II SA/Wa 103/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Łukasz Krzycki, Asesor WSA Mateusz Rogala, , , po rozpoznaniu w trybie uproszczonym w dniu 17 czerwca 2025 r. sprawy ze skargi P. M. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2024 r. nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") postanowieniem z dnia [...] listopada 2024r. nr [...] na podstawie art. 61 a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t. j. Dz. U. z 2024 r. poz. 572) w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz.U. z 2019 r., poz. 1781 ze zm.), odmówił wszczęcia postępowania w sprawie Pana P. M., zamieszkałego w [...] przy ul. [...], dotyczącej wniosku o przeprowadzenie kontroli w podmiotach: [...] z siedzibą w [...] przy ul. [...] , [...] z siedzibą w [...] przy ul. [...], [...] z siedzibą w [...] przy ul. [...] oraz [...] z siedzibą w [...] przy ul. [...]. Wydaniu powyższego postanowienia towarzyszył następujący stan sprawy: We wniosku z dnia [...] października 2024r. skierowanym do Prezesa UODO P. M. (dalej: "Wnioskodawca", "Skarżący") wniósł o przeprowadzenie na podstawie art. 78 ust. 2 ustawy o ochronie danych osobowych (Dz.U. z 2019 poz. 1781 ze zm.) kontroli w siedzibie podmiotów [...], [...], [...] i [...] W uzasadnieniu wniosku Wnioskodawca wskazał, że istnieje bardzo duże prawdopodobieństwo, iż ww. instytucje administrują niezgodnie z prawem danymi osobowymi Wnioskodawcy. Ponadto wskazał, że nigdy nie był klientem powyższych spółek oraz nie wyrażał nigdy zgody na przetwarzanie danych osobowych przez te podmioty. Z informacji jakie posiada Wnioskodawca wynika, że jego dane zostały prawdopodobnie przekazane przez inny podmiot z grupy kapitałowej do której należą wymienione spółki. Wniósł również o przesłanie protokołu o którym mowa w art. 88 ww. ustawy – z danymi jakie podmioty te posiadają na temat Wnioskodawcy. W odpowiedzi na powyższy wniosek, Prezes PUODO w dniu [...] listopada 2024r. wydał postanowienie nr [...] którym odmówił wszczęcia postępowania w sprawie Wnioskodawcy dotyczącej przeprowadzenia kontroli w podmiotach [...] z siedzibą w [...] przy ul. [...], [...] z siedzibą w [...] przy ul. [...], [...] z siedzibą w [...] przy ul. [...] oraz [...] z siedzibą w [...] przy ul. [...]. W uzasadnieniu postanowienia Prezes PUODO wskazał, że zgodnie z art. 61 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (t. j. Dz. U. z 2024 r. poz. 572), zwanej dalej k.p.a., postępowanie administracyjne wszczyna się na żądanie strony lub z urzędu. Natomiast jak stanowi art. 61a § 1 k.p.a., gdy żądanie, o którym mowa w art. 61 k.p.a., zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. Zgodnie z art. 78 ust. 1 i 2 u.o.d.o. Prezes UODO przeprowadza kontrolę przestrzegania przepisów o ochronie danych osobowych. Kontrolę prowadzi się zgodnie z zatwierdzonym przez Prezesa UODO planem kontroli lub na podstawie uzyskanych przez Prezesa UODO informacji lub w ramach monitorowania przestrzegania stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej RODO. Kontrola przetwarzania danych osobowych należy zatem do działań podejmowanych przez Prezesa UODO wyłącznie z urzędu. Zgodnie natomiast z art. 88 u.o.d.o. przebieg czynności kontrolnych kontrolujący przedstawia w protokole kontroli. Protokół kontroli zawiera: wskazanie nazwy albo imienia i nazwiska oraz adresu kontrolowanego; imię i nazwisko osoby reprezentującej kontrolowanego oraz nazwę organu reprezentującego kontrolowanego; imię i nazwisko, stanowisko służbowe, numer legitymacji służbowej oraz numer imiennego upoważnienia kontrolującego, a w przypadku kontrolującego, o którym mowa w art. 79 ust. 1 pkt 2, imię i nazwisko, numer dokumentu potwierdzającego tożsamość oraz numer imiennego upoważnienia; datę rozpoczęcia i zakończenia czynności kontrolnych; określenie zakresu przedmiotowego kontroli; opis stanu faktycznego