III OSK 670/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Wojciech Jakimowicz (spr.) Sędziowie: Sędzia NSA Sławomir Wojciechowski Sędzia del. WSA Mariusz Kotulski Protokolant: asystent sędziego Aleksandra Kraus po rozpoznaniu w dniu 16 stycznia 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 grudnia 2022 r., sygn. akt VIII SA/Wa 597/22 w sprawie ze skargi J.D. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 11 kwietnia 2022 r., znak: DS.523.2617.2021.FT.MT.166282,166285 w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i oddala skargę; 2. zasądza od J.D. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 580 (pięćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania sądowego.

Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu sprawy ze skargi J.D. (dalej także jako: skarżący) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej także jako: organ) z dnia 11 kwietnia 2022 r., znak: DS.523.2617.2021.FT.MT.166282,166285 w przedmiocie przetwarzania danych osobowych, wyrokiem z dnia 15 grudnia 2022 r., sygn. akt VIII SA/Wa 597/22 uchylił zaskarżoną decyzję. Wyrok ten zapadł w następującym stanie faktycznym i prawnym sprawy: W dniu 26 kwietnia 2021 r. do organu wpłynęła skarga skarżącego na nieprawidłowości w procesie przetwarzania jego danych osobowych przez W. sp. z o.o. z siedzibą w W. (dalej także jako: Spółka) polegające na udostępnieniu danych osobowych skarżącego podmiotom nieuprawnionym, bez podstawy prawnej. Skarżący podkreślił, że nie wyraził zgody na ujawnienie jego danych osobom postronnym. Skarżący wskazał, że istnieje duże prawdopodobieństwo, że w sprawie naruszono elementarne prawo do ochrony danych osobowych. W związku z tym skarżący zażądał zadośćuczynienia lub odszkodowania za przetwarzanie jego danych osobowych przez różnego rodzaju instytucje i osoby prywatne, bez jego zgody i wiedzy. Skarżący wskazał, że o bezprawnym ujawnieniu jego danych osobowych dowiedział się od Sądu Rejonowego w Skierniewicach, który to przesłał skarżącemu komplet dokumentów, w tym umowę sprzedaży wierzytelności, na podstawie której Spółka odkupiła dług od Kolei [...]. Jak podał skarżący, Spółka udostępniła dane innych dłużników, poprzez wysłanie wydruków 50 pozycji z imionami i nazwiskami oraz adresem i numerem PESEL, adresując ww. dane do danego dłużnika, który otrzymując te informacje ze swoimi danymi, pozyskuje jednocześnie dane osobowe innych osób ujętych na tej liście. Skarżący poinformował, że otrzymał stronę nr 58 ze 141 stron listy dłużników. W związku z powyższym skarżący uznał, że jego dane osobowe w ten sposób zostały udostępnione innym dłużnikom wskazanym na ww. liście. Decyzją z dnia 11 kwietnia 2022 r., znak: DS.523.2617.2021.FT.MT.166282,166285 organ, na podstawie art. 105 § 1 Kodeksu postępowania administracyjnego w związku z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, umorzył postępowanie. W uzasadnieniu decyzji organ podał, że Spółka wyjaśniła, że zawarła z Kolejami [...] sp. z o.o. z siedzibą w W. umowę sprzedaży wierzytelności z dnia 26 września 2013 r., na podstawie art. 509 Kodeksu cywilnego, w związku z którą pozyskała dane osobowe skarżącego, które wchodziły w skład nabytego pakietu wierzytelności. Spółka wskazała, że przetwarza dane osobowe skarżącego wyłącznie w celu dochodzenia swoich uzasadnionych i stwierdzonych prawomocnym tytułem wykonawczym roszczeń. Obecnie Spółka realizuje ten cel, poprzez prowadzone postępowania egzekucyjne przez Komornika Sądowego przy Sądzie Rejonowym dla Warszawy – Mokotowa w Warszawie. Spółka podkreśliła także, że udostępniła dane osobowe skarżącego wyłącznie w toku postępowania sądowego, które toczyło się przed Sądem Rejonowym I Wydziałem Cywilnym pod sygn. akt I Nc 390/15 i nie wykorzystuje ww. danych do żadnych innych celów niż te wskazane powyżej, a w szczególności nie prowadzi żadnych