Wyrok WSA w Warszawie, sygn. akt II SA/Wa 781/16
Wojewódzki Sąd Administracyjny w Warszawie
Data orzeczenia: 2016-11-23 00:00:00+01:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Oddalono skargę
Powołane przepisy: article: art. 7 pkt 2, art. 36, art. 37 i art. 39
journal: Dz.U. 2002 nr 101 poz 926
law: Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
article: art. 190
journal: Dz.U. 2016 poz 718
law: Ustawa z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity

SENTENCJA

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska (sprawozdawca), Sędziowie WSA Ewa Grochowska-Jung, Danuta Kania, , Protokolant sekretarz sądowy Agnieszka Wiechowicz, po rozpoznaniu na rozprawie w dniu 23 listopada 2016 r. sprawy ze skargi Fundacji [...] z siedzibą w [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2014 r. nr [...] w przedmiocie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych oddala skargę.


UZASADNIENIE

Decyzją z dnia [...] października 2013 r., Generalny Inspektor Ochrony Danych Osobowych nakazał Fundacji [...] z siedzibą w [...], jako administratorowi danych, usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez:

zastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych przesyłanych za pomocą formularza umieszczonego w portalu [...] odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, poprzez zabezpieczenie danych protokołem szyfrującym, w terminie 14 dni od dnia, w którym niniejsza decyzja stanie się ostateczna;

opracowanie i wdrożenie dokumentacji dotyczącej przetwarzania danych, tj. polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym służącym przetwarzaniu danych osobowych, w terminie 14 dni od dnia, w którym niniejsza decyzja stanie się ostateczna;

wyznaczenie administratora bezpieczeństwa informacji, w terminie 7 dni od dnia, w którym niniejsza decyzja stanie się ostateczna;

nadanie osobom dopuszczonym do przetwarzania danych osobowych upoważnienia do przetwarzania danych, w terminie 7 dni od dnia, w którym niniejsza decyzja stanie się ostateczna;

opracowanie ewidencji osób upoważnionych do przetwarzania danych, w terminie 7 dni od dnia, w którym niniejsza decyzja stanie się ostateczna;

określenie w umowie zawartej na piśmie w dniu [...] maja 2011 r. z [...] Sp. z o.o. z siedzibę w [...], o której mowa w art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zakresu i celu powierzenia danych osobowych przetwarzanych w ramach portalu internetowego [...] oraz ich dalszego powierzania przez [...] Sp. z o.o. innym podmiotom, w terminie 30 dni od dnia, w którym mniejsza decyzja stanie się ostateczna.

W uzasadnieniu decyzji Generalny Inspektor powołał się na przepisy art. 31, 36 ust. 1, ust. 2, ust. 3, 37, 39 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Podał, że upoważnieni inspektorzy dokonali kontroli przetwarzania przez Fundację w systemie informatycznym danych osobowych w ramach portalu internetowego o nazwie [...] Przeprowadzona kontrola wykazała, że Fundacja jako administrator danych naruszyła przepisy o ochronie danych osobowych i stwierdzono następujące uchybienia:

niezastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, tj. dane osobowe przesyłane za pomocą formularza umieszczonego w portalu [...] nie zostały zabezpieczone protokołem szyfrującym (art. 36 ust. 1 ustawy);

nieopracowanie i nie wdrożenie dokumentacji dotyczącej przetwarzania danych, tj. polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych (art. 36 ust. 2 ustawy);

niepowołanie administratora bezpieczeństwa informacji (art. 36 ust. 3 ustawy);

dopuszczenie do przetwarzania danych osobowych osoby nieposiadającej upoważnienia do przetwarzania danych (art. 37 ustawy);

nieprowadzenie ewidencji osób upoważnionych do przetwarzania danych (art. 39 ust. 1 ustawy);

nieokreślenie w umowie, o której mowa w art. 31 ustawy, zakresu i celu powierzenia danych osobowych przetwarzanych w ramach portalu internetowego [...].

Ustaleń tych organ dokonał na podstawie protokołu kontroli, zeznań świadków, dowodów z dokumentów (umowy) oraz opinii Dyrektora Departamentu [...] BiuraGIODO. Organ odmówił natomiast uwzględnienia wniosku Fundacji o przeprowadzenie dowodu z opinii biegłego kryptologa. Organ uznał, że Fundacja przetwarza dane osobowe. Nie ma klucza deszyfrującego dane, ale mając dostęp do serwera (login i hasło) jest w stanie wyłączyć szyfrowanie danych. Skoro dane nie są zabezpieczone protokołem szyfrującym, to konieczne jest nakazanie działań zabezpieczających.

