Czy dopuszczalne jest wniesienie do WSA skargi na bezprawne przetwarzanie danych osobowych przez jakiś podmiot? Czy jednak taka skarga będzie odrzucona jako skierowana do niewłaściwego organu?
nieprawomocne postanowienie WSA w Szczecinie z 10 lipca 2023 r. (II SA/Sz 474/23)
Sąd administracyjny nie jest organem powołanym do ochrony danych osobowych (w tym dotyczących stanu zdrowia) i rozstrzygania kwestii, czy dany podmiot narusza swym działaniem przepisy ustawy o ochronie danych osobowych i RODO
Sprawa zaczęła się od złożenia — do Wojewódzkiego Sądu Administracyjnego — skargi na wykorzystywanie i przetwarzanie przez przychodnię danych wrażliwych, a dotyczących stanu zdrowia, które stanowiło także naruszenie dóbr osobistych.
WSA przypomniał, iż organem właściwym w sprawie ochrony danych osobowych i organem nadzorczym w rozumieniu RODO jest Prezes Urzędu Ochrony Danych Osobowych. To do PUODO należy wnosić skargi na przetwarzanie danych osobowych, natomiast do sądu administracyjnego można skarżyć się na ostateczne decyzje PUODO.
Zakres kognicji sądów administracyjnych obejmuje m.in. orzekanie w sprawie skarg na decyzji administracyjnych, akty podejmowane w sprawach z zakresu administracji publicznej czy też akty prawa miejscowego — jednak żaden przepis nie przewiduje uprawnienia do bezpośredniego wniesienia do WSA skargi na przetwarzanie danych osobowych przez jakikolwiek podmiot.
art. 77 ust. 1 rozporządzenia 679/2016 o ochronie danych osobowych
Bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.
art. 78 ust. 1 RODO
Bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba fizyczna lub prawna ma prawo do skutecznego środka ochrony prawnej przed sądem przeciwko prawnie wiążącej decyzji organu nadzorczego jej dotyczącej.
art. 58 par. 1 pkt 1 ustawy prawo o postępowaniu przed sądami administracyjnymi
Sąd odrzuca skargę:
1) jeżeli sprawa nie należy do właściwości sądu administracyjnego;
Zainteresowana osoba ma prawo dochodzić, na drodze cywilnej, roszczeń wynikających z naruszenia przepisów o ochronie danych osobowych, w tym także naruszenia prawa do prywatności (ba, może równocześnie i wnieść skargę, i pozew), jednak rozstrzygania co do takich roszczeń należy wyłącznie do sądów powszechnych (cywilnych), a nie administracyjnych.
Biorąc zatem pod uwagę, że WSA nie jest organem ochrony danych osobowych i nie może oceniać zarzutów odnoszących się do nieprawidłowego przetwarzania danych osobowych — jego rola sprowadza się wyłącznie do oceny prawidłowości decyzji wydawanych przez PUODO — wniesienie skargi do WSA na przetwarzanie danych osobowych było nieprawidłowe, a więc skarga podlega odrzuceniu.
(Dla rozwiania wątpliwości: czy skargę na przetwarzanie danych można wnieść do Sanepidu? można, albowiem w takim przypadku Sanepid ma obowiązek przekazania sprawy do organu właściwego (art. 65 par. 1 kpa) — natomiast w przepisach o procedurze sądowej takich przepisów brak, nie licząc rzecz jasna przepisów o właściwości rzeczowej, miejscowej, etc.)