Czy wydanie przez PUODO decyzji w/s nieprawidłowości w przetwarzaniu danych osobowych 4 miesiące po otrzymaniu skargi oznacza proceduralną opieszałość? Czy urząd powinien załatwiać taką sprawę niezwłocznie, najpóźniej w ciągu miesiąca od wpłynięcia skargi? Czy jednak RODO wprowadza odrębne terminy rozpatrywania skarg — oraz nie nakazuje organowi nadzorczemu zakończenia postępowania w określonym czasie? (wyrok Naczelnego Sądu Administracyjnego z 25 września 2024 r., III OSK 2184/22).
Orzeczenie dotyczyło skargi na opieszałość PUODO w rozpatrywaniu skargi na nieprawidłowości w przetwarzaniu danych osobowych.
opis stanu faktycznego:
- sprawa zaczęła się 20 września 2021 r. od wniesionej do Prezesa Urzędu Ochrony Danych Osobowych skargi na nieprawidłowości w przetwarzaniu danych przez PZU, w tym udostępnienie danych UFG;
- po miesiącu PUODO poprosił te podmioty o ustosunkowanie się do skargi; UFG odpowiedział natychmiast, ubezpieczyciel poprosił o przedłużenie terminu na odpowiedź;
- jednak już w grudniu zainteresowany wysłał do urzędu ponaglenie, w którym zarzucił bezczynność i przewlekłość prowadzonego postępowania;
- kilka dni później PUODO dostał odpowiedź PZU, po czym poinformował strony o zgromadzeniu materiału wystarczającego do wydania decyzji, a także o możliwości wglądu w akta i wypowiedzenia się co do materii;
- jednak już 23 grudnia 2021 r. zainteresowany wniósł skargę na przewlekłość i bezczynność, zaś zarzucając opieszałość, która naraża go na wymierne szkody (bo nieprawdziwa informacja o sprawstwie wypadku skutkuje podwyższeniem składek na OC) zażądał nałożenia na PUODO grzywny (por. „PUODO nie zajął się skargą przez kilka miesięcy? Możesz żądać rekompensaty (i nałożenia grzywny na prezesa urzędu)„);
art. 35 par. 3 kpa
Załatwienie sprawy wymagającej postępowania wyjaśniającego powinno nastąpić nie później niż w ciągu miesiąca, a sprawy szczególnie skomplikowanej — nie później niż w ciągu dwóch miesięcy od dnia wszczęcia postępowania, zaś w postępowaniu odwoławczym — w ciągu miesiąca od dnia otrzymania odwołania.
art. 36 kpa
§ 1. O każdym przypadku niezałatwienia sprawy w terminie organ administracji publicznej jest obowiązany zawiadomić strony, podając przyczyny zwłoki, wskazując nowy termin załatwienia sprawy oraz pouczając o prawie do wniesienia ponaglenia.
§ 2. Ten sam obowiązek ciąży na organie administracji publicznej również w przypadku zwłoki w załatwieniu sprawy z przyczyn niezależnych od organu.
art. 62 ustawy o ochronie danych osobowych
W przypadku, o którym mowa w art. 36 [kpa], Prezes Urzędu, zawiadamiając strony o niezałatwieniu sprawy w terminie, jest obowiązany również poinformować o stanie sprawy i przeprowadzonych w jej toku czynnościach.
- zaś PUODO wydał decyzję merytoryczną w styczniu 2022 r.;
wyrok WSA:
- w wydanym orzeczeniu WSA przyjął, że RODO nie wskazuje odmiennych terminów rozpatrywania skarg, zatem określone w kpa terminy załatwiania spraw dotyczą wszystkich urzędów, w tym także organu nadzorczego;
- zatem wydanie decyzji po 4 miesiącach oznacza naruszenie zasady szybkości i wnikliwości prowadzenia postępowania, a zwłaszcza obowiązek rozstrzygnięcia sprawy bez zbędnej zwłoki;
- opieszałości nie tłumaczy przy tym ani obszerność skargi, ani konieczność dokonania wnikliwej analizy stanu faktycznego, w tym także konieczność uzyskania odpowiedzi od podmiotów, których działalności skarga dotyczyła;
- skoro więc decyzja w/s skargi została wydana przeszło 4 miesiące po jej wpłynięciu, to doszło do przewlekłości (acz bez rażącego naruszenia prawa i bez nałożenia na PUODO grzywny, wyrok WSA w Warszawie z 8 czerwca 2022 r., II SAB/Wa 60/22);
wyrok NSA:
- rację ma WSA, że wnikliwość postępowania nie wyklucza szybkości jego prowadzenia, zatem organ administracyjny co do zasady powinien załatwiać sprawę w ciągu miesiąca;
- nie można jednak pomijać, iż ogólny termin załatwiania spraw może być modyfikowany w innych przepisach (art. 35 par. 4 kpa);
- takim przepisem jest art. 78 ust. 2 RODO, który wprowadza odmienny — trzymiesięczny — termin rozpatrzenia skargi na nieprawidłowości w przetwarzaniu danych osobowych;
art. 78 ust. 2 RODO
Bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli organ nadzorczy […] nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77.
- przepis ten, wbrew poglądom wyrażanym przez część ekspertów, odnosi się do dwóch sytuacji: (i) po pierwsze organ nadzorczy powinien wydać decyzję w ciągu 3 miesięcy, albo (ii) poinformować skarżącego, w terminie tych samych 3 miesięcy, o jej postępach — w tym także o ew. opóźnieniu;
Art. 78 ust. 2 RODO należy odczytywać zatem w ten sposób, że obowiązek organu nadzoru poinformowania osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi staje się aktualny, jeśli skarga nie została rozpatrzona w tym terminie (czyli nie została wydana decyzja administracyjna) i zachodzi potrzeba jego wydłużenia, w trybie art. 36 kpa, co koresponduje z art. 62 uodo, nakazującym dodatkowo w takiej sytuacji poinformowanie stron o stanie sprawy i przeprowadzonych w jej toku czynnościach.
- rzecz jasna strona może złożyć też skargę na przewlekłość, jeśli postępowanie jest prowadzone dłużej, niż jest to niezbędne do prawidłowego załatwienia sprawy — i tu NSA dostrzegł, że właściwie to skarga może i dotyczyła przewlekłości, a nie braku załatwienia sprawy w określonym terminie, aczkolwiek WSA nie zbadał sporu w sposób właściwy (i nie zastosował art. 37 par. 1 pkt 2 kpa) — więc zaskarżony wyrok został uchylony, a sprawa wróciła do ponownego rozpoznania.