III OSK 945/21

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Małgorzata Masternak - Kubiak Sędziowie Sędzia NSA Zbigniew Ślusarczyk (spr.) Sędzia del. WSA Ireneusz Dukiel po rozpoznaniu w dniu 23 lutego 2022 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej A. S. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 11 października 2018 r. sygn. akt II SA/Wa 96/18 w sprawie ze skargi A. S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 11 października 2018 r. sygn. akt II SA/Wa 96/18, na podstawie art. 151 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2017 r. poz. 1369 ze zm.) zwanej dalej "p.p.s.a." oddalił skargę A. S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] listopada 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych. W uzasadnieniu wyroku Sąd pierwszej instancji wskazał, że żadna z przesłanek wskazanych w art. 7 pkt 2 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r., poz. 922 ze zm.) nie uprawniała V. sp. z o.o. z siedzibą w R. do udostępnienia danych osobowych skarżącej, byłej pracownicy ww. spółki, osobie trzeciej. Decyzja wydawana przez Generalnego Inspektora Ochrony Danych Osobowych ma jednak służyć przywróceniu stanu zgodnego z prawem. Stwierdzony stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji. Organ odmawiając uwzględnienia wniosku skarżącej działał prawidłowo. Jak podkreślił Sąd pierwszej instancji, jakkolwiek stan naruszenia przepisów ustawy miał miejsce w chwili udostępnienia danych skarżącej, to w momencie wydawania decyzji już nie zachodził. Z tego względu brak było podstaw do sformułowania nakazu, o którym mowa w art. 18 ust. 1 ustawy o ochronie danych osobowych, wobec czego skarga podlegała oddaleniu. Skargę kasacyjną złożyła A. S.. Zarzuciła naruszenie prawa materialnego przez błędną jego wykładnię, a w szczególności: 1. art. 27 ust. 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 1997 nr 133 poz. 883) przez niesłuszne przyjęcie, iż pomimo udostępnienia przez pracowników spółki V. spółka z.o.o w R. danych osobowych skarżącej na rzecz osoby trzeciej i przyznania w uzasadnieniu zaskarżonego wyroku (strona 8, 5 wiersz od dołu i dalsze), że żadna z przesłanek "nie legitymizowała" V. spółka z o.o. w R. do udostępnienia danych osobowych skarżącej na pytanie osoby fizycznej – "pomimo tego niesłuszne oddalenie skargi, co skutkowało niesłusznym oddaleniem skargi", 2. art. 18 ust. 1 pkt 3, 4, 5 ustawy o ochronie danych osobowych przez całkowity brak zweryfikowania tych obowiązków nałożonych przez ustawę, pomimo ewidentnego udostępnienia danych osobowych skarżącej osobie trzeciej, 3. art. 18 w zw. art. 51 "ww. ustawy" przez niesłuszne przyjęcie, że brak zawiadomienia o popełnieniu przestępstwa przez GIODO w ramach autonomicznych, samodzielnych uprawnień ustawowych jest działaniem prawidłowym, służącym ochronie interesów skarżącej, 4. art. 38 "cytowanej wyżej ustawy" przez brak rozważenia w uzasadnieniu zaskarżonego wyroku obowiązku zapewnienia prawidłowej kontroli przez administratora danych nad tym, jakie dane osobowe skarżącej, kiedy i przez kogo oraz komu zostały przekazane, 5. art. 49 ust. 1 i 2 oraz art. 51 ust. 1 i 2 cytowanej wyżej ustawy przez błędne przyjęcie, iż brak zawiadomienia z urzędu przez GIODO o popełnieniu przestępstwa był i jest uprawniony, pomimo, iż działania spółki wyczerpują znamiona czynów karalnych określonych w rozdziale 8 ustawy i działając w interesie skarżącej GIODO winien zawiadomić z urzędu o przestępstwie, zaś Sąd w zaskarżonym wyroku przyjął odmiennie, co sprzeciwia się generalnej zasadzie ochrony danych osobowych. A. S. zarzuciła ponadto naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, a w szczególności: 