II SAB/Wa 695/18

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Piotr Borowiecki (spr.), Sędzia WSA Stanisław Marek Pietras, Sędzia WSA Konrad Łukaszewicz, po rozpoznaniu w trybie uproszczonym w dniu 6 listopada 2019 r. sprawy ze skargi R. Z. na przewlekłe prowadzenie postępowania przez Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpoznania wniosku o ponowne rozpatrzenie sprawy 1. stwierdza, że Prezes Urzędu Ochrony Danych Osobowych dopuścił się przewlekłego prowadzenia postępowania; 2. stwierdza, że przewlekłe prowadzenie postępowania miało miejsce z rażącym naruszeniem prawa; 3. wymierza Prezesowi Urzędu Ochrony Danych Osobowych grzywnę w kwocie 500 zł (słownie: pięćset złotych); 4. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego R. Z. kwotę 100 zł (słownie: sto złotych) tytułem zwrotu kosztów postępowania sądowego. W piśmie z dnia [...] października 2018 r. R.Z. (dalej także: "skarżący" lub "strona skarżąca"), wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na przewlekłe prowadzenie postępowania administracyjnego i niezałatwienie sprawy w wyznaczonym terminie przez Prezesa Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ") w przedmiocie rozpatrzenia jego wniosku z dnia [...] października 2017 r. o wszczęcie postępowania administracyjnego i wydanie decyzji – w sprawie dotyczącej przetwarzania danych osobowych skarżącego przez [...]., z siedzibą w [...]., przy ul. [...]. Na podstawie akt niniejszej sprawy Sąd ustalił następujący stan faktyczny. Skarżący R.Z. - w piśmie z dnia [...] października 2017 r. skierował do Generalnego Inspektora Ochrony Danych Osobowych wniosek o wszczęcie postępowania administracyjnego, wnosząc o: Nakazanie [...]. w [...]. - w drodze decyzji - udostępnienie danych podmiotów zewnętrznych, które w drodze umowy, imieniu i na rzecz [...]. wykorzystywały dane osobowe skarżącego w celach marketingowych. Wszczęcie i przeprowadzenie postępowania administracyjnego zgodnie z przepisami Kodeksu postępowania administracyjnego. Przeprowadzenie dowodów z dokumentów załączonych do przedmiotowego wniosku. W uzasadnieniu powyższego wniosku skarżący wskazał, że z uwagi na powtarzające się i liczne telefony marketingowe i reklamowe, osób przedstawiających się jako pracowników (reprezentantów) [...] w [...], w dniu [...] kwietnia 2017 r. skarżący wystąpił z wnioskiem o udostępnienie danych osobowych, a także wskazanie podstawy tych telefonów oraz skarżący wyraził sprzeciw na przetwarzanie moich danych osobowych i kontakt marketingowy. Skarżący podniósł, że w odpowiedzi na wniosek skarżącego z dnia [...] kwietnia 2017 r. - [...] poprosiła skarżącego o podanie numeru PESEL (pismo z dn. [...] maja 2017 r., nr [...].), na które skarżący udzielił odpowiedzi w dniu [...] maja 2017 r. W piśmie z dnia [...] czerwca 2017 r., nr [...] [...] poinformowała skarżącego, że telefony do skarżącego dokonywane były przez firmy zewnętrzne, na podstawie umów o współpracy, łączące te podmioty z [...] [...] poinformowała skarżącego, że jako podmiot sam nie przetwarza danych osobowych skarżącego. W piśmie tym skarżący wskazała, że [...] podniosła, że: "natomiast aktualnie podane przez Pana informacje wskazują, iż kontakty te były nawiązane przez podmioty zewnętrzne, działające w imieniu i na rzecz [...] na podstawie zawartej Umowy." [...] wskazała także skarżącemu, że w celu jakichkolwiek informacji i chęci usunięcia danych osobowych powinien skarżący zwrócić się do tych podmiotów, jednak skarżącemu nie wskazano ich nazw i innych danych. W związku z powyższym skarżący - pismem z dnia [...] czerwca 2017 r. zwrócił się do [...] w [...] o udzielnie informacji w zakresie podania bliższych danych działających w imieniu i na rzecz [...] firm. Skarżący dodał, że kierował się chęcią skorzystania z prawa informacyjnego i skierowania wniosków w trybie art. 32-33 ustawy o ochronie danych osobowych do tych podmiotów. a także innych żądań i sprzeciwów dotyczących danych osobowych skarżącego. Skarżący zaznaczył, że podmioty te nie wykonały obowiązku informacyjnego dot. zbierania i [pic]utrwalania danych z innych źródeł niż od osoby, której dane dotyczą (vide: art. 25 ustawy o ochronie danych osobowych). W swojej odpowiedzi z dnia [...]/06/2017 r. o nr [...] [...] poinformowała skarżącego, że ze stanem poprzednio ustalonym, podano skarżącemu, że wykluczono numery skarżącego z kontaktów konsultantów [...] oraz współpracujących firm, a numery podane przez skarżącego w poprzednich pismach, już miały nie należeć do podmiotów współpracujących, gdzie wcześniej [...] ustaliło, że do tych podmiotów należą. W piśmie z dnia [...] października 2017 r. Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 63 § 2 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2018 r., poz. 2096 ze zm. - dalej: "k.p.a."), poinformował stronę skarżącą, że skarga skierowana do Generalnego Inspektora Ochrony Danych Osobowych powinna spełniać wymogi określone w cytowanym artykule, zgodnie z którym podanie powinno zawierać co najmniej wskazanie osoby, od której pochodzi, jej adres i żądanie oraz czynić zadość innym wymaganiom ustalonym w przepisach szczególnych. W związku z powyższym Generalny Inspektor Ochrony Danych Osobowych poinformował skarżącego, że nie jest jasne jakie konkretnie działania [...] naruszające prawo skarżącego do ochrony danych osobowych są kwestionowane skargą z dnia [...] października 2017 r. W ślad za tym Generalny Inspektor Ochrony Danych Osobowych, działając w oparciu o art. 64 § 2 k.p.a. zwrócił się do skarżącego o jednoznaczne wskazanie: Jakie konkretnie działania Spółki naruszające Pana prawo do ochrony danych osobowych skarżący kwestionuje. podjęcia jakich czynności domaga się skarżący od Generalnego Inspektora Ochrony Danych Osobowych w związku z kwestionowanym przetwarzaniem danych osobowych skarżącego przez [...] w terminie 7 dni od dnia otrzymania niniejszego pisma pod rygorem pozostawienia ww. skargi z dnia [...] października 2017 r. bez rozpoznania. Pismem z dnia [...] listopada 2017 r. skarżący wniósł do Generalnego Inspektora Ochrony Danych Osobowych o podjęcie wobec [...] czynności określonych w art.18 ust. 1 pkt 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 – dalej także: "u.o.d.o."), tj.: Nakazanie [...] spełnienie wobec skarżącego obowiązku informacyjnego, o który skarżący wnosił w piśmie z dnia [...] kwietnia 2017 r. na podstawie art. 32 ust. 1 pkt. 1-5a u.o.d.o., Udostępnienie danych podmiotów, które w imieniu i na rzecz [...] przetwarzały dane osobowe skarżącego w celu reklamy i marketingu produktów [...] na podstawie łączących te podmioty umowy. Skarżący wskazał, że w jego ocenie [...] narusza prawo skarżącego do ochrony danych osobowych poprzez nie udzielenie (nic spełnienie) obowiązku informacyjnego na wniosek skarżącego, a także nie udzielenie odpowiedzi (nie wskazanie) danych podmiotów, które na zlecenie [...] przetwarzają dane osobowe skarżącego w celach marketingowych i reklamowych, które skarżący opisywał w swoich pismach do [...]. Skarżący dodał, że w ten sposób nie może zwrócić się do tych podmiotów z wnioskiem o informację dot. danych osobowych skarżącego (art. 32-33 u.o.d.o.) i zweryfikowania czy dane te są przetwarzane zgodnie z prawem a także dlaczego wobec skarżącego nie został spełniony obowiązek informacyjny, wynikający z art. 25 i/lub 24 u.o.d.o. Decyzją z dnia [...] lutego 2018 r., nr [...] - Prezes Urzędu Ochrony Danych Osobowych, na podstawie art. 104 § 1 k.p.a. w związku z art. 12 pkt 2, art. 22, art. 6 ust. 1, art. 7 pkt 4, art. 23 ust. 1, art. 33 ust. 1 u.o.d.o., po przeprowadzeniu postępowania administracyjnego w sprawie skargi skarżącego R.Z., dotyczącej przetwarzania jego danych osobowych przez [...] - odmówił uwzględnienia wniosku. W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie Generalny Inspektor Ochrony Danych Osobowych ustalił, co następuje. Spółka [...] w piśmie z dnia [...] grudnia 2017 r. skierowanym do Generalnego Inspektora Ochrony Danych Osobowych oświadczyła, iż cyt.: "(...) do momentu otrzymania pierwszego pisma przez Skarżącego [...] nie przetwarzał danych osobowych Skarżącego, ponieważ nie jest on Klientem [...] (. Od dnia wpłynięcia pierwszego pisma Skarżącego czyli od dnia [...] kwietnia 2017 r., [...] przetwarza dane osobowe Skarżącego w zakresie imię, nazwisko, adres korespondencyjny i numery telefonów, a od dnia [...] maja 2017 r. również w zakresie nr PESEL. Powyższe dane przetwarzane są w związku z prowadzoną ze Skarżącym korespondencją (...)" W ww. piśmie z dnia [...] grudnia 2017 r. Spółka [...] oświadczyła również cyt.: "(...) po swojej stronie wykluczyliśmy jakoby wskazane przez Skarżącego numery telefonów, z których następował kontakt ze Skarżącym należały do firm współpracujących z [...]". Pismem z dnia [...] kwietnia 2017 r. skierowanym do Spółki [...] skarżący wystąpił o cyt.: "(...) proszę o udzielenie pisemnej informacji objętej swoim zakresem odpowiedź na zagadnienia zawarte w art. 33 ust. 1 pkt 1-5a ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (. . .). Nie mniej z uwagi na powtarzające się telefony marketingowe z [...] z propozycją przeniesienia numeru na posiadane przeze mnie numeru [...] i [...] proszę o wskazanie: jaka jest podstawa