III OSK 3226/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący sędzia NSA Zbigniew Ślusarczyk (sprawozdawca) Sędziowie: sędzia NSA Sławomir Wojciechowski sędzia del. WSA Sławomir Pauter Protokolant asystent sędziego Adam Płusa po rozpoznaniu w dniu 25 sierpnia 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej L.A. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 27 lipca 2023 r., sygn. akt II SA/Wa 564/23 w sprawie ze skargi L.A. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 26 stycznia 2023 r., nr DS.523.7843.2021.ZS.MR w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok w całości, 2. uchyla zaskarżoną decyzję, 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz L.A. kwotę 1500 (tysiąc pięćset) złotych tytułem zwrotu kosztów postępowania sądowego.

Wyrokiem z 27 lipca 2023 r. Wojewódzki Sąd Administracyjny w Warszawie sygn. akt na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2023 r. poz. 259) dalej zwanej "p.p.s.a.", oddalił skargę L.A. (dalej: skarżąca) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: organ lub PUODO) z 26 stycznia 2023 r. w przedmiocie przetwarzania danych osobowych. W uzasadnieniu rozstrzygnięcia Sąd I instancji wskazał, że skarżąca 6 grudnia 2021 r. zwróciła się do organu ze skargą na naruszenie jej danych osobowych przez lekarza L.D. (dalej: administrator) ze [...] (dalej: Klinika) w dniu 2 grudnia 2021 r., o czym dowiedziała się podczas przeglądania portalu PUE ZUS. W odpowiedzi na zgłoszenie PUODO zwrócił się do administratora w trybie art. 58 ust. 2 lit. a i lit. e rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. I, Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35) dalej zwanego "RODO", o ustosunkowanie się do treści skargi. W piśmie z 4 marca 2022 r. administrator poinformował organ, że dane skarżącej zostały wyświetlone w systemie PUE ZUS przypadkowo przez jego pracownicę zarejestrowaną jako asystent medyczny, podczas wypełniania druku ZUS-ZLA. Dane skarżącej nie zostały pobrane, przetworzone ani przekazane innej osobie lub podmiotowi, czy zarchiwizowane, a tym samym brak było możliwości poinformowania jej o incydencie. W piśmie z 10 października 2022 r. administrator dosłał upoważnienie z 8 września 2021 r. dla pracownicy do wystawiania zaświadczeń lekarskich o niezdolności do pracy oraz poinformował, że 2 grudnia 2021 r. ww. pracownica wykonując standardowe czynności omyłkowo wprowadziła nieprawidłowy nr PESEL osoby, której druk dotyczył, przez co uzyskała dostęp do danych skarżącej. Decyzją z 26 stycznia 2023 r. PUODO na podstawie art. 104 § 1 k.p.a. oraz art. 5 ust. 1, art. 6 ust. 1 oraz 58 ust. 2 lit b. RODO administratorowi udzielono upomnienie za wykorzystanie 2 grudnia 2021 r. danych osobowych skarżącej bez podstawy prawnej. W postępowaniu nie stwierdzono natomiast, aby administrator zapoznał się lub pozyskiwał ostatecznie dane osobowe skarżącej znajdujące się na PUE ZUS, tym samym nie doszło ani z jego strony, ani ze strony pracownicy do następczego przetwarzania danych osobowych zgromadzonych na tej platformie. Sąd I instancji zgodził się ze stanowiskiem zaprezentowanym przez organ, zgodnie z którym doszło do naruszenia danych osobowych skarżącej, natomiast stwierdził, że było ono niewielkie, więc odpowiednią formą sankcji jest w tym przypadku upomnienie. Sąd podkreślił, że administrator podjął współpracę z organem nadzorczym, złożył wyjaśnienia w sprawie, poinformował o podjęciu działań na przyszłość, wyjaśnił sposób działania platformy PUE ZUS umożliwiającej wpisanie odmiennego nr PESEL przez pracownika medycznego oraz nie był uprzednio karany ani nie nałożono