II SAB/Wa 246/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Joanna Kube, Asesor WSA Dorota Kozub-Marciniak (spr.), po rozpoznaniu w trybie uproszczonym w dniu 8 listopada 2024 r. sprawy ze skargi M.T. na bezczynność Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpoznania skargi z dnia [...] kwietnia 2023 r. dotyczącej przetwarzania danych osobowych 1. stwierdza, że Prezes Urzędu Ochrony Danych Osobowych dopuścił się bezczynności; 2. stwierdza, że bezczynność Prezesa Urzędu Ochrony Danych Osobowych miała miejsce z rażącym naruszeniem prawa; 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz M.T. kwotę 100 (słownie: sto) złotych tytułem zwrotu kosztów postępowania. M. T. (dalej, jako: skarżący) wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na bezczynność Prezesa Urzędu Ochrony Danych Osobowych (dalej, jako: organ lub Prezes UODO) w przedmiocie rozpoznania skargi z dnia [...] kwietnia 2023 r. na niezgodne z prawem przetwarzanie danych osobowych. Skarżący podniósł, że pismem z dnia [...] kwietnia 2023 r. zwrócił się do organu o wszczęcie postępowania w związku z niezgodnym z prawem przetwarzaniem danych osobowych przez Biuro [...] S.A. W odpowiedzi na złożony wniosek w dniu [...] kwietnia 2023 r. organ poinformował o wszczęciu postępowania oraz zwróceniu się do ww. podmiotu o złożenie wyjaśnień. Dnia [...] lipca 2023 r. z uwagi na brak rozstrzygnięcia w sprawie skarżący złożył ponaglenie o niezwłoczne załatwienie sprawy. Z uwagi na dalszy brak rozstrzygnięcia kolejne ponaglenie zostało złożone w dniu [...] lutego 2024 r. Pomimo upływu wielu miesięcy oraz złożonych ponagleń w odstępach czasowych umożliwiających załatwienie sprawy - sprawa nie została załatwiona. Organ nie wskazał przeszkód w terminowym załatwieniu sprawy oraz nie wyznaczył nowego terminu załatwienia sprawy, W sprawie zostały także podjęte kontakty telefoniczne o niezwłoczne załatwienie sprawy, na które także organ nie zareagował. Wobec powyższego konieczne stało się, zdaniem skarżącego, złożenie skargi celem zobowiązania organu do załatwienia sprawy. Mając powyższe na uwadze skarżący wniósł o: 1. stwierdzenie bezczynności Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpoznania skargi na niezgodne z prawem przetwarzanie danych; 2. zobowiązanie organu do terminowego załatwienia sprawy; 3. zasądzenie kosztów według norm przepisanych. W odpowiedzi na skargę organ wniósł o jej oddalenie. W uzasadnieniu Prezes UODO wskazał, że w dniu [...] kwietnia 2023 r. do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga M. T. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Biuro [...] z siedzibą w [...] (dalej, jako: B[...]), polegające na przetwarzaniu danych osobowych skarżącego w zakresie zapytania kredytowego z dnia [...] sierpnia 2022 r., bez podstawy prawnej. W dniu [...] kwietnia 2023 r. Prezes UODO zwrócił się do B[...] z żądaniem udzielenia wyjaśnień w sprawie, natomiast skarżącego poinformował o tej czynności. Wyjaśnienia zostały udzielone przez B[...] pismem z dnia [...] kwietnia 2023 r. Następnie, w dniu [...] maja 2023 r. Organ zwrócił się do B[...] z żądaniem udzielenia dalszych wyjaśnień w sprawie, a także poinformował skarżącego o etapie postępowania. B[...] udzielił odpowiedzi na ww. zapytanie w dniu [...] maja 2023 r. W dniu 11 lipca 2023 r. do organu wpłynęło ponaglenie skarżącego. W dniu [...] lipca 2023 r. organ zwrócił się do B[...] oraz na podstawie art. 77 § 1 K.p.a. w zw. z art. 50 § 1 K.p.a. do [...] Banku S.A. z siedzibą we [...]z żądaniem udzielenia wyjaśnień. Organ poinformował o tych czynnościach również skarżącego. Bank udzielił odpowiedzi na ww. żądanie organu pismem z dnia [...] lipca 2023 r., które wpłynęło do organu w dniu [...] lipca 2023 r., natomiast B[...] udzielił odpowiedzi w dniu [...] lipca 2023 r. W dniu [...] września