III OSK 1478/24

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Tamara Dziełakowska Sędziowie: Sędzia NSA Przemysław Szustakiewicz (sprawozdawca) Sędzia del. WSA Kazimierz Bandarzewski Protokolant: starszy asystent sędziego Agnieszka Żak po rozpoznaniu w dniu 14 października 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 26 lutego 2024 r., sygn. akt II SA/Wa 1188/23 w sprawie ze skargi M.L. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 29 marca 2023 r., nr DS.523.1969.2022.ZS.WWB w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok w całości i przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie; 2. odstępuje od zasądzenia zwrotu kosztów postępowania kasacyjnego w całości.

Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 26 lutego 2024 r., sygn. akt II SA/Wa 1188/23, po rozpoznaniu sprawy ze skargi M.L.: uchylił zaskarżoną decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 29 marca 2023 r., nr DS.523.1969.2022.ZS.WWB w przedmiocie przetwarzania danych osobowych oraz zasądził zwrot kosztów postępowania. W sprawie ustalono następujący stan faktyczny i prawny: E.K. złożyła do Prezesa Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez M.L., prowadzącą działalność gospodarczą pod firmą Przychodnia [...], polegające na wykorzystaniu i udostępnieniu danych osobowych poprzez załączenie dokumentacji medycznej zawierającej jej dane osobowe do pozwu skierowanego do Sądu Okręgowego [...]. Prezes Urzędu Ochrony Danych Osobowych, decyzją z dnia 29 marca 2023 r., nr DS.523.1969.2022.ZS.WWB, wydaną na podstawie art. 5 ust. 1 lit. a, art. 9 ust. 1 i art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1 oraz Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35, dalej: RODO"), udzielił M.L., prowadzącej działalność gospodarczą pod firmą Przychodnia [...], upomnienia za naruszenie 9 ust. 1 oraz art. 5 ust. 1 lit. a RODO polegające na wykorzystaniu i udostępnieniu danych dotyczących zdrowia uczestniczki postępowania, poprzez załączenie dokumentacji medycznej zawierającej jej dane osobowe do pozwu skierowanego do Sądu Okręgowego [...]. W uzasadnieniu organ wyjaśnił, że przetwarzanie danych osobowych dotyczących zdrowia jest zgodne z prawem, jeżeli przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody (art. 9 ust. 2 lit. c RODO). Za żywotne interesy powinny być uznawane jedynie interesy odnoszące się do wartości podstawowych takich jak życie, zdrowie, bezpieczeństwo, natomiast w doktrynie wątpliwości budzi możliwość zaliczenia do interesów żywotnych interesów majątkowych. Organ wskazał też, że przetwarzanie danych osobowych dotyczących zdrowia jest zgodne z prawem jeżeli przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń (art. 9 ust. 2 lit. f RODO). W celu legalizacji procesu przetwarzania w oparciu o wskazaną podstawę prawną, koniecznym jest wykazanie przez administratora niezbędności przetwarzania do ustalenia, dochodzenia lub obrony roszczeń. Nie wystarczy zatem samo zaistnienie po stronie administratora konieczności ustalenia, dochodzenia lub obrony roszczeń, lecz dodatkowo działania te wymagają przetwarzania danych osobowych. Musi występować bezpośredni związek pomiędzy realizacją ustalenia, dochodzenia lub obrony roszczeń a potrzebą przetwarzania danych osobowych. W rozpoznawanej sprawie dokumentacja medyczna zawierająca dane osobowe uczestniczki została załączona do pozwu Przychodni jako "przykładowa dokumentacja medyczna", co oznacza, że dochodzenie przez Przychodnię roszczeń na drodze sądowej nie wymagało przetwarzania danych osobowych uczestniczki. Tym bardziej, że ze zgromadzonego w sprawie materiału dowodowego nie wynika by Przychodnia zobowiązana była przez Sąd do przedłożenia dokumentacji medycznej zawierającej dane osobowe