III OSK 5319/21

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Teresa Zyglewska Sędziowie: sędzia NSA Mirosław Wincenciak sędzia del. WSA Mariusz Kotulski (spr.) Protokolant: asystent sędziego Olga Libiszewska po rozpoznaniu w dniu 19 października 2023 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych Prezesa Urzędu Ochrony Danych Osobowych i R. K. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 11 grudnia 2020 r. sygn. akt II SAB/Wa 412/20 w sprawie ze skargi R. K. na bezczynność Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpoznania skargi z dnia [...] listopada 2019 r. oddala skargi kasacyjne.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 11 grudnia 2020 r. sygn. akt II SAB/Wa 412/20, po rozpatrzeniu sprawy ze skargi R.K. na bezczynność Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie rozpoznania skargi z dnia [...] listopada 2019 r., stwierdził, że Prezes Urzędu Ochrony Danych Osobowych dopuścił się bezczynności w rozpatrzeniu wniosku R.K. z [...] listopada 2019 r. (pkt 1), stwierdził, że bezczynność organu miała miejsce z rażącym naruszeniem prawa (pkt 2), przyznał od Prezesa Urzędu Ochrony Danych Osobowych na rzecz R.K. sumę pieniężną w kwocie 500 złotych (pkt 3), a także zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz R.K. zwrot kosztów postępowania (pkt 4). Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy. R.K. (dalej: "skarżący") [...] listopada 2019 r. złożył do Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez P. S.A., z siedzibą w W. (dalej: "Bankiem"), polegające na niespełnieniu obowiązku informacyjnego z art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych Dz.Urz.UE L 119 z 4.05.2016, str. 1 i Dz.Urz.UE L 127 z 23.05.2018, str. 2, zwane dalej: "RODO"). Skarżący wskazał, że pismem z 13 sierpnia 2019 r., działając na podstawie art. 15 ust. 1 i 3 RODO zwrócił się do Banku, za pośrednictwem bankowości elektronicznej o przesłanie na jego adres e-mail: [...] skanów wszelkich dokumentów związanych z zawartymi przez niego z P. S.A. umowami kredytów lub pożyczek od 1.09.1998 r. do 31.12.2018 r., w szczególności umów kredytu z załącznikami i aneksami, harmonogramów spłat i historii spłaty ww. kredytów/pożyczek. Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO") pismem z 30 stycznia 2020 r. wezwał skarżącego do uzupełnienia braków formalnych skargi w terminie siedmiu dni od doręczenia ww. pisma przez wskazanie, jakie przysługujące mu prawa - spośród wymienionych w Rozdziale III RODO - zostały naruszone oraz jakich działań w tej sprawie oczekuje od Prezesa UODO. W odpowiedzi na wezwanie skarżący pismem z 3 lutego 2020 r., złożonym za pośrednictwem ePUAP, wyjaśnił, że jego skarga dotyczy naruszenia prawa do uzyskania dostępu do danych osobowych, który wynika z art. 15 ust. 1 RODO i ponownie poprosił o zobligowanie Banku do zaprzestania naruszania prawa i bezzwłocznego udostępnienia mu wszystkich żądanych informacji w formie elektronicznej, względnie o zobligowanie Banku do przekazania mu nieodpłatnie kopii wszystkich żądanych danych osobowych na podstawie art. 15 ust. 3 RODO. Skarżący 28 maja 2020 r. złożył ponaglenie. Prezes UODO pismem z 29 maja 2020 r. poinformował skarżącego o podjętych czynnościach tj. o wezwaniu Banku do złożenia wyjaśnień w sprawie. Bank odpowiedział 15 czerwca 2020 r. (data wpływu), wnosząc o przedłużenie siedmiodniowego terminu na złożenie wyjaśnień w sprawie z powodu konieczności zebrania informacji i dokumentów niezbędnych do przedstawienia odpowiedzi. Pismem z 25 czerwca 2020 r. skarżący złożył skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, zaś w uzasadnieniu wyjaśnił, że 3 lipca 2020 r. wpłynęły do organu wyjaśnienia Banku w sprawie. Dodatkowo materiał dowodowy sprawy był niewystarczający do podjęcia decyzji administracyjnej, dlatego też Prezes UODO zwrócił się do Banku o złożenie dodatkowych wyjaśnień. Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku uznał, że skarga była zasadna i zasługiwała na uwzględnienie. Uzasadniając swoje stanowisko Sąd I instancji wskazał, że rację ma Prezes UODO, powołując się na okoliczność wejścia w życie 31 marca 2020 r. ustawy z 31 marca 2020 r. o zmianie ustawy o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych oraz niektórych innych ustaw, jak również uchylenia od 23 maja 2020 r. zawieszenia terminów procesowych w postępowaniach administracyjnych, o których mowa w art. 15 zzs tej ustawy (na mocy art. 46 pkt 20 w zw. z art. 68 ustawy z 14 maja 2020 r. o zmianie niektórych ustaw w zakresie działań osłonowych w związku z rozprzestrzenianiem się wirusa SARS- CoV-2) i trudnościami wielu podmiotów ze złożeniem w terminie siedmiodniowym wyjaśnień w sprawach prowadzonych przez Prezesa UODO. Tym niemniej Sąd stwierdził, że Prezes UODO od 3 lutego do 31 marca 2020 r., czyli przez blisko 2 miesiące, również nie podejmował żadnych czynności w sprawie, w tym nie wezwał Banku do wypowiedzenia się w sprawie i udzielenia stosownych wyjaśnień, ani nie poinformował skarżącego o nowym terminie załatwienia sprawy i przyczynach zwłoki. Zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie w niniejszej sprawie nie można uznać, że organ administracyjny podejmował w sprawie czynności z uwzględnieniem art. 12 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 z późn. zm., zwana dalej: "k.p.a."). Powyższe okoliczności wynikające z akt administracyjnych sprawy nie usprawiedliwiają też opieszałości Prezesa UODO i nie pozwalają na oddalenie zarzutu bezczynności w sprawie. Sąd w związku z tym uznał, że skarga na bezczynność postępowania Prezesa UODO jest uzasadniona. Przesłanką uznania przez Sąd ww. okoliczności, jest sposób zachowania się organu w trakcie toczącego się postępowania, prowadzący w rezultacie do niezałatwienia sprawy w wymaganym terminie. Sytuacja, w której strona czeka długo na dokonanie przez organ administracji publicznej istotnych czynności w sprawie, a tym samym na rozstrzygnięcie sprawy nie da się pogodzić z regułami demokratycznego państwa prawa i jednoznacznie wskazuje na rażące naruszenie prawa z tego zakresu. Zachowanie organu nie zasługuje na aprobatę i podważa zaufanie jednostki do organów administracji publicznej. Znaczna ilość spraw podlegających rozpatrzeniu przez Prezesa UODO, a także charakter sprawy nie uzasadniają opieszałego działania organu administracji publicznej przy podejmowaniu czynności. Sąd I instancji w pełni podzielił zapatrywanie organu wyrażone w odpowiedzi na skargę, o potrzebie wnikliwiej oceny stanu faktycznego sprawy. Tym niemniej Prezes UODO nie usprawiedliwił żadnymi okolicznościami trzech przerw około dwumiesięcznych, które miały miejsce zaraz po wpłynięciu wniosku, po tym jak skarżący uzupełnił wniosek i po zgromadzeniu materiału dowodowego w sprawie. Skarżącego nie zawiadomiono też o przyczynach niezałatwienia sprawy w ustawowym terminie, nie wyznaczono też nowego terminu jej załatwienia, nawet po złożeniu przez skarżącego ponaglenia. Na organach administracji spoczywa obowiązek takiej organizacji pracy, aby możliwe było załatwianie spraw w rozsądnym terminie (bez zbędnej zwłoki), bez naruszenia prawa strony do sprawnego i szybkiego jej rozpoznania (art. 12 § 1 k.p.a.), nawet w przypadku, gdy uwzględni się specyfikę postępowania przed Prezesem UODO i trzymiesięczny termin przewidziany w art. 78 ust. 2 RODO. Mając na względzie okoliczności wynikające z akt sprawy WSA w Warszawie stwierdził, że bezczynność w postępowaniu miała charakter rażący. Sąd w związku z tym uznał, że wniosek skarżącego o zasądzenie sumy pieniężnej był uzasadniony w rozmiarze 500 zł. Niczym nieusprawiedliwiony brak działania Prezesa UODO w trzech około dwumiesięcznych okresach i tym samym zwłoka Prezesa UODO w załatwieniu ww. sprawy miały charakter oczywisty, choć nie mogły być uznana za efekt ewidentnie celowych zaniechań organu, które uzasadniałoby przyznanie większej kwoty, tym bardziej, że organ wydał decyzję administracyjną, której