III OSK 1373/24

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Tamara Dziełakowska Sędziowie: sędzia NSA Zbigniew Ślusarczyk sędzia del. WSA Ireneusz Dukiel (sprawozdawca) po rozpoznaniu w dniu 14 lipca 2026 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] Izby Lekarskiej z siedzibą w K. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 listopada 2023 r. sygn. akt II SA/Wa 1078/23 w sprawie ze skargi [...] Izby Lekarskiej z siedzibą w K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 22 marca 2023 r. nr DS.523.1115.2021.ZS.OR.205524 w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 15 listopada 2023 r., sygn. akt II SA/Wa 1078/23, oddalił skargę [...] Izby Lekarskiej w K. (dalej jako Izba, strona skarżąca lub skarżąca kasacyjnie) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej jako organ lub PUODO) z dnia 22 marca 2023 r., nr DS.523.1115.2021.ZS.OR.205524, w przedmiocie przetwarzania danych osobowych. Wskazany wyrok został wydany w następujących okolicznościach faktycznych i prawnych: Do organu wpłynęła skarga J.C. (dalej jako Wnioskodawczyni) na nieprawidłowe przetwarzanie jej danych osobowych przez Izbę, polegające na udostępnieniu J.K. (dalej jako Pracownik) danych osobowych dotyczących wynagrodzenia Wnioskodawczyni. W skardze Wnioskodawczyni podniosła, że pracowała w Izbie, gdzie przez kilka lat wiceprezesem był Pracownik. We wrześniu 2020 r. Wnioskodawczyni występowała jako świadek przed Okręgowym Sądem Lekarskim w P. (dalej jako Sąd Lekarski) w sprawie przeciwko Pracownikowi o jego nieetyczne postępowanie wobec jednego z pracowników Izby. Stroną tego postępowania był Pracownik, nie zaś Izba. Pracownik z własnej woli – bez wezwania sądu ani jakiegokolwiek innego nakazu uprawnionego do tego organu – pozyskał informacje dotyczące wynagrodzeń Wnioskodawczyni, w tym wypłat za prace w godzinach nadliczbowych, nie będąc osobą do tego uprawnioną ani zobowiązaną, a następnie posłużył się nimi przesyłając je do Sądu Lekarskiego. Organ wskazaną powyżej decyzją z dnia 22 marca 2023 r. udzielił stronie skarżącej upomnienia za naruszenie art. 5 ust. 1 lit. b oraz art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 ze zm., dalej jako RODO), polegające na udostępnieniu Pracownikowi danych osobowych Wnioskodawczyni dotyczących wynagrodzenia niezgodnie z celem, dla którego zostały zebrane. Uzasadniając swoją decyzję PUODO wskazał, że Izba przetwarza dane osobowe Wnioskodawczyni w celach archiwalnych w związku z tym, że była ona w przeszłości jej pracownikiem. Izba jest obowiązana jako pracodawca przetwarzać dokumentację płacową dotyczącą swoich pracowników. Jednocześnie organ podniósł, iż nie neguje potrzeby Pracownika co do obrony w sprawie zawisłej przed Sądem Lekarskim lecz sposób wykorzystania danych osobowych Wnioskodawczyni pochodzących z akt płacowych Izby. W ocenie organu Pracownik miał prawo pozyskać i następnie wykorzystać dane osobowe Wnioskodawczyni, jeżeli było to niezbędne do ochrony jego praw, jednakże powinien to był uczynić z zachowaniem zasad wynikających z przepisów o ochronie danych osobowych. Izba nie dopełniła obowiązku dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności obowiązku zapewnienia, aby dane te były zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami. Izba jako administrator powinna mieć pełną kontrolę nad procesem przetwarzania danych tak, aby był on zgodny z przepisami prawa. Musi mieć też pełną wiedzę na temat całości procesu przetwarzania danych oraz musi weryfikować zachowania pracowników pod kątem przestrzegania przez nich zasad ochrony danych osobowych. Izba powinna odnotować fakt wykorzystania danych osobowych Wnioskodawczyni zawartych w aktach płacowych przez Pracownika, a przed ich udostępnieniem ocenić czy ich przekazanie mieści się w jej prawnie uzasadnionych