uczestniczki. Na uwagę zasługuje również fakt, iż uczestniczka nie jest stroną postępowania sądowego i nie dotyczy ono jej interesów majątkowych. Wobec powyższego, w ocenie Prezesa UODO, Przychodnia nie spełniła przesłanek wskazanych w art. 9 ust. 2 lit c i f RODO uprawniających ją do przetwarzania danych Skarżącej uczestniczki w kwestionowanym zakresie. Jednocześnie Przychodnia nie wykazała, a organ nie stwierdził także zaistnienia innej z przesłanek wymienionych w art. 9 ust. 2 RODO, w oparciu o którą Przychodnia mogłaby w sposób zgodny z obowiązującymi przepisami przetwarzać dane osobowe uczestniczki zawarte w jej dokumentacji medycznej. Od powyższej decyzji skargę wywiodła M.L. W odpowiedzi na skargę organ wniósł o jej oddalenie. Powołanym na wstępie wyrokiem, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. Prawo o postepowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 1634 ze zm., dalej: "P.p.s.a."), uznał, że skarga zasługuje na uwzględnienie. Sąd I instancji wskazał, że istota sprawy sprowadzała się do oceny, czy miało miejsce przetwarzanie danych osobowych. WSA w Warszawie wskazał, że organ uznał, że M.L., będąc administratorem danych osobowych pacjentki w ramach prowadzonej działalności gospodarczej, przetwarzała te dane, załączając do pozwu skierowanego do Sądu Okręgowego [...] część dokumentacji medycznej pacjentki. Przy tak ustalonym stanie faktycznym, aby móc skutecznie przypisać administratorowi danych pacjentki przetwarzanie owych danych, musiałyby zostać spełnione łącznie dwie przesłanki: 1) administrator danych musiałby dane udostępnić osobie trzeciej; 2) owa osoba trzecia musiałaby być "odbiorcą danych" w rozumieniu przepisów RODO. W sprawie koniecznym stało się zatem odkodowanie pojęcia "odbiorcy danych Zgodnie z art. 4 pkt 9 RODO, odbiorca oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot któremu ujawnia się dane osobowe niezależnie od tego, czy jest stroną trzecią, przy czym organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są jednak uznawane za odbiorców; przetwarzanie tych danych przez te organy publiczne musi być zgodne z przepisami o ochronie danych mającymi zastosowanie stosownie do celów przetwarzania. Mając powyższe na uwadze, w ocenie Sądu I instancji, nie doszło do zakwestionowanego w skarżonej decyzji przetwarzania danych osobowych pacjentki polegającego na przekazaniu ich jako załącznika do pozwu. Skoro bowiem zostały one wykorzystane w celu przekazania ich Sądowi prowadzącemu konkretne postępowanie cywilne, to świadczy to jednoznacznie o tym, że nie zostały udostępnione "odbiorcy danych" oznaczonemu w art. 4 pkt 9 RODO. Sąd Okręgowy [...], ponad wszelką wątpliwość jest organem publicznym. Sporne dane otrzymał zaś w ramach konkretnego postępowania zainicjowanego pozwem Przychodni. Sąd ten był więc uprawniony do otrzymania owej dokumentacji, skoro została ona dołączona do pozwu jako dowód na zasadność całego powództwa. Biorąc zaś pod uwagę kontradyktoryjny charakter postępowania prowadzonego przed Sądem gospodarczym (art. 458 z indeksem 5 K.p.c.) Przychodnia zmuszona była załączyć do pozwu wszelkie dowody dla wykazania zasadności swego roszczenia. Takiego działania Przychodni nie sposób więc uznać za "nadmiarowe" skoro omawiana dokumentacja miała dowieść faktu realizacji umowy łączącej Przychodnię z pozwanym. Nadto organ nie posiada uprawnień do oceniania w niniejszym postępowaniu trafności decyzji procesowych, podejmowanych w innym postępowaniu przez osobę prowadzącą spór przed Sądem powszechnym, w tym do wypowiadania się o trafności wniosków dowodowych zgłaszanych dla wykazania swych racji. Konkluzją o zbędności przetwarzania spornych danych w postępowaniu cywilno-prawnym organ wykroczył więc poza swoje ustawowe prerogatywy. W