przetwarzania moich danych w celach marketingowych? kto i kiedy wprowadził moje dane w Państwa systemie - podanie nr IP, z którego dane te trafiły do Państwa systemu (...)" Pismem z dnia [...] czerwca 2017 r. Spółka [...] poinformowała skarżącego cyt.: "(...) kontakty (...) były nawiązywane przez podmioty zewnętrzne, działające w imieniu i na rzecz [...] na podstawie zawartej umowy (...) każda ze firm współpracujących z [...] we własnym imieniu dokonuje zakupu baz danych (...). Ponadto potwierdzam na podstawie Pana numeru PESEL, że jako [...] w naszej bazie nie posiadamy Pana danych". Pismem z dnia [...] czerwca 2017 r. Skarżący wystąpił do Spółki [...] o cyt.: "(...) ponowne przeanalizowanie sprawy i odpowiedź na mój z dnia [...] kwietnia 2017 r. w pełnym zakresie. Nadto proszę o podanie nazw, siedzib i danych kontaktowych do podmiotów zewnętrznych działających w imieniu i na rzecz [...] na podstawie zawartej umowy, o których mowa w akapicie nr 2 Państwa pisma z dnia [...] czerwca 2017 r. Dane te niezbędne są do skierowania odpowiednich sprzeciwów dot. moich danych osobowych w bazach tych podmiotów (...). W odpowiedzi na ww. pismo Spółka [...] pismem z dnia [...] czerwca 2017 r. poinformowała Skarżącego cyt.: "(...) wskazane przez Pana w poprzednich pismach numery, z których otrzymywał Pan połączenia z naszą Ofertą nie należą do nas ani do naszych partnerów. Z uwagi na to nie mogę podać Panu danych dotyczących finny, które spod ww. numerów kontaktowały się z Panem (...)." Na wstępie uzasadnienia do wydanej decyzji Generalny Inspektor Ochrony Danych Osobowych wskazał, że postępowanie administracyjne służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 u.o.d.o., zgodnie z brzmieniem którego "w przypadku naruszenia przepisów ustawy o ochronie danych osobowych, Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie uchybień (pkt 1), uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych (pkt 2), zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe (pkt 3), wstrzymanie przekazywania danych osobowych do państwa trzeciego (pkt 4), zabezpieczenie danych lub przekazanie ich innym podmiotom (pkt 5), usunięcie danych osobowych (pkt 6)." Generalny Inspektor Ochrony Danych Osobowych, odnosząc się do zarzutu skarżącego dotyczącego niedopełnienia wobec niego przez Spółkę [...] obowiązku informacyjnego, o którym mowa w art. 33 ust. 1 u.o.d.o., wskazał, iż zgodnie z tym przepisem, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a u.o.d.o. Generalny Inspektor Ochrony Danych Osobowych podniósł, że: zgodnie z art. 33 ust. 2 u.o.d.o. – "na wniosek osoby, której dane dotyczą, informacji, o których mowa w ust. 1, udziela się na piśmie", zgodnie z art. 32 ust. 1 u.o.d.o. - "każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą. zawartych w zbiorach danych, a zwłaszcza prawo do: 1 ) uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska; 2) uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze; 3) uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych; 4) uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie w tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej; 5) uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane; 5a) uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2 ustawy." Wobec powyższego Generalny Inspektor Ochrony Danych Osobowych wskazał, iż z materiału dowodowego niniejszej sprawy wynika, iż skarżący z wnioskiem, o którym mowa w art. 33 ust. 1 u.o.d.o., wystąpił do spółki [...] w dniu [...] kwietnia 2017 r. Następnie, spółka [...] pismem z dnia [...] czerwca 2017 r. skierowanym do skarżącego, na skutek dokonanej weryfikacji na podstawie numeru PESEL skarżącego, przesłanego przez niego spółce [...] w dniu [...] maja 2017 r., poinformowała skarżącego, iż nie posiada jego danych osobowych swojej bazie danych. Generalny Inspektor Ochrony Danych Osobowych uznał, że powyższe stwierdzenie spółki jest jednoznaczne z tym, iż spółka w dacie otrzymania ww. wniosku o spełnienie obowiązku informacyjnego nie przetwarzała danych osobowych skarżącego, a zatem nie była administratorem jego danych osobowych w rozumieniu art. 7 ust. 4 u.o.d.o. Generalny Inspektor Ochrony Danych Osobowych wskazał, że stosownie do art. 7 ust. 4 u.o.d.o., przez administratora danych rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3 u.o.d.o., decydujące o celach i środkach przetwarzania danych osobowych. Generalny Inspektor Ochrony Danych Osobowych podkreślił, iż kwestionowany przez skarżącego obowiązek informacyjny, w zakresie wskazanym w art. 32 ust. 1 pkt 1-5a u.o.d.o., obciąża wyłącznie administratora danych