie, że do przewlekłości postępowania doszło z rażącym naruszeniem prawa, co powinno skutkować nałożeniem na organ grzywny i przyznaniem na rzecz Skarżącego sumy pieniężnej, której wysokość Skarżący pozostawił ocenie sądu. Uważam działania Prezesa Urzędu Ochrony Danych Osobowych za sprzeczne z konstytucyjną ideą państwa prawa. W odpowiedzi na skargę z dnia [...] stycznia 2025r. PUODO wniósł oddalenie skargi. W dniu [...] stycznia 2025 r. PUODO wydał decyzję działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572), w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz. U. z 2019 r. poz. 1781), oraz na podstawie art. 6 ust. 1 i art. 58 ust. 2 lit. b, na podstawie art. 12 ust. 1, art. 21 ust. 2 i 3 i art. 58 ust. 2 lit. b oraz na podstawie art. 6 ust. 1 lit. f i art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana T. B., zam. w B., przy ul. K. [...], na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank [...] S.A., z siedzibą w W., przy ul. S. [...], polegające na przetwarzaniu jego danych osobowych w ramach profilowania bez podstawy prawnej w zakresie transakcji w bankowości elektronicznej oraz posiadanego rachunku w innym banku, Prezes Urzędu Ochrony Danych Osobowych: udzielił upomnienia Bank [...] S.A., z siedzibą w W., przy ul. S. [...], za naruszenie art. 6 ust. 1 w zw. z art. 21 ust. 2 i 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), polegające na profilowaniu danych osobowych Pana T. B., zam. w B., przy ul. K. [...], na potrzeby marketingu bezpośredniego w okresie od dnia [...] września 2021 r. do [...] października 2021 r. bez podstawy prawnej, pomimo wniesionego sprzeciwu; udzielił upomnienia Bank [...] S.A., z siedzibą w W., przy ul. S. [...], za naruszenie art. 12 ust. 1 w zw. z art. 21 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) poprzez udzielenie w dniu [...] października 2021 r. Panu T. B., zam. w B., przy ul. K. [...], nieprawidłowych informacji o odnotowaniu wycofania jego zgody na profilowanie w celach marketingowych; w pozostałym zakresie odmówił uwzględnienia wniosku. Wojewódzki Sąd Administracyjny zważył co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2024 r., poz. 1267 t.j.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, a także bezczynność lub przewlekłe prowadzenie postępowania przez organ z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności, zaś w przypadku skargi na bezczynność lub przewlekłe prowadzenie postępowania - według stanu obowiązującego na dzień orzekania przez Sąd. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej bądź też braku działania organu administracji dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2024 r., poz. 935 ze zm., dalej także: "p.p.s.a."). Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej. W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności działania Prezesa Urzędu Ochrony Danych Osobowych w niniejszej sprawie, zobowiązany był zbadać zgodność owego działania (czy też braku działania) nie tylko z normami prawa krajowego, ale również - a właściwie przede wszystkim - z przepisami prawa europejskiego, w tym w szczególności z regulacjami zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1 ze zmianą ogłoszoną w Dz. Urz. UE L 127 z dnia 23 maja 2018 r., str. 2 - zwane dalej także: "RODO"). W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga T. B. zasługuje na uwzględnienie, albowiem bezczynność Prezesa Urzędu Ochrony Danych Osobowych w sprawie zainicjowanej wnioskiem (skargą) Skarżącego z dnia [...] listopada 2021 r.