III OSK 567/22

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Pocztarek (spr.) Sędziowie sędzia NSA Przemysław Szustakiewicz sędzia del. WSA Mariusz Kotulski protokolant asystent sędziego Marita Sikora po rozpoznaniu w dniu 15 kwietnia 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 16 listopada 2021 r. sygn. akt II SA/Wa 1489/21 w sprawie ze skargi [...] Sp. z o.o. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 3 lutego 2021 r. nr ZSZZS.440.822.2019.ZS.AO.110363,110364 w przedmiocie naruszenia przepisów o ochronie danych osobowych I. uchyla zaskarżony wyrok w całości i oddala skargę, II. zasądza od [...] sp. z o.o. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 340 (trzysta czterdzieści) zł tytułem zwrotu kosztów postępowania kasacyjnego.

Wyrokiem z dnia 16 listopada 2021 r., sygn. akt II SA/Wa 1489/21, Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu sprawy ze skargi [...] sp. z o.o. z siedzibą w W. (dalej: Spółka) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO) z dnia 3 lutego 2021 r. nr ZSZZS.440.822.2019.ZS.AO110363, 110364, wydanej w przedmiocie naruszenia przepisów o ochronie danych osobowych, uchylił pkt 1 zaskarżonej decyzji. Wyrok ten zapadł w następującym stanie faktycznym i prawnym: Prezes Urzędu Ochrony Danych Osobowych, na skutek wniosku A. T. (dalej: uczestniczka), wszczął postępowanie w sprawie nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] sp. z o.o. z siedzibą w W. polegające na udostępnieniu jej danych osobowych zawartych w PIT-11 osobom trzecim. Uczestniczka wskazała, że Spółka wysłała jej PIT-11 za 2018 rok na błędny adres, którego uczestniczka nigdy nie podała jako swojego adresu korespondencyjnego ani adresu zamieszkania. O ww. nieprawidłowości uczestniczka dowiedziała się dnia 30 maja 2019 r. od pracownika Urzędu Skarbowego w S. i potwierdziła w późniejszej rozmowie telefonicznej z przedstawicielem Spółki. Ponadto, Spółka nie udzieliła odpowiedzi na skierowane do niej pismo uczestniczki z dnia 7 czerwca 2019 r., w którym m.in. zwróciła się o wyjaśnienie okoliczności, w których doszło do naruszenia jej danych osobowych. W konsekwencji uczestniczka zwróciła się do Prezesa UODO o nakazanie Spółce dostosowania operacji przetwarzania jej danych osobowych do przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy UE, L 119, 4 maja 2016, dalej: RODO). W toku prowadzonego postępowania Prezes UODO ustalił, że dnia 22 czerwca 2009 r. Spółka zawarła z [...] Niestandaryzowanym Sekurytyzacyjnym Funduszem Inwestycyjnym Zamkniętym z siedzibą w W. (dalej: Fundusz) umowę o obsługę sekurytyzowanych wierzytelności Funduszu. W ramach umowy Spółka zarządza wierzytelnościami dłużników Funduszu, co obejmuje bieżący kontakt z dłużnikami w związku z obsługą wierzytelności, zawieranie ugód w imieniu Funduszu, podejmowanie działań windykacyjnych. Dnia 15 maja 2018 r. Fundusz zawarł ze Spółką umowę powierzenia przetwarzania danych osobowych dłużników. Kolejno ustalono, że Fundusz przetwarza dane osobowe uczestniczki w związku z zawartą dnia 2 lutego 2018 r. pomiędzy nią a Funduszem ugodą dotyczącą uznanego przez uczestniczkę zadłużenia po zmarłej T. J. Celem przetwarzania danych osobowych przez Spółkę jest dochodzenie roszczeń, obrona przed roszczeniami, a także realizacja