Wyrok Naczelnego Sądu Administracyjnegoz 7 czerwca 2023 r., sygn. akt III OSK 2358/21

Uzasadnienie

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 5 listopada 2019 r. sygn. akt II SA/Wa 634/19 wydanym w sprawie ze skargi O. S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 18 stycznia 2019 r. nr ZSPR.440.5.2019.BN.II w przedmiocie przetwarzania danych osobowych, na podstawie art. 145 § 1 lit. 1 lit. c) i art. 200 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r., poz. 1302 ze zm.) zwanej dalej "p.p.s.a." uchylił zaskarżoną decyzję (pkt 1) oraz zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego kwotę 697 zł, tytułem zwrotu kosztów postępowania (pkt 2).

W uzasadnieniu wyroku Sąd pierwszej instancji wskazał, że istota sprawy sprowadza się do wykładni art. 160 ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) zwanej dalej "u.o.d.o.", zgodnie z którym to przepisem postępowanie w sprawach wszczętych a niezakończonych przed dniem wejścia w życie niniejszej ustawy, prowadzi się na podstawie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych. Zdaniem Sądu powyższy przepis należy rozumieć w ten sposób, że w oparciu o ustawę z 1997 r. należy dokonywać wszelkich czynności, zarówno formalne, jak i merytoryczne, w tym wydanie decyzji administracyjnej. Nieprawidłowe było działanie organu, który oparł decyzję m.in. na art. 15 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych, zwanym dalej "RODO". Skoro bowiem przepisy intertemporalne nie dopuszczają możliwości stosowania przepisów nowych do postępowań zainicjowanych przed 25 maja 2018 r., to organ nie mógł procedować w oparciu o przepisy ustawy z 2018 r. Niezależnie od tego uchybienia Sąd podniósł, że uwadze organu uszło to, że art. 33 ustawy z 29 sierpnia 1997 r. różni się od art. 15 RODO, której to kwestii w zaskarżonej decyzji organ nie wyjaśnił. Mając to na uwadze, Sąd pierwszej instancji uznał, że zaskarżona decyzja narusza art. 160 ust. 2 u.o.d.o., co uzasadniało jej uchylenie.

Skargę kasacyjną złożył Prezes Urzędu Ochrony Danych Osobowych, zaskarżając powyższy wyrok w całości. Zarzucił naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt 1 lit. c) p.p.s.a., w związku z art. 160 ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) zwanej dalej "u.o.d.o.", przez jego błędną wykładnię polegającą na przyjęciu przez Sąd, iż w określonych w tym przepisie u.o.d.o. postępowaniach wszczętych i niezakończonych przed wejściem w życie u.o.d.o. mają zastosowanie wszystkie przepisy ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, zarówno o charakterze procesowym jak i materialnoprawnym, podczas gdy prawidłowa wykładnia tego przepisu prowadzi do wniosku, że w postępowaniach tych znajdą jedynie zastosowanie przepisy ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych o charakterze procesowym, co w konsekwencji doprowadziło do niezasadnego uchylenia zaskarżonej decyzji.

W oparciu o tak sformułowany zarzut organ wniósł o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania WSA w Warszawie oraz o zasądzenie zwrotu kosztów postępowania na rzecz organu według norm prawem przepisanych.

W uzasadnieniu skargi kasacyjnej organ wskazał, że zobowiązany jest stosować stan prawny obowiązujący w chwili wydawania decyzji. Wejście w życie RODO, niezawierającego wyłączeń jego stosowania do określonych stanów prawnych czy zdarzeń, uniemożliwiło stosowanie materialnych przepisów uchylonej ustawy krajowej, regulującej tożsame kwestie. W konsekwencji art. 160 ust. 2 u.o.d.o. przewiduje stosowanie wyłącznie przepisów proceduralnych ustawy z 29 sierpnia 1997 r. Organ podkreślił, że jeżeli wynika to z ratyfikowanej przez RP umowy konstytuującej organizację międzynarodową, prawo przez nią stanowione jest stosowane bezpośrednio, mając pierwszeństwo w przypadku kolizji z ustawami.

W odpowiedzi na skargę kasacyjną O. S.A. z siedzibą w W., dalej zwana "Spółką", wniosła o oddalenie skargi kasacyjnej oraz o zasądzenie od organu na jej rzecz kosztów postępowania wraz z kosztami zastępstwa procesowego według norm przepisanych.