działań z zakresu windykacji polubownej. Spółka wskazała, że "(...) przedłożyła załączony do przedmiotowej skargi wyciąg z umowy cesji wierzytelności, w celu wykazania zasadności dochodzonego roszczenia tak co do zasady, jak i co do wysokości". Spółka wyjaśniła, że nie udostępniała danych osobowych skarżącego innym dłużnikom, a wykorzystała jego dane osobowe jedynie na potrzeby prowadzenia postępowania sądowego przeciwko skarżącemu. Jedyną czynnością, jaką wykonywała Spółka było pozwanie dłużników oraz późniejsze złożenie wniosku egzekucyjnego. W związku z tym składając pozwy do Sądu Spółka załączała kopię umowy cesji, aby wykazać swoje roszczenie. Biorąc powyższe pod uwagę organ stwierdził, że zgromadzony w sprawie materiał dowodowy nie potwierdza w sposób jednoznaczny i bezsporny, że Spółka udostępniła dane osobowe skarżącego widniejące na liście dłużników na rzecz podmiotów nieuprawnionych. Spółka bowiem w złożonych wyjaśnieniach stanowczo zaprzecza jakoby udostępniła te dane osobowe innym dłużnikom, a brak jest jednoznacznych dowodów na to, aby osoby nieuprawnione uzyskały dostęp do listy dłużników, na której widniały dane osobowe skarżącego. Organ zwrócił uwagę na to, że skarżący nie przedstawił, poza własnym oświadczeniem, żadnych dowodów na potwierdzenie wskazywanych przez siebie nieprawidłowości jakoby do takiego udostępnienia istotnie doszło. Tym samym organ wskazał, że w niniejszym postępowaniu dysponuje jedynie sprzecznymi oświadczeniami stron. Organ podkreślił, że skarżący przedstawił jako dowód na poparcie swojego zarzutu jedynie przesłaną mu przez Sąd jedną stronę zawierającą dane osobowe jego, jak i innych osób, co w ocenie organu nie stanowi jednak dowodu na to, że Spółka udostępniła jego dane osobowe innym podmiotom. Organ wyjaśnił, że z art. 7 i art. 77 § 1 Kodeksu postępowania administracyjnego wynika, że obowiązek wyczerpującego zbadania i rozpatrzenia całego materiału dowodowego ciąży na organie prowadzącym postępowanie administracyjne. Nie znaczy to, że strona jest całkowicie zwolniona z tego obowiązku, zwłaszcza że nieudowodnienie określonej okoliczności faktycznej może prowadzić do rezultatów niekorzystnych dla strony. Po wyczerpaniu możliwości dokonania niezbędnych dla podjęcia rozstrzygnięcia ustaleń faktycznych organ prowadzący postępowanie jest uprawniony, a nawet zobowiązany do przyjęcia takiej wersji zdarzeń, która odpowiada logicznie pozostałemu materiałowi dowodowemu. W związku z powyższym organ stwierdził, że brak jest niebudzących wątpliwości dowodów, które potwierdziłyby zarzuty skarżącego w zakresie udostępnienia jego danych osobowych przez Spółkę na rzecz podmiotów nieuprawnionych. Spółka wskazała, że nie udostępniła danych osobowych skarżącego innym dłużnikom, zaś skarżący podnosi, że przedmiotowe udostępnienie nastąpiło. Wobec powyższego w ocenie organu nie można uznać, że kwestionowany przez skarżącego proces przetwarzania danych osobowych w ogóle zaistniał. Organ podkreślił natomiast, że przedmiotem postępowania przed Prezesem Urzędu Ochrony Danych Osobowych może być tylko zaistniały, nie zaś potencjalnie możliwy proces naruszenia danych osobowych. Reasumując organ uznał, że w niniejszej sprawie zaistniała przesłanka bezprzedmiotowości postępowania i umorzenia postępowania w oparciu o art. 105 § 1 Kodeksu postępowania administracyjnego, bowiem jak wynika ze zgromadzonego w sprawie materiału dowodowego brak jest dowodów na potwierdzenie podnoszonych przez skarżącego zarzutów, tym samym w ocenie organu nie można uznać, że kwestionowany przez niego proces przetwarzania danych osobowych zaistniał, wobec czego postępowanie stało się bezprzedmiotowe. W piśmie z dnia 5 maja 2022 r. skarżący wywiódł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 11 kwietnia 2022 r., znak: DS.523.2617.2021.FT.MT.166282,166285 w przedmiocie przetwarzania danych