6. "konsekwentne potwierdzenie błędnego założenia, że kroki podjęte przez spółkę "post factum" w celu usunięcia uchybień w procesie przetwarzania danych przez Spółkę, przeprosiny skarżącej oraz konsekwencje dyscyplinarne są wystarczającym rozwiązaniem przy ewidentnym naruszeniu przepisów ustawy", 7. "nietrafne potwierdzenie, iż usunięto uchybienia w zakresie przetwarzania danych skarżącej, podczas gdy dane osobowe udostępnione osobie trzeciej są nadal wykorzystywane przez tę osobę, a w szczególności dotyczy to danych o stanie zdrowia, jak również danych o wysokości zarobków skarżącej, które to dane są wykorzystywane między innymi w sprawie rozwodowej przed Sądem Okręgowym w Rzeszowie sygn. akt. [...] oraz pertraktacjach i rozmowach z pośrednikami pracy (Head hunterami) za granicami RP, co naraża dobra osobiste oraz interesy skarżącej w sposób ewidentny i narażą ją na straty finansowe, co pominięto w uzasadnieniu zaskarżonego wyroku", 8. art. 141 § 4 p.p.s.a. przez brak wyjaśnienia w uzasadnieniu wyroku wszystkich zarzutów podniesionych w skardze, a w szczególności odnośnie szkody, jakiej doznała skarżąca wskutek nieuprawnionego udostępnienia jej danych osobowych przez spółkę. W oparciu o tak sformułowane zarzuty A. S. wniosła o uchylenie zaskarżonego orzeczenia w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnego w Warszawie i rozstrzygnięcie o kosztach postępowania kasacyjnego. W uzasadnieniu skargi kasacyjnej wskazała, że udostępnienie danych osobowych skarżącej osobie trzeciej jest czynem karalnym, pomimo to GIODO nie skorzystał z samodzielnych kompetencji do zawiadomienia organów ścigania o popełnieniu przestępstwa. Ponadto zdaniem autora skargi kasacyjnej Sąd pierwszej instancji nie odniósł się do wszystkich zarzutów podniesionych w skardze. Skarżąca podniosła bowiem, że jej dane osobowe, dotyczące jej stanu zdrowia i wysokości jej zarobków, zostały wykorzystane przez J. K. w procesie o rozwód. Dzięki bezprawnemu udostępnieniu tych danych skarżąca narażona jest na szkodę. Wskutek ich wykorzystania uchylono postanowienie o zabezpieczeniu, które skarżąca uzyskała w toku procesu rozwodowego. Co więcej, dane osobowe skarżącej są wykorzystywane przez J. K. informującego o nich pośredników pracy za granicami RP, wobec czego skarżąca doznała szkody i ma utrudniony dostęp do pracy. Naczelny Sąd Administracyjny zważył, co następuje: W pierwszej kolejności wskazać należy, że pomimo braku zgody stron na rozpoznanie sprawy na posiedzeniu niejawnym, Sąd na podstawie art. 15 zzs4 ust. 3 ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz.U. 2020, poz. 1842 ze zm. – dalej: ustawa COVID-19) w brzmieniu od 3 lipca 2021 r. (Dz. U. z 2021 poz. 1090) COVID-19 rozpoznał sprawę na posiedzeniu niejawnym. W myśl art. 15zzs4 ust. 1 ustawy COVID-19, w okresie obowiązywania stanu zagrożenia epidemicznego albo stanu epidemii ogłoszonego z powodu COVID-19 oraz w ciągu roku od odwołania ostatniego z nich Naczelny Sąd Administracyjny nie jest związany żądaniem strony o przeprowadzenie rozprawy. Zgodnie z ust. 3 powołanego przepisu, Przewodniczący może zarządzić przeprowadzenie posiedzenia niejawnego, jeżeli uzna rozpoznanie sprawy za konieczne, a nie można przeprowadzić jej na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku. Na posiedzeniu niejawnym w tych sprawach sąd orzeka w składzie trzech sędziów. W niniejszej sprawie Przewodniczący uznał rozpoznanie sprawy za konieczne, zaś wobec braku możliwości przeprowadzenia rozprawy na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku zarządzeniem z 6 grudnia 2021 r. skierował sprawę do rozpoznania na posiedzeniu niejawnym. Także w ocenie Naczelnego Sądu Administracyjnego rozpoznanie