W uzasadnieniu Spółka wskazała, że zaskarżony wyrok odpowiada prawu, a skarga kasacyjna nie ma usprawiedliwionych podstaw. W ocenie Spółki brzmienie art. 160 ust. 2 u.o.d.o. nie budzi wątpliwości interpretacyjnych co do tego, iż w sytuacjach w nim wskazanych, a więc w postępowaniach wszczętych pod rządami ustawy z 1997 r., które nie zostały prawomocnie zakończone do czasu uchylenia tej ustawy, należy stosować przepisy ustawy z 1997 r. Nie jest trafny argument organu o bezpośrednim stosowaniem RODO, bowiem zasada bezpośredniego stosowania rozporządzeń UE oznacza jedynie tyle, że przepisy zawarte w takim rozporządzeniu nie wymagają dla uzyskania mocy obowiązującej w tym państwie żadnej transpozycji do krajowych aktów prawnych. Spółka zwróciła uwagę na zasadę niedziałania prawa wstecz jako jedną z podstawowych zasad prawa międzyczasowego. Skoro zdarzenie prawne będące przedmiotem oceny organu miało miejsce przed 25 maja 2018 r., to do oceny skutków tego zdarzenia zastosowanie powinny mieć przepisy ustawy z 1997 r.

Naczelny Sąd Administracyjny zważył, co następuje

Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2023 r., poz. 259) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.

Zdaniem Naczelnego Sądu Administracyjnego zarzut naruszenia art. 145 § 1 pkt 1 lit. c) p.p.s.a. w związku z art. 160 ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) dalej jako u.o.d.o., nie jest trafny, bowiem Sąd I instancji dokonał prawidłowej wykładni art. 160 ust. 2 u.o.d.o. i prawidłowo przyjął, że w określonych w tym przepisie postępowaniach wszczętych i niezakończonych przed wejściem w życie u.o.d.o. tj. przed 25 maja 2018 r. mają zastosowanie wszystkie przepisy ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, zarówno o charakterze procesowym jak i materialnoprawnym.

Nie można się zgodzić ze stanowiskiem organu, że w kontrolowanym postępowaniu znajdują zastosowanie jedynie przepisy ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych o charakterze procesowym (dalej u.o.d.o. z 1997 r.). Zatem Sąd I instancji prawidłowo, na podstawie art. 145 § 1 pkt 1 lit. c) p.p.s.a. uchylił zaskarżoną decyzję.

Na obecnym etapie postępowania istota sprawy sprowadza się do wykładni art. 160 ust. 2 u.o.d.o. Artykuł 160 u.o.d.o stanowi, że:

1. 1. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu.
2. 2. Postępowania, o których mowa w ust. 1, prowadzi się na podstawie ustawy uchylanej w art. 175, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257 oraz z 2018 r. poz. 149 i 650).
3. 3. Czynności dokonane w postępowaniach, o których mowa w ust. 1, pozostają skuteczne.
4. 4. Postępowania prowadzone na podstawie rozdziału 6 ustawy uchylanej w art. 175 umarza się. Decyzji o umorzeniu postępowania nie wydaje się.

Przepis art. 160 ust. 2 u.o.d.o. stanowi zatem, że postępowania wszczęte i niezakończone przed 25 maja 2018 r. prowadzi się na podstawie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Zdaniem Naczelnego Sądu Administracyjnego wykładnia tego przepisu wskazuje na to, że w postępowaniach wszczętych pod rządami ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, które nie zostały prawomocnie zakończone do czasu uchylenia tej ustawy, należy stosować przepisy u.o.d.o. z 1997 r. i to zarówno w zakresie podejmowanych czynności proceduralnych, jak i materialnoprawnej oceny zdarzeń będących przedmiotem postępowania. Zgodzić się należy z pełnomocnikiem Spółki, że z brzmienia cytowanego przepisu nie wynikają żadne ograniczenia odnośnie do zakresu stosowania przepisów u.o.d.o. z 1997 r. w postępowaniach, które zostały wszczęte i niezakończone przed 25 maja 2018 r. Gdyby intencją ustawodawcy było rzeczywiście ograniczenie zakresu stosowania przepisów u.o.d.o. z 1997 r. do czynności proceduralnych, to wskazałby to wprost w treści art. 160 ust. 2 u.o.d.o. z 2018 r., np. przez wymienienie konkretnych przepisów "starej" ustawy mających zastosowanie w postępowaniach niezakończonych przed wejściem w życie i rozpoczęciem stosowania nowych regulacji prawnych.

