II SA/Wa 222/25
WyrokWSA w Warszawie2025-10-20
Skład orzekający: Danuta Kania, Ewa Marcinkowska, Arkadiusz Koziarski
Analiza orzeczenia
Sekcja wygenerowana przez AI na podstawie treści orzeczenia — nie stanowi cytatu.
Zagadnienie prawne
Czy Prezes Urzędu Ochrony Danych Osobowych (UODO) prawidłowo odmówił wszczęcia postępowania administracyjnego na podstawie art. 61a § 1 k.p.a. w sytuacji, gdy skarżący domagali się nałożenia kar pieniężnych, zawiadomienia prokuratury o możliwości popełnienia przestępstwa, zabezpieczenia dokumentów i zaprzestania ich przetwarzania w związku z rzekomym bezprawnym przetwarzaniem danych osobowych przez osobę fizyczną i zaniedbaniami sądu?Ratio decidendi
Sąd uznał, że Prezes UODO prawidłowo odmówił wszczęcia postępowania, ponieważ żądania skarżących (nałożenie kar, zawiadomienie prokuratury, zabezpieczenie dokumentów) wykraczały poza zakres kompetencji organu w postępowaniu zainicjowanym skargą osoby, której dane dotyczą. Organ ochrony danych osobowych nie jest właściwy do oceny czynności sądów w ramach sprawowania wymiaru sprawiedliwości (art. 55 ust. 3 RODO), nie jest uprawniony do orzekania o odpowiedzialności karnej ani do nakazywania zwrotu dokumentów. Ponadto, organ jest związany zakresem żądania strony i nie może go modyfikować, a żądania skarżących dotyczące kar pieniężnych i zawiadomienia prokuratury należą do autonomicznych kompetencji Prezesa UODO lub wymagają inicjatywy samego skarżącego.Stan faktyczny
Skarżący wnieśli skargę na postanowienie Prezesa Urzędu Ochrony Danych Osobowych (UODO) o odmowie wszczęcia postępowania. Skarga dotyczyła rzekomego bezprawnego przetwarzania danych osobowych spółki przez osobę fizyczną S. K. oraz zaniedbań Sądu Rejonowego, który zwrócił tej osobie dokumenty zawierające dane. Skarżący domagali się nałożenia kar pieniężnych, zawiadomienia prokuratury o popełnieniu przestępstw, zabezpieczenia dokumentów i zaprzestania ich przetwarzania. Prezes UODO odmówił wszczęcia postępowania, wskazując na brak właściwości organu do oceny czynności sądów, brak kompetencji do orzekania o odpowiedzialności karnej i nakazywania zwrotu dokumentów, a także na autonomiczny charakter decyzji o nałożeniu kar pieniężnych.Rozstrzygnięcie
Oddalono skargę S. F. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych.Pełny tekst orzeczenia
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania (spr.), Sędzia WSA Ewa Marcinkowska, Sędzia WSA Arkadiusz Koziarski, po rozpoznaniu w trybie uproszczonym w dniu 20 października 2025 r. sprawy ze skargi S. F. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2024 r. nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę
Przedmiotem skargi S. F. (fdalej: "Skarżący") jest postanowienie Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") z dnia [...] grudnia 2024 r. nr [...], mocą którego organ na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2024 r. poz. 572), dalej "k.p.a.", w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781), dalej: "u.o.d.o. z 2018", odmówił wszczęcia postępowania administracyjnego w sprawie skargi S. F. oraz J. Z. (dalej: uczestnik postępowania) na naruszenia przepisów o ochronie danych osobowych przez S. K., który cyt.: "bezprawnie przetwarza dane osobowe spółki [...] Sp. z o.o.", oraz na zaniedbania Sądu Rejonowego w [...], który dopuścił się przekazania tych danych, stanowiących dowody w sprawie prowadzonej przed Sądem Okręgowym w [...] w sprawie o sygn. akt [...], osobie nieuprawnionej.
W uzasadnieniu postanowienia organ wskazał, że w dniu 10 września 2024 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga S. F. oraz J. Z. na naruszenia przepisów o ochronie danych osobowych przez S. K., który: "bezprawnie przetwarza dane osobowe spółki [...] sp. z o.o.", oraz na zaniedbania Sądu Rejonowego w [...], który dopuścił się przekazania tych danych, stanowiących dowody w sprawie prowadzonej przed Sądem Okręgowym w [...] w sprawie o sygn. akt [...], osobie nieuprawnionej.
Wnoszący skargę wskazali, że: "w dniu [...] czerwca 2024 r. doszło do ujawnienia danych osobowych w ramach sprawy o sygnaturze akt [...], prowadzonej przez Sąd Rejonowy w [...]. Zgodnie z zarządzeniem Sędziego z dnia [...] czerwca 2024 r. zwrócono S. K. dokumentację finansowo-księgową firmy [...] Sp. z o. o. z siedzibą w [...] za lata 2013-2015 r. w postaci: [...]. Wcześniej, w dniu 1 lipca 2020 r., Sąd wydał postanowienie o wydaniu dokumentacji bezprawnie przetrzymywanej przez S. K. na potrzeby opracowania opinii finansowej Spółki. (...) Skarżący wskazywali Sądowi, że S. K. jest w posiadaniu dokumentacji Spółki jako osoba nieuprawniona. (...) W dniu [...] sierpnia 2024 r. Skarżący zwrócili się do Sądu o szczegółowe wyjaśnienia dotyczące zaistniałej sytuacji. W dniu [...] września 2024 r. Sąd zignorował i zlekceważył żądanie Skarżących odmawiając uzasadnienia tej sytuacji (...). Niniejsza skarga dotyczy rażącego naruszenia przepisów o ochronie danych osobowych przez S. K. oraz zaniedbań ze strony Sądu Rejonowego w [...], który przekazał dane osobowe zawarte w dokumentach spółki [...] Sp. z o.o. osobie nieuprawnionej wiedząc o tym, że Skarżący toczą z S. K. wieloletnie spory dotyczące wydania dokumentacji Spółki. Pomimo tego Sąd zdecydował się na zwrot dokumentacji Spółki przestępcy. S. K. nie posiada żadnej podstawy prawnej do przetwarzania danych osobowych zawartych w dokumentach spółki [...] Sp. z o.o., które zostały mu przekazane przez Sąd Rejonowy w [...] w dniu [...] czerwca 2024 r. Dokumenty te zawierają dane osobowe pracowników, wspólników oraz kontrahentów spółki, w tym dane wrażliwe oraz tajemnicę handlową, skarbową i finansową spółki".
