II SA/Wa 2216/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), Sędzia WSA Tomasz Szmydt, Asesor WSA Karolina Kisielewicz, po rozpoznaniu w trybie uproszczonym w dniu 17 marca 2021 r. sprawy ze skargi Miejskiego Zakładu Gospodarki Komunalnej w [...] na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2020 r. nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę

Przedmiotem rozpoznania w niniejszej sprawie była skarga [...] w M. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych znak [...] z dnia [...] września 2020 r. w przedmiocie odmowy wszczęcia postępowania. Skarga została złożona w następującym stanie faktycznym sprawy: W dniu [...] czerwca 2020 r. (data wpływu do organu) [...] w M. z siedzibą w M. (zwany dalej: [...], skarżący), wniósł do Prezesa Urzędu Ochrony Danych Osobowych (zwany dalej: PUODO, organ), skargę dotyczącą udostępnienia radnym miasta M. oraz "innym nieustalonym osobom" danych osobowych w postaci imion i nazwisk jego pracowników: J. R. i M. S. przez Z. A.- Przewodniczącego Komisji Skarg, Wniosków i Petycji Rady Miasta M.. W treści skargi wskazano, że do Komisji Skarg, Wniosków i Petycji Rady Miasta w M. (zwana dalej: KSWiP) zostało skierowane przez anonimowych pracowników [...] pismo opisujące działania mobbingowe, stosowane wobec nich przez pracownika [...] J. R., a ponadto nieudaną interwencję pracowników w tej sprawie u Zastępcy Dyrektora Zakładu M. S.. Następnie pismo to zostało przekazane przez Przewodniczącego KSWiP jej pozostałym członkom i "innym nieustalonym osobom", czym Z. A. "dopuścił się wycieku danych osobowych osób sprawujących główne stanowiska kierownicze w [...] w M. i udostępnił je niepowołanym osobom". Skarżący wniósł o rozpatrzenie niniejszej sprawy i podjęcie odpowiednich działań przez Prezesa UODO. Postanowieniem znak [...] z dnia [...] września 2020 r. Prezes UODO, działając na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256, zwana dalej: k.p.a.) w związku z art. 7 ust. 1 ustawy dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781 ze zm., zwana dalej: u.o.d.o.), orzekł o odmowie wszczęcia postępowania w sprawie ze skargi [...] na udostępnienie radnym miasta M. oraz "innym nieustalonym osobom" danych osobowych w postaci imion i nazwisk jego pracowników: J. R. i M. S. przez Z. A. Przewodniczącego KSWiP Rady Miasta M.. Podstawę rozstrzygnięcia stanowiło ustalenie organu, że złożona w niniejszej sprawie skarga, wniesiona została przez podmiot - zakład budżetowy, który nie legitymuje się przymiotem strony. Nie posiada bowiem interesu prawnego lub obowiązku uzasadniającego uznanie go za stronę postępowania w sprawie, której dotyczy skarga. Powyższe organ wywiódł z faktu, iż zgodnie z motywem 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1, ze zm.; zwane dalej: rozporządzeniem 2016/679), ma ono zastosowanie do osób fizycznych w związku z przetwarzaniem ich danych osobowych, nie dotyczy natomiast przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej. Zatem skarga w przedmiocie ochrony danych osobowych powinna być złożona przez osobę, której dane te dotyczą, albowiem żądanie podmiotu zawarte we wniosku o wszczęcie przez Prezesa UODO postępowania w sprawie przetwarzania danych osobowych, powinno być związane z przysługującym mu prawem. Zdaniem organu, spełniona została określona w art. 61a § 1 k.p.a., przesłanka odmowy wszczęcia postępowania z uwagi na wniesienie żądania przez osobę niebędącą stroną. W skardze złożonej na powołane rozstrzygnięcie do sądu administracyjnego skarżący, reprezentowany przez profesjonalnego pełnomocnika, wniósł o uchylenie zaskarżonego postanowienia w całości i zobowiązanie organu do podjęcia czynności oraz zasądzenie zwrotu kosztów postępowania. Wydanemu postanowieniu skarżący zarzucił naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy oraz przepisów