Jak to bowiem podnosi skarżąca Spółka dobrą praktyką legislacyjną jest bowiem, aby przepisy przejściowe sformułowane zostały w sposób jednoznaczny i aby precyzyjnie odnosiły się do konkretnych postępowań, stanów prawnych lub czynności, które zaistniały pod rządami starych przepisów (por. Dobre praktyki legislacyjne. Przepisy przejściowe a zasada działania nowego prawa wprost. pub. www.rcl.gov.pl.). Skoro takie nie zostały wprost wymienione w wykładanym przepisie, uzasadnione jest twierdzenie, że u.o.d.o. z 1997 r. ma zastosowanie, zarówno w aspekcie proceduralnym, jak też materialnym, w postępowaniach wszczętych i niezakończonych przed 25 maja 2018 r. Nie sposób przy tym przyjąć, iż taka regulacja jest efektem niedbalstwa ustawodawcy lub jego nieprzemyślanych decyzji, i jego rzeczywisty zamiar w tym względzie był inny, bowiem w odniesieniu do postępowań, których dalsze prowadzenie, czy to w oparciu o "stare", czy też "nowe" przepisy, uznał za niecelowe lub bezprzedmiotowe, wprost to uregulował w art. 160 ust. 4 u.o.d.o.

Jest to jedyne wyłączenie, na które zdecydował się ustawodawca, w odniesieniu do postępowań wszczętych przed organem właściwym w sprawie ochrony danych osobowych i niezakończonych przed 25 maja 2018 r.

Skarżący kasacyjnie organ nie przedstawił w skardze kasacyjnej poglądów przedstawicieli doktryny aprobujących jego stanowisko. Tymczasem stanowisko prezentowane przez Sąd I instancji nie budzi wątpliwości w doktrynie prawa. Paweł Fajgielski komentując art. 160 u.o.d.o. wskazuje, że "[k]omentowany artykuł stanowi kolejny przepis intertemporalny odnoszący się do postępowań prowadzonych przez poprzedni organ nadzorczy – GIODO. Postępowania, które nie zostały zakończone do 25.05.2018 r., mają być nadal prowadzone przez nowy organ – Prezesa Urzędu Ochrony Danych Osobowych, w oparciu o stare przepisy (u.o.d.o.1997) i zasady określone w Kodeksie postępowania administracyjnego, przy czym komentowany przepis wskazuje, że czynności dokonane w tych postępowaniach pozostają skuteczne" (Paweł Fajgielski, Komentarz do ustawy o ochronie danych osobowych, [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz. WKP 2018, LEX).

Natomiast w Komentarzu do ustawy o ochronie danych osobowych SIP LEX 2023 r. pod red. Bartosza Marcinkowskiego stwierdza się, że "Prezes Urzędu – jako sukcesor prawny GIODO – prowadzi postępowania wszczęte przed 25.05.2018 r. i niezakończone przed tym dniem. W celu realizacji ciągłości postępowania, jak również przeciwdziałaniu retroaktywności prawa, ustawodawca zdecydował, że do tych postępowań będą miały zastosowanie dotychczasowe przepisy – ustawy z 29.08.1997 r. o ochronie danych osobowych oraz zasady określone w Kodeksie postępowania administracyjnego. Innymi słowy, postępowania wszczęte i niezakończone przed 25.05.2018 r. toczą się dalej na dotychczasowych zasadach, jednakże prowadzone są przez Prezesa Urzędu".