Fundacja złożyła do Generalnego Inspektora Ochrony Danych Osobowych wniosek o ponowne rozpatrzenie sprawy, zarzucając, że decyzja została wydana z naruszeniem następujących przepisów:

1) art. 80, art. 7 i art. 77 K.p.a. w zw. z art. 21 ustawy o ochronie danych osobowych poprzez dowolną, a nie swobodną ocenę dowodów i oparcie decyzji na opinii dyrektora Departamentu [...] Biura GIODO z dnia [...] lipca 2013 r., pomimo wadliwości tej opinii polegającej na uznaniu, że strona przetwarza dane osobowe na podstawie oceny tego, jak portal [...] mógłby funkcjonować po jego zmianach, a nie w oparciu o rzeczywiste zasady działania tego portalu. W konsekwencji wydano decyzję z pominięciem oceny rzeczywistych zasad działania portalu [...], istniejących w dacie wydania decyzji;

art. 79 § 1 i 2 K.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych poprzez przeprowadzenie dowodu z opinii biegłego - dyrektora Departamentu [...]Biura GIODO pomimo niezawiadomienia strony o tym dowodzie i uniemożliwienie stronie zadawania pytań związanych z tą opinią;

art. 7, art. 77 § 1, art. 107 § 3 K.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych w zw. z art. 6 ust. 1 i 3 tej ustawy poprzez zaniechanie ustalenia, jakich działań wymagałoby odszyfrowanie informacji krótkotrwale zapisywanych w zaszyfrowanej formie w bazie portalu [...] bez wcześniejszego anulowania funkcji szyfrowania, a także odszyfrowanie takich informacji zapisanych przed anulowaniem funkcji szyfrowania, a także odszyfrowanie takich informacji zapisanych przed anulowaniem funkcji szyfrowania i czy tym samym informacje te w ogóle można uznać za umożliwiające określenie tożsamości osoby;

art. 7, art. 77 § 1, art. 107 § 3 K.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych i w zw. z art. 7 ust. 4 tej ustawy poprzez zaniechanie ustaleń, czy strona decyduje o środkach i celach przetwarzania danych osobowych (o ile takie dane są przetwarzane w ramach portalu [...]) i jedynie arbitralne stwierdzenie, że strona jest administratorem. W konsekwencji strona została błędnie uznana za administratora danych i błędnie zastosowano art. 36, art. 37, art. 39 i art. 31 ustawy o ochronie danych osobowych;

art. 107 § 1 K.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych poprzez nieoznaczenie daty wydania decyzji.

Podnosząc powyższe zarzuty wniosła o uchylenie decyzji w całości i umorzenie postępowania w całości.

Generalny Inspektor Ochrony Danych Osobowych, w wyniku ponownego rozpatrzenia sprawy, decyzją z dnia[...] marca 2014 r., utrzymał w mocy zaskarżoną decyzję. Jako podstawę prawną przywołał przepisy art. 138 § 1 pkt 1 K.p.a. oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 i art. 22 w związku z art. 31 ust. 1 i 2, art. 36 ust. 1, 2 i 3, art. 37 i art. 39 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Przedstawił przebieg dotychczasowych czynności procesowych. Rozważył zdefiniowane w art. 6 ustawy pojęcie danych osobowych. W związku z tym ustalił, że pozyskiwanie danych za pośrednictwem portalu [...] odbywa się w kilku etapach. W pierwszym etapie osoba zgłaszająca wykroczenie/przestępstwo jest zobowiązana do zapoznania się i zaakceptowania regulaminu portalu, następnie wypełnia formularz zawierający informacje o zdarzeniu. W formularzu podaje informacje o miejscu zdarzenia, tj. województwo, powiat, miasto, ulicę. Następnie określa rodzaj zdarzenia: przemoc fizyczna, przemoc psychiczna, przemoc w rodzinie, kradzież, grupy przestępcze, narkotyki, wykroczenia drogowe, pedofilia, znęcanie się nad zwierzętami. W zależności od rodzaju i miejsca zdarzenia system wskazuje jakie instytucje (Policja, Straż Miejska, Ośrodki Pomocy Społecznej) powinny zostać powiadomione o zdarzeniu. Po wypełnieniu formularza osoba zgłaszająca ma obowiązek opisania zdarzenia ze wskazaniem jak największej ilości faktów i danych oraz jest zobowiązana do podania swoich danych w zakresie imienia, nazwiska, nr telefonu. Instytucja bądź instytucje, które zostały wskazane w zgłoszeniu otrzymują z portalu na swoją skrzynkę pocztową wiadomość z informacjami z formularza zgłoszeniowego wraz z nr IP, z którego wiadomość została wysłana. W konsekwencji organ uznał, że dane w zakresie: imienia, nazwiska, nr telefonu, nr IP stanowią dane osobowe w rozumieniu art. 6 powołanej ustawy.

Następnie organ przytoczył treść przepisu art. 7 pkt 2 ustawy, definiującego przetwarzanie danych osobowych. Ustalił, że dane (imię, nazwisko, nr telefonu, treść przesyłanej wiadomości) są wprowadzane do portalu [...] zapisywane krótkotrwale w bazie portalu [...] w formie zaszyfrowanej, wysyłane, a następnie usuwane z bazy tego portalu. W momencie wysyłania wiadomości do instytucji wskazanych w zgłoszeniu zdarzenia dane mają formę jawną, tj. są deszyfrowane przez mechanizmy portalu. Dane po wysłaniu wiadomości lub zamknięciu formularza przeglądarki są usuwane z bazy portalu [...] Portal internetowy [...] służy wyłącznie do przekazywania danych do instytucji wskazanych w zgłoszeniu zdarzenia. Inne operacje na danych nie są dokonywane. Z tego powodu, operacje wykonywane na przedmiotowych danych przy pomocy portalu [...] organ uznał za przetwarzanie danych w rozumieniu art. 7 pkt 2 przedmiotowej ustawy. Jednocześnie przyjął, że krótkotrwałe szyfrowanie danych służy wyłącznie ich zabezpieczeniu i nie pozbawia ich waloru danych osobowych, zwłaszcza że są one wysyłane do wskazanej w formularzu zgłoszenia zdarzenia instytucji w formie jawnej wiadomości e-mail. Jednocześnie organ zaznaczył, że portal internetowy [...] nie służy do archiwizowania danych przesłanych za jego pośrednictwem, co nie zmienia faktu, że służy on do przetwarzania danych osobowych. Wobec powyższego, wyłączenie szyfrowania nie umożliwi odczytania informacji/danych wysłanych przed wyłączeniem tej funkcji.

