O tym, że skarżyć się na wiekuiste przetwarzanie danych osobowych przez policję można się skarżyć ile wlezie, już na tutejszych łamach było: prawo unijne sobie, ale polski prawodawca (niezależnie od jego barw politycznych) sobie. Dla przypomnienia: termin rozpatrzenia przez PUODO skargi na przetwarzanie danych osobowych wynosi trzy miesiące — w przypadku tego postępowania nie stosuje się kpa — natomiast jest inne pytanie: czy brak decyzji w ciągu trzech miesięcy oznacza bezczynność organu, na którą można się skarżyć? Czy jednak wystarczy, że w tym okresie PUODO wyśle do strony pisemko i wyjaśni, że sprawa się wlecze, żeby jakikolwiek zarzut bezczynności czy przewlekłości nie miał sensu? (wyrok NSA z 14 marca 2025 r., III OSK 3383/23).
opis stanu faktycznego:
- sprawa zaczęła się dokładnie 10 grudnia 2021 r. od wniesienia do PUODO skargi na odmowę udzielenia informacji o danych osobowych przetwarzanych w Krajowym Systemie Informacji Policyjnej (por. „Czy można żądać informacji o danych przetwarzanych w policyjnych bazach KCIK i KSIP?”);
- PUODO podjął pierwszą czynność w sprawie już 31 stycznia 2022 r.: wysłał pismo do Komendanta Głównego Policji; odpowiedź policji wpłynęła do urzędu 3 marca 2022 r.;
- 14 października 2022 r. organ zwrócił się do KGP z żądaniem uzupełnienia wyjaśnień; tym razem odpowiedź przyszła już 7 listopada 2022 r.;
- zatem 25 listopada 2022 r. urząd wysłał kolejne pismo z żądaniem wyjaśnień; tym razem odpowiedź przyszła 5 stycznia 2022 r.;
- zaś finalną decyzję PUODO wydał dopiero 24 maja 2023 r. — po wniesieniu przez zainteresowanego skargi na bezczynność organu, przy czym „zignorował wniesione przez skarżącego ponaglenie” i nie stosował się do przepisu nakazującego informować stronę o terminie zakończenia postępowania;
art. 53 ust. 2 dyrektywy 2016/680 w/s ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości
[…] każda osoba, której dane dotyczą, ma prawo do skutecznego środka prawnego przed sądem, jeżeli organ nadzorczy […] nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub wyniku rozpatrzenia skargi […].
z ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości
art. 50 ust. 4. Prezes Urzędu informuje osobę, która wniosła skargę, o postępach w jej wyjaśnianiu, sposobie jej rozpatrzenia oraz możliwości złożenia skargi do sądu administracyjnego. Do rozpatrywania skarg stosuje się odpowiednio przepisy art. 225, art. 231 oraz art. 237-239 Kodeksu postępowania administracyjnego.
art. 51 ust. 2. Każdej osobie, której dane dotyczą, przysługuje prawo do wniesienia do sądu administracyjnego skargi, jeżeli Prezes Urzędu nie rozpatrzył skargi lub zgłoszenia […] nie poinformował osoby, której dane dotyczą, w terminie 3 miesięcy od dnia wpływu skargi, o postępach lub wyniku jej rozpatrzenia.