na niego nakazów naprawczych. Co więcej, według Sądu brak jest dowodów na następcze przetworzenie danych osobowych skarżącej, a sama skarżąca nie kwestionowała w ramach postępowania administracyjnego wyjaśnień administratora, ani nie przedstawiła jakichkolwiek dowodów mogących podważyć jego wiarygodność. Skargę kasacyjną od powyższego rozstrzygnięcia wniosła skarżąca zaskarżając je w całości, żądając uchylenia zaskarżonego wyroku i przekazania sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania oraz zasądzenia na rzecz skarżącej kosztów postępowania za obie instancje. Skarżąca wniosła o rozpoznanie skargi kasacyjnej na rozprawie. Wyrokowi zarzuciła: 1. niedostrzeżenie przez Sąd I instancji naruszenia przez "organ administracji II instancji" przepisów prawa materialnego tj. motywu 148 preambuły RODO, które to naruszenie w sposób istotny wpłynęło na wynik sprawy i skutkowało jedynie upomnieniem, a wynikało z prowadzenia postępowania dowodowego przez organ II instancji w bardzo ograniczonym zakresie (rozpytanie jedynie L.D. w zakresie incydentu z 2.12.2021 r. - deliktu administracyjnego - bez przesłuchania w tym zakresie M.F. i M.A. mimo zarzutów zgłaszanych przez skarżącą), w efekcie doprowadziło to do błędnego przyjęcia przez Sąd I instancji, iż zastosowanie w niniejszym przypadku jedynie upomnienia było środkiem proporcjonalnym do skali naruszenia danych osobowych, które rzekomo wynikało z omyłki i nie było działaniem celowym. 2. niedostrzeżenie przez Sąd I instancji naruszenia przepisów prawa procesowego przez organ administracji II instancji, które to naruszenie w sposób istotny wpłynęło na wynik sprawy, tj. 12 § 1 k.p.a. przez brak wnikliwego zbadania sprawy i pominięcie okoliczności celowego działania pracownika kliniki zdrowotnej M.F., która nieomyłkowo wpisała nr PESEL skarżącej do ewidencji ZUS, a jej działanie wynikało z chęci pozyskania informacji wrażliwych dotyczących stanu zdrowia skarżącej, w dodatku motywowane pobudkami zasługującymi na szczególne potępienie (chęć uzyskania przez męża skarżącej informacji co do jej stanu zdrowia wobec postępowania w zakresie powierzenia władzy rodzicielskiej nad małoletnim synem skarżącej i M.A.), co w efekcie spowodowało brak odpowiedniej reakcji na naruszenie art. 5 ust. 1 i 6 ust. 1 RODO; organ II instancji winien był zobowiązać M.F. do wskazania jakie relacje łączyły ją w dacie korzystania przez nią z PESELu skarżącej z byłym małżonkiem skarżącej, czy utrzymywała z nim kontakty w tym czasie, skąd pozyskała nr PESEL skarżącej; podobnie rozpytanie winno dotyczyć byłego męża skarżącej, który był żywo zainteresowany stanem zdrowia skarżącej w kontekście toczących się spraw rodzinnych w zakresie uregulowania władzy rodzicielskiej nad małoletnim synem skarżącej i M.A.. 3. niedostrzeżenie przez Sąd I instancji naruszenia przez "organ administracji II instancji" prawa procesowego, które to naruszenie w sposób istotny wpłynęło na wynik sprawy, tj. art. 7 k.p.a. przez brak dokładnego wyjaśnienia stanu faktycznego w zakresie okoliczności i celu pozyskania danych osobowych przez pracownicę Kliniki, która działała na zlecenie małżonka skarżącej (co istotne skarżąca nigdy nie leczyła się w w/w klinice) tj. brak przesłuchania w tym zakresie zarówno dopuszczającej się naruszenia danych osobowych M.F. - pracownicy kliniki oraz byłego małżonka skarżącej M.A., który w czasie gdy doszło do naruszenia pozostawał w bliskich relacjach z M.F., co w efekcie spowodowało brak odpowiedniej reakcji na naruszenie art. 5 ust. 1 i 6 ust. 1 RODO. W uzasadnieniu skargi kasacyjnej podkreślono, że w ocenie skarżącej jej dane osobowe