Uzasadnienie
Postanowieniem z dnia 16 listopada 2018 r., sygn. akt II SAB/Wa 380/18 Wojewódzki Sąd Administracyjny w Warszawie odrzucił skargę J. O. na bezczynność Dyrektora Centrum Kształcenia Zawodowego i Ustawicznego w Żurominie w przedmiocie rozpatrzenia wniosku z dnia 6 maja 2013 r. dotyczącego przetwarzania danych osobowych.
W uzasadnieniu Sąd wskazał, że w sprawie zastosowanie znajdują przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 926, poz. 101 ze zm.). Sąd podkreślił, że ustawa ta zawiera przepisy regulujące m.in. przetwarzanie, gromadzenie, wykorzystywanie i ochronę danych osobowych. Zgodnie z art. 8 ust. 1 ustawy, organem do spraw ochrony danych osobowych jest Generalny Inspektor Ochrony Danych Osobowych. Do zadań Generalnego Inspektora należy m.in.: wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych (art. 12 pkt 2 ww. ustawy). Z ww. przepisów wynika, że sąd administracyjny nie jest organem powołanym do ochrony danych osobowych. Nie jest zatem właściwy do rozstrzygania kwestii, czy dany podmiot narusza swym działaniem przepisy ustawy o ochronie danych osobowych. W przypadku gdy strona twierdzi, że dany podmiot w sposób nieprawidłowy przetwarza jej dane osobowe, ma możliwość złożenia skargi do Generalnego Inspektora Ochrony Danych Osobowych (obecnie Prezesa Urzędu Ochrony Danych Osobowych). Organ do spraw ochrony danych osobowych w toku postępowania administracyjnego obowiązany jest do rozpatrzenia wniosku, zgodnie z regułami ustawy – Kodeks postępowania administracyjnego. To organ administracji - Prezes Urzędu Ochrony Danych Osobowych po wnikliwym zbadaniu sprawy może wydać ostateczne rozstrzygnięcie. Decyzja lub postanowienie tego organu wydane w przedmiocie przetwarzania danych osobowych, może być następnie przedmiotem skargi złożonej do sądu administracyjnego.
Wobec powyższego Sąd uznał, że skarga J. O. podlega odrzuceniu. Sąd administracyjny, na obecnym etapie postępowania nie jest bowiem władny do rozstrzygania kwestii czy swoim działaniem czy też zaniechaniem Dyrektor Centrum Kształcenia Zawodowego naruszył obowiązujące przepisy o ochronie danych osobowych.
W ocenie Sądu skarga powinna być złożona do Prezesa Urzędu Ochrony Danych Osobowych. Organ ten rozpatrując skargę winien wydać w tym przedmiocie rozstrzygnięcie ostateczne, które następnie może być przedmiotem skargi do sądu administracyjnego.
Skargę kasacyjną na powyższe postanowienie wniósł J. O., zarzucając naruszenie art. 58 § 1 pkt 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r., poz. 1302 ze zm.), dalej powoływanej jako "P.p.s.a." poprzez odrzucenie skargi i uznanie, że sprawa nie należy do właściwości sądu administracyjnego, albowiem podmiotem właściwym do rozpoznania spraw związanych z ochroną danych osobowych jest Generalny Inspektor Ochrony Danych Osobowych, podczas gdy niniejsza spraw dotyczy bezczynności organu w zakresie rozpoznania wniosku skarżącego z dnia 6 maja 2013 r., zaś kwestie ustalenia, czy dany organ pozostaje w bezczynności, należą do kompetencji sądów administracyjnych.
Wobec powyższego skarżący kasacyjnie wniósł o uchylenie zaskarżonego postanowienia w całości oraz o zasądzenie kosztów pomocy prawnej udzielonej skarżącemu z urzędu.
Naczelny Sąd Administracyjny zważył, co następuje
Skarga kasacyjna nie zasługuje na uwzględnienie.