osobowych, zaś spółka nie będąc administratorem danych skarżącego spełniła ww. obowiązek w sposób negatywny, informując skarżącego, iż jego danych osobowych nie przetwarza. Generalny Inspektor Ochrony Danych Osobowych podkreślił, że w okolicznościach niniejszej sprawy, negatywne spełnienie tego obowiązku przez spółkę [...] należy uznać za jego spełnienie zgodnie z wymogami u.o.d.o. Generalny Inspektor Ochrony Danych Osobowych zauważył, iż spółki [...] w szczególności nie obciążał obowiązek informacyjny, o którym mowa w art. 32 ust. 1 pkt 5 ustawy, w zakresie udzielenia Skarżącemu informacji o sposobie udostępniania jego danych, a zwłaszcza informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane, gdyż jak wskazano Spółka nie jest administratorem jego danych osobowych. Dodać również należy, iż z analizy całokształtu materiału dowodowego sprawy wynika ponadto, iż kontakty telefoniczne ze Skarżącym były dokonywane przez podmioty zewnętrzne, a nie współpracujące ze Spółką. Nie może być zatem mowy o przetwarzaniu danych osobowych Skarżącego przez podmioty, o których mowa w art. 31 ustawy, którym Spółka w drodze umowy powierzyłaby to przetwarzanie danych. Tym samym nie można Spółce przypisać naruszenia przepisów ustawy w tym zakresie. Generalny Inspektor Ochrony Danych Osobowych odnosząc się do zarzutu skarżącego dotyczącego niewskazania mu przez spółkę [...] nazw, siedzib i danych kontaktowych do podmiotów zewnętrznych działających w imieniu i na rzecz spółki [...] na podstawie zawartej umowy, wskazał, iż zgodnie z art. 2 ust. 1 u.o.d.o., ustawa o ochronie danych osobowych określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych [...] podniósł, że zgodnie natomiast z art. 6 ust. 1 u.o.d.o., w rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Powyższe, zdaniem Generalnego Inspektora Ochrony Danych Osobowych oznacza, iż w trybie przepisów ustawy można domagać się udostępnienia przez administratora danych osobowych wyłącznie danych osobowych osób fizycznych, przetwarzanych przez tego administratora, jeżeli oczywiście zainteresowany wykaże podstawy prawne uzasadniające te udostępnienie. Tym samym, Generalny Inspektor Ochrony Danych Osobowych stwierdził, że na gruncie ustawy nie można domagać się od administratora danych osobowych podania nazw, siedzib i danych kontaktowych do podmiotów zewnętrznych działających w imieniu i na rzecz spółki [...] na podstawie zawartej umowy, gdyż informacje o nazwach i siedzibach podmiotów gospodarczych nie są danymi osobowymi w rozumieniu ustawy. Pismem z dnia [...] marca 2018 r. skarżący wniósł o ponowne rozpatrzenie sprawy, zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych, nr [...]. Wnosząc o uzupełnienie materiału dowodowego poprzez pozyskanie dodatkowych wyjaśnień od spółki w zakresie firm współpracujących z administratorem danych osobowych, za działanie których [...] ponosi odpowiedzialność jak za własne oraz charakteru prowadzonych przezeń działalności i form tych działalności (osoby fizyczne prowadzące jednoosobową działalność gospodarcza, osoby cywilne, osoby prawne) oraz o zmianę zaskarżanej decyzji w ten sposób aby uwzględnić żądanie skarżącego z wniosku kierowanego do GIODO, na podstawie, którego wszczęto przedmiotowe postępowanie, w części dotyczącej nakazania udostępnienia danych podmiotów wykorzystujących moje dane – skarżący decyzji z dnia [...] marca 2018 r. zarzucił: naruszenie art. 8 k.p.a. - poprzez prowadzenie postępowania [...] w sposób sprzeczny z zasadą pogłębiania zaufania do organów administracyjnych (władzy publicznej) oraz zasad proporcjonalności i równego traktowania a także zasady pewności prawa, naruszenie art. 77 k.p.a. w zw. z art. 80 k.p.a. - poprzez naruszenie obowiązku wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego oraz innych istotnych danych dotyczących sprawy - a także poprzez przekroczenie swobodnej oceny dowodów i niezebranie materiału dowodowego w sposób wyczerpujący i pełny m.in. w zakresie danych podmiotów, wykonujących telefony na rzecz [...], charakteru prowadzonych przezeń działalności (osoba prawna a może osoba fizyczna); sprzeczność wyjaśnień Administratora danych w zakresie posiadania i identyfikacji tych podmiotów, pominięcie, że [...] odpowiada, za działanie tych podmiotów jak za własne (art. 474 kodeksu cywilnego). naruszenie art. 107 § 3 k.p.a. - poprzez niewskazanie w uzasadnieniu zaskarżanej decyzji dla czego organ uznał, że [...] nie posiada danych firm, które na jej rachunek i na korzyść tej spółki wykonują zlecenie/dzieło/umowę agencyjną itp. podczas, gdy we wcześniejszym piśmie Administrator danych wskazał wyraźnie, że na podstawie podanych przeze mnie numerów zidentyfikował współpracujące podmioty, wykonujące zadania na zalecenie [...]