Wyrok NSA, sygn. akt I OSK 3170/14
Naczelny Sąd Administracyjny
Data orzeczenia: 2015-11-10 00:00:00+01:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Oddalono skargę kasacyjną
Powołane przepisy: article: art. 6 ust. 1, art. 23 ust. 1 w zw. z art. 24 ust. 1 i art. 32 ust. 1 pkt 4 oraz art 33 ust. 1 w zw. z art. 32 ust. 1 pkt 3
journal: Dz.U. 2002 nr 101 poz 926
law: Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.

SENTENCJA

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Małgorzata Borowiec (spr.) Sędziowie: Sędzia NSA Joanna Runge - Lissowska Sędzia del. NSA Jerzy Krupiński Protokolant starszy asystent sędziego Łukasz Mazur po rozpoznaniu w dniu 10 listopada 2015 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej C.P. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 26 czerwca 2014 r. sygn. akt II SA/Wa 2394/13 w sprawie ze skargi C.P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2013 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) postanawia sprostować z urzędu w sentencji wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 26 czerwca 2014 r. sygn. akt II SA/Wa 2394/13 niedokładność oznaczenia przedmiotu sprawy w ten sposób, że zamiast wyrazów "odmowy uwzględnienia wniosku" wpisać wyrazy "przetwarzania danych osobowych"; 2) oddala skargę kasacyjną.


UZASADNIENIE

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 26 czerwca 2014 r. sygn. akt II SA/Wa 2394/13 oddalił skargę C.P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2013 r. nr [...] w przedmiocie przetwarzania danych osobowych.

Wyrok został wydany w następującym stanie faktycznym i prawnym sprawy.

C.P., zwany dalej skarżącym, wniósł do Generalnego Inspektora Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez I. S.A. z siedzibą w W. przy ul. [...], reprezentujące F. S.A., zwane dalej Spółką. Zarzucił naruszenie przez Spółkę art. 33 ust. 1 w zw. z art. 32, art. 23 ust. 1 w zw. art. 24 ust. 1 oraz art. 32 ust. 1 pkt 4 i art. 40 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm., dalej w skrócie u.o.d.o.). Wskazując na powyższe zarzuty wniósł o przeprowadzenie kontroli i wydanie decyzji administracyjnej nakazującej Spółce dopełnienie obowiązku informacyjnego wynikającego z treści art. 33 u.o.d.o. Dodatkowo skarżący, po zrealizowaniu uprawnienia określonego w art. 10 § 1 w zw. z art. 73 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j.: Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm., dalej w skrócie K.p.a.), pismem z dnia 27 sierpnia 2012 r. zażądał przekazania przez Spółkę wszelkich danych osobowych zawartych w dokumentach przekazanych przez nią do I. Sp. z o.o. z siedzibą w K. przy ul. [...] oraz I. S.A. z siedzibą w W. przy ul. [...], na podstawie zawartej pomiędzy tymi podmiotami umowy o powierzenie. Ponadto skarżący wniósł o udostępnienie informacji określających liczbę jednostek w danym funduszu, cenę sprzedaży jednostek oraz ich wartość.

Generalny Inspektor Ochrony Danych Osobowych w toku przeprowadzonego postępowania administracyjnego ustalił, że C.P. w dniu [...] listopada 1996 r. zawarł ze Spółką umowę Ubezpieczenia z Funduszem Inwestycyjnym. W dniu [...] września 2002 r. złożył on wniosek o wypłatę wartości wykupu, co zgodnie z art. 14 ust. 3 Ogólnych Warunków Ubezpieczenia z Funduszem Inwestycyjnym, było równoznaczne z wypowiedzeniem umowy ubezpieczenia z dniem [...] października 2002 r. Spółka w celach archiwalnych przetwarza dane osobowe skarżącego w zakresie dotyczącym jego imienia, nazwiska, płci, stanu cywilnego, adresu, zawodu, miejscu i dacie urodzenia, narodowości, numeru dowodu tożsamości, numeru PESEL, numeru telefonu, informacji o stanie zdrowia, jak również przechowuje dane dotyczące historii umowy ubezpieczenia, takie jak wykaz transakcji i rejestr wpłat, a także dokumentacji ubezpieczeniowej i korespondencji z klientem. Skarżący pismem z dnia 23 maja 2012 r. zwrócił się do Spółki celem wyjawienia danych zawartych w wyciągu konta prowadzonego w ramach polisy ubezpieczeniowej nr [...]. W powyższym wniosku powoływał się na uprawnienie określone w art. 33 u.o.d.o. W odpowiedzi Spółka pismem z dnia 4 czerwca 2012 r. odmówiła spełnienia obowiązku informacyjnego wynikającego z powyższego przepisu. Wskazała, że zakres danych, do których dostępu domagał się skarżący nie jest zbieżny z zakresem określonym w art. 32 ust. 1 pkt 1 – 5a u.o.d.o.

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] grudnia 2012 r. nr [...], na podstawie art. 104 § 1 K.p.a., art. 12 pkt 2, art. 22, art. 18 ust. 1 pkt 1 w zw. z art. 24 ust. 1 pkt 3, art. 32 ust. 1 pkt 3 i art. 33 oraz art. 23 ust. 1 pkt 5 u.o.d.o.:

I. nakazał Funduszowi Inwestycyjnemu I. S.A. reprezentowanemu przez I. S.A. z siedzibą w W. przy ul. [...], wypełnianie obowiązku informacyjnego z art. 33 w zw. z art. 32 ust. 1 pkt 3 u.o.d.o. w stosunku do C.P., poprzez podanie mu w powszechnie zrozumiałej treści jego danych osobowych zawartych w wyciągach stanu konta na Indywidualnym Koncie Jednostek Uczestnictwa prowadzonym w ramach polisy nr [...] oraz wypełnianie obowiązku informacyjnego z art. 24 u.o.d.o. w stosunku do wymienionego, poprzez udzielenie mu informacji o prawie dostępu do treści swoich danych oraz ich poprawiania.

II. w pozostałym zakresie odmówił uwzględnienia wniosku.

W uzasadnieniu decyzji powołując się na opisany stan faktyczny podał, że zgodnie z art. 6 u.o.d.o., za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (ust. 1), a osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (ust. 2). Ponadto, stosownie do treści art. 33 u.o.d.o., na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1 – 5a (ust. 1). Na wniosek osoby, której dane dotyczą, informacji, o których mowa w ust. 1, udziela się na piśmie (ust. 2). Wskazany powyżej przepis art. 32 ust. 1 u.o.d.o. stanowi, iż każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą zawartych w zbiorach danych, a zwłaszcza prawo do: uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna – jej miejsca zamieszkania oraz imienia i nazwiska (pkt 1), uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze (pkt 2), uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych (pkt 3), uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie w tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej (pkt 4), uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane (pkt 5), uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2 (pkt 5a).

Odnosząc powyższy stan prawny do stanu faktycznego sprawy podał, że na Spółce, będącej w świetle art. 7 ust. 4 u.o.d.o. administratorem danych osobowych skarżącego, ciąży wobec niego obowiązek informacyjny określony w art. 33 u.o.d.o. Bezsprzecznym w sprawie jest fakt, że aktualnie Spółka przetwarza dane osobowe C.P. Skarżący w