zostały celowo oraz bezprawnie użyte przez pracownicę administratora. Sąd I instancji całkowicie zignorował fakt powiązania pracownicy administratora z byłym mężem skarżącej oczekując, że to skarżąca przedstawi dowody w tym zakresie. W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie podzielając stanowisko przyjęte przez Sąd I instancji. Zauważono, że organ nie oceniał przetwarzania danych skarżącej przez Klinikę tylko przetwarzanie dokonane przez określony przez skarżącą w treści pisma z 6 grudnia 2021 r., podmiot, jakim był wskazany z imienia i nazwiska oraz numeru pozwolenia wykonywania zawodu lekarz (administrator). Niemożliwe zatem było, aby organ samodzielnie rozszerzył przedmiot prowadzonego postępowania. Odpowiedź na skargę kasacyjną złożył również administrator wnosząc o jej oddalenie oraz zasądzenie na jego rzecz zwrotu kosztów postępowania. W ocenie administratora zarzuty skargi kasacyjnej nie zostały prawidłowo sformułowane, bowiem brak jest wskazania jakie przepisy postępowania lub prawa materialnego naruszył Sąd I instancji (art. 176 § 1 pkt 2 p.p.s.a.). Co więcej skarżąca nie powołała żadnych przepisów p.p.s.a., a jedynie przepisy art. 7 i art. 12 k.p.a. oraz motyw 148 preambuły RODO. Administrator zgodził się również z organem, że skarżąca nie rozszerzyła zakresu prowadzonego postępowania na inne osoby, a tym samym nie było możliwości aby rozważać naruszenie jej danych osobowych przez Klinikę. Administrator potrzymał również stanowisko, że dane skarżącej nie zostały pobrane, przetworzone, przekazane innej osobie lub podmiotowi, czy zarchiwizowane. Zdarzenie było nieumyślne, krótkotrwałe i nie mogło doprowadzić do żadnych negatywnych konsekwencji dla skarżącej. Naczelny Sąd Administracyjny zważył, co następuje: Stosownie do art. 183 § 1 p.p.s.a. (t.j. Dz. U. z 2026 r., poz. 143 t.j.), Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych. Skarga kasacyjna jest częściowo zasadna. W ramach pierwszego zarzutu skargi kasacyjnej skarżąca wskazała na naruszenie motywu 148 preambuły RODO przez zbyt pobieżne przeprowadzenie postępowania dowodowego przez organ i uznanie na tej podstawie, że upomnienie administratora jest odpowiednim środkiem proporcjonalnym do skali naruszeń. Należy więc zaznaczyć, że preambuła RODO pozbawiona jest mocy normatywnej i nie może stanowić samodzielnie podstawy prawnej, a tym samym również podstawy kasacyjnej. Jedynie przepisy RODO mogą stanowić źródło praw i obowiązków dla adresatów rozporządzenia. Funkcją preambuły i jej poszczególnych motywów jest przedstawienie celów, założeń oraz kontekstu regulacji zawartych w części normatywnej aktu prawnego, a tym samym ułatwienie właściwej wykładni jego przepisów. Motywy preambuły mogą zatem służyć jako istotna wskazówka interpretacyjna, pozwalająca ustalić znaczenie i cel konkretnych norm RODO, nie mogą jednak być traktowane na równi z przepisami rozporządzenia i stanowić samodzielnej podstawy rozstrzygnięcia. Powołany przez skarżącą motyw 148 preambuły RODO, choć merytorycznie odnosi się do kwestii stosowania sankcji i ich proporcjonalności, nie kreuje samodzielnej normy prawnej nakazującej organowi określone zachowanie ani nie ustanawia odrębnych przesłanek wymiaru kary. Ewentualne naruszenie zasad wynikających z tego motywu mogłoby mieć znaczenie prawne jedynie w związku z naruszeniem konkretnego przepisu normatywnego RODO, którego treść podlega wykładni z uwzględnieniem motywów preambuły. Jako że takiego powiązania w niniejszej sprawie zabrakło zarzut nie mógł doprowadzić do skutecznego podważenia zaskarżonego orzeczenia. Przechodząc do oceny zasadności pozostałych