II SA/Wa 1992/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Piotr Borowiecki (spr.), Sędzia WSA Andrzej Wieczorek, po rozpoznaniu w trybie uproszczonym w dniu 11 marca 2024 r. sprawy ze skargi E. N. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2023 r. nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę

Zaskarżonym postanowieniem z dnia [...] sierpnia 2023 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2023 r., poz. 775 ze zm. - dalej także: "k.p.a.") w związku z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781 - dalej także: "u.o.d.o."), w sprawie zainicjowanej wnioskiem E. N. (dalej także: "skarżąca" lub "strona skarżąca") z dnia [...] marca 2023r. o nakazanie Zakładowi Ubezpieczeń Społecznych (dalej także: "ZUS") udostępnienia danych osobowych pracownika Zakładu Ubezpieczeń Społecznych, który przesłał na swój prywatny adres poczty elektronicznej niezabezpieczony hasłem (niezaszyfrowany) plik zawierający dane osobowe E. N. - odmówił wszczęcia postępowania. Zaskarżone postanowienie Prezesa UODO zostało wydane w następującym stanie faktycznym. W piśmie z dnia [...] marca 2023 r. skarżąca E. N. wystąpiła do Prezesa Urzędu Ochrony Danych Osobowych z wnioskiem o nakazanie Zakładowi Ubezpieczeń Społecznych udostępnienia danych osobowych pracownika Zakładu Ubezpieczeń Społecznych, który przesłał na swój prywatny adres poczty elektronicznej niezabezpieczony hasłem (niezaszyfrowany) plik zawierający dane osobowe skarżącej W uzasadnieniu skargi strona skarżąca wskazała, że zwraca się do Prezesa UODO z prośbą o pomoc w ujawnieniu danych osobowych pracownika ZUS Oddział w [...] przy ul. [...], który naruszyć miał przepisy o ochronie danych osobowych, przesyłając na swój prywatny adres plik zawierający szczegółowe dane osobowe skarżącej, o czym - jak zauważyła skarżąca - ZUS miał poinformować organ nadzorczy. W wyniku analizy powyższego wniosku strony skarżącej Prezes Urzędu Ochrony Danych Osobowych - działając na podstawie art. 61a k.p.a. w związku z art. 7 u.o.d.o - postanowieniem z dnia [...] sierpnia 2023 r., nr [...] odmówił wszczęcia postępowania administracyjnego w przedmiotowej sprawie. W uzasadnieniu wydanego postanowienia organ nadzorczy podniósł na wstępie, że zgodnie z art. 61a § 1 k.p.a., gdy żądanie wszczęcia postępowania zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. Organ nadzorczy podkreślił jednocześnie, że przepis art. 7 ust. 1 u.o.d.o. stanowi, iż w sprawach nieregulowanych w ustawie, do postępowań administracyjnych prowadzonych przed Prezesem UODO, o których mowa w rozdziałach 4-7 i 11, stosuje się regulacje zawarte w Kodeksie postępowania administracyjnego. Prezes UODO, powołując się na treść art. 34 ust. 1 u.o.d.o., wskazał, że jest organem właściwym w sprawie ochrony danych osobowych. Ponadto, zauważył, że jest on organem nadzorczym, w rozumieniu przepisów RODO (art. 34 ust. 2 cyt. ustawy). Prezes UODO wyjaśnił, że uprawnienia organu nadzorczego określone zostały w art. 58 RODO, zgodnie z którym do przysługujących Prezesowi UODO uprawnień naprawczych należy m.in. prowadzenie postępowań naprawczych, nakładanie kar, udzielanie zezwoleń, zgłaszanie naruszeń organom wymiaru sprawiedliwości, udział w postępowaniu sądowym, czy też uprawnienia doradcze. Organ nadzorczy podkreślił jednak wyraźnie, że do uprawnień posiadanych przez Prezesa UODO nie należy natomiast możliwość nakazania administratorowi lub podmiotowi przetwarzającemu udostępnienia danych osobowych osobie trzeciej. Organ nadzorczy wskazał, że zgodnie z art. 58 ust. 6 RODO, każde państwo członkowskie może przewidzieć w swoich przepisach dla swojego organu nadzorczego także inne uprawnienia, niż te wskazane powyżej. Jednak, jak zauważył organ nadzorczy, w polskim porządku prawnym nie przewidziano