Wyrok NSA, sygn. akt I OSK 703/14
Naczelny Sąd Administracyjny
Data orzeczenia: 2015-12-02 00:00:00+01:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Uchylono zaskarżony wyrok oraz decyzję I i II instancji
Powołane przepisy: article: art. 18 ust. 1
journal: Dz.U. 1997 nr 133 poz 883
law: Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.
article: art. 77 § 1. art. 80
journal: Dz.U. 2013 poz 267
law: Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - tekst jednolity

SENTENCJA

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Irena Kamińska (spr.) Sędziowie: Sędzia NSA Małgorzata Pocztarek Sędzia del. WSA Roman Ciąglewicz Protokolant asystent sędziego Aleksander Jakubowski po rozpoznaniu w dniu 2 grudnia 2015r na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej P.U. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 6 listopada 2013 r. o sygn. akt II SA/Wa 1590/12 w sprawie ze skargi P.U. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 26 czerwca 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) uchyla zaskarżony wyrok; 2) uchyla zaskarżoną decyzję oraz decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 22 listopada 2011 r. nr [...].


UZASADNIENIE

P.U. złożył do Generalnego Inspektora Ochrony Danych Osobowych skargę dotyczącą przetwarzania jego danych osobowych przez B. dalej jako "Bank" oraz Kancelarię P., dalej jako "Kancelaria". Skarżący podał, że 27 sierpnia 2010 r. pracownik ww. Kancelarii – D.T., w czasie prowadzonych na zlecenie Banku czynności służbowych w miejscu jego zameldowania, udzieliła K.U. i E.U. informacji, że posiada on zobowiązania kredytowe wobec Banku. Ponadto D.T. wręczyła K.U. listę klientów, na której były jego dane osobowe, a także dane osobowe innych klientów Banku, którzy posiadają kredyty w ww. Banku, a których w tym dniu odwiedziła D.U. Skarżący podniósł także, że informacje te zostały przekazane przez D.T. również jej mężowi.

Skarżący zarzucił, że Bank, poprzez współpracę z ww. Kancelarią, przyczynił się do pogorszenia jego stosunków rodzinnych. Wynikało to z braku zachowania poufności informacji o kliencie oraz udzielanie innych wiadomości osobom postronnym. Skarżący zaznaczył również, że wielokrotnie reklamował powyższe zdarzenie za pośrednictwem usługi P. oraz wnosił do Prezesa B. o szczegółowe wyjaśnienia, na jakiej podstawie D.T. a oraz jej mąż posiadali informacje o jego danych osobowych, a przede wszystkim - o wysokości jego zobowiązań.

W toku przeprowadzonego postępowania wyjaśniającego Generalny Inspektor Ochrony Danych Osobowych ustalił, że:

1. Bank przetwarza dane osobowe skarżącego na podstawie umów zawartych pomiędzy skarżącym a Bankiem, tj. "o prowadzenie E. akademickiego z 2 lipca 2003 r., o prowadzenie E. akademickiego z 30 listopada 2006 r., o kartę M. z 30 listopada 2006 r., o udzielenie pożyczki gotówkowej 23 listopada 2009 r., o udzielenie pożyczki gotówkowej z 11 stycznia 2010 r., o udzielnie pożyczki gotówkowej z 10 lutego 2010 r., o kartę M.". Bank aktualnie przetwarza dane osobowe skarżącego w celu dochodzenia roszczeń z tytułu przeterminowanych zobowiązań wynikających z umów o udzielenie pożyczek gotówkowych, zawartych 23 listopada 2009 r., 11 stycznia 2010 r., oraz 10 lutego 2010 r. Na mocy porozumień restrukturyzacyjnych z 11 marca 2011 r. spłata wszystkich zobowiązań skarżącego wobec Banku ma następować w okresie od marca 2011 r. do lutego 2015 r.

2. 16 grudnia 2005 r. Bank zawarł pisemną umowę o świadczenie usług windykacyjnych, na mocy której - w okresie od 17 czerwca 2010 r. do 22 września 2010 r. – udostępnił Kancelarii dane osobowe skarżącego w celu dochodzenia przez Kancelarię w imieniu Banku roszczeń wymagalnych wobec skarżącego. W ramach ww. umowy udostępniono Kancelarii dane osobowe skarżącego w zakresie m.in.: imienia, nazwiska, daty urodzenia, adresu zamieszkania i pobytu, numeru ewidencyjnego PESEL, miejsca pracy, serii i numeru dowodu osobistego, adresu do korespondencji.