obowiązków wynikających z przepisów prawa podatkowego. Danymi osobowymi podlegającymi przetwarzaniu są zwykle imiona, nazwiska, adresy zamieszkania, numery PESEL, numery telefonu, sygnatury akt spraw sądowych. Spółka zaprzeczyła, że udostępniła osobom trzecim dane osobowe uczestniczki zawarte w deklaracji PIT-11 za 2018 rok w związku z zawartą ugodą i wskazała, że dnia 15 lutego 2019 r. przesłała ww. dokument na adres [...], [...] U., ale korespondencja ta nie została odebrana i została zwrócona do nadawcy. Spółka podniosła, że do nieprawidłowości doszło z uwagi na brak kontaktu z uczestniczką i innymi spadkobiercami T. J., a dokument PIT-11 został wysłany na adres uzyskany z systemu teleinformatycznego, który to adres okazał się nieprawidłowy. Po uzyskaniu informacji o błędnym adresie, Spółka skorygowała PIT- 11 wskazując prawidłowy adres uczestniczki, a w celu uniknięcia nieprawidłowości przetwarzania danych osobowych na przyszłość przeprowadzono rozmowy z pracownikami odpowiedzialnymi za sporządzanie i wysyłkę dokumentów PIT i ponownie przeszkolono ich z zakresu danych osobowych, zwracając uwagę na kwestie dotyczące danych ujawnionych w systemie teleinformatycznym. Ponadto wskazano, że w odpowiedzi na pismo uczestniczki z dnia 7 czerwca 2019 r., dnia 11 czerwca 2019 r. Spółka przesłała uczestniczce korektę PIT-11. Decyzją z dnia 3 lutego 2021 r., na podstawie 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256, dalej: k.p.a., art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. a i lit. d oraz art. 58 ust. 2 lit. b RODO, Prezes UODO udzielił Spółce upomnienia za naruszenie art. 5 ust. 1 lit. a i lit. d RODO polegające na nierzetelnym przetwarzaniu danych osobowych uczestniczki, w tym przetwarzaniu jej nieaktualnych danych osobowych (pkt 1), umorzył postępowanie w pozostałym zakresie (pkt 2). W uzasadnieniu decyzji powołano treść art. 6 ust. 1, art. 5 ust. 1 lit. a i lit. d RODO i wskazano, że Spółka przetwarzała dane osobowe uczestniczki nierzetelnie, tj. do jej danych osobowych przyporządkowano nieprawidłowy adres, na który została wysłana przesyłka zawierająca jej PIT-11 za rok 2018. Ponadto organ ustalił, że dane osobowe uczestniczki nie zostały udostępnione osobom nieuprawnionym ponieważ, że z przeprowadzonego postępowania dowodowego wynika, że przesyłka pocztowa zawierająca PIT-11 za 2018 rok przesłana na nieprawidłowy adres nie została przez nikogo odebrana, natomiast została zwrócona do Spółki i w tym zakresie postępowanie organ umorzył na podstawie art. 105 § 1 k.p.a. Spółka wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na pkt 1 ww. decyzji Prezesa UODO zarzucając jej naruszenie prawa materialnego, tj. art. 5 ust. 1 lit. a i lit. d RODO. Powołanym na wstępie wyrokiem Sąd pierwszej instancji uchylił pkt 1 ww. decyzji Prezesa UODO. W motywach powołanego na wstępie wyroku Sąd pierwszej instancji wskazał, że organ nie ustalił w sposób wystarczający stanu faktycznego sprawy uzasadniającego wydanie decyzji o zaskarżonej treści. Sąd pierwszej instancji wyjaśnił, że jako podstawę prawną pkt. 1 zaskarżonej decyzji wskazano art. 5 ust. 1 lit. a i lit. d RODO, a do przypisania administratorowi danych osobowych faktu nierzetelnego przetwarzania konkretnych danych osobowych konieczne jest ustalenie