III OSK 4336/21

SENTENCJA Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Zbigniew Ślusarczyk Sędziowie Sędzia NSA Olga Żurawska - Matusiak Sędzia del. WSA Dariusz Chaciński (spr.) po rozpoznaniu w dniu 3 listopada 2021 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej W.A. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 29 września 2020 r. sygn. akt II SA/Wa 2475/19 w sprawie ze skargi W. A. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną. UZASADNIENIE Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 29 września 2020 r. II SA/Wa 2475/19 oddalił skargę W. A. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z [...] września 2019 r. w przedmiocie przetwarzania danych osobowych. Skargę kasacyjną od powyższego wyroku wniosła W. A.. Zaskarżając wyrok w całości zarzuciła mu naruszenie: I. prawa materialnego, tj.: 1. art. 51 ust. 1 i 2 Konstytucji RP, art. 5 ust. 1 lit. a), c), f) i ust. 2 w zw. z art. 6 ust. 1 lit. a), c), e) ,f) oraz ust. 3 i 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej: RODO), poprzez ich niezastosowanie w przedmiocie ustalenia sprawy co do istoty i wadliwym przyjęciu, że dane osobowe były przetwarzane prawidłowo w sytuacji szczątkowych ustaleń faktycznych i dowolnego zawężenia postępowania; 2. art. 12 ust. 1 w zw. z art. 15 ust. 1 lit. a) w zw. z art. 13 ust. 1 lit. c), d) i ust. 3 oraz art. 14 ust. c), e) i ust. 2 lit. b) RODO poprzez ich niezastosowanie prowadzące do nieustalenia stanu faktycznego dotyczącego udostępniania danych osobowych innym podmiotom niż odbiorcy danych, o których mowa w art. 15 ust. 1 lit. c) RODO; II. przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.: 1. art. 151 p.p.s.a. w zw. z art. 104 § 1 i § 2, art. 107 § 1 pkt 5 i 6 oraz art. 7 i art. 77 § 1 k.p.a. w zw. z art. 57 ust. 1 lit. f RODO poprzez ich niewłaściwe zastosowanie, co doprowadziło do oddalenia skargi wskutek wadliwego przyjęcia, że przedmiotem rozstrzygnięcia było nakazanie ZUS-owi udzielenia wyjaśnień skarżącej co do informacji wynikających z art. 15 ust. 1 lit. c) RODO (pkt 1 zaskarżonej decyzji) i wadliwego przyjęcia, że oddalenie skargi w pozostałym zakresie (pkt 2 zaskarżonej decyzji) stanowi rozstrzygnięcie sprawy co do istoty; 2. art. 145 § 1 lit. a) i c) p.p.s.a. w zw. z art. z art. 104 § 1 i § 2, art. 107 § 1 pkt 5 i 6 oraz art. 7 i art. 77 § 1 k.p.a. w zw. z art. 57 ust. 1 lit. f RODO poprzez ich niewłaściwe zastosowanie i nie orzeczenie o uchyleniu decyzji w całości, podczas gdy w sprawie nie dokonano rozstrzygnięcia istoty sprawy zgodnie z treścią wniosku skarżącej i ustalono szczątkowy stan faktyczny. Wobec powyższego skarżąca kasacyjnie wniosła o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, a także zasądzenie zwrotu kosztów postępowania obejmujących koszty zastępstwa procesowego, według norm prawem przewidzianych. Oświadczyła także o zrzeczeniu się rozprawy. W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie. Naczelny Sąd Administracyjny zważył, co następuje. Zgodnie z art. 174 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.) – p.p.s.a. – skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie; 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, albowiem zgodnie z art. 183 § 1 p.p.s.a. rozpoznając sprawę w granicach skargi kasacyjnej, bierze z urzędu pod rozwagę jedynie nieważność postępowania. Przesłanki nieważności określone w art. 183 § 2 p.p.s.a. w tej sprawie nie wystąpiły. Kontrolując zatem zgodność z prawem zaskarżonego wyroku w granicach skargi kasacyjnej, Naczelny Sąd Administracyjny ograniczył