III OSK 1397/24

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Przemysław Szustakiewicz Sędziowie: sędzia NSA Mirosław Wincenciak sędzia del. WSA Hanna Knysiak-Sudyka (sprawozdawca) Protokolant starszy asystent sędziego Magdalena Zając po rozpoznaniu w dniu 7 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 grudnia 2023 r. sygn. akt II SA/Wa 65/23 w sprawie ze skargi X. Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 3 listopada 2022 r. nr DKN.5131.18.2022.189118 w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 28 grudnia 2023 r., sygn. akt II SA/Wa 65/23, po rozpoznaniu sprawy ze skargi X. sp. z o.o. z siedzibą w [...] (dalej: "skarżąca" lub "Spółka") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO" lub "organ") z dnia 3 listopada 2022 r. nr DKN.5131.18.2022.189118 w przedmiocie przetwarzania danych osobowych w pkt 1. uchylił zaskarżoną decyzję, w pkt 2. zasądził od Prezesa UODO na rzecz skarżącej X. sp. z o.o. z siedzibą w [...] kwotę 13.300 złotych tytułem zwrotu kosztów postępowania. Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy. W dniu 16 lutego 2022 r. do Prezesa UODO wpłynęła informacja od G.G., przekazana pocztą elektroniczną z adresu e-mail: [...], który oświadczył, że "W dniu dzisiejszym otrzymałem maila z umową Y. Nie jestem klientem Y umowa dotyczy innej osoby o tym samym nazwisku. Na umowie są wszystkie dane tej osoby łącznie z PESEL i nr dowodu". Do informacji dołączono wiadomość elektroniczną otrzymaną od X. Sp. z o.o., z której wynikało, że spółka przesłała na ww. adres e-mail zestaw dokumentów do zamówienia. W związku z powyższą informacją, pismem z dnia 21 lutego 2022 r. organ zwrócił się do Spółki o udzielenie informacji na temat naruszenia danych osobowych z lutego 2022 r., polegającego na umożliwieniu nieuprawnionej osobie trzeciej wglądu do zestawu dokumentów do zamówienia nr [...] oraz o przedstawienie oceny pod kątem obowiązku zgłoszenia naruszenia organowi nadzorczemu oraz zawiadomienia osoby, której dane dotyczą. W odpowiedzi Spółka pismem z dnia 9 marca 2022 r., wyjaśniła m.in., że zamówienie numer [...] dotyczy G.N.G, który w dniu 15 lutego 2022 r. w Punkcie Obsługi Sprzedaży zawarł ze spółką umowę o świadczenie usług telekomunikacyjnych. Oprócz danych niezbędnych do zawarcia umowy klient wskazał również adres e-mail do kontaktu: [...] Podczas procesu zawarcia umowy wygenerowana została wiadomość e-mail zawierająca kopię umowy wraz z załącznikami (Regulaminy i Cenniki). Wiadomość wysłana została na adres wskazany przez klienta na umowie. Następnie w dniu 19 lutego 2022 r. klient wrócił do POS z informacją, że adres wskazany na umowie jest błędny i poprosił o jego usunięcie. Klient nie wskazał innego adresu e-mail do kontaktu. Spółka odnotowała ten fakt. Zdaniem Spółki, podpisanie umowy, na której zapisany został adres e-mail, jest sygnałem dla administratora, że spółka wysyłając wiadomość e-mail na adres wskazany w umowie (nawet błędny) kontaktuje się z osobą, której dane dotyczą (na podstawie podpisanego dokumentu i potwierdzenia danych), nie zaś z inną osobą. Dodatkowo Spółka wyjaśniła, że do dnia 9 marca 2022 r. nie odnotowała informacji od klienta o błędnej wysyłce i tym samym ujawnieniu jego danych osobowych osobie nieupoważnionej. Spółka nie odnotowała również sygnału od osoby trzeciej o ewentualnym, nieuprawnionym dostępie do danych osobowych klienta w wyniku błędnej wysyłki. W związku z powyższym, w ocenie Spółki, nie ma podstaw do traktowania przedmiotowego zdarzenia jako naruszenia danych osobowych. Decyzją