II SA/Wa 996/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk, Sędzia WSA Joanna Kube (spr.), Sędzia WSA Sławomir Fularski, po rozpoznaniu w trybie uproszczonym w dniu 29 września 2021 r. sprawy ze skargi B. W. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2021 r. nr [...] w przedmiocie odmowy wszczęcia postępowania administracyjnego oddala skargę.

Prezes Urzędu Ochrony Danych Osobowych (dalej: "organ", "Prezes UODO") postanowieniem z dnia [...] stycznia 2021 r. nr [...], na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2020 r. poz. 256), dalej: "k.p.a.", i art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r. poz. 1781), dalej "u.o.d.o.", odmówił wszczęcia postępowania w sprawie skargi B. W., dalej: "skarżąca", na działania Szkoły [...] w [...] z siedzibą w [...], dalej: "[...]", polegające na nieudostępnieniu danych osobowych osoby posługującej się adresem jej nieruchomości położonej na ul. [...] w [...] oraz bezprawnym przetwarzaniu jej danych osobowych w zakresie ww. adresu przez [...]. W treści skargi skarżąca wskazała, że [...] poinformowało ją, że jej dane osobowe w postaci powyższego adresu zostały podane przez studenta [...], który nie korzystał z programu Erasmus ani innych programów współpracy międzynarodowej, oraz że nie był to M. W. - drugi właściciel nieruchomości. Skarżąca wskazała, że w odpowiedzi na jej wniosek z dnia [...] listopada 2020 r. inspektor ochrony danych [...] poinformował ją, że nie udzieli jej informacji, kto bezprawnie posługuje się jej danymi osobowymi. Podniosła również, że informowała [...] o niewyrażeniu przez nią zgody na przetwarzanie jej danych osobowych w zakresie ww. adresu nieruchomości, dlatego ich przetwarzanie jest bezprawne. Organ w uzasadnieniu ww. postanowienia wskazał, że przepis art. 58 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z 23.05.2018, str. 2), dalej jako: "rozporządzenie 2016/679", określa uprawnienia organu nadzorczego. Przepisy art. 58 ust. 1, 2 i 3 rozporządzenia 2016/679 wyliczają uprawnienia przysługujące każdemu organowi nadzorczemu - uprawnienia do prowadzenia postępowań, uprawnienia naprawcze i do nakładania kar, uprawnienia do udzielania zezwoleń i uprawnienia doradcze oraz uprawnienia do zgłaszania naruszeń organom wymiaru sprawiedliwości oraz do udziału w postępowaniu sądowym. Wśród tych uprawnień nie ma dla organu nadzorczego - jakim jest Prezes UODO - uprawnienia do nakazania administratorowi lub podmiotowi przetwarzającemu ujawnienia danych osobowych osobie trzeciej. Przepis art. 58 ust. 6 rozporządzenia 2016/679 stanowi bowiem, że każde państwo członkowskie może przewidzieć w swoich przepisach, że jego organowi nadzorczemu przysługują poza uprawnieniami określonymi w ust. 1, 2 i 3 także inne uprawnienia. Wykonywanie tych uprawnień nie może utrudniać skutecznego stosowania przepisów rozdziału VII. Prezes UODO stwierdził, że dla przedmiotowej sprawy organ nadzorczy nie znajduje takich przepisów - nie zostały one przewidziane w obecnym stanie prawnym. Zgodnie natomiast z art. 58 ust. 2 lit. c rozporządzenia 2016/679, Prezesowi UODO przysługuje uprawnienie naprawcze w postaci prawa do nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. Tym żądaniem może być prawo dostępu do danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do przenoszenia danych oraz prawo do sprzeciwu i niepodleganiu decyzjom opartym na zautomatyzowanym przetwarzaniu. Powyższe przepisy ujmują prawa osób, których dane dotyczą, w sposób wyczerpujący. Żądanie udostępnienia danych osobowych osoby trzeciej także nie zostało ujęte wśród praw osób, których dane dotyczą. Jednocześnie organ wskazał, że zgodnie z zasadą jednolitości prawa Unii Europejskiej oraz motywem 129 rozporządzenia 2016/679, aby zapewnić spójne monitorowanie i egzekwowanie rozporządzenia w całej Unii, organy nadzorcze powinny mieć w każdym państwie członkowskim te same zadania i faktyczne uprawnienia, w tym uprawnienia do prowadzenia postępowań wyjaśniających, naprawcze, uprawnienia do nakładania kar oraz do udzielania zezwoleń i doradcze, w szczególności w przypadku skarg osób fizycznych i - bez uszczerbku dla uprawnień organów prokuratorskich na mocy prawa państwa członkowskiego - uprawnienia do zgłaszania naruszeń niniejszego rozporządzenia organom wymiaru sprawiedliwości oraz do udziału w postępowaniu sądowym. Zasada jednolitości oznacza, że prawo unijne jest w całości i jednakowo stosowane we wszystkich państwach członkowskich. Jednolitość zapewnia taki sam sposób stosowania prawa unijnego na