takich dodatkowych uprawnień, ograniczając się jedynie do tych wskazanych w przepisach RODO. Powołując się z kolei na treść art. 58 ust. 2 lit. c RODO, organ nadzorczy wyjaśnił, że przysługuje mu uprawnienie naprawcze w postaci prawa nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. Organ nadzorczy wskazał, że prawa te określono w rozdziale III RODO, a należą do nich: prawo dostępu do danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do przenoszenia danych, prawo do sprzeciwu oraz prawo do niepodlegania decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu. Prezes UODO podkreślił, że powyższe wyliczenie ma charakter wyczerpujący i nie przewidziano wśród wskazanych praw żądania udostępnienia danych osobowych osoby trzeciej. Prezes UODO podkreślił, że zgodnie z zasadą jednolitości prawa Unii Europejskiej oraz motywem 129 RODO, przyjmuje się, że prawo unijne ma być w całości i jednakowo stosowane we wszystkich państwach członkowskich. W tej sytuacji, mając to na względzie, organy nadzorcze państw unijnych zgodnie przyjęły brak możliwości wydawania rozstrzygnięć nakazujących udostępnienie danych osobowych osób trzecich na podstawie przepisów RODO. Prezes UODO wyjaśnił także, że polski organ nadzorczy uznawał się za kompetentny do wydawania nakazu udostępnienia danych osobowych osób trzecich na mocy art. 18 ust. 1 nieobowiązującej już ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2016 r., poz. 922 ze zm.). Jednak, jak zauważył organ nadzorczy, obecnie obowiązująca ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych nie uprawnia Prezesa UODO do wydawania nakazów udostępnienia danych osobowych osób trzecich. Organ nadzorczy podniósł, że postępowanie administracyjne prowadzone przez Prezesa UODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 58 ust. 2 RODO. W tej sytuacji, Prezes UODO uznał, że na podstawie obowiązujących przepisów o ochronie danych osobowych nie jest możliwie ustalenie na rzecz skarżącej żądanych przez nią danych osobowych osoby trzeciej i w konsekwencji stwierdził, że ze względu na brak kognicji do prowadzenia postępowania we wskazanym przedmiocie, zaszła podstawa do odmowy jego wszczęcia. W piśmie z dnia [...] września 2023 r. skarżąca, działając za pośrednictwem organu nadzorczego, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na w/w postanowienie Prezesa UODO z dnia [...] sierpnia 2021 r. W petitum skargi strona skarżąca wniosła o uchylenie spornego postanowienia Prezesa UODO, a także o ujawnienie wnioskowanych przez nią danych osobowych pracownika ZUS, który dopuścił się bezprawnego naruszenia jej danych osobowych. W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonego postanowienia. W piśmie procesowym z dnia [...] marca 2024 r. strona skarżąca, reprezentowana przez adwokata, uzupełniając skargę, zarzuciła zaskarżonemu postanowieniu organu nadzorczego: - naruszenie art. 6 ust. 1 lit c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej jako: "RODO") - poprzez jego błędną wykładnię; - naruszenie art. 57 ust. 1 lit a RODO - poprzez niezapewnienie skuteczności przepisów RODO względem przepisów krajowych; - naruszenie art. 47 Konstytucji RP, art. 7 Karty Praw Podstawowych Unii Europejskiej oraz art. 8 ust. 1 Europejskiej Konwencji Praw Człowieka - poprzez niezapewnienie realizacji prawa do ochrony życia prywatnego podmiotów, których praw i obowiązków dotyczyło prowadzone postępowanie; - naruszenie art. 51 ust. 1 i 2 Konstytucji RP, art. 8 Karty Praw Podstawowych UE, oraz art. 8 ust. 1 Europejskiej Konwencji Praw Człowieka - poprzez niezapewnienie realizacji prawa do ochrony danych osobowych podmiotów, których praw i obowiązków dotyczyło prowadzone postępowanie. Mając na względzie powyższe zarzuty, strona skarżąca wniosła o uchylenie zaskarżonego