osobowych i wniósł o jej uchylenie i przekazanie sprawy organowi celem kontynuowania postępowania i wydania merytorycznego orzeczenia. W uzasadnieniu skargi skarżący podniósł, że z Kodeksu postępowania administracyjnego wynika, że obowiązek wyczerpującego zbadania i rozpatrzenia całego materiału dowodowego ciąży na organie prowadzącym postępowanie, który w niniejszej sprawie w ocenie skarżącego nie zrobił nic, aby ustalić prawdę. Organ poprzestał na odpowiedzi Spółki, która stwierdziła, że nie wykorzystywała i nie wykorzystuje danych osobowych w sposób niezgodny z prawem. Tymczasem w ocenie skarżącego logicznie rozumując należałoby stwierdzić, że skoro w odpisie pozwu dla skarżącego wskazano 50 pozycji z imionami, nazwiskami, adresem oraz numerem PSEL, to również w odpisach dla pozostałych 50 dłużników musiały znaleźć się takie same dane, w tym wraz z danymi osobowymi skarżącego. Tym samym zdaniem skarżącego naruszenie przepisów ustawy o ochronie danych osobowych jest w niniejszej sprawie bezdyskusyjnie oczywiste. Ponadto skarżący dodał, że odbywając karę pozbawienia wolności nie miał możliwości przedstawienia innych dowodów, choćby w postaci wskazania danych innych dłużników w skierowanych przeciwko nim pozwach. Taką możliwość miał natomiast organ, który winien zwrócić się do Spółki, czy do Sądu z pytaniem czy skierowane pozwy przeciwko innym dłużnikom zawierały załączniki w postaci listy z danymi osobowymi innych dłużników. Taka informacja dałaby bowiem odpowiedź czy inni dłużnicy uzyskali dane osobowe innych osób, w tym skarżącego, tak jak jemu udostępniono dane innych dłużników wymienione na stronie 58 ze 141 stron wykazu listy dłużników. Skarżący podkreślił, że udostępnione dane mogą być wykorzystane do przestępstw gospodarczych, zakupów itd., czego skarżący się obawia, bowiem prowadzi działalność gospodarczą na ternie Polski i Irlandii, gdzie status jego firmy jest nadal aktywny, pomimo pobytu skarżącego w zakładzie karnym. W odpowiedzi na skargę organ wniósł o oddalenie skargi podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 15 grudnia 2022 r., sygn. akt VIII SA/Wa 597/22 uchylił zaskarżoną decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 11 kwietnia 2022 r., znak: DS.523.2617.2021.FT.MT.166282,166285 w przedmiocie przetwarzania danych osobowych. W uzasadnieniu wyroku Sąd I instancji uznał, że organ, wydając sporną decyzję administracyjną z dnia 11 kwietnia 2022 r., dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem wspomnianej wyżej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zgodził się z zarzutami skargi, że organ w przeprowadzonym postępowaniu administracyjnym nie dokonał niezbędnych ustaleń faktycznych, które dawałyby podstawy do merytorycznego orzekania w sprawie. W ocenie Sądu I instancji, organ dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7, art. 77 § 1, art. 80, a także art. 107 § 3 Kodeksu postępowania administracyjnego w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, albowiem nie wyjaśnił wszystkich okoliczności istotnych dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał niewłaściwej oceny zebranego w sprawie materiału dowodowego, w kontekście właściwie zastosowanych przepisów prawa materialnego. Sąd I instancji podkreślił, że Spółka – jako nabywca wierzytelności od Kolei [...] sp. z o.o. z siedzibą w W. w sposób nieodpowiedni dokonywała przetwarzania danych osobowych swoich dłużników, w tym być może danych osobowych skarżącego. Choć organ stwierdził, że materiał dowodowy zebrany w sprawie nie przesądził jednoznacznie, iż doszło do naruszenia w zakresie danych osobowych skarżącego, to zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie już ze zgromadzonego w sprawie materiału wynika, że doszło do naruszenia przez Spółkę reguł dotyczących przetwarzania danych osobowych dłużników umieszczonych na przesłanej do