ustalonego w toku kontroli oraz inne informacje mające istotne znaczenie dla oceny zgodności przetwarzania danych z przepisami o ochronie danych osobowych; wyszczególnienie załączników; omówienie dokonanych w protokole kontroli poprawek, skreśleń i uzupełnień; pouczenie kontrolowanego o prawie zgłaszania zastrzeżeń do protokołu kontroli oraz o prawie odmowy podpisania protokołu kontroli; datę i miejsce podpisania protokołu kontroli przez kontrolującego i kontrolowanego. Protokół kontroli podpisuje kontrolujący i przekazuje kontrolowanemu w celu podpisania. Kontrolowany w terminie 7 dni od dnia przedstawienia protokołu kontroli do podpisu podpisuje go albo składa pisemne zastrzeżenia do jego treści. W przypadku złożenia zastrzeżeń, kontrolujący dokonuje ich analizy i w razie potrzeby, podejmuje dodatkowe czynności kontrolne, a w przypadku stwierdzenia zasadności zastrzeżeń zmienia lub uzupełnia odpowiednią część protokołu kontroli w formie aneksu do protokołu kontroli. W razie nieuwzględnienia zastrzeżeń w całości albo części, kontrolujący przekazuje kontrolowanemu informacje o tym wraz z uzasadnieniem. Brak doręczenia kontrolującemu podpisanego protokołu kontroli i niezgłoszenie zastrzeżeń do jego treści w terminie, o którym mowa w ust. 4, uznaje się za odmowę podpisania protokołu kontroli. O odmowie podpisania protokołu kontroli kontrolujący czyni wzmiankę w tym protokole, zawierającą datę jej dokonania. W przypadku, o którym mowa w ust. 7, wzmianki dokonuje się po upływie terminu, o którym mowa w ust. 4. Protokół kontroli sporządza się w postaci elektronicznej albo w postaci papierowej w dwóch egzemplarzach. Protokół kontroli kontrolujący doręcza kontrolowanemu. Z kolei z art. 77 ust 1 RODO stanowi, iż bez uszczerbku dla innych środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza to rozporządzenie. Prawa osoby, której dane dotyczą zostały zaś określone przede wszystkim w Rozdziale III RODO. Wśród nich są m.in. prawo do informacji o których mowa w art. 13 i 14 RODO, prawo dostępu do danych (art. 15), do ich sprostowania (art. 16), usunięcia (w tym "prawo do bycia zapominanym) (art. 17), do ograniczenia ich przetwarzania (art. 18), do wniesienia sprzeciwu wobec ich przetwarzania (art. 21), prawo przeniesienia danych (art. 20), prawo do niepodlegania decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu (art. 22 RODO). Katalog uprawnień naprawczych organu nadzorczego został ściśle określony w art. 58 ust. 2 RODO i jest on dla organu wiążący w zakresie prowadzonego przez niego postępowania dotyczącego określonego naruszenia ochrony danych osobowych. Prezes PUODO podkreślił, że w pierwszej kolejności organ rozpatrując wniosek o wszczęcie postępowania administracyjnego, ma obowiązek zbadać czy pochodzi on od podmiotu, który legitymuje się przymiotem strony. Stosownie do dyspozycji art. 28 k.p.a. stroną jest każdy, czyjego interesu prawnego lub obowiązku dotyczy postępowanie albo kto żąda czynności organu ze względu na swój interes prawny lub obowiązek. Uprawnienie to oparte jest na przepisach prawa materialnego i przysługuje jedynie podmiotom, których interesu prawnego lub obowiązku dotyczy postępowanie. O tym więc, czy dany podmiot posiada przymiot strony w konkretnym postępowaniu, decyduje norma prawna, z której dla tego podmiotu wynikają wprost określone prawa i obowiązki. Interes prawny pojawia się natomiast wówczas, gdy istnieje związek między obowiązującą normą prawa materialnego, a sytuacją prawną konkretnego podmiotu prawa, polegający na tym, że akt stosowania tej normy może mieć wpływ na sytuację tego podmiotu w zakresie prawa materialnego (tak też: wyrok NSA z dnia 2.06.1998r., sygn. akt IV SA 2164/97). Zaznaczyć należy, że w sferze kompetencji Prezesa UODO co prawda mieści się przeprowadzanie kontroli co do zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych przez określony podmiot, jednakże organ nie podejmuje tego rodzaju działań na wniosek osoby składającej skargę. Powyższa kwestia może być przedmiotem postępowania administracyjnego prowadzonego przez Prezesa UODO z urzędu. Podsumowując, Prezes PUODO wskazał, że w niniejszej sprawie zaistniały przesłanki z art. 61a § 1 k.p.a. które uniemożliwiając wszczęcie postępowania w sprawie indywidualnej. Wnioskodawca nie może być stroną postępowania kontrolnego i nie może domagać się od organu przeprowadzenia postępowania nakierowanego na sprawdzenie, który ze wskazanych przez niego podmiotów dopuścił się naruszenia w procesie przetwarzania jego danych osobowych. W związku z powyższym Prezes PUODO odmówił wszczęcia postępowania. Skarżący w dniu [...] grudnia 2024r. złożył do Wojewódzkiego Sądu Administracyjnego skargę na postanowienie Prezesa PUODO z dnia [...] listopada 2024r. w przedmiocie odmowy wszczęcia postępowania. W uzasadnieniu skargi wskazał, że Prezes UODO swoim zachowaniem uniemożliwia Skarżącemu ochronę jego praw zagwarantowanych przez ustawę o ochronie danych osobowych. W skutek czego podmioty rynku finansowego i nie tylko nie muszą stosować się do zapisów ww. ustawy, ponieważ jedyny organ przewidziany do egzekwowania ww. ustawy odmawia wszczęcia postępowania kontrolnego. Zdaniem Skarżącego, postanowienie Prezesa PUODO jest sprzeczne z "zasadą współżycia społecznego" i "zasadą słuszności", ponieważ jako organ uprzywilejowany w swojej pozycji i uprawnieniach odmawia udzielenia pomocy w wyegzekwowaniu praw Skarżącego przez podmiot nieuprzywilejowany – osoba fizyczna przeciwko dużej korporacji. Prezes PUODO w odpowiedzi na skargę wniósł o jej oddalenie. Wojewódzki Sad Administracyjny zważył co następuje : | | |Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2022 r. poz. 2492 ze | |zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta | |sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Sąd rozstrzyga w granicach danej sprawy, nie będąc | |jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną | |(art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi - t.j. Dz. U. z 2023 r. poz. 1634 | |ze zm.; dalej k.p.a.). | |W ocenie Sądu, analizowana pod tym kątem skarga P. M. nie zasługuje na uwzględnienie. Zaskarżone postanowienie nie narusza ani przepisów | |prawa materialnego ani przepisów postępowania administracyjnego w stopniu, który miałby wpływ na wynik sprawy. | |Zgodnie z art. 77 RODO bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane | |dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca | |pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze | |rozporządzenie. | |Prezesa UODO powołany jest wyłącznie do wypełniania zadań wynikających z RODO, a zatem m.in. rozstrzygania w kwestiach dotyczących | |legalności przetwarzania danych osobowych na skutek skarg wnoszonych przez osoby, których dane dotyczą. Zatem, wyłącznie kwestie | |dotyczące zgodności z prawem przetwarzania danych osobowych Skarżącego mogły być jak wynika z treści zaskarżonego postanowienia - | |przedmiotem oceny Prezesa UODO. | |Zaskarżone postanowienie zostało wydane na podstawie art. 61a § 1 k.p.a., który stanowi w sytuacji gdy żądanie, o którym mowa w art. 61, | |zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ | |administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. | |Przepis ten ustanawia dwie podstawy do odmowy wszczęcia postępowania: podmiotową – wniesienie podania przez osobę niebędącą stroną i | |przedmiotową – | |z innych uzasadnionych przyczyn postępowanie nie może być wszczęte. Obie te przyczyny uniemożliwiają w ogóle procedowanie w sprawie i | |załatwienie wniosku w formie decyzji administracyjnej. Przyczyny te muszą być znane organowi w chwili złożenia wniosku i być oczywiste. | |Na tym etapie postępowania organ bada jedynie kwestie formalne, tj. czy