postanowienia Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2023 r., wskazując jednocześnie, że na administratora powinna zostać nałożona administracyjna kara pieniężna. W uzasadnieniu pisma procesowego strona skarżąca zauważyła na wstępie, że Sąd, orzekając w niniejszej sprawie, zobowiązany jest dokonać oceny legalności zaskarżanego postanowienia Prezesa UODO z dnia [...] sierpnia 2023 r. pod kątem przede wszystkim jego zgodności z prawem UE, w tym w szczególności z przepisami RODO, które obok ustawy o ochronie danych osobowych stanowi główną podstawę wykonywania przez Prezesa UODO jego zadań. Skarżąca stwierdziła, że zapewnienie pierwszeństwa i pełnej skuteczności prawa Unii Europejskiej z zakresu prawa ochrony danych osobowych poprzez ich wykładnię gwarantującą poszanowanie praw podstawowych, w tym prawa do prywatności, wskazanych w tekście preambuły jako normy o wyższym charakterze oraz dyrektywy stosowania przepisów RODO, jest prawnym obowiązkiem Prezesa UODO wynikającym z treści tych przepisów, a wykonywanie tego obowiązku podlega kontroli sądów krajowych. Skarżąca zauważyła, że podkreślono to wyraźnie w treści motywu 141 preambuły RODO, zgodnie z którym "każda osoba, której dane dotyczą, powinna mieć prawo wniesienia skargi do jednego organu nadzorczego oraz prawo do skutecznego środka ochrony prawnej przed sądem, zgodnie z art. 47 Karty Praw Podstawowych". Skarżąca uznała, że korzystanie przez Prezesa UODO z jego uprawnień wynikających z przepisów RODO oraz u.o.d.o. nie ma charakteru dyskrecjonalnego, albowiem zgodnie z dalszą treścią motywu 141 preambuły, prawo do skutecznego środka ochrony prawnej przysługuje w szczególności, "lub jeżeli organ nadzorczy nie reaguje na skargę, częściowo lub w całości ją odrzuca lub oddala, lub nie podejmuje działania, choć jest to niezbędne do ochrony praw tej osoby". Biorąc pod uwagę powyższe, strona skarżąca stwierdziła, że nie można uznać za prawidłowe stanowiska organu nadzorczego zawartego w treści uzasadnienia spornego postanowienia Prezesa UODO z dnia [...] sierpnia 2023 r., albowiem błędne jest założenie, jakoby organ nadzorczy nie miał podstaw do stwierdzenia naruszenia przepisów o ochronie danych osobowych, co w konsekwencji powoduje, iż niezasadnie przyjął on, iż dalsze prowadzenie postępowania, które winno być ukierunkowane na ewentualne skorzystanie przez niego z uprawnień naprawczych przewidzianych w art. 58 ust. 2 RODO, jest bezprzedmiotowe, w rozumieniu art. 105 § 1 k.p.a. Strona skarżąca uznała, że przepisy rangi ustawowej niezapewniające odpowiedniej gwarancji prawa do prywatności muszą ustąpić przepisom RODO, które należy zastosować bezpośrednio. W tej sytuacji, strona skarżąca stwierdziła, że w niniejszej sprawie możliwym do zastosowania jest tryb wskazany w art. 86 RODO, w którym określono możliwość wprowadzania w prawie UE i prawie krajowym szczególnych przepisów z zakresu dostępu do informacji publicznej. Skarżąca zauważyła wprawdzie, że art. 86 RODO nie zawiera bezpośrednich wytycznych co do wymogów, jakie powinno spełniać prawo krajowe z zakresu dostępu do informacji publicznej, to jednak stwierdziła jednocześnie, że prawo krajowe nie może przewidywać dowolnych odstępstw od przepisów RODO, albowiem rolą państw członkowskich UE jest zapewnienie równowagi pomiędzy prawem publicznego dostępu do dokumentów urzędowych i prawem do ochrony danych osobowych. Skarżąca uznała, że Prezes UODO w ramach postępowań prowadzonych w przedmiocie zgodności przetwarzania danych osobowych z prawem, z zastosowaniem przepisu art. 6 ust. 1 lit c RODO, jest zobowiązany dokonać oceny z punktu widzenia zasad celowości i proporcjonalności. Strona skarżąca zauważyła wprawdzie, że zgadza się, iż Prezes UODO nie jest organem właściwym do rozstrzygnięcia kwestii