Skarżący wnieśli o nałożenie kary pieniężnej na S. K. oraz Sąd Rejonowy w [...], zobowiązanie Prezesa UODO do zawiadomienia Prokuratury Rejonowej w [...] o możliwości popełnienia przestępstw, o których mowa w art. 107 u.o.d.o. z 2018 r. oraz art. 267 i art. 231 Kodeksu karnego, zabezpieczenie dokumentów zawierających dane osobowe i zobowiązanie S. K. do zaprzestania ich przetwarzania.
Uwzględniając powyższe organ wskazał, że Skarżący kwestionują posługiwanie się przez skarżoną przez nich osobę fizyczną "danymi osobowymi spółki", na którą składają się dokumenty zawierające "dane osobowe pracowników, wspólników oraz kontrahentów spółki, w tym dane wrażliwe oraz tajemnicę handlową, skarbową i finansową spółki". Zdaniem Skarżących, wskazana przez nich osoba bezprawnie przechowuje ww. dokumenty. Ww. osoba została wezwana przez Sąd do okazania ww. dokumentów biegłemu. Następnie Sąd zarządził zwrot ww. dokumentów. Skarżący uznali, że działanie Sądu polegające na zwrocie dokumentów osobie, która ich zdaniem przechowuje je bezprawnie, stanowiło zaniedbanie Sądu.
Skarżący zwrócili się do Prezesa UODO o nałożenie administracyjnych kar pieniężnych na wskazane podmioty, złożenie stosownego zawiadomienia o możliwości popełnienia przestępstwa oraz o zabezpieczenie dokumentów zawierających dane osobowe i zobowiązanie wskazanej osoby fizycznej do natychmiastowego zaprzestania ich przetwarzania.
Następnie organ powołał art. 61a § 1 k.p.a. wskazując, że odmowa wszczęcia postępowania "z innych uzasadnionych przyczyn", o których mowa w ww. przepisie, może mieć miejsce w sytuacjach oczywistych, niewymagających analizy sprawy i przeprowadzenia dowodów, tj. gdy "na pierwszy rzut oka" można stwierdzić, że brak jest podstaw do prowadzenia postępowania.
Zaznaczył, iż w postępowaniu dotyczącym ochrony danych osobowych, to osoba, której dane dotyczą, określa w podaniu skierowanym do organu nadzorczego przedmiot swojej skargi, podmiot, którego działanie lub zaniechanie stanowi naruszenie przepisów o ochronie danych osobowych oraz określa żądanie wskazując jakiego działania oczekuje od organu w stosunku do danego podmiotu. Organ nie ma uprawnień do zmiany zakresu tak sformułowanego podania. O tym bowiem jaka jest treść żądania strony w postępowaniu administracyjnym decyduje strona, a nie organ, do którego żądanie zostało skierowane. Innymi słowy, organ jest związany treścią żądania strony i tylko strona jest uprawniona do zmiany żądania wskazanego we wniosku.
Organ podkreślił, że prawa osoby, której dane dotyczą, zostały określone przede wszystkim w Rozdziale III rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46A/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., s. 35), dalej: "RODO". Wśród nich są: prawo do przejrzystej komunikacji z administratorem danych (art. 12), prawo do informacji (art. 13, art. 14 i art. 15), prawo dostępu do danych i uzyskania ich kopii (art. 15 ust. 1 i 3), prawo do sprostowania danych (art. 16), prawo do ich usunięcia, w tym "prawo do bycia zapominanym" (art. 17), prawo do ograniczenia przetwarzania danych (art. 18), prawo przeniesienia danych (art. 20), prawo do wniesienia sprzeciwu wobec ich przetwarzania (art. 21), a także prawo do niepodlegania decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu (art. 22).
Organ wskazał, że Skarżący nie sformułowali jednak w tym zakresie oczekiwań względem Prezesa UODO. Wprawdzie w zakresie uprawnień przysługujących Prezesowi UODO znajduje się nakładanie administracyjnych kar pieniężnych, jednak decyzja o zastosowaniu tego środka naprawczego w postępowaniu administracyjnym należy wyłącznie do kompetencji Prezesa UODO (art. 58 ust. 2 lit. i RODO). Osoba składająca skargę nie może żądać od Prezesa UODO nałożenia kary pieniężnej na administratora w postępowaniu zainicjowanym jej skargą. Oznacza to, że żądanie Skarżących dotyczące nałożenia administracyjnych kar pieniężnych nie należy do żądań realizowanych na wniosek osoby, której dane dotyczą.
Organ podniósł również, iż do jego kompetencji należy rozstrzyganie spraw dotyczących naruszenia ochrony danych osobowych, a w zakresie skarg osób indywidualnych - spraw dotyczących naruszenia ich praw wynikających z ww. przepisów. Żaden przepis RODO, ani u.o.d.o. z 2018 r. nie uprawnia Prezesa UODO do wydawania nakazów dotyczących nośników danych. Powołane akty prawne nie zawierają również przepisów mogących stanowić dla osoby, której dane dotyczą, podstawę do żądania wszczęcia postępowania przed Prezesem UODO w przedmiocie nakazania zwrotu dokumentów i innych nośników zawierających dane osobowe. Prezes UODO uprawniony jest do dokonywania oceny legalności dysponowania danymi osobowymi osoby, której dane dotyczą - nie zaś nośnikami, na których dane te zostały utrwalone (np. dokumentami, dyskami, pieczątkami).
Organ zaznaczył, że kwestia odpowiedzialności karnej za popełnienie przestępstw wskazanych w art. 107 u.o.d.o. z 2018, jak również wynikających z przepisów Kodeksu karnego, jest przedmiotem postępowania prowadzonego na podstawie przepisów ustawy z dnia 6 czerwca 1997 r. Kodeks postępowania karnego (Dz.U. z 2024 r., poz. 37), dalej: "k.p.k.". Zgodnie z art. 304 § 1 k.p.k., zawiadomienie o możliwości popełnienia przestępstwa składa się do prokuratury lub Policji.