Generalny Inspektor powołał następnie art. 7 pkt 4 ustawy o ochronie danych osobowych, zgodnie z którym, przez administratora danych rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. W związku z tą kwestią ustalił, że Fundacja opracowała i wdrożyła portal internetowy o nazwie [...] dostępny na stronie internetowej www.[...] w związku z realizacją swoich statutowych zadań, tj. zapobieganiu łamania prawa, pomocy ofiarom przestępstw w ujawnianiu przypadków łamania prawa oraz promocji i wspieraniu wszelkich inicjatyw zmierzających do zapobiegania i przeciwdziałania przestępczości oraz zwiększania wykrywalności przestępstw. Portal ten został stworzony na zlecenie Fundacji przez [...] Usługi Informatyczne K. Z. na podstawie umowy z dnia [...] maja 2011 r. W umowie Fundacja określiła wymagania techniczno -funkcjonalne jakie powinien spełniać portal [...] zasady i cel działania, środki zabezpieczające przetwarzanie w nim danych. Fundacja posiada login i hasło do serwera, na którym znajduje się portal, które umożliwiają jej wprowadzanie zmian w jego skryptach, a czynność ta nie wymaga poniesienia nadmiernych kosztów, czasu i działań. Biorąc pod uwagę powyższe ustalenia organ uznał, że Fundacja decyduje o celach i środkach przetwarzania danych osobowych, które są przesyłane za pośrednictwem portalu [...] a co za tym idzie jest administratorem danych w rozumieniu art. 7 pkt 4 ustawy.

Organ nie zgodził się z zarzutami podniesionymi we wniosku o ponowne rozpatrzenie sprawy, że przy wydawaniu zaskarżonej decyzji doszło do naruszenia wskazanych w nim przepisów art. 7, art. 77 § 1 oraz art. 107 § 3 K.p.a. w związku z art. 22 i art. 7 pkt 4 ustawy o ochronie danych osobowych. Zwrócił uwagę na to, że w toku postępowania Fundacja nie kwestionowała, że jest administratorem danych osobowych. Nawiązując do zarzutu naruszenia art. 7, art. 77 § 1 i art. 107 § 3 K.p.a. w związku z art. 22 i art. 6 ust. 1 i ust. 3, organ stwierdził, że funkcja szyfrowania danych na portalu [...] jest jedynie środkiem zabezpieczającym te dane w procesie ich przetwarzania. Skutkiem wyłączenia tej funkcji będzie to, że dostęp do danych znajdujących się w bazie portalu będzie możliwy poprzez bieżący wgląd w dane. Czynność wyłączenia funkcji szyfrowania wymaga jedynie dostępu do serwera na którym znajduje się portal [...] i nie wymaga od właściciela portalu poniesienia nadmiernych kosztów, czasu i działań. Dla wykonania tej czynności nie jest konieczne posiadanie przez Fundację klucza deszyfrującego. W tym zakresie organ oparł się także na zeznaniach świadków zawnioskowanych przez pełnomocnika Fundacji. Jak dalej wywodził organ, dla oceny sprawy było istotne ustalenie, czy Fundacja posiada rzeczywiste możliwości zmiany zasad przetwarzania danych w ramach portalu [...] i czy w związku z tym posiada władztwo w ramach portalu [...], tj. decyduje o celach i środkach ich przetwarzania. W ocenie organu posiada takie możliwości, a co za tym idzie jest administratorem tych danych i nie może być mowy o błędnym zastosowaniu art. 36, art. 37, art. 31 ustawy o ochronie danych osobowych.

Fundacja wniosła na powyższą decyzję skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżonej decyzji zarzuciła naruszenie:

1) art. 80, art. 7 i art. 77 § 1 K.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych, poprzez przyjęcie, że Fundacja [...] deszyfruje informacje przesyłane za pośrednictwem portalu [...], a dane są wysyłane w formie jawnej podczas gdy z zebranego w sprawie materiału to nie wynika, a wręcz przeciwnie ustalono, że informacje nie są zapisywane w bazie portalu w momencie tworzenia wiadomości, są chwilowo zapisywane w chwili wysyłania w formie rekordu z nieczytelnymi, zaszyfrowanymi danymi, który to rekord zostaje usunięty po zamknięciu przeglądarki. W konsekwencji błędnie przyjęto, że szyfrowanie przesyłanych informacji jest jedynie środkiem zabezpieczającym dane w procesie ich przetwarzania, a Fundacja przetwarza dane osobowe w ramach portalu [...];