konstytucyjności przepisów konstytuujących obowiązek podania przez ZUS danych osoby (pracownika Oddziału ZUS w [...]), która dopuściła się naruszenia jej danych osobowych w trakcie wykonywania obowiązków funkcjonariusza publicznego, niemniej podniosła jednocześnie, że nie zwalnia to jednak Prezesa UODO od wypowiedzenia się w kwestii zgodności tych przepisów z przepisami prawa UE, w tym z zasadami określonymi w RODO oraz w Karcie Praw Podstawowych UE. Według skarżącej, jest wprost przeciwnie, albowiem - jak wskazano explicite w treści art. 57 ust. 1 lit a RODO - monitorowanie i egzekwowanie stosowania rozporządzenia jest zadaniem Prezesa UODO, jako organu nadzorczego, wyznaczonego w tym celu przez przepisy prawa Unii Europejskiej. W tej sytuacji, skarżąca stwierdziła, że powyższe zadanie organu nadzorczego oznacza obowiązek nadania pełnej skuteczności prawu Unii Europejskiej, w tym zasad określających imperatywną konieczność zagwarantowania praw podstawowych, w tym prawa do prywatności i prawa do ochrony danych osobowych jako praw mających w aksjologii RODO oraz Konstytucji RP pierwszeństwo względem prawa do informacji publicznej. W konsekwencji, skarżąca stwierdziła, że skoro pracownik Oddziału ZUS w sposób nieuprawniony przesłał jej dane osobowe na swój prywatny adres e-mail, to skarżąca miała pełne prawo wiedzieć, kto tego dokonał i w jaki sposób został ukarany. Ponadto, skarżąca uznała, że należało również w niniejszej sprawie zbadać, czy doszło do nieuprawnionego wycieku danych skarżącej do Internetu, tym bardziej, że wszystko to wydarzyło się w ramach wykonywania obowiązków służbowych przez pracownika ZUS. W ocenie strony skarżącej, poprzez wskazane powyżej działanie pracownika ZUS naruszono jej prawo do ograniczenia przetwarzania jej danych przez ZUS i jego pracowników wyłącznie w Urzędzie, a nie w domu, kawiarni, autobusie i innych publicznych bądź prywatnych miejscach. Skarżąca zauważył, że jeżeli w przyszłości dojdzie do sytuacji, w której osoba nieuprawniona będzie usiłowała albo popełni przestępstwo kradzieży, czy też oszustwa podając się za E. N., zaciągając pożyczki na jej nr PESEL, to wówczas jej jedyną szansą uniknięcia odpowiedzialności karnej, czy też cywilnej za cudze czyny, będzie powołanie się na sytuację, w której konkretny pracownik ZUS w sposób nieuprawniony przesłał na swój adres e-mail jej dane osobowe w żaden sposób niezabezpieczone przed kradzieżą. Tymczasem, jak podniosła strona skarżąca, ZUS Oddział w [...] odmówił udostępnienia danych osobowych sprawcy naruszenia danych osobowych skarżącej, zaś Prezes UODO nie dopatrzył się w ich działaniu niczego niewłaściwego, nie podejmując żadnych czynności w sprawie. Skarżąca uznała ponadto, że sporne postanowienie z dnia [...] sierpnia 2023 r. narusza także prawo określone w art. 41 ust. 2c Karty Praw Podstawowych UE, który stanowi, że poszanowanie określonego w tym przepisie prawa do dobrej administracji wymaga, aby decyzja jasno i jednoznacznie przedstawiała argumentację organu, który ją wydał, tak aby umożliwić zainteresowanemu zapoznanie się z uzasadnieniem decyzji, a właściwemu sądowi - sprawdzenie jej zasadności. Biorąc pod uwagę powyższe, strona skarżąca zarzuciła, że Prezesa UODO w sposób nieuzasadniony nie skorzystał z jego kompetencji określonych w przepisach RODO oraz w przepisach ustawy o ochronie danych osobowych, co przełożyło się w rzeczywistości na brak podjęcia przez organ nadzorczy jakichkolwiek działań w celu zagwarantowania ochrony przysługującej osobom, których dane osobowe zostały w sposób nieuprawniony wykorzystane, z jednoczesnym naruszeniem ich prawa do prywatności i prawa do ochrony danych osobowych. W konsekwencji, strona skarżąca stwierdziła, że zaniechanie podjęcia przez organ nadzorczych stosownych działań w