prawidłowość będzie mógł zbadać Wojewódzki Sąd Administracyjny w Warszawie. Od powyższego wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie zostały wniesione dwie skargi kasacyjne. Pierwszą skargę kasacyjną od tego wyroku wniósł Prezes Urzędu Ochrony Danych Osobowych, zaskarżając wyrok w całości i zarzucając mu naruszenie przepisów prawa procesowego i materialnego, tj.: 1. art. 149 § 1 pkt 3 p.p.s.a. w zw. z art. 35 § 3 k.p.a., poprzez błędne przyjęcie, że powyższy przepis k.p.a. ma zastosowanie w niniejszej sprawie, podczas gdy do określania terminu załatwienia przedmiotowej sprawy miał zastosowanie przepis art. 78 ust. 2 RODO, co miało istotny wpływ na wynik sprawy, 2. art. 149 § 1 pkt 3, § 1a i § 2 p.p.s.a. w związku z art. 7, art. 12 § 1, art. 35 § 3 oraz art. 78 ust. 2 RODO, poprzez ich błędną wykładnię, a w konsekwencji niewłaściwe zastosowanie, co doprowadziło do uznania, że Prezes Urzędu Ochrony Danych Osobowych dopuścił się bezczynności, oraz orzeczenia, że miała ona miejsce z rażącym naruszeniem prawa i przyznania od Prezesa UODO na rzecz skarżącego sumę pieniężną w kwocie 500 złotych. Mając powyższe na uwadze skarżący kasacyjnie wniósł o uchylenie wyroku w całości i rozpoznanie skargi kasacyjnej przez Naczelny Sąd Administracyjny, ewentualnie o uchylenie wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Jednocześnie wniósł o zasądzenie zwrotu kosztów postępowania według norm prawem przepisanych, a także o rozpoznanie skargi kasacyjnej na rozprawie. Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej. Drugą skargę kasacyjną od tego wyroku wniósł R.K., zaskarżając wyrok WSA w Warszawie z dnia 11 grudnia 2020 r. sygn. akt II SAB/Wa 412/20 w części, tj. w pkt 3 i zarzucając mu naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj. art. 154 § 7 p.p.s.a. poprzez jego niewłaściwe zastosowanie w postaci przyznania od organu na rzecz skarżącego sumy pieniężnej w wysokości, która zważywszy na rodzaj sprawy, w której nastąpiła bezczynność oraz czas trwania postępowania administracyjnego, a w szczególności ostentacyjny charakter uchybień organu, nie stanowi wystarczającej rekompensaty i zadośćuczynienia za dolegliwości związane z opieszałym i przewlekłym prowadzeniem postępowania. Mając powyższe na uwadze skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku w zaskarżonej części, tj. w pkt 3 i rozpoznanie skargi na podstawie art. 188 p.p.s.a., poprzez przyznanie skarżącemu R.K. sumy pieniężnej w wysokości co najmniej 8000,00 zł, ewentualnie uchylenie zaskarżonego wyroku w zaskarżonej części, tj. w pkt 3 i przekazanie sprawy do ponownego rozpoznania Sądowi I instancji na podstawie art. 185 § 1 p.p.s.a. Jednocześnie wniósł o zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego radcy prawnego i opłaty skarbowej od pełnomocnictwa, według norm prawem przepisanych, a także rozpoznanie niniejszej skargi kasacyjnej na rozprawie. Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej. W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie. W piśmie z 28 września 2023 r. sporządzonym osobiście R.K. podtrzymał swoje dotychczasowe stanowisko w sprawie. Wskazał także, że podniesienie w treści zarzutu naruszenie paragrafu 7 zamiast 6 art. 154 p.p.s.a. stanowi oczywistą omyłkę pisarską. Podkreślił także, że "WSA w Warszawie w skarżonym wyroku, ani w sentencji, ani w uzasadnieniu nie podał podstawy prawnej orzeczenia w części dot. określenia wysokości kwoty przyznanej skarżącemu." Naczelny Sąd Administracyjny zważył, co następuje. Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny przy rozpatrywaniu sprawy na skutek wniesienia skargi kasacyjnej związany jest granicami tej skargi, a z urzędu bierze pod rozwagę tylko nieważność postępowania w wypadkach określonych w § 2, z których żaden w rozpoznawanej sprawie nie zachodzi. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego orzeczenia determinują zakres kontroli dokonywanej przez Naczelny Sąd Administracyjny. Sąd ten, w odróżnieniu od wojewódzkiego sądu administracyjnego, nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów postawionych w skardze kasacyjnej. Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art.174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy. Istota wniesionej przez Prezesa UODO skargi kasacyjnej sprowadza się do określenia wzajemnej relacji pomiędzy art. 78 ust. 2 RODO a art. 35 § 3 k.p.a. Jak stanowi art. 78 ust. 2 RODO "bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli organ nadzorczy właściwy zgodnie z art. 55 i 56 nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77". Jednocześnie jak wynika z treści art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą. Nie ulega wątpliwości, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE stanowi kompleksową regulację dotyczącą ochrony danych osobowych, którą stosuje się bezpośrednio i która nie wymaga implementacji ustawą krajową, aby mogła być stosowana w danym państwie. Zadania określone w art. 57 ust. 1 lit. f RODO są efektem prawa do wniesienia skargi na mocy art. 77 oraz art. 80. Formalne wymogi związane z rozpatrywaniem przez organ wniesionych skarg, a więc odpowiednie zasady i procedury, powinny być więc określone w przepisach krajowych, z uwzględnieniem art. 57 ust. 2, w którym ustawodawca nakazuje wprowadzenie mechanizmów i rozwiązań ułatwiających wnoszenie skarg. (zob. U. Góral, P. Makowski, RODO. Ogólne rozporządzenie o ochronie danych osobowych. Komentarz, pod red. E. Bielak-Jomaa i D. Lubasza, 2018 r.) Jest to wyrazem realizacji zasady autonomii proceduralnej państw członkowskich. W tej sytuacji, skargi są wnoszone i rozpatrywane na podstawie przepisów proceduralnych obowiązujących w danym państwie członkowskim UE. Oczywiście przepisy krajowe regulujące postępowanie muszą zapewnić efektywność prawa europejskiego, realizację wyznaczonych przez nie celów, praw i obowiązków (por. A. Wróbel, Autonomia proceduralna państw członkowskich. Zasada efektywności i zasada efektywnej ochrony sądowej w prawie Unii Europejskiej, RPEiS 2005/1, s. 35 i nast.). Pozostawiono zatem państwom członkowskim Unii Europejskiej pewien zakres swobody w zakresie regulacji na poziomie krajowym, aby niektóre zagadnienia doprecyzować (np. dotyczące organu nadzorczego, czy odpowiedzialności za naruszenie zasad ochrony danych osobowych), czy też dostosować zasady wprowadzone przez RODO do innych obowiązujących w danym porządku prawnym zasad. Kwestie te zostały uregulowane w ustawie z 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r., poz. 1781, dalej: ustawa), która służy stosowaniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Jak wynika z art. 60 ustawy postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej "postępowaniem", jest prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych. Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest jednym z postępowań administracyjnych przed Prezesem UODO. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy, który postępowania z rozdziałów 4-7 i 11 tej ustawy kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tych postępowań kodeksu postępowania administracyjnego. Należy przy tym zauważyć, że ustawodawca w art. 7 ust. 1 ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów k.p.a. wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych. Zatem odnośnie terminowości załatwiania spraw przez Prezesa UODO zastosowanie będą miały przepisy art. 12, art. 35 § 1-3 oraz art. 36 § 1-2 k.p.a. Zgodnie z art. 12 k.p.a. organy administracji publicznej powinny działać w sprawie wnikliwie i szybko, posługując się możliwie najprostszymi środkami prowadzącymi do jej załatwienia. Sprawy, które nie wymagają zbierania dowodów, informacji lub wyjaśnień, powinny być załatwione niezwłocznie. Zasada szybkości postępowania wyrażona w ww. przepisie - ściśle związana z regulacjami zawartymi w art. 35-38 k.p.a. - nie może jednak pozostawać w sprzeczności z obowiązkiem organu dokładnego wyjaśnienia sprawy, mając na