art. 84 § 1, art. 78 § 1 i 2, art. 7, art. 77 § 1 K.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych, poprzez zaniechanie zasięgnięcia opinii biegłego w sprawie wymagającej wiadomości specjalnych i pomimo takiego wniosku strony oraz oparcie zaskarżonej decyzji na wadliwej opinii dyrektora Departamentu [...] Biura GIODO z dnia [...] lipca 2013 r. (argumentacja taka, jak we wniosku o ponowne rozpatrzenie sprawy);

art. 7, art. 77 § 1, art. 107 § 3 K.p.a. w zw. z art. 22 powołanej powyżej ustawy poprzez zaniechanie ustalenia, jakich działań wymagałoby odszyfrowanie informacji krótkotrwale zapisywanych w zaszyfrowanej formie w bazie portalu [...] i czy tym samym informacje te w ogóle można uznać za umożliwiające określenie tożsamości osoby i w konsekwencji błędne uznanie, że Fundacja [...] przetwarza dane osobowe w ramach portalu [...];

art. 138 § 1 pkt 1 K.p.a. i art. 21 ust. 1 przedmiotowej ustawy poprzez dokonanie kontroli decyzji poprzedzającej wyłącznie przez pryzmat zarzutów podniesionych przez stronę i zaniechanie ponownego rozpatrzenia sprawy, przez co zostało naruszone prawo strony do dwukrotnego rozpatrzenia sprawy.

Podnosząc powyższe zarzuty Fundacja wniosła o uchylenie zaskarżonej decyzji oraz utrzymanej nią w mocy decyzji poprzedzającej i zasądzenie na rzecz Fundacji kosztów postępowania.

Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o oddalenie skargi.

Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 12 listopada 2014 r. sygn. akt II SA/Wa 1013/14 uchylił zaskarżoną decyzję oraz poprzedzająca ją decyzję z dnia [...] października 2013 r. uznając, że zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych została wydana z naruszeniem prawa. W ocenie Sądu uzasadnienie decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2013 r. nie spełnia warunków określonych w art. 107 § 3 K.p.a., przez co doszło do naruszenia zasady zawartej w art. 7 K.p.a., tj. zasady dokonania niezbędnych ustaleń tak, aby w sposób nie budzący wątpliwości wyjaśnić stan faktyczny sprawy.

Sąd podkreślił, że uzasadnienie decyzji powinno zawierać dokładną analizę rozpoznawanej sprawy oraz w sposób jasny wskazywać, dlaczego w ustalonym stanie faktycznym niezbędne stało się wydanie takiego, a nie innego rozstrzygnięcia. Prawidłowo sformułowane uzasadnienie decyzji powinno odzwierciedlać poszczególne etapy prowadzonego postępowania administracyjnego, w tym postępowania dowodowego, nadto wskazać, jakie fakty ustalono oraz zawierać opis dokonanej subsumcji. Prawidłowe uzasadnienie decyzji ma nie tylko znaczenie prawne, ale i wychowawcze, bowiem pogłębia zaufanie uczestników postępowania do organów administracyjnych. Motywy decyzji winny odzwierciedlać rację decyzyjną i wyjaśnić tok rozumowań prowadzących do zastosowania konkretnego przepisu prawa materialnego w ustalonym stanie faktycznym. Motywy decyzji powinny być tak ujęte, aby strona mogła zrozumieć i w miarę możliwości zaakceptować zasadność przesłanek faktycznych i prawnych, którymi kierował się organ przy załatwianiu sprawy. Sąd powołał się na wyrok WSA w Warszawie z dnia 7 stycznia 2009 r., sygn. akt II SA/Wa 1245/08, wyrok WSA w Szczecinie z dnia 16 lipca 2008 r., sygn. akt I SA/Sz 151/08, dostępne pod adresem: orzeczenia.nsa.gov.pl.

Sąd pierwszej instancji podniósł też, że istotą postępowania odwoławczego, zgodnie z zasadą dwuinstancyjności postępowania wyrażoną w art. 15 K.p.a., jest ponowne merytoryczne rozpoznanie i rozstrzygnięcie indywidualnej sprawy administracyjnej. Istota administracyjnego toku instancji polega na dwukrotnym rozstrzygnięciu tej samej sprawy, nie zaś na kontroli zasadności argumentów podniesionych w stosunku do orzeczenia organu I instancji. Wynika to z art. 138 K.p.a., który przyznaje organowi odwoławczemu kompetencje do merytorycznego rozstrzygnięcia sprawy, czego następstwem jest utrzymanie w mocy zaskarżonej decyzji, bądź uchylenie i zmiana zaskarżonej decyzji. Sąd zauważył, że w wyroku z dnia 20 grudnia 1999 r., sygn. akt IV SA 274/97, Naczelny Sąd Administracyjny skonstatował, że organ odwoławczy rozpoznaje sprawę ponownie merytorycznie w jej całokształcie. Oznacza to, że ma on obowiązek rozpoznać wszystkie żądania, wnioski i zarzuty strony oraz ustosunkować się do nich w uzasadnieniu swej decyzji. Wspomniane żądania, wnioski i zarzuty mogą być zawarte również w złożonym przez stronę odwołaniu, a obowiązkiem organu odwoławczego jest przytoczenie w tym względzie treści odwołania oraz ustosunkowanie się do niego w uzasadnieniu wydanej decyzji. Jednakże obowiązek organu odwoławczego rozpoznającego ponownie sprawę nie może ograniczać się do ustosunkowania się do zarzutów podniesionych w środku zaskarżenia. Organ odwoławczy zobowiązany jest zbadać sprawę ponownie, a swoje stanowisko uzasadnić zgodnie w warunkami określonymi w art. 107 § 3 K.p.a. Przenosząc powyższe rozważania na grunt niniejszej sprawy Sąd ocenił, że prowadzone w niniejszej sprawie postępowanie, jak i uzasadnienie decyzji po wniosku o ponowne rozpatrzenie sprawy, nie odpowiada warunkom wynikającym z powyżej określonego przepisu.