Iwona Bogucka w Komentarzu do ustawy o ochronie danych osobowych z 2018 r. SIP LEX 2023 wskazała, że "[z] dniem wejścia w życie komentowanej ustawy (25.05.2018 r.) utraciła moc obowiązującą ustawa o ochronie danych osobowych z 1997 r. Derogacja aktu prawnego nie oznacza jednak, że nie może on znaleźć zastosowania i nie mogą być dokonywane akty stosowania prawa oparte na uchylonych przepisach – o ile tylko rozstrzygane są fakty prawne, które zaszły w czasie, gdy derogacja jeszcze nie nastąpiła. Kwestię, jaki przepis powinien mieć zastosowanie w przypadku zmiany stanu prawnego, powinien każdorazowo unormować prawodawca poprzez wskazanie wybranej reguły intertemporalnej. Wyznaczenie w przepisach prawa zakresu temporalnego faktów, z którymi wiązane są skutki prawne, może nastąpić w zróżnicowany sposób, w szczególności prawodawca może w przepisie wskazać termin ad quem, zgodnie z którym faktami prawnymi rodzącymi skutki prawne są opisane tam fakty następujące "do dnia" lub "przed dniem".

W art. 160 ust. 2 komentowanej ustawy prawodawca zawarł regulację o charakterze intertemporalnym, zgodnie z którą postępowania wszczęte i niezakończone przed dniem wejścia w życie aktualnie obowiązującej ustawy są prowadzone na podstawie ustawy poprzednio obowiązującej." W ostatnim z cytowanych komentarzy powołano się na monografię T. Pietrzykowskiego, w której autor zwraca uwagę, że zasada lex retro non agit (rozumiana jako zakaz retroaktywnego stosowania prawa) i zasada tempus regit actum (zalecająca oceniać skutki zdarzeń prawnych na podstawie przepisów obowiązujących w czasie, gdy zdarzenia te nastąpiły) zawierają w praktyce równoważną dyrektywę nakazującą stosowanie do oceny faktu prawnego przepisów obowiązujących w czasie jego wystąpienia, nie zaś przepisów obowiązujących w chwili wydania decyzji stosowania prawa (por. Tomasz Pietrzykowski, Wsteczne działanie prawa i jego zakaz, Kraków 2004).

Prezes UODO swoje stanowisko w sprawie opiera na bezpośrednim stosowaniu RODO, w tym jego art. 12 w związku z art. 15 ust. 1 lit. c). Nie negując zasady bezpośredniego stosowania rozporządzeń UE w porządku prawnym państwa członkowskiego należy jednak zauważyć, że oznacza ona jedynie tyle, że przepisy zawarte w takim rozporządzeniu nie wymagają dla uzyskania mocy obowiązującej w tym państwie żadnej transpozycji do krajowych aktów prawnych, stając się wprost elementem porządku prawnego tego państwa. Należy też zauważyć, że z przepisów RODO, w tym z art. 99 ust. 1 i 2, nie wynika aby przepisy art. 12 i 15 RODO miały zastosowanie do oceny zdarzeń mających miejsce przed 25 maja 2018 r., tj. przed dniem od którego to rozporządzenie ma zastosowanie w państwach członkowskich.

Zatem odnosząc się do zasady bezpośredniego działania nowego prawa (według organu tym nowym mającym bezpośrednie zastosowanie prawem są przepisy RODO) - rozumianej jako decyzja ustawodawcy (podjęta chociażby przez rezygnację z uchwalenia przepisów intertemporalnych) oznaczająca stosowanie, od chwili ich wejścia w życie, nowych norm prawnych do wszystkich stosunków, zdarzeń i stanów rzeczy zarówno tych, które dopiero powstają, jak i tych które powstały przed wejściem w życie nowych norm, ale trwają w czasie dokonywania zmiany prawa – to zasada ta nie w każdym przypadku ma i może mieć zastosowanie, gdyż w polskim systemie prawnym nie obowiązuje żadna ogólna zasada (lub domniemanie) bezpośredniego działania prawa nowego. W tym zakresie rację ma Trybunał Konstytucyjny, który stwierdził, że "obiegowo przyjmowana teza, jakoby istniało swoiste "domniemanie" przemawiające za bezpośrednim działaniem prawa nowego jest - obecnie - znacznym konstytucyjnym uproszczeniem" (wyrok TK z 9 czerwca 2003 r., SK 12/03, OTK-A, nr 6, poz. 51; zob. też wyroki TK: z 23 lipca 2013 r., P 36/12, OTK seria A, nr 6, poz. 81, i z 5 grudnia 2013 r., K 27/13, OTK A, nr 9, poz. 134).