3. Z pism Kancelarii oraz Banku wynika, że obecnie Kancelaria nie przetwarza danych skarżącego.

4. W treści notatek służbowych sporządzonych 31 sierpnia 2010 r. oraz 20 września 2010 r. D.T. wyjaśniła, że 27 października 2010 r. pod adresem [...] pod K. pytała o skarżącego. Osoby przedstawiające się jako jego rodzice poinformowały, że nie mieszka on pod tym adresem. Zostawiła kartkę z wezwaniem do kontaktu z podanym imieniem i nazwiskiem skarżącego, numerem telefonu pracownika Kancelarii oraz jej prywatnym numerem telefonu. Na piśmie nie było żadnych informacji dotyczących kredytu oraz zadłużenia. Wyjaśniła również, że z powodów bezpieczeństwa czasami jeździ z mężem, który "nie jest wprowadzany w szczegóły".

5. Z pism Banku oraz Kancelarii, nie wynika jednoznacznie, aby D.T. ujawniła komukolwiek dane osobowe skarżącego, a w szczególności swojemu mężowi, co miałoby skutkować naruszeniem tajemnicy bankowej, czy też naruszeniem ochrony danych osobowych skarżącego.

6. Skarżący zwracał się wielokrotnie do Banku z reklamacją na działanie Kancelarii. Ponadto, 14 października 2010 r., skierował do Banku, jako administratora jego danych osobowych, pismo, w którym zwrócił się w trybie art. 32 ust. 1 pkt 1-5a ustawy Prawo bankowe, o udzielnie informacji dotyczących przetwarzania jego danych osobowych w następującym zakresie: 1) jakie dane osobowe zawiera zbiór, 2) w jaki sposób zebrano dane osobowe, 3) w jakim celu i zakresie dane osobowe są przetwarzane, 4) w jakim zakresie i komu dane zostały udostępnione. W piśmie z 27 października 2010 r. Bank udzielił skarżącemu odpowiedzi w zakresie wskazanym w art. 33 ustawy o ochronie danych osobowych, informując o nazwach i siedzibach podmiotów, które w jego imieniu mogą przetwarzać dane osobowe klientów Banku w celu dochodzenia wierzytelności na jego rzecz.

Decyzją z 22 listopada 2011 r. nr [...], Generalny Inspektor Ochrony Danych Osobowych odmówił uwzględnienia skargi P.U. na przetwarzanie jego danych osobowych przez Bank oraz Kancelarię.

W uzasadnieniu decyzji organ wskazał, że Bank - jako administrator danych w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych – przetwarza dane osobowe skarżącego na mocy przepisów ustawy Prawo bankowe, w związku z umowami zawartymi pomiędzy skarżącym a Bankiem. Nadto, przetwarzanie danych osobowych skarżącego znajduje również oparcie w art. 23 ust. 1 pkt 2 tej powołanej ustawy.

W ocenie Generalnego Inspektora Ochrony Danych Osobowych materiał dowodowy zgromadzony w niniejszej sprawie wskazuje, że w celu dochodzenia roszczeń z tytułu przeterminowanych zobowiązań skarżącego, Bank udostępnił jego dane osobowe Kancelarii. Powyższe nastąpiło na podstawie umowy o świadczenie usług windykacyjnych zawartej pomiędzy Kancelarią a Bankiem 16 grudnia 2005 r. w oparciu o 6a ust. 1 pkt 2 ustawy Prawo bankowe. Organ podkreślił, że skarżący nie kwestionuje zarówno faktu, iż posiada wobec Banku zobowiązanie, które stało się wymagalne, jak również zasadności przetwarzania jego danych osobowych przez Kancelarię z tytułu powstania z jego strony zobowiązania na rzecz Banku.

Zdaniem organu działanie Banku, polegające na udostępnieniu danych skarżącego Kancelarii, było działaniem legalnym, znajdującym swe uzasadnienie w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, jako że było ono niezbędne do zrealizowania uprawnienia Banku wynikającego z przepisu prawa oraz art. 23 ust. 4 pkt 2 w zw. z art. 23 ust. 1 pkt 4 ustawy. Bank wskazał również, że ustawa reguluje także status podmiotów innych niż administrator danych, które mogą przetwarzać dane osobowe. Jakkolwiek bowiem administrator danych może przetwarzać dane samodzielnie, art. 31 ustawy upoważnia go również do powierzenia, w drodze zawartej w formie pisemnej umowy, przetwarzania tych danych innemu podmiotowi. W niniejszej sprawie Bank udostępnił dane osobowe skarżącego w wykonaniu postanowień umowy z 16 grudnia 2005 r., zaś Kancelaria przetwarzała rzeczone informacje w celu odzyskiwania wierzytelności w ramach postępowania polubownego przedsądowego oraz przedegzekucyjnego od skarżącego w okresie 17 czerwca 2010 r. – 22 września 2010 r.

W ocenie Generalnego Inspektora łącząca Bank i Kancelarię umowa z 16 grudnia 2005 r., zarówno z uwagi na jej formę (pisemna), jak i treść (określenie celu, dla realizacji którego będą przetwarzane powierzone dane) odpowiada wymogom określonym w art. 31 ustawy, natomiast Spółka przetwarzała dane osobowe skarżącego nie wykraczając poza zakres upoważnienia wynikającego z rzeczonej umowy. Jednocześnie organ zwrócił uwagę, że aktualnie dane osobowe skarżącego są przetwarzane wyłącznie przez Bank w związku z umowami pożyczki udzielonymi skarżącemu. Ponadto wskazał, że Kancelaria prawna nie przetwarza już danych osobowych skarżącego.