Sąd uznał tym samym, że doszło do naruszenia art. 138 § 1 pkt 1 K.p.a., gdyż organ odwoławczy utrzymał w mocy decyzję poprzedzającą, która została wydana z istotnym naruszeniem prawa procesowego, natomiast sam, zamiast rozpatrzyć sprawę ponownie, kontrolę zaskarżonej decyzji ograniczył do zajęcia stanowiska w przedmiocie zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy, naruszając w ten sposób art. 15 K.p.a. (zasada dwuinstancyjności).

W związku ze stwierdzonymi naruszeniami przepisów postępowania, które mogły mieć istotny wpływ na wynik sprawy, Sąd nie badał zasadności zarzutów merytorycznych podniesionych w skardze.

W skardze kasacyjnej wniesionej od powyższego wyroku Generalny Inspektor Ochrony Danych Osobowych zarzucił Sądowi I instancji naruszenie przepisów postępowania, tj.:

art. 145 § 1 pkt 1 lit. c P.p.s.a. w związku z art. 107 § 3 K.p.a., poprzez błędne przyjęcie, iż uzasadnienie decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2013 r. nie spełnia wymogów określonych w art. 107 § 3 K.p.a., co miało istotny wpływ na wynik sprawy;

art. 145 § 1 pkt 1 lit. c P.p.s.a. w związku z art. 7 K.p.a., poprzez błędne przyjęcie, iż Generalny Inspektor Ochrony Danych Osobowych wydając decyzję z dnia 30 października 2013 r. naruszył określoną art. 7 K.p.a. zasadę "dokonywania niezbędnych ustaleń tak, aby w sposób nie budzący wątpliwości wyjaśnić stan faktyczny sprawy", co miało istotny wpływ na wynik sprawy;

art. 145 § 1 pkt 1 lit. c P.p.s.a. w związku z art. 15 K.p.a., poprzez błędne przyjęcie, iż Generalny Inspektor Ochrony Danych wydając zaskarżoną decyzję ograniczył kontrolę decyzji z dnia [...] października 2013 r. do zajęcia stanowiska w przedmiocie zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy, czym zdaniem Sądu naruszył zasadę dwuinstancyjności, co miało istotny wpływ na wynik sprawy.

W związku z powyższymi zarzutami wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Sądowi I instancji oraz zasadzenie kosztów postępowania według norm przepisanych.

Naczelny Sąd Administracyjny, wyrokiem z dnia 13 kwietnia 2016 r. sygn. akt I OSK 629/15, w wyniku rozpoznania skargi kasacyjnej, uchylił zaskarżony wyrok i przekazał sprawę Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania.

NSA za zasadne uznał wszystkie podniesione w skardze kasacyjnej zarzuty proceduralne. Podkreślił, że zaskarżona decyzja zawiera nakazy wynikające z dopuszczenia się przez adresata konkretnych deliktów z zakresu ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Okoliczności faktyczne wyczerpujące przesłanki tych deliktów są zindywidualizowane, co wynika wprost z hipotez przepisów art. 36 ust. 1, art. 36 ust. 2, art. 36 ust. 3, art. 37, art. 39 ust. 1 oraz art. 31 ustawy o ochronie danych osobowych.

Stawiając zarzut "naruszenia art. 7 K.p.a., tj. zasady dokonania ustaleń tak, aby w sposób niebudzący wątpliwości wyjaśnić stan faktyczny sprawy", a więc zarzut niedostatecznego ustalenia stanu faktycznego, należy zatem dokonać analizy każdego deliktu.

Sąd I instancji nie wytłumaczył powodu, dla którego zastąpił określenie ustawowe "dokładne ustalenie stanu faktycznego", zwrotem "ustalenie w sposób niebudzący wątpliwości stanu faktycznego sprawy". Niezależnie od intencji Sądu, badanie naruszenia art. 7 K.p.a. sprowadza się do kontroli zrealizowania przez organ zasady prawdy obiektywnej, skonkretyzowanej przede wszystkim w art. 77 § 1 oraz art. 80 K.p.a., która to realizacja powinna zostać wykazana w myśl art. 107 § 3 K.p.a.