sprawy było konieczne z uwagi na długość toczącego się postępowania sądowego. Nadto ze względów technicznych nie jest możliwe we wszystkich sprawach, w których nie zrzeczono się rozprawy, przeprowadzenie jej na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku. W tej szczególnej sytuacji rozpoznanie skargi kasacyjnej na posiedzeniu niejawnym było w ocenie NSA rozsądnym kompromisem pomiędzy prawem stron do jawnego rozpoznania sprawy, a prawem do rozpoznania sprawy bez nieuzasadnionej zwłoki (art. 45 Konstytucji RP) oraz zasadą proporcjonalności, z której wynika możliwość ograniczenia konstytucyjnych praw z uwagi na konieczność ochrony zdrowia. Strony uprzedzono o takim trybie rozpoznania sprawy i umożliwiono im zajęcie ostatecznego stanowiska w sprawie pisemnie. Sposób sporządzenia skargi kasacyjnej powoduje konieczność przytoczenia uwag związanych z wymogami dla skargi kasacyjnej przewidzianymi w ustawie z dnia 30 sierpnia 2002 roku - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2022 r. poz. 329), dalej p.p.s.a. Godzi się bowiem przypomnieć, że rozpoznając skargę kasacyjną – po myśli art. 183 p.p.s.a – Naczelny Sąd Administracyjny czyni to w granicach zakreślonych przez ramy tego środka odwoławczego, gdyż jest nimi związany, biorąc pod rozwagę z urzędu tylko nieważność postępowania. Przy braku przesłanek nieważnościowych w sprawie podlegały rozpoznaniu wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych. W myśl art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie; 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Związanie NSA podstawami skargi kasacyjnej wymaga prawidłowego ich określenia w samej skardze. Oznacza to konieczność powołania konkretnych przepisów prawa, którym – zdaniem skarżącego – uchybił sąd, określenia, jaką postać miało to naruszenie, uzasadnienia zarzutu ich naruszenia, a w razie zgłoszenia zarzutu naruszenia przepisów postępowania – wykazania dodatkowo, że to wytknięte uchybienie mogło mieć istotny wpływ na wynik sprawy. Zarzut naruszenia prawa materialnego, może przejawiać się w dwóch postaciach: jako błędna wykładnia albo jako niewłaściwe zastosowanie określonego przepisu prawa. Podnosząc zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, że sąd stosując przepis popełnił błąd subsumcji, czyli że niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie nie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa. W obu tych przypadkach autor skargi kasacyjnej wykazać musi, jak w jego ocenie powinien być rozumiany stosowany przepis prawa, czyli jaka powinna być jego prawidłowa wykładnia. Jednocześnie należy podkreślić, że ocena zasadności zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie ustalonego w sprawie stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (por. wyrok NSA z 13 sierpnia 2013 r., sygn. akt II GSK 717/12, LEX nr 1408530; wyrok NSA z 4 lipca 2013 r., sygn. akt I GSK 934/12, LEX nr 1372091). Z punktu widzenia skuteczności postawionych w skardze kasacyjnej zarzutów podkreślenia wymaga, że przytoczenie podstawy kasacyjnej musi być precyzyjne. Związanie Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej powoduje, że jest on władny badać naruszenie jedynie tych przepisów, które zostały wyraźnie wskazane przez stronę skarżącą. Ze względu na ograniczenia wynikające z regulacji prawnych, Naczelny Sąd Administracyjny nie może we własnym zakresie konkretyzować zarzutów skargi kasacyjnej, uściślać ich, ani w inny sposób korygować (zob. wyrok NSA z 8 grudnia 2015 r., II OSK 909/14). Naczelny Sąd Administracyjny nie jest władny badać, czy zaskarżony wyrok nie narusza innych przepisów niż wskazane w podstawach, na których środek oparto (zob. wyrok NSA