procedury, mających istotny wpływ na wynik sprawy, tj.: 1. art 28 k.p.a. poprzez jego błędne zastosowanie i uznanie, iż skarżący nie posiada przymiotu strony w sprawie; 2. art. 61a § 1 w zw. z art. 28 k.p.a. poprzez jego zastosowanie, podczas gdy skarżący posiada interes prawny w sprawie; 3. art. 7 i art. 77 § 1 w zw. z art 61a § 1 k.p.a. poprzez przedwczesne uznanie, iż brak jest podstaw do wszczęcia postępowania na wniosek skarżącego; 4. art. 7, art. 77 § 1 i art. 80 k.p.a. poprzez brak wszechstronnych ustaleń faktycznych, które powinny być podstawą prawidłowej oceny materiału dowodowego, co w konsekwencji doprowadziło do przedwczesnego zakończenia sprawy. W uzasadnieniu skargi skarżący wskazał, iż pracownicy, w imieniu których została złożona przedmiotowa skarga do Prezesa UODO, zajmują stanowiska zarządzające w [...]. Tym samym, wykonując swoje obowiązki służbowe, działają bezpośrednio w imieniu i na rzecz Zakładu. Naruszenie danych osobowych Zastępcy Dyrektora [...] M. S. oraz kierownika Wydziału Zarządzania nieruchomościami [...] J. R. ściśle dotyczy również samego skarżącego i naruszenia, a nawet zagrożenia - jego dóbr osobistych. Ponadto [...] jako pracodawca - ma prawo do reprezentowania swoich pracowników. Z tego względu, mając ku temu legitymację, podjął stosowne kroki w celu dochodzenia roszczeń w związku z naruszeniem przepisów rozporządzenia 2016/679 w ich imieniu. Stwierdził również, iż jak wskazał sam organ, skargę do Prezesa UODO może złożyć osoba, której interesu prawnego sprawa dotyczy. Bezdyskusyjnie interes prawny M. S. oraz J. R., w związku z pełnionymi przez nich funkcjami, jest również interesem prawnym [...]. Sprawa, której przedmiotem jest bezprawne udostępnienie danych osobowych osób zatrudnionych z [...] przez Z. A., pozostaje w bezpośrednim związku z interesem nie tylko faktycznym, ale również prawnym samego skarżącego. W odpowiedzi na skargę organ wniósł o oddalenie skargi, podnosząc argumentację tożsamą z tą jaką prezentował w zaskarżonym postanowieniu. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., zwana dalej: p.p.s.a), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż sąd rozpoznając skargę ocenia, czy zaskarżona decyzja nie narusza przepisów prawa materialnego bądź przepisów postępowania administracyjnego. Zgodnie z art. 134 p.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną. Uwzględnienie skargi następuje w przypadku stwierdzenia naruszenia przez Sąd przepisów prawa, wskazanego w art. 145 § 1 pkt 1 p.p.s.a. Zgodnie z art. 135 p.p.s.a. orzekanie następuje w granicach sprawy, w której wydano zaskarżoną decyzję i odbywa się z uwzględnieniem wówczas obowiązujących przepisów prawa. Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy organ zasadnie odmówił wszczęcia postępowania administracyjnego w sprawie skargi skarżącego, dotyczącej udostępnienia radnym miasta M. oraz "innym nieustalonym osobom" danych osobowych w postaci imion i nazwisk jego pracowników: J. R. i M. S. przez Z. A. Przewodniczącego KSWiP Rady Miasta M.. W pierwszej kolejności wskazać należy, że od wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć krajowych organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej. W dniu 5 maja 2018 r. weszła w życie u.o.d.o., nadto od 25 maja 2018 r. bezpośrednie zastosowanie w polskim porządku prawnym mają przepisy rozporządzenia 2016/679. Zgodnie z art. 99 ust. 1 rozporządzenia 2016/679, wchodzi ono w życie dwudziestego dnia po publikacji w Dzienniku Urzędowym Unii Europejskiej, która miała miejsce 4 maja 2016 r. (Dz.U.UE.L2016.119.1), natomiast w państwach członkowskich ma zastosowanie od 25 maja 2018 r. (art. 99 ust. 2 rozporządzenia 2016/679). W myśl art. 77 ust. 1 rozporządzenia 2016/679, bez uszczerbku dla innych środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące, narusza niniejsze