niniejszej sprawie uznać należy za sprzeczne z przepisami RODO, a także za sprzeczne ze wskazanymi w treści pisma procesowego przepisami k.p.a., Karty Praw Podstawowych UE, Europejskiej Konwencji Praw Człowieka oraz Konstytucji RP. Ponadto, strona skarżąca wniosła o zasądzenie nieopłaconych kosztów pomocy prawnej z urzędu, według norm przepisanych, zgodnie z najnowszym orzecznictwem Sądu Najwyższego, który w postanowieniu z dnia 7 stycznia 2021 r., sygn. akt I CSK 598/20 uznał, że obniżenie pełnomocnikom z urzędu wynagrodzenia, które otrzymaliby, gdyby występowali w sprawie jako pełnomocnicy z wyboru, nie ma konstytucyjnego uzasadnienia. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2024 r., poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego, co oczywiście nie oznacza, że wspomniana kontrola sądowa ogranicza się wyłącznie do literalnej wykładni przepisów prawa, abstrahując całkowicie od spirit of the law (tzw. "ducha prawa") przy odkodowywaniu znaczenia normy prawnej, bez spojrzenia na cel (ratio legis) wprowadzenia danego przepisu. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2019 r., poz. 2325 ze zm. - dalej także: "P.p.s.a."). Należy jednocześnie bardzo wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej. W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonego postanowienia Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2023 r., zobowiązany był zbadać jego zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami prawnymi zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). W ocenie Sądu, analizowana pod tym kątem skarga E. N. nie zasługuje na uwzględnienie, albowiem zaskarżone postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2023 r. nie narusza obowiązujących przepisów prawa. Sąd stwierdził, że Prezes UODO, wydając sporne postanowienie z dnia [...] sierpnia 2023 r., nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy. Według Sądu, uznać należy przede wszystkim, że organ nadzorczy, wydając zaskarżone postanowienie, nie dopuścił się - mającego istotny wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 61a § 1 k.p.a. w związku z art. 7 ust. 1 u.o.d.o. Sąd stwierdził bowiem, że Prezes UODO - rozpoznając w dniu [...] sierpnia 2023 r. wniosek strony skarżącej z dnia [...] marca 2023 r. o nakazanie Zakładowi Ubezpieczeń Społecznych udostępnienia jej danych osobowych pracownika Zakładu Ubezpieczeń Społecznych, który przesłał na swój prywatny adres poczty elektronicznej niezabezpieczony hasłem (niezaszyfrowany) plik zawierający dane osobowe skarżącej - prawidłowo uznał, że zachodzą podstawy do zastosowania instytucji odmowy wszczęcia postępowania administracyjnego na podstawie przepisu art. 61a § 1 k.p.a. Przechodząc do rozważań prawnych, należy wskazać, że zgodnie z art. 61 § 1 k.p.a., postępowanie administracyjne wszczyna się na żądanie strony lub z urzędu. Art. 61a § 1 k.p.a. stanowi, że gdy żądanie, o którym mowa w art. 61 k.p.a., zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. Jak wynika z treści przytoczonego przepisu, ustawodawca wprowadził w nim dwie samodzielne i niezależne przesłanki wydania postanowienia o odmowie wszczęcia postępowania. Celem wprowadzenia tej nowelizacji było odróżnienie postępowania wstępnego polegającego na wszczęciu lub odmowie wszczęcia postępowania administracyjnego od postępowania właściwego, które kończy się rozstrzygnięciem sprawy co do istoty przez wydanie decyzji administracyjnej. W intencji ustawodawcy rozwiązanie takie w sposób bardziej zrozumiały dla wnioskodawców odróżnia etap wstępny dotyczący wszczęcia lub odmowy wszczęcia postępowania od etapu merytorycznego rozstrzygnięcia wniosku (zob. m.in. wyrok Naczelnego Sądu Administracyjnego z dnia 30 stycznia 2015 r., sygn. akt II OSK 1575/13, dostępny na stronie