W pierwszej kolejności należy zwrócić uwagę, że kontrola działalności administracji publicznej podejmowana przez sądy administracyjne obejmuje orzekanie w sprawach skarg m.in. na decyzje administracyjne (art. 3 § 2 pkt 1 P.p.s.a.); postanowienia wydane w postępowaniu administracyjnym, na które służy zażalenie albo kończące postępowanie, a także na postanowienia rozstrzygające sprawę co do istoty (art. 3 § 2 pkt 2 P.p.s.a.) oraz inne niż określone w punktach 1 i 2 akty lub czynności z zakresu administracji publicznej dotyczące uprawnień lub obowiązków wynikających z przepisów prawa (art. 3 § 2 pkt 4 P.p.s.a.). Kontrola działalności administracji publicznej obejmuje także orzekanie w sprawach skarg na bezczynność lub przewlekłe postępowanie w powołanych wyżej przypadkach (art. 3 § 2 pkt 8 P.p.s.a.) oraz na bezczynność lub przewlekłe prowadzenie postępowania w sprawach dotyczących innych niż określone w pkt 1-3 aktów lub czynności z zakresu administracji publicznej dotyczących uprawnień lub obowiązków wynikających z przepisów prawa podjętych w ramach postępowania administracyjnego określonego w ustawie z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego oraz postępowań określonych w działach IV, V i VI ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa oraz postępowań, do których mają zastosowanie przepisy powołanych ustaw (art. 3 § 2 pkt 9 P.p.s.a.).
Powyżej przytoczone przepisy wyznaczają zakres właściwości rzeczowej sądu administracyjnego oraz zakres rzeczowy postępowania sądowoadministracyjnego. Oznacza to, że sąd administracyjny w trakcie wykonywania kontroli administracji publicznej zobligowany jest ustalić, czy zaskarżony akt podjęty przez organ administracji (lub bezczynność w tym zakresie) mieści się w zakresie właściwości sądu administracyjnego.
Oceniając zakres podmiotowy i przedmiotowy wniesionej skargi, Naczelny Sąd Administracyjny podziela stanowisko Sądu I instancji, że skarga J. O. na bezczynność Dyrektora Centrum Kształcenia Zawodowego i Ustawicznego w Żurominie w przedmiocie rozpatrzenia wniosku z dnia 6 maja 2013 r. dotyczącego przetwarzania danych osobowych podlegała odrzuceniu na podstawie art. 58 § 1 pkt 1 P.p.s.a.
Zgodnie z art. 32 ust. 1 obowiązującej w dacie wystąpienia przez skarżącego z wnioskiem o udostępnienie informacji na temat przetwarzania jego danych osobowych, ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych. W ramach tych uprawnień osoba, której dane są przetwarzane, mogła m.in. żądać zaprzestania przetwarzania danych. Z art. 32 ust. 2-3a tej ustawy wynikało jednak, że w takich sytuacjach decyzję w sprawie dopuszczalności dalszego przetwarzania danych osobowych wydawał Generalny Inspektor Ochrony Danych Osobowych. Natomiast na podstawie art. 33 ust. 1 ww. ustawy, na wniosek osoby, której dane dotyczą, administrator danych obowiązany był, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić na piśmie informacji, o których mowa w art. 32 ust. 1 pkt 1-5a, odnośnie jej danych osobowych. Administrator mógł również odmówić udzielenia informacji osobie, której żądane dane dotyczyły, w warunkach wskazanych w art. 34 tej ustawy.
Zauważyć trzeba, że odmownym "rozstrzygnięciom" podejmowanym przez administratora danych osobowych na podstawie art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych ustawodawca nie nadał charakteru decyzji administracyjnej, ani innej procesowej formy, które zgodność z prawem można byłoby zakwestionować w trybie instancyjnym (zgodnie z przepisami Kodeksu postępowania administracyjnego) lub którą można zakwalifikować do kategorii aktów lub czynności wymienionych w art. 3 § 2 P.p.s.a., jak też możliwości złożenia skargi w przypadku braku reakcji administratora danych na wniosek, o jakim mowa w art. 32 ustawy o ochronie danych osobowych.
Ponadto, stosownie do art. 12 pkt 1 i 2 poprzednio obowiązującej ustawy o ochronie danych osobowych Generalny Inspektor Ochrony Danych Osobowych był, na co właściwie zwrócił uwagę Sąd I instancji, organem do spraw ochrony danych osobowych, który wydawał decyzje administracyjne i rozpatrywał skargi w sprawach wykonania przepisów o ochronie danych osobowych. Odmowa udostępnienia danych osobowych przez administratora danych podlegała zatem kontroli Generalnego Inspektora Ochrony Danych Osobowych, który w przypadku naruszenia przepisów o ochronie danych osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazywał przywrócenie stanu zgodnego z prawem, a w szczególności: usunięcie uchybień oraz uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych (art. 18 ust. 1 pkt 2 ustawy). Dopiero decyzje Generalnego Inspektora Ochrony Danych Osobowych w tym zakresie podlegały zaskarżeniu do sądu administracyjnego.
