II SA/Wa 1390/20

SENTENCJA Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), Sędzia WSA Łukasz Krzycki, Sędzia WSA Piotr Borowiecki, , , po rozpoznaniu w trybie uproszczonym w dniu 17 listopada 2020 r. sprawy ze skargi E. W. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2020 r. nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę UZASADNIENIE Przedmiotem rozpoznania w niniejszej sprawie jest skarga E. W. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych znak [...] z dnia [...] maja 2020 r. w przedmiocie odmowy wszczęcia postępowania. Skarga została złożona w następującym stanie faktycznym sprawy: W dniu [...] lipca 2019 r. (data wpływu do organu) E. W. (zwana dalej: wnioskodawczyni, skarżąca), wniosła do Prezesa Urzędu Ochrony Danych Osobowych (zwany dalej: PUODO, organ), wniosek o nakazanie udostępnienia przez [...] spółka z ograniczoną odpowiedzialnością z siedzibą w W. (zwana dalej: spółka) na jej rzecz danych osobowych użytkownika, który anonimowo zamieścił na stronie internetowej [...] komentarz o treści [...], w zakresie adresu IP, imienia, nazwiska, adresu zamieszkania i adresu poczty elektronicznej. W treści wniosku wskazała, że skierowała do spółki wniosek o udostępnienie ww. danych, który nie został zrealizowany. Skarżąca podniosłą także, że przedmiotowy wpis narusza jej dobra osobiste. Postanowieniem znak [...] z dnia [...] maja 2020 r. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej: PUODO, organ), działając na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256, zwana dalej: k.p.a.) w związku z art. 7 ust. 1 ustawy dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781 ze zm., zwana dalej: u.o.d.o.), postanowił odmówić wszczęcia postępowania w sprawie skarżącej o nakazanie udostępnienia przez spółkę na jej rzecz danych osobowych użytkownika, który anonimowo zamieścił na stronie internetowej [...] komentarz o treści [...], w zakresie adresu IP, imienia, nazwiska, adresu zamieszkania i adresu poczty elektronicznej. W uzasadnieniu podjętego rozstrzygnięcia organ wskazał, iż brak jest podstaw prawnych do wszczęcia postępowania zgodnego z żądaniem wnioskodawczyni. Wyjaśnił w tym zakresie, że z treści art. 58 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46AVE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z 23.05.2018, str. 2, zwane dalej: rozporządzeniem 2016/679), określającego uprawnienia organu nadzorczego, nie wynika uprawnienie organu do nakazania administratorowi lub podmiotowi przetwarzającemu ujawnienia danych osobowych osobie trzeciej. Wyjaśnił, że w uprzednio obowiązującym stanie prawnym - przed 25 maja 2018 r: polski organ nadzorczy uznawał się za kompetentny do wydawania ww. nakazów na podstawie art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.). Przepis ten określał, że polski organ ochrony danych w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych "w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem", w tym mógł nakazać "uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych". Obecnie obowiązująca ustawa o ochronie danych osobowych (z dnia 10 maja 2018 r.) nie zawiera podobnych przepisów. W niniejszej sprawie wnioskodawczyni wystąpiła z żądaniem, które nie mieści się w kompetencjach przyznanych PUODO, zatem zachodzi określona w art. 61a § 1 k.p.a., przesłanka odmowy wszczęcia postępowania z "innych uzasadnionych przyczyn". Przyczyny te nie zostały skonkretyzowane w k.p.a., dlatego należy przez nie rozumieć takie sytuacje, które w sposób oczywisty stanowią przeszkodę do wszczęcia i prowadzenia postępowania administracyjnego w danej sprawie (np. gdy w tej samej sprawie postępowanie administracyjne już toczy się, albo w sprawie takiej zapadło już rozstrzygnięcie, lub gdy w przepisach prawa brak jest podstawy materialnoprawnej do rozpatrzenia żądania w trybie administracyjnym). Przedmiot postępowania wiąże się ze stosowaniem przez organ publiczny przepisów materialnego prawa