Obecnie nie ma już wątpliwości, że brak przepisów przejściowych oznacza lukę w zakresie rozstrzygnięcia problemów intertemporalnych i z żadnego z przepisów obowiązującej Konstytucji RP nie da się wyprowadzić "domniemania" bezpośredniego działania prawa nowego. Trzeba więc kwestie intertemporalne rozstrzygać wyraźnymi przepisami przejściowymi (tak: Grzegorz Wierczyński, Komentarz do rozporządzenia w sprawie "Zasad techniki prawodawczej", [w:] Redagowanie i ogłaszanie aktów normatywnych. Komentarz, wyd. II, WK 2016, LEX/el. 2019).

Jak to trafnie zauważono w odpowiedzi na skargę kasacyjną, w orzecznictwie Naczelnego Sądu Administracyjnego mocno podkreślana jest zasada niedziałania prawa wstecz (lex retro non agit), jako jedna z podstawowych zasad prawa międzyczasowego, od której odstąpić można jedynie w wyjątkowych sytuacjach, jeżeli przemawiałyby za tym konieczność ochrony istotnych wartości konstytucyjnych. W wyroku z 26 października 2017 r. sygn. akt II GSK 24/16 NSA stwierdził "[w] demokratycznym porządku prawnym prawo powinno działać w zasadzie na przyszłość, a nie wstecz, w tym znaczeniu, że powinno wiązać określone w nim skutki prawne ze zdarzeniami mającymi miejsce po jego wejściu w życie. Zasada lex retro non agit jest adresowana przede wszystkim do ustawodawcy i zakazuje mu stanowić norm prawnych, które miałyby być stosowane do zdarzeń, sytuacji, które miały miejsce i zostały zakończone przed wejściem w życie tych norm (szerzej na ten temat m.in. [w:] Proces prawotwórczy w świetle orzecznictwa Trybunału Konstytucyjnego.

Wypowiedzi Trybunału Konstytucyjnego dotyczące zagadnień związanych z procesem legislacyjnym. Warszawa 2015, s. 48 i nast. oraz przytoczone tam orzecznictwo TK). Zasada ta nie ma charakteru bezwzględnego, można od niej odstąpić, jednakże wyjątkowo, jeżeli przemawia za tym konieczność ochrony innych wartości konstytucyjnych niż bezpieczeństwo prawne i zaufanie obywateli do państwa zagrożone pogorszeniem ich sytuacji prawnej wskutek nałożenia na nich określonych obowiązków z mocą wsteczną". Dalej NSA stwierdził też że "[n]awet jeżeli przyjąć, że zasadą ogólną jest bezpośrednie działanie prawa, to z samej tej zasady nie można wyprowadzać domniemania, że wobec braku konkretnej wypowiedzi ustawodawcy, przepis, zwłaszcza materialnoprawny może mieć zastosowanie z mocą wsteczną (np. wyroki TK: z 9 czerwca 2003 r., sygn. SK 12/03, OTK nr 6/A/2003, poz. 51 i z 23 lipca 2013 r., P 36/12, OTK nr 6/2013, poz. 82).

Należy bowiem podkreślić, że granice jego zastosowania w czasie wyznacza zasada lex retro non agit (por. wyrok TK z 12 maja 2009 r., P 66/07, OTK nr 5/A/2009, poz. 65)". Z kolei w wyroku z 6 stycznia 2010 r. sygn. akt II GSK 266/09, NSA stwierdził, że "W razie kolizji, czy w sprawie ma zastosowanie przepis dotychczasowy, czy nowy, przyjmuje się, że przepis dotychczasowy ma zastosowanie, jeżeli pod jego rządem powstał (zmienił się albo wygasł) stosunek prawny, którego treść została bezpośrednio wyznaczona przez ten przepis. Na tej podstawie sformułowana została ogólna zasada, w myśl której nowa ustawa nie ma być stosowana przy ocenie tak pozytywnych, jak i negatywnych skutków zdarzeń prawnych, które nastąpiły przed jej wejściem w życie (por. J. Gwiazdomorski, Międzyczasowe prawo prywatne; "Nowe Prawo" 1965, nr 6). Podobne stanowisko prezentowane jest w nowszym piśmiennictwie. I tak, dalsze działanie ustawy dawnej zachodzi, jeżeli należy oceniać wedle jej przepisów zaszłe po wejściu w życie ustawy nowej skutki zdarzenia prawnego, które: 1) nastąpiło przed wejściem w życie ustawy nowej albo 2) nastąpiło po wejściu w życie ustawy nowej i związane jest z sytuacją prawną powstałą przed wejściem w życie ustawy nowej.

