III OZ 513/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Wojciech Jakimowicz po rozpoznaniu w dniu 20 października 2023 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej zażalenia E. sp. z o.o. z siedzibą w W. na postanowienie Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 11 lipca 2023 r., sygn. akt 1001/23 o odmowie wstrzymania wykonania zaskarżonej decyzji w sprawie ze skargi E. sp. z o.o. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 15 marca 2023 r., znak DKN.523.3.2022.204572, 204573, 204574, 204576 w przedmiocie przetwarzania danych osobowych postanawia: uchylić zaskarżone postanowienie.

Wojewódzki Sąd Administracyjny w Warszawie postanowieniem z dnia 11 lipca 2023 r., sygn. akt II SA/Wa 1001/23, na mocy art. 61 § 3 i § 5 Prawa o postępowaniu przed sądami administracyjnymi, odmówił wstrzymania wykonania zaskarżonej w niniejszej sprawie decyzji Prezesa Urzędu Ochrony Danych Osobowych (zwanego dalej także: organem) z dnia 15 marca 2023 r., znak DKN.523.3.2022.204572, 204573, 204574, 20456, który na podstawie art. 104 § 1 k.p.a. oraz art. 7 ust. 1 i 2, art. 60, art. 101 i art. 103 ustawy o ochronie danych osobowych oraz art. 57 ust. 1 lit. f, art. 58 ust. 2 lit. d w związku z art. 5 ust. 1 lit. a i b i art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy (ogólne rozporządzenie o ochronie danych), nakazał E. sp. z o.o. z siedzibą w W. (zwanej dalej: skarżącą spółką), jako podmiotowi przetwarzającemu w rozumieniu art. 4 pkt 8 rozporządzenia 2016/679 oraz Funduszowi Inwestycyjnemu Zamkniętemu Niestandaryzowanemu Funduszowi Sekurytyzacyjnemu, jako administratorowi w rozumieniu art. 4 pkt 7 rozporządzenia 2016/679, reprezentowanemu przez Towarzystwo Funduszy Inwestycyjnych z siedzibą w W., dostosowanie operacji przetwarzania do przepisów RODO, poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P., w celu dochodzenia od niego roszczeń majątkowych, związanych z zawartą przez niego w dniu 10 marca 2011 r. umową o kartę kredytową z H. S.A. (obecnie HC) z siedzibą w W., stanowiących przedmiot umowy cesji wierzytelności zawartej w dniu 2 października 2013 r. pomiędzy H. S.A. a Funduszem Inwestycyjnym Zamkniętym Niestandaryzowanym Funduszem Sekurytyzacyjnym, z uwagi na brak prawnie uzasadnionego interesu wskazanego w art. 6 ust. 1 lit. f rozporządzenia 2016/679, od dnia doręczenia niniejszej decyzji. W uzasadnieniu postanowienia Sąd I instancji stwierdził, że złożony w niniejszej sprawie wniosek skarżącej spółki o wstrzymanie wykonania zaskarżonej decyzji nie został w istocie uzasadniony, gdyż przytoczona jako uzasadnienie wniosku argumentacja jakoby wykonanie decyzji miało spowodować "niebezpieczeństwo spowodowania trudnych do odwrócenia skutków" oraz "niebezpieczeństwo wyrządzenia znacznej szkody po stronie skarżącej" nie została należycie wykazana. WSA w Warszawie podkreślił, że organ na mocy zaskarżonej w niniejszej sprawie decyzji nakazał skarżącej spółce - jako podmiotowi przetwarzającemu w rozumieniu art. 4 pkt 8 rozporządzenia 2016/679 - dostosowanie operacji przetwarzania danych osobowych W. P. do przepisów rozporządzenia 2016/679 poprzez zaprzestanie ich przetwarzania bez podstawy prawnej. W związku z tym w ocenie Sądu I instancji błędne jest stanowisko skarżącej spółki jakoby zaprzestanie przetwarzania danych osobowych było równoznaczne z usunięciem tych danych. W konsekwencji WSA w Warszawie stwierdził, że cała przedstawiona przez skarżącą spółkę argumentacja mająca przemawiać za zasadnością wstrzymania wykonania zaskarżonego w niniejszej sprawie aktu, jako dotycząca usunięcia danych osobowych, a nie zaprzestania ich przetwarzania, nie odnosiła się w istocie do rzeczywistego nakazu wynikającego z wydanej w niniejszej sprawie decyzji i w związku z tym nie mogła zostać uwzględniona. W piśmie z dnia 16 sierpnia 2023 r. skarżąca spółka złożyła zażalenie na postanowienie WSA w Warszawie z dnia 11 lipca 2023 r., sygn. akt II SA/Wa 1001/23 wnosząc o uchylenie zaskarżonego postanowienia w całości, zasądzenie na rzecz strony skarżącej zwrotu kosztów postępowania zażaleniowego, w tym kosztów zastępstwa procesowego, według norm przepisanych i jednocześnie zarzuciła naruszenie: 1) art. 61 § 3 Prawa o postępowaniu przed sądami administracyjnymi poprzez błędne uznanie, że wykonanie zawartego w decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 15 marca 2023 r. nakazu zaprzestania przetwarzania danych osobowych nie spowoduje wystąpienia niebezpieczeństwa trudnych do odwrócenia skutków dla skarżącej spółki, podczas gdy nie ma faktycznych możliwości wykonania nakazu zaprzestania przetwarzania danych inaczej niż poprzez ich usunięcie, które jest nieodwracalne, co skutkowało błędną odmową Sądu I instancji wstrzymania wykonania zaskarżonej decyzji; 2) art. 141 § 4 w zw. z art. 166 Prawa o postępowaniu przed sądami administracyjnymi, poprzez niedokonanie przez Sąd I instancji w uzasadnieniu zaskarżonego postanowienia analizy przesłanki "niebezpieczeństwa trudnych do odwrócenia skutków" i faktycznych możliwości wykonania nakazu zaprzestania przetwarzania danych i ograniczenie się przez Sąd I instancji do błędnego uznania, że nakaz zaprzestania przetwarzania danych nie jest tożsamy z nakazem usunięcia danych, co skutkowało błędną odmową wstrzymania wykonania zaskarżonej decyzji. W uzasadnieniu postanowienia skarżąca spółka wskazała, że jej zdaniem stanowisko wyrażone przez WSA w Warszawie jest nieprawidłowe przede wszystkim dlatego, że zgodnie z definicją wyrażoną w art. 4 pkt 2 RODO "przetwarzanie" obejmuje nie tylko zbieranie, modyfikowanie, wykorzystywanie, czy ujawnianie danych, ale również ich przechowywanie, a zatem jedynym sposobem, aby dane nie były przez spółkę przechowywane jest ich usunięcie, co prowadzi z kolei do wniosku, że nakaz zaprzestania przetwarzania danych nie może zostać wykonany inaczej niż poprzez ich usunięcie. Skarżąca spółka podniosła, że o tożsamości obu nakazów (zaprzestania przetwarzania i usunięcia danych) świadczy również nakładanie przez Prezesa Urzędu Ochrony Danych Osobowych lub wcześniej Generalnego Inspektora Ochrony Danych Osobowych wielu nakazów zaprzestania przetwarzania danych poprzez ich usunięcie, zaś nieodwracalność usunięcia danych osobowych nie budzi wątpliwości doktryny i orzecznictwa. Na potwierdzenie powyższego skarżąca spółka przywołała postanowienie Naczelnego Sądu Administracyjnego z dnia 21 marca 2017 r., sygn. akt I OZ 616/17 czy też postanowienia Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 10 sierpnia 2017 r., sygn. akt II SA/Wa 1035/17 oraz z dnia 11 kwietnia 2017 r., sygn. akt II SA/Wa 503/17. Skarżąca spółka podkreśliła jednocześnie, że w niniejszej sprawie wykonanie zaskarżonej decyzji jest w rzeczywistości równoznaczne z "wydaniem wyroku", dlatego że po wykonaniu zaskarżonej decyzji, ewentualne uwzględnienie przez Sąd I instancji skargi nie będzie miało dla spółki żadnego znaczenia gospodarczego, ponieważ i tak będzie ona zobowiązana na nowo do zebrania danych osobowych W. P. W konsekwencji w ocenie skarżącej spółki zaskarżone postanowienie zastąpi w ten sposób wyrok, którego wydanie okaże się zbędne w sytuacji, gdy nie będzie już danych, które są przedmiotem postępowania. Skarżąca spółka dodała także, że w jej ocenie Sąd I instancji błędnie sporządził uzasadnienie zaskarżonego postanowienia, zgodnie bowiem z art. 141 § 4 w związku z art. 166 Prawa o postępowaniu przed sądami administracyjnymi uzasadnienie postanowienia powinno zawierać, m.in. wyjaśnienie podstawy prawnej rozstrzygnięcia. Tymczasem WSA w Warszawie ograniczył się jedynie do zacytowania przesłanek zastosowania art. 61 § 3 Prawa o postępowaniu przed sądami administracyjnymi, tj. niebezpieczeństwa wyrządzenia znacznej szkody lub spowodowania trudnych do odwrócenia skutków, nie wskazując jak rozumie te przesłanki i dlaczego nie znajdują one zastosowania w niniejszej sprawie. Skarżąca spółka podkreśliła, że rozstrzygnięcie jej wniosku o wstrzymanie wykonania zaskarżonej decyzji zostało oparte jedynie na stwierdzeniu, że w ocenie Sądu I instancji zaprzestanie przetwarzania danych nie jest równoznaczne z ich usunięciem. Naczelny Sąd Administracyjny zważył, co następuje: Zażalenie należało uwzględnić. Instytucja wstrzymania wykonania zaskarżonego aktu powołana została do tymczasowej ochrony przed negatywnymi i nieodwracalnymi skutkami, jakie mógłby dla strony wywołać taki akt, zanim zostanie on zbadany przez sąd administracyjny pod kątem legalności. Przesłanki określone w art. 61 § 3 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 r., poz. 1634 ze zm.), zwanej dalej p.p.s.a. odnoszą się do zdarzeń