istnieją podstawy do wszczęcia postępowania w przedmiocie | |wniosku, nie podejmując analizy zasadności wniosku. | |Tak w orzecznictwie sądowoadministracyjnym jak i doktrynie akceptowana jest teza, że te inne przyczyny to przypadki pierwotnej | |bezprzedmiotowości postępowania, a więc przypadki, w których, np. sprawa nie ma charakteru administracyjnego albo sprawa administracyjna | |nie podlega załatwieniu w formie aktu administracyjnego, w tej samej sprawie postępowanie administracyjne już się toczy, gdy w tej | |sprawie zapadło już rozstrzygnięcie lub gdy w przepisach prawa brak jest podstawy materialnoprawnej do rozpatrzenia żądania w trybie | |administracyjnym (zob. B. Adamiak, Komentarz do art. 61a k.p.a. (w:) B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. | |Komentarz, Warszawa 2022, s. 317). Podkreśla się również, że odmowa wszczęcia postępowania na podstawie art. 61a § 1 k.p.a. "z innych | |uzasadnionych przyczyn" może mieć miejsce w sytuacjach oczywistych, niewymagających analizy sprawy, wtedy gdy "na pierwszy rzut oka" | |można stwierdzić, że brak jest podstaw do prowadzenia postępowania (vide: wyrok NSA z 22 maja 2015 r., sygn. akt II OSK 2671/13, LEX nr | |1982821). Organ nie może zatem ustalać stanu faktycznego sprawy bez formalnego wszczęcia postępowania, a następnie - po stwierdzeniu, że | |brak podstaw do prowadzenia postępowania - wydać postanowienia o odmowie jego wszczęcia "z innych uzasadnionych przyczyn" na podstawie | |art. 61 a § 1 k.p.a. (vide: wyrok WSA w Białymstoku z 10 września 2015 r., sygn. akt: II SA/Bk 429/15, LEX nr 1796627). Postanowienie o | |odmowie wszczęcia postępowania, wydane w trybie art. 61a § 1 k.p.a., ma zatem charakter rozstrzygnięcia formalnego, a nie merytorycznego | |(vide: wyrok WSA w Poznaniu z 6 września 2012 r., sygn. akt: IV SA/Po 332/12, LEX nr 1216728). | |W niniejszej sprawie Prezes UODO w trybie art. 61a k.p.a. odmówił wszczęcia postępowania w sprawie skargi P. M., z której wynikało, że | |Skarżący domaga się wszczęcia postepowania kontrolnego w stosunku do [...] z siedzibą w [...] przy ul. [...],[...] z siedzibą w [...] | |przy ul. [...],[...] z siedzibą w [...] przy ul. [...] oraz [...] z siedzibą w [...] przy ul. [...], z uwagi na istnieje bardzo dużego | |prawdopodobieństwo, iż ww. instytucje administrują niezgodnie z prawem danymi osobowymi Skarżącego. | |W ocenie Sądu Prezes UODO prawidłowo zastosował w niniejszej sprawie przepis art. 61a § 1 k.p.a. i odmówił wszczęcia postępowania | |administracyjnego w sprawie zainicjowanej wnioskiem skarżącego złożonym do organu o sprostowanie jego danych osobowych w dokumentach | |urzędowych wydawanych przez urzędy stanu cywilnego. | |Stosownie do art. 78 ust. 1 i 2 u.o.d.o. z dnia 10 maja 2018 r. Prezes UODO przeprowadza kontrolę przestrzegania przepisów o ochronie | |danych osobowych. Kontrolę prowadzi się zgodnie z zatwierdzonym przez Prezesa UODO planem kontroli lub na podstawie uzyskanych przez | |Prezesa UODO informacji lub w ramach monitorowania przestrzegania stosowania rozporządzenia 2016/679 (RODO). | |Z treści art. 78 ust. 2 w. ustawy wynika, że Prezes Urzędu może przeprowadzać trzy rodzaje kontroli: a) kontrole planowe - zgodnie z | |zatwierdzonym przez Prezesa UODO planem kontroli; b) kontrole doraźne - prowadzone na podstawie uzyskanych przez Prezesa UODO informacji;| |c) kontrole w ramach monitorowania przestrzegania stosowania przepisów RODO. | |Kontrola planowa przeprowadzana jest na podstawie planu kontroli, przy czym przepisy nie określają szczegółowych wymogów w tym zakresie, | |pozostawiając organowi swobodę, gdy chodzi o ukształtowanie planu kontroli, okresów, na jaki plan będzie przygotowywany i innych | |zagadnień związanych z planowaniem kontroli. Kontrola doraźna natomiast może zostać podjęta pomimo tego, że nie była przewidziana | |uprzednio w