Odnosząc się do kwestii udostępnienia danych osobowych skarżącego przez D.T. na rzecz osób nieupoważnionych, tj. jej męża oraz E.U. i K.U. (rodziców skarżącego), organ wskazał, że zarówno materiał dowodowy przedłożony przez skarżącego, jak również wyjaśnienia Kancelarii, wskazują tylko na prawdopodobieństwo takiego zdarzenia. Skarżący przedłożył jedynie niewyraźne nagrania rozmów telefonicznych, jakie odbył m.in. z D.T., zaś Kancelaria wskazała w swoich wyjaśnieniach, że rozwiązała umowę z D.T., bowiem doszło do ryzyka ujawnienia osobie trzeciej danych osobowych skarżącego (mężowi D.T.). Brak jest natomiast dowodów jednoznacznie potwierdzających, że D.T. udostępniła dane osobowe skarżącego, czym - w jego ocenie - dopuściła się naruszenia zarówno tajemnicy bankowej, jak również przepisów o ochronie danych osobowych.

Za bezzasadny organ uznał zarzut dotyczący nierozpoznania złożonych przez skarżącego reklamacji. Z materiału dowodowego wynika bowiem, że skarżący otrzymał pismo Banku z 27 października 2010 r. (sygn. [...]), dopełniające obowiązku informacyjnego. Ponadto, w piśmie z 8 grudnia 2010 r. (sygn. [...]) Bank poinformował skarżącego o kategoriach odbiorców, z którymi posiada podpisane stosowne umowy pisemne, na mocy których dane osobowe dłużników są tym podmiotom udostępniane w celu dochodzenia roszczeń wymagalnych na rzecz Banku

W konsekwencji, Generalny Inspektor stwierdził, że przetwarzanie danych osobowych skarżącego przez Bank i ich udostępnienie na rzecz Kancelarii, znajdowało prawne uzasadnienie w art. 23 ust. 1 pkt 5 ustawy. Jednocześnie uznał, że brak jest jednoznacznych dowodów, wskazujących, iż realizacja przez Kancelarię czynności o charakterze windykacyjnym wobec skarżącego na rzecz Banku odbywała się z naruszeniem przepisów ustawy Prawo bankowe (tajemnica bankowa), jak również przepisów o ochronie danych osobowych.

We wniosku o ponowne rozpatrzenie sprawy skarżący zarzucił organowi naruszenie przepisów postępowania tj.: art. art. 7, art. 8, art. 11, art. 12 § 1, art. 35 §1, art. 50 § 1 i art. 75 k.p.a w zakresie dotyczącym gromadzenia materiału dowodowego oraz przekroczenia ustawowego terminu rozpoznania sprawy. Zwrócił się o przesłuchanie w charakterze świadków K. i E.U. oraz zbadanie autentyczności dostarczonych przez niego nagrań telefonicznych i włączenie ich do materiału dowodowego sprawy.

Po rozpatrzeniu ww. odwołania Generalny Inspektor Ochrony Danych Osobowych w dniu 26 czerwca 2012 r. wydał decyzję administracyjną nr [...], którą utrzymał w mocy decyzję z dnia 22 listopada 2011 r., nr [...].

Po dokonaniu ponownej analizy materiału dowodowego zgromadzonego w sprawie Generalny Inspektor Ochrony Danych Osobowych wydał powołaną na wstępie decyzję.

W uzasadnieniu organ wskazał, że zaskarżona decyzja jest prawidłowa, a zarzuty podnoszone we wniosku o ponowne rozpatrzenie sprawy nie wskazują na nowe dowody oraz okoliczności, a tym samym nie uzasadniają konieczności zmiany jej rozstrzygnięcia. Organ powtórzył argumentację zawartą w decyzji z dnia 22 listopada 2011 r.

Odnosząc się do zgłoszonych zarzutów Generalny Inspektor Ochrony Danych Osobowych wskazał, że organ administracji publicznej może uznać stan faktyczny rozpatrywanej sprawy za ustalony jedynie na podstawie nie budzących wątpliwości dowodów. Po rozważeniu wniosku o przesłuchanie w charakterze świadków K.U. i E.U., stwierdził, że fakt, dla którego powołany został przez skarżącego ten środek dowodowy nie wymaga dodatkowego udowodnienia. Generalny Inspektor Ochrony Danych Osobowych przeanalizował ponownie zgromadzony materiał dowodowy pod kątem zarzutu postawionego przez skarżącego wobec Banku i Kancelarii i nie stwierdził nieprawidłowości dotyczących ustalenia stanu faktycznego, w tym w zakresie zgromadzonych w sprawie dowodów.