zarzutów skargi należy uprzednio zaznaczyć, że strony nie są w sporze co do faktu, że doszło do wykorzystania danych osobowych skarżącej w zakresie numeru PESEL bez podstawy prawnej w celu uzyskania dostępu do jej danych osobowych zlokalizowanych na platformie usług elektronicznych Zakładu Ubezpieczeń Społecznych. Kwestią sporną jest natomiast, czy organ w sposób prawidłowy prowadził postępowanie dowodowe w sprawie i czy na tej podstawie właściwie określił, że przetwarzanie danych skarżącej było skutkiem zwykłej omyłki, a w rezultacie czy zastosowany środek naprawczy w sprawie odpowiada stwierdzonemu naruszeniu. Zarzuty sformułowane w punktach 2 i 3 skargi kasacyjnej, w których powołano się na naruszenie art. 7 i art. 12 § 1 k.p.a. oraz art. 5 ust. 1 i art. 6 ust. 1 RODO sprowadzają się w zasadzie do stwierdzenia, że Sąd pierwszej instancji przez brak wnikliwego zbadania oraz dokładnego wyjaśnienia stanu faktycznego sprawy uznał za organem, że do naruszenia danych osobowych skarżącej doszło przypadkowo i w rezultacie organ prawidłowo poprzestał na wymierzeniu administratorowi upomnienia jako środka naprawczego, który to środek zdaniem skarżącej jest za mało dolegliwy. Przed przystąpieniem do omówienia istotnych dla sprawy kwestii merytorycznych należy wskazać na wymogi konstrukcyjne skargi kasacyjnej wynikające z art. 176 p.p.s.a., zgodnie z którym skarga kasacyjna powinna zawierać m.in. przytoczenie podstaw kasacyjnych i ich uzasadnienie. Z przepisu tego wynika a contrario, że Naczelny Sąd Administracyjny nie może rozpoznać merytorycznie zarzutów skargi kasacyjnej, które zostały wadliwie skonstruowane. W gestii wnoszącego skargę kasacyjną jest poprawne określenie, jakie przepisy jego zdaniem naruszył wojewódzki sąd administracyjny i na czym to naruszenie polegało. Nie jest rolą Naczelnego Sądu Administracyjnego domniemywanie intencji strony i samodzielne uzupełnianie bądź konkretyzowanie zarzutów kasacyjnych, uściślanie ich ani w inny sposób korygowanie (wyrok NSA z 31 października 2017 r., I GSK 2343/15). Jedynie w sytuacji, gdy treść uzasadnienia skargi kasacyjnej pozwala na jednoznaczne określenie, jaką postać naruszenia prawa wnoszący skargę kasacyjną chciał powołać w zarzutach skargi kasacyjnej, Naczelny Sąd Administracyjny może przeprowadzić kontrolę merytoryczną zarzutu. Wadliwość zarzutu jest bowiem możliwa do usunięcia w drodze rozumowania przez analizę argumentacji zawartej w uzasadnieniu środka odwoławczego, co nie narusza autonomii strony postępowania kasacyjnego do stanowienia o formie i treści zarzutów podnoszonych w postępowaniu kasacyjnym, ani związania Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej na mocy art. 183 § 1 p.p.s.a. W ocenie składu rozpoznającego niniejszą sprawę zarzuty zawarte w pkt 2 i 3 skargi kasacyjnej, mimo braku precyzji ich wskazania lub powiązania z właściwymi przepisami p.p.s.a., w połączeniu z jej uzasadnieniem pozwalają na merytoryczne odniesienie się do sprawy. Przede wszystkim wskazać należy, że art. 7 k.p.a. statuuje zasadę prawdy obiektywnej, zgodnie z którą organy administracji publicznej stoją na straży praworządności i z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Zasada ta ma niewątpliwie zastosowanie również w zakresie postępowania prowadzonego przez Prezesa Urzędu Ochrony Danych Osobowych przy prowadzonych postępowaniach wyjaśniających dotyczących zgłoszonych naruszeń danych osobowych. Zasada ta nabiera szczególnego znaczenia w sprawach dotyczących przetwarzania danych osobowych należących do szczególnych kategorii, o których mowa w art. 9 RODO – a do takich niewątpliwie zaliczają się dane