Wyrok NSA z dnia 26 września 2024 r., sygn. III OSK 485/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Zbigniew Ślusarczyk Sędziowie: Sędzia NSA Teresa Zyglewska Sędzia del. WSA Paweł Mierzejewski (spr.) po rozpoznaniu w dniu 26 września 2024 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej A.Z. (aktualne nazwisko K.) od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 listopada 2022 r. sygn. akt II SA/Wa 411/22 w sprawie ze skargi A.Z. (aktualne nazwisko K.) na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 29 grudnia 2021 r. nr ZSZZS.440.835.2018.ZS.JK w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok w części, w jakiej oddalono skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 29 grudnia 2021 r. nr ZSZZS.440.835.2018.ZS.JK w przedmiocie przetwarzania danych osobowych w zakresie w jakim decyzja ta odnosi się do umorzenia postępowania w zakresie udostępnienia danych osobowych; 2. uchyla pkt 1 zaskarżonej decyzji; 3. oddala skargę kasacyjną w pozostałej części.

Uzasadnienie

Wyrokiem z dnia 8 listopada 2022 r., sygn. akt II SA/Wa 411/22, Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu sprawy ze skargi A.Z. (dalej jako "skarżąca" albo "skarżąca kasacyjnie"; obecne nazwisko K. – uwaga Naczelnego Sądu Administracyjnego) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej jako "Prezes UODO" albo "organ") z dnia 29 grudnia 2021 r. nr ZSZZS.440.835.2018.ZS.JK w przedmiocie przetwarzania danych osobowych, oddalił skargę.

U podstaw rozstrzygnięcia wydanego przez Sąd pierwszej instancji legły następujące ustalenia oraz ocena prawna.

Skarżąca w piśmie z 14 listopada 2018 r. (data wpływu do Urzędu Ochrony Danych Osobowych – 26 listopada 2018 r.) wniosła do Prezesa UODO skargę na przetwarzanie, w tym udostępnienie jej danych osobowych osobom trzecim, przez J.Z. prowadzącego działalność gospodarczą pod firmą H. "H." J.Z. w P. (dalej również jako "przedsiębiorca"). Skarżąca zażądała usunięcia uchybień, usunięcia danych przetwarzanych bez podstawy prawnej, zaprzestania przetwarzania danych przez przedsiębiorcę oraz nałożenia na przedsiębiorcę kary administracyjnej.