administracyjnego. "Bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 k.p.a., oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. W skardze złożonej na powołane rozstrzygnięcie do sądu administracyjnego skarżąca, reprezentowana przez profesjonalnego pełnomocnika, wniosła o uchylenie zaskarżonego postanowienia w całości oraz zasądzenie zwrotu kosztów postępowania. Wydanemu postanowieniu skarżąca zarzuciła naruszenie: I. przepisów postępowania mogące mieć istotny wpływ na wynik sprawy, tj.: 1. art. 61a § 1 k.p.a. w związku z art. 7 ust. 1 u.o.d.o. poprzez jego zastosowanie i błędne uznanie, iż w przedmiotowej sprawie zachodzi przesłanka odmowy wszczęcia postępowania z "innych uzasadnionych przyczyn", w sytuacji gdy do zadań organu wynikających z przepisów rozporządzenia 2016/679 należą w szczególności: egzekwowanie stosowania rozporządzenia 2016/679, a także prowadzenie postępowań w sprawie jego stosowania, a zatem przyjąć należało, iż w okolicznościach przedmiotowej sprawy spełnione zostały wszystkie przesłanki do prowadzenia postępowania i wydania merytorycznego rozstrzygnięcia, co skutkowało bezpodstawną odmową wszczęcia postępowania; II. przepisów prawa materialnego, które miały wpływ na wynik sprawy, tj.: 1. art. 57 ust. 1 lit. a), f) i h) w związku z art. 58 ust. 1 lit. a) i e) rozporządzenia 2016/679 poprzez niewszczęcie postępowania w sprawie stosowania rozporządzenia 2016/679 oraz niepodjęcie działań zmierzających do udostępnienia danych osobowych przez administratora danych, w sytuacji gdy spółka odmawiając skarżącej udostępnienia wnioskowanych przez nią danych osobowych użytkownika, który anonimowo zamieścił na stronie internetowej www.rankinglekarzy.pl komentarz o treści: "Kobieta liczy tylko na koperty" uniemożliwiając jej tym samym podjęcie dalszych działań służących identyfikacji ww. osoby celem wszczęcia postępowania sądowego naruszyła przepisy rozporządzenia 2016/679; 2. art. 58 ust. 2 lit. b) rozporządzenia 2016/679 poprzez jego niezastosowanie i nieudzielenie upomnienia spółce, w sytuacji gdy administrator danych odmawiając skarżącej udostępnienia wnioskowanych przez nią danych osobowych użytkownika, który anonimowo zamieścił na stronie internetowej www.rankinglekarzy.pl komentarz o treści: "Kobieta liczy tylko na koperty" uniemożliwiając jej tym samym podjęcie dalszych działań służących identyfikacji ww. osoby celem wszczęcia postępowania sądowego, naruszył przepisy rozporządzenia 2016/679; 3. art. 58 ust. 2 lit. d) rozporządzenia 2016/679 poprzez jego niezastosowanie i nienakazanie spółce dostosowania operacji przetwarzania do przepisów rozporządzenia ogólnego, w sytuacji gdy administrator danych odmawiając Skarżącej udostępnienia wnioskowanych przez nią danych osobowych użytkownika, który anonimowo zamieścił na stronie internetowej www.rankinglekarzy.pl komentarz o treści: "Kobieta liczy tylko na koperty" uniemożliwiając jej tym samym podjęcie dalszych działań służących identyfikacji ww. osoby celem wszczęcia postępowania sądowego, naruszył przepisy rozporządzenia 2016/679. W uzasadnieniu skargi przedstawione wyżej zarzuty zostały szczegółowo omówione. W odpowiedzi na skargę organ wniósł o oddalenie skargi, podnosząc argumentację tożsamą z tą jaką prezentował w zaskarżonym postanowieniu. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie mogła zostać uwzględniona. W pierwszej kolejności należy odnieść się do zarzutu naruszenia art. 61a k.p.a. Zgodnie z treścią tego przepisu, gdy żądanie wszczęcia postępowania zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. Sąd podziela stanowisko organu, że w niniejszej sprawie skarżąca wystąpiła z żądaniem, które nie mieści się w jego kompetencjach, a zatem zaistniała przesłanka odmowy wszczęcia postępowania z "innych uzasadnionych przyczyn". Jakkolwiek przyczyny te nie zostały skonkretyzowane w k.p.a., rozumie się przez nie takie, które w sposób oczywisty stanowią przeszkodę do wszczęcia