skarżącego dokumentacji z Sądu. Skarżący - jako pozwany w sprawie cywilnej o zapłatę - zapoznał się z danymi osobowymi innych dłużników. Organ natomiast nie wyjaśnił i nie wskazał, czy i na jakiej podstawie administrator danych osobowych mógł te dane przekazywać innym dłużnikom. W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie fakt, czy inni dłużnicy mogli zapoznać się z danymi osobowymi skarżącego nie został przez organ w postępowaniu wyjaśniony. Sam fakt skierowania zapytania do administratora danych osobowych czy dane te udostępniał, zdaniem Sądu I instancji, nie wyczerpuje obowiązku przeprowadzenia pełnego postępowania dowodowego i oceny jego wyników zgodnie z art. 7, art. 77 § 1, art. 80 i art. 107 § 3 Kodeksu postępowania administracyjnego. Sąd I instancji wyjaśnił, że organ mógł i powinien ustalić czy Spółka dochodziła wierzytelności od innych dłużników z listy, którą otrzymał skarżący, i jaka dokumentacja została przesłana pozwanym w sprawach o zapłatę. Sposób rozumowania skarżącego, że skoro mógł on zapoznać się z danymi osobowymi około 50 dłużników, to inni również mogli zapoznać się z jego danymi osobowymi, wydaje się w ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie być racjonalna. Wyjaśnienie tej okoliczności wymagało przeprowadzenia stosownego postępowania wyjaśniającego, co należało do obowiązków organu. Wojewódzki Sąd Administracyjny podkreślił przy tym, że skarżący nie miał możliwości prawnych, aby żądać udzielenia stosownych wyjaśnień w tym zakresie, dlatego przerzucanie przez organ tego typu obowiązków na skarżącego nie ma umocowania prawnego. Organ mógł bowiem takie postępowanie przeprowadzić żądając w tym zakresie wyjaśnień zarówno od administratora danych, jak i od Sądu. W związku z powyższym Sąd I instancji stwierdził, że w sprawie nie zachodziły podstawy do zastosowania art. 105 § 1 Kodeksu postępowania administracyjnego i umorzenia postępowania w sprawie. Wojewódzki Sąd Administracyjny w Warszawie wskazał, że organ ponownie rozpoznając sprawę przeprowadzi pełne postępowanie wyjaśniające celem ustalenia czy administrator danych nie dopuścił się naruszeń w zakresie ochrony danych osobowych skarżącego w sposób wskazywany w uzasadnieniu wyroku. Skargę kasacyjną od powyższego wyroku wywiódł organ i zaskarżając ten wyrok w całości i wnosząc o uchylenie w całości zaskarżonego wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie i oddalenie skargi w przypadku uznania, że istota sprawy jest dostatecznie wyjaśniona, ewentualnie o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Sądowi I instancji, rozpoznanie skargi kasacyjnej na rozprawie oraz zasądzenie zwrotu kosztów postępowania na rzecz organu według norm przepisanych, zarzucił zaskarżonemu rozstrzygnięciu naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7, art. 77 § 1 i art. 80 oraz art. 107 § 3 Kodeksu postępowania administracyjnego w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, poprzez niezasadne uznanie, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję naruszył ww. przepisy postępowania, co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji. W uzasadnieniu skargi kasacyjnej organ skarżący kasacyjnie powtórzył stanowisko wyrażone w uzasadnieniu decyzji uchylonej wyrokiem Sądu I instancji i podkreślił, że w realiach niniejszej sprawy zebrał wyczerpujący materiał dowodowy, który następnie wnikliwie rozpatrzył. W decyzji natomiast wyjaśniono wszelkie motywy rozstrzygnięcia, w tym jego uzasadnienie faktyczne i prawne. Organ wskazał, że celem zweryfikowania zarzutów sformułowanych w skardze, korzystając z przyznanych mu instrumentów prawnych określonych w art. 58 ust. 1 lit. a i e RODO, zwrócił się do Spółki o złożenie pisemnych wyjaśnień w sprawie wraz z potwierdzającymi je dowodami i wyjaśnienia te uzyskał w pismach z dnia 7 maja 2021 r., 3 sierpnia 2021 r. oraz 