(data wpływu do organu [...] listopada 2021 r.) była w niniejszej sprawie oczywista, gdyż organ nadzorczy naruszył obowiązujące regulacje prawne dotyczące postępowania w sprawie naruszenia przepisów o ochronie danych osobowych. W świetle normy prawnej wyrażonej w przepisie art. 3 § 2 pkt 8 p.p.s.a., kontrola działalności administracji publicznej przez sądy administracyjne obejmuje m.in. orzekanie w sprawach skarg na bezczynność lub przewlekłe prowadzenie postępowania w przypadkach określonych w pkt 1-4 lub przewlekłe prowadzenie postępowania w przypadku określonym w pkt 4a. W przypadku skargi na bezczynność lub przewlekłe prowadzenie postępowania, przedmiotem sądowej kontroli nie jest określony akt lub czynność organu administracji, lecz ich brak w sytuacji, gdy organ miał obowiązek podjąć działanie w danej formie i w określonym przez prawo terminie. Przepis art. 149 § 1 p.p.s.a. stanowi, iż sąd, uwzględniając skargę na bezczynność lub przewlekłe prowadzenie postępowania przez organy w sprawach określonych w art. 3 § 2 pkt 1 - 4: (1) zobowiązuje organ do wydania w określonym terminie aktu, interpretacji albo do dokonania czynności, (2) zobowiązuje organ do stwierdzenia albo uznania uprawnienia lub obowiązku wynikających z przepisów prawa, (3) stwierdza, że organ dopuścił się bezczynności lub przewlekłego prowadzenia postępowania. Jednocześnie, sąd stwierdza, czy bezczynność lub przewlekłe prowadzenie postępowania przez organ miały miejsce z rażącym naruszeniem prawa (art. 149 § 1a P.p.s.a.). Ponadto, sąd w przypadku, o którym mowa w § 1 pkt 1 i 2, może ponadto orzec o istnieniu lub nieistnieniu uprawnienia lub obowiązku, jeżeli pozwala na to charakter sprawy oraz niebudzące uzasadnionych wątpliwości okoliczności jej stanu faktycznego i prawnego (§ 1b). Należy wskazać również, że art. 149 § 2 P.p.s.a. przewiduje, iż sąd, w przypadku, o którym mowa w § 1, może ponadto orzec z urzędu albo na wniosek strony o wymierzeniu organowi grzywny w wysokości określonej w art. 154 § 6 lub przyznać od organu na rzecz skarżącego sumę pieniężną do wysokości połowy kwoty określonej w art. 154 § 6. Należy zauważyć, że przepisy ustawy - Prawo o postępowaniu przed sądami administracyjnymi nie definiują pojęcia bezczynności. W piśmiennictwie przyjmuje się jednak, że bezczynność organu administracji publicznej zachodzi wówczas, gdy w prawnie ustalonym terminie organ ten nie podjął żadnych czynności w sprawie lub wprawdzie prowadził postępowanie, ale - mimo istnienia ustawowego obowiązku - nie zakończył go wydaniem w terminie decyzji, postanowienia lub też innego aktu lub nie podjął stosownej czynności (tak m.in. T. Woś /w:/ T. Woś, H. Knysiak-Molczyk, M. Romańska, Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, Wydawnictwo Prawnicze LexisNexis, Warszawa 2011, s. 109). Jednocześnie, podnosi się w doktrynie, że stan "bezczynności organu" od "przewlekłego prowadzenia postępowania przez organ" różni się tym, że o ile w pierwszym przypadku dochodzi do przekroczenia terminu załatwienia sprawy poprzez to, iż organ zasadniczo nie podejmuje żadnych istotnych czynności zmierzających do rozstrzygnięcia sprawy, o tyle w drugim przypadku organ nie podejmuje skutecznych działań na podstawie przepisów k.p.a., przez co nie dochodzi do wydania rozstrzygnięcia (por. m.in. J. Drachal, J. Jagielski, R. Stankiewicz /w:/ Prawo o postępowaniu przed sądami administracyjnymi. Komentarz pod red. prof. R. Hausera i prof. M. Wierzbowskiego, wyd. 5, Wydawnictwo C.H. Beck, Warszawa 2017). Takie rozumienie pojęcia bezczynności potwierdza również orzecznictwo, w którym stwierdza się, że jeżeli w toku postępowania administracyjnego organ podejmuje czynności mające na celu dokładne rozpoznanie sprawy w niezbędnym zakresie, to, choć nie wydał w przewidzianym terminie decyzji administracyjnej, nie można mu zarzuć bezczynności (por. m.in. wyrok Naczelnego Sądu Administracyjnego z dnia 13 maja 2011 r., sygn. akt I OSK 711/11). W tym drugim przypadku (stan przewlekłości