sytuacji, gdy w świetle art. 4 pkt 9 RODO przekazanie przez Przychodnię spornych danych osobowych Sądowi, w ramach prowadzonego przez ów Sąd postępowania - nie stanowiło przetwarzania danych osobowych pacjentki - brak było podstaw faktycznych i prawnych do wydania skarżonej decyzji. W dniu 3 kwietnia 2024 r. skargę kasacyjną na powyższy wyrok wywiódł Prezes Urzędu Ochrony Danych Osobowych, zaskarżając wyrok w całości i wnosząc o uchylenie zaskarżonego wyroku w całości i oddalenie skargi, ewentualnie uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz zasądzenie zwrotu kosztów postępowania sądowego. Zaskarżonemu wyrokowi zarzucono naruszenie: 1. art. 4 pkt 9 RODO, poprzez jego niewłaściwe zastosowanie, tj. uznanie, iż pojęcie odbiorcy zdefiniowane we wskazanym przepisie znajduje legalne zastosowanie do pojęcia przetwarzania, o którym mowa w art. 4 pkt 2 RODO, powodując zawężenie pojęcia "przetwarzania", podczas gdy pojęcie odbiorcy nie determinuje zaistnienia bądź niezaistnienia procesu przetwarzania polegającego na ujawnieniu poprzez przesłanie lub innego rodzaju udostępnieniu; 2. art. 4 pkt 2 RODO, poprzez jego błędną wykładnię polegającą na uznaniu, iż brak zakwalifikowania podmiotu, któremu dane osobowe zostały udostępnione jako odbiorcy w rozumieniu art. 4 pkt 9 RODO, stanowi o braku zaistnienia procesu przetwarzania, podczas gdy przetwarzanie to każda czynność (operacja lub zestaw operacji) wykonywanych na danych osobowych lub zestawach danych osobowych w tym m.in. ujawnianie poprzez przesłanie lub innego rodzaju udostępnienie na rzecz innych podmiotów bez względu czy są one odbiorcami w rozumieniu art. 4 pkt 9 RODO, czy też nie; 3. art. 58 ust. 2 lit. b w zw. z art. 9 ust. 1 oraz 5 ust. 1 lit. a RODO, poprzez jego niezastosowanie, podczas gdy z prawidłowo ustalonego stanu faktycznego wynika, iż strona przeciwna nie legitymowała się żadną z przesłanek legalizujących wykorzystanie danych osobowych uczestniczki, wobec czego zasadnym było udzielenie upomnienia za naruszenie przepisów RODO; 4. art. 145 § 1 pkt. 1 lit. a i c P.p.s.a. w zw. z art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a., w zw. z art. 4 ust. 2 RODO poprzez błędne przyjęcie, że Prezes UODO wydał decyzję w oparciu o błędnie ustalony stan faktyczny sprawy, podczas gdy organ w sposób prawidłowy stwierdził, iż w sprawie doszło do przetwarzania danych osobowych uczestniczki przez stronę przeciwną polegającego na ujawnieniu jej danych osobowych dotyczących zdrowia zawartych w dokumentacji medycznej poprzez ich przesłanie do Sądu Okręgowego [...] jako załącznik do pozwu strony przeciwnej. Odpowiedzi na skargę kasacyjną nie wniesiono. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z art. 183 § 1 P.p.s.a Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania, której przesłanki określone w § 2 art. 183 P.p.s.a. w rozpoznawanej sprawie nie występują. Związanie Naczelnego Sądu Administracyjnego podstawami skargi kasacyjnej wymaga prawidłowego ich określenia w samej skardze. Należy zatem wskazać konkretne przepisy prawa, którym - zdaniem skarżącego - uchybił sąd i zamieścić uzasadnienie podstawy kasacyjnej, czyli uzasadnić uchybienia zarzucane sądowi. Uzasadnienie podstaw kasacyjnych polega na wykazaniu przez autora skargi kasacyjnej, że stawiane przez niego zarzuty mają usprawiedliwioną podstawę i zasługują na uwzględnienie. Uzasadniając zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, iż sąd stosując przepis popełnił błąd w subsumcji czyli, że niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa. W obu tych przypadkach autor skargi kasacyjnej wykazać musi ponadto w uzasadnieniu, jak, w jego ocenie, powinien być rozumiany stosowany przepis prawa, czyli jaka powinna być jego prawidłowa wykładnia bądź jak