23 lutego 2022 r., w tym również oświadczenie Spółki, że nie udostępniała danych osobowych skarżącego innym dłużnikom, a wykorzystała dane osobowe skarżącego jedynie na potrzeby prowadzenia postępowania sądowego przeciwko skarżącemu. Spółka pozywając dłużników do sądu załączyła kopię umowy cesji, aby wykazać swoje roszczenie. Jednocześnie organ skarżący kasacyjnie podkreślił, że niniejsze postępowanie służyło wyłącznie zbadaniu nieprawidłowości w procesie przetwarzania danych osobowych skarżącego, a zatem nie obejmowało swoim zakresem nieprawidłowości w procesie przetwarzania danych osobowych innych niż skarżący osób trzecich tj. pozostałych dłużników Spółki, na czym niezasadnie – zdaniem organu skarżącego kasacyjnie - skupił się Sąd I instancji w zaskarżonym wyroku. Organ skarżący kasacyjnie zaznaczył, że prowadząc postępowanie administracyjne związany był zakresem żądania, mógł zatem rozstrzygać wyłącznie w zakresie kwestionowanych przez skarżącego nieprawidłowości w procesie przetwarzania jego danych osobowych. Organ skarżący kasacyjnie wskazał, że z wyczerpujących wyjaśnień Spółki, jak i treści skargi inicjującej postępowanie w niniejszej sprawie, jednoznacznie wynika, co z kolei umknęło Sądowi I instancji, że Spółka nie przekazała danych osobowych skarżącego bezpośrednio pozostałym dłużnikom, lecz udostępniła ich dane, w tym dane osobowe skarżącego, na rzecz Sądu Rejonowego w Skierniewicach, będącemu odrębnym od Spółki administratorem danych osobowych, w związku z postępowaniem związanym z dochodzeniem roszczeń. Organ skarżący kasacyjnie ustalił następnie, że to Sąd Rejonowy w Skierniewicach przesłał skarżącemu dokumentację związaną ze sprawą o sygn. I Nc 390/15, która zawierała wyciąg z pełnej listy dłużników, zaś sądy, przetwarzając dane osobowe w ramach prowadzonych przez te sądy postępowań, są odrębnymi administratorami danych osobowych, wykonującymi działania w ramach nałożonych na nie obowiązków prawnych, związanych ze sprawowaniem wymiaru sprawiedliwości. Odnosząc się do stwierdzenia Wojewódzkiego Sądu Administracyjnego w Warszawie, że poza wezwaniem do dodatkowych wyjaśnień Spółki, organ powinien wezwać do wyjaśnień w sprawie również Sąd Rejonowy w Skierniewicach, aby ustalić, czy Spółka dochodziła wierzytelności od innych dłużników z listy, którą otrzymał skarżący, i jaka dokumentacja została przesłana pozwanym w sprawach o zapłatę, organ skarżący kasacyjnie wskazał, że jest ono niezasadne i nie miałoby wpływu na treść rozstrzygnięcia organu. Organ skarżący kasacyjnie dodał, że oświadczenia stron postępowania stanowią dowód równoprawny innym dowodom. Dowód taki podlega zatem swobodnej ocenie organu prowadzącego postępowanie administracyjne. Ponadto, organ skarżący kasacyjnie podkreślił również, że zgodnie z utrwaloną doktryną, strona postępowania powinna brać czynny udział w postępowaniu, w szczególności w zakresie gromadzenia materiału dowodowego. Spoczywająca na organie powinność zbadania wszystkich okoliczności istotnych w sprawie w żaden sposób nie może usprawiedliwiać bierności zainteresowanej strony oraz nie zwalnia jej z obowiązku współdziałania z organem w wyjaśnieniu sprawy. Organ skarżący kasacyjnie powtórzył, że to nie Spółka, tylko będący odrębnym od Spółki administratorem danych Sąd Rejonowy w Skierniewicach doręczał stronom, w tym skarżącemu, dokumenty w związku z toczącym się przed tym sądem postępowaniem. Organ skarżący kasacyjnie podkreślił przy tym, że Prezes Urzędu Ochrony Danych Osobowych, będący organem nadzorczym, zgodnie z art. 55 ust. 3 RODO nie jest właściwy do nadzorowania operacji przetwarzania danych dokonywanych przez sądy w ramach sprawowania przez nie wymiaru sprawiedliwości. Podstawowym celem wyłączenia właściwości organu nadzorczego w tym zakresie jest ochrona niezawisłości sądów. Organ skarżący kasacyjnie zgodził się ze stanowiskiem, że