internetowej https://orzeczenia.nsa.gov.pl). Przy czym, warto zauważyć, że zarówno w doktrynie, jak i orzecznictwie sądowoadministracyjnym wskazuje się, że regulację art. 61a § 1 k.p.a., tj. odmowę wszczęcia postępowania "z innych uzasadnionych przyczyn", stosuje się do sytuacji, które w sposób oczywisty stanowią przeszkodę do wszczęcia postępowania, np.: a) gdy w tej samej sprawie postępowanie administracyjne już się toczy albo w sprawie takiej zapadło już rozstrzygnięcie; b) w przepisach prawa brak jest podstawy materialnoprawnej do rozpatrzenia żądania w trybie administracyjnym (zob. m.in. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 5 lutego 2013 r., sygn. akt VII SA/Wa 1163/12, dostępny na stronie internetowej https://www.orzeczenia.nsa.gov.pl); c) w sytuacji, gdy nastąpiło przedawnienie materialnoprawne, tj. upływ terminu, po którym jednostka nie może domagać się uprawnienia (por. m.in. B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, Wydawnictwo C.H. Beck, Warszawa 2011 r., s. 298); d) sprawa została już uprzednio rozstrzygnięta; gdy żądanie wszczęcia postępowania dotyczy sytuacji, której legalność kontrolował sąd administracyjny, ale skargę oddalił (tak m.in. /w:/ wyrok Wojewódzkiego Sądu Administracyjnego w Poznaniu z dnia 3 grudnia 2015 r., sygn. akt II SA/Po 826/15, https://orzeczenia.nsa.gov.pl). Z powyższego wynika, że istnienie "przeszkody" uniemożliwiającej wszczęcie i prowadzenie postępowania musi być oczywiste, a więc takie, której ustalenie i wskazanie nie wymaga prowadzenia postępowania wyjaśniającego przez organ (por. m.in. wyrok WSA w Gdańsku z dnia 15 maja 2019 r. sygn. akt II SA/Gd 45/19, LEX nr 2676387). Postanowienie o odmowie wszczęcia postępowania jest bowiem orzeczeniem formalnym, a nie merytorycznym (nie rozstrzyga sprawy co do jej istoty), co prowadzi do wniosku, że w postanowieniu wydanym w trybie art. 61a § 1 k.p.a. organ nie może formułować wniosków i ocen dotyczących meritum żądania (por. wyrok NSA z dnia 8 marca 2017 r., sygn. akt II OSK 2600/16; podobnie: wyrok NSA z dnia 28 kwietnia 2020 r., sygn. akt I OSK 135/19; oba wyroki NSA dostępne na stronie internetowej https://www.orzeczenia.nsa.gov.pl). Przenosząc powyższe uwagi na stan niniejszej sprawy, wskazać należy, że skarżąca w piśmie z dnia [...] marca 2023 r. zażądała od Prezesa UODO, aby ten, działając jako organ nadzorczy, nakazał Zakładowi Ubezpieczeń Społecznych udostępnienia stronie skarżącej danych osobowych pracownika Zakładu Ubezpieczeń Społecznych Oddział w [...], który przesłał na swój prywatny adres poczty elektronicznej niezabezpieczony hasłem (niezaszyfrowany) plik zawierający dane osobowe skarżącej. Jak stanowi art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą. Nie ulega wątpliwości, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) stanowi kompleksową regulację dotyczącą ochrony danych osobowych, która nie wymaga implementacji ustawą krajową, aby mogła być stosowana w danym państwie. Jednocześnie, państwom członkowskim Unii Europejskiej pozostawiono jednak pewien zakres swobody w zakresie regulacji na poziomie krajowym, aby niektóre zagadnienia doprecyzować (np. w przypadku organu nadzorczego, czy odpowiedzialności za naruszenie zasad ochrony danych osobowych), czy też dostosować zasady wprowadzone przez RODO do innych obowiązujących w danym porządku prawnym zasad. Ze wskazanych wyżej przepisów art. 57 ust. 1 lit. a i lit. f RODO wynika m.in., iż procedura, w ramach której prowadzone są postępowania zainicjowane skargą wniesioną przez osobę, której dane dotyczą, określana jest przez poszczególne państwa członkowskie Unii Europejskiej. Pozostawienie w tym zakresie państwom członkowskim autonomii jest wyrazem realizacji zasady autonomii proceduralnej państw członkowskich. W tej