względzie interes społeczny i słuszny interes obywatela. W art. 35 k.p.a. określone zostały terminy do załatwienia sprawy przez organ administracji publicznej. Przepis ten zobowiązuje organy administracji publicznej do załatwiania spraw bez zbędnej zwłoki, co stanowi realizację zasady zawartej w art. 12 k.p.a. Załatwienie sprawy wymagającej postępowania wyjaśniającego powinno nastąpić nie później niż w ciągu miesiąca, a sprawy szczególnie skomplikowanej - nie później niż w ciągu dwóch miesięcy od daty wszczęcia postępowania (art. 35 § 3 k.p.a.). Ponadto w każdym przypadku niezałatwienia sprawy w ustawowym terminie organ powinien podać stronom przyczyny zwłoki i wskazać nowy termin załatwienia sprawy, co wynika z art. 36 § 1 k.p.a., zaś ten sam obowiązek ciąży na organie administracji publicznej również w przypadku zwłoki w załatwieniu sprawy z przyczyn niezależnych od organu (art. 36 § 2 k.p.a.). Podkreślić również należy, że samo informowanie o niezałatwieniu sprawy w terminie nie chroni organu przed zarzutem przewlekłego prowadzenia postępowania, ponieważ działania organu w tym zakresie również podlegają kontroli sądu administracyjnego. Zgodnie z art. 35 § 4 k.p.a. przepisy szczególne mogą określać inne terminy niż wskazane w treści tego artykułu. Takim przepisem szczególnym nie jest jednak art. 78 ust. 2 RODO, nie określa on bowiem terminu załatwienia skargi przez organ nadzorczy. Termin trzech miesięcy, o jakim mowa w tym przepisie, odnosi się do wykonania przez organ nadzorczy obowiązku poinformowania strony, której dane dotyczą, o postępach i efektach rozpoznawania jej skargi, z jego upływem RODO łączy możliwość uruchomienia przez podmiot danych środków ochrony prawnej przed sądem. Jak wynika z uzasadnienia projektu ustawy z 10 maja 2018 r. o ochronie danych osobowych (Uzasadnienie rządowego projektu ustawy o ochronie danych osobowych, VIII kadencja, druk sejm. nr 2410, s. 27) w art. 62 ustawy wprowadzono rozwiązanie, zgodnie z którym Prezes Urzędu, zawiadamiając strony o niezałatwieniu sprawy w terminie, obowiązany jest również poinformować o stanie sprawy i przeprowadzonych w jej toku czynnościach. "Należy wskazać, że powołana regulacja uzupełnia art. 36 k.p.a. i służy zapewnieniu pełnego stosowania art. 78 ust. 2 Rozporządzenia, który stanowi, iż bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli organ nadzorczy właściwy zgodnie z art. 55 i art. 56 Rozporządzenia nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi wniesionej do organu nadzorczego. Przyjmując, iż zgodnie z k.p.a. rozpatrzenie sprawy szczególnie skomplikowanej powinno nastąpić nie później niż w terminie dwóch miesięcy od dnia wszczęcia postępowania, a o każdym przypadku jej niezałatwienia w terminie należy zawiadomić strony, przyjęto, iż powyższa regulacja projektu zapewni stronie postępowania, w terminie trzech miesięcy od dnia wszczęcia postępowania, informację o postępach lub efektach rozpatrywania wniosku przed Prezesem Urzędu. Brak takiej informacji w terminie trzech miesięcy od dnia wszczęcia postępowania będzie dawał stronie prawo do wniesienia skargi do sądu administracyjnego. W ocenie projektodawcy państwo członkowskie, wzmacniając ochronę danych osobowych, może w praktyce zobowiązać organ nadzorczy do informowania osób, których dane dotyczą, wcześniej niż po upływie trzech miesięcy, a okres wynikający z Rozporządzenia jest okresem maksymalnym." Zatem w przypadku niezałatwienia sprawy w terminie również z przyczyn niezależnych od organu (art. 36 § 2 k.p.a.), Prezes UODO na podstawie art. 62 ustawy, zawiadamiając o niezałatwieniu sprawy w terminie, jest obowiązany nie tylko wykonać obowiązki określone w art. 36 § 1 k.p.a. (powiadomienia strony o niedochowaniu terminu, podania przyczyn zwłoki, wskazania nowego terminu załatwienia sprawy), ale także poinformować strony o stanie sprawy i przeprowadzonych w jej toku czynnościach (zob. także I. Bogucka, Ustawa o ochronie danych osobowych. Komentarz, pod red. D. Lubasza, 