Prezes UODO nie jest uprawniony do orzekania o odpowiedzialności karnej, kończenia prowadzonego postępowania poprzez skierowanie w formie decyzji administracyjnej zawiadomienia do organów ścigania o popełnieniu przestępstwa, czy rozstrzygania w decyzji o odpowiedzialności karnej. Ewentualne skierowanie przez Prezesa UODO zawiadomienia o popełnieniu przestępstwa następuje poprzez wystąpienie do organu właściwego do wszczęcia postępowania karnego w danej sprawie, przy czym jako należące do autonomicznych kompetencji organu realizowane jest ewentualnie z urzędu, nie zaś na wniosek osób zainteresowanych.
Prawa, lub w określonych sytuacjach obowiązku, o którym mowa w art. 304 § 1 k.p.k. (zawiadomienie o popełnieniu przestępstwa), nie można scedować na organ poprzez jego zawiadomienie. Zwłaszcza w sytuacji, w której osoba zawiadamiająca ma pełne informacje na ten temat, w tym nieznane urzędowi, i jest przekonana co do zaistnienia przesłanek popełnienia czynu wyczerpującego znamiona przestępstwa. Jeżeli zatem, zdaniem Skarżących, w wyniku działania wskazanych podmiotów, doszło do wypełnienia przesłanek czynu zabronionego, mogą oni samodzielnie wystąpić z takim zawiadomieniem do właściwego organu, gdyż jako osoby bezpośrednio zainteresowane posiadają pełne informacje w tym zakresie.
Organ podkreślił, iż Prezes UODO nie jest również uprawniony do oceny czy Sąd Rejonowy w [...] prawidłowo zwrócił dokumentację spółki [...] sp. z o. o. osobie, która je okazała, w związku z postępowaniem o sygn. akt [...].
Powołał przy tym art. 55 ust. 3 RODO, zgodnie z którym organy nadzorcze nie są właściwe do nadzorowania operacji przetwarzania dokonywanych przez sądy w ramach sprawowania przez nie wymiaru sprawiedliwości. Podstawowym celem wyłączenia właściwości organu nadzorczego w tym zakresie jest ochrona niezawisłości sądów. Wykonywanie przez organ właściwy w sprawach ochrony danych nadzoru nad przetwarzaniem danych w zakresie orzekania mogłoby stanowić niedopuszczalną ingerencję w działalność orzeczniczą. Odwołując się do poglądów orzecznictwa Prezes UODO wskazał, że organ nadzorczy nie jest organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, służb czy sądów, których orzeczenia podlegają ocenom w toku instancji czy w inny sposób określony odpowiednimi procedurami.
Podsumowując Prezes UODO wskazał, że w świetle powołanych okoliczności zobligowany jest, na podstawie art. 61a § 1 k.p.a., do wydania postanowienia o odmowie wszczęcia postępowania. Żądanie Skarżących sprowadza się bowiem do wniosku o nałożenie na wskazane podmioty administracyjnej kary pieniężnej oraz zabezpieczenie dokumentów - a więc odpowiednio do działań podejmowanych wyłącznie z urzędu (w zakresie nałożenia kar administracyjnych) oraz niezwiązanych z realizacją praw osób, których dane dotyczą, o których mowa w rozdziale III RODO.
Pismem z dnia 8 stycznia 2025 r. S. F. i J. Z. wnieśli do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższe postanowienie Prezesa UODO z dnia [...] grudnia 2024 r. zarzucając:
- niewłaściwe zastosowanie art. 61a § 1 k.p.a. w sytuacji, gdy organ odmówił wszczęcia postępowania powołując się na brak przesłanek, mimo że Skarżący jako osoby, których dane dotyczą, mają status strony postępowania, a zarzuty były konkretne i udokumentowane,
- zaniechanie realizacji obowiązków z art. 58 ust. 2 RODO w sytuacji, gdy organ zignorował spoczywające na nim obowiązki w zakresie podejmowania działań naprawczych, w tym nakazania ograniczenia przetwarzania danych i ukarania administratora za naruszenie ochrony danych osobowych,
- naruszenie zasady poufności i integralności danych (art. 5 ust. 1 lit. f RODO) polegające na zaniechaniu podjęcia działań w sytuacji, gdy doszło do bezprawnego przetwarzania danych osobowych prowadzącego do ryzyka nieodwracalnych szkód,
- brak analizy ryzyka i skutków naruszenia danych (art. 32 RODO) w sytuacji, gdy Prezes UODO nie przeanalizował skutków udostępnienia danych pracowników, kontrahentów i Skarżących osobom nieuprawnionym, mimo że jest to jego podstawowy obowiązek,
- brak należytego uzasadnienia decyzji (art. 107 § 3 k.p.a.) w sytuacji, gdy uzasadnienie odmowy wszczęcia postępowania jest ogólnikowe, nieprecyzyjne i nie odnosi się do dowodów przedstawionych przez Skarżących, co narusza zasadę rzetelności postępowania,
- naruszenie art. 7 i art. 8 k.p.a. w sytuacji, gdy organ zaniechał podjęcia działań, mimo że dowody wskazują na bezprawne przetwarzanie danych, co powoduje naruszenie obowiązku działania na podstawie i w granicach prawa oraz podważa zaufanie obywateli,
- naruszenie art. 8 Karty Praw Podstawowych UE oraz art. 45 Konstytucji Rzeczypospolitej Polskiej poprzez brak działań w sytuacji naruszenia ochrony danych, co stanowi naruszenie prawa do ochrony danych osobowych i prawa do rzetelnego postępowania,
- naruszenie orzecznictwa TSUE (C-311/18, Schrems II) w sytuacji, gdy Trybunał Sprawiedliwości UE wskazał, że organy nadzorcze muszą działać szybko i skutecznie w sytuacjach naruszenia ochrony danych, zaś organ zignorował ten obowiązek, co stanowi bezpośrednie naruszenie prawa unijnego.
W związku z powyższymi zarzutami Skarżący wnieśli o:
- uchylenie zaskarżonej decyzji jako rażąco naruszającej przepisy prawa krajowego i unijnego,
- zobowiązanie Prezesa UODO do wszczęcia postępowania administracyjnego w sprawie bezprawnego przetwarzania danych osobowych przez S. K. oraz Sąd Rejonowy w [...], w tym weryfikacji naruszenia art. 5 ust. 1 lit. f oraz art. 32 RODO,
- zasądzenie na rzecz Skarżących kosztów postępowania w wysokości po 5.000,00 zł,
- zobowiązanie Prezesa UODO do podjęcia działań naprawczych, w szczególności: ograniczenia przetwarzania danych osobowych przez osoby nieuprawnione; zabezpieczenia dokumentów zawierających dane osobowe pracowników, kontrahentów oraz wspólników spółki [...] sp. z o.o., nakazania administratorom danych wdrożenia odpowiednich środków technicznych i organizacyjnych ochrony danych zgodnie z art. 32 RODO.