i prowadzenia postępowania administracyjnego w danej sprawie, np. gdy w przepisach prawa brak jest podstawy materialnoprawnej do rozpatrzenia żądania w trybie administracyjnym, brak jest przedmiotu postępowania. Jak trafnie zauważył organ, bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 k.p.a. oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, nie można więc wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Nie budzi wątpliwości, że gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji wydaje postanowienie o umorzeniu postępowania. Tak właśnie stało się w niniejszej sprawie. Katalog uprawnień naprawczych organu nadzorczego został ściśle określony w art. 58 ust. 2 RODO i jest on dla organu wiążący w zakresie prowadzonego przez niego postępowania, dotyczącego określonego naruszenia ochrony danych osobowych. Również za nieuzasadnione Sąd uznał zarzuty naruszenia prawa materialnego (tj. art. 57 ust. 1 lit. a, lit. f oraz lit. h RODO w zw. art. 58 ust. 1 lit. a oraz lit. e RODO, a także art. 58 ust. 2 lit b. oraz lit. d RODO). Zgodnie z art. 57 ust. 1 RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium: a) monitoruje i egzekwuje stosowanie niniejszego rozporządzenia; f) rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym; h) prowadzi postępowania w sprawie stosowania niniejszego rozporządzenia, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego. W myśl art. 58 ust. 2 lit b) RODO, każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze, tj. udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania. W przedmiotowej sprawie Skarżąca zwróciła się z wnioskiem o udostępnienie na jej rzecz danych osobowych osób trzecich. Realizacja takiego żądania wymagałaby posiadania przez Prezesa Urzędu kompetencji do nakazania udostępnienia danych osoby trzeciej. W katalogu uprawnień Prezesa UODO brak jest jednak kompetencji do nakazania udostępnienia danych osobowych osobie trzeciej. Przepis art. 58 ust. 6 RODO przewiduje możliwość rozszerzenia zakresu kompetencji organu nadzorczego w przepisach krajowych, jednak nie zostały one przewidziane w ustawie z 2018 roku. Uprawnienia organu, wynikające z art. 58 ust. 2 lit. b oraz lit. d RODO mają zastosowanie, gdy w toku postępowania stwierdzone zostanie naruszenie przepisów o ochronie danych osobowych. Do naruszenia przepisów o ochronie danych osobowych dochodzi m.in. w razie stwierdzenia niezgodności procesu przetwarzania z zasadami przetwarzania danych lub przesłankami legalizującymi, czy też w razie naruszenia przez administratora lub podmiot przetwarzający praw osoby, której dane dotyczą. Prawa te określone są w Rozdziale III RODO i nie zawierają uprawnienia do żądania udostępnienia danych osobowych osób trzecich. Realizacja tych praw może odbywać się jedynie w zakresie danych osobowych osoby, której dane te dotyczą. Niesłusznym jest więc wskazywanie, że udzielenie administratorowi danych upomnienia bądź nakazanie dostosowania operacji przetwarzania danych osobowych do przepisów RODO jest tożsame z nakazem udostępnienia danych osób trzecich na rzecz Skarżącej, a tym bardziej by skorzystanie z tych uprawnień naprawczych w rzeczywistości skutkowało udostępnieniem danych osobowych, których żądała w swoim wniosku Skarżąca. Podsumowując, Sąd podziela stanowisko, że Prezes Urzędu może podejmować jedynie takie działania, które mieszczą się w posiadanych przez niego kompetencjach art. 58 ust. 2 RODO. Skoro więc nie posiada obecnie uprawnień, których wykorzystania żąda skarżąca, nie mógł zadośćuczynić jej żądaniu. Z tych przyczyn za nieuzasadnione należy uznać zarzuty skargi, dotyczące naruszenia przytoczonych wyżej przepisów RODO. Z uwagi na zmianę brzmienia ustawy RODO, organ nie posiada obecnie kompetencji, potrzebnych do spełnienia żądania skargi w tym zakresie. Mając powyższe na uwadze Sąd, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2019 r. poz. 2325 ze zm.) orzekł, jak w sentencji wyroku.