planie kontroli, ale organ nadzorczy uzyskał informacje stanowiące podstawę do wszczęcia kontroli. Tego rodzaju informacje | |pochodzić mogą ze źródeł powszechnie dostępnych (np. z prasy) lub od osób zainteresowanych (podmiotów danych i innych osób, które | |poinformują organ nadzorczy o nieprawidłowościach związanych z przetwarzaniem danych). Z kolei kontrola w ramach monitorowania | |przestrzegania stosowania przepisów RODO nie jest ujęta w planie kontroli, nie stanowi również kontroli doraźnej wszczętej w oparciu o | |pozyskane przez Prezesa UODO konkretne informacje. Jest to kontrola przeprowadzana w ramach bieżącej obserwacji Urzędu praktyk firm | |przetwarzających dane osobowe w celu wyrywkowego sprawdzania niektórych podmiotów. Kontrola ta ma na celu nie tylko wykrywanie | |niezgodności w kontrolowanych podmiotach, ale również budowanie świadomości co do istoty i wagi przetwarzania danych osobowych zgodnie z | |RODO. | |Z powyższego wynika, że uregulowana w ww. przepisach kontrola przetwarzania danych osobowych jest działaniem podejmowanym przez Prezesa | |UODO wyłącznie z urzędu, a nie na wniosek. | |Co istotne, postępowanie kontrolne jest postępowaniem szczególnym, które nie może być rozumiane jako postępowanie administracyjne sensu | |stricto, i w konsekwencji nie stosuje się do niego przepisów Kodeksu postępowania administracyjnego. Postępowanie administracyjne sensu | |stricto jest to postępowanie rozumiane jako kompleks przepisów prawnych regulujących działalność organów administracji publicznej w | |formie decyzji administracyjnej. Postępowanie kontrolne nie jest zakończone wydaniem decyzji administracyjnej rozstrzygającej sprawę, a | |jedynie protokołem kontroli opisującym przebieg i wyniki kontroli. Dopiero bowiem w zależności od wyników kontroli, postępowanie | |kontrolne może, ale nie musi kończyć się wszczęciem postępowania w sprawie naruszeń przepisów o ochronie danych osobowych, które jest już| |postępowaniem administracyjnym w indywidualnej sprawie, zakończonym wydaniem decyzji. | |To, że do kontroli Prezesa UODO nie mają zastosowania przepisy k.p.a. wynika jednoznacznie z art. 7 ust. 1 u.o.d.o. z dnia 10 maja 2018 | |r., zgodnie z którym w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych | |Osobowych, o których mowa w rozdziałach 4-7 i 11, stosuje się Kodeks postępowania administracyjnego. Ustawa ta wprost zalicza do | |postępowań administracyjnych, do których stosuje się k.p.a., jedynie postępowanie certyfikacyjne, w sprawie zatwierdzania kodeksu | |postępowania, w sprawie naruszeń przepisów o ochronie danych osobowych oraz kwestie nakładania administracyjnych kar pieniężnych. Trafnie| |zatem wskazano w zaskarżonym postanowieniu, że postępowanie kontrolne nie jest postępowaniem administracyjnym wszczynanym na wniosek. O | |wszczęciu postępowaniu z urzędu decyduje samodzielnie właściwy organ w przeciwieństwie do sytuacji, gdy postępowanie administracyjne | |wszczynane jest na wniosek (por. wyroki NSA z dnia 16 maja 2023 r. sygn. akt II OSK 1519/20; z dnia 9 lutego 2018 r. sygn. akt II OSK | |1368/19; publ. CBOSA). Żądanie wszczęcia postępowania z urzędu nie wiąże organu i nie wywołuje żadnych skutków prawnych. Działanie organu| |z urzędu, wbrew stanowisku Skarżącej, nie jest obowiązkiem organu. W sytuacji gdy organ nie dostrzega podstaw do wszczęcia postępowania z| |urzędu, brak jest środków procesowych pozwalających na zmuszenie organu administracji do podjęcia działań (por. wyrok NSA z dnia 3 | |kwietnia 1998 r, sygn. akt. III SA 408/97; publ. CBOSA). | |Biorąc powyższe pod rozwagę, działając na podstawie art. 151 p.p.s.a., Sąd skargę oddalił uznając, że Prezes UODO słusznie przyjął, że | |Skarżący nie może inicjować wszczęcia postepowania kontrolnego, które prowadzone jest z urzędu na ponadto nie może być stroną | |postępowania kontrolnego . | | | | |