Prezes UODO ponownie zwrócił się do B[...] o udzielenie wyjaśnień o czym poinformował skarżącego. W dniu [...] listopada 2023 r. organ zebrał materiał w sprawie o czym poinformował strony postępowania. W dniu [...] lutego 2024 r. do Prezesa UODO wpłynęło kolejne ponaglenie skarżącego. Decyzja w sprawie została wydana w dniu [...] kwietnia 2024 r. W ocenie organu, w tej sprawie nie doszło do bezczynności Prezesa UODO. Organ wskazał, że przepisy K.p.a. nie są jedynymi, które regulują czas trwania postępowań toczących się przed Prezesem Urzędu Ochrony Danych Osobowych, który pełni rolę organu nadzorczego w myśl przepisów unijnych regulujących jego działanie. Zgodnie z art. 78 ust. 2 RODO, organ nadzorczy zobligowany jest do poinformowania osoby, której dane dotyczą w terminie trzech miesięcy o postępach lub efektach rozpatrzenia skargi. Prezes UODO wskazał, że trzymiesięczny termin przewidziany w art. 78 ust. 2 RODO nie jest bezwzględnym terminem, w którym organ ma zakończyć postępowanie, a terminem, w którym organ rozpatruje skargę lub informuje o postępach lub efektach rozpatrywania tej skargi. Nie można tym samym uznać, że organ był bezwzględnie zobligowany zakończyć postępowania w terminie trzymiesięcznym. Organ powołał się przy tym na orzecznictwo Naczelnego Sądu Administracyjnego oraz Wojewódzkiego Sądu Administracyjnego w Warszawie, a także doktryny. Zdaniem Prezesa UODO art. 78 ust. 2 RODO należy stosować bezpośrednio przed uregulowaniami K.p.a. Przepisy RODO nie wskazują okresu, w jakim organ zobowiązany jest do rozpatrzenia skargi w przedmiocie nieprawidłowości w procesie przetwarzania danych osobowych. Prezes Urzędu Ochrony Danych Osobowych podniósł dalej, iż podjął czynności z zachowaniem 3-miesięcznego terminu wskazanego w 78 ust. 2 RODO. Skarga wpłynęła do organu [...] kwietnia 2023 r., natomiast pismo informujące skarżącego o postępach rozpatrywania skargi zostało mu przesłane w dniu [...] kwietnia 2023 r. Organ podkreślił nadto, że przy ocenie zachowania przez organ terminowości w rozpatrzeniu sprawy uwzględnia się również zachowanie stron, w tym treść oraz czas składania do organu wyjaśnień. Zdaniem organu, powyższe ma istotne znaczenie w realiach niniejszej sprawy, bowiem składane przez B[...] wyjaśnienia wymagały uzupełnienia, co skutkowało koniecznością kilkukrotnego występowania przez organ do B[...] o udzielenie dodatkowych wyjaśnień w sprawie. Terminowość rozpatrzenia niniejszej sprawy była zatem w znacznym stopniu uzależniona od sposobu, w jaki B[...] współpracował z organem w celu jej wyjaśnienia. W postępowaniu, w związku z jego złożonością, niezbędne były także wyjaśnienia Banku, co także przełożyło się na jego długość. Po przeprowadzeniu czynności wyjaśniających skoncentrowanych na zebranie materiału dowodowego niezbędnego do oceny kwestionowanego przez skarżącego procesu przetwarzania jego danych osobowych przez B[...], Prezes Urzędu Ochrony Danych Osobowych poinformował strony postępowania o zakończeniu czynności wyjaśniających w sprawie. Organ w żadnym razie nie uchylał się od wydania końcowego rozstrzygnięcia. Przeciwnie - organ do spraw ochrony danych osobowych przedsięwziął przewidziane prawem czynności służące ustaleniu okoliczności faktycznych przedmiotowej sprawy oraz zebraniu materiału dowodowego potrzebnego do rozstrzygnięcia jej decyzją administracyjną, czego rezultatem było wydanie decyzji w przedmiotowej sprawie. Organ dodał, że decyzje wydawane przez Prezesa UODO nie mają charakteru związania administracyjnego. Oznacza to, że zgromadzenie materiału dowodowego w sprawie, jego analiza, a następnie wydane rozstrzygnięcie nie sprowadza się wyłącznie do potwierdzenia lub niespełnienia przez wnioskodawcę hipotezy przepisu, a wymaga każdorazowego ustalania stanu faktycznego i odrębnej, pogłębionej analizy prawnej