Za bezzasadne uznał również zarzucane przez skarżącego naruszenie wynikającej z art. 11 k.p.a. tzw. zasady przekonywania, tj. brak wystarczającego uzasadnienia wydanej decyzji. W ocenie organu uzasadnienia przedstawione w decyzji [...], w sposób wyczerpujący wyjaśnianiają stronom zasadności przesłanek, którymi organ kierował się przy rozstrzyganiu sprawy.

Zdaniem Generalnego Inspektora Ochrony Danych Osobowych nie znajduje również poparcia zarzut skarżącego, dotyczący nieotrzymania stosownych wyjaśnień z Banku, w szczególności w kwestii spełnienia wobec niego obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych, bowiem z materiału dowodowego wnika, iż skarżący otrzymał w tej sprawie pisma Banku z 27 października 2010 r. i 8 grudnia 2010 r.

P.U. złożył na powyższą decyzję z 26 czerwca 2012 r. skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, wnosząc o jej uchylenie.

Skarżący zarzucił organowi, że prowadząc postępowanie w przedmiotowej sprawie, nie zebrał i rozpatrzył całego materiału dowodowego, nie przeprowadził dowodu z wyjaśnień świadków zdarzenia – K. i E.U. oraz że pominął materiał dowodowy w postaci przedłożonego nagrania rozmowy, co w ocenie skarżącego, stanowiło naruszenie zasady prawdy obiektywnej.

Skarżący wskazał również, że organ nie dopatrzył się przekroczenia przez Bank 30-dniowego terminu przy realizacji obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy o ochronie danych osobowych oraz że nie ustosunkował się do kwestii zastosowania w niniejszej sprawie zasady wynikającej z art. 47 Konstytucji Rzeczypospolitej Polskiej. Zarzucił organowi również przewlekłość całego postępowania. W dalszej części skargi odniósł się do wadliwości decyzji Generalnego Inspektora Ochrony Danych Osobowych z 10 lutego 2012 r.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując argumentację zawartą w uzasadnieniu zaskarżonej decyzji.

Pismem z 23 lipca 2013 r. skarżący rozszerzył zakres swojej skargi w ten sposób, że zakresem zaskarżenia objął również decyzję I instancji. Ponadto zarzucił naruszenie art. 7, 8, 75 § 1, 77 § 1 oraz 78 § 1 .p.a. poprzez bezzasadne odmówienie przeprowadzenia zgłoszonych dowodów w postaci:

1) wykonania badań fonoskopijnych zarejestrowanych rozmów telefonicznych z D.T. oraz 2) przesłuchania świadków w osobach: K. i E.M. na okoliczność ujawnienia przez pracownika Kancelarii danych osobowych skarżącego osobom do tego nieupoważnionym.

Skarżący stwierdził, że ustalając stan faktyczny organ oparł się wyłącznie na pisemnych wyjaśnieniach składanych przez Bank i Kancelarię, i jednocześnie stwierdził, iż wyjaśnień tych nie można uznać za wyczerpujące zebranie całego materiału dowodowego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 6 listopada 2013 r. oddalił skargę.

Jak wskazał Sąd, w rozpoznawanej sprawie skarżący, wnioskiem z 4 stycznia 2011 r. zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych o podjęcie stosownych działań w przypadku stwierdzenia naruszenia przepisów ochrony danych osobowych zgodnie z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, nieudostępnianie danych osobowych, a także o usunięcie danych osobowych. Przedstawił również okoliczności mające świadczyć o naruszeniu przez Bank i Kancelarię, jego danych osobowych. Żądania określone w powyższym wniosku wyznaczyły przedmiot postępowania. Oznacza to, że postępowanie przed Generalnym Inspektorem Ochrony Danych Osobowych zostało zainicjowane na wniosek, o jakim mowa w art. 18 ust. 1 ustawy.

Stosownie do art. 22 ustawy postępowanie w sprawach uregulowanych w niniejszej ustawie prowadzi się według przepisów Kodeksu postępowania administracyjnego, o ile przepisy ustawy nie stanowią inaczej.

Jako, że ustawa nie reguluje kwestii postępowania dowodowego i powinności organu związanych z czynieniem ustaleń faktycznych, zastosowanie w tym zakresie znajdują reguły i zasady określone w Kodeksie postępowania administracyjnego.