interesach. Zdaniem PUODO z akt postępowania wynika tymczasem, że Izba nie miała wiedzy na temat wykorzystania danych osobowych, pochodzących z jej zbiorów, w prywatnej sprawie Pracownika. Bez znaczenia pozostaje fakt nadania Pracownikowi upoważnienia do przetwarzania danych osobowych, bowiem obejmuje ono tylko procesy przetwarzania w zakresie niezbędnym do wykonywania obowiązków wynikających ze stosunku pracy i realizowanych zadań w określonych przez administratora celach. Organ podzielił również aktualne na gruncie RODO stanowisko Naczelnego Sądu Administracyjnego, wyrażone w wyroku z dnia 4 kwietnia 2003 r., sygn. akt II SA 2935/02, że za działania swoich pracowników w zakresie naruszenia ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych odpowiada administrator. Podsumowując PUODO stwierdził, że ustalone w sprawie okoliczności potwierdzają, że udostępnienie przez Izbę danych osobowych Wnioskodawczyni, do celów prywatnych Pracownika, stanowiło naruszenie art. 5 ust. 1 lit. b oraz art. 6 ust. 1 RODO. Izba, w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie, zarzuciła organowi naruszenie: a) prawa materialnego, tj. art. 5 ust. 1 lit. b oraz art. 6 ust. 1 RODO, poprzez ich niewłaściwe zastosowanie i przyjęcie, że udostępnienie Pracownikowi danych osobowych Wnioskodawczyni, dotyczących wynagrodzenia, nastąpiło niezgodnie z celem, dla którego zostały zebrane co skutkowało niesłusznym uznaniem, że doszło do naruszenia przepisów RODO, skutkujących następnie upomnieniem strony skarżącej podczas gdy udostępnienie danych Pracownikowi nastąpiło zgodnie z posiadanym przez niego upoważnieniem do przetwarzania danych osobowych, b) przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 7, art. 77 § 1 i art. 80 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie t. jedn.: Dz. U. z 2025 r. poz. 1691, dalej jako k.p.a.), polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie, co przejawiało się w uznaniu, iż organ udostępnił Pracownikowi dane osobowe Wnioskodawczyni, dotyczące jej wynagrodzenia niezgodnie z celem, dla którego zostały zebrane, podczas gdy Pracownik - w dacie udostępnienia danych osobowych - był władny je pozyskać w ramach posiadanych uprawnień. Sąd pierwszej instancji, opisanym na wstępie wyrokiem z dnia 15 listopada 2023 r., skargę oddalił. W uzasadnieniu wskazano, że w sprawie są bezsporne kluczowe fakty, tj. wykorzystanie przez Pracownika w postępowaniu przed Sądem Lekarskim danych osobowych, dotyczących wynagrodzenia Wnioskodawczyni, których administratorem była Izba, niezgodnie z celem z jakim je zgromadzono (dla potrzeb Izby), a także, iż Pracownika upoważniono do pozyskiwania danych płacowych w Izbie dla celów wykonywania jego zadań określanych jako czynności z zakresu prawa pracy. Spór w sprawie sprowadza się natomiast do tego, czy - wobec wykorzystania danych Wnioskodawczyni niezgodnie z celem w jakim były gromadzone (w trakcie procesu, gdzie stroną był Pracownik, nie zaś Izba) - można przypisać Izbie odpowiedzialność za konkretną nieprawidłowość w procesie przetwarzania. Jest to bowiem niezbędną przesłanką udzielenia upomnienia. Instytucja ta, jako środek dyscyplinujący, ma bowiem służyć eliminowaniu nieprawidłowości po stronie administratora, nie zaś stanowić wyłącznie urzędowe potwierdzenie wystąpienia nieprawidłowości w zakresie przetwarzania danych. Zwrócono uwagę, że w uzasadnieniu skarżonego aktu organ wskazał jednoznacznie, że nieprawidłowości w zakresie przetwarzania danych Wnioskodawczyni - właściwej ochrony informacji o jej wynagrodzeniu - dopatruje się w braku właściwego monitorowania pozyskiwania konkretnych informacji przez osobę, wykonującą zadania określone jako czynności z zakresu prawa pracy - tu Pracownika. Organ odnotował, że Izba nie dysponowała informacjami, jakie dane o płacach były pozyskiwane