Wracając do głównego wątku rozważań NSA skonstatował, że podobnie jak zarzut naruszenia art. 7 K.p.a., podnosząc naruszenie art. 107 § 3 K.p.a., w części odnoszącej się do ustaleń faktycznych (wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej), należy wykazać zaistnienie naruszeń w tym zakresie odrębnie w odniesieniu do każdego deliktu. Ponadto, kontrola sądowa decyzji administracyjnej nakazującej przywrócenie stanu zgodnego z prawem, np. przez zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe (art. 18 ustawy o ochronie danych osobowych) powinna uwzględniać szczególne unormowanie z zakresu postępowania wyjaśniającego, w dziedzinie ochrony danych osobowych, zawarte w art. 14 ustawy. Przepis ten wskazuje na zasadnicze środki, a zarazem kompetencje, z jakich korzysta Generalny Inspektor, jego zastępca i - odpowiednio - inspektorzy przy wypełnianiu postawionych ustawą zadań w zakresie ochrony danych osobowych. Kontrola stanowi istotny środek dowodowy, a wynik kontroli pełni rolę środka pozwalającego stwierdzić, czy istnieją podstawy wszczęcia postępowania administracyjnego lub środka dowodowego w toczącym się postępowaniu administracyjnym (patrz: Janusz Barta, Paweł Fajgielski, Ryszard Markiewicz "Ustawa o ochronie danych osobowych. Komentarz", LEX 2015, pkt 1 i 3). Nie ma co prawda, w świetle art. 22 ustawy o ochronie danych osobowych, podstaw do formułowania tezy o braku podstaw do zastosowania w postępowaniu zmierzającym do zabezpieczenia danych osobowych przepisów art. 75 i nast. oraz art. 107 § 3 K.p.a., ale w ocenie materiału dowodowego nie wolno pomijać szczególnego dowodu jakim jest, w świetle art. 14, art. 15 i art. 17 ustawy o ochronie danych osobowych, wynik kontroli przeprowadzonej w trybie art. 14 i 15. O ile zatem ustalenia Generalnego Inspektora, w odniesieniu do zaniedbań administratora w zakresie zabezpieczenia ochrony danych, oparte są o wyniki kontroli przeprowadzonej w trybie art. 14 i 15 ustawy o ochronie danych osobowych, to skuteczne podważenie tych ustaleń faktycznych organu nie jest możliwe bez wykazania nieprawidłowości kontroli.

Nadto, podnosząc naruszenie art. 107 § 3 K.p.a., należy wykazać, która z dyspozycji tego przepisu nie została przez organ administracyjny zrealizowana. Oprócz dyspozycji z zakresu przedstawienia przez organ ustaleń faktycznych, przepis ten zobowiązuje do wyjaśnienia podstawy prawnej decyzji, z przytoczeniem przepisów prawa.

W uzasadnieniu decyzji z dnia [...] października 2013 r. Generalny Inspektor Ochrony Danych Osobowych podał natomiast jakie fakty ustalił i odniósł je do wskazanych przepisów ustawy o ochronie danych osobowych, przytaczając przepis ustawy, fakt wyczerpujący przesłanki tego przepisy oraz dowody, na jakich oparł się dokonując poszczególnych ustaleń. Jako dowód wskazał wynik kontroli przeprowadzonej przez upoważnionych inspektorów. Nadto, organ oparł się na dowodach z umowy zawartej między Fundacją a [...] Spółka z o.o., z dnia [...] maja 2011 r., a także na umowie zawartej między [...] Spółka z o.o. a [...] Spółka jawna z siedzibą w [...]. Wskazał, że przeprowadził następnie także dowód z zeznań dwóch świadków. Określając podstawę prawną rozstrzygnięcia, Generalny Inspektor wskazał szereg przepisów ustawy o ochronie danych osobowych odnoszących się do naruszeń, których dopuściła się Fundacja oraz przepisów stanowiących wyjaśnienie pojęć i kompetencyjno-procesowych wyjaśniających zastosowanie nałożonych w decyzji nakazów. W związku z odmową uwzględnienia wniosku dowodowego Fundacji, dokonał oceny zebranego materiału dowodowego i podał przyczyną, dla której odmówił uwzględnienia wniosku o przeprowadzenie dowodu z opinii biegłego.

W tej sytuacji ocena Sądu I instancji o naruszeniu przez organ przepisu art. 107 § 3 K.p.a. oraz art. 7 K.p.a. wyrażona stwierdzeniem o niespełnieniu warunków określonych w art. 107 § 3 K.p.a. stanowi naruszenie art. 145 § 1 pkt 1 lit. c P.p.s.a. Stwierdzając naruszenie, o którym mowa w art. 145 § 1 pkt 1 lit. c P.p.s.a. Sąd nie może bowiem ograniczyć się do powtórzenia treści naruszonych zdaniem Sądu, przepisów procedury administracyjnej. Obowiązkiem Sądu jest wykazanie na czym konkretnie naruszenie polegało w odniesieniu do każdej istotnej okoliczności materialnej oraz w nawiązaniu do każdej przesłanki naruszonego przepisu procesowego. Takiej konkretyzacji nie stanowi przytoczenie fragmentów uzasadnień wyroków sądów administracyjnych, jeśli przywołane wypowiedzi, określające obowiązki organów administracyjnych w zakresie uzasadnienia decyzji nie pociągają za sobą wykazania konkretnych uchybień stwierdzonych w trakcie dokonywanej kontroli sądowej.