Sąd pierwszej instancji przypomniał, że zgodnie z art. 7 i 77 § 1 k.p.a. obowiązek przeprowadzenia postępowania dowodowego, co do wszystkich istotnych okoliczności, spoczywa na organie i nie może być przerzucany na stronę. Zakres niezbędnych ustaleń, a co się z tym wiąże także zakres postępowania dowodowego, wynika z normy prawnej, która powinna być w sprawie zastosowana. Kierując się normą prawa materialnego organ ocenia zatem jakie fakty mają istotne znaczenie dla sprawy, czy wymagają one udowodnienia i jakie dowody dla ich udowodnienia są potrzebne. Dowody muszą mieć znaczenie prawotwórcze na tle obowiązującego stanu prawnego. Inaczej mówiąc ustalenie stanu faktycznego w sprawie zawsze jest zagadnieniem kardynalnym, lecz pod warunkiem, że zmierza do poznania okoliczności mogących mieć znaczenie z punktu widzenia podstawy materialno-prawnej sprawy. Tylko w tym wymiarze ustalenie stanu faktycznego wyprzedza stosowanie prawa materialnego.

W ocenie Sądu pierwszej instancji w przedmiotowej sprawie organ ustalił stan faktyczny istniejący w dacie wydania decyzji w zakresie istotnym z punktu widzenia treści art. 18 ust. 1 ustawy, tj. rodzaju nakazów jakie w sprawie mogą być wydane przez organ. Generalnego Inspektor ustalił, że Kancelaria uzyskała dane osobowe skarżącego z Banku na podstawie umowy o świadczenie usług windykacyjnych z 16 grudnia 2005 r. Kancelaria świadczyła na rzecz Banku czynności windykacyjne w stosunku do skarżącego w okresie od 17 czerwca 2010 r. do 22 września 2010 r. Po tej dacie, zgodnie z postanowieniami umowy, dane skarżącego, w związku z zakończeniem usług windykacyjnych na rzecz Banku w odniesieniu do skarżącego zostały trwale usunięte z bazy danych Kancelarii, co oznacza, że Kancelaria w dacie wydania decyzji nie posiadała danych osobowych skarżącego. Dane osobowe skarżącego są natomiast przetwarzane przez Bank w związku z udzielonymi mu pożyczkami, które nie zostały spłacone w terminie.

Za niesporne Sąd pierwszej instancji uznał, iż okoliczności te nie mogły stanowić podstawy do wydania przez Generalnego Inspektora nakazów przywrócenia stanu zgodnego z prawem, skoro naruszenie prawa w omówionym obszarze nie występowało.

Za okoliczność sporną Sąd pierwszej instancji uznał jednak kwestie udostępnienia danych osobowych skarżącego osobom nieuprawnionym przez D.T., pracownicę Kancelarii. Organ stwierdził, że brak jest dowodów jednoznacznie potwierdzających, iż D.T. udostępniła dane osobowe skarżącego, czym – w ocenie skarżącego – dopuściła się naruszenia zarówno tajemnicy bankowej, jak również przepisów o ochronie danych osobowych. Jednocześnie organ nie przeprowadził na potwierdzenie powyższych okoliczności dowodów zawnioskowanych przez skarżącego. Wojewódzki Sąd Administracyjny w Warszawie wskazał, że zasadniczo takie postępowanie organu należałoby zakwalifikować jako naruszające art. 7 i 77 § 1 k.p.a., jak również przepisy Kodeksu postępowania administracyjnego odnoszące się do postępowania dowodowego. Jako nieprawidłowe – co do zasady – uznać stanowisko organu, że fakt, dla którego skarżący wnioskował o przesłuchanie świadków K.U. i E.U., nie wymagały dodatkowego udowodnienia. Świadkowie zgłoszeni przez skarżącego, zgodnie z jego wnioskiem, mieli zeznawać dla potwierdzenia jego wersji zdarzeń, która to wersja nie została przyjęta przez organ. Nie wynika również z akt sprawy, aby organ dopuścił dowód z przedłożonych przez skarżącego nagrań rozmów telefonicznych. W decyzji organ wskazał, że nagranie jest niewyraźne. W uzasadnieniu wyroku wskazano, że brak jest jakiegokolwiek protokołu z odsłuchania nagrań, co pozwoliłoby zweryfikować Sądowi twierdzenie organu.

Sąd pierwszej instancji uznał powyższe nieprawidłowości postępowania dowodowego za niewątpliwie. Zauważył jednak, że nie mają one istotnego znaczenia w rozpoznawanej sprawie, pozostając bez wpływu na prawidłowość wydanego rozstrzygnięcia, gdyż organ obowiązany jest gromadzić dowody mające znaczenie prawotwórcze na tle obowiązującego stanu prawnego. Organ ustalił w tym kontekście, że dane osobowe skarżącego nie są już przetwarzane przez Kancelarię, co w konsekwencji oznacza – i skarżący tego nie podważa – że nie są przetwarzane przez D.T., która aktualnie pracownikiem Kancelarii nie jest. WSA w Warszawie wskazał, że stwierdzenie, czy D.T. w 2010 r. ujawniła dane osobowe skarżącego osobom nieuprawnionym, nie mogło skutkować ze strony organu wydaniem jakiegokolwiek nakazu przewidzianego w art. 18 ust. 1 ustawy. Nie zachodziła w ocenie Sądu potrzeba nakazania przywrócenia stanu zgodnego z prawem, skoro na datę orzekania przez organ, ewentualne nieprawidłowości już nie występowały. Sąd pierwszej instancji zauważył, że nawet gdyby organ ustalił, iż D.T., działająca w imieniu Kancelarii, dopuściła się naruszeń przy przetwarzaniu danych osobowych skarżącego, ale stan naruszeń ustał, a nadto Kancelaria nie jest już w posiadaniu danych osobowych skarżącego, to przepisy ustawy o ochronie danych osobowych nie przewidują takiego rodzaju decyzji, która odnosiłaby się do tak zaistniałych naruszeń.