z administrowanych zasobów oraz w jakich celach. Nieprawidłowości w tym zakresie ujawniono dopiero wobec wystąpienia zgłoszonego przez Wnioskodawczynię przypadku wykorzystania jej danych osobowych w innych celach niż je zgromadzono (legalnie przetwarzał je administrator - Izba). Sąd Wojewódzki podniósł, że chybione są wywody skargi, gdzie wskazywano, iż legalność użycia określonych danych osobowych Wnioskodawczyni przez Pracownika należy rozważać w kontekście ochrony jego praw przed sądem - przy wykorzystaniu wszelkich środków dowodowych. W danym przypadku bowiem przedmiotem rozważań organu nie było przetworzenie danych osobowych Wnioskodawczyni przez Pracownika w ramach ich przedłożenia w postępowaniu przed Sądem Lekarskim (nie stanowiło to przetworzenia danych przez samą stronę skarżącą), lecz wyłącznie proces ich pozyskania z zasobów Izby, jako administratora. Pracownik uczynił to wykraczając poza wykonywanie zadań na rzecz Izby, co było następstwem braku właściwych procedur nadzoru ze strony administratora – strony skarżącej. W skardze kasacyjnej Izba zarzuciła zaskarżonemu wyrokowi naruszenie: a) przepisów prawa materialnego, tj. art. 5 ust. 1 lit. b oraz art. 6 ust. 1 RODO poprzez jego niewłaściwe zastosowanie i przyjęcie, że udostępnienie pracownikowi danych osobowych wnioskodawczyni dotyczących jej wynagrodzenia nastąpiło niezgodnie z celem, dla którego zostały zebrane, co skutkowało niesłusznym uznaniem, że doszło do naruszenia ww. przepisów RODO skutkujących upomnieniem strony skarżącej, podczas gdy udostępnienie danych pracownikowi nastąpiło zgodnie z posiadanym przez niego upoważnieniem do przetwarzania danych osobowych, b) przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 3 § 1 i art. 145 § 1 pkt 1 lit. c) ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (obecnie t. jedn.: Dz. U. z 2026 r., poz. 143 ze zm., dalej jako u.p.p.s.a.) w zw. art. 7, art. 77 § 1 i art. 80 k.p.a. polegające na tym, że Sąd pierwszej instancji w wyniku niewłaściwej kontroli polegającej na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie przejawiającej się w uznaniu, że strona skarżąca udostępniła pracownikowi dane osobowe wnioskodawczyni dotyczące wynagrodzenia jako osobie, która nie jest do tego uprawniona i zobowiązana oraz niezgodnie z celem, dla którego zostały zebrane, podczas gdy pracownik w dacie udostępnienia danych osobowych dotyczących wynagrodzenia wnioskodawczyni był uprawniony do ich pozyskania w ramach posiadanych uprawnień. Skarżąca kasacyjnie wniosła o uchylenie wyroku i przekazanie sprawy do ponownego rozpoznania Sądowi pierwszej instancji oraz o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. Odpowiedzi na skargę kasacyjną nie wniesiono. Naczelny Sąd Administracyjny zważył, co następuje: Skoro w niniejszej sprawie pełnomocnik strony skarżącej kasacyjnie – na podstawie art. 176 § 2 u.p.p.s.a. – nie wnosił o przeprowadzenie rozprawy, a strona przeciwna w ustawowym terminie nie zawnioskowała o jej przeprowadzenie, to rozpoznanie skargi kasacyjnej nastąpiło na posiedzeniu niejawnym, zgodnie z art. 182 § 2 i 3 u.p.p.s.a. Stosownie do treści art. 183 § 1 u.p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej z urzędu biorąc pod rozwagę jedynie nieważność postępowania. Wobec niestwierdzenia żadnej z wad wymienionych w art. 183 § 2 u.p.p.s.a., a nadto w związku z niezaistnieniem przesłanek, o których mowa w art. 189 u.p.p.s.a., Naczelny Sąd Administracyjny dokonał kontroli zaskarżonego wyroku w zakresie wyznaczonym podstawami kasacyjnymi. Skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 u.p.p.s.a.). Autor skargi kasacyjnej powołał obie podstawy określone w art. 174 u.p.p.s.a., zarzucając zarówno naruszenie przepisów postępowania, jak i prawa materialnego. Zarzuty te pozostają jednak ze sobą ściśle związane i opierają