W rozpoznawanej sprawie nie ulega wątpliwości, że skarżący przedmiotem skargi nie uczynił bezczynności Generalnego Inspektora Ochrony Danych Osobowych (Prezesa Urzędu Ochrony Danych Osobowych), a bezczynność Dyrektora Centrum Kształcenia Zawodowego i Ustawicznego w Żurominie, tj. podmiotu przetwarzającego dane osobowe, co wynika zarówno z treści skargi jak i pisma stanowiącego odpowiedź na wezwanie do sprecyzowania skargi. W piśmie z dnia 5 listopada 2018 r. pełnomocnik skarżącego kasacyjnie wyjaśnił, że J. O. zarzucił bezczynność organu w przedmiocie rozpoznania jego wniosku z dnia z dnia 6 maja 2013 r., w którym domagał się informacji na temat przetwarzania jego danych osobowych. Skarżący sprecyzował również, że wniosek obejmował m.in. informacje dotyczące tego, czy dane osobowe wykorzystywane były za zgodą i wiedzą skarżącego, w jakim czasie, a także domagał się podania informacji o celu, zakresie i sposobie przetwarzania danych osobowych dotyczących skarżącego.
Wobec powyższego stwierdzić należy, że skarga do sądu administracyjnego na bezczynność Dyrektora Centrum Kształcenia Zawodowego i Ustawicznego w Żurominie w przedmiocie udzielenia informacji dotyczącej sposobu przetwarzania danych osobowych wnioskodawcy jest niedopuszczalna, bowiem ten podmiot nie prowadzi postępowania administracyjnego i nie ma możliwości wydawania decyzji, postanowień czy innych aktów podlegających zaskarżeniu do sądu administracyjnego. Wobec powyższego nie można zarzucić mu bezczynności w tym zakresie.
Na marginesie wskazać należy, że ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm.) również nie przewiduje odmiennego w stosunku do ustawy z dnia 29 sierpnia 1997 r. postępowania w sprawie naruszenia przepisów o ochronie danych osobowych. W świetle ww. ustawy organem właściwym w sprawie ochrony danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych (art. 34 ust. 1 ustawy), który m.in. prowadzi postępowania w sprawie naruszenia przepisów o ochronie danych osobowych (art.
- oraz przeprowadza kontrolę przestrzegania przepisów o ochronie danych osobowych (art. 78 ust. 1). Ponadto z art. 70 ust. 1 wynika, że jeżeli w toku postępowania zostanie uprawdopodobnione, że przetwarzanie danych osobowych narusza przepisy o ochronie danych osobowych, a dalsze ich przetwarzanie może spowodować poważne i trudne do usunięcia skutki, Prezes Urzędu, w celu zapobieżenia tym skutkom, może, w drodze postanowienia, zobowiązać podmiot, któremu jest zarzucane naruszenie przepisów o ochronie danych osobowych, do ograniczenia przetwarzania danych osobowych, wskazując dopuszczalny zakres tego przetwarzania. Jednoznaczna jest również treść art. 70 ust. 3 ustawy, z którego wynika, że dopiero na postanowienie, o którym mowa w ust. 1 (wydane przez Prezesa Urzędu), służy skarga do sądu administracyjnego.
Z tych względów Naczelny Sąd Administracyjny, na podstawie art. 184 P.p.s.a., orzekł jak w sentencji postanowienia.
Odnosząc się do wniosku o zasądzenie kosztów nieopłaconej pomocy prawnej udzielonej skarżącemu wyjaśnić należy, że wynagrodzenie dla pełnomocnika ustanowionego z urzędu na zasadzie prawa pomocy, należne od Skarbu Państwa (art. 250 § 1 P.p.s.a.), jest przyznawane przez wojewódzki sąd administracyjny w postępowaniu unormowanym w przepisach art. 254 § 1 i art. 258 - 261 P.p.s.a.