z 25 listopada 2014 r., II GSK 1253/13). Nie ma on kompetencji do konkretyzowania czy uzupełniania zarzutów kasacyjnych, bądź ich uzasadnienia, a brak konkretnego i popartego stosowną argumentacją zakwestionowania stanowiska wyrażonego w danej kwestii przez wojewódzki sąd administracyjny powoduje związanie Naczelnego Sądu Administracyjnego poglądem sądu pierwszej instancji w danym zakresie i niemożność zbadania jego zasadności (zob. wyrok NSA z 21 stycznia 2015 r., II FSK 3171/12; por. też wyrok NSA z 6 grudnia 2012 r., II OSK 1426/11). Jeżeli przepis prawa składa się z kilku jednostek redakcyjnych wówczas zarzucane naruszenie należy powiązać z jego konkretną jednostką redakcyjną. W odniesieniu do przepisu, który nie stanowi jednej zamkniętej całości, a składa się z paragrafów, punktów i innych jednostek redakcyjnych, wymóg skutecznie wniesionej skargi kasacyjnej jest spełniony wówczas, gdy wskazuje ona konkretny przepis naruszony przez sąd pierwszej instancji, z podaniem numeru artykułu, ustępu, punktu i ewentualnie innej jednostki redakcyjnej przepisu. Warunek przytoczenia podstawy kasacyjnej i jej uzasadnienia nie jest spełniony, gdy skarga kasacyjna zawiera wywody zmuszające sąd drugiej instancji do domyślania się, który przepis prawa autor kasacji miał na uwadze, podnosząc zarzut naruszenia przepisów prawa. Naczelny Sąd Administracyjny nie może rozpoznać merytorycznie zarzutów skargi, które zostały skonstruowane wadliwie (zob. wyrok NSA z 5 sierpnia 2014 r., II FSK 2021/12, CBOSA). Autor skargi kasacyjnej w znacznej części powyższych wymogów nie spełnił. W pierwszej kolejności należało odnieść się do zarzutów naruszenia przepisów postępowania. Nie jest zasadny zarzut naruszenia art. 141 § 3 p.p.s.a., którego skarżąca kasacyjnie upatruje w braku wyjaśnienia w uzasadnieniu wyroku wszystkich zarzutów podniesionych w skardze, w szczególności odnośnie do szkody jakiej doznała wskutek nieuprawnionego udostępnienia jej danych osobowych przez Spółkę. W związku z tak sformułowanym zarzutem należy podkreślić, że zarzut naruszenia art. 141 § 4 p.p.s.a. może być skutecznie postawiony szczególnie w dwóch przypadkach: gdy uzasadnienie wyroku nie zawiera wszystkich elementów, wymienionych w tym przepisie i gdy w ramach przedstawienia stanu sprawy, wojewódzki sąd administracyjny nie wskaże, jaki i dlaczego stan faktyczny przyjął za podstawę orzekania (por. uchwałę NSA z 15 lutego 2010 r., sygn. akt II FPS 8/09, LEX nr 552012, wyrok NSA z 20 sierpnia 2009 r., sygn. akt II FSK 568/08, LEX nr 513044). Naruszenie to musi być przy tym na tyle istotne, aby mogło mieć wpływ na wynik sprawy (art. 174 pkt 2 p.p.s.a.). Za jego pomocą nie można skutecznie zwalczać prawidłowości przyjętego przez sąd stanu faktycznego, czy też stanowiska sądu co do wykładni bądź zastosowania prawa materialnego. Przepis art. 141 § 4 p.p.s.a. jest przepisem proceduralnym, regulującym wymogi uzasadnienia. W ramach rozpatrywania zarzutu naruszenia tego przepisu Naczelny Sąd Administracyjny zobowiązany jest jedynie do kontroli zgodności uzasadnienia zaskarżonego wyroku z wymogami wynikającymi z powyższej normy prawnej. Uzasadnienie zaskarżonego wyroku zawiera przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowiska strony przeciwnej, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Zatem uzasadnienie zaskarżonego wyroku zawiera wszystkie ustawowo wymagane elementy i poddaje się kontroli instancyjnej, tj. pozwala na ustalenie sposobu rozumowania przez Sąd I instancji i jego ocenę. Z wywodów Sądu wynika, dlaczego w jego ocenie nie doszło do naruszenia prawa wskazanego w skardze i co stanowiło podstawę prawną rozstrzygnięcia zawartego w zaskarżonym wyroku. Zgodnie