się na tej samej argumentacji. Skarżąca kasacyjnie nie kwestionuje bowiem ustalonego przez organy i zaakceptowanego przez Sąd pierwszej instancji przebiegu zdarzeń, lecz wywodzi z niego odmienne skutki prawne. Bezsporne pozostaje, że dane osobowe Wnioskodawczyni dotyczące jej wynagrodzenia zostały pozyskane przez Pracownika z zasobów Izby w okresie, gdy pełnił on funkcję wiceprezesa, posiadał stosowne upoważnienie do przetwarzania danych osobowych oraz wykonywał czynności z zakresu prawa pracy. Bezsporne jest również, że dane te zostały następnie wykorzystane przez Pracownika jako materiał dowodowy w postępowaniu prowadzonym przed Sądem Lekarskim, w którym występował on we własnym interesie, a nie jako organ lub przedstawiciel Izby. Istota sporu nie dotyczy zatem tego, czy Pracownik był uprawniony do dostępu do danych osobowych Wnioskodawczyni. Okoliczność ta nie była kwestionowana ani przez organ, ani przez Sąd pierwszej instancji. Przedmiotem sporu pozostaje natomiast odpowiedź na pytanie, czy administrator danych osobowych ponosi odpowiedzialność za dalsze wykorzystanie tych danych przez osobę upoważnioną do ich przetwarzania, jeżeli nastąpiło ono poza celem, dla którego dane zostały udostępnione. Tak rozumiana istota sprawy wyznacza również zakres kontroli kasacyjnej. Argumentacja skargi kasacyjnej opiera się bowiem na założeniu, że skoro Pracownik uzyskał dostęp do danych zgodnie z posiadanym upoważnieniem, to jego późniejsze działania nie mogą zostać przypisane administratorowi danych. Zdaniem skarżącej kasacyjnie odpowiedzialność za wykorzystanie danych w prywatnym interesie obciąża wyłącznie osobę, która dopuściła się takiego działania, nie zaś administratora. Stanowiska tego nie można podzielić. Przystępując do szczegółowych rozważań w pierwszej kolejności odnieść należy się do zarzutów naruszenia przepisów postępowania. W ich ramach skarżąca kasacyjnie zarzuca Sądowi pierwszej instancji naruszenie art. 145 § 1 pkt 1 lit. c u.p.p.s.a. w zw. z art. 7, art. 77 § 1 oraz art. 80 k.p.a., wywodząc, że organy błędnie ustaliły, iż dane osobowe Wnioskodawczyni zostały udostępnione Pracownikowi niezgodnie z celem, dla którego zostały zgromadzone. Zarzut ten został jednak oparty na wadliwym założeniu co do przedmiotu ustaleń faktycznych poczynionych w sprawie. Ani organ, ani Sąd pierwszej instancji nie przyjęły bowiem, że samo uzyskanie przez Pracownika dostępu do danych osobowych Wnioskodawczyni nastąpiło bez podstawy prawnej lub z przekroczeniem zakresu udzielonego mu upoważnienia. Wręcz przeciwnie, z uzasadnienia zaskarżonego wyroku jednoznacznie wynika, że Pracownik posiadał uprawnienie do przetwarzania danych osobowych pracowników Izby w zakresie niezbędnym do wykonywania powierzonych mu obowiązków. W przedmiotowej sprawie nie zakwestionowano zatem legalności samego dostępu do danych. Przedmiotem oceny było natomiast dalsze wykorzystanie tych danych w celu pozostającym poza zakresem zadań realizowanych na rzecz administratora. Okoliczności te zostały ustalone na podstawie materiału dowodowego, którego kompletności ani wiarygodności skarżąca kasacyjnie skutecznie nie podważyła. Nie wskazano żadnego dowodu pominiętego przez organ ani żadnej okoliczności faktycznej, która wymagałaby dodatkowego wyjaśnienia. W rzeczywistości zarzut naruszenia art. 7, art. 77 § 1 i art. 80 k.p.a. sprowadza się do polemiki z oceną prawną ustalonych faktów, nie zaś do wykazania wadliwości samego postępowania dowodowego. W konsekwencji brak jest podstaw do przyjęcia, że Sąd pierwszej instancji, dokonując kontroli legalności zaskarżonej decyzji, naruszył wskazane w skardze kasacyjnej przepisy postępowania. PUODO zgromadził kompletny materiał dowodowy, ustalił wszystkie okoliczności mające znaczenie dla rozstrzygnięcia sprawy, a dokonana przez niego ocena zgromadzonych