II SA/Wa 999/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Andrzej Góraj, Asesor WSA Dorota Kozub-Marciniak (spr.), , Protokolant specjalista Monika Gieroń, po rozpoznaniu na rozprawie w dniu 26 listopada 2025 r. sprawy ze skargi P. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2025 r. nr [...] w przedmiocie umorzenia postępowania w zakresie przetwarzania danych osobowych oddala skargę P.Z. (dalek, jako: skarżący) wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej, jako: organ lub PUODO) z dnia [...] kwietnia 2025 r. w przedmiocie umorzenia postępowania. W uzasadnieniu zaskarżonej decyzji wskazano, że do PUODO wpłynęła skarga skarżącego na nieprawidłowości w procesie przetwarzania jego danych osobowych przez J.D., prowadzącego działalność gospodarczą pod nazwą "D." (dalej, jako uczestnik) polegające na udostępnieniu danych skarżącego na rzecz przedstawiciela mediów. Skarżący podniósł, że w okresie od [...] do [...] października 2022 r. uczestnik udostępnił informacje o wysokości zarobków i zasadach współpracy pracowników Fundacji [...] z siedzibą w [...], w tym skarżącego. Naruszenie to polegało na bezprawnym ujawnieniu prasie (dziennikarzowi Gazety [...]) i innym mediom treści zawiadomienia o przestępstwie, sporządzonego przez J.D. [...] września 2022 r. zawierającego dane poszczególnych osób zatrudnionych w fundacji wskazując ich z imienia i nazwiska, wysokości wynagrodzeń, premii, zajmowanego stanowiska. Uczestnik wyjaśnił, że jako właściciel firmy B. przetwarzał dane skarżącego w roli podmiotu przetwarzającego Fundacji [...] w zakresie: dane identyfikacyjne: imię, nazwisko, nr PESEL, dane kontaktowe: adres zamieszkania, dane niezbędne do wykonania usługi: stanowisko, wynagrodzenie. W związku z jednostronnym rozwiązaniem umowy w drodze uchwały z dnia [...] grudnia 2021 r. oraz zgodnie z żądaniem administratora, którym jest Fundacja [...], dokumentacja płacowa została przekazana Fundacji [...]. Uczestnik potwierdził, że dane skarżącego w zakresie imienia, nazwiska, informacji o wysokości zarobków oraz braku rzeczywistego świadczenia przez niego pracy, zostały przez niego przekazane dziennikarzom Gazety [...] w ramach wykonywania przez niego funkcji wiceprezesa Fundacji [...]. Celem przekazania tych danych było zwrócenie uwagi opinii publicznej oraz odpowiednich instytucji nadzorczych na nieprawidłowości i liczne nadużycia finansowe, jakie J.D. odkrył jako wiceprezes Fundacji. Podstawą takiego działania według uczestnika jest art. 6 ust 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej RODO, tj. uzasadniony interes administratora, czyli Fundacji, jakim jest ochrona dobrego imienia fundacji poprzez wykrycie i likwidację nieprawidłowości o charakterze przestępczym, a także art. 6 ust 1 lit. e RODO. Organ ustalił na podstawie wydruku Krajowego Rejestru Sądowego, że J.D. był wiceprezydentem Fundacji [...] z siedzibą w [...] i wg wpisu KRS został on wykreślony z dniem [...] maja 2022 r. Organ podał, że z poczynionych ustaleń wynika, że uczestnik pełnił rolę wiceprezydenta Fundacji [...] z siedzibą w [...] oraz właściciela firmy "D.", które współpracowało z Fundacją [...] w zakresie świadczenia usług kadrowo-płacowych. W związku z powyższym mamy do czynienia z sytuacją kiedy jedna osoba reprezentuje dwóch odrębnych administratorów. Zgodnie z definicją administratora zawartą w art. 4 ust. 7 RODO, administrator oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Z wyjaśnień złożonych przez uczestnika wynika, że dane skarżącego w zakresie imienia, nazwiska, informacji o wysokości zarobków oraz braku rzeczywistego świadczenia przez niego pracy, zostały przez niego przekazane dziennikarzom Gazety [...], w ramach wykonywania przez niego funkcji wiceprezesa Fundacji [...], a nie właściciela [...]