z utrwalonym orzecznictwem Naczelnego Sądu Administracyjnego, brak szczegółowego odniesienia się przez wojewódzki sąd administracyjny do wszystkich zarzutów zawartych w skardze i skoncentrowanie się tylko na istotnych kwestiach, nie jest wadliwe, o ile te kwestie mają znaczenie dla rozstrzygnięcia, a wątki pominięte mają jedynie charakter uboczny i nie rzutują na wynik sprawy (por. wyrok NSA z 24 czerwca 2004 r., FSK 2633/04, LEX 173345; wyrok NSA z 12 czerwca 2014 r., I OSK 2721/13). Poruszana w skardze kwestia szkody jakiej doznała skarżąca wskutek nieuprawnionego udostępnienia jej danych osobowych przez Spółkę, nie miała żadnego znaczenia dla oceny zgodności z prawem zaskarżonej decyzji. W sprawie bezspornie ustalono, że Spółka w sposób nieuprawniony udostępniła mężowi skarżącej jej dane dotyczące zdrowia i wysokości jej zarobków. Z niepodważonych w skardze kasacyjnej ustaleń organu wynika, że wadliwość działania pracowników Spółki miała charakter incydentalny a Spółka nie udostępnia już danych skarżącej osobom trzecim bez jej zgody. Nadto Spółka poczyniła działania uniemożliwiające udostępnienie danych skarżącej niezgodnie z przepisami o ochronie danych osobowych. Przeprosiła skarżącą oraz wyciągnęła stosowne konsekwencje dyscyplinarne wobec pracowników odpowiedzialnych za nieuprawnione przekazanie danych skarżącej. Zatem usunęła uchybienia w procesie przetwarzania danych skarżącej. Należy tu zauważyć, że skarżąca pismem z 11 lipca 2017 r. sprecyzowała swój wniosek, w ten sposób, że żądała przywrócenia stanu zgodnego z prawem przez usunięcie uchybień i nieudostępnianie jej danych osobowych osobom nieuprawnionym przez byłego pracodawcę (Spółkę). W tym kontekście Generalny Inspektor nie mógł skorzystać z przysługujących mu, w sytuacji naruszenia przepisów o ochronie danych osobowych, uprawnień wskazanych w art. 18 ust. 1 u.o.d.o. i w drodze decyzji administracyjnej, nakazać Spółce przywrócenie stanu zgodnego z prawem, w szczególności przez usunięcie uchybień. Bowiem na dzień wydania zaskarżonej decyzji Spółka usunęła uchybienia w zakresie przetwarzania danych skarżącej. Natomiast kwestia przetwarzania danych osobowych skarżącej przez inne podmioty niż jej były pracodawca (Spółka) nie stanowiła przedmiotu kontrolowanego postępowania. Zatem, nieodniesienie się przez Sąd do kwestii szkody jaką poniosła skarżąca i jest na nią nadal narażona, w realiach niniejszej sprawy nie miało wpływu na jej wynik. W kontekście wymienionych wyżej wymogów dotyczących formułowania podstaw kasacyjnych, za bezskuteczne należy uznać pozostałe zarzuty naruszenia przepisów postępowania wskazane w punkcie 2) skargi kasacyjnej. W zarzutach tych nie wskazano jakiegokolwiek przepisu, który został naruszony na skutek zarzucanych przez autora skargi kasacyjnej uchybień. Także w uzasadnieniu skargi kasacyjnej takich przepisów nie przywołano. To uniemożliwia Sądowi kasacyjnemu odniesienie się do tych zarzutów. Konsekwencją niepodniesienia w skardze kasacyjnej skutecznych zarzutów podważających ustalony przez organ i zaaprobowany przez Sąd pierwszej instancji stan faktyczny, jest konieczność oparcia się przez Sąd kasacyjny na tych ustaleniach podczas oceny zarzutów naruszenia prawa materialnego. Należy również zauważyć, że autor skargi kasacyjnej stawiając zarzuty naruszenia prawa materialnego nie wskazał postaci tego naruszenia a w uzasadnieniu skargi kasacyjnej nie przyporządkował poszczególnych argumentów do określonych zarzutów, co niewątpliwie ograniczyło ich skuteczność i możliwość szerszego odniesienia się do nich. Nietrafny okazał się zarzut naruszenia art. 27 ust. 1 u.o.d.o. Stosownie do tego przepisu "[z]abrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. W