wykonywanie przez organ właściwy w sprawach ochrony danych nadzoru nad przetwarzaniem danych w zakresie orzekania mogłoby stanowić niedopuszczalną ingerencję w działalność orzeczniczą. W związku z powyższym, w ocenie organu skarżącego kasacyjnie wezwanie Spółki do złożenia dodatkowych wyjaśnień na okoliczność, która została przez nią kompleksowo wyjaśniona i nie budziła jakichkolwiek wątpliwości organu, było zbędne i skutkowałoby nieuzasadnionym naruszeniem przez Prezesa Urzędu Ochrony Danych Osobowych określonej w art. 12 Kodeksu postępowania administracyjnego zasady szybkości i prostoty postępowania. Wezwanie natomiast do złożenia wyjaśnień również Sądu Rejonowego w Skierniewicach stanowiłoby z jednej strony wyjście poza przedmiot postępowania w sprawie, musiałoby dotyczyć bowiem procesu przetwarzania danych osobowych skarżącego przez ten sąd, którego działanie nie było przedmiotem skargi skarżącego. Jednakże przede wszystkim mogłoby zostać uznane za działanie niezgodne z prawem, bowiem sprawy dotyczące przetwarzania danych osobowych przez sądy w ramach sprawowania wymiaru sprawiedliwości, zostały wyłączone spod kompetencji organu. Kwestia tego, jaka dokumentacja została przez Sąd Rejonowy w Skierniewicach udostępniona na rzecz stron toczącego się postępowania, bezspornie związana była ze sprawowaniem przez ten Sąd wymiaru sprawiedliwości. Biorąc powyższe pod uwagę, organ skarżący kasacyjnie podniósł, że Wojewódzki Sąd Administracyjnego w Warszawie błędnie wywiódł, że organ nie podjął wszelkich czynności zmierzających do wyjaśnienia sprawy, w sytuacji gdy Prezes UODO w wyniku zbadania okoliczności faktycznych i na podstawie całego zgromadzonego w niniejszej sprawie materiału dowodowego (w tym okoliczności podniesionych przez samego skarżącego w treści skargi) wydał prawidłowe rozstrzygnięcie, uznając, że brak jest jednoznacznych i bezspornych dowodów na to, by stwierdzić, że kwestionowany przez skarżącego proces przetwarzania jego danych osobowych zaistniał. Materiał dowodowy nie potwierdził bowiem, że to Spółka udostępniła dane osobowe skarżącego nieuprawnionym osobom trzecim, tj. innym dłużnikom Spółki. Odpowiedzi na skargę kasacyjną nie wniesiono. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z treścią art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tj.: Dz.U. z 2024 r., poz. 935) - zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.). Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. W skardze kasacyjnej sformułowano włącznie jeden zarzut naruszenia przepisów postępowania, tj. zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7, art. 77 § 1 i art. 80 oraz art. 107 § 3 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2025 r., poz. 1691 ze zm.) – dalej zwanej: k.p.a., w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781 ze zm.), poprzez niezasadne uznanie, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję naruszył ww. przepisy postępowania, co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji. Rozpoznając skargę kasacyjną w tak zakreślonych granicach, stwierdzić należy, że zarzut ten ma usprawiedliwione podstawy i zasługuje na uwzględnienie. W pierwszej kolejności podkreślenia wymaga to, że w orzecznictwie Naczelnego Sądu Administracyjnego ugruntowane jest stanowisko, że przepis art. 145 § 1 pkt 1 lit. c, którego naruszenie zarzuca organ skarżący kasacyjnie, podobnie zresztą jak art. 146 § 1, art. 147, art. 149 § 1, czy też art. 151 lub art. 161 § 1 p.p.s.a. ma charakter ogólny (blankietowy) i określa kompetencje sądu administracyjnego w fazie orzekania. Tego typu przepis nie może zatem stanowić samodzielnej podstawy kasacyjnej. Strona skarżąca kasacyjnie chcąc powołać się na zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. zobowiązana jest więc bezpośrednio powiązać omawiany zarzut z zarzutem naruszenia konkretnych