2019 r.). Termin trzech miesięcy wskazany w art. 78 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych), (Dz. Urz. UE L 119 z 4.05.2016 r. ze zm.) odnosi się do prawa żądania uruchomienia skutecznego środka ochrony prawnej przed sądem (kontroli sądu administracyjnego poprzez skargę na bezczynność lub przewlekłe prowadzenie postępowania), jeżeli w tym terminie Prezes Urzędu Ochrony Danych Osobowych nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77. Jak wynika z ustalonego przez Sąd I instancji stanu faktycznego pismem z dnia 13 listopada 2019 r. R.K. złożył skargę do Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych. Zatem termin trzech miesięcy, po którego upływie mógł wnieść skargę do sądu administracyjnego żądając stosownej ochrony minął w dniu 13 lutego 2020 r. Jednocześnie organ w terminie miesiąca nie podjął żadnych czynności merytorycznych, a nawet przyjmując, że sprawa była szczególnie skomplikowana to w 2 miesięcy nie zakończył postępowania, ani nie dopełnił obowiązku wynikającego z art. 36 § 1 k.p.a. Co więcej dopiero pismem z 30 stycznia 2020 r. Prezes UODO wezwał skarżącego do uzupełnienia braków formalnych skargi w terminie siedmiu dni od doręczenia ww. pisma – co R.K. uczynił pismem z 3 lutego 2020 r., złożonym za pośrednictwem ePUAP. Tym samym organ dokonał pierwszej czynności w sprawie i to czynności wstępnej o charakterze procesowym dopiero dwa i pół miesiąca od wniesienia skargi – wcześniej nie podejmując żadnych czynności dowodowych, ani nie informując skarżącego o postępowaniach i efektach rozpatrywania skargi. Kolejne czynności (także procesowe) organ dokonał w dniu 29 maja 2020 r. wzywając Bank do udzielenia pisemnych wyjaśnień oraz informując skarżącego o podjętych czynnościach. Nastąpiło to zresztą po wniesieniu przez skarżącego ponaglenia w dniu 28 maja 2020 r. W konsekwencji niezasadny są zarzuty Prezesa UODO naruszenia art. 149 § 1 pkt 3 p.p.s.a. w zw. z art. 35 § 3 k.p.a. oraz art. 149 § 1 pkt 3, § 1a i § 2 p.p.s.a. w związku z art. 7, art. 12 § 1, art. 35 § 3 oraz art. 78 ust. 2 RODO, poprzez ich błędną wykładnię, a w konsekwencji niewłaściwe zastosowanie. Na uwzględnienie nie zasługuje także skarga kasacyjna wniesiona przez R.K, który zarzucił naruszenie art. 154 § 7 p.p.s.a. poprzez jego niewłaściwe zastosowanie w postaci przyznania od organu na rzecz skarżącego sumy pieniężnej w wysokości, która nie stanowi wystarczającej rekompensaty i zadośćuczynienia za dolegliwości związane z opieszałym i przewlekłym prowadzeniem postępowania. Otóż stwierdzić należy, że art. 154 § 7 p.p.s.a. nie był stosowany przez Sąd I instancji. Co więcej nie stanowił i nie mógł stanowić podstawy wyrokowania (stanowił ją art. 149 § 2 p.p.s.a.). Ubocznie jedynie podkreślić należy, że uprawnienie sądu do przyznania stronie sumy pieniężnej jest szczególnym instrumentem, który poza funkcją prewencyjną pozwala również w pewnym stopniu na zadośćuczynienie stronie "za krzywdę" moralną wynikłą z bezczynności lub przewlekłego prowadzenia postępowania administracyjnego. Kwoty przyznawane na tej podstawie nie mają natomiast charakteru odszkodowawczego i nie wiążą się określeniem materialnego wymiaru szkód poniesionych ewentualnie przez stronę. Rozstrzygnięcie w przedmiocie sumy pieniężnej zasądzanej w oparciu o art. 149 § 2 p.p.s.a. ma charakter fakultatywny i jest zależne wyłącznie od uznania sądu, a może być podjęte jedynie w przypadku uwzględnienia skargi. Ustawodawca pozostawił zatem sądowi ocenę, czy okoliczności sprawy wskazują na potrzebę zadośćuczynienia stronie skarżącej za oczekiwanie na rozpoznanie i zakończenie jej sprawy. Natomiast w przypadku skorzystania przez sąd z tej instytucji, wskazany przepis nie zawiera żadnych przesłanek, którymi miałby kierować się sąd ustalając wysokość sumy pieniężnej. Z powyższych przyczyn Naczelny Sąd Administracyjny uznał obie skargi kasacyjne za pozbawione usprawiedliwionych podstaw, co skutkowało ich oddaleniem na podstawie art. 184 p.p.s.a.