. naruszenie art. 18 ust. 1 pkt. 2 u.o.d.o. w zw. z art. 23 u.o.d.o. - poprzez nienakazanie [...] udostępnienia danych podmiotów zidentyfikowanych na podstawie podanych numerów telefonów, które przetwarzają moje dane niezgodnie z prawem na rzecz i rachunek [...] (sprzedając usługi tego podmiotu z zyskiem dla [...]), a tym samym uniemożliwia skarżącemu wystąpienie do tych podmiotów przetwarzających dane osobowe skarżącego, w tym w celach marketingowych. Pismem z dnia [...] kwietnia 2018 r. Generalny Inspektor Ochrony Danych Osobowych poinformował skarżącego, że z uwagi na konieczność uzupełnienia materiału dowodowego, zgromadzonego w niniejszej sprawie, działając na podstawie art. 14 pkt 2 i 3 u.o.d.o., że zwraca się do skarżącego o wskazanie każdego z numeru telefonów, z wykorzystaniem których w ocenie skarżącego spółka [...] lub podmioty z nią współpracujące kontaktowały się ze skarżącym, tj. wykonywały połączenia na posiadane przez skarżącego numery telefonów w okresie, którego skarga dotyczy. Generalny Inspektor Ochrony Danych Osobowych zwrócił się do skarżącego o wykazanie dowodów potwierdzających wyjaśnienia z których wynikać będzie zarówno w jakich dniach oraz w jakich godzinach wskazane połączenia zostały zrealizowane, jak również czas ich trwania. W piśmie z dnia [...] kwietnia 2018 r. skarżący, udzielił odpowiedzi na powyższe wezwanie Generalnego Inspektora Ochrony Danych Osobowych. W piśmie z dnia [...] września 2018 r. – działając na podstawie art. 37 k.p.a. - skarżący wezwał Prezesa Urzędu Ochrony Danych Osobowych do usunięcia naruszeń prawa ze sprawy administracyjnej oznaczonej sygn. akt [...], podnosząc, że w ocenie skarżącego organ ochrony danych osobowych zachowuje się bezczynnie, a postępowanie prowadzone jest przewlekle. Dodatkowo, skarżący zarzucił organowi naruszenie m.in. art. 35 k.p.a., 36 k.p.a., 8 k.p.a., 10 k.p.a., 12 k.p.a. i inne. W piśmie z dnia [...] października 2018 r. skarżący, działając za pośrednictwem organu, skierował do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na przewlekłe prowadzenie przez prezesa Urzędu Ochrony Danych Osobowych postępowania w przedmiocie rozpoznania jego wniosku z dnia [...] października 2017 r. Zarzucając Ministrowi Spraw Wewnętrznych i Administracji przewlekłe prowadzenie postępowania skarżący wniósł o: zobowiązanie Prezesa Urzędu Ochrony Danych Osobowych do zakończenia postępowania administracyjnego o sygn. akt [...] w terminie 30 dni od dnia doręczenia prawomocnego wyroku wydanego w wyniku przedmiotowej skargi, stwierdzenie przewlekłości postępowania administracyjnego przed GIODO o sygn. akt [...], stwierdzenie, że przewlekłość postępowania miała miejsce z rażącym naruszeniem prawa, Wymierzenie Prezesowi Urzędu Ochrony Danych Osobowych grzywny, Zasądzenie od GIODO zwrotu kosztów postępowania przez sądem administracyjnym. W petitum skargi strona skarżąca zarzuciła naruszenie art. 6 k.p.a., art. 8 k.p.a., art. 10 k.p.a., art. 12 § 1 k.p.a., art. 35 k.p.a., art.36 § 1 i 2 k.p.a., art. 37 § 2 i 6 k.p.a. Skarżący stwierdził, że organ od dnia [...] kwietnia 2018 r. nie udzielił skarżącemu żadnej informacji, w tym informacji o przyczynach opóźnienia (vide: art. 36 k.p.a.). Skarżący wskazała, że sposób prowadzenia postępowania przez organ oraz liczne naruszenia przepisów postępowania, a także całkowite lekceważenie skarżącego jako strony zasługują na krytykę, a nadto na stwierdzenie przewlekłości, która zdaniem skarżącego ma miejsce z rażącym naruszeniem prawa. Kończąc, skarżący wskazał, że zachowanie i działanie organu zasługuje także na wymierzenie organowi grzywny, której wysokość powinna być ustalona tak aby zdyscyplinować organ i uniknąć podobnych zaniechań w przyszłości. Skarżący podkreślił, że sprawa nie jest skomplikowana pod względem faktycznym i prawnym oraz nie wymagała od organu nadmiernych czynności czy czasochłonności. W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie. Ustosunkowując się do zarzutów skargi, Prezes Urzędu Ochrony Danych Osobowych podkreślił w uzasadnieniu, że skarżący każdorazowo był informowany o czynnościach podejmowanych przez organ, jak też organ nie uchylał się od rozstrzygnięcia przedstawionej przez skarżącego sprawy. Prezes Urzędu Ochrony Danych Osobowych podkreślił, że przedsięwziął przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych przedmiotowej sprawy i zebraniu materiału dowodowego potrzebnego do rozstrzygnięcia jej decyzją administracyjną. Prezes Urzędu Ochrony Danych