Zachodzi ono w szczególności, gdy ustawie dawnej dalej podlega, po jej uchyleniu, treść stosunku prawnego powstałego, czy też szerzej - sytuacja prawna powstała, przed jej uchyleniem. Istnienie takiego stosunku prawnego o określonej treści w danym czasie jest bowiem skutkiem zdarzenia prawnego, które nastąpiło przed uchyleniem ustawy dawnej i ukształtowało tę treść. Dalsze działanie ustawy dawnej zachodzi także, jeżeli ustawie dawnej podlegają skutki zdarzenia prawnego, które wprawdzie nastąpiło już po jej uchyleniu, lecz związane jest z sytuacją prawną powstałą, w szczególności stosunkiem prawnym powstałym, pod jej rządami (por. M. Kłoda, Sposoby działania ustawy w prawie międzyczasowym prywatnym; "Przegląd Legislacyjny" 2001.1.7). Przedstawione wyżej poglądy Naczelny Sąd Administracyjny podziela.

Na gruncie niniejszej sprawy nie budzi wątpliwości Naczelnego Sądu Administracyjnego, że zdarzenie prawne będące przedmiotem oceny materialnoprawnej Prezesa UODO, tj. wniosek informacyjny i odpowiedź na ten wniosek, miało miejsce przed 25 maja 2018 r. a więc w czasie gdy obowiązywała ustawa o ochronie danych osobowych z 1997 r. Trudno zgodzić się ze stanowiskiem skarżącego kasacyjnie organu, że stan naruszenia związany z ocenianym zdarzeniem, trwał do chwili rozpoczęcia stosowania w polskim porządku prawnym nowych regulacji, co miałoby uzasadniać zastosowanie w sprawie nowych przepisów. W. K. złożył wniosek o udostępnienie mu, na podstawie art. 33 ust. 1 u.o.d.o. z 1997 r. informacji o podmiotach, którym Spółka udostępniła jego dane osobowe. Nie budzi wątpliwości, że Spółka odpowiedziała na ten wniosek, kilkakrotnie informując wnioskodawcę, iż nie udostępniła jego danych żadnym odbiorcom danych, a jego dane zostały jedynie powierzone do przetwarzania podmiotom, o których mowa w art. 31 u.o.d.o z 1997 r. Potwierdzeniem tego są skierowane do wnioskodawcy pisma z 23 października 2014 r., 13 listopada 2014 r. oraz z 2 stycznia 2015 r. Spółka twierdzi, że spełniła w całości obowiązek informacyjny, ponieważ w świetle przepisów obowiązujących w chwili realizacji wniosku W. K. podmioty, którym powierzyła przetwarzanie jego danych, nie były odbiorcami danych, zatem nie miała prawnego obowiązku wskazywania konkretnych nazw i adresów tych podmiotów.

Podsumowując, wniosek informacyjny i odpowiedź na ten wniosek to zdarzenia, które zaszły przed 25 maja 2018 r. Wbrew twierdzeniom organu zdarzenie prawne będące przedmiotem oceny Prezesa UODO było zdarzeniem, które zakończyło się przed wszczęciem postępowania administracyjnego. To czy stan naruszenia wynikający z niezrealizowania obowiązku informacyjnego trwa nadal, wymagało oceny organu przy zastosowaniu odpowiedniego prawa materialnego. W zależności od rezultatu tej oceny dopiero można byłoby stwierdzić, czy stan naruszenia ustał czy trwa nadal. W rezultacie o zastosowaniu starego czy nowego prawa nie decyduje stan naruszenia (uzależniony od zastosowania starego bądź nowego prawa) lecz moment, w którym doszło do ocenianego zdarzenia, tj. do odpowiedzi na wniosek, który kończył to zdarzenie.