. Organ stanął na stanowisko, że pomimo, iż w czasie kiedy doszło do ujawnienia danych skarżącego J.D. nie sprawował funkcji wiceprezydenta Fundacji [...], to jeżeli dochodzi do przetwarzania danych osobowych w zbiorach danych administratora, to ten ponosi pełną odpowiedzialność za działania osób przez siebie upoważnionych, czy tych, które działają na jego rzecz i uzyskują dostęp do tych danych w związku z pełnieniem zadań czy funkcji w strukturach administratora. Tym samym również i po zakończeniu pełnienia przez uczestnika funkcji wiceprezydenta w Fundacji [...], za jego działania odpowiada administrator, a więc Fundacja. Pomimo zatem działania Fundacji [...] jako administratora, w imieniu której dane skarżącego przetwarzał uczestnik, jako osoby upoważnionej, to Fundacja [...] (a nie wskazany w skardze J.D.) jest odpowiedzialna za administrowane dane osobowe, w tym za operacje przetwarzania dokonywane przez osoby wchodzące w struktury fundacji. Wobec tego organ nadzorczy uznał, że nie może uczynić ze wskazanego przez skarżącego podmiotu (przedsiębiorcę prowadzącego biuro rachunkowe) administratora, wobec którego mógłby podjąć działania naprawcze wynikające z kompetencji PUODO. PUODO nie czyni ustaleń odnośnie do tego, który podmiot naruszył prawo do ochrony danych osobowych osoby wnoszącej skargę, aby wobec takiego podmiotu następnie prowadzić postępowanie, lecz rozpatruje skargi na działania konkretnych, wskazanych przez stronę skarżącą z nazwy i adresu siedziby podmiotów, które to prawo naruszyły. Określenie żądania - a więc również podanie administratora, wobec którego należy podjąć działania, jest wymaganym i istotnym elementem podania, w którym osoba, której dane dotyczą składa skargę na naruszenie jej danych osobowych, bowiem żądanie to wyznacza zakres sprawy. W skardze skarżący w sposób niebudzący wątpliwości organu określił, w odniesieniu do którego podmiotu domaga się wszczęcia i przeprowadzenia postępowania i podjęcia działań naprawczych. Prowadząc postępowanie administracyjne organ jest związany treścią skargi i nie ma podstaw do zmiany, w tym rozszerzenia przedmiotu prowadzonego postępowania według własnego uznania. Co więcej, w zakresie rozpatrywanej sprawy organ dostrzegł, że jej przedmiot koncentruje się na konflikcie personalnym między stronami, a zarzuty przedstawione przez skarżącego w skardze skierowane zostały względem osoby J.D., a nie Fundacji [...], która okazała się być rzeczywistym administratorem danych osobowych skarżącego w zakresie kwestionowanego procesu przetwarzania jego danych osobowych. Organ uznał więc, że dalsze prowadzenie postępowania przez PUODO, zainicjowane skargą, ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 58 ust. 2 RODO jest niezasadne. Uczestnik nie był administratorem danych osobowych skarżącego (a była nim Fundacja [...] z siedzibą w [...]), których przetwarzanie kwestionuje, a zatem prowadzenie postępowania w tym zakresie stało się bezprzedmiotowe i podlega umorzeniu na zasadzie art. 105 § 1 K.p.a. Z tym rozstrzygnięciem skarżący nie zgodził się i wywiódł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, wnosząc o uchylenie zaskarżonej decyzji oraz o zasądzenie kosztów postępowania. Zaskarżonej decyzji zarzucono: 1. naruszenie prawa materialnego tj. art. 50 RODO przez błędną wykładnię poprzez ustalenie, że skargę należało wnieść na działanie administratora tj. Fundacji [...] w [...], a nie J.D., jako osoby fizycznej - przetwarzającej te dane powiązanego kontraktowo