łącznie następujących przesłanek: czy administrator danych przetwarza dane osobowe (czy jest w ich posiadaniu); czy dane osobowe są przetwarzane prawidłowo (m.in. czy są aktualne); czy zaistniała potrzeba uaktualniania danych, a administrator danych zignorował tę potrzebę. Analiza uzasadnienia zaskarżonej decyzji doprowadziła Sąd pierwszej instancji do wniosku, że organ nie przedstawił dowodów na spełnienie ww. przesłanek, bowiem nie ustalono czy Spółka posiadała adres korespondencyjny uczestniczki przed wysłaniem dokumentu PIT-11, a wskazano jedynie na oświadczenie Spółki, iż adres pozyskano z systemu teleinformatycznego oraz na oświadczenie uczestniczki, że użytego przez Spółkę adresu nigdy nie wskazywała. W ocenie Sądu pierwszej instancji te oświadczenia nie zawierają jednoznacznej informacji, ponieważ nie pozwalają na ustalenie w jakim czasie Spółka weszła w posiadanie tego adresu, ani z jakiego systemu teleinformatycznego został on pobrany. Ponadto wskazano, że organ w sposób nieuprawniony zrównał pojęcie "nieprawidłowego adresu" i "adresu nieaktualnego" pomijając fakt, że pojęcia te nie tworzą jednakowych zbiorów znaczeniowych, gdyż adres nieprawidłowy może być nie tylko adresem nieaktualnym, ale także adresem niewynikającym z żadnych dokumentów, co w ocenie Sądu pierwszej instancji ma bardzo istotne znaczenie w sytuacji, gdyż organ nie ustalił okoliczności czy spółka dysponowała spornym adresem przed wysłaniem dokumentu PIT-11 i czy w chwili dokonania kwestionowanej wysyłki adres ten był już nieaktualny, czy nieistniejący w dokumentacji. Powyższe wnioski doprowadziły Sąd pierwszej instancji do przekonania, iż organ przedwcześnie ustalił, że Spółka przetwarzała dane osobowe uczestniczki z naruszeniem przepisów RODO, a co za tym idzie nie mógł rzetelnie ocenić tego czy po stronie Spółki - przed wysłaniem dokumentu PIT-11 na kwestionowany adres - zaistniała uzasadniona potrzeba uaktualnienia tego adresu. Skargę kasacyjną od powyższego wyroku wywiódł organ zaskarżając ten wyrok w całości, a na podstawie art. 174 pkt. 1-2 ustawy z dnia 30 sierpnia 2002 r. Prawa o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., dalej: P.p.s.a.), zaskarżonemu wyrokowi zarzucił naruszenie art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 7 i art. 77 k.p.a. poprzez błędne przyjęcie, że Prezes Urzędu Ochrony Danych Osobowych wydał zaskarżoną decyzję bez właściwego wyjaśnienia sprawy i zgromadzenia wystarczającego materiału dowodowego. Mając na uwadze powyższy zarzut organ wniósł o uchylenie zaskarżonego wyroku i oddalenie skargi, ewentualnie o uchylenie zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sadowi Administracyjnemu w Warszawie, rozpoznanie sprawy na rozprawie i zasądzenie zwrotu kosztów postępowania sądowego. W odpowiedzi na skargę kasacyjną skarżący wniósł o jej oddalenie. Naczelny Sąd Administracyjny zważył, co następuje. Zgodnie z art. 183 § 1 P.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę przesłanki uzasadniające nieważność postępowania wymienione w art. 183 § 2 P.p.s.a. oraz przesłanki uzasadniające odrzucenie skargi bądź umorzenie postępowania przed wojewódzkim sądem administracyjnym, stosownie do treści art. 189 P.p.s.a. Żadna z powyższych przesłanek w tej sprawie nie zaistniała. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Skarga kasacyjna jest uzasadniona. Na uwzględnienie zasługiwał zarzut naruszenia przez Sąd pierwszej instancji art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. art. 7 i art. 77 k.p.a. U podstaw zaskarżonego wyroku legło dokonane przez Sąd pierwszej instancji ustalenie zgodnie, z którym organ nie wyjaśnił okoliczności istotnych w sprawie. Twierdzenie takie nie znajduje uzasadnienia w świetle materiału dowodowego zgromadzonego w aktach postępowania administracyjnego prowadzonego przez Prezesa UODO, brak również jego wyjaśnienia w treści uzasadnienia zaskarżonego wyroku oraz wskazania wpływu tego ustalenia na wynik sprawy, pomimo obowiązku ciążącego na Sądzie pierwszej instancji w tym względzie wynikającego z treści art. 145 § 1 pkt 1 lit. c P.p.s.a. W uzasadnieniu zaskarżonego wyroku Sąd pierwszej instancji wskazał, że organ nie ustalił w sposób wyczerpujący stanu faktycznego z uwagi na fakt, iż nie ustalił czy administrator danych osobowych przetwarzał dane osobowe uczestniczki (czy był w ich posiadaniu), czy jej dane osobowe były przetwarzane prawidłowo ani czy zaistniała potrzeba uaktualnienia danych, a administrator danych ją zignorował. Dokonane w ten sposób przez Sąd pierwszej instancji określenie przesłanek mających warunkować stwierdzenie, że administrator danych osobowych nie podołał obowiązkom określonym w art. 5 ust. 1 lit. a i lit. d RODO nie znajduje odzwierciedlenia w przepisach prawa i pozostaje w całkowitym oderwaniu od ustalonego w sprawie stanu faktycznego, który – co wymaga podkreślenia – jest bezsporny między stronami. Odnośnie pierwszej wskazanej przez Sąd przesłanki – czy administrator danych przetwarza konkretne dane osobowe (czy jest w ich posiadaniu, w tym m.in. adresu do korespondencji) – wskazać należy, że pozostaje ona w oderwaniu nie tylko od materiału dowodowego zgromadzonego w sprawie, ale też od zasad logicznego rozumowania. Na gruncie niniejszej sprawy ustalono bowiem, że Spółka jest podmiotem zarządzającym danymi osobowymi powierzonymi jej przez Fundusz, którego dłużnikiem na podstawie zawartej umowy ugody z dnia 2 lutego 2018 r. była uczestniczka. Przetwarzanie danych osobowych przez Spółkę – jak wynika z jej wyjaśnień zawartych w piśmie z dnia 28 października 2018 r., k. 17-18 akt administracyjnych – miało na celu dochodzenie roszczeń Funduszu od dłużników, obrony przed roszczeniami, a także realizacji obowiązków wynikających z prawa podatkowego. Przy tym danymi podlegającymi przetwarzaniu były zwykle imiona, nazwiska, adresu zamieszkania, numery PESEL, numery telefonów, sygnatury akt spraw sądowych. Skoro w toku postępowania administracyjnego ustalono, że Spółka, za pośrednictwem Poczty Polskiej, skierowała do uczestniczki korespondencję zawierającą dokument PIT-11, a na przesyłce listowej wpisano (wprawdzie nieprawidłowy) adres uczestniczki, to nie ulega wątpliwości, że Spółka dysponowała adresem uczestniczki, posiadała go i przetwarzała. Przy tym bez najmniejszego znaczenia pozostaje okoliczność z jakiego systemu i kiedy adres ten został przez Spółkę pozyskany, okoliczność ta jest prawnie irrelewantna. Nie ulega więc wątpliwości, że Spółka przetwarzała dane osobowe uczestniczki, w tym dane adresowe, a contrario gdyby danych