rozporządzenie. Jak wynika z akt administracyjnych i sądowych, złożona do Prezesa UODO skarga wniesiona została przez [...] tj. zakład budżetowy i dotyczyła nieuprawnionego udostępnienia danych jej pracowników. Złożona skarga zdaniem organu wniesiona została przez podmiot nie legitymujący się przymiotem strony (nieuprawniony), co skutkowało odmową wszczęcia postępowania właśnie z tej przyczyny. Podstawę (działania) rozstrzygnięcia organu stanowił art. 61a § 1 k.p.a., zgodnie z którym gdy żądanie wszczęcia postępowania zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. W przytoczonym przepisie ustawodawca rozróżnił więc dwie sytuacje, w których nie będzie możliwe wszczęcie postępowania. Pierwsza z nich dotyczy przymiotu strony i oznacza, że inicjatorem postępowania może być jedynie podmiot, któremu przysługuje w danym postępowaniu przymiot strony (zgodnie z regulacją art. 28 k.p.a.). Druga z przesłanek, określonych w art. 61a § 1 k.p.a., odnosi się do "innych uzasadnionych przyczyn", z powodu których postępowanie nie może być wszczęte, która nie jest istotna w niniejszej sprawie. Jak przedstawiono wyżej, odmowa wszczęcia postępowania przez organ nastąpiła z uwagi na to, że skarżący nie posiada przymiotu strony. W doktrynie i orzecznictwie powszechnie przyjmuje się, odmowa wszczęcia postępowania na podstawie tej przesłanki jest możliwa wówczas, gdy wnioskodawca nie posiada zdolności prawnej lub nie ma interesu prawnego w sprawie (nie jest stroną postępowania w rozumieniu art. 28 k.p.a.) oraz ustalenie tej kwestii jest oczywiste i nie wymaga złożonego procesu wykładni (por. wyrok NSA z 28 marca 2012 r., sygn. akt II GSK 321/11, a także P. Przybysz, Komentarz do art. 61a Kodeksu postępowania administracyjnego, LEX 2017). W przypadku wątpliwości co do posiadania przez wnioskodawcę przymiotu strony, należy wszcząć postępowanie i w jego toku wyjaśnić tę kwestię. Stwierdzenie braku przymiotu strony będzie wówczas skutkować umorzeniem postępowania (tak W. Chróścielewski, Zmiany w zakresie przepisów kodeksu postępowania administracyjnego i prawa o postępowaniu przed sądami administracyjnymi, które weszły w życie w 2011 r., ZNSA 2011 nr 4, s. 9). Właściwe rozumienie unormowania zawartego w art. 61a § 1 k.p.a. musi prowadzić do wniosku, że odmowa wszczęcia postępowania administracyjnego następuje wówczas, gdy brak interesu prawnego wnioskodawcy jest oczywisty. Zatem zastosowanie art. 61a § 1 k.p.a. powinno być ograniczone do sytuacji, gdy żądanie wszczęcia postępowania zgłoszone zostało przez podmiot oczywiście nieuprawniony, a stwierdzenie to nie wymaga prowadzenia postępowania wyjaśniającego (por. wyroki NSA: z 10 marca 2010 r., sygn. akt II GSK 433/09; z 28 marca 2013 r., sygn. akt II GSK 321/11; z 25 lutego 2014 r., sygn. akt II OSK 2271/12). W ocenie Sądu, prawidłowo wywiódł organ, że w przedmiotowej sprawie mamy do czynienia właśnie z "oczywistością" żądania wszczęcia postępowania przez podmiot niebędącą stroną, która uzasadnia odmowę wszczęcia postępowania administracyjnego bez przeprowadzenia czynności wyjaśniających. Zgodnie z regulacją art. 28 k.p.a. stroną jest każdy, czyjego interesu prawnego lub obowiązku dotyczy postępowanie albo kto żąda czynności organu ze względu na swój interes prawny lub obowiązek. Uprawnienie to oparte jest na przepisach prawa materialnego i przysługuje jedynie podmiotom, których interesu prawnego lub obowiązku dotyczy postępowanie. O tym więc, czy dany podmiot posiada przymiot strony w konkretnym postępowaniu, decyduje istnienie normy prawnej, z której dla tego podmiotu wynikają wprost określone prawa i obowiązki. Pojęcie interesu prawnego, na którym oparta jest legitymacja procesowa strony w postępowaniu administracyjnym, należy ustalać według norm prawa materialnego, natomiast mieć interes prawny oznacza tyle, co ustalić powszechnie