Sąd pierwszej instancji wyjaśnił, że w świetle ustawy o ochronie danych osobowych naruszenie jej przepisów staje się źródłem odpowiedzialności administracyjnej, prowadzącej w istocie jedynie do obowiązku przywrócenia stanu zgodnego z prawem (art. 18 ustawy) oraz odpowiedzialności karnej (art. 19 i 49-54 ustawy). Jeżeli chodzi o odpowiedzialność karną, to Sąd pierwszej instancji zauważył, że w orzecznictwie utrwalony jest pogląd, iż kierowanie zawiadomień o popełnieniu przestępstwa do organów ścigania należy do autonomicznych, samodzielnych kompetencji Generalnego Inspektora Ochrony Danych Osobowych, realizowanych przez niego z urzędu, a nie na wniosek osób zainteresowanych. Odnosząc się do dyspozycji przepisu art. 19 ustawy Sąd stwierdził, że obowiązek wynikający z tego przepisu nie mieści się w sferze decyzyjnych, merytorycznych rozstrzygnięć GIODO, dotyczących nakazania przywrócenia stanu zgodnego z prawem. Osoba dochodząca ochrony swych praw w trybie ustawy o ochronie danych osobowych nie jest przy tym podmiotem postępowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych i nie może się tego domagać od GIODO w administracyjnych formach tego postępowania. Przepis art. 19 ustawy nie daje bowiem stronie roszczenia w tym względzie. Wykonanie obowiązku, o którym mowa w tym przepisie, obciąża wyłącznie GIODO. Decyzja o zawiadomieniu nie nosi jednak cech decyzji administracyjnej w rozumieniu k.p.a.

Sąd pierwszej instancji wskazał także, że przepisów ustawy o ochronie danych osobowych nie jest samodzielną podstawą odpowiedzialności cywilnej. Nie oznacza to jednak, jak wyjaśnił WSA, aby naruszający był zwolniony z odpowiedzialności na zasadach ogólnych, związanej z popełnieniem czynu niedozwolonego czy naruszenia dobra osobistego; w tym zakresie naruszenie wymogów przewidzianych ustawą o ochronie danych osobowych stanowić będzie podstawę dla stwierdzenia bezprawności działania. W rozpoznawanej sprawie organ wskazał skarżącemu na przysługującą mu ochronę na gruncie przepisów prawa cywilnego.

Skargę kasacyjną od powyższego wyroku, w części w której oddala on skargę, wniósł P.U., reprezentowany przez profesjonalnego pełnomocnika. Podstawił w niej dwa zarzuty.

Po pierwsze, naruszenia art. 145 § 1 pkt 1 lit. c) p.p.s.a. w związku z art. 75 § 1, art. 77 § 1 oraz art. 78 § 1 k.p.a., przez bezpodstawne uznanie, iż naruszenie tych przepisów dotyczących zasad prowadzenia postępowania dowodowego przez organ nie miało istotnego wpływu na wynik sprawy, podczas gdy w rzeczywistości prawidłowe ustalenie stanu faktycznego jest warunkiem sine qua non stwierdzenia czy zaktualizował się obowiązek organu do wydania decyzji administracyjnej zgodnie z art. 18 ust. 1 ustawy o ochronie danych osobowych.

Po drugie, naruszenia art. 18 ust. 1 ustawy o ochronie danych osobowych przez przyjęcie, że w sytuacji, w której doszło do naruszenia przepisów o ochronie danych osobowych, o ile stan zgodny z prawem został przywrócony przed wydaniem przez GIODO decyzji, organ ten ma prawo wydać decyzję, na mocy której odmówił uwzględnienia wniosku o ochronę danych osobowych, podczas gdy prawidłowe rozumienie tego przepisu w każdym przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych nakłada na GIODO obowiązek wydania decyzji nakazującej przywrócenie stanu zgodnego z prawem.