postępowania), czynności organu można również uważać za "pozorowane", w tym sensie, iż organ przeprowadza czynności nieistotne dla sprawy lub mnoży czynności postępowania dowodowego, pozostając w sprzeczności z koniecznością zachowania wymogu ekonomiki postępowania administracyjnego. Przy kwalifikowaniu "przewlekłości postępowania" powstaje, więc sytuacja, w której działa opieszale lub tylko pozoruje działania (formalnie nie będąc bezczynnym). Bezczynność organu administracji publicznej ma miejsce wówczas, gdy w prawnie ustalonym terminie organ nie podjął żadnych czynności w sprawie lub wprawdzie prowadził postępowanie, ale - mimo istnienia ustawowego obowiązku - nie zakończył go wydaniem w terminie decyzji, postanowienia lub innego aktu, lub nie podjął stosownej czynności. Art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych stanowi, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej "postępowaniem", jest prowadzone przez Prezesa Urzędu. Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy o ochronie danych osobowych, który postępowanie z rozdziału 7 tej ustawy kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania Kodeksu postępowania administracyjnego. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów ogólnej procedury administracyjnej wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych. Użyte w art. 60 u.o.d.o. określenie "naruszenie przepisów o ochronie danych osobowych" ma zakres szeroki i obejmuje naruszenia wszystkich przepisów o ochronie danych, zarówno zawartych w unijnym rozporządzeniu, jak i w przepisach krajowych, które uzupełniają lub modyfikują regulacje unijne. Zgodnie z art. 7 ust. 1 u.o.d.o., w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziale 4-7 i 11 (a więc również w rozdziale 7 dotyczącym postępowania w sprawie naruszenia przepisów o ochronie danych osobowych), stosuje się przepisy Kodeksu postępowania administracyjnego. Zgodnie z art. 12 k.p.a., organy administracji publicznej powinny działać w sprawie wnikliwie i szybko, posługując się możliwie najprostszymi środkami prowadzącymi do jej załatwienia. Sprawy, które nie wymagają zbierania dowodów, informacji lub wyjaśnień, powinny być załatwione niezwłocznie. W przypadku rozpoznawania skarg przez Prezesa Urzędu Ochrony Danych Osobowych terminy do podjęcia działań w sprawie określono w art. 78 RODO. Zgodnie z art. 78 ust. 2 RODO organ nadzorczy, do którego wniesiono skargę, informuje skarżącego o postępach i efektach rozpatrywania skargi, a w tym o możliwości skorzystania z prawa do skutecznego środka ochrony prawnej przed sądem, jeżeli właściwy organ nadzorczy nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie 3 miesięcy o postępach lub efektach rozpatrzenia skargi. Odnosząc się w tej sytuacji do zarzutu bezczynności organu nadzorczego, jako podstawy do skorzystania ze środka ochrony prawnej na gruncie postępowania sądowego, rozważyć należy, czy wskazany w powyższym przepisie okres 3 miesięcy należy traktować jako dyrektywę dla określenia maksymalnego terminu do rozstrzygnięcia sprawy przez organ. Wydaje się, że treść art. 78 ust. 2 RODO nie pozwala na przyjęcie takiego stanowiska. Należy bowiem zwrócić uwagę, że obowiązek informacyjny, który ma w tym czasie zrealizować organ nadzorczy, dotyczy nie tylko efektów rozpatrzenia skargi, ale może także obejmować, w zależności od specyfiki konkretnej sprawy, w tym stopnia jej skomplikowania, tylko informacje o postępach w jej prowadzeniu (tak również: J. Łuczak /w:/ E. Bielak-Jomaa (red.), D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018; podobnie: P. Fajgielski, Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, WKP 2018). Jednakże dla rozstrzygnięcia tej sprawy nie ma to znaczenia z uwagi na fakt, że organ pismami z dnia [...] grudnia 