obowiązujący przepis prawa, na podstawie którego można skutecznie żądać czynności organu w związku z zamiarem zaspokojenia jakiejś potrzeby albo żądać zaniechania lub ograniczenia czynności organu sprzecznych z potrzebami danej osoby. Od tak rozumianego interesu prawnego należy odróżnić interes faktyczny, czyli sytuację, w której dany podmiot jest co prawda bezpośrednio zainteresowany rozstrzygnięciem sprawy administracyjnej, jednakże nie może tego zainteresowania poprzeć przepisami prawa, mającego stanowić podstawę skierowanego żądania w zakresie podjęcia stosownych czynności przez organ administracji. Podmiot, dla którego z przepisów prawa materialnego nie wynikają żadne uprawnienia ani obowiązki, nie ma przymiotu strony w świetle art. 28 k.p.a. i nie jest legitymowany do żądania wszczęcia postępowania. Jak zasadnie stwierdził organ, rozporządzenie 2016/679 ma zastosowanie do osób fizycznych w związku z przetwarzaniem ich danych osobowych, nie dotyczy natomiast przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej (motyw 14 rozporządzenia 2016/679). Zatem skarga w przedmiocie ochrony danych osobowych powinna być złożona przez osobę, której dane te dotyczą, albowiem żądanie podmiotu zawarte we wniosku o wszczęcie przez Prezesa UODO postępowania w sprawie przetwarzania danych osobowych powinno być związane z przysługującym mu prawem. Podobne uwarunkowanie wynika też z treści przytoczonego wyżej art. 77 ust. 1 rozporządzenia 2016/679. Skargę do organu w zakresie nieuprawnionego udostępnienia danych osobowych złożył [...]. Z uchwały Nr [...] z dnia [...] września 2010 r. Rady Miejskiej w M. (zmienionej następnie uchwałami nr [...] z dnia [...] maja 2011 r., nr [...] z dnia [...] kwietnia 2017 r. i nr [...] z dnia [...] października 2018 r.) o nadaniu statutu ww. wynika, że [...] jest samorządowym zakładem budżetowym gminy Miasta M., nad którym nadzór sprawuje Prezydent Miasta M.. Przedmiotem działania [...] jest wykonywanie zadań własnych w zakresie gospodarki mieszkaniowej i gospodarowania lokalami użytkowymi oraz zieleni miejskiej; zadrzewień i ciągów komunikacyjnych znajdujących się na terenach przyległych do budynków komunalnych; zaopatrzenia w energię cieplną; zaopatrzenia w energię elektryczną, gaz, wodę i odprowadzania ścieków w zakresie rozliczeń w administrowanych zasobach oraz utrzymania czystości i porządku na terenie miasta [...]. Działalnością [...] kieruje dyrektor, przy pomocy zastępcy dyrektora, głównego księgowego i kierowników poszczególnych komórek organizacyjnych. Zgodnie z Regulaminem Organizacyjnym [...], stanowiącym Załącznik do zarządzenia nr [...] Dyrektora Miejskiego Zarządu Gospodarki Komunalnej w M. z dnia [...] grudnia 2019 r. w strukturze [...] funkcjonują wydziały, którymi kierują kierownicy oraz samodzielne stanowiska pracy. Jedną z wewnętrznych komórek organizacyjnych [...] stanowi Wydział Zarządzania Nieruchomościami. Niezasadny jest zarzut skargi wskazujący na naruszenie art. 61a § 1 w związku z art. 28 k.p.a., skarżący - zakład budżetowy jednostki samorządu terytorialnego - nie posiada bowiem interesu prawnego do inicjowania postępowania przed Prezesem UODO w sprawie dotyczącej jego pracowników. Nie ma znaczenia z perspektywy analizowanych przepisów fakt, że skarżący jest pracodawcą osób, których dane osobowe zostały (jak twierdzi) w sposób nieuprawniony udostępnione. Sąd nie dopatrzył się również naruszenia wskazywanych w skardze przepisów postępowania – art. 7, art. 77 § 1 i art. 80 k.p.a. Postępowanie przed organem – na jego wstępnym etapie, dotyczącym ustalenia, czy [...] posiada przymiot strony, przeprowadzone zostało w sposób wystarczający do oceny, że skarżący nie jest uprawniony do opisanego wyżej działania. Mając na uwadze powołane okoliczności, Sąd działając na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.