Osobowych zaznaczył przy tym, iż to na Prezesie UODO spoczywa statuowany w art. 77 k.p.a. obowiązek wyczerpującego zebrania i rozpatrzenia materiału dowodowego sprawy. Prezes Urzędu Ochrony Danych Osobowych wskazał także, że skarżący często wnosi do organu wiele skarg dotyczących różnych kwestii, którym towarzyszą również, co do zasady, ponaglenia i skargi na przewlekłość postępowania, co stwarza to po stronie organu konieczność podejmowania dodatkowych czynności w każdej sprawie. Kończąc, Prezes Urzędu Ochrony Danych Osobowych uznał, że w przedmiotowej sprawie organ nie unika celowo rozstrzygnięcia w sprawie, ale dokonuje zgodnie z nałożonymi na niego obowiązkami ustawowymi zebrania materiału dowodowego koniecznego do wydania decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z treścią art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2018 r., poz. 2107 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę zgodności z prawem działalności administracji publicznej, która w świetle przepisu art. 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity Dz. U. z 2018 r., poz. 1302 ze zm. - dalej: "p.p.s.a."), odbywa się na zasadach określonych w przepisach tej ustawy. W świetle normy prawnej wyrażonej w przepisie art. 3 § 2 pkt 8 p.p.s.a., kontrola działalności administracji publicznej przez sądy administracyjne obejmuje m.in. orzekanie w sprawach skarg na bezczynność lub przewlekłe prowadzenie postępowania w przypadkach określonych w pkt 1-4 lub przewlekłe prowadzenie postępowania w przypadku określonym w pkt 4a. W przypadku skargi na bezczynność lub przewlekłe prowadzenie postępowania, przedmiotem sądowej kontroli nie jest określony akt lub czynność organu administracji, lecz ich brak w sytuacji, gdy organ miał obowiązek podjąć działanie w danej formie i w określonym przez prawo terminie. Pojęcie "przewlekłego prowadzenia postępowania" pojmowane jest jako prowadzenie postępowania w sposób nieefektywny, poprzez wykonywanie czynności w dużym odstępie czasu bądź wykonywanie czynności pozornych, powodujących, że formalnie organ nie jest bezczynny (por. J. Drachal, J. Jagielski, R. Stankiewicz /w:/ Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, pod red. R. Hausera i M. Wierzbowskiego, Warszawa 2011, s. 69-70). Również w dotychczasowym orzecznictwie sądowym przewlekłe prowadzenie postępowania określane jest jako nieefektywne. Wskazuje się bowiem, że przewlekłość obejmuje opieszałe, niesprawne i nieskuteczne działanie organu, w sytuacji, gdy sprawa mogła być załatwiona w terminie krótszym, jak również nieuzasadnione przedłużanie terminu załatwienia sprawy (por. m.in. wyrok Naczelnego Sądu Administracyjnego z dnia 5 lipca 2012 r., sygn. akt II OSK 1031/12; podobnie: postanowienie Naczelnego Sadu Administracyjnego z dnia 26 lipca 2012 r., sygn. akt II OSK 1360/12). Środkiem zwalczania przewlekłego prowadzenia postępowania w sprawach administracyjnych wszczętych do dnia 31 maja 2017 r. było zażalenie wniesione do organu wyższego stopnia, a jeżeli nie było takiego organu - wezwanie do usunięcia naruszenia prawa. Przepis art. 149 § 1 p.p.s.a. stanowi, iż sąd, uwzględniając skargę na bezczynność lub przewlekłe prowadzenie postępowania przez organy w sprawach określonych w art. 3 § 2 pkt 1 - 4: (1) zobowiązuje organ do wydania w określonym terminie aktu, interpretacji albo do dokonania czynności, (2) zobowiązuje organ do stwierdzenia albo uznania uprawnienia lub obowiązku wynikających z przepisów prawa, (3) stwierdza, że organ dopuścił się bezczynności lub przewlekłego prowadzenia postępowania. Jednocześnie, sąd stwierdza, czy bezczynność lub przewlekłe prowadzenie postępowania przez organ miały miejsce z rażącym naruszeniem prawa (§ 1a). Sąd w przypadku, o którym mowa w § 1 pkt 1 i 2, może ponadto orzec o istnieniu lub nieistnieniu uprawnienia lub obowiązku, jeżeli pozwala na to charakter sprawy oraz niebudzące uzasadnionych wątpliwości okoliczności jej stanu faktycznego i prawnego (§ 1b). W myśl art. 149 § 2 p.p.s.a., sąd, w przypadku, o którym mowa w § 1, może ponadto orzec z urzędu albo na wniosek strony o wymierzeniu organowi grzywny w wysokości określonej w art. 154 § 6 lub przyznać od organu na rzecz skarżącego sumę pieniężną do wysokości połowy kwoty określonej w art. 154 § 6. Należy zauważyć, że przepisy ustawy - Prawo o postępowaniu przed sądami administracyjnymi nie definiują pojęcia przewlekłości. Jednocześnie, podnosi się w doktrynie, że "przewlekłe prowadzenie postępowania przez organ" polega na niepodejmowaniu przez organ skutecznych działań na podstawie przepisów k.p.a., przez co nie dochodzi do