dotyczące zdrowia. W przedmiotowej sprawie organ w ramach prowadzonego postępowania dowodowego zwrócił się do administratora, którego skarżąca wskazała w swoim wniosku jako podmiot, który dokonał naruszenia jej danych osobowych o złożenie wyjaśnień. Z tych wyjaśnień wynika, że dane osobowe skarżącej zostały pozyskane w sposób przypadkowy przez pracownicę Kliniki przy wypełnianiu druku ZUS-ZLA. Do wyjaśnień dołączono upoważnienie dla pracownicy Kliniki z 8 września 2021 r. do wystawiania zaświadczeń lekarskich o niezdolności do pracy. W ocenie organu oraz Sądu I instancji tak zgromadzony materiał dowodowy pozwalał na zakończenie sprawy przez stwierdzenie naruszenia i udzielenia administratorowi upomnienia. Jednak zdaniem Naczelnego Sądu Administracyjnego postępowanie dowodowe w niniejszej sprawie nie zostało przeprowadzone w sposób wystarczający do prawidłowego rozstrzygnięcia sprawy. Zatem wydane przez Prezesa UODO rozstrzygnięcie należy uznać co najmniej za przedwczesne. W pierwszej kolejności należy zauważyć, że skarżąca zwracając się do organu o zweryfikowanie poprawności przetwarzania jej danych osobowych, dysponowała jedynie informacją o przetwarzaniu jej danych przez administratora, bowiem takie informacje uzyskała z systemu PUE ZUS. Nie miała tym samym wiedzy na temat tego, że na mocy udzielonego upoważnienia przez lekarza – właściciela Kliniki (administratora) dostęp do platformy PUE ZUS został umożliwiony jego pracownicy. W konsekwencji, skarżąca nie mogła w skardze do Prezesa UODO wskazać dokładnych okoliczności dotyczących naruszenia jej danych osobowych. W szczególności nie mogła dokładnie określić osoby, która do naruszenia fizycznie doprowadziła i wskazać dowodów na wykorzystanie jej danych osobowych przez ojca jej dziecka za pośrednictwem pracownicy kliniki. W odpowiedzi na skargę kasacyjną organ wskazał, że "Prezes UODO nie czyni ustaleń odnośnie do tego, który podmiot naruszył prawo do ochrony danych osobowych osoby wnoszącej skargę, lecz rozpatruje skargi na działania konkretnych podmiotów, przez nią wskazanych z nazwy i adresu siedziby, które to prawo naruszyły. Określenie żądania, a więc również podanie administratora, wobec którego należy podjąć działania, jest wymaganym i istotnym elementem podania, w którym osoba, której dane dotyczą, składa skargę na naruszenie jej danych osobowych, bowiem żądanie to wyznacza zakres sprawy". Można się z tym zgodzić. Jednak, jak już podano wyżej, skarżąca nie kwestionuje zakresu prowadzonej sprawy lecz, zakres przeprowadzonego postępowania dowodowego i wyciągnięte na jego podstawie przez organ wnioski a w rezultacie zastosowanie w stosunku do administratora za mało dolegliwych środków naprawczych. Racje ma skarżąca, że skoro na zasadzie upoważnienia pracownica kliniki, korzystając z dostępu administratora do PUE ZUS, uzyskała możliwość wglądu w dane osobowe skarżącej, i jak twierdzi przekazała je mężowi skarżącej, to zakres postępowania dowodowego powinien był objąć także tę pracownicę i tegoż męża. Wbrew stanowisku organu, za niewystarczające a dodatkowo za mało wiarygodne należy uznać wyjaśnienia administratora, który wskazuje, że do wpisania ciągu jedenastu cyfr składających się na numer PESEL doszło w wyniku omyłki pracownicy. Wyjaśnienia administratora podważa w szczególności fakt znajomości pracownicy kliniki ze skarżącą i jej mężem. Kwestia niezebrania wyczerpująco materiału dowodowego nabiera szczególnego znaczenia w świetle konsekwencji, jakie ustalenie umyślnego bądź przypadkowego charakteru naruszenia niesie dla wyboru środka naprawczego. Okoliczność ta jest bowiem elementem stanu