- podjęcie działań zmierzających do pociągnięcia Prezesa UODO do odpowiedzialności za rażące zaniedbania w realizacji jego ustawowych obowiązków, w tym naruszenie art. 7 i art. 8 k.p.a. oraz art. 58 ust. 2 RODO.
W motywach skargi wskazano w szczególności, że jako wspólnicy spółki [...] sp. z o.o., której dane osobowe zostały bezprawnie przekazane osobie nieuprawnionej – S. K., Skarżący mają bezpośredni interes prawny wynikający z art. 28 k.p.a. oraz art. 8 Karty Praw Podstawowych UE. Interes ten dotyczy zarówno ochrony danych osobowych Spółki, jak i ochrony danych pracowników oraz kontrahentów, których prawa zostały naruszone w wyniku zaniechań Prezesa UODO. Istnienie interesu prawnego Skarżących w niniejszej sprawie było oczywiste, co obligowało Prezesa UODO do wszczęcia postępowania administracyjnego w celu wyjaśnienia naruszeń oraz zastosowania środków naprawczych.
Zgodnie art. 58 ust. 2 RODO organ miał obowiązek podjęcia działań takich jak:
nakazanie ograniczenia przetwarzania danych osobowych (lit. b) w celu zapobieżenia dalszemu naruszaniu praw osób, których dane dotyczą; nakazanie usunięcia stwierdzonych naruszeń technicznych i organizacyjnych (lit. d); przeprowadzenie analizy ryzyka, w tym zbadanie skutków naruszenia dla osób, których dane dotyczą; nakazanie wdrożenia adekwatnych środków ochrony technicznej i organizacyjnej, aby zapobiec dalszym naruszeniom.
Zaznaczono, że w sytuacji bezprawnego przekazania danych osobowych osobie nieuprawnionej – S. K., skutki zaniechania organu zwiększają ryzyko ich nieuprawnionego wykorzystania w przyszłości. Z kolei zaniedbanie tych obowiązków jest równoznaczne z przyzwoleniem na eskalację naruszenia i zwiększenie ryzyka dla osób, których dane zostały udostępnione.
Nadto wskazano, że uzasadnienie zaskarżonej decyzji Prezesa UODO jest ogólnikowe, niepełne i pozbawione odniesienia się do przedstawionych dowodów oraz zarzutów Skarżących, co czyni tę decyzję arbitralną i niezgodną z zasadami postępowania administracyjnego. Prezes UODO nie odniósł się do kluczowych elementów sprawy, w szczególności: dowodów wskazujących na bezprawne przetwarzanie danych osobowych - w tym przekazania danych osobie nieuprawnionej; podstaw prawnych odmowy wszczęcia postępowania, które musiałyby jednoznacznie wskazywać brak interesu prawnego strony, co w tej sprawie jest ewidentnie nieprawdziwe; obowiązków organu wynikających z RODO, takich jak konieczność podjęcia działań naprawczych w przypadku stwierdzenia naruszeń.
Podkreślono, że brak szczegółowego uzasadnienia zaskarżonej uniemożliwia Skarżącym skuteczne zakwestionowanie decyzji oraz narusza ich prawo do ochrony prawnej. Takie postępowanie Prezesa UODO stoi w sprzeczności z zasadą zaufania obywateli do organów administracji (art. 8 k.p.a.) oraz z zasadą legalizmu (art. 7 k.p.a.). Decyzja podjęta bez należytego uzasadnienia jest nie tylko niezgodna z przepisami, ale również wskazuje na brak profesjonalizmu i odpowiedzialności organu nadzorczego.
Podniesiono również, że obowiązki organów nadzorczych wynikające z wyroku TSUE z dnia 16 lipca 2020 r., sygn. akt C-311/18 (Schrems II) obejmują: podjęcie działań naprawczych w przypadku stwierdzenia naruszeń ochrony danych osobowych; zapewnienie skuteczności systemu ochrony danych osobowych poprzez podejmowanie działań zgodnych z przepisami prawa unijnego; zapobieganie eskalacji zagrożeń dla osób, których dane dotyczą, poprzez natychmiastową reakcję na naruszenia. Decyzja Prezesa UODO, polegająca na odmowie wszczęcia postępowania administracyjnego, ignoruje te obowiązki, co prowadzi do osłabienia skuteczności systemu ochrony danych osobowych w Polsce oraz podważa zgodność działań organu z prawem unijnym.
W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie podtrzymując stanowisko jak w uzasadnieniu ww. postanowienia.
W piśmie procesowym z dnia 2 kwietnia 2025 r. Skarżący podtrzymali zarzuty skargi. Podnieśli w szczególności, że organ nadzorczy bezpodstawnie odmówił wszczęcia postępowania w sprawie w sytuacji, gdy z treści skargi jasno wynikało, że dane osobowe pracowników, wspólników, kontrahentów i członków organu [...] Sp. z o.o. zostały bezprawnie przejęte, przetwarzane i udostępniane przez osobę trzecią – S. K., który nie miał do tego żadnego upoważnienia. Organ pominął przy tym masowy charakter naruszenia danych osobowych redukując sprawę do jednostkowego konfliktu, co jest nie do pogodzenia z zadaniami organu nadzorczego określonymi w art. 57 ust. 1 lit. a i f RODO. Organ powinien był ustalić skalę naruszenia, zażądać wykazu osób, których dane znajdowały się w dokumentach, przeanalizować jakie dane były przetwarzane, komu udostępniane i w jakim zakresie, Organ nie przeprowadził jakichkolwiek czynności, które pozwoliłyby ocenić ryzyko i zakres szkody, co jest sprzeczne z art. 33 ust. 1 i 2 RODO oraz z motywami 85 i 87 preambuły RODO. Organ nie podjął również żadnych czynności wyjaśniających w sprawie, czym naruszył art. 58 ust. 1 lit. a - f RODO. Ponadto, przez ponad trzy miesiące organ pozostawał w bezczynności, co stanowiło realne zagrożenie dla osób, których dane zostały ujawnione. Organ zignorował również interes publiczny redukując sprawę do "interesu prawnego" dwóch osób pomimo tego, że naruszenie miało charakter systemowy, długotrwały i obejmowało szeroki krąg osób.