oraz uzasadnienia. Jednocześnie stronami tego rodzaju postępowań są przynajmniej dwa podmioty o spornych interesach, którym organ jest zobowiązany zapewnić czynny udział w postępowaniu, informować o podejmowanych czynnościach i podejmować wszelkie działania zmierzające do rozstrzygnięcia. Tym samym niezbędna jest dokładna analiza materiału dowodowego poprzedzająca wydanie decyzji. Prezes UODO zauważył końcowo, iż zasada szybkości postępowania, jakkolwiek bardzo istotna, nie może być uznana za nadrzędną, w szczególności wobec zasady prawdy obiektywnej, o której mowa w art. 7 K.p.a. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2021 r., poz. 137) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, sprawowaną pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Kontrola działalności administracji publicznej przez sądy administracyjne obejmuje między innymi orzekanie w sprawach skarg na przewlekłe prowadzenie postępowania przez organy w przypadkach określonych w art. 3 § 2 pkt 1-4 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postepowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935 ze zm., dalej, jako: P.p.s.a.) w tym aktów i czynności z zakresu administracji publicznej dotyczących uprawnień lub obowiązków wynikających z przepisów prawa. Wyjaśnić również należy, że celem skargi na przewlekłość organu administracji publicznej jest zwalczanie opieszałości w załatwianiu sprawy administracyjnej. Przy badaniu zasadności skargi nie ma istotnego znaczenia z jakich powodów określony akt czy czynność została dokonana przez organ opieszale. Z uwagi na to, że przedmiotem złożonej skargi jest bezczynność Prezesa Urzędu Ochrony Danych Osobowych, Sąd rozpoznał skargę w trybie uproszczonym na posiedzeniu niejawnym, stosownie do art. 119 pkt 4 P.p.s.a. W myśl bowiem tego przepisu, a także art. 120 P.p.s.a. sprawa może być rozpoznana w trybie uproszczonym, jeżeli przedmiotem skargi jest bezczynność lub przewlekłe prowadzenie postępowania. W trybie uproszczonym Sąd rozpoznaje sprawę na posiedzeniu niejawnym w składzie trzech sędziów. Skarga na bezczynność może być wniesiona po upływie terminu przewidzianego do załatwienia sprawy, po wyczerpaniu środków zaskarżenia. Skarga spełnia wymogi formalne, wniesiona została bowiem po wyczerpaniu przysługującego środka zaskarżenia – ponaglenia tj. pisma z dnia [...] lipca 2023 r. – a także nie została obwarowana ograniczeniem w zakresie terminu jej wniesienia. Zgodnie z art. 149 § 1 P.p.s.a., sąd uwzględniając skargę na bezczynność lub przewlekle prowadzenie postępowania przez organy w sprawach określonych w art. 3 § 2 pkt 1–4 albo na przewlekłe prowadzenie postępowania w sprawach określonych w art. 3 § 2 pkt 4a, 1) zobowiązuje organ do wydania w określonym terminie aktu, interpretacji albo do dokonania czynności, 2) zobowiązuje organ do stwierdzenia albo uznania uprawnienia lub obowiązku wynikających z przepisów prawa, 3) stwierdza, że organ dopuścił się bezczynności lub przewlekłego prowadzenia postępowania. Jednocześnie sąd stwierdza, czy bezczynność organu lub przewlekłe prowadzenie postępowania przez organ miały miejsce z rażącym naruszeniem prawa (art. 149 § 1a P.p.s.a.). Sąd w przypadku, o którym mowa w § 1 pkt 1 i 2, może ponadto orzec o istnieniu lub nieistnieniu uprawnienia lub obowiązku, jeżeli pozwala na to charakter sprawy oraz niebudzące uzasadnionych wątpliwości okoliczności jej stanu faktycznego i prawnego (§ 1b). W myśl art. 149 § 2 P.p.s.a., sąd, w przypadku, o którym mowa w § 1, może ponadto orzec z urzędu albo na wniosek strony o wymierzeniu organowi grzywny w wysokości określonej w art. 154 § 6 lub przyznać od organu na rzecz skarżącego sumę pieniężną do wysokości połowy kwoty określonej w art. 154 § 6. Od dnia 10 maja 2018 r. w polskim porządku prawnym obowiązuje ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwana dalej u.o.d.o. oraz RODO, które stosuje się bezpośrednio. Zgodnie z art. 7 ust. 1 u.o.d.o., w postępowaniach prowadzonych przez PUODO, stosuje się przepisy K.p.a. w sprawach nieuregulowanych w u.o.d.o. Zgodnie z art. 35 § 1 K.p.a., organy administracji publicznej obowiązane są załatwiać sprawy bez zbędnej zwłoki. Stosownie zaś do art. 35 § 3 K.p.a., załatwienie sprawy wymagającej postępowania wyjaśniającego powinno nastąpić nie później niż w ciągu miesiąca, a sprawy szczególnie skomplikowanej - nie później niż w ciągu dwóch miesięcy od dnia wszczęcia postępowania, zaś w postępowaniu odwoławczym – w ciągu miesiąca od dnia otrzymania odwołania. Przepis art. 37 § 1 pkt 2 K.p.a. wprost stanowi, że przewlekłość ma miejsce, gdy postepowanie jest prowadzone dłużej niż to jest niezbędne do załatwienia sprawy. Zgodnie natomiast z art. 78 ust. 2 RODO "Bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli organ nadzorczy właściwy zgodnie z art. 55 i 56 nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77." Rację ma organ wskazując, że w doktrynie można spotkać pogląd, że "Zgodnie z art. 35 § 4 k.p.a. przepisy szczególne mogą określać inne terminy niż wskazane w treści tego artykułu. Takim przepisem szczególnym nie jest jednak art. 78 ust. 2 rozporządzenia 2016/679 RODO, nie określa on bowiem terminu załatwienia skargi przez organ nadzorczy. Termin trzech miesięcy, o jakim mowa w tym przepisie, odnosi się do wykonania przez organ nadzorczy obowiązku poinformowania strony, której dane dotyczą, o postępach i efektach rozpoznawania jej skargi, z jego upływem RODO łączy możliwość uruchomienia przez podmiot danych środków ochrony prawnej przed sądem - wniesienia skargi na bezczynność organu nadzorczego" (por.: I. Bogucka (w:) Ustawa o ochronie danych osobowych. Komentarz, D. Lubasz (red.), Warszawa 2019, art. 62). Powyższe zapatrywania przedstawicieli doktryny prawa nie zostały jednak – wbrew twierdzeniom organu - podzielone w najnowszym orzecznictwie sądowym (zob. np. wyroki Naczelnego Sądu Administracyjnego: z dnia 25 września 2024 r. sygn. akt III OSK 2184/22 oraz III OSK 2302/23, a także z dnia 7 lipca 2023 r. sygn. akt III OSK 5190/21, III OSK 4754/21 oraz III OSK 1959/22, wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 czerwca 2024 r. sygn. akt II SAB/Wa 774/23). Sąd w składzie rozpoznającym niniejszą sprawę w pełni podziela zapatrywania wyrażone w powołanych orzeczeniach. Mając na uwadze istotę problemu w sprawie jak i podniesione przez organ argumenty należy podkreślić, że trzymiesięczny termin z art. 78 ust. 2 RODO nie odnosi się tylko do obowiązku poinformowania osoby, której dane dotyczą, o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77 RODO, ale w pierwszej kolejności odnosi się do rozpatrzenia skargi, co wynika z treści przepisu ("jeżeli organ nadzorczy właściwy zgodnie z art. 55 i 56 nie rozpatrzył skargi lub nie poinformował..."). Rozpatrzenie skargi w rozumieniu art. 78 ust. 2 RODO w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781 z późn. zm., dalej: u.o.d.o.), oznacza wydanie decyzji administracyjnej. Nie jest więc uprawnione twierdzenie, że art. 78 ust. 2 RODO nie wyznacza terminu na załatwienie sprawy administracyjnej. Skoro upływ trzymiesięcznego terminu, o jakim mowa w art. 78 ust. 2 RODO, uprawnia do wniesienia skargi na bezczynność (zob. też P. Fajgielski (w:) Komentarz do ustawy o ochronie danych osobowych (w:) Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 62, uw. 4) - a bezczynność wiąże się z niezałatwieniem sprawy w terminie określonym w art. 35 K.p.a. lub przepisach szczególnych ani w terminie wskazanym zgodnie z art. 36 § 1 K.p.a. (zob. art. 37 § 1 pkt 1 K.p.a.) - to termin z art. 78 ust. 2 RODO musi być traktowany jako termin szczególny, w rozumieniu art. 