Bezpodstawna jest też teza Sądu pierwszej instancji o naruszeniu przez Generalnego Inspektora, po złożeniu wniosku o ponowne rozpatrzenie sprawy, art. 138 § 1 pkt 1 K.p.a. oraz art. 15 K.p.a. poprzez utrzymanie w mocy decyzji wydanej z istotnym naruszeniem prawa procesowego, nierozpatrzenie sprawy ponownie i ograniczenie się do zajęcia stanowiska w przedmiocie zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy. Sąd nie skonkretyzował naruszeń procesowych, którymi dotknięta był pierwsza decyzja. Nie można więc ocenić, pamiętając o lakonicznych i zbyt ogólnych zarzutach Sądu pod adresem pierwszej decyzji Generalnego Inspektora,, jakie uchybienia proceduralne zostały decyzją z dnia [...]marca 2014 r. zaakceptowane. Nadto, Generalny Inspektor nie tylko odniósł się do zarzutów sformułowanych we wniosku o ponowne rozpatrzenie sprawy. Podał istotne ustalenia faktyczne. Przedstawił ponownie proces pozyskiwania danych na portalu [...] Przytoczył treść art. 6 i art. 7 ustawy o ochronie danych osobowych oraz stwierdził, że operacje wykonywane na przedmiotowych danych są przetwarzaniem danych osobowych w rozumieniu art. 7 pkt 2. Ustalając, że Fundacja opracowała i wdrożyła portal internetowy [...], posiada login i hasło do serwera, decyduje o celach i środkach przetwarzania danych osobowych, Generalny Inspektor uznał, że Fundacja jest administratorem tych danych w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych. Organ wskazał, że funkcja szyfrowania danych w bazie portalu [...] jest jedynie środkiem zabezpieczającym te dane w procesie ich przetwarzania. Skutkiem wyłączenia tej funkcji będzie to, że dostęp do danych będzie możliwy poprzez bieżący wgląd w dane. Czynność wyłączenia funkcji szyfrowania wymaga jedynie dostępu do serwera, na którym znajduje się portal [...] i nie wymaga od właściciela portalu poniesienia nadmiernych kosztów, czasu i działań. Wskazał, że wbrew Fundacji, wyłączenie funkcji nie spowoduje takiej zmiany funkcjonalności portalu, że wówczas byłby to już inny portal. Nie zmieni się bowiem cel portalu oraz jego zadanie. Organ argumentował też, że nie ma znaczenia to, czy Fundacja z tych możliwości korzysta. Za trafne uznał więc zastosowanie w sprawie przepisów art. 36, art. 37 art. 39 i art. 31 ustawy. To, że dane w ramach portalu są szyfrowane i nie są archiwizowane nie może powodować, zdaniem organu, wyłączenia procesu przetwarzania danych spod ochrony przepisów ustawy o ochronie danych osobowych. Organ podał więc podstawę prawną decyzji z uzasadnieniem tej podstawy.

Odniesienie się do zarzutów stanowiło jednocześnie dodatkową argumentację faktyczną i prawną wymaganą przez art. 107 § 3 K.p.a. W tym zakresie organ wskazał, że informacje przedstawione w opinii Departamentu[...] nie mają charakteru opinii biegłego. Argumentował, że zgodnie z art. 13 ust. 1 ustawy Generalny Inspektor wykonuje swoje zadania przy pomocy Biura, tj. pracowników posiadających stosowną wiedzę, aby dokonać oceny materiału dowodowego. Opinia ta jest jednym z dowodów w sprawie.

Trafność ustaleń faktycznych organu i podstawy prawnej powinna być zatem przedmiotem merytorycznej kontroli Sądu pierwszej instancji. Wbrew stanowisku wyrażonemu w uzasadnieniu zaskarżonego wyroku, nie było podstaw do odstąpienia od takiej kontroli.

Wojewódzki Sąd Administracyjny w Warszawie rozpoznając ponownie sprawę zważył, co następuje:

Zgodnie z art. 1 § 1 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym w świetle paragrafu drugiego powołanego wyżej artykułu kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Innymi słowy, wchodzi tutaj w grę kontrola aktów lub czynności z zakresu administracji publicznej dokonywana pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów odnoszących się do słuszności rozstrzygnięcia.

Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi.

Zgodnie z kolei z art. 190 ww. ustawy – sąd, któremu sprawa została przekazana, związany jest wykładnią prawa dokonaną tej sprawie przez Naczelny Sąd Administracyjny.

Naczelny Sąd Administracyjny uchylając wyrokiem z dnia 13 kwietnia 2016 r. sygn. akt I OSK 629/15 wcześniejszy wyrok WSA w Warszawie z dnia 12 listopada 2014 r. za niezasadne uznał sformułowane w tym wyroku pod adresem organu zarzuty naruszenia przepisów postępowania administracyjnego i w związku z tym zobligował Sąd I instancji w ramach ponownego rozpoznania sprawy do merytorycznej kontroli zaskarżonej decyzji.

Dokonując ponownej oceny zaskarżonej decyzji w świetle wskazanych wyżej kryteriów Sąd stwierdził, iż skarga Fundacji [...] z siedzibą w [...] nie zasługuje na uwzględnienie, gdyż zaskarżona decyzja odpowiada prawu.

Zaskarżona decyzja nakazująca Fundacji [...] usunięcie uchybień w procesie przetwarzania danych osobowych w ramach portalu internetowego [...] wydana została w następstwie kontroli przeprowadzonej przez organ w trybie art. 14 i 15 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101 poz. 926 ze zm.). Naczelny Sąd Administracyjny w wyroku z dnia 13 kwietnia 2016 r. zwrócił uwagę, że o ile ustalenia Generalnego Inspektora, w odniesieniu do zaniedbań administratora w zakresie zabezpieczenia ochrony danych, oparte są o wyniki kontroli przeprowadzonej w trybie art. 14 i 15 ustawy o ochronie danych osobowych, to skuteczne podważenie tych ustaleń faktycznych organu nie jest możliwe bez wykazania nieprawidłowości kontroli.