sytuacji, skargi są wnoszone i rozpatrywane na podstawie przepisów proceduralnych obowiązujących w danym państwie członkowskim UE. Zgodnie z art. 58 ust. 2 lit. c RODO, organowi nadzorczemu, w ramach jego uprawnień naprawczych, przysługuje prawo nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy RODO. Jak słusznie zauważył organ nadzorczy, wśród tych uprawnień wymienia się w sposób wyczerpujący prawo do: dostępu do danych, sprostowania danych, usunięcia danych, ograniczenia ich przetwarzania, przenoszenia danych, czy też prawo do sprzeciwu lub niepodlegania decyzji opierającej się wyłącznie na zautomatyzowanym przetwarzaniu. Wśród uprawnień nie przewidziano natomiast prawa do żądania udostępnienia danych osobowych osoby trzeciej. W konsekwencji, uznać należy, że zarówno przepisy RODO, jak i przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych nie uprawniają Prezesa UODO do wydawania decyzji nakazującej udostępnienia danych osobowych osoby trzeciej. W tej sytuacji, stwierdzić należy, iż Prezes UODO zasadnie wskazał w uzasadnieniu spornego postanowienia, że jako organ nadzorczy, nie jest uprawniony do zrealizowania żądania strony skarżącej wyrażonego w jej piśmie z dnia [...] marca 2023. Ustosunkowując się do zarzutów strony skarżącej i jej argumentacji przedstawionej w piśmie procesowym z dnia [...] marca 2024 r., należy zauważyć, że zakres uprawnień przyznanych organowi nadzorczemu w art. 58 ust. 1, ust. 2 i ust. 3 RODO ma charakter zamknięty na gruncie RODO. Zgodnie z art. 58 ust. 2 lit. c RODO, Prezesowi UODO przysługuje uprawnienie naprawcze w postaci prawa do nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. Tym żądaniem może być prawo dostępu do danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do przenoszenia danych oraz prawo do sprzeciwu i niepodlegania decyzjom opartym na zautomatyzowanym przetwarzaniu. Nie ulega wątpliwości, że powyższe przepisy ujmują prawa osób, których dane dotyczą, w sposób wyczerpujący. Jednakże, na co słusznie zwróciła uwagę strona skarżąca, państwa członkowskie UE mogą - na podstawie wyraźnego upoważnienia, przewidzianego w art. 58 ust. 6 RODO - rozszerzyć katalog uprawnień przysługujących organowi nadzorczemu. Niemniej, warto jednocześnie zauważyć, że prawodawca unijny - stwarzając wskazaną powyżej podstawę prawną dla tego rodzaju aktywności państw członkowskich - zastrzegł jednak wyraźnie, że wykonywanie tych uprawnień nie może utrudniać skutecznego stosowania przepisów rozdziału VII RODO dotyczącego współpracy między organami nadzorczymi i mechanizmu spójności. W tym miejscu, warto zatem podkreślić, że analizując niniejszą sprawę, nie można zapominać o tym, iż zgodnie z zasadą jednolitości prawa Unii Europejskiej oraz motywem 129 preambuły RODO, aby zapewnić spójne monitorowanie i egzekwowanie niniejszego rozporządzenia w całej Unii, organy nadzorcze powinny mieć w każdym państwie członkowskim te same zadania i faktyczne uprawnienia, w tym uprawnienia do prowadzenia postępowań wyjaśniających, naprawcze, uprawnienia do nakładania kar oraz do udzielania zezwoleń i doradcze, w szczególności w przypadku skarg osób fizycznych, i - bez uszczerbku dla uprawnień organów prokuratorskich na mocy prawa państwa członkowskiego - uprawnienia do zgłaszania naruszeń niniejszego rozporządzenia organom wymiaru sprawiedliwości oraz do udziału w postępowaniu sądowym. Zasada jednolitości oznacza, że prawo unijne jest w całości i jednakowo stosowane we wszystkich państwach członkowskich. Jednolitość zapewnia taki sam sposób stosowania prawa unijnego na terenie całej Unii Europejskiej i stanowi realizację wymogu spójnego porządku prawnego. W tej sytuacji, zauważyć trzeba, że - powołując się na wskazaną powyżej zasadę - organy nadzorcze innych państw członkowskich Unii