Zatem podlega ona ocenie organu z punktu widzenia jej zupełności, wedle przepisów obowiązujących na dzień tego zdarzenia, a nie według przepisów nowych, obowiązujących kilka lat później. Wnioskodawca wnosił o udzielenie informacji będąc do tego uprawniony na podstawie przepisów obowiązujących w dniu złożenia wniosku. Nie sposób zatem oceniać tego czy ten wniosek został zrealizowany, według kryteriów wynikających z przepisów, które jeszcze nie obowiązywały w chwili jego realizacji. Kryteria te nie były znane zarówno wnioskodawcy jak i podmiotowi zobowiązanemu.

Ocena realizacji wniosku opartego na uprawnieniu wynikającym z przepisów u.o.d.o. z 1997 r., w oparciu o prawo materialne, tj. przepisy RODO i to konsekwentnie zarówno co do zakresu uprawnienia informacyjnego (który jest inny niż w u.o.d.o. z 1997 r.) jak i jego ewentualnych ograniczeń, jest nie do przyjęcia. Organ w zaskarżonej decyzji ocenił spełnienie obowiązku informacyjnego z art. 32 i 33 ust. 1 pkt 5 u.o.d.o. z 1997 r. na podstawie art. 12 w związku z art. 15 ust. 1 lit. c) RODO i utrzymał w mocy decyzję I instancji, w której nakazano "spełnienie obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 tekst jednolity) w związku z art. 32 ust. 1 pkt 5 tej ustawy, przez udzielenie mu informacji o podmiotach, na rzecz których Spółka przekazała dane osobowe Pana W. K., w tym o podmiotach, o których mowa w art. 31 ustawy".

Zatem Prezes U.O.D.O. twierdzący, że w sprawie nie mają zastosowania przepisy materialne zawarte w ustawie o ochronie danych osobowych z 1997 r. utrzymał w mocy decyzję, którą Spółka miałaby wykonać w oparciu o niemające zastosowania (według organu) w sprawie przepisy materialne z ustawy o ochronie danych osobowych z 1997 r.

Końcowo należy wskazać też na to, że zakres obowiązku informacyjnego unormowanego w przepisach obowiązujących w momencie powstania zdarzenia podlegającego ocenie organu właściwego w sprawie ochrony danych osobowych (tj. u.o.d.o. z 1997 r.) zastosowanych przez organ rozstrzygający sprawę w I instancji, był inny niż zakres odpowiadającego mu obowiązku informacyjnego określonego w przepisach zastosowanych przez Prezesa U.O.D.O. do oceny sprawy w II instancji (tj. RODO). Wprawdzie przepisy obu aktów prawnych, uchylonej u.o.d.o. z 1997 r. (art. 33 ust. 1 w zw. z art. 32 ust. 1 pkt 5 i art. 7 pkt 6) i obowiązującego obecnie RODO (art. 15 ust. 1 lit. c) w zw. z art. 4 pkt 9), stanowią o udostępnieniu danych osobie, której dane dotyczą, informacji o odbiorcach danych, podczas gdy treść art. 7 pkt 6 u.o.d.o. z 1997 r. może prowadzić do wniosku o wyłączeniu z kręgu odbiorców danych podmiotów, którym powierzono przetwarzanie danych osobowych zgodnie z art. 31 u.o.d.o. z 1997 r., podczas gdy w art. 4 pkt 9 RODO takiego wyłączenia już nie ma.

Zatem zakres obowiązku informacyjnego wynikający z przepisów RODO jest znacząco szerszy niż zakres obowiązku informacyjnego, jaki określały przepisy u.o.d.o. z 1997 r. obowiązującej w momencie powstania podlegającego ocenie zdarzenia tj. odpowiedzi na wniosek. Zatem kontynuacja niniejszego postępowania (tj. wszczętego i niezakończonego przed wejściem w życie nowych regulacji) w oparciu o nowe przepisy, nakładające na ich adresatów obowiązki, których nie przewidywały przepisy pod rządami, których postępowanie zostało wszczęte, prowadziłaby do naruszenia konstytucyjnej zasady zaufania do państwa i stanowionego przez niego prawa oraz zasady ochrony interesów w toku, wynikających z art. 2 i art. 7 Konstytucji RP.

Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie ma usprawiedliwionych podstaw, dlatego na mocy art. 184 p.p.s.a. ją oddalił.

O kosztach postępowania kasacyjnego od Prezesa U.O.D.O. na rzecz Spółki, orzeczono na podstawie art. 204 pkt 2 p.p.s.a.