z Fundacją, 2. naruszenie art. 50 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zwalczaniem przestępczości tj. niezgodne z prawem przetwarzanie danych osobowych poprzez błędne ustalenie, że skarżącemu nie przysługuje uprawnienie do złożenie skargi na niezgodne z prawem przetwarzanie danych osobowych lub zgłoszenie naruszenia przetwarzania danych osobowych dotyczącej osoby przetwarzającej te dane, co w przedmiotowej sprawie miało miejsce z uwagi na ustalenie przez skarżącego, że naruszenia tego dokonał J.D., a nie sam administrator, 3. naruszenie art. 7 K.p.a. jako fundamentalnej zasady postępowania administracyjnego polegającej na ustalenia w toku postępowania prawdy obiektywnej poprzez dokładne wyjaśnienie okoliczności faktycznych sprawy z uwagi na interes społeczny i słuszny interes skarżącego z uwagi na przyjęcie, że J..D dokonując upublicznienia zawiadomienia o uzasadnionym podejrzeniu popełnienia przestępstwa poprzez ujawnienie tych informacji prasie jak również wykraczając poza to zawiadomienie działał nie jako podmiot przetwarzający te dane, lecz członek zarządu administratora, przy czym w okresie składania zawiadomienia nie był już członkiem zarządu Fundacji, 4. naruszenie przepisów postępowania tj. art. 150 § 1 K.p.a. przez wydanie decyzji umarzającej postępowanie, jako rozstrzygnięcia formalnego nie dokonującego rozstrzygnięcia, co do istoty sprawy, z uwagi na fakt nieprawidłowego przetwarzania powierzonych danych osobowych przez J.D., któremu dane te powierzono do przetwarzania, jako prowadzącemu usługi [...], przez co nie doszło do rozstrzygnięcia, co do istoty sprawy, albowiem organ doszedł do przekonania, iż wskazana osoba była rzeczywistym administratorem. W uzasadnieniu skargi przedstawiono szczegółową argumentację na poparcie stawianych zarzutów. W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał swoje dotychczasowe stanowisko. PUODO ustosunkował się do zarzutów skargi podnosząc, iż są one częściowo niezrozumiałe, a częściowo pozbawione racji. W piśmie procesowym z dnia [...] lipca 2025 r. skarżący podtrzymał swoje stanowisko, zarzuty i wnioski skargi. Skarżący sprostował, że w zakresie zarzutu nr 4 doszło do oczywistej omyłki pisarskiej albowiem intencją skarżącego było zarzucenie organowi naruszenia art. 105 § 1 K.p.a. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267 ze zm.) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 ze zm., dalej, jako: P.p.s.a.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. W myśl art. 134 § 1 P.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Skarga podlegała oddaleniu, bowiem podjęte przez PUODO rozstrzygnięcie z dnia [...] kwietnia 2025 r. o umorzeniu postępowania, nie narusza prawa. Jak wynika z akt sprawy, sprawa niniejsza została zainicjowana skargą P.Z. z dnia [...] grudnia 2023 r., w której skarżący podniósł, że w okresie od [...] do [...] października 2022 r. uczestnik udostępnił informacje o wysokości zarobków i zasadach współpracy pracowników Fundacji [...] z siedzibą w [...], w tym skarżącego. Naruszenie to polegało na bezprawnym ujawnieniu prasie (dziennikarzowi Gazety [...]) i innym mediom treści zawiadomienia o przestępstwie, sporządzonego przez J.D. [...] września 2022 r. zawierającego dane poszczególnych osób zatrudnionych w fundacji wskazując ich z imienia i nazwiska, wysokości wynagrodzeń, premii, zajmowanego stanowiska. Podstawę skargi stanowił art. 77 ust. 1 RODO, zgodnie z którym bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie. Skarga do organu nadzorczego w trybie art. 77 ust. 1 RODO, jako pismo inicjujące postępowanie administracyjne w indywidualnej