powinien być stosowany konkretny przepis prawa ze względu na stan faktyczny sprawy, a w przypadku zarzutu niezastosowania przepisu - dlaczego powinien być zastosowany. Uzasadniając zaś naruszenie przepisów postępowania wykazać należy, że uchybienie im mogło mieć istotny wpływ na wynik sprawy. Skarga kasacyjna nieodpowiadająca powyższym wymaganiom uniemożliwia sądowi ocenę jej zasadności. W rozpoznawanej sprawie zarzuty skargi kasacyjnej obejmują zarówno naruszenie przepisów postępowania, jak i przepisów prawa materialnego, aczkolwiek nie określają formy naruszeń. W pierwszej kolejności rozpoznaniu podlegały zarzuty naruszenia przepisów postępowania, ponieważ dopiero po przesądzeniu, że stan faktyczny sprawy został ustalony w sposób prawidłowy, możliwe jest badanie zasadności zarzutów naruszenia prawa materialnego. Zarzut naruszenia art. 145 § 1 pkt 1 lit. a i c P.p.s.a. w zw. z art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a., w zw. z art. 4 ust. 2 RODO jest zasady, ponieważ w sprawie organ prawidłowo uznał, że doszło do przetwarzania danych osobowych pacjentki przez Przychodnię, polegającego na ujawnieniu jej danych osobowych dotyczących zdrowia zawartych w dokumentacji medycznej przez przeslanie jej do Sądu Okręgowego [...] jako załącznik do pozwu. W tym zakresie WSA w Warszawie błędnie również dokonał wykładni art. art. 4 pkt 9 RODO. Przypomnieć należy, że, zdaniem Sądu I instancji, w sprawie nie doszło do przetwarza danych osobowych uczestniczki postępowania, ponieważ podmiot, do którego przekazano dane (Sąd Okręgowy [...]) nie jest odbiorcą danych. Ten pogląd jest błędny. Treść art. 4 pkt 9 zd. drugie RODO, w zakresie w którym określa on, że podmioty publiczne nie są odbiorcami nie jest skierowana do innych podmiotów niż wymienione podmioty publiczne i dotyczy innej sytuacji prawnej niż ta, w której znajdowała się strona postępowania administracyjnego. Zgodnie z art. 4 pkt 9 RODO, "odbiorca" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią. Organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są jednak uznawane za odbiorców; przetwarzanie tych danych przez te organy publiczne musi być zgodne z przepisami o ochronie danych mającymi zastosowanie stosownie do celów przetwarzania. Powyższy przepis oznacza, że "odbiorcą jest każdy podmiot, któremu administrator ujawnia dane osobowe, z wyjątkiem podmiotów publicznych, które uzyskują dane w ramach postępowania prowadzonego na podstawie przepisów prawa. Status odbiorcy nie zależy od tego, czy podmiot, któremu dane są ujawniane, jest stroną trzecią. W omawianej definicji posłużono się więc innym pojęciem zdefiniowanym w rozporządzeniu. Prawodawca unijny za stronę trzecią uznaje: osobę fizyczną lub prawną, organ publiczny, jednostkę lub podmiot inny niż osoba, której dane dotyczą, administrator, podmiot przetwarzający czy osoby, które – z upoważnienia administratora lub podmiotu przetwarzającego – mogą przetwarzać dane osobowe. Oznacza to, że za odbiorcę danych w rozumieniu komentowanego przepisu uznać trzeba m.in. podmiot przetwarzający dane na zlecenie administratora, któremu administrator ujawnia dane osobowe." (P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. III, Warszawa 2025, art. 4). Odbiorcą jest zatem każdy podmiot, któremu ujawniono, niezależnie od istnienia lub nie podstawy legalizującej takie działanie - dane osobowe. Nadto wskazuje się, że ujawnienie danych osobowych "jako umożliwienie zapoznania się z treścią danych osobowych może nie prowadzić do tego, że - zgodnie z art. 2 RODO - podmiot, któremu ujawniono dane, będzie w zakresie przetwarzania tych danych podlegał przepisom RODO. Co więcej, nie można też wykluczyć sytuacji, w której jedyną operacją wykonywaną na danych osobowych będzie zapoznanie