wydania rozstrzygnięcia (por. m.in. J. Drachal, J. Jagielski, R. Stankiewicz /w:/ Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, pod red. prof. R. Hausera i prof. M. Wierzbowskiego, wyd. 5, Wydawnictwo C.H. Beck, Warszawa 2017). W przypadku przewlekłości postępowania, czynności organu można również uważać za "pozorowane", w tym sensie, iż organ przeprowadza czynności nieistotne dla sprawy lub mnoży czynności postępowania dowodowego, pozostając w sprzeczności z koniecznością zachowania wymogu ekonomiki postępowania administracyjnego. Przy kwalifikowaniu "przewlekłości postępowania" powstaje więc sytuacja, w której działa opieszale lub tylko pozoruje działania (formalnie nie będąc bezczynnym). Jak wynika z akt sprawy skarżący wystąpił w dniu [...] października 2017 r. do Prezes Urzędu Ochrony Danych Osobowych (dawniej: Generalny Inspektor Ochrony Danych Osobowych, jako organu właściwego, o wszczęcie postępowania administracyjnego i wydanie decyzji – w sprawie dotyczącej przetwarzania danych osobowych skarżącego przez [...], z siedzibą w [...], przy ul. [...]. W tym miejscu, należy wskazać, że decyzje wydawane przez organ na podstawie powyżej przytoczonego przepisu mają charakter decyzji uznaniowych, gdyż określone w nim przesłanki nie są jednoznaczne i pozostawiają organowi swobodę dokonania ich oceny, oczywiście na podstawie ustalonego stanu faktycznego sprawy znajdującego potwierdzenie w zebranym materiale dowodowym. Zgodnie z art. 12 k.p.a., organy administracji publicznej powinny działać w sprawie wnikliwie i szybko, posługując się możliwie najprostszymi środkami prowadzącymi do jej załatwienia. Sprawy, które nie wymagają zbierania dowodów, informacji lub wyjaśnień, powinny być załatwione niezwłocznie. Zasada szybkości postępowania wyrażona w powyżej przytoczonym przepisie jest ściśle związana z regulacjami zawartymi w art. 35-38 k.p.a., nie może jednak pozostawać w sprzeczności z obowiązkiem organu dokładnego wyjaśnienia stanu faktycznego oraz dokładnego wyjaśnienia sprawy, mając na względzie interes społeczny i słuszny interes obywatela. Niekiedy może to się wiązać z koniecznością dłuższego prowadzenia postępowania, wówczas - stosownie do treści art. 36 § 1 k.p.a. - organ obowiązany jest zawiadomić o tym strony, podając przyczyny zwłoki i wskazując nowy termin załatwienia sprawy. W art. 35 k.p.a. określone zostały terminy do załatwienia sprawy przez organ administracji publicznej, a przepis ten zobowiązuje organy administracji publicznej do załatwiania spraw bez zbędnej zwłoki, co stanowi realizację zasady zawartej w art. 12 k.p.a. Załatwienie sprawy wymagającej postępowania wyjaśniającego powinno nastąpić nie później, niż w ciągu miesiąca, a sprawy szczególnie skomplikowanej - nie później niż w ciągu dwóch miesięcy od daty wszczęcia postępowania (art. 35 § 3 k.p.a.). Ponadto, w każdym przypadku niezałatwienia sprawy w ustawowym terminie organ powinien podać stronom przyczyny zwłoki i wskazać nowy termin załatwienia sprawy, co wynika z art. 36 § 1 k.p.a., zaś ten sam obowiązek ciąży na organie administracji publicznej również w przypadku zwłoki w załatwieniu sprawy z przyczyn niezależnych od organu (art. 36 § 2 k.p.a.). Podkreślić trzeba też, że samo informowanie o niezałatwieniu sprawy w terminie nie chroni organu przed zarzutem przewlekłości postępowania, ponieważ działania organu w tym zakresie również podlegają kontroli sądu administracyjnego. W sprawach ze skargi na przewlekłość postępowania administracyjnego sąd administracyjny bada, czy podejmowane przez organ czynności zmierzają do należytego i szybkiego załatwienia sprawy. Natomiast z bezczynnością organu mamy do czynienia wtedy, gdy organ w ogóle nie podejmuje żadnych czynności. Chociaż zgodnie z treścią art. 35 § 1 k.p.a., organy administracji publicznej obowiązane są załatwiać sprawy bez zbędnej zwłoki, to przedmiotowa sprawa do dnia 3 października 2018 r., tj. do dnia wniesienia skargi na przewlekłość, nie została zakończona poprzez wydanie decyzji, a czynności w niej podejmowane, opisane w skardze i znajdujące odzwierciedlenie w aktach administracyjnych, podejmowane były w kilkumiesięcznych odstępach czasu. W tej sytuacji, zwłoka, jakiej dopuścił się Minister Spraw Wewnętrznych i Administracji w załatwieniu sprawy, nie może budzić żadnych wątpliwości w świetle art. 35 § 1 k.p.a. Na marginesie, warto zauważyć, że do dnia orzekania przez Wojewódzki Sąd Administracyjny w Warszawie i wydania w niniejszej sprawie wyroku z dnia 6 listopada 2019 r., organ rozpatrzył wniosek strony skarżącej z dnia [...] października 2017 r. i wydał stosowną decyzję w dniu [...] grudnia 2018 r. (vide: notatka służbowa pracownika WSA w Warszawie z dnia [...] listopada 2019 r. - k. 19 akt sądowych). W ocenie Sądu, działania organu mieszczą się w zakresie pojęcia przewlekłości, zwłaszcza, gdy weźmie się pod uwagę odstępy czasu pomiędzy poszczególnymi czynnościami oraz ich pozorność. Mając powyższe na uwadze, stwierdzić należy, że złożona skarga jest w pełni uzasadniona. Nie ulega bowiem wątpliwości, że w prowadzonym postępowaniu organ uchybił powołanym powyżej przepisom k.p.a. Nie można zatem przyjąć, że organ działał w sprawie wnikliwie i szybko, czy też bez zbędnej zwłoki oraz że na bieżąco monitorował sprawę, np. poprzez ponaglanie innych organów do przekazania żądanych informacji (dokumentów). W aktach sprawy znajdują się co prawda zawiadomienia skierowane do strony skarżącej, w których organ informował, że sprawa zostanie załatwiona w późniejszym terminie, jednakże sprawa w kolejnych terminach wskazywanych przez Ministra nie została załatwiona. W ocenie Sądu, czynności podjęte po tym terminie świadczą w oczywisty sposób o przewlekłości organu. Ponadto, należy zwrócić uwagę, że w przedmiotowej sprawie podejmowane przez Prezesa Urzędu Ochrony Danych Osobowych czynności nie zmierzały do jej szybkiego rozstrzygnięcia. Podkreślić należy, że ustawa o ochronie danych osobowych nie zawiera odrębnych od k.p.a. przepisów dotyczących terminów załatwienia sprawy, jak również nie wyłącza stosowania przepisów k.p.a. Kwestie związane z trudnościami organu wynikającymi z konieczności dokonania kwerendy akt nie zwalniają organu administracji publicznej z zarzutu przewlekłości. Pogląd ten jest zgodny z powszechnie aprobowaną zasadą, że realizacja kompetencji organu administracji publicznej jest jego prawnym obowiązkiem, od którego nie zwalniają go tzw. trudności obiektywne w postaci złożoności sprawy, kumulacji spraw, braku etatów, czy też środków pieniężnych. Poza tym, nie ulega wątpliwości, że strona skarżąca nie może ponosić negatywnych skutków braku działań leżących po stronie organu, w tym w zakresie dotrzymywania terminów załatwienia sprawy. Zgodnie z art. 149 § 1 p.p.s.a., uznając skargę na przewlekłe prowadzenie postępowania przez organ za zasadną, Sąd stwierdza, czy przewlekłość ta miała miejsce z rażącym naruszeniem prawa. Obowiązek wydania rozstrzygnięcia w tym przedmiocie wprowadzony został ustawą z dnia 20 stycznia 2011 r. o odpowiedzialności majątkowej funkcjonariuszy publicznych za rażące naruszenie prawa (Dz. U. z 2011 r. Nr 34, poz. 173), która weszła w życie z dniem 17 maja 2011 r. W orzecznictwie sądowym wskazuje się, że rażącym naruszeniem prawa jest stan, w którym bez żadnej wątpliwości i wahań można stwierdzić, że naruszono prawo w sposób oczywisty, przy czym każdorazowo taka ocena musi być dokonana przy uwzględnieniu okoliczności danej sprawy (por. m.in. wyrok Naczelnego Sądu Administracyjnego z dnia 21 czerwca 2012 r., sygn. akt I OSK 675/12). W judykaturze przyjmuje się jednocześnie, że za rażące naruszenie przepisów art. 35 k.p.a. i art. 36 k.p.a. można uznać, ich oczywiste niezastosowanie lub zastosowanie nieprawidłowe, jak również długotrwałość prowadzenia postępowania, czy też brak jakiejkolwiek aktywności organu. Jednocześnie słownikowe znaczenie słowa "rażący" oznacza "rzucający się w oczy, bardzo duży, oczywisty" (vide: Mały słownik języka polskiego pod red. S. Skorupki, H. Auderskiej, Z. Łempickiej, PWN, Warszawa 1969). W ocenie Sądu, zarówno dotychczasowy czas trwania postępowania z wniosku R.Z. w przedmiocie wszczęcia postępowania administracyjnego i wydania decyzji – w sprawie dotyczącej przetwarzania danych osobowych skarżącego przez [...], jak i brak po stronie organu w toku trwania postępowania zintensyfikowanych działań, które wskazywałyby jednoznacznie, że Prezes UODO faktycznie zmierzał do jak najszybszego zakończenia postępowania, lecz na przeszkodzie stanęła okoliczność, która usprawiedliwiałaby choćby czasowy brak działania, powodują, że konieczne stało się stwierdzenie, że przewlekłość miała charakter rażącego naruszenia prawa. W ocenie Sądu, trzeba wskazać, iż skarżący na dzień wniesienia w niniejszej sprawie skargi oczekiwał około dziewięciu miesięcy na rozstrzygnięcie przez Prezesa UODO jego wniosku z dnia [...] października 2017 r. Sąd uznał jednak, że – zgodnie z żądaniem strony skarżącej - są podstawy do przyznania sumy pieniężnej w wysokości 500 złotych tytułem kary grzywny za przewlekłe prowadzenie postępowania. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie - działając na podstawie art. 149 § 1 i 2 p.p.s.a. - orzekł, jak w sentencji wyroku.