sprawie nie budziło sporu, że doszło do nieuprawnionego (z naruszeniem art. 27 ust. 1 u.o.d.o.) przekazania danych osobowych skarżącej przez pracowników Spółki osobie trzeciej - mężowi skarżącej. Jednak zgodnie z art. 18 ust. 1 u.o.d.o. Generalny Inspektor Ochrony Danych Osobowych może nakazać przywrócenie stanu zgodnego z prawem, w szczególności nakazać usunięcie uchybień tylko w sytuacji gdy na dzień wydania decyzji uchybienia nie zostały usunięte. Tymczasem z niepodważonych ustaleń organu wynika, że uchybienia w procesie przetwarzania danych skarżącej Spółka usunęła. Zatem jakiekolwiek nakładanie obowiązków na Spółkę jest zbędne. Natomiast postulowane przez skarżącą objęcie tymi nakazami innych podmiotów wykracza poza określony przez skarżącą pismem z 11 lipca 2017 r. przedmiot sprawy. W rezultacie niemożliwe było również nałożenie na Spółkę obowiązków wskazanych w art. 18 ust. 1 pkt 3, 4 i 5 u.o.d.o., tj. zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, wstrzymanie przekazywania danych osobowych do państwa trzeciego, zabezpieczenie danych lub przekazanie ich innym podmiotom. Na marginesie należy zauważyć, że autor skargi kasacyjnej nie podaje dlaczego wskazane w art. 18 ust. 1 pkt 3, 4 i 5 u.o.d.o. obowiązki miałyby być nałożone na Spółkę. Z ustaleń organu wynika, że Spółka na dzień wydania zaskarżonej decyzji stosowała odpowiednie środki zabezpieczające dane osobowe skarżącej i przetwarza je tylko w związku z obowiązkiem wynikającym z przepisów prawa, a mianowicie w myśl art. 94 pkt 9b ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 2016 r. poz. 1666 ze zm.), pracodawca jest obowiązany prowadzić dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników, a według art. 125a ust. 4 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (Dz. U. z 2017 r. poz. 1383 ze zm.), płatnik składek jest zobowiązany przechowywać listy płac, karty wynagrodzeń albo inne dowody, na podstawie których następuje ustalenie podstawy wymiaru emerytury lub renty, przez okres 50 lat od dnia zakończenia przez ubezpieczonego pracy u danego płatnika. Z kolei zgodnie z art. 51u ustawy o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2016 r. poz. 1506 ze zm.), dokumentację osobową pracowników należy przechowywać przez okres 50 lat, licząc od dnia zakończenia pracy u danego pracodawcy i powyższy okres w stosunku do skarżącej, nie upłynął jeszcze i wobec powyższego Spółka w zakresie przetwarzania danych osobowych skarżącej spełnia przesłankę legalności przetwarzania danych osobowych, o której mowa w art. 23 ust. 1 pkt 2 ustawy. Zatem zarzut naruszenia art. 18 ust. 1 pkt 3, 4 i 5 u.o.d.o. jest również chybiony. Niezasadny jest też zarzut naruszenia art. 38 u.o.d.o., którego skarżąca upatruje w braku rozważenia w uzasadnieniu wyroku obowiązku zapewnienia prawidłowej kontroli przez administratora danych nad tym jakie dane osobowe skarżącej, kiedy i przez kogo i komu zostały przekazane. Przepis art. 38 u.o.d.o. stanowi, że administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane. W sprawie natomiast bezspornie ustalono, kiedy i jakie dane osobowe skarżącej zostały przekazana z naruszeniem przepisów ustawy o ochronie danych osobowych mężowi skarżącej. Natomiast kwestia dalszego przekazywania danych przez męża skarżącej innym podmiotom wykracza poza przedmiot niniejszego postępowania. Nie sposób zgodzić się też z zarzutami naruszenia art. 18 w zw. z art. 51 u.o.d.o. oraz naruszenia art. 49 ust. 1 i 2 i art. 51 ust. 1 i 2 u.o.d.o. Autor skargi kasacyjnej upatruje go w tym, że Sąd uznał za prawidłowe niezawiadomienie przez GIODO z urzędu organów ścigania o popełnieniu przestępstwa przez Spółkę, polegającego