się z tymi danymi, a do dalszego przetwarzania danych w ogóle nie dojdzie. Nie zmienia to jednak kwalifikacji takiego podmiotu jako odbiorcy danych", (Artykuł 4 RODO red. Litwiński 2025, wyd. 2, Paweł Barta, Maciej Kawecki, Paweł Litwiński, Legalis). Czynność ujawnienia danych osobowych odbiorcy jest zatem elementem przetwarzania danych osobowych, a zatem nieprawidłowo WSA w Warszawie uznał, że aby skutecznie przypisać przetwarzanie danych przez administratora koniecznym jest, aby podmiot, do którego przekazano dane był odbiorcą w rozumieniu art. 4 pkt 9 RODO Sąd I instancji również nie dostrzegł, że art. 4 pkt 9 RODO odnosi się jedynie do sytuacji, w której to organ publiczny działa w celu pozyskania danych osobowych w związku z prowadzonym postępowaniem. Wynika to wprost z motywu 31 RODO, wedle którego "Organy publiczne, którym ujawnia się dane osobowe w związku z ich prawnym obowiązkiem sprawowania funkcji publicznej (takich jak organy podatkowe, organy celne, finansowe jednostki analityki finansowej, niezależne organy administracyjne czy organy rynków finansowych regulujące i nadzorujące rynki papierów wartościowych), nie powinny być traktowane jako odbiorcy, jeżeli otrzymane przez nie dane osobowe są im niezbędne do przeprowadzenia określonego postępowania w interesie ogólnym zgodnie z prawem Unii lub prawem państwa członkowskiego. Żądanie ujawnienia danych osobowych, z którym występują takie organy publiczne, powinno zawsze mieć formę pisemną, być uzasadnione, mieć charakter wyjątkowy, nie powinno dotyczyć całego zbioru danych ani prowadzić do połączenia zbiorów danych. Przetwarzając otrzymane dane osobowe, takie organy powinny przestrzegać mających zastosowanie przepisów o ochronie danych, zgodnie z celami przetwarzania". W tym wypadku organy takie nie mogą być ocenione jako odbiorcy, ponieważ ich działanie jest konsekwencją przypisanych im publicznych zadań wykonywanych za pomocą prawnych procedur. Jednak w tym wypadku takie podmioty samodzielnie występują z takim żądaniami, a podmioty do których się one zwrócą nie mogą odmówić im udostępnienia posiadanych danych osobowych. Nie dotyczy to jednak sytuacji, gdy administrator sam z własnej inicjatywy przekazuje takie dane do podmiotu, o którym mowa w art. 4 pkt 9 zd. drugie RODO. Za niezasadny należało uznać zarzut naruszenia art. 58 ust. 2 lit. b w zw. z art. 9 ust. 1 oraz 5 ust. 1 lit. a RODO, ponieważ Sąd I instancji nie badał, czy w sprawie istniała przesłanka legalizacyjna ujawnienia przez Przychodnię danych osobowych pacjentki w pozwie skierowanym do Sądu Okręgowego [...]. Podstawą uchylenia zaskarżonej decyzji było naruszenie art. 4 pkt 9 RODO, gdyż WSA w Warszawie uznał, że sprawie w ogóle nie doszło do przetwarzania danych osobowych. Wobec tego, że Sąd I instancji dokonał nieprawidłowej wykładni art. 4 pkt 9 RODO, uznając, że nie doszło do przetwarzania danych osobowych, zaskarżony wyrok podlegał uchyleniu w oparciu o art. 185 § 1 P.p.s.a., a sprawa musi zostać ponownie rozpoznana przez Wojewódzki Sąd Administracyjny w Warszawie. Ponownie rozpoznając sprawę, Sąd I instancji dokona oceny legalności zaskarżonej decyzji. Naczelny Sąd Administracyjny na podstawie art. 207 § 2 P.p.s.a., odstąpił od zasądzenia zwrotu kosztów postępowania kasacyjnego w całości, uznając, iż zachodzi szczególnie uzasadniony przypadek, o którym mowa w tym przepisie. W istocie rzeczy w rozpatrywanej sprawie wyłączną przyczyną sprawiającą, że doszło do postępowania kasacyjnego, było wadliwe orzeczenie Sądu I instancji, które spowodowało wniesienie skargi kasacyjnej uwzględnionej przez Naczelny Sąd Administracyjny. Brak zatem dostatecznych podstaw do tego, by obciążyć stronę, która wniosła skargę do Sądu I instancji, kosztami postępowania kasacyjnego.