35 § 4 k.p.a. W ocenie Sądu art. 78 ust. 2 RODO należy odczytywać zatem w ten sposób, że obowiązek organu nadzoru poinformowania osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi staje się aktualny, jeśli skarga nie została rozpatrzona w tym terminie (czyli nie została wydana decyzja administracyjna) i zachodzi potrzeba jego wydłużenia, w trybie art. 36 K.p.a., co koresponduje z art. 62 u.o.d.o., nakazującym dodatkowo w takiej sytuacji poinformowanie stron o stanie sprawy i przeprowadzonych w jej toku czynnościach. Zgodnie bowiem z art. 62 u.o.d.o. "W przypadku, o którym mowa w art. 36 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, Prezes Urzędu, zawiadamiając strony o niezałatwieniu sprawy w terminie, jest obowiązany również poinformować o stanie sprawy i przeprowadzonych w jej toku czynnościach." Przenosząc powyższe na grunt tej sprawy wskazać należy, iż organ dopuścił się bezczynności w rozpoznaniu skargi z dnia [...] kwietnia 2023 r. Postępowanie w sprawie zainicjowane zostało skargą z dnia [...] kwietnia 2023 r. (wpływ do organu – [...] kwietnia 2023 r.). Z akt sprawy wynika, że organ podejmował działania, mające na celu prawidłowe ustalenie stron postępowania oraz zebranie materiału dowodowego – tj. działania zmierzające do zakończenia postępowania decyzją administracyjną, a nadto informował strony postępowania o wszystkich podejmowanych w sprawie czynnościach. Jednakże nie doszło do wydania decyzji w terminie określonym w art. 78 ust. 2 RODO, a także nastąpiły nawet 2 miesięczne odstępy między kolejnymi czynnościami procesowymi. Dość zauważyć, iż Prezes UODO w piśmie z dnia [...] listopada 2023 r. poinformował strony, iż został zgromadzony materiał dowodowy wystarczający do wydania decyzji (art. 10 K.p.a.) jednakże decyzji nie wydał aż do [...] kwietnia 2024 r. Bez wątpienia zatem organ pozostawał w bezczynność. Trzymiesięczny termin nie został dochowany nawet po tym jak organ powiadomił strony w trybie art. 10 K.p.a. Z uwagi jednak na fakt, iż organ – po wniesieniu skargi na bezczynność – wydał w dniu [...] kwietnia 2024 r. decyzję, którą zakończył postępowanie, Sąd nie mógł zobowiązać organu do rozpoznania skargi z dnia [...] kwietnia 2023 r. i stąd rozstrzygnięcie jak w pkt 1 sentencji wyroku. Jednocześnie Sąd doszedł do przekonania, że doszło do rażącej bezczynności. Analiza akt administracyjnych niniejszej sprawy nie pozostawia wątpliwości i prowadzi do wniosku, że organ dopuścił się bezczynności, rażąco naruszając prawo. W demokratycznym państwie prawa nie do zaakceptowania jest tak znaczące przekroczenie terminu, jak miało to miejsce w tej sprawie. Należy wskazać, że postępowanie trwało ponad rok (skargę wniesiono [...] kwietnia 2023 r., decyzję organ wydał w dniu [...] kwietnia 2024 r.). Nadto, Prezes UODO w piśmie z dnia [...] listopada 2023 r. poinformował strony, iż został zgromadzony materiał dowodowy wystarczający do wydania decyzji (art. 10 K.p.a.) jednakże decyzji nie wydał blisko 5 miesięcy, co jest zupełnie niezrozumiałe W tym czasie nie podejdą też żadnych czynności, aż do [...] kwietnia 2024 r. kiedy to - po złożenie przez skarżącego skargi na bezczynność - wydał decyzję. Zdaniem Sądu, 4-krotne przekroczenie 3-miesięcznego terminu nie licuje z regułami ani zaufania do władzy publicznej, ani tym bardziej szybkości postępowania. Takie procedowanie organu może rodzić po stronie wnioskodawcy uzasadnione wątpliwości, czy jego sprawa w ogóle zmierza ku zakończeniu, co jest szczególnie niepożądane w sprawach tak delikatnych jak ochrona danych osobowych. Z powyższych względów, na podstawie art. 149 § 1 pkt 3, § 1a ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w pkt 1 i 2 sentencji wyroku. W pkt 3 zasądzono na rzecz skarżącego zwrot kosztów postępowania na podstawie art. 200 w zw. z art. 205 § 1 P.p.s.a.