na przekazaniu danych skarżącej osobie trzeciej bez jej zgody. Odnosząc się do tych zarzutów przede wszystkim należy stwierdzić, że treść tych zarzutów nie nawiązuje do treści art. 18 u.o.d.o., który jak już wyżej wskazano reguluje kwestię uprawnień GIODO w sytuacji naruszenia przepisów o ochronie danych osobowych do nakazania przywrócenia stanu zgodnego z prawem. Natomiast przepisy art. 49 ust. 1 i 2 i art. 51 ust. 1 i 2 u.o.d.o. są przepisami karnymi określającymi znamiona przestępstw, niedopuszczalnego przetwarzania danych osobowych (art. 49 u.o.d.o) i udostępniania danych osobowych osobom nieupoważnionym (art. 51 u.o.d.o.) oraz określa sankcje za te przestępstwa. Nie budzi wątpliwości, że organ i Sąd pierwszej instancji nie byli uprawnieni do oceny działania Spółki lub jej pracowników pod kątem wypełnienia znamion przestępstw z art. 49 ust. 1 i art. 51 ust. 1 u.o.d.o. Z przepisów art. 18 u.o.d.o. oraz art. 49 ust. 1 i 2 i art. 51 ust. 1 i 2 u.o.d.o. nie wynika też obowiązek GIODO informowania w związku z rozpoznawanymi sprawami organów ścigania o możliwości popełnieniu przestępstw określonych w art. 49 ust. 1 i art. 51 ust. 1 u.o.d.o. Natomiast wyjaśnić należy, że w świetle art. 19 u.o.d.o. w razie stwierdzenia, że działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem danych wyczerpuje znamiona przestępstwa określonego w ustawie, Generalny Inspektor kieruje do organu powołanego do ścigania przestępstw zawiadomienie o popełnieniu przestępstwa, dołączając dowody dokumentujące podejrzenie. Jednak w skardze kasacyjnej nie zarzucono naruszenia przytoczonego przepisu. Niezależnie od tego, można powtórzyć zasługujące na aprobatę stanowisko Sądu pierwszej instancji, wedle którego w kontekście art. 19 w zw. z art. 51 u.o.d.o. kierowanie zawiadomień o popełnieniu przestępstwa do organów ścigania należy do autonomicznych, samodzielnych kompetencji Generalnego Inspektora Ochrony Danych Osobowych, realizowanych przez niego z urzędu, a nie na wniosek osób zainteresowanych. Wskazuje na to sam przepis art. 19 ustawy, w którym mówi się "w razie stwierdzenia" i nie ma zapisów, które stanowiłyby o wystosowaniu takich zawiadomień na wniosek strony postępowania. Odnosząc się do dyspozycji powyższego przepisu Naczelny Sąd Administracyjny w wyroku z 19 listopada 2001 r. sygn. akt II SA 2702/00 (LEX nr 78796) stwierdził, że obowiązek wynikający z tego przepisu nie mieści się w sferze decyzyjnych, merytorycznych rozstrzygnięć Generalnego Inspektora Ochrony Danych Osobowych, dotyczących nakazania przywrócenia stanu zgodnego z prawem. Osoba dochodząca ochrony swych praw w trybie ustawy o ochronie danych osobowych, nie jest przy tym podmiotem postępowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych i nie może się tego domagać od Generalnego Inspektora Ochrony Danych Osobowych w administracyjnych formach tego postępowania. Przepis art. 19 ustawy nie daje bowiem stronie roszczenia w tym względzie. Wykonanie obowiązku, o którym mowa w tym przepisie, obciąża wyłącznie Generalnego Inspektora Ochrony Danych Osobowych. Przedmiotowe zawiadomienie nie nosi jednak cech dyspozycji administracyjnej, o jakiej mowa w art. 104 i następne k.p.a. W skardze kasacyjnej nie przedstawiono jakiejkolwiek rzeczowej argumentacji przemawiającej za niezasadnością stanowiska Sądu pierwszej instancji w tym zakresie. Zatem, zdaniem NSA, w ramach kontrolowanego postępowania skarżąca nie może skutecznie żądać od GIODO, aby zawiadomił organy ścigania o możliwości popełnienia przestępstwa przez organy Spółki lub jej pracowników. Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie ma usprawiedliwionych podstaw, dlatego na mocy art. 184 p.p.s.a. ją oddalił.