W uzasadnieniu skargi kasacyjnej skarżący wskazał, że art. 18 ust. 1 ustawy o ochronie danych osobowych wprost nakłada na organ administracyjny obowiązek wydania decyzji nakazującej przywrócenie stanu zgodnego z prawem, jeżeli tylko zostanie stwierdzone, że doszło do naruszenia przepisów o ochronie danych osobowych. Nie ma on zatem możliwości wydania decyzji negatywnej odmawiającej uwzględnienia wniosku o ochronę danych osobowych. Zdaniem skarżącego kasacyjnie w sytuacji, w której organ po przeprowadzeniu postępowania administracyjnego – w trakcie którego ustalił, że rzeczywiście doszło do naruszenia przepisów o ochronie danych osobowych, jednak stan zgodności z prawem został przywrócony przed wydaniem decyzji administracyjnej i nie ma potrzeby nakazywania administratorowi danych żadnego z działań wskazanych w pkt 1-6 art. 18 ustawy o ochronie danych osobowych – powinien organ rozważyć możliwość wydania decyzji o umorzeniu postępowania bezprzedmiotowego w trybie art. 105 k.p.a. W tym celu musi jednak przeprowadzić wcześniej wnikliwe postępowanie wyjaśniające.

W odpowiedzi na skargę kasacyjną Generalny Inspektor Ochrony Danych Osobowych, podzielając stanowisko Sądu pierwszej instancji, wniósł o jej oddalenie.

Naczelny Sąd Administracyjny zważył, co następuje:

Skarga kasacyjna zasługuje na uwzględnienie, gdyż zarzuty skargi kasacyjnej, zwłaszcza odczytywane przez pryzmat uzasadnienia, są zasadniczo usprawiedliwione.

Artykuł 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.; u.o.d.o.) stanowi, że w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności:

1) usunięcie uchybień;

2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych;

3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe;

4) wstrzymanie przekazywania danych osobowych do państwa trzeciego;

5) zabezpieczenie danych lub przekazanie ich innym podmiotom;

6) usunięcie danych osobowych.

W ocenie Naczelnego Sądu Administracyjnego na gruncie stosowania przywołanego przepisu wyróżnić należy co do zasady trzy rodzaje sytuacji:

1) organ stwierdza, że stan naruszenia przepisów o ochronie danych osobowych ma miejsce w dacie wydania decyzji – wówczas wydaje decyzję stosując jeden ze środków wskazanych w punktach 1-6 art. 18 ust. 1 ustawy o ochronie danych osobowych;

2) organ stwierdza, że naruszenie przepisów o ochronie danych osobowych nie ma miejsca w dacie wydania decyzji i nie dochodziło do niego w sprawie również w przeszłości – wówczas wydaje decyzję odmawiającą zastosowania środków wskazanych w punktach 1-6 art. 18 ust. 1 ustawy o ochronie danych osobowych (odmawiającą uwzględnienia skargi) z uwagi na brak spełnienia przesłanek ku temu wynikających z tego przepisu (tj. brak naruszenia przepisów o ochronie danych osobowych);

3) organ stwierdza, że miało miejsce naruszenie przepisów o ochronie danych osobowych, ale naruszenie to nie występuje już w dacie wydania decyzji – wydaje wówczas na podstawie art. 105 § 1 k.p.a. decyzję o umorzeniu postępowania jako bezprzedmiotowego z uwagi na brak możliwości zastosowania przez organ środków określonych w pkt 1-6 art. 18 ust. 1 ustawy o ochronie danych osobowych. W takim przypadku Generalny Inspektor Ochrony Danych Osobowych musi w uzasadnieniu decyzji wyraźnie wskazać, że naruszenie przepisów o ochronie danych osobowych miało miejsce, określić w jakim okresie i na czym polegało, oraz kiedy i dlaczego ustało.

Podanej wyżej trzeciej ewentualności nie dostrzegł w sprawie zarówno organ, jak i Sąd pierwszej instancji. Warto tymczasem zaznaczyć, że także w doktrynie prezentowany jest pogląd, iż organ – w sytuacji stwierdzenia w sprawie naruszenia przepisów o ochronie danych osobowych w przeszłości, nie mającego już jednak miejsca w dacie rozstrzygania – powinien umorzyć wszczęte postępowanie jako bezprzedmiotowe z uwagi na brak możliwości zastosowania środka z punktów 1-6 art. 18 ust. 1 u.o.d.o. (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Warszawa 2015, s. 383; G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 151). Podobne zapatrywanie przyjęto również w orzecznictwie Naczelnego Sądu Administracyjnego (zob. wyrok NSA z dnia 10 listopada 2011 r. o sygn. akt I OSK 1974/10).