Europejskiej (hiszpański, rumuński, francuski, bułgarski, estoński, włoski i szwedzki) zgodnie uznały brak możliwości wydawania rozstrzygnięć nakazujących udostępnienie danych osobowych osób trzecich w oparciu o przepisy rozporządzenia 2016/679. Polski prawodawca dokonał uszczegółowienia regulacji dotyczących uprawnień organu nadzorczego w przepisach ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, przewidując również rozszerzenie uprawnień Prezesa Urzędu Ochrony Danych Osobowych względem uprawnień określonych w art. 58 ust. 1, ust. 2 i ust. 3 RODO o dodatkowe uprawnienia: kierowania wystąpień zmierzających do zapewnienia skutecznej ochrony danych oraz kierowania wniosków o podjęcie inicjatywy ustawodawczej albo o wydanie lub zmianę aktów prawnych w sprawach dotyczących ochrony danych osobowych (vide: art. 52 u.o.d.o.). Owszem, nie ulega wątpliwości, że przed dniem 25 maja 2018 r. polski organ nadzorczy uznawał się za kompetentny do wydawania nakazu w zakresie udostępnienia danych osobowych osoby trzeciej, na podstawie art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2016 r., poz. 922 ze zm.). Przepis ten wskazywał, że polski organ ochrony danych osobowych, w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych "w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem", w tym mógł nakazać "uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych". Obecnie jednak, obowiązująca ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych nie zawiera podobnych przepisów i takich kompetencji nie przewiduje, co nie świadczy w żaden sposób o jakimkolwiek naruszeniu prawa unijnego. RODO określa zadania organu nadzorczego w art. 57 RODO. Zgodnie z art. 57 ust. 1 lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium rozpatruje skargi wniesione przez osobę, której dane dotyczą lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowanie w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym. W tej sytuacji, stwierdzić należy, że przepisy art. 57 i art. 58 RODO nie dają podstaw Prezesowi UODO do prowadzenia postępowania w sprawie nie należącej do jego kompetencji. W konsekwencji, uznać trzeba, że skoro w rezultacie wstępnego badania zawartości żądania strony skarżącej, zawartego w jej wniosku z dnia [...] marca 2023 r., organ nadzorczy ustalił wystąpienie przeszkody przedmiotowej czyniącej jego rozpoznanie niedopuszczalnym, zobowiązany był wydać postanowienie o odmowie wszczęcia postępowania (art. 61a § 1 k.p.a.), co zasadnie nastąpiło w tej sprawie. W tych okolicznościach, Sąd zgodził się ze stanowiskiem organu nadzorczego, że - wbrew zarzutom strony skarżącej - nie miał on podstaw prawnych do nakazania Zakładowi Ubezpieczeń Społecznych udostępnienia skarżącej danych osobowych pracownika ZUS Oddział w [...], który naruszyć miał prawa skarżącej poprzez przesłanie na swój prywatny adres poczty elektronicznej niezabezpieczony hasłem (niezaszyfrowany) plik zawierający jej dane osobowe, których administratorem jest ZUS. Mając powyższe na uwadze, należy uznać, że wydając sporne postanowienie z dnia [...] sierpnia 2023 r., Prezes UODO nie dopuścił się w toku analizowanego postępowania jakichkolwiek istotnych uchybień formalnych, które uniemożliwiłyby Sądowi dokonanie prawidłowej oceny zarzutów skargi i wypowiedzenie się co do legalności podjętego rozstrzygnięcia. W konsekwencji, stwierdzić należy, że skoro działanie organu nadzorczego spełniało warunki konieczne do zastosowania instytucji przewidzianej przez ustawodawcę w art. 61a § 1 k.p.a., brak jest podstaw do wyeliminowania z obrotu prawnego zaskarżonego postanowienia wydanego w dniu [...] sierpnia 2023 r. Biorąc powyższe pod uwagę, Wojewódzki Sąd Administracyjny w Warszawie - działając na podstawie art. 151 P.p.s.a. - orzekł, jak w sentencji wyroku.