terenie całej Unii Europejskiej i stanowi realizację wymogu spójnego porządku prawnego. W oparciu o ww. zasadę organy nadzorcze innych państw Unii Europejskiej (hiszpański, rumuński, francuski, bułgarski, estoński, włoski i szwedzki) zgodnie przyjęły brak możliwości wydawania rozstrzygnięć nakazujących udostępnienie danych osobowych osób trzecich w oparciu o przepisy rozporządzenia 2016/679. Przed dniem 25 maja 2018 r. polski organ nadzorczy uznawał się za kompetentny do wydawania ww. nakazów na podstawie art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 z późn. zm.). Obecnie polska ustawa o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz. U. z 2019 r. poz. 1781) nie zawiera podobnych przepisów. Podkreślił, że decydujące znaczenie w przedmiotowej sprawie miała okoliczność, że Prezes UODO nie ma kompetencji umożliwiających nakazanie udostępnienia danych osobowych osoby trzeciej oraz że dane osobowe (adres), których przetwarzanie skarżąca kwestionuje, przetwarzane są przez [...] (administratora danych) jako dane osoby trzeciej - studenta [...], a nie skarżącej. Prezes UODO stwierdził, że zgodnie z art. 61a § 1 k.p.a., gdy żądanie wszczęcia postępowania zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. B. W. pismem z dnia 27 lutego 2021 r. skierowała skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie na postanowienie Prezesa UODO z dnia [...] stycznia 2021 r. nr [...]. Skarżąca zarzuciła organowi: • rażące naruszenie przepisów prawa materialnego, tj. art. 26 rozporządzenia 2016/679 poprzez błędne przyjęcie, że przetwarzanie przez [...] adresu [...] ul. [...] nie jest przetwarzaniem jej danych osobowych, podczas gdy są to dane, które pozwalają w sposób jednoznaczny ją zidentyfikować, a ona nigdy nie wyrażała zgody na przetwarzanie przez ww. podmiot swoich danych osobowych, • naruszenie art. 28 k.p.a. w zw. z art. 61a k.p.a. poprzez całkowicie bezpodstawne przyjęcie, że w sytuacji bezprawnego przetwarzania przez [...] adresu należącej do niej nieruchomości bez jej zgody, czyli jej danych osobowych, nie jest wystarczające do przyjęcia, że jest stroną postępowania, chociaż bezprawne działania [...] naruszają jej prawa, a postępowanie przed Prezesem UODO i żądanie przeprowadzenia przez ten organ stosownego postępowania i podjęcia stosownych czynności mających na celu ochronę jej praw zostało zainicjowane przez osobę mającą w tym interes prawny, co doprowadziło do niezasadnej odmowy wszczęcia postępowania na podstawie art. 61a k.p.a., jako rzekomo zainicjowanego przez osobę nieposiadającą statusu strony w rozumieniu art. 28 k.p.a., co skutkuje tym, że zaskarżone postanowienie zostało wydane z rażącym naruszeniem prawa w rozumieniu art. 156 § 1 pkt 2 k.p.a. W uzasadnieniu skargi zwróciła się o ustalenie wszelkich danych osobowych osoby, która bezprawnie używa jej danych osobowych i bezprawnie posługuje się adresem jej nieruchomości przed [...] i przekazanie jej tych informacji, ponieważ zamierza względem tej osoby dochodzić swoich praw i uzyskać stosowną ochronę i zadośćuczynienie za ich naruszenie. Skarżąca wniosła także o zwrócenie się przez Sąd do Komendy [...] Policji w [...] i [...] Oddziału Straży Granicznej w [...] o nadesłanie kopi dokumentacji z czynności podjętych na skutek pism, których kopie załączyła do skargi oraz do Komendy Rejonowej Policji [...] w [...] o nadesłanie kopii dokumentacji z interwencji podjętej w dniu [...] września 2020 r. w mieszkaniu przy ul. [...] w [...] oraz z innych czynności podejmowanych w związku z tym pismem. W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, podtrzymując stanowisko zajęte w zaskarżonym postanowieniu. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie zasługuje na uwzględnienie. Zgodnie z art. 1 § 1 ustawy z 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (j.t. Dz. U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym ta kontrola, stosownie do § 2 powołanego artykułu, sprawowana jest pod względem zgodności z prawem. Sąd w ramach swojej właściwości dokonuje zatem kontroli aktów z zakresu administracji publicznej z punktu widzenia ich zgodności z prawem materialnym, jak i prawem procesowym. Sąd rozstrzyga przy tym w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi, t.j. Dz. U. z 2019 r., poz. 2325 z późn. zm.; dalej: "p.p.s.a."). W świetle powołanego przepisu, Sąd w zakresie swojej właściwości ocenia zaskarżone postanowienie z punktu widzenia jego zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie jego wydania. Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy przepisy rozporządzenia 2016/679 lub przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych przyznają Prezesowi UODO uprawnienie do zobowiązywania administratora danych osobowych do udostępniania, będących w jego posiadaniu, danych osobowych osobie trzeciej. W ocenie Sądu, odpowiedź na tak postawione pytanie może być wyłącznie negatywna. Przede wszystkim należy mieć na względzie to, iż zgodnie z konstytucyjną zasadą legalizmu, w oparciu o którą muszą działać wszystkie podmioty publiczne, Prezes UODO będąc podmiotem publicznym może podejmować wyłącznie takie działania, które znajdują swoje źródło w przepisach obowiązującego prawa. Aby więc Prezes UODO mógł podjąć określone działania, musi mieć do tego stosowne umocowanie ustawowe. Stąd, jeśli do organu wpłynie wniosek o wszczęcie postępowania, do których to działań brak jest podstawy prawnej, to adresat takiego wniosku winien odmówić wszczęcia takiego postępowania. Należy wskazać, iż od dnia 25 maja 2018 r., bezpośrednie zastosowanie w polskim porządku prawnym mają przepisy rozporządzenia 2016/679. Ponadto, w dniu 25 maja 2018 r. weszła w życie ustawa o ochronie danych osobowych, którą to ustawę stosuje się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w zakresie określonym w art. 2 i art. 3 rozporządzenia 2016/679 (art. 1 ust. 1 u.o.d.o.). Katalog uprawnień nadzorczych w zakresie prowadzonych przez Prezesa UODO postępowań określony został w art. 58 ust. 1 rozporządzenia 2016/679, natomiast przysługujące Prezesowi UODO uprawnienia naprawcze zostały wymienione w art. 58 ust. 2 rozporządzenia 2016/679 i są one dla organu wiążące. Prezesowi UODO przysługuje uprawnienie naprawcze w postaci prawa do nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. Tym żądaniem może być prawo dostępu do danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do przenoszenia danych oraz prawo do sprzeciwu i niepodlegania decyzjom opartym na zautomatyzowanym przetwarzaniu. Powyższe przepisy ujmują prawa osób, których dane dotyczą, w sposób wyczerpujący. Zaskarżone w niniejszej sprawie postanowienie Prezesa UODO, wydane zostało na podstawie art. 61a § 1 k.p.a., stanowiącego, że: "Gdy żądanie, o którym mowa w art. 61, zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania." W rozpoznawanej sprawie, jako przesłankę zastosowania art. 61a § 1 k.p.a., organ powołał brak ustawowych kompetencji, a więc w istocie brak przesłanki materialnoprawnej do rozpatrzenia żądania skarżącej o nakazanie udostępnienia danych osobowych. Stanowisko organu, w świetle powyższych rozważań, jest zatem prawidłowe. Trafnie organ wskazał, że o ile przed 25 maja 2018 r. uznawał się za kompetentny do wydawania nakazów w zakresie udostępnienia danych osobowych, na podstawie art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, to obecnie obowiązująca ustawa o ochronie danych osobowych, dostosowana do regulacji europejskich, nie przewiduje takiego uprawnienia dla Prezesa UODO. Biorąc pod uwagę wskazany wyżej obowiązek działania organów na podstawie i w granicach prawa, brak podstaw prawnych dla Prezesa UODO do działania w zakresie materii objętej wnioskiem skarżącej stanowi - w ocenie Sądu - właśnie oczywistą przeszkodę do wszczęcia postępowania, nie wymagającą przeprowadzenia w tym zakresie postępowania. Podejmując sporne rozstrzygnięcie Prezes UODO prawidłowo więc zastosował art. 61a k.p.a. Uzasadnienie zaskarżonego postanowienia odpowiada zaś dyspozycji art. 107 § 3 k.p.a. Sąd odmówił przeprowadzenia dowodu uzupełniającego z dokumentów, będących w dyspozycji Komendy [...] Policji w [...],[...] Oddziału Straży Granicznej w [...] oraz Komendy Rejonowej Policji [...] w [...], w zakresie wskazanym przez skarżącą. Zgodnie z art. 106 § 3 p.p.s.a., sąd administracyjny może z urzędu lub na wniosek stron przeprowadzić dowód uzupełniający z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. Powyższy przepis wyznacza ścisłe granice wykorzystania w postępowaniu administracyjnym nowych dowodów. Z regulacji tej wprost wynika, że nie każdy dowód może być dopuszczony w tym postępowaniu, lecz jedynie dowód z dokumentów, przy czym ma być to dowód uzupełniający, pozostający w związku z oceną legalności zaskarżonego aktu. W przedmiotowej sprawie zaś wnioskowana przez skarżącą dokumentacja pozostaje bez wpływu na kontrolę zaskarżonego rozstrzygnięcia przez Sąd z punktu widzenia jego zgodności z prawem. W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku, na podstawie art. 151 w związku z art. 119 pkt 3 i art. 120 p.p.s.a.