Uwzględniając powyższe Skarżący wnieśli o: uchylenie zaskarżonego postanowienia; zobowiązanie Prezesa UODO do wszczęcia postępowania administracyjnego z urzędu; przeprowadzenie czynności dowodowych oraz ustalenie skali, zakresu i skutków naruszenia przetwarzania danych przez osobę nieuprawnioną.
Postanowieniem z dnia 6 maja 2025 r. sygn. akt II SA/Wa 222/25 Wojewódzki Sąd Administracyjny w Warszawie odrzucił skargę J. Z. wobec nieuzupełnienia braków fiskalnych skargi.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267 ze zm.), dalej: "p.u.s.a." oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 ze zm.), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej.
W myśl art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2).
Skarga podlegała oddaleniu, bowiem zaskarżone postanowienie Prezesa UODO z dnia [...] grudnia 2024 r. o odmowie wszczęcia postępowania administracyjnego nie narusza prawa.
Podstawę prawną postanowienia stanowił art. 61a § 1 k.p.a., zgodnie z którym, gdy żądanie wszczęcia postępowania administracyjnego w danej sprawie zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania.
Ustawodawca w art. 61a § 1 k.p.a. wprowadził dwie samodzielne i niezależne przesłanki wydania postanowienia o odmowie wszczęcia postępowania. Pierwszą z nich jest wniesienie podania przez osobę, która nie jest stroną, a drugą zaistnienie innych uzasadnionych przyczyn uniemożliwiających wszczęcie postępowania. Przyczyn tych ustawa nie konkretyzuje, natomiast należy przez nie rozumieć sytuacje, które w sposób oczywisty, przy pierwszym zestawieniu zakresu żądania wniosku z obowiązującym stanem prawnym, stanowią przeszkodę do wszczęcia postępowania. Taki przypadek zachodzi w szczególności gdy: żądanie dotyczy sprawy, która nie podlega załatwieniu w formie decyzji administracyjnej, żądanie wniesiono w sprawie rozstrzygniętej już decyzją lub w której toczy się postępowanie przed właściwym organem administracji, żądanie wniesiono po upływie terminu określonego w ustawie dla dochodzenia określonych praw, a także w sytuacji, gdy brak jest podstawy materialnoprawnej do rozpatrzenia żądania w trybie administracyjnym.
Powyższe stanowisko znajduje potwierdzenie w orzecznictwie sądów administracyjnych gdzie podkreśla się, że odmowa wszczęcia postępowania na podstawie art. 61a § 1 k.p.a. "z innych uzasadnionych przyczyn" może mieć miejsce w sytuacjach oczywistych, tj. gdy "na pierwszy rzut oka" można stwierdzić, że brak jest podstaw do prowadzenia postępowania administracyjnego i merytorycznego rozstrzygnięcia sprawy (por. wyroki NSA: z dnia 26 lutego 2020 r., sygn. akt I OSK 2205/17; z dnia 20 listopada 2017 r., sygn. akt II GSK 1706/17; publ. CBOSA). Postanowienie o odmowie wszczęcia postępowania jest bowiem orzeczeniem formalnym, a nie merytorycznym - nie rozstrzyga sprawy co do jej istoty (por. wyroki NSA: z dnia 8 marca 2017 r., sygn. akt II OSK 2600/16, z dnia 28 kwietnia 2020 r. sygn. akt I OSK 135/19; publ. CBOSA).
W niniejszej sprawie organ zasadnie odmówił wszczęcia postępowania z powołaniem się na omawiany przepis. Brak było bowiem podstaw do wszczęcia i prowadzenia postępowania administracyjnego w sytuacji, gdy żądanie skargi z dnia 10 września 2024 r. nie mogło prowadzić do wydania merytorycznego rozstrzygnięcia w sprawie.
Wskazać przy tym należy, że podstawę skargi stanowił art. 77 ust. 1 RODO, zgodnie z którym bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.
Skarga do organu nadzorczego w trybie art. 77 ust. 1 RODO, jako pismo inicjujące postępowanie administracyjne w indywidualnej sprawie, stanowi "podanie" w rozumieniu art. 63 § 1 k.p.a. w związku z art. 7 u.o.d.o. Złożenie podania jest czynnością dyspozytywną wnioskodawcy. Obligatoryjnym elementem podania jest wskazanie żądania (art. 63 § 2 k.p.a.). Przy czym organ jest związany żądaniem, które wyznacza rodzaj i granice postępowania administracyjnego i nie jest uprawniony do swobodnego kształtowania treści żądania czy zmiany jego kwalifikacji prawnej (por. wyroki NSA: z dnia 7 maja 2020 r., sygn. akt I OSK 214/2010; z dnia 30 stycznia 2013r., sygn. akt II OSK 1812/11; z dnia 4 grudnia 2014 r., sygn. akt II OSK 2607/14; z dnia 24 lutego 2020 r., sygn. akt II OSK 3795/18; CBOSA).
W skardze z dnia 9 marca 2025 r., przytoczonej w części sprawozdawczej uzasadnienia, Skarżący zarzucili bezprawne przetwarzanie danych osobowych zawartych w dokumentach Spółki [...] Sp. z o.o. przez S. K. oraz wskazali na zaniedbania Sądu Rejonowego w [...], który przekazał te dane ww. osobie nieuprawnionej. W związku z tym Skarżący wnieśli o: nałożenie kary pieniężnej na S. K. oraz Sąd Rejonowy w [...]; zobowiązanie Prezesa UODO do zawiadomienia Prokuratury Rejonowej w [...] o możliwości popełnienia przestępstw, o których mowa w art. 107 u.o.d.o. z 2018 r. oraz art. 267 i art. 231 Kodeksu karnego; zabezpieczenie dokumentów zawierających dane osobowe i zobowiązanie S. K. do zaprzestania ich przetwarzania.
Mając tak zakreślony przedmiot żądania organ ochrony danych osobowych nie miał podstaw do prowadzenia postępowania wyjaśniającego oraz wydania w sprawie rozstrzygnięcia co do istoty.