sprawie, stanowi "podanie" w rozumieniu art. 63 § 1 K.p.a. w związku z art. 7 u.o.d.o. Złożenie podania jest czynnością dyspozytywną wnioskodawcy. Obligatoryjnym elementem podania jest wskazanie żądania (art. 63 § 2 K.p.a.). Przy czym organ jest związany żądaniem, które wyznacza rodzaj i granice postępowania administracyjnego i nie jest uprawniony do swobodnego kształtowania treści żądania czy zmiany jego kwalifikacji prawnej (por. wyroki NSA: z dnia 7 maja 2020 r., sygn. akt I OSK 214/2010; z dnia 30 stycznia 2013r., sygn. akt II OSK 1812/11; z dnia 4 grudnia 2014 r., sygn. akt II OSK 2607/14; z dnia 24 lutego 2020 r., sygn. akt II OSK 3795/18; prawomocny wyrok WSA w Warszawie z dnia 14 października 2020 r., sygn. akt II SA/Wa 2829/19). W sytuacji, gdy treść skargi budzi wątpliwości, obowiązkiem organu, w świetle art. 64 § 2 K.p.a., jest wezwanie wnioskodawcy do jej sprecyzowania, pod rygorem przewidzianym w ww. przepisie. Treść skargi z dnia [...] grudnia 2023 r. jest jasna i nie wymagała sprecyzowania. Skarżący jednoznacznie wskazał administratora, wobec którego PUODO miałby podjąć działania prawem przewidziane – J.D.. Jasno wskazał więc podmiot, w stosunku do którego domaga się wszczęcia, prowadzenia postępowania i podjęcia działań naprawczych. Sąd nie może jednak zaakceptować bezpodstawnych twierdzeń skarżącego, jakoby J.D. jako osoba fizyczna, prowadzący działalność gospodarczą pod nazwą "D.", odpowiadał jako administrator za dane osobowe, do których uzyskał dostęp i przetwarzał w roli podmiotu przetwarzającego Fundacji [...]. Rację ma organ podając, że nie może uczynić ze wskazanego przez skarżącego podmiotu (przedsiębiorcę prowadzącego biuro rachunkowe) administratora, wobec którego mógłby podjąć działania naprawcze wynikające z kompetencji PUODO. Jak trafnie wyjaśnił organ, zgodnie z art. 4 pkt 7 RODO pojęcie "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Zgodnie natomiast z art. 5 ust. 2 RODO "Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie («rozliczalność»)". Jak zatem wynika z treści art. 5 ust. 1 RODO: "Dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą («zgodność z prawem, rzetelność i przejrzystość»); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami («ograniczenie celu»); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane («minimalizacja danych»); d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane («prawidłowość»); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą («ograniczenie przechowywania»); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych («integralność i poufność»)." Z kolei "podmiot przetwarzający" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora (art. 8 RODO). W świetle obu definicji (administratora i podmiotu przetwarzającego) zawartych w RODO różnica między obu podmiotami sprowadza się do stwierdzenie, kto decyduje o celu i sposobach przetwarzania danych (kto ustala cele i sposoby przetwarzania danych). Zauważyć dalej trzeba, że zgodnie z art. 17 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności: a) dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane; b) osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania; c) osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania; d) dane osobowe były przetwarzane niezgodnie z prawem; e) dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator; f) dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1. Natomiast stosownie do art. 12 ust. 3 RODO administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15 - 22. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba że osoba, której dane dotyczą, zażąda innej formy. Z powyższych regulacji wprost wynika, że adresatem żądania z art. 17 ust. 1 RODO jest administrator danych, a nie podmiot przetwarzający. Osoba, której dane dotyczą nie może żądać od podmiotu przetwarzającego realizacji tego obowiązku. Skoro natomiast z treści skargi skierowanej do PUODO wynika w sposób jednoznaczny, że skarga dotyczy podmiotu przetwarzającego, to organ prawidłowo wszczęte postępowanie umorzył, korzystając z art. 105 § 1 K.p.a. Uczestnik nie podlega obowiązkom przewidzianym w art. 17 RODO. Organ nie miał żadnych podstaw prawnych do modyfikacji żądania skarżącego. Uczestnik jako Przedsiębiorca nie dysponował własnym zbiorem danych, które przetwarzał, czynił to w ramach wykonywania przez niego funkcji wiceprezesa Fundacji [...] czyli administratora. Na marginesie wskazać trzeba, że mimo, iż w skardze do Sądu skarżący wskazuje, iż J.D. przetwarzał dane osobowe jako członek zarządu Fundacji [...] w siedzibą w [...] tj. administratora to twierdzenia te nie korespondują z treścią sformułowanej do PUODO skargi gdzie wyraźnie wskazano podmiot skarżony – J.D., a nie ww. Fundację. Odnosząc się do zarzutu skargi dotyczącego naruszenia art. 50 RODO wyjaśnić trzeba, iż powołany przepis odnosi się do międzynarodowej współpracy na rzecz ochrony danych osobowych. Zgodnie z tym przepisem: "Komisja i organy nadzorcze podejmują wobec państw trzecich i organizacji międzynarodowych odpowiednie działania na rzecz: a) wypracowania mechanizmów współpracy międzynarodowej ułatwiających skuteczne egzekwowanie przepisów o ochronie danych osobowych; b) zapewnienia wzajemnej pomocy międzynarodowej w egzekwowaniu przepisów o ochronie danych osobowych, w tym poprzez powiadomienia, przekazywanie skarg, pomoc w postępowaniu wyjaśniającym oraz wymianę informacji – z zastrzeżeniem odpowiednich zabezpieczeń ochrony danych osobowych i innych podstawowych praw i wolności; c) włączenia stosownych podmiotów, których sprawa dotyczy, w dyskusję i działalność mające na celu upowszechnianie międzynarodowej współpracy w dziedzinie egzekwowania przepisów o ochronie danych osobowych; d) upowszechniania wymiany i dokumentowania przepisów i praktyk w dziedzinie ochrony danych osobowych, w tym konfliktów jurysdykcyjnych z państwami trzecimi.". Przywołanie przez skarżącego ww. przepisu na tle rozpoznawanej sprawy jest niezrozumiałe i nie poddaje się kontroli instancyjnej. Podobnie sytuacja dotyczy zarzutu naruszenia art. 50 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zwalczaniem przestępczości, który kształtuje uprawnienie do wniesienia skargi na niezgodne z prawem przetwarzania danych osobowych lub zgłoszenie naruszenia przetwarzania danych osobowych. Słusznie organ zwrócił uwagę w odpowiedzi na skargę, że wskazana ustawa określa zasady i warunki ochrony danych osobowych przetwarzanych przez właściwe organy w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, w tym zagrożeń dla bezpieczeństwa i porządku publicznego, a także wykonywania tymczasowego aresztowania, kar, kar porządkowych i środków przymusu skutkujących pozbawieniem wolności. Tego rodzaju aspekty nie były przedmiotem rozstrzygania PUODO. Zdaniem Sądu nie doszło w rozpoznawanej sprawie do naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, w szczególności art. 7, art. 77 § 1 czy art. 107 § 3 K.p.a. Organ istotne dla rozstrzygnięcia sprawy okoliczności ustalił, mając na uwadze jasne żądanie skarżącego. Stanowisko swoje uzasadnił w sposób wystarczający i pozwalający na dokonanie kontroli legalności zaskarżonej decyzji. Z tych wszystkich względów, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 P.p.s.a., orzekł o oddaleniu skargi.