Fundacja [...] nie kwestionowała natomiast prawidłowości przeprowadzonej kontroli.

Organ wydając zaskarżoną decyzję oparł się na wynikach tej kontroli, opinii przedstawionej przez Dyrektora Departamentu [...] Biura GIODO, dowodach z umowy zawartej między Fundacją [...] a Grupą [...] Spółka z o.o. z dnia [...] maja 2011 r. oraz umowy zawartej między [...] Spółka z o.o. [...] Spółka jawna z siedzibą w [...] z dnia [...] września 2011 r., a także dowodach z zeznań dwóch świadków zawnioskowanych przez stronę. Odmawiając z kolei uwzględnienia wniosku strony o przeprowadzenie dowodu z opinii biegłego kryptologa organ wyjaśnił w postanowieniu z dnia [...] września 2013 r. przyczyny tej odmowy.

W ocenie Sądu w oparciu o tak zgromadzony materiał dowodowy organ miał podstawy do tego aby stwierdzić, że Fundacja [...] jako administrator danych w ramach portalu internetowego [...] przetwarza dane osobowe użytkowników w zakresie imienia, nazwiska, nr telefonu oraz nr IP.

Fundacja [...] opracowała i wdrożyła portal internetowy [...] w celu realizacji swoich statutowych zadań tj. zapobiegania łamaniu prawa, pomocy ofiarom przestępstw w ujawnianiu przypadków łamania prawa oraz promocji i wpierania wszelkich inicjatyw zmierzających do zapobiegania i przeciwdziałania przestępczości oraz zwiększania wykrywalności przestępstw.

W wyniku kontroli ustalono, iż dane (imię, nazwisko, nr telefonu, treść przesyłanej wiadomości) są wprowadzane do portalu [...], zapisywane krótkotrwale w bazie portalu w formie zaszyfrowanej, wysyłane, a następnie usuwane z bazy tego portalu. W momencie wysłania wiadomości do instytucji wskazanych w zgłoszeniu zdarzenia dane mają formę jawną, tj. są deszyfrowane przez mechanizmy portalu. Następnie dane po wysłaniu wiadomości lub zamknięciu formularza/przeglądarki są usuwane z bazy portalu [...]

Fundacja posiada login i hasło do serwera, na którym znajduje się portal [...] Fakt posiadania dostępu do serwera przez Fundację powoduje, iż ma ona także możliwość zmiany skryptu, który szyfruje dane w portalu [...], poprzez anulowanie tej funkcji. Takie działanie może zostać zrealizowane w każdym momencie na jej zlecenie. Jednocześnie czynność taka nie wymaga od właściciela portalu, tj. Fundacji, poniesienia nadmiernych kosztów, czasu i działań. Anulowanie funkcji szyfrowania danych nie będzie zaś skutkowało zmianą funkcjonalności portalu, gdyż nie zmieni się cel dla którego ww. portal został utworzony oraz jego główne zadania, tj. przesyłanie wiadomości do określonych instytucji. Zmianie ulegnie jedynie sposób zabezpieczenia przetwarzanych danych.

Mając na uwadze powyższe ustalenia należy zgodzić się z organem, iż operacje na danych osobowych, które są wykonywane w ramach portalu [...] mieszczą się w definicji przetwarzania danych w rozumieniu art. 7 pkt 2 ustawy o ochronie danych osobowych. Krótkotrwałe szyfrowanie danych w momencie ich wprowadzania do portalu [...] służy natomiast wyłącznie ich zabezpieczeniu i nie pozbawia ich waloru danych osobowych. Fundacja decyduje też o celach i środkach przetwarzania danych osobowych, które są przesyłane za pośrednictwem portalu [...], a tym samym jest administratorem tych danych w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych.

Natomiast z faktu, iż w ramach portalu [...].dane są szyfrowane i nie są archiwizowane nie można wywodzić, iż proces przetwarzania tych danych jest wyłączony spod regulacji ustawy o ochronie danych osobowych.

Tym samym Fundacja [...] jako administrator danych przetwarzanych w ramach portalu internetowego [...] zobowiązana jest podporządkować się wymogom określonym w przepisach art. 36, art. 37 i art. 39 ust. 1 ustawy o ochronie danych osobowych w celu odpowiedniego zabezpieczenia tych danych osobowych, a także, mając na względzie treść art. 31 ustawy o ochronie danych osobowych, odpowiednio uzupełnić zapisy umowy z dnia [...] maja 20111 r. zawartej z [...] Sp. z o.o. z siedzibą w [...] .

Fundacja podejmując działalność polegającą na przetwarzaniu danych osobowych i tym samym stając się administratorem danych osobowych musi bowiem stosować się do przepisów ustawy o ochronie danych osobowych.

Powyższe rozważania prowadzą do wniosku, że zarówno zaskarżona decyzja, jak również poprzedzająca ją decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2013 r. odpowiadają prawu.

Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi orzekł, jak w sentencji wyroku.