Wbrew twierdzeniom Skarżących organ prawidłowo przyjął, że nie jest uprawniony do oceny czy Sąd Rejonowy prawidłowo zwrócił dokumentację Spółki osobie, która była zobowiązana do ich okazania na wezwanie tego sądu.
Z akt sprawy wynika, że w dniu [...] czerwca 2024 r., działając w wykonaniu zarządzenia sędziego z dnia [...] czerwca 2024 r., Sekretariat [...] Wydziału Gospodarczego Sądu Rejonowego w [...] zwrócił dokumentację finansowo-księgową firmy [...] Sp. z o.o. S. K. (tj. osobie, która na wezwanie Sądu przesłała tę dokumentację do akt sprawy) - k. 5 i 9 akt administracyjnych.
Zgodnie z art. 55 ust. 3 RODO organy nadzorcze nie są właściwe do nadzorowania operacji przetwarzania dokonywanych przez sądy w ramach sprawowania przez nie wymiaru sprawiedliwości. Przy czym pojęcia "sprawowanie wymiaru sprawiedliwości" w rozumieniu ww. przepisu nie należy utożsamiać z pojęciem "wymierzania sprawiedliwości" rozumianego wyłącznie jako sądzenie, tj. wydawanie orzeczeń rozstrzygających spory sądowe. "Sprawowanie wymiaru sprawiedliwości" jest pojęciem szerszym i obejmuje wszelkie operacje przetwarzania danych osobowych, których sądy dokonują w ramach swej działalności orzeczniczej. Jest to podyktowane, jak wynika z motywu 20 preambuły RODO, ochroną niezawisłości sądów.
Stanowisko to znajduje potwierdzenie m.in. w wyroku Trybunału Sprawiedliwości Unii Europejskiej (TSUE) z dnia 24 marca 2022 r. sygn. C-245/20, w którym TSUE stwierdził m.in., że zawarte w art. 55 RODO odniesienie do operacji przetwarzania dokonywanych przez sądy "w ramach sprawowania przez nie wymiaru sprawiedliwości" należy rozumieć w kontekście tego rozporządzenia nie jako ograniczone do przetwarzania danych osobowych, którego sądy dokonują w ramach konkretnych spraw, lecz szerzej - jako obejmujące wszystkie operacje przetwarzania, których sądy dokonują w ramach swej działalności orzeczniczej, w związku z czym spod właściwości organu nadzorczego wyłączone są operacje przetwarzania, których nadzorowanie przez organ nadzorczy mogłoby bezpośrednio lub pośrednio wpłynąć na niezależność członków tych sądów lub wpłynąć na ich decyzje (pkt 34).
TSUE wyjaśnił, że art. 55 ust. 3 RODO należy interpretować w świetle motywu 20 rozporządzenia, który uściśla, że powinna istnieć możliwość powierzenia nadzoru nad operacjami przetwarzania dokonywanymi przez sądy "w ramach sprawowania [przez nie] wymiaru sprawiedliwości" specjalnym organom w systemie wymiaru sprawiedliwości danego państwa członkowskiego, a nie organowi nadzorczemu, który podlega temu państwu, by "chronić niezawisłość sprawowania wymiaru sprawiedliwości [w ramach wykonywania przez nie ich funkcji sądowniczych, w tym również przy wydawaniu orzeczeń]" (31). TSUE zwrócił zatem uwagę, że przetwarzanie danych przez sądy dokonywane jest nie tylko w związku z wydawaniem orzeczeń (rozstrzyganiem sporów sądowych), ale również w związku z pozostałymi czynnościami wykonywanymi przez sądy "w ramach sprawowania wymiaru sprawiedliwości". Odwołał się w tym względzie do opinii Rzecznika Generalnego z dnia 3 października 2021 r. w sprawie C-245/20, w której wskazano, że z samego brzmienia motywu 20 RODO, a w szczególności z użycia sformułowania "w tym" wynika, że zakres celu art. 55 ust. 3 RODO, jakim jest zachowanie niezawisłości sprawowania wymiaru sprawiedliwości w ramach wykonywania przez sądy funkcji sądowniczych, nie może ograniczać się wyłącznie do gwarancji niezawisłości sędziowskiej w kontekście wydawania danego orzeczenia sądowego. Ochrona niezawisłości wymiaru sprawiedliwości zakłada bowiem co do zasady, że funkcje sądownicze są wykonywane w sposób całkowicie niezależny; sądy nie podlegają żadnej hierarchii służbowej i nie są komukolwiek podporządkowane ani nie otrzymują nakazów czy wytycznych z jakiegokolwiek źródła, a tym samym są chronione przed jakąkolwiek ingerencją lub naciskami zewnętrznymi mogącymi zaszkodzić niezależności osądu ich członków i wpływać na ich rozstrzygnięcia. Poszanowanie gwarancji niezawisłości i bezstronności wymaganych na mocy prawa Unii zakłada istnienie zasad pozwalających wykluczyć w odczuciu podmiotów prawa wszelką uzasadnioną wątpliwość co do niezależności danego organu od czynników zewnętrznych i jego neutralności względem danych interesów (...) (33).
W świetle powyższego, w ocenie Sądu, pojęcia "sprawowania wymiaru sprawiedliwości" w rozumieniu art. 55 ust. 3 RODO nie należy utożsamiać z pojęciem "wymierzania sprawiedliwości" rozumianego wyłącznie jako sądzenie, tj. wydawanie orzeczeń rozstrzygających spory sądowe. "Sprawowanie wymiaru sprawiedliwości" jest pojęciem szerszym i obejmuje wszelkie operacje przetwarzania danych osobowych, których sądy dokonują w ramach swej działalności orzeczniczej. Jest to podyktowane, jak wynika z motywu 20 rozporządzenia, ochroną niezawisłości sądów.
Warto w tym miejscu powołać stanowisko zaprezentowane w wyroku Naczelnego Sądu Administracyjnego z dnia 14 listopada 2025 r. sygn. akt III OSK 250/25, w którym wskazano po pierwsze, że z przepisów art. 175db i art. 175dd ustawy z dnia 27 lipca 2001 r. Prawo o ustroju sądów powszechnych wynika, iż ustawodawca konsekwentnie wyłącza właściwość Prezesa Urzędu Ochrony Danych Osobowych jako organu nadzorczego w obszarze czynności podejmowanych przez sądy - jako Administratorów – "w ramach sprawowania wymiaru sprawiedliwości". Regulacje te są systemowo i celowościowo skorelowane z treścią art. 55 ust. 3 RODO. Ustawodawca powiązał bowiem kompetencje organów wymienionych w art. 175dd § 1 p.u.s.p. (prezesa sądu okręgowego, prezesa sądu apelacyjnego i Krajowej Rady Sądownictwa) z obowiązkiem gwarantowania przez te organy wymagań RODO.