przepisów, którym – jej zdaniem – Sąd I instancji uchybił w toku rozpoznania sprawy. Naruszenie ww. przepisów jest zawsze następstwem uchybienia innym przepisom, czy to procesowym, czy też materialnym (por. wyroki NSA: z dnia 30 kwietnia 2015 r., I OSK 1701/14, z dnia 29 kwietnia 2015 r., I OSK 1595/14, z dnia 29 kwietnia 2015 r., I OSK 1596/14, z dnia 24 kwietnia 2015 r., I OSK 1088/14, z dnia 8 kwietnia 2015 r., I OSK 71/15, z dnia 9 stycznia 2015 r., I OSK 638/14). Na podstawie omawianego zarzutu organ skarżący kasacyjnie powiązał zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. z zarzutem naruszenia przez Wojewódzki Sąd Administracyjny w Warszawie przepisów k.p.a., tj. art. 7, art. 77 § 1 i art. 80 oraz art. 107 § 3 k.p.a., w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych upatrując ww. naruszenia w niezasadnym w ocenie organu skarżącego kasacyjnie uznaniu przez Sąd I instancji, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję naruszył ww. przepisy postępowania, co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji. Argumentacja organu skarżącego kasacyjnie przedstawiona w tym zakresie w uzasadnieniu skargi kasacyjnej jest zasadna. Wbrew stanowisku Sądu I instancji, w rozpoznawanej sprawie wszystkie istotne okoliczności z punktu widzenia przedmiotu postępowania dotyczącego przetwarzania przez Spółkę danych osobowych skarżącego zostały wyjaśnione, a zgromadzone dowody związane z ww. przetwarzaniem danych, w tym przede wszystkim wyjaśnienia Spółki przedstawione w tym zakresie, zostały poddane wszechstronnej i odpowiadającej prawu ocenie. Organ prowadząc postępowanie w niniejszej sprawie, powziął wszelkie niezbędne kroki do dokładnego wyjaśnienia stanu faktycznego sprawy. Zebrał i rozpatrzył cały materiał dowodowy, wskazując podstawy podjętego rozstrzygnięcia, a ocena ta nie narusza zasady swobodnej oceny dowodów. Organ ustosunkował się do wszelkich istotnych okoliczności wskazanych zarówno przez skarżącego, jak i Spółkę, a w konsekwencji prawidłowo stwierdził bezprzedmiotowość postępowania skutkującą koniecznością jego umorzenia na podstawie art. 105 § 1 k.p.a. Słusznie bowiem organ ocenił, że zgromadzony w sprawie materiał dowodowy nie potwierdził podnoszonych przez skarżącego zarzutów w zakresie nieprawidłowości przetwarzania jego danych osobowych przez Spółkę. W sprawie jest niesporne, że Spółka pozyskała dane osobowe skarżącego w związku z zawarciem z Kolejami [...] sp. z o.o. z siedzibą w W. umowy sprzedaży wierzytelności, w związku z którą pozyskała dane osobowe skarżącego, które wchodziły w skład nabytego pakietu wierzytelności. Niesporne jest również to, że Spółka była podmiotem uprawnionym do przetwarzania danych osobowych skarżącego w celu dochodzenia swoich uzasadnionych i stwierdzonych prawomocnym tytułem wykonawczym roszczeń. Jak wynika z wyjaśnień Spółki udostępniła ona dane osobowe skarżącego jedynie w toku postępowania sądowego toczącego się przed Sądem Rejonowym w Skierniewicach I Wydziałem Cywilnym pod sygn. akt I Nc 390/15. Spółka przedstawiła zresztą w tym zakresie wyczerpujące wyjaśnienia. Następnie to ww. Sąd udostępnił skarżącemu - wraz z odpisem pozwu - część listy dłużników zawierającą ich dane osobowe. Powyższe okoliczności nie były sporne, a jednocześnie to one determinowały zakres rozpoznania sprawy. Dlatego też ocena Sądu I instancji jakoby stan faktyczny został ustalony w sposób niepełny, jest błędna. Prezes Urzędu Ochrony Danych Osobowych rozpoznając sprawę w granicach zakreślonych wniesioną przez skarżącego skargą, tj. w zakresie prawidłowości przetwarzania danych osobowych skarżącego przez Spółkę, dokonał niezbędnych w sprawie ustaleń faktycznych i zebrał niezbędny materiał dowodowy. Natomiast o naruszeniu przepisów postępowania, w tym art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. nie może świadczyć podnoszone przez