z dnia 3 listopada 2022 r., nr DKN.5131.18.2022.189118, Prezes UODO, działając m.in. na podstawie art. 210a ust. 1 pkt 2 i 3 w zw. z art. 174a ust. 1 i 3 ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne (t.j. Dz.U. z 2022 r., poz. 1648) w zw. z art. 2 ust. 1 i 2 oraz art. 3 ust. 1, 3 i 4 rozporządzenia Komisji (UE) Nr 611/2013 z dnia 24 czerwca 2013 r. w sprawie środków mających zastosowanie przy powiadamianiu o przypadkach naruszenia danych osobowych, na mocy dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady o prywatności i łączności elektronicznej (Dz. Urz. UE. L z 2013 r. Nr 173, s. 2, dalej: "rozporządzenie Nr 611/2013"), stwierdził naruszenie przez Spółkę przepisów art. 174a ust. 1 i 3 Prawa telekomunikacyjnego w zw. z art. 2 ust. 1 i 2 oraz art. 3 ust. 1, 3 i 4 rozporządzenia Nr 611/2013, polegające na niezawiadomieniu Prezesa UODO o naruszeniu danych osobowych w terminie 24 godzin od wykrycia naruszenia danych osobowych oraz braku niezwłocznego powiadomienia o naruszeniu danych osobowych abonenta, którego dotyczyło naruszenie i nałożył na Spółkę karę pieniężną w wysokości 250.000 zł. Powołując się na powyższe przepisy organ wskazał, że w jego ocenie Spółka uzyskała informacje, które po ich przeanalizowaniu pozwoliłyby na wykrycie naruszenia danych osobowych, aż dwukrotnie, tj. po raz pierwszy, w dniu 19 lutego 2022 r., kiedy to G.N.G. wrócił do POS z informacją, iż adres e-mail wskazany przez niego podczas procesu podpisania umowy jest błędny i poprosił o jego usunięcie; a po raz drugi, w dniu 23 lutego 2022 r., kiedy to spółka odebrała wezwanie organu do złożenia wyjaśnień z dnia 21 lutego 2022 r. Tymczasem Spółka zawiadomiła organ o naruszeniu danych osobowych dopiero w dniu 13 kwietnia 2022 r., tj. po wszczęciu postępowania administracyjnego w tej sprawie i po dokonaniu wglądu w akta sprawy. Zdaniem organu Spółka nie przeprowadziła po uzyskaniu informacji, o których mowa wyżej, analizy, która skutkowałaby prawidłowym rezultatem, tj. wykryciem naruszenia danych osobowych. W rezultacie tych zaniechań administrator nie tylko nie zawiadomił Prezesa UODO o naruszeniu danych osobowych w terminie wynikającym z art. 2 ust. 2 rozporządzenia Nr 611/2013, ale nie spełnił również bez zbędnej zwłoki obowiązku powiadomienia klienta o naruszeniu, pomimo że istnieje prawdopodobieństwo, iż naruszenie danych osobowych wywoła niekorzystne skutki dla danych osobowych lub prywatności abonenta. Naruszenie dotyczyło bowiem danych osobowych klienta zawartych w umowie. Organ podkreślił, że w szczególności nieuprawnione ujawnienie takiej kategorii danych jak numer PESEL (w połączeniu z imieniem i nazwiskiem), może realnie i negatywnie wpływać na ochronę praw lub wolności osób fizycznych. Odnosząc się do argumentacji Spółki organ stwierdził, że administrator nie uzyskawszy wiedzy, iż podany przez klienta adres e-mail jest nieprawidłowy, nie ma podstaw, by nie kierować na ten adres korespondencji. W niniejszej sprawie fakt udostępnienia danych klienta zawartych w umowie osobie nieuprawnionej jest bezsporny. Okoliczność, iż adres e-mail został nieprawidłowo podany przez samego klienta nie niweluje skutków błędnej wysyłki wiadomości, tj. zaistnienia naruszenia danych osobowych. Spółka powinna była więc zgłosić przedmiotowe naruszenie Prezesowi UODO nie później niż 24 godziny od jego wykrycia, a klienta powiadomić o nim bez zbędnej zwłoki, jako że istniało prawdopodobieństwo, że wywoła ono niekorzystne skutki dla danych osobowych lub prywatności klienta. Organ następnie