nie posiadała, to nie mogłaby wystosować do niej korespondencji, a co za tym idzie nie mogłaby tych danych przetwarzać. Kolejno, w ocenie Sądu pierwszej instancji organ nie ustalił czy dane osobowe są przetwarzane prawidłowo, m.in. czy są aktualne. Twierdzenie to także nie koresponduje z materiałem dowodowym leżącym u podstaw wydanej decyzji. Organ bowiem ustalił, że Spółka skierowała do uczestniczki korespondencję zwierającą jej dokument PIT-11 na nieprawidłowy adres, co jednoznacznie należy ocenić jako brak rzetelności w przetwarzaniu jej danych osobowych. Z kolei odnośnie aktualności danych osobowych należy wskazać, że Spółka powzięła informację o wadliwości adresu po nieudanej próbie doręczenia korespondencji i w konsekwencji tego ustalenia podjęła starania mające na celu ustalenie właściwego adresu uczestniczki i skuteczne doręczenie jej korespondencji, bowiem dnia 11 czerwca 2019 r. Spółka przesłała uczestniczce korektę PIT-11. Ustalenia te również legły u podstaw zaskarżonej decyzji. Sąd pierwszej instancji wskazał również, że istotną okolicznością w niniejszej sprawie jest ustalenie w jakim systemie teleinformatycznym ustalono błędny adres uczestniczki. Twierdzenie to, oprócz tego, że nie zostało w żaden sposób uzasadnione przez Sąd, również pozostaje prawnie irrelewantne na gruncie niniejszej sprawy. Żadne bowiem przepisy RODO nie obligują Prezesa UODO do ustalania pochodzenia danych osobowych podlegających nierzetelnemu przetwarzaniu, ani nie łączą tej okoliczności z żadną sankcją. Podkreślenia wymaga, że kognicję organu administracji publicznej określa norma prawa materialnego, wskazująca na fakty istotne z punktu widzenia dyspozycji normy materialnoprawnej (zob. B. Adamiak w: B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C.H. Beck 2021, s. 542-543 nb 1, 2). Kierując się normą prawa materialnego, organ ocenia, jakie fakty mają istotne znaczenie dla sprawy, czy wymagają one udowodnienia i jakie dowody dla udowodnienia tych faktów są potrzebne (B. Adamiak - op. cit., s. 85 nb 8). O zakresie postępowania dowodowego decyduje więc treść przepisów prawa materialnego, mających zastosowanie w danej sprawie. Niezbędne dowody przeprowadza się w celu ustalenia okoliczności, które rzeczywiście mogą mieć znaczenie prawne dla sprawy (por. wyrok Naczelnego Sądu Administracyjnego z dnia 9 maja 2017 r., sygn. akt I OSK 946/15, CBOSA). W ocenie Naczelnego Sądu Administracyjnego, przy wykładni prawa dokonanej przez organ, zbędne było dokonywanie jakichkolwiek innych ustaleń faktycznych oraz czynności dowodowych niż te, które zostały dokonane. W sprawie nie doszło zatem do naruszenia przepisów postępowania, które stwierdził Sąd pierwszej instancji. Uzasadnienie zaskarżonej decyzji było zaś zgodne z treścią art. 107 § 3 k.p.a. Zgodnie z przepisem art. 145 § 1 pkt 1 lit. c P.p.s.a., który został wskazany jako podstawa wydania zaskarżonego wyroku, Sąd uwzględniając skargę na decyzję lub postanowienie uchyla decyzję lub postanowienie w całości albo w części, jeżeli stwierdzi inne naruszenie przepisów postępowania, jeżeli mogło ono mieć istotny wpływ na wynik sprawy. Z przepisu tego wynika obowiązek Sądu wyjaśnienia w uzasadnieniu wyroku wpływu stwierdzonego naruszenia przepisów postępowania dla wyniku sprawy, a zatem