Wojewódzki Sąd Administracyjny w Warszawie niewyjaśnienie i niewskazanie przez organ "czy i na jakiej podstawie administrator danych osobowych mógł te dane przekazywać innym dłużnikom", bowiem takie zdarzenie nie miało miejsca w okolicznościach niniejszej sprawy. Spółka nie przekazywała bowiem danych osobowych skarżącego innym dłużnikom. Listę dłużników, jak wynika z jej wyjaśnień i czego nie kwestionuje skarżący, została udostępniona przez Spółkę Sądowi Rejonowemu w Skierniewicach wraz z dokumentacją niezbędną do dochodzenia roszczenia, który to Sąd następnie listę tę udostępnił skarżącemu. Badanie prawidłowości przetwarzania danych osobowych przez Sąd – jako administratora tych danych – nie mieściło się zaś w granicach niniejszej sprawy wyznaczonych skargą skarżącego złożoną do organu i która to skarga obejmowała zarzuty dotyczące nieprawidłowości w przetwarzaniu jego danych osobowych przez Spółkę, a nie Sąd Rejonowy w Skierniewicach. Z tego względu słusznie wskazuje organ skarżący kasacyjnie, że złożenie dodatkowych wyjaśnień przez Spółkę na okoliczność, która została już przez nią kompleksowo wyjaśniona i nie budziła jakichkolwiek wątpliwości organu, było zbędne, a brak takich dodatkowych wyjaśnień nie może świadczyć o naruszeniu w sprawie przepisów postępowania, w tym art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. O wadliwości postępowania nie może również świadczyć niezłożenie wyjaśnień przez Sąd Rejonowy w Skierniewicach, bowiem zagadnienie dotyczące prawidłowości przetwarzania danych osobowych zarówno skarżącego, jak i innych dłużników przez Sąd wykracza poza granice rozpoznawanej sprawy. Niezależnie zresztą od powyższego, co słusznie zaakcentowano w skardze kasacyjnej, zgodnie z art. 55 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., str. 35), dalej jako: "RODO" organy nadzorcze nie są właściwe do nadzorowania operacji przetwarzania dokonywanych przez sądy w ramach sprawowania przez nie wymiaru sprawiedliwości. Z kolei w myśl art. 175db ustawy z dnia 27 lipca 2001 r. Prawo o ustroju sądów powszechnych (Dz. U. z 2024 r., poz. 334)- zwanej dalej: p.u.s.p. administratorami danych osobowych przetwarzanych w postępowaniach sądowych w ramach sprawowania wymiaru sprawiedliwości albo realizacji zadań z zakresu ochrony prawnej są sądy, zaś z art. 175dd § 1 p.u.s.p. wynika, że nadzór nad przetwarzaniem danych osobowych, których administratorami są sądy, zgodnie z art. 175da i art. 175db, wykonują w zakresie działalności sądu: rejonowego - prezes sądu okręgowego; okręgowego - prezes sądu apelacyjnego; apelacyjnego - Krajowa Rada Sądownictwa. Tym samym uznać należy, że Sąd I instancji bezpodstawnie stwierdził naruszenie przez organ przepisów procedury administracyjnej w niniejszej sprawie, uchybiając w ten sposób art. 7, art. art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, a w konsekwencji powyższego Wojewódzki Sąd Administracyjny w Warszawie nieprawidłowo uchylił na podstawie art. 145 § 1 pkt 1 lit. c p.p.s.a. wydaną w sprawie przez organ decyzję o umorzeniu postępowania. Organ właściwie bowiem rozpoznając niniejszą sprawę umorzył postępowanie w oparciu o przepis art. 105 § 1 k.p.a. prawidłowo uznając, że w zgromadzonym w sprawie materiale dowodowym brak jest dowodów potwierdzających podnoszone przez skarżącego zarzuty, a zatem nie można uznać, że kwestionowany przez skarżącego proces przetwarzania danych osobowych zaistniał, co czyniło niniejsze postępowanie bezprzedmiotowym. Z podanych względów zaskarżony wyrok nie mógł się ostać, a wyjaśnienie istoty sprawy upoważniało Naczelny Sąd Administracyjny do rozpoznania sprawy. Mając to na uwadze, na podstawie art. 188 w zw. z art. 193 i art. 151 p.p.s.a., Naczelny Sąd Administracyjny uchylił zaskarżony wyrok i oddalił skargę. O kosztach postępowania kasacyjnego orzeczono na podstawie art. 203 pkt 2 p.p.s.a.