II SA/Wa 930/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej, Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Andrzej Wieczorek (spr.), po rozpoznaniu w trybie uproszczonym w dniu 23 września 2025 r. sprawy ze skargi J. U. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2025 r. nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę J. U. (dalej: Skarżący) wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie (dalej: Sąd) skargę na postanowienie Prezesa Urzędu Ochrony Danych Osobowych (dalej: Organ) z [...] kwietnia 2025 r. nr [...] w przedmiocie odmowy wszczęcia postępowania w sprawie ze skargi Skarżącego na Grupę [...] w [...] (dalej: Spółka) w zakresie naruszenia zasady minimalizacji danych poprzez żądanie udostępnienia skanu dokumentu tożsamości użytkownika serwisu internetowego Spółki. W uzasadnieniu zaskarżonego postanowienia Organ podniósł, że w skardze z [...] września 2024 r. Skarżący wniósł o weryfikację ogólnej praktyki stosowanej przez Spółkę w zakresie przetwarzania danych osobowych. Czynności w sprawie ogólnych praktyk stosowanych przez administratorów danych nie są jednak podejmowane na wniosek podmiotu zainteresowanego. Kontrola w tym zakresie może nastąpić w ramach postępowania administracyjnego prowadzonego przez Organ z urzędu, a decyzja o jego podjęciu należy do jego autonomicznych kompetencji. W przypadku prowadzenia przez Organ takiego postępowania podmiot skarżący nie ma interesu prawnego w wydawanym rozstrzygnięciu, nie przysługuje mu status strony postępowania - podjęte postępowanie toczy się wówczas pomiędzy administratorem danych a Organem. Z treści podania Skarżącego wynika w sposób jednoznaczny, że ów kwestionuje prawidłowość procedury stosowanej przez Spółkę w przypadku weryfikacji użytkownika konta w należącym do niej serwisie internetowym, a sam procedurze tej się nie poddał i nie doszło do przetwarzania w jej ramach jego danych osobowych. W skardze Skarżący wniósł o uchylenie zaskarżonego postanowienia i szczegółowo opisał w jego ocenie niezgodne z prawem praktyki Spółki. W odpowiedzi na skargę Organ odwoławczy wniósł o jej oddalenie, podtrzymując stanowisko przedstawione w uzasadnieniu zaskarżonego postanowienia. Sąd zważył, co następuje. Stosownie do treści art. 1 § 1-2 ustawy z 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2024 r. poz. 1267) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej pod względem zgodności z prawem. Jednocześnie na podstawie art. 134 § 1 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm.; dalej: p.p.s.a.) sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Oceniana według powyższych kryteriów skarga nie zasługiwała na uwzględnienie. Na podstawie art. 61a § 1 zd. 1 ustawy z 14 czerwca 1960 r. - Kodeks postępowania administracyjnego w zw. z art. 7 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781; dalej: u.o.d.o.), gdy żądanie wszczęcia postępowania zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. Do przyczyn odmowy wszczęcia postępowania zalicza się m.in. wniesienie żądania wszczęcia postępowania inicjowalnego z urzędu, a nie na wniosek (zob. wyrok Naczelnego Sądu Administracyjnego, dalej: NSA, z 15 kwietnia 2015 r., sygn. akt I OSK 1917/13, oraz A. Krawczyk [w]: W. Chróścielewiski [red.], A. Krawczyk [red.], Kodeks postępowania administracyjnego. Komentarz, Warszawa 2025 r., uw. 2 do komentarza do art. 61a k.p.a.). Opisana wyżej sytuacja zaistniała w niniejszej sprawie. Jak wyjaśnił Naczelny Sąd Administracyjny w uzasadnieniu wyroku z 20 października 2022 r. (sygn. akt III OSK 5538/21), podstawą prawną prowadzenia kontroli przestrzegania przepisów o ochronie danych osobowych jest przepis art. 78 ust. 1-2 u.o.d.o., zgodnie z którym Organ przeprowadza kontrolę przestrzegania przepisów o ochronie danych osobowych. Kontrolę prowadzi się zgodnie z zatwierdzonym przez Organ planem kontroli lub na podstawie uzyskanych przez Organ informacji lub w ramach monitorowania przestrzegania stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1, Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35; dalej: RODO). Podstawą prawną do wniesienia skargi w indywidualnej sprawie przez podmiot, który twierdzi, iż w procesie przetwarzania danych osobowych jego dotyczących doszło do naruszenia przepisów RODO, jest art. 77 ust.1 RODO. Przedmiotem skargi mogą być więc naruszenia przepisów dotyczących zasad przetwarzania danych (art. 5 RODO) czy podstaw dopuszczalności przetwarzania danych (art. 6 RODO). W motywie nr 141 RODO wyjaśniono, że każda osoba, której dane dotyczą, powinna mieć prawo wniesienia skargi do jednego organu nadzorczego oraz prawo do skutecznego środka ochrony prawnej przed sądem, zgodnie z art. 47 Karty Praw Podstawowych, w szczególności w państwie członkowskim, w którym ma miejsce zwykłego pobytu, a jeżeli uzna, że jej prawa wynikające z niniejszego rozporządzenia są naruszane, lub jeżeli organ nadzorczy nie reaguje na skargę, częściowo lub w całości ją odrzuca lub oddala, lub nie podejmuje działania, choć jest to niezbędne do ochrony praw tej osoby. Postępowanie wyjaśniające na podstawie skargi powinno być prowadzone - z zastrzeżeniem kontroli sądowej - w zakresie odpowiadającym konkretnej sprawie. Organ nadzorczy powinien w rozsądnym terminie poinformować osobę, której dane dotyczą, o postępach i wynikach rozpatrywania skargi. Jeżeli dana sprawa wymaga dalszego postępowania wyjaśniającego lub koordynacji działań z innym organem nadzorczym, osoba, której dane dotyczą, powinna zostać o tym uprzednio poinformowana. Aby ułatwić wnoszenie skarg, każdy organ nadzorczy powinien zastosować takie środki jak udostępnienie formularza skargi, który można wypełnić także elektronicznie, przy czym nie należy wykluczać innych sposobów komunikacji. Z analizy powyższych regulacji prawnych wynika, iż obowiązujące przepisy prawne przewidują dwa typy postępowań. Pierwsze to postępowanie kontrolne prowadzone przez Organ względem administratora danych osobowych, wszczynane na podstawie art. 78 ust. 1 u.o.d.o. Stronami tego postępowania są Organ i administrator danych osobowych. Postępowanie kontrolne jest wszczynane z urzędu. Może ono być jednak wszczęte także w związku z informacją płynącą od indywidualnego podmiotu, który twierdzi, iż w odniesieniu do jego osoby doszło do naruszenia przepisów RODO. Osoba taka wskazuje wówczas, że domaga się kontroli przestrzegania przepisów RODO, a nie swojego interesu prawnego. Inaczej mówiąc wnioskuje o przeprowadzenie kontroli, stwierdzenie naruszenia przepisów prawa, nakazanie eliminacji praktyki naruszania prawa przez administratora danych osobowych, i ewentualne jego ukaranie. Działa więc w celu ochrony interesu zbiorowego - nie żąda ochrony wyłącznie własnego interesu prawnego, nawet jeśli w procesie przetwarzania jej danych osobowych doszło do złamania przepisów RODO. Podstawą wszczęcia kontroli mogą być także nieprawidłowości stwierdzone w toku postępowań indywidualnych. Drugie to postępowanie, o którym mowa w art. 60 u.o.d.o., prowadzone w indywidualno-konkretnej sprawie na wniosek osoby, która wyraziła względem organu subiektywne przekonanie, że przetwarzanie jej danych osobowych nastąpiło z naruszeniem przepisów RODO i w ten sposób został naruszony jej interes prawny, bądź też wszczynane z urzędu, np. w związku z wynikami postępowania kontrolnego. Wszczynane jest ono wówczas na podstawie art. 60 w zw. z art. 90 u.o.d.o., zgodnie z którym jeżeli na podstawie informacji zgromadzonych w postępowaniu kontrolnym Organ uzna, że mogło dojść do naruszenia przepisów o ochronie danych osobowych, obowiązany jest do niezwłocznego wszczęcia postępowania, o którym mowa w art. 60. Stronami tego postępowania są osoba twierdząca, iż doszło do naruszenia jej interesu prawnego gwarantowanego przez przepisy RODO, Organ i administrator danych osobowych. Postępowanie takie wszczynane jest więc na wniosek zainteresowanej osoby lub z urzędu. Każde z tych postępowań posiada odrębne podstawy prawne, odrębne elementy przedmiotowe oraz podmiotowe. Z punktu widzenia rozpoznawanej sprawy kluczowe dla oceny legalności zaskarżonego postanowienia jest zatem po pierwsze ustalenie treści żądania skierowanego przez Skarżącego do Organu, gdyż może ono przesądzić o dopuszczalności prowadzenia postępowania z udziałem Skarżącego, a po drugie ustalenie, czy doszło do przetwarzania danych osobowych podmiotu, gdyż tylko w takiej sytuacji możliwe jest wszczęcie drugiego rodzaju postępowania. W ocenie Sądu Organ prawidłowo zinterpretował treść skargi Skarżącego z [...] września 2024 r., uznając, że Skarżący wniósł o wszczęcie postępowania, o którym mowa w art. 60 u.o.d.o. Co istotne, Organ, ustalając zakres skargi, nie poprzestał na analizie samej skargi, lecz wezwał Skarżącego pismem z [...] grudnia 2024 r. do sprecyzowania żądania, co też Skarżący uczynił pismem z [...] grudnia 2024 r. Wobec powyższego zadaniem Organu było zbadanie, czy w sprawie doszło do przetwarzania przez Spółkę danych osobowych Skarżącego. Zdaniem Sądu Organ prawidłowo wywiązał się z powyższego obowiązku. Zgodnie z art. 4 pkt 2 RODO na użytek RODO przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Hipotezą powyższej definicji legalnej nie objęto zatem czynności "przygotowawczych" do właściwego przetwarzania danych, takich jak żądanie podania danych osobowych - w takiej sytuacji przetwarzanie danych osobowych nawet się nie rozpoczyna. bowiem potencjalny administrator jeszcze nie ma czego przetwarzać. Taka sytuacja miała miejsce w niniejszej sprawie, co zasadnie podniósł Organ w uzasadnieniu zaskarżonego postanowienia. W rozpoznawanej sprawie Organ przeprowadził konieczne postępowanie wyjaśniające, ustalił wszystkie istotne z punktu widzenia ewentualnej potencjalnej sprawy administracyjnej okoliczności dotyczące naruszenia danych osobowych, a następnie stwierdził, że do ich naruszenia nie doszło. Organ słusznie uznał, że w rachubę wchodzi jedynie przeprowadzenie postępowania kontrolnego wszczynanego jednakże z urzędu i prowadzonego bez udziału Skarżącego. Mając powyższe na uwadze, Sąd orzekł na podstawie 151 p.p.s.a. jak w sentencji. Sąd rozpoznał sprawę w trybie uproszczonym na podstawie art. 119 § 3 p.p.s.a., ponieważ przedmiotem skargi jest postanowienie kończące postępowanie.