obowiązek odniesienia stwierdzonych nieprawidłowości dla wyniku sprawy. Tymczasem Sąd pierwszej instancji nie zadośćuczynił temu obowiązkowi. Brak jest w uzasadnieniu zaskarżonego wyroku jakiegokolwiek wyjaśnienia powodów, dla których sąd stwierdził, że wyjaśnienie wymienionych przezeń okoliczności wpłynęłoby na ustalenie stanu faktycznego sprawy. Sąd ten nie powołał też żadnego przepisu prawa materialnego, z którego wynikałby obowiązek ustalenia wskazanych przezeń przesłanek. Podkreślić należy fakt, że tak jak treść art. 174 pkt 2 P.p.s.a. nakłada na autora skargi kasacyjnej obowiązek wskazania naruszenia przepisów postępowania i wykazania, że zarzucane uchybienia mogły mieć istotny wpływ na wynik sprawy, tak na Sąd nałożony jest obowiązek wyjaśnienia stwierdzanego naruszenia przepisów postępowania i jego istotnego wpływu na wynik sprawy zgodnie z dyspozycją art. 145 § 1 pkt 1 lit. c P.p.s.a. Oba wymienione przepisy wymagają wykazania, że wykryte naruszenie przepisów postępowania (w tej sprawie: braku ustaleń faktycznych) mogło mieć istotny wpływ na wynik sprawy. W uzasadnieniu zaskarżonego wyroku próżno jednak szukać jakiegokolwiek wyjaśnienia dla stwierdzonego przez Sądu uchybienia przepisom postępowania. Jedynie należy zgodzić się z Sądem pierwszej instancji, że na gruncie niniejszej sprawy ważnym jest odróżnienie pojęcia "nieprawidłowego adresu" od pojęcia "adresu nieaktualnego". W treści pkt. 1 zaskarżonej decyzji Prezes UODO wskazuje na nierzetelne przetwarzanie danych osobowych uczestniczki, w tym przetwarzanie jej nieaktualnych danych osobowych, choć nie ulega wątpliwości w niniejszej sprawie przetwarzaniu podlegały nieprawidłowe dane osobowe – uczestniczka nigdy nie dysponowała adresem, na który Spółka skierowała dotyczącą jej korespondencję. Niezależnie od powyższego, charakter wadliwości adresu korespondencyjnego (nieaktualny czy nieprawidłowy) pozostaje bez wpływu na ocenę, iż doszło do nierzetelnego przetwarzania danych osobowych uczestniczki przez Spółkę. Fakt ten pozostaje bezsporny. W ocenie Naczelnego Sądu Administracyjnego żadne z wymienionych przez Sąd pierwszej instancji okoliczności, które miałyby wymagać ustalenia nie mają żadnego znaczenia dla rozstrzygnięcia niniejszej sprawy. Bezsporne jest bowiem, że Spółka wysłała korespondencję zawierającą PIT-11 uczestniczki na niewłaściwy adres, co tym samym oznacza, że doszło do nierzetelnego przetwarzania jej danych osobowych i sam ten fakt uzasadniał prawidłowość wydanej decyzji. Z uwagi na powyższe należy uznać, że organ na podstawie art. 58 ust. 2 lit. b RODO prawidłowo udzielił Spółce upomnienia za nierzetelne przetwarzania danych osobowych uczestniczki, tj. za naruszenie art. 5 ust. 1 lit. a i lit. d RODO. W tym stanie rzeczy stwierdzając, że skarga kasacyjna jest uzasadniona, a istota sprawy jest dostatecznie wyjaśniona, Naczelny Sąd Administracyjny w oparciu o art. 188 P.p.s.a. uchylił zaskarżony wyrok w całości i rozpoznał skargę poprzez jej oddalenie na podstawie art. 151 P.p.s.a. O kosztach postępowania kasacyjnego, obejmujących zasądzenie od skarżącego na rzecz organu kwoty 460 zł (wpis od skargi kasacyjnej - 100 zł, koszty zastępstwa procesowego – 360 zł), orzeczono na podstawie art. 203 pkt 2 w zw. z art. 205 § 2 w zw. z art. 209 P.p.s.a.