tę kontrolę do wskazanych w niej zarzutów. Rozpatrywana pod tym kątem skarga kasacyjna nie ma usprawiedliwionych podstaw. Zgodnie z art. 193 zdanie drugie p.p.s.a. uzasadnienie wyroku oddalającego skargę kasacyjną zawiera ocenę zarzutów skargi kasacyjnej. Zatem Naczelny Sąd Administracyjny nie przedstawia w uzasadnieniu wyroku oddalającego skargę kasacyjną opisu ustaleń faktycznych i argumentacji prawnej podawanej przez organ i Sąd I instancji. Jeśli skarga kasacyjna oparta jest na obydwu podstawach kasacyjnych, co do zasady rozpatrzeniu w pierwszej kolejności podlegać powinny zarzuty dotyczące naruszenia przepisów postępowania, albowiem zarzuty dotyczące naruszenia prawa materialnego mogą być oceniane przez Naczelny Sąd Administracyjny wówczas, gdy stan faktyczny sprawy i motywy rozstrzygnięcia nie budzą wątpliwości. W. A. skierowała do Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Zakład Ubezpieczeń Społecznych. Zarzuciła, że ZUS bezpodstawnie odmówił jej udzielenia informacji na temat procesu przetwarzania jej danych osobowych, co uzasadnia podejrzenie, że ZUS dokonał nieuprawnionego udostępnienia jej danych osobowych w zakresie dotyczącym stanu zdrowia, pozyskanych w związku z kontrolą zasadności zwolnienia lekarskiego. Zaskarżoną decyzją z [...] września 2019 r. Prezes Urzędu Ochrony Danych Osobowych (PUODO) nakazał Zakładowi Ubezpieczeń Społecznych z siedzibą w Warszawie (ZUS), spełnienie w stosunku do W. A. obowiązku informacyjnego z art. 15 ust. 1 lit. c) RODO, poprzez udzielenia jej informacji o tym, czy dotyczące jej dane osobowe zostały przez ZUS udostępnione, a jeżeli tak, poprzez równoczesne poinformowanie jej o odbiorcach tych danych i odmówił uwzględnienia wniosku w pozostałym zakresie. PUODO uznał, że skarżąca nie zakwestionowała legalności przetwarzania jej danych osobowych przez ZUS co do zasady, a jedynie legalność ewentualnego udostępniania jej danych osobowych na rzecz innych podmiotów. Tymczasem PUODO ustalił, opierając się na wyjaśnieniach inspektora ochrony danych osobowych ZUS, który w piśmie do PUODO z 6 maja 2019 r. stwierdził (po przeprowadzeniu postępowania wyjaśniającego), że dane osobowe W. A. we wskazanym przez nią okresie nie zostały przez ZUS udostępnione żadnym podmiotom zewnętrznym. W konsekwencji PUODO orzekł jedynie o wypełnieniu obowiązku informacyjnego. Zarzuty skargi kasacyjnej, podniesione w ramach drugiej podstawy kasacyjnej (art. 174 pkt 2 p.p.s.a.), koncentrują się na tym, że PUODO nie rozstrzygnął istoty sprawy zgodnie z treścią wniosku skarżącej i ustalił szczątkowy stan faktyczny. Do poszczególnych zarzutów z tej podstawy kasacyjnej nie sposób odnieść się precyzyjnie ze względu na ich redakcję. "Zarzut naruszenia prawa musi być postawiony wyraźnie, to znaczy należy wskazać konkretny przepis prawa i określić sposób jego naruszenia, gdyż Naczelny Sąd Administracyjny nie powinien formułować za stronę zarzutów skargi kasacyjnej. W świetle art. 174 p.p.s.a. tworzenie niespójnej zbitki przepisów – szeregu norm prawnych, które miał rzekomo naruszyć sąd pierwszej instancji, bez wskazania konkretnie na czym polega naruszenie każdej z tych norm, jest nieprawidłowe" (zob. np. wyrok NSA z 27.06.2019 r. I FSK 934/17, LEX nr 2694714). W tej sprawie mamy właśnie do czynienia z taką zbitką przepisów, która według autorki skargi kasacyjnej ma świadczyć o tym, że nie rozpoznano istoty sprawy i ustalono szczątkowy stan faktyczny, a Sąd I instancji ten stan rzeczy zaakceptował. Z uzasadnienia skargi kasacyjnej wynika bowiem, że cyt. "Zaskarżona decyzja nie