2022 r. Prezes Urzędu Ochrony Danych Osobowych powiadomił strony postępowania, tj. Skarżącego oraz Bank, o zakończeniu czynności wyjaśniających w sprawie i zebraniu materiału dowodowego wystarczającego do wydania końcowego rozstrzygnięcia w sprawie. W ww. pismach Prezes Urzędu Ochrony Danych Osobowych pouczył strony o przysługującym im prawie wypowiedzenia się co do zebranych w toku postępowania dowodów i materiałów oraz zgłoszonych żądań przed wydaniem decyzji oraz prawie wglądu w akta sprawy, sporządzania z nich notatek, kopii lub odpisów. Organ wyjaśnił stronom sposób, w jaki mogą skorzystać z tych uprawnień oraz wskazał siedmiodniowy termin na ich realizację. Reasumując już w dniu [...] grudnia 2022 r. sprawa nadawała się do rozstrzygnięcia, a decyzja w sprawie została wydana dopiero w dniu [...] stycznia 2025 r. a więc po ponad dwóch latach. Tak więc w ocenie Sądu nie ulega wątpliwości, że organ dopuścił się bezczynności w niniejszej sprawie zwlekając z wydaniem decyzji ponad 24 miesiące. W tym stanie rzeczy, Sąd uznał, że PUODO dopuścił się bezczynności, w trybie art. 149 § 1 pkt 3 p.p.s.a. Sąd obowiązany był również rozważyć, czy bezczynność ta miała miejsce z rażącym naruszeniem prawa (vide: art. 149 § 1a P.p.s.a.). W ocenie Sądu, bezczynność Prezesa UODO w załatwieniu skargi (wniosku) Skarżącego miała miejsca z rażącym naruszeniem prawa, gdyż dopiero skarga do Sądu spowodowało wydanie decyzji przez organ, co nastąpił ponad 24 miesiące od zgromadzenia materiału dowodowego wystarczającego do wydania końcowego rozstrzygnięcia w sprawie oraz ponad 37 miesięcy od złożenia skargi do PUODO. W orzecznictwie sądów administracyjnych prezentowany jest pogląd, że rażącym naruszeniem prawa jest stan, w którym bez żadnej wątpliwości i wahań można stwierdzić, że naruszono prawo w sposób oczywisty, przy czym każdorazowo taka ocena musi być dokonana przy uwzględnieniu okoliczności danej sprawy (por. m.in. wyrok NSA z dnia 21 czerwca 2012 r., sygn. akt I OSK 675/12, publ. https://orzeczenia.nsa.gov.pl). Oznacza to, że orzeczenie o kwalifikowanej formie bezczynności winno być zarezerwowane dla sytuacji szczególnych, oczywistych i niedających się usprawiedliwić w żaden sposób. Rażące naruszenie prawa dotyczyć może w szczególności zawartych w ustawie przepisów o terminach załatwienia sprawy, przy czym przekroczenie terminu musi być szczególnie znaczące i niezaprzeczalne, a rażące opóźnienie w podejmowanych przez organ czynnościach musi być pozbawione racjonalnego uzasadnienia (por. wyrok NSA z dnia 21 czerwca 2012 r., sygn. akt I OSK 675/12; podobnie: wyrok WSA w Łodzi z dnia 17 października 2014 r., sygn. akt II SAB/Łd 124/14; publ. https://orzeczenia.nsa.gov.pl). W okolicznościach niniejszej sprawy termin rozpoznania skargi (wniosku) został przez organ nadzorczy przekroczony w sposób znaczący, w orzecznictwie sadów administracyjnych ukształtował się pogląd, że o rażącym naruszeniu prawa możemy mówić w sytuacji przekroczenia terminu o 6 m-cy. Oceniając jako rażący niniejszy przypadek bezczynności Prezesa UODO oraz uwzględniając fakt ponad 37 miesięcznego oczekiwania skarżącego na rozstrzygnięcie sprawy, Sąd, w oparciu o art. 149 § 2 p.p.s.a., wymierzył organowi grzywnę w wysokości 2000 zł, o czym orzekł w punkcie trzecim sentencji wyroku. Zasądzona kwota ma charakter prewencyjny i penalizacyjny. Natomiast w pkt 4 wyroku w oparciu o art. 149 § 2 p.p.s.a., Sąd przyznał Skarżącemu od organu sumę pieniężną w kwocie 1000 zł, uznając ją za swoiste zadośćuczynienie za ignorowanie jego uzasadnionego interesu w terminowym załatwieniu sprawy. Zdaniem Sądu przyznanie Skarżącemu sumy pieniężnej w tej kwocie rekompensuje okres oczekiwania na załatwienie sprawy. O kosztach orzeczono w oparciu o art.200 p.p.s.a.