Nadto NSA wskazał, że jako czynności podejmowane przez sądy "w ramach sprawowania wymiaru sprawiedliwości" rozumieć należy cały cykl działań (czynności) sędziego w ramach prowadzonego postępowania sądowego, które zmierzają do wydania orzeczenia końcowego w sprawie, tj. zarówno czynności o charakterze orzeczniczym, jak i te o charakterze przygotowawczym, czy kontrolnym. Nie tylko bowiem samo wydanie orzeczenia, ale wszystkie poprzedzające wydanie orzeczenia czynności, zmierzające do jego wydania i podejmowane w tym celu, winny być objęte ochroną, należeć do sfery niezawisłości sędziowskiej i tym samym winny być kwalifikowane jako podejmowane "w ramach sprawowania wymiaru sprawiedliwości". Wszystkie te czynności sądu, nawet jeśli nie stanowią wyrokowania, są bowiem czynnościami służącymi tej funkcji i pełnią rolę przygotowawczą bądź wykonawczą do wyrokowania. Wśród obowiązków sędziowskich można wyróżnić tzw. funkcje orzecznicze i funkcje administracyjne. Choć w ramach pełnionych funkcji administracyjnych sędzia podlega nadzorowi ze strony Prezesa sądu, Przewodniczącego wydziału oraz Ministra Sprawiedliwości, to tylko w zakresie organizacyjnym, bez możliwości wydawania sędziom poleceń odnośnie do merytorycznego załatwienia sprawy. Każda decyzja sądu, również ta związana z wysyłką korespondencji sądowej, to czynność sądowa, związana ze stosowaniem prawa procesowego, bowiem jurysdykcyjna działalność sądu nie ogranicza się jedynie do czynności orzeczniczych związanych z wydawanym orzeczeniem, ale obejmuje także czynności związane z gromadzeniem materiału procesowego i zewnętrznym prowadzeniem procesu. Obowiązkiem sądu jest należyte przygotowanie postępowania przez zaplanowanie jego przebiegu, aby rozsądzić spór bez nieuzasadnionej zwłoki. To Sąd jest odpowiedzialny za sprawny bieg postępowania, a wszelkie czynności związane z kontrolą formalną, merytoryczną i przygotowaniem spraw należą do zakresu czynności kierownictwa sędziowskiego i tym samym są podejmowane "w ramach sprawowania wymiaru sprawiedliwości".
Uwzględniając powyższe stwierdzić należy, że Prezes UODO prawidłowo uznał w okolicznościach niniejszej sprawy, że w świetle art. 55 ust. 3 RODO nie jest organem właściwym do oceny prawidłowości czynności Sądu polegającej na zwróceniu dokumentacji Spółki [...] osobie, która je przesłała na potrzeby sporządzenia opinii biegłego w postępowaniu sądowym. Czynność ta jest związana z gromadzeniem materiału procesowego i prowadzeniem postępowania i jako taka jest podejmowana "w ramach sprawowania wymiaru sprawiedliwości". Prezes UODO nie jest natomiast właściwy do nadzorowania operacji przetwarzania danych przez Sąd w tym zakresie.
W treści skargi z dnia 10 września 2024 r. podniesiono również zarzut bezprawnego przetwarzania "danych osobowych Spółki [...]" przez osobę, której Sąd przekazał ww. dokumentację. Nie wskazano przy tym na czym polega to przetwarzanie i jakich danych osobowych dotyczy. Odwołano się jedynie do dokumentów zawierających "dane osobowe pracowników, wspólników oraz kontrahentów Spółki, w tym dane wrażliwe oraz tajemnicę handlową, skarbową i finansową Spółki".
Abstrahując od faktu, że dokumentacja Spółki została przekazana (zwrócona) ww. osobie na skutek zarządzenia Sądu, wskazać należy, że prawo do wniesienia skargi na podstawie art. 77 ust. 1 RODO przysługuje każdej osobie, której dane dotyczą, a podstawą do jej wniesienia jest domniemanie naruszenia przepisów RODO w procesie przetwarzania jej danych osobowych. Skarżący nie wskazali natomiast czy i jakich konkretnie danych osobowych ich dotyczących dotyczy kwestionowane przetwarzanie danych przez ww. osobę fizyczną.
Ponadto niezgodne z prawem przetwarzanie może dotyczyć danych osobowych a nie dokumentów (nośników danych). Jak trafnie wskazał organ w zaskarżonym postanowieniu, organ ochrony danych osobowych uprawniony jest do dokonywania oceny legalności przetwarzania (w tym dysponowania) danymi osobowymi osoby, której dane dotyczą, a nie nośnikami, na których dane te zostały utrwalone (np. dokumentami). Organ ochrony danych osobowych nie ma kompetencji do zabezpieczania dokumentów zawierających dane osobowe, nie mógł zatem uwzględnić żądania Skarżących w tym zakresie na gruncie obowiązujących przepisów prawa.
Prawidłowo również Prezes UODO zauważył, że nie jest uprawniony do orzekania o odpowiedzialności karnej. Kwestia odpowiedzialności karnej za popełnienie przestępstw wskazanych w art. 107 u.o.d.o. z 2018, a także czynów zabronionych wymienionych w przepisach Kodeksu karnego, jest przedmiotem postępowania prowadzonego na podstawie przepisów Kodeksu postępowania karnego. Trafnie przy tym organ powołał stanowisko wyrażone przez Naczelny Sąd Administracyjny w wyroku z dnia 19 listopada 2001 r., sygn. akt II SA 2702/00 (CBOSA), które pozostaje aktualne na gruncie obowiązujących przepisów, iż "osoba dochodząca ochrony swych praw w trybie ustawy o ochronie danych osobowych nie jest podmiotem postępowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych i nie może się tego domagać od GIODO w administracyjnoprawnych formach postępowania. Przepis art. 19 ustawy nie daje bowiem stronie roszczenia w tym względzie (...)". Zaznaczyć przy tym należy, że ewentualne skierowanie przez Prezesa UODO zawiadomienia o popełnieniu przestępstwa następuje poprzez wystąpienie do organu właściwego do wszczęcia postępowania karnego, przy czym ewentualne skierowanie takiego zawiadomienia należy do autonomicznych kompetencji organu i jest realizowane z urzędu, a nie na wniosek osoby występującej ze skargą w trybie art. 77 RODO.