- więc zainteresowany skorzystał z prawa do wniesienia do sądu skargi na bezczynność PUODO;
orzeczenie WSA:
- WSA uznał, że wielomiesięczny ping-pong — i wydanie decyzji blisko półtora roku po złożeniu skargi, z naruszeniem terminów załatwiania spraw wskazanych w kodeksie postępowania administracyjnego — oznacza, że postępowanie nie zostało zakończone w ustawowym terminie, na co wpływ miały długie przerwy pomiędzy poszczególnymi czynnościami, co potwierdza zarzut bezczynności;
- stwierdzając przy tym, iż bezczynność PUODO oznacza rażące naruszenia prawa, w wydanym wyroku przyznał skarżącemu od organu 1 tys. złotych (wyrok WSA w Warszawie z 14 września 2023 r., II SAB/Wa 336/23);
skarga kasacyjna PUODO:
- w skardze kasacyjnej od tego wyroku PUODO zwrócił uwagę, że przepisy o ochronie danych osobowych wskazują własne terminy załatwiania spraw, przeto kpa nie mógł mieć zastosowania;
- zarazem wynikający z ustawy 3-miesięczny termin nie oznacza, że w tym czasie musi wydać decyzję w/s skargi na przetwarzanie danych przez organy ścigania — wszakże jest wyraźnie powiedziane, że w tym terminie urząd może poinformować o postępach lub efektach sprawy, ale nie musi jej zakończyć;
orzeczenie NSA:
- Naczelny Sąd Administracyjny zgodził się z argumentem, że termin rozpatrzenia skargi przez PUODO nie wynika z art. 35 kpa: zarówno RODO jak i dyrektywa w/s przetwarzania danych osobowych przez organy ścigania oraz odnośna ustawa wyznaczają odrębny, trzymiesięczny termin, w którym organ powinien sprawę rozpoznać i wydać decyzję lub poinformować o postępach i wyniku rozpatrzenia skargi;
- biorąc pod uwagę praktycznie identyczną regulację, w wykładni w/w normy można posłużyć się wykładnią art. 78 ust. 2 RODO — co oznacza, że WSA oczywiście się pomylił oceniając bezczynność przez pryzmat kpa;
- jednakże interpretacja, iż przepisy te nie wyznaczają PUODO terminu do załatwienia sprawy administracyjnej, chociaż pojawiająca się w judykaturze, jest błędna i sprzeczna z prawem: podstawowym obowiązkiem PUODO jest rozpatrzenie skargi, a więc wydanie merytorycznej decyzji — zaś bezskuteczny upływ trzymiesięcznego terminu uprawnia stronę do wniesienia skargi na bezczynność;
Obowiązek organu nadzoru poinformowania osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub wyniku rozpatrywania skargi, staje się aktualny, jeśli skarga nie została rozpatrzona w tym terminie (czyli nie została wydana decyzja administracyjna) i zachodzi potrzeba jego wydłużenia, w trybie art. 36 kpa, co koresponduje z art. 50 ust. 4 u.o.d.o.z.z. nakazującym dodatkowo w takiej sytuacji poinformowanie skarżącego o postępach w wyjaśnianiu skargi, sposobie jej rozpatrzenia oraz możliwości złożenia skargi do sądu administracyjnego. Co oczywiste, nic nie stoi na przeszkodzie w złożeniu przez dany podmiot skargi na przewlekłe prowadzenie postępowania, jeżeli postępowanie jest prowadzone dłużej niż jest to niezbędne do załatwienia sprawy (art. 37 § 1 pkt 2 kpa).
- sęk bowiem w tym, że przepis określający termin rozpatrzenia skargi przez PUODO jest lex specialis w rozumieniu art. 35 par. 4 kpa — ale przecież nawet poinformowanie strony o opóźnieniu i jej przyczynach nie wyklucza zarzutu przewlekłości postępowania;
- zważywszy, że urząd wydał decyzję blisko półtora roku po wpłynięciu skargi, zarówno zarzut bezczynności, jak też ocena jej przyczyn — oraz nałożona na PUODO sankcja w wysokości tysiąca złotych — były prawidłowe (por. „Decyzja PUODO w/s naruszenia danych osobowych cztery miesiące po skardze — czy to przewlekłość postępowania?”);
- wcale nie na marginesie NSA podkreślił, że PUODO nie może bronić się przed zarzutami wskazując szczupłość obsady kadrowej i dużej liczby prowadzonych spraw — zasada szybkości postępowania dotyczy wszystkich organów, które w tym zakresie powinny potrafić w taki sposób zorganizować pracę, by nie naruszać praw strony.
Sumarycznie oznacza to, że zaskarżony wyrok, choć częściowo źle uzasadniony, był prawidłowy — zatem skarga kasacyjna została oddalona w całości.