dowodów odpowiada wymaganiom wynikającym z art. 80 k.p.a. Nie oznacza to jednak, że bezzasadność zarzutów procesowych przesądza o zasadności stanowiska organu. Dla rozstrzygnięcia sprawy kluczowe pozostaje bowiem udzielenie odpowiedzi na pytanie, czy wykorzystanie przez osobę upoważnioną danych osobowych poza celem, dla którego zostały jej udostępnione, może zostać przypisane administratorowi danych jako naruszenie obowiązków wynikających z przepisów RODO. Dopiero ocena tej kwestii pozwala zweryfikować zasadność zarzutów naruszenia prawa materialnego. Odnosząc się z kolei do zarzutów naruszenia art. 5 ust. 1 lit. b oraz art. 6 ust. 1 RODO podnieść należy, że punktem wyjścia argumentacji skarżącej kasacyjnie jest twierdzenie, że skoro Pracownik posiadał upoważnienie do przetwarzania danych osobowych pracowników Izby, to administrator nie może ponosić odpowiedzialności za sposób, w jaki następnie wykorzystał pozyskane informacje. Zdaniem skarżącej kasacyjnie sam fakt istnienia upoważnienia wyłącza możliwość przypisania administratorowi naruszenia zasad przetwarzania danych osobowych. Stanowisko to wynika jednak z utożsamienia dwóch odrębnych zagadnień, które na gruncie RODO podlegają odrębnej ocenie. Pierwszym jest dopuszczenie określonej osoby do przetwarzania danych osobowych w imieniu administratora. Drugim natomiast jest zgodność konkretnej operacji przetwarzania z celem, dla którego administrator dane te zgromadził i udostępnił osobie upoważnionej. Nie budzi wątpliwości, że Pracownik posiadał upoważnienie do przetwarzania danych osobowych pracowników Izby w zakresie wykonywanych obowiązków służbowych. Z ustaleń przyjętych w sprawie wynika jednak jednoznacznie, że dane dotyczące wynagrodzenia Wnioskodawczyni zostały następnie wykorzystane przez niego w postępowaniu, w którym występował we własnym interesie procesowym, a nie w ramach wykonywania zadań powierzonych przez administratora. Oznacza to, że dalsze wykorzystanie danych nastąpiło w celu całkowicie odmiennym od tego, dla którego administrator dane te przetwarzał. Okoliczność, że osoba posiada uprawnienie dostępu do określonych danych osobowych, nie oznacza jeszcze, że jest uprawniona do wykorzystywania ich w każdym dowolnie obranym celu. Upoważnienie do przetwarzania danych nie ma charakteru blankietowego. Zakres dopuszczalnego przetwarzania wyznaczają bowiem nie tylko kategorie danych, do których osoba uzyskała dostęp, lecz również cel, w jakim administrator dopuścił ją do wykonywania operacji przetwarzania. Inaczej rzecz ujmując, legalność dostępu do danych nie przesądza jeszcze o legalności każdej późniejszej operacji wykonywanej na tych danych. Z tego względu nie można podzielić stanowiska skarżącej kasacyjnie, że odpowiedzialność administratora wygasa z chwilą udzielenia pracownikowi upoważnienia do przetwarzania danych osobowych. Przyjęcie takiego poglądu prowadziłoby do pozbawienia praktycznego znaczenia podstawowych obowiązków administratora wynikających z RODO. To administrator decyduje bowiem o celach i sposobach przetwarzania danych osobowych. Z tego względu odpowiada również za takie zorganizowanie procesu przetwarzania, aby osoby działające z jego upoważnienia wykorzystywały dane wyłącznie w granicach określonych przez administratora i wynikających z przepisów prawa. Obowiązek ten znajduje wyraz przede wszystkim w zasadzie ograniczenia celu przetwarzania oraz w zasadzie rozliczalności. Pierwsza z nich wymaga, aby dane osobowe były wykorzystywane wyłącznie dla realizacji celu, dla którego zostały zebrane. Druga nakłada na administratora obowiązek wykazania przestrzegania wszystkich zasad przetwarzania danych osobowych. Odpowiedzialność administratora nie ogranicza się zatem do samego formalnego nadania upoważnień osobom przetwarzającym dane, lecz obejmuje również obowiązek