Analogicznie, do autonomicznych kompetencji Prezesa UODO należy nakładanie administracyjnych kar pieniężnych w oparciu o art. 58 ust. 2 lit. i RODO. Osoba składająca skargę nie może żądać od organu nałożenia kary pieniężnej na administratora w postępowaniu zainicjowanym jej skargą. Prawidłowo zatem organ wskazał, że żądanie Skarżących w zakresie nałożenia administracyjnych kar pieniężnych nie należy do żądań realizowanych na wniosek osoby, której dane dotyczą.
Zgodnie z art. 58 ust. 2 RODO organowi nadzorczemu przysługują określone uprawnienia naprawcze, w tym nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy RODO (lit. c). Prawa osoby, której dane dotyczą, zostały określone przede wszystkim w Rozdziale III RODO i należą do nich m.in. prawo do prawo do usunięcia danych, w tym "prawo do bycia zapominanym" (art. 17 RODO), prawo do ograniczenia przetwarzania danych (art. 18 RODO), prawo do wniesienia sprzeciwu wobec przetwarzania danych (art. 21 RODO). Z treści skargi z dnia 10 września 2024 r. nie wynika jednak, aby Skarżący wystąpili do Prezesa UODO z żądaniem realizacji któregokolwiek z ww. określonych uprawnień dotyczących ich danych osobowych. Nieuzasadniony jest zatem zarzut naruszenia art. 58 ust. 2 RODO.
Podkreślić przy tym należy, że w świetle regulacji rozdziału IV RODO podmioty danych osobowych nie mają podstaw do żądania egzekwowania od organu spoczywających na administratorach danych obowiązków związanych z bezpieczeństwem przetwarzania danych. Weryfikacja ogólnych praktyk stosowanych przez administratorów danych - w tym stosowanych zabezpieczeń czy też zgłaszania
naruszenia ochrony danych do organu nadzorczego - nie są podejmowane na wniosek osoby wnoszącej skargę, gdyż decyzja o ich podjęciu należy do autonomicznych kompetencji Prezesa UODO. W przypadku wystąpienia naruszenia, prawidłowość wywiązania się z obowiązków nałożonych na administratora danych osobowych weryfikowana jest z urzędu w chwili zgłoszenia naruszenia przez administratora, a osoba wnosząca skargę w swojej sprawie indywidualnej nie ma interesu prawnego w
wydawanym rozstrzygnięciu, nie przysługuje jej status strony postępowania. Ewentualnie podjęte postępowanie toczy się wyłącznie pomiędzy administratorem danych a organem nadzorczym. Z tego względu nieuzasadniony jest zarzut naruszenia art. 32 RODO. Przepis ten dotyczy spoczywającego na administratorze danych (podmiocie przetwarzającym) obowiązku wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających właściwy stopień bezpieczeństwa przetwarzania, a weryfikacja realizacji tego obowiązku jest dokonywana przez organ ochrony danych osobowych z urzędu a nie na wniosek.
Nie doszło również do naruszenia art. 8 Karty Praw podstawowych oraz art. 45 Konstytucji RP. Będąc związanym zakresem żądania skargi organ prawidłowo stwierdził brak podstaw do wszczęcia i prowadzenia postępowania administracyjnego w sprawie.
Nie jest trafny zarzut naruszenia art. 5 ust. 1 lit. f RODO w sytuacji, gdy przekazanie dokumentów zawierających dane osobowe nastąpiło w wykonaniu zarządzenia Sądu "w ramach sprawowania wymiaru sprawiedliwości", zaś Prezes UODO nie jest właściwy do nadzorowania operacji przetwarzania danych przez Sąd w tym zakresie (art. 55 ust. 3 RODO).
Podsumowując stwierdzić należy, że zaskarżone postanowienie nie narusza prawa, zaś zarzuty i wnioski skargi nie zasługują na uwzględnienie.
W sprawie nie doszło do naruszenia art. 61a § 1 k.p.a. Nie ma przy tym racji Skarżący podnosząc, że organ w sposób bezpodstawny założył, że nie ma on interesu prawnego w tym postępowaniu. Podstawą odmowy wszczęcia postępowania nie była bowiem przesłanka podmiotowa, tj. wniesienie żądania przez osobę niebędącą stroną (nie mającą interesu prawnego), lecz przesłanka przedmiotowa, tj. wystąpienie innych uzasadnionych przyczyn - wskazanych w uzasadnieniu zaskarżonego postanowienia, z powodu których postępowanie to nie mogło być wszczęte.
Nie jest również trafny zarzut naruszenia art. 107 § 3 k.p.a. w związku z art. 7 i art. 8 k.p.a. Uzasadnienie zaskarżonego postanowienia spełnia bowiem wymogi określone w ww. przepisie, zaś sam fakt podjęcia formalnego rozstrzygnięcia w przedstawionych okolicznościach sprawy nie stanowi o naruszeniu zasady prawdy obiektywnej oraz zasady pogłębiania zaufania uczestnika postępowania do władzy publicznej.
Bez wpływu na rozstrzygnięcie sprawy pozostają zarzuty skargi i późniejszego pisma procesowego dotyczące zwłoki organu w rozpatrzeniu skargi z dnia 10 września 2024 r., w tym naruszenia art. 35 i art. 36 k.p.a. Przedmiotem oceny Sądu w przedmiotowym postępowaniu nie jest bowiem skarga na bezczynność Prezesa UODO, lecz skarga na postanowienie tego organu w przedmiocie odmowy wszczęcia postępowania. Skarga ta natomiast nie podlegała uwzględnieniu.
Z tych przyczyn Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 p.p.s.a. w związku z art. 119 pkt 3 p.p.s.a., orzekł jak w sentencji wyroku.
Źródło: Centralna Baza Orzeczeń Sądów Administracyjnych (orzeczenia.nsa.gov.pl), pozyskano 23.07.2026. · Źródło