faktycznego, mającym wpływ na jedną z ustawowych przesłanek doboru środka naprawczego, wprost wymienioną w art. 83 ust. 2 lit. b RODO, decydującą o tym, czy adekwatną reakcją na stwierdzone naruszenie jest upomnienie, czy też środek surowszy. Przesłanka ta znajduje odpowiednie zastosowanie także przy wyborze środka naprawczego z art. 58 ust. 2 RODO. Zgodnie bowiem z art. 58 ust. 2 lit. i) RODO, organowi nadzorczemu przysługuje uprawnienie do zastosowania, oprócz lub zamiast innych środków naprawczych przewidzianych w art. 58 ust. 2, administracyjnej kary pieniężnej na mocy art. 83 RODO, zależnie od okoliczności konkretnej sprawy. Wybór między poszczególnymi środkami naprawczymi z katalogu art. 58 ust. 2 RODO a karą pieniężną stanowi zatem jedną, zintegrowaną ocenę opartą na tych samych okolicznościach sprawy, do których – w świetle art. 83 ust. 2 RODO – zalicza się w szczególności umyślny lub nieumyślny charakter naruszenia (lit. b). Tymczasem organ ustalił przypadkowy charakter naruszenia bez pełnego zbadania stanu faktycznego sprawy, w szczególności bez wyjaśnienia wskazanych wyżej wątpliwości dotyczących enigmatycznych wyjaśnień administratora oraz relacji łączącej pracownicę kliniki ze skarżącą i jej mężem, a także ewentualnego następczego wykorzystania uzyskanych bezprawnie danych osobowych skarżącej przez jej męża. Co prawda, organ słusznie twierdzi, że rozpoznawana sprawa nie obejmuje niezgodnego z prawem przetwarzania danych osobowych przez męża skarżącej, jednak ewentualna okoliczność następczego wykorzystania danych przez męża skarżącej uzyskanych od pracownicy kliniki nie może być pominięta przy zastosowaniu przez Prezesa UODO środków naprawczych wynikających z przepisów RODO za niezgodne z prawem przetwarzanie danych przez administratora (właściciela kliniki). Organ poprzestając na oświadczeniu administratora o omyłkowym charakterze wpisania numeru PESEL skarżącej, nie zweryfikował tej wersji zdarzeń z osobą bezpośrednio odpowiedzialną za dokonanie czynności przetwarzania ani osoby, której relacje z tą pracownicą mogły dostarczyć istotnych informacji co do rzeczywistego celu i okoliczności naruszenia. W konsekwencji, ustalenie o przypadkowości naruszenia, stanowiące podstawę zastosowania najłagodniejszego z dostępnych środków naprawczych było przedwczesne, gdyż zapadło w oparciu o niepełny materiał dowodowy. Mając na uwadze powyższe, Naczelny Sąd Administracyjny uznał zarzuty 2 i 3 skargi kasacyjnej, rozpoznane łącznie, za zasadne. Wobec powyższego Naczelny Sąd Administracyjny, na podstawie art. 188 p.p.s.a., uchylił zaskarżony wyrok a uznając, że istota sprawy jest dostatecznie wyjaśniona, rozpoznał skargę. Z przedstawionych wyżej rozważań wynika, że zaskarżona decyzja została wydana z naruszeniem art. 7 i 77 § 1 k.p.a. Dlatego Naczelny Sąd Administracyjny na podstawie art. 145 § 1 pkt 1 lit. c) p.p.s.a. uchylił zaskarżoną decyzję Prezesa UODO z 26 stycznia 2023 r. Przy ponownym rozpoznaniu sprawy Prezes UODO dokona ponownej oceny zgodności z prawem przetwarzania danych osobowych skarżącej, uprzednio uzupełniając postępowanie dowodowe we wskazanym wyżej zakresie. W szczególności organ rozważy, czy wyjaśnienia administratora co do przypadkowego charakteru naruszenia oraz twierdzenia skarżącej co do następczego wykorzystania jej danych osobowych znajdują dostateczne oparcie w zgromadzonym materiale dowodowym, te okoliczności mają bowiem wpływ na zastosowanie przez organ odpowiednich środków naprawczych. O kosztach postępowania sądowego od organu na rzecz skarżącej orzeczono na podstawie art. 200 i art. 203 pkt 1 p.p.s.a. w zw. z art. 205 § 2 p.p.s.a.