Wybór jednego z przedstawionych wyżej typów rozstrzygnięć zależy od ustaleń organu co do stanu faktycznego, które muszą być tym samym dokładne i wyczerpujące w myśl art. 7 i art. 77 § 1 k.p.a. Tymczasem, jak wskazał już sam Sąd pierwszej instancji, postępowanie wyjaśniające organu w niniejszej sprawie nie było dostateczne. Zasadne byłoby bowiem przeprowadzenie w niej np. dowodu z przesłuchania świadka czy utrwalonego w aktach odsłuchu nagrania, czego GIODO nie uczynił. Organ nie powinien ograniczać się tylko do pisemnych wyjaśnień. Niedokładne ustalenie przez organ stanu faktycznego sprawy, co do tego, czy doszło w przeszłości – w okresie i sytuacji wskazanych w skardze P. U. – do naruszenia przepisów o ochronie danych osobowych, świadczy o naruszeniu przez Generalnego Inspektora Ochrony Danych Osobowych art. 7, art. 77 § 1 i art. 80 k.p.a. Stosowanie art. 18 ust. 1 u.o.d.o wymaga szerszego zakresu postępowania wyjaśniającego, sprzyjającego ochronie wartości wyrażonych w art. 51 Konstytucji RP.

Sąd pierwszej instancji w zaskarżonym wyroku trafnie dostrzegł uchybienia GIODO w zakresie postępowania dowodowego, jednak błędnie uznał, że wobec niebudzącego wątpliwości braku naruszeń przepisów o ochronie danych osobowych na dzień wydania decyzji przez organ – uchybienia te nie miały istotnego wpływu na wynik sprawy. Jak wskazano wyżej, wbrew ocenie WSA w Warszawie, uchybienia te miały znaczący wpływ na wydane rozstrzygnięcie, gdyż w zależności od ustaleń organu dotyczących okresu objętego skargą wniesioną do GIODO powinien był on wydać odmienne treściowo decyzje. Stąd za zasadne uznał Naczelny Sąd Administracyjny zarzuty skargi kasacyjnej. Organ powinien był dokładnie i wszechstronnie ustalić stan faktyczny sprawy dla szerszego okresu, a zatem zweryfikować to, czy doszło do naruszenia przepisów o ochronie danych osobowych w określonej w skardze przeszłości, choćby w momencie wydania decyzji takie naruszenia nie miały miejsca. Stosownie do art. 107 § 3 k.p.a. rezultaty tych działań winny znaleźć szczegółowe odbicie w uzasadnieniu faktycznym decyzji.

Na koniec warto też wskazać, że konieczność dokładnego wyjaśnienia i opisania w uzasadnieniu decyzji przez Generalnego Inspektora Ochrony Danych Osobowych stanu faktycznego sprawy, w szczególności tego, czy w okresie do którego odnosi się skarga miało miejsce naruszenie przepisów o ochronie danych osobowych – ma istotne znaczenie z uwagi na potencjalną możliwość dochodzenia przez stronę naruszenia dóbr osobistych (art. 23 i art. 24 Kodeksu cywilnego). Podobnie z art. 19 u.o.d.o., ustanawiającego obowiązek GIODO – w razie stwierdzenia, że działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem danych wyczerpuje znamiona przestępstwa określonego w ustawie – skierowania do organu powołanego do ścigania przestępstw zawiadomienia o popełnieniu przestępstwa, nie można wywodzić, że inne podmioty nie mogą do tych organów złożyć podobnego zawiadomienia. Ustalenie zatem przez GIODO nie tylko tego, czy naruszenie przepisów o ochronie danych osobowych ma miejsce w dacie wydania decyzji, ale również, czy miało miejsce w przeszłości – ma istotne znaczenie dla realizacji przez niego obowiązku z art. 19 u.o.d.o., jak też dla możliwości zawiadomienia o przestępstwie z art. 49-54 u.o.d.o. przez stronę zainteresowaną. Zarówno zatem w przypadku postępowania o naruszenie dóbr osobistych dotyczących danych osobowych, jak i w przypadku zawiadomienia o popełnieniu przestępstwa z art. 49-54 u.o.d.o. – ustalenia poczynione w uzasadnieniu decyzji administracyjnej przez fachowy organ powołany do ochrony danych osobowych, determinujące osnowę tej decyzji, mają ważkie znaczenie prawne.

Mając na uwadze, że istota sprawy została dostatecznie wyjaśniona, Naczelny Sąd Administracyjny uznał za uzasadnione zastosowanie z przedstawionych wyżej względów art. 188 w zw. z art. 145 § 1 pkt 1 lit. a) i c) w zw. z art. 135 p.p.s.a. – i na tej podstawie uchylił zaskarżony wyrok oraz zaskarżoną decyzję oraz decyzję GIODO z dnia 22 listopada 2011 r., nr [...].

Ponownie rozpatrując sprawę organ przeprowadzi postępowanie wyjaśniające w celu ustalenia, czy nie tylko na dzień wydania decyzji, ale także w okresie do którego odnosi się skarga P.U. – ma lub miało miejsce w sprawie naruszenie przepisów o ochronie danych osobowych. W zależności od rezultatów tego postępowania wyjaśniającego, tj. ustalonego stanu faktycznego, organ wyda rozstrzygnięcie, stosując się do przedstawionej wyżej interpretacji modelu stosowania art. 18 ust. 1 u.o.d.o. dokonanej przez Naczelny Sąd Administracyjny.