zapewnienia, aby proces przetwarzania pozostawał pod jego rzeczywistą kontrolą. W tym właśnie aspekcie organ oraz Sąd pierwszej instancji dostrzegły naruszenie przepisów RODO. Nie przypisano bowiem Izbie odpowiedzialności za sam fakt, że Pracownik dopuścił się nielojalnego wykorzystania danych osobowych. Organ nie kwestionował również, iż Pracownik był osobą uprawnioną do dostępu do dokumentacji płacowej. Istota naruszenia polegała natomiast na tym, że administrator nie zapewnił takich rozwiązań organizacyjnych, które pozwalałyby zagwarantować wykorzystywanie danych wyłącznie zgodnie z celem ich przetwarzania. Jak trafnie zauważył Sąd pierwszej instancji, z ustaleń poczynionych przez organ wynika, że administrator nie posiadał wiedzy o pobraniu danych w celu niezwiązanym z wykonywaniem obowiązków służbowych. Jednocześnie nie funkcjonowały rozwiązania umożliwiające identyfikację celu, w jakim osoba upoważniona korzystała z dokumentacji zawierającej dane osobowe pracowników. W konsekwencji administrator utracił faktyczną kontrolę nad dalszym wykorzystywaniem danych znajdujących się w administrowanych przez niego zbiorach. Nie sposób zgodzić się z argumentacją skarżącej kasacyjnie, że okoliczność ta pozostaje bez znaczenia z uwagi na samodzielne działanie Pracownika. Nie ulega wątpliwości, że Pracownik wykorzystał dane osobowe Wnioskodawczyni dla realizacji własnego interesu procesowego. Okoliczność ta może rodzić jego odpowiedzialność na innych płaszczyznach prawnych. Nie eliminuje jednak odpowiedzialności administratora za sposób zorganizowania procesu przetwarzania danych osobowych. Przyjęcie odmiennego stanowiska prowadziłoby do wniosku, że administrator nie ponosi odpowiedzialności za żadne nadużycie dokonane przez osobę posiadającą legalny dostęp do danych osobowych. Tymczasem właśnie takie sytuacje stanowią jeden z podstawowych obszarów ryzyka, któremu mają przeciwdziałać obowiązki organizacyjne administratora wynikające z RODO. Nie można bowiem utożsamiać działania osoby upoważnionej poza zakresem udzielonego jej umocowania z okolicznością zwalniającą administratora z odpowiedzialności za organizację procesu przetwarzania danych. Przeciwnie, wykorzystanie danych osobowych do celu pozostającego poza zakresem wykonywanych obowiązków służbowych oznacza, że zastosowane przez administratora środki organizacyjne okazały się niewystarczające dla zapewnienia przestrzegania zasady ograniczenia celu przetwarzania. W realiach niniejszej sprawy nie ma zatem decydującego znaczenia to, czy Pracownik był formalnie uprawniony do zapoznania się z dokumentacją płacową Wnioskodawczyni. Okoliczność ta pozostaje bezsporna. Rozstrzygające jest natomiast to, że administrator nie wykazał, aby dalsze wykorzystanie tych danych nastąpiło w ramach celu, dla którego zostały one zgromadzone i udostępnione osobie upoważnionej. W konsekwencji Naczelny Sąd Administracyjny podziela stanowisko Sądu pierwszej instancji, że ustalone w sprawie okoliczności uzasadniały przyjęcie naruszenia przez administratora zasady ograniczenia celu przetwarzania danych osobowych, a tym samym nie było podstaw do zakwestionowania zastosowanego przez PUODO środka przewidzianego w art. 58 ust. 2 lit. b RODO. Zarzuty skargi kasacyjnej nie podważyły trafności tej oceny. W istocie sprowadzają się one do prezentacji odmiennej wykładni obowiązków administratora danych osobowych oraz zakresu jego odpowiedzialności za działania osób upoważnionych do przetwarzania danych. Wykładni tej, z przyczyn przedstawionych wyżej, Naczelny Sąd Administracyjny nie podziela. Skoro zatem skarga kasacyjna nie zawierała usprawiedliwionych podstaw, gdyż żaden z podniesionych w niej zarzutów nie zasługiwał na uwzględnienie, to Naczelny Sąd Administracyjny, działając na podstawie art. 184 u.p.p.s.a., oddalił skargę kasacyjną.