zawierała zatem rozstrzygnięcia co do istoty sprawy. Przedmiotem bowiem sprawy było ustalenie stanu faktycznego w zakresie prawa materialnego wynikającego z art. art. 5 ust. 1 lit. a), c), f) i ust. 2 w zw. z art. 6 ust. 1 lit. a), c), e), f), ust. 3 i 4 oraz art. 9 ust. 1 oraz art. 12 ust. 1 w zw. z art. 15 ust. 1 lit. a) RODO co do informacji, o których mowa w art. 13 ust. 1 lit. c), d), e) i ust. 3 i art. 14 ust. c) i ust. 2 lit. b) RODO." Badanie zgodności z prawem, rzetelności i przejrzystości przetwarzania danych osobowych przez ZUS, adekwatności (minimalizacji danych), bezpieczeństwa danych, rozliczalności administratora (art. 5 ust. 1 i 2 RODO) oraz przestrzegania zasad zgodności z prawem przetwarzania danych osobowych skarżącej (art. 6 RPDO), w tym jej danych wrażliwych (art. 9 ust. 1 RODO) – stanowiłoby istotę sprawy wówczas, gdyby zostało potwierdzone udostępnienie danych osobowych skarżącej kasacyjnie jakiemukolwiek odbiorcy. Z możliwych form przetwarzania (art. 4 pkt 2 RODO) skarżąca kasacyjnie wskazuje jedynie na niezgodne z prawem udostępnienie jej danych. Jeśli do udostępnienia danych nie doszło – co wynika z dotychczasowych ustaleń organu – to badanie aspektów materialnoprawnych przetwarzania danych, jeśli do przetwarzania we wskazanej przez skarżącą formie nie doszło, jest bezprzedmiotowe. Skarżąca kasacyjnie wskazuje na szczątkowe (czyli niepełne) ustalenia faktyczne i podważa wiarygodność ustaleń PUODO, co do tego, że do udostępnienia jej danych nie doszło (zarzut naruszenia art. 7 i art. 77 § 1 k.p.a. w powiązaniu z art. 145 § 1 pkt 1 lit. c i art. 151 p.p.s.a.), nie wskazując przy tym nawet art. 80 k.p.a. odnoszącego się do oceny zgromadzonych dowodów. Co jednak najistotniejsze (a czego skarga kasacyjna wprost nie podnosi), jeśli skarżąca uważała, że poprzestanie przez PUODO na wyjaśnieniu przesłanym mu przez inspektora ochrony danych osobowych ZUS w piśmie z 6 maja 2019 r. jest niewystarczające, to powinna podnosić zarzut braku kontroli w tej sprawie u administratora danych (choćby tego, czy ktokolwiek żądał od ZUS udostępnienia danych skarżącej i na jakiej podstawie prawnej). Art. 57 ust. 1 lit. f RODO to jedynie przepis kompetencyjny, który stanowi, że organ nadzorczy na swoim terytorium rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym. Zgodnie natomiast z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem UODO stosuje się k.p.a. Pierwszeństwo mają więc regulacje z u.o.d.o., a tu jest szczególny przepis (art. 68 ust. 1), który stanowi o postępowaniu kontrolnym w razie konieczności uzupełnienia dowodów. Problem w tym, że przepis ten (ani żadna inna regulacja z u.o.d.o.) nie zostały powołane w podstawach skargi kasacyjnej, nie mówiąc o wykazaniu niezbędności przeprowadzenia kontroli w zaistniałej sytuacji. Jeśli zatem jest zarzut, że materiał dowodowy nie został prawidłowo zebrany, kiedy PUODO opiera się tylko na informacji z ZUS, a nie powołuje się art. 68 ust. 1 u.o.d.o., ani art. 80 k.p.a., to taki zarzut nie może być skuteczny. Stwierdzić więc należy, że skarżąca kasacyjnie nie zakwestionowała skutecznie ustaleń PUODO, że nie doszło do udostępnienia jej danych osobowych, przetwarzanych przez ZUS, żadnemu innemu odbiorcy. To czyni również bezprzedmiotowym odnoszenie się do zarzutów naruszenia prawa materialnego, co wyjaśniono już wyżej. Mając to na uwadze, Naczelny Sąd Administracyjny na podstawie art. 184 p.p.s.a. oddalił skargę kasacyjną, jako pozbawioną usprawiedliwionych podstaw. Sprawę rozpoznano na posiedzeniu niejawnym, w trybie art. 182 § 2 p.p.s.a.