przyszłych, które mogą stanowić efekt wykonania zaskarżonego aktu. Jedną z wymienionych przez ustawodawcę przesłanek jest spowodowanie wykonaniem zaskarżonego aktu trudnych do odwrócenia skutków. Mogą one mieć zarówno charakter prawny, jak i faktyczny. Nie jest przy tym wymagane, by w jakimkolwiek zakresie skutki te rzeczywiście wystąpiły lub przynajmniej się ujawniły. Trudne do odwrócenia skutki, to z kolei takie prawne lub faktyczne skutki, które raz zaistniałe powodują istotną lub trwałą zmianę rzeczywistości, przy czym powrót do stanu poprzedniego może nastąpić tylko po dłuższym czasie lub przy stosunkowo dużym nakładzie sił i środków (por. postanowienia NSA: z dnia 30 kwietnia 2010 r., sygn. akt II FZ 110/10 oraz z dnia 26 września 2013 r., sygn. akt II FZ 718/13). Naczelny Sąd Administracyjny zauważa, że w art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy (ogólne rozporządzenie o ochronie danych), zwanego dalej: RODO, osobno wskazano uprawnienia naprawcze organu nadzorczego polegające na nakazaniu dostosowania operacji przetwarzania do wymogów określonych przepisami rozporządzenia (art. 58 ust. 2 lit. d RODO) oraz na nakazaniu sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz zawiadomienia o tym odbiorców (art. 58 ust. 2 lit. g RODO). Jednak nie świadczy to jednocześnie o tym, że w sytuacji gdy nakaz dostosowania operacji przetwarzania danych osobowych zostaje doprecyzowany przez organ nadzorczy jako nakaz zaprzestania przetwarzania danych i to nie wyłącznie w zakresie konkretnych działań administracyjnych umożliwiających pozostawienie pewnych danych, a obejmujący wszystkie zgromadzone dane konkretnej osoby, nie może być równoznaczny z usunięciem tych danych. Za błędne należy uznać zatem stanowisko Sądu I instancji, zgodnie z którym w związku z tym, że zaprzestanie przetwarzania danych osobowych nie może być równoznaczne z usunięciem tych danych, to cała przedstawiona przez skarżącą spółkę argumentacja, mająca uzasadniać wstrzymanie wykonania zaskarżonej decyzji, jako nawiązująca do usunięcia danych osobowych i nieodnosząca się do rzeczywistego nakazu wynikającego z wydanej w niniejszej sprawie decyzji, prowadzi do konstatacji, że złożony w niniejszej sprawie wniosek nie został w istocie uzasadniony. Należy przypomnieć, że decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia 15 marca 2023 r. nakłada na skarżącą spółkę jako podmiot przetwarzający obowiązek dostosowania operacji przetwarzania do przepisów RODO poprzez zaprzestanie przetwarzania bez podstawy prawnej danych osobowych W. P. w celu dochodzenia od niego roszczeń majątkowych, związanych z zawartą przez niego w dniu 10 marca 2011 r. umową o kartę kredytową z H. S.A. (obecnie HC) z siedzibą w W., stanowiących przedmiot umowy cesji wierzytelności zawartej w dniu 2 października 2013 r. pomiędzy H. S.A. a Funduszem Inwestycyjnym Zamkniętym Niestandaryzowanym Funduszem Sekurytyzacyjnym, z uwagi na brak prawnie uzasadnionego interesu wskazanego w art. 6 ust. 1 lit. f RODO, od dnia doręczenia niniejszej decyzji. W realiach niniejszej sprawy może być to równoznaczne z usunięciem danych osobowych W. P. w wymienionym wyżej zakresie, a zatem wykonanie zaskarżonej decyzji może nieść za sobą trudne, o ile nie niemożliwe do odwrócenia skutki. W świetle powyższych uwag Wojewódzki Sąd Administracyjny w Warszawie winien zatem poddać rozwadze wniosek skarżącej spółki, z uwzględnieniem powołanych w jego uzasadnieniu okoliczności, uwzględniając jednocześnie, że Sąd zobowiązany jest do analizy całokształtu akt sprawy, oraz zbadać, czy w istocie z wykonaniem zaskarżonej decyzji, łączy się potencjalne niebezpieczeństwo wystąpienia skutków, o których mowa w art. 61 § 3 p.p.s.a. Z powyższych przyczyn Naczelny Sąd Administracyjny na podstawie art. 185 § 1 w związku z art. 197 § 2 p.p.s.a. uchylił zaskarżone postanowienie. Odnosząc się do wniosku o zasądzenie zwrotu kosztów postępowania zażaleniowego, Naczelny Sąd Administracyjny wskazuje, że nie może on zostać uwzględniony, gdyż zgodnie z art. 209 p.p.s.a. wniosek strony o zwrot kosztów sąd rozstrzyga w każdym orzeczeniu uwzględniającym skargę oraz w orzeczeniu, o którym mowa w art. 201, art. 203 i art. 204 p.p.s.a., a niniejsze postanowienie Naczelnego Sądu Administracyjnego nie jest żadnym z orzeczeń wskazanych w art. 209 p.p.s.a.