odniósł się szczegółowo do przesłanek mających wpływ na wysokość nałożonej kary pieniężnej, tj. zakresu naruszenia, czasu jego trwania, jego skutków, dotychczasowej działalności spółki oraz jej możliwości finansowych i stwierdził, że zasadne w niniejszej sprawie będzie nałożenie na spółkę kary pieniężnej. Powyższą decyzję Spółka zaskarżyła do Wojewódzkiego Sądu Administracyjnego w Warszawie, który przywołanym wyrokiem z 28 grudnia 2023 r. uwzględnił skargę i na podstawie art. art. 145 § 1 pkt 1 lit. a ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2023 r., poz. 1634 ze zm.; dalej: "p.p.s.a.") uchylił zaskarżoną decyzję. Uzasadniając swoje stanowisko Sąd pierwszej instancji wskazał, że w rozpoznawanej sprawie kara pieniężna została nałożona za niedopełnienie obowiązku informacyjnego, nie zaś za sam fakt wystąpienia naruszenia ochrony danych osobowych. W związku z tym okoliczności związane z ewentualnym zawinieniem podmiotu, którego dane w sposób nieuprawniony zostały ujawnione, a także z podejmowanymi przez skarżącą środkami w celu zapobieżenia wystąpienia tego rodzaju naruszeń, nie mają wpływu na wynik sprawy. Nałożenie kary pieniężnej na podmiot wymaga jednak uprzedniego ustalenia przez organ, czy doszło do naruszenia obowiązku informacyjnego uregulowanego odpowiednio w art. 174a ust. 1 i art. 174a ust. 3 Prawa telekomunikacyjnego. Następnie zaś ustalenie, w oparciu o art. 3 ust. 1 rozporządzenia nr 611/2013, czy istnieje prawdopodobieństwo, że naruszenie danych osobowych wywoła niekorzystne skutki dla danych osobowych lub prywatności abonenta lub osoby fizycznej. Powiadomienie abonenta lub osoby fizycznej następuje bez zbędnej zwłoki po wykryciu naruszenia danych osobowych, jak określono w art. 2 ust. 2 akapit trzeci (art. 3 ust. 3 rozporządzenia). Jak wynika z powyższego, obowiązek informacyjny administratora danych uaktualnia się dopiero w momencie wykrycia naruszenia, zaś owo "wykrycie naruszenia" następuje, gdy dostawca uzyskał "wystarczającą wiedzę o zaistnieniu zdarzenia naruszającego ochronę". W ocenie Sądu pierwszej instancji tego rodzaju wystarczająca wiedza nie może być utożsamiana jedynie z podejrzeniem wystąpienia zdarzenia lub z okolicznościami, które powinny były doprowadzić administratora do wykrycia zdarzenia. Zdaniem Sądu pierwszej instancji powyższe rozróżnienie nie zostało jednak wzięte przez organ pod uwagę. Co więcej z uzasadnienia zaskarżonej decyzji nie wynika w istocie, czy organ uznał, że skarżąca wykryła naruszenie w powoływanych w decyzji terminach (tj. w dniu 19 lutego 2022 r. lub w dniu 23 lutego 2022 r.), czy też jedynie uzyskała podstawy do podjęcia działań w celu wykrycia tego naruszenia. Organ wielokrotnie stwierdza, że Spółka "powinna była wykryć naruszenie" (s. 7 uzasadnienia decyzji), nie przeprowadziła analizy, która "skutkowałaby prawidłowym rezultatem, tj. wykryciem naruszenia danych osobowych" (s. 8 uzasadnienia decyzji), "powinna dokonać stosownej analizy w celu wykrycia naruszenia danych osobowych" (s. 10 uzasadnienia decyzji). Stanowisko organu w tej sprawie sprowadza się zatem do stwierdzenia, że okoliczności tej sprawy umożliwiały skarżącej wykrycie naruszenia. Powyższe nie oznacza jednak, że do wykrycia naruszenia faktycznie doszło. Tymczasem w ocenie Sądu okoliczność ta jest kluczowa z punktu widzenia nałożenia kary pieniężnej na podstawie art. 210a ust. 1 pkt 2 i 3 Prawa telekomunikacyjnego, bowiem obowiązek informacyjny aktualizuje się dopiero w momencie wykrycia naruszenia (a nie samej możliwości wykrycia naruszenia). Jest to tym bardziej istotne, że - jak wynika z osnowy zaskarżonej decyzji - organ nałożył na spółkę karę pieniężną za niezawiadomienie organu o naruszeniu danych osobowych w terminie 24 godzin od wykrycia naruszenia. Zdaniem Sądu pierwszej instancji, ze zgromadzonego przez organ materiału dowodowego nie wynika, by do wykrycia naruszenia przez skarżącą doszło w dniu 19 lutego 2022 r. lub w dniu 23 lutego 2022 r. Z informacji uzyskanych wówczas przez Spółkę wynikało jedynie, że dane osobowe jej klienta mogły zostać przesłane na niewłaściwy adres e-mail, jednak dopiero podjęcie odpowiednich czynności wyjaśniających, w tym zapoznanie się z treścią zgłoszenia osoby trzeciej z dnia 16 lutego 2022 r., mogło doprowadzić Spółkę do wykrycia naruszenia danych. Nałożenie na skarżącą kary pieniężnej nastąpiło zatem z naruszeniem art. 210a ust. 1 pkt 2 i 3 ustawy – Prawo telekomunikacyjne, bowiem w ustalonym przez organ stanie faktycznym brak było podstaw do stwierdzenia naruszenia przez Spółkę obowiązku informacyjnego, o którym mowa w art. 174a ust. 1 i 3 tej ustawy. W konsekwencji, wobec stwierdzenia, że organ nieprawidłowo nałożył na skarżącą karę pieniężną, Sąd nie oceniał zarzutów skargi dotyczących wysokości nałożonej kary. Od powyższego wyroku Prezes UODO wywiódł skargę kasacyjną, zaskarżając wyrok w całości i zarzucając orzeczeniu: I. naruszenie przepisów postępowania mogące mieć istotny wpływ na wynik sprawy, tj.: 1) art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7, art. 77 § 1 i art. 80 k.p.a. skutkujące błędem w ustaleniach faktycznych przyjętych za podstawę orzeczenia poprzez błędne uznanie, że organ nie zbadał w sposób niebudzący wątpliwości i nie wyjaśnił okoliczności terminu wykrycia naruszenia, a w konsekwencji nie ustalił, kiedy doszło do wykrycia przez Spółkę naruszenia, podczas gdy organ w sposób niebudzący wątpliwości wyjaśnił powyższą okoliczność i ustalił, że dostawca uzyskał wystarczającą wiedzę o zaistnieniu zdarzenia naruszającego ochronę, które doprowadziło do naruszenia danych osobowych najpóźniej w dniu 23 lutego 2022 r., co zgodnie z art. 2 ust. 2 rozporządzenia 611/2013 równoznaczne jest z wykryciem naruszenia danych osobowych; 2) art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 107 § 3 k.p.a., poprzez uznanie, że organ nie przytoczył w zaskarżonej decyzji przekonujących argumentów przemawiających za uznaniem, że doszło do wykrycia naruszenia danych osobowych, co nie odpowiada wymaganiom art. 107 § 3 k.p.a., podczas gdy Prezes UODO w sposób wyczerpujący wyjaśnił w uzasadnieniu decyzji powyższe okoliczności; II. naruszenie przepisów prawa materialnego, tj. art. 210a ust. 1 pkt 2 i 3 oraz art. 174a ust. 1 i 3 Prawa telekomunikacyjnego w zw. z art. 2 ust. 1 i 2 oraz art. 3 ust. 1 i 3 rozporządzenia 611/2013, poprzez ich błędną wykładnię i przyjęcie, że w stanie faktycznym sprawy nie doszło do wykrycia naruszenia danych osobowych najpóźniej w dniu 23 lutego 2022 r., a tym samym Spółka nie uchybiła obowiązkom informacyjnym względem Prezesa UODO oraz względem abonenta lub użytkownika końcowego, o których mowa w art. 174a ust. 1 i 3 ww. ustawy, podczas gdy Spółka uzyskała wystarczającą wiedzę o zaistnieniu zdarzenia naruszającego ochronę, które doprowadziło do naruszenia danych osobowych, w celu przekazania zasadnego powiadomienia zgodnie z wymogami rozporządzenia 611/2013, co zgodnie z art. 2 ust. 2 rozporządzenia 611/2013 równoznaczne jest z wykryciem naruszenia danych osobowych, a tym samym zaistniała podstawa do uznania, że Spółka uchybiła ww. obowiązkom informacyjnym. Wobec powyższych zarzutów organ na podstawie art. 188 p.p.s.a. wniósł o uchylenie w całości zaskarżonego wyroku i rozpoznanie skargi poprzez jej oddalenie, ewentualnie o uchylenie zaskarżonego wyroku i przekazanie sprawy WSA w Warszawie do ponownego rozpoznania. Jednocześnie Prezes UODO wniósł o zasądzenie od skarżącego zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych oraz o rozpoznanie przedmiotowej skargi kasacyjnej na rozprawie. W uzasadnieniu skargi kasacyjnej Prezes UODO przedstawił argumentację mającą na celu wykazanie zasadności podniesionych zarzutów. W odpowiedzi na skargę kasacyjną skarżąca wniosła o jej oddalenie. Zarządzeniem Przewodniczącego Wydziału II WSA w Warszawie z 22 kwietnia 2024 r. odpowiedź na skargę kasacyjną została zwrócona skarżącej z uwagi na treść art. 66 § 1 p.p.s.a. W dniu 6 maja 2024 r. Spółka złożyła do akt pismo procesowe przedstawiające jej stanowisko w sprawie oraz wniosek o rozpoznanie sprawy na rozprawie. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z treścią art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2026 r., poz. 143; dalej: "p.p.s.a.") Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.). Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. W niniejszej sprawie skarżący kasacyjnie podniósł zarzuty w ramach obu podstaw kasacyjnych. Odnosząc się do zarzutu naruszenia przepisów postępowania mogących mieć istotny wpływ na wynik sprawy, to jest naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7, art. 77 § 1 i art. 80 k.p.a. skutkującego błędem w ustaleniach faktycznych przyjętych za podstawę orzeczenia poprzez błędne uznanie, że organ nie zbadał w sposób niebudzący wątpliwości i nie wyjaśnił okoliczności terminu wykrycia naruszenia, a w konsekwencji nie ustalił, kiedy doszło do wykrycia przez Spółkę naruszenia należy stwierdzić, że oceny tego zarzutu należy dokonać w kontekście podstawy materialnoprawnej decyzji organu, gdyż ta podstawa wyznacza ramy postępowania wyjaśniającego w kontekście ustalenia okoliczności mających znaczenie dla rozstrzygnięcia. Z tej przyczyny rozpoznanie powyższego zarzutu musi być połączone z odniesieniem się do sformułowanego w skardze kasacyjnej zarzutu naruszenia prawa materialnego. Przypomnieć zatem należy, że podstawę materialnoprawną kontrolowanej w niniejszym postępowaniu sądowoadministracyjnym decyzji stanowił art. 210a ust. 1 pkt 2 i 3 ustawy - Prawo telekomunikacyjne, w brzmieniu obowiązującym w dacie jej wydania. Przepis ten został uchylony przez art. 68 ust. 1 ustawy z dnia 12 lipca 2024 r. Przepisy wprowadzające ustawę - Prawo komunikacji elektronicznej (Dz.U. z 2024 r., poz. 1222) zmieniającej ustawę – Prawo telekomunikacyjne z dniem 10 listopada 2024 r. Zgodnie z tym przepisem, kto nie wypełnia obowiązku informacyjnego względem Prezesa Urzędu Ochrony Danych Osobowych, o którym mowa w art. 174a ust. 1 (art. 210a ust. 1 pkt 2), oraz obowiązku informacyjnego, względem abonenta lub użytkownika końcowego, o którym mowa w art. 174a ust. 3 (art. 210a ust. 1 pkt 3), podlega karze pieniężnej nakładanej przez Prezesa Urzędu Ochrony Danych Osobowych w wysokości do 3% przychodu ukaranego podmiotu osiągniętego w poprzednim roku kalendarzowym. Trafnie skonkludował Sąd pierwszej instancji, że w niniejszej sprawie kara pieniężna została nałożona za niedopełnienie obowiązku informacyjnego, nie zaś za sam fakt wystąpienia naruszenia ochrony danych osobowych. Rację ma Sąd pierwszej instancji, iż nałożenie kary pieniężnej na podstawie powołanego na wstępie przepisu wymaga uprzedniego ustalenia przez organ, czy doszło do naruszenia obowiązku informacyjnego uregulowanego odpowiednio w art. 174a ust. 1 i art. 174a ust. 3 Prawa telekomunikacyjnego (w brzmieniu obowiązującym w dacie wydania decyzji; przepisy te zostały uchylone przez art. 68 ust. 1 ustawy z dnia 12 lipca 2024 r., Dz.U. z 2024 r., poz. 1222, zmieniającej ustawę Prawo telekomunikacyjne z dniem 10 listopada 2024 r.). Jak stanowi pierwszy z wymienionych przepisów, dostawca publicznie dostępnych usług telekomunikacyjnych zawiadamia Prezesa Urzędu Ochrony Danych Osobowych o naruszeniu danych osobowych w terminie i na zasadach określonych w rozporządzeniu Komisji (UE) Nr 611/2013 z dnia 24 czerwca 2013 r. w sprawie środków mających zastosowanie przy powiadamianiu o przypadkach naruszenia danych osobowych, na mocy dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady o prywatności i łączności elektronicznej (Dz.Urz. UE L 173 z 26.06.2013, str. 2). Z kolei w myśl art. 174a ust. 3 Prawa telekomunikacyjnego, w przypadku gdy naruszenie danych osobowych może mieć niekorzystny wpływ na prawa abonenta lub użytkownika końcowego będącego osobą fizyczną, dostawca publicznie dostępnych usług telekomunikacyjnych niezwłocznie zawiadamia o takim naruszeniu również abonenta lub użytkownika końcowego na zasadach określonych w rozporządzeniu Nr 611/2013, z zastrzeżeniem ust. 5. Powyższe przepisy w zakresie terminu i zasad realizacji określonego w nich obowiązku informacyjnego odsyłają wprost do odpowiednich przepisów rozporządzenia Nr 611/2013. Stwierdzenie, czy w danej sprawie doszło do naruszenia obowiązku informacyjnego, o którym mowa w art. 174a ust. 1 i 3 Prawa telekomunikacyjnego, wymaga zatem odwołania się do treści art. 2 ust. 2 rozporządzenia Nr 611/2013, w myśl którego dostawca powiadamia właściwy organ krajowy o przypadku naruszenia danych osobowych nie później niż 24 godziny po wykryciu naruszenia danych osobowych, jeśli jest to wykonalne. Uznaje się, że doszło do wykrycia naruszenia danych osobowych, gdy dostawca uzyskał wystarczającą wiedzę o zaistnieniu zdarzenia naruszającego ochronę, które doprowadziło do naruszenia danych osobowych. Z kolei zgodnie z art. 3 ust. 1 rozporządzenia Nr 611/2013, jeśli istnieje prawdopodobieństwo, że naruszenie danych osobowych wywoła niekorzystne skutki dla danych osobowych lub prywatności abonenta lub osoby fizycznej, dostawca, oprócz powiadomienia, o którym mowa w art. 2, powiadamia również o naruszeniu tego abonenta lub tę osobę fizyczną, przy czym powiadomienie abonenta lub osoby fizycznej następuje bez zbędnej zwłoki po wykryciu naruszenia danych osobowych, jak określono w art. 2 ust. 2 akapit trzeci (art. 3 ust. 3 rozporządzenia). Wobec brzmienia powołanych przepisów trafnie przyjął Sąd pierwszej instancji, że obowiązek informacyjny administratora danych uaktualnia się dopiero w momencie wykrycia naruszenia, które następuje w momencie, gdy dostawca uzyskał "wystarczającą wiedzę o zaistnieniu zdarzenia naruszającego ochronę". Naczelny Sąd Administracyjny podziela stanowisko Sądu pierwszej instancji, że "wystarczająca wiedza" nie może być utożsamiana jedynie z podejrzeniem wystąpienia zdarzenia lub z okolicznościami, które powinny były doprowadzić administratora do wykrycia zdarzenia. Jak wskazano w punkcie 8 preambuły do rozporządzenia Nr 611/2013, ani samo podejrzenie, że doszło do naruszenia danych osobowych, ani samo wykrycie zdarzenia bez wystarczających dostępnych informacji, mimo starannego działania dostawcy w tym zakresie, nie wystarczą, by uznać, że wykryto naruszenie danych osobowych do celów niniejszego rozporządzenia. Szczególny nacisk należy zatem położyć na dostępność informacji, o których mowa w załącznikach (tzn. we wzorach powiadomień kierowanych do organu oraz abonenta). Prawodawca europejski akcentuje bowiem konieczność bezspornego ustalenia faktu wykrycia naruszenia, które nie jest tożsame jedynie z wystąpieniem podejrzenia takiego naruszenia. Sąd pierwszej instancji trafnie skonstatował, że powyższe rozróżnienie nie zostało wzięte przez organ pod uwagę, a z uzasadnienia zaskarżonej decyzji nie wynika, czy organ uznał, że Spółka wykryła naruszenie w dniu 19 lutego 2022 r. lub 21 lutego 2022 r., czy też jedynie uzyskała podstawy do podjęcia działań w celu jego wykrycia. W uzasadnieniu decyzji stwierdzono, że Spółka "powinna była wykryć naruszenie" (s. 7 uzasadnienia decyzji), nie przeprowadziła analizy, która "skutkowałaby prawidłowym rezultatem, tj. wykryciem naruszenia danych osobowych" (s. 8 uzasadnienia decyzji), "powinna dokonać stosownej analizy w celu wykrycia naruszenia danych osobowych" (s. 10 uzasadnienia decyzji), na co zwrócił uwagę Sąd pierwszej instancji. Rację ma zatem Wojewódzki Sąd Administracyjny w Warszawie, że stanowisko organu sprowadza się do stwierdzenia, że okoliczności sprawy umożliwiały Spółce wykrycie naruszenia. Nie zgromadził organ natomiast dowodów na okoliczność, czy i kiedy do wykrycia naruszenia faktycznie doszło, zaś ta właśnie okoliczność ma zasadnicze znaczenie z punktu widzenia zastosowania normy art. 210a ust. 1 pkt 2 i 3 Prawa telekomunikacyjnego, gdyż obowiązek informacyjny aktualizuje się dopiero w momencie wykrycia naruszenia, a nie w chwili pojawienia się potencjalnej, abstrakcyjnej możliwości jego wykrycia Z powyższych przyczyn nie są zasadne zarzuty naruszenia przepisów postępowania. Nie doszło do naruszenia zasady prawdy obiektywnej, gdyż Sąd pierwszej instancji dokonał prawidłowej oceny zakresu postępowania wyjaśniającego. Nie doszło także do naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 107 § 3 k.p.a., gdyż Sąd pierwszej instancji trafnie dostrzegł błędy w uzasadnieniu decyzji, będące konsekwencją niepoczynienia właściwych ustaleń w zakresie stanu faktycznego sprawy. Zarzut naruszenia prawa materialnego jest niezasadny przede wszystkim z tej przyczyny, że w oparciu o niego strona skarżąca kasacyjnie usiłuje podważać ustalenia faktyczne poczynione w sprawie odnoszące się do faktu wykrycia naruszenia danych osobowych. Należy przypomnieć, że niedopuszczalne jest zastępowanie zarzutu naruszenia przepisów postępowania zarzutem naruszenia prawa materialnego i za jego pomocą kwestionowanie ustaleń faktycznych. Próba zwalczenia ustaleń faktycznych poczynionych przez sąd pierwszej instancji nie może nastąpić przez zarzut naruszenia prawa materialnego. Ocena zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie konkretnego stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący kasacyjnie uznaje za prawidłowy. Jeżeli strona skarżąca kasacyjnie uważa, że ustalenia faktyczne są błędne, to zarzut naruszenia prawa materialnego poprzez błędne zastosowanie jest co najmniej przedwczesny, zaś zarzut naruszenia prawa przez błędną jego wykładnię - niezasadny. Zarzut naruszenia prawa materialnego nie może opierać się na wadliwym (kwestionowanym przez stronę) ustaleniu faktu (por. wyrok NSA z 22 grudnia 2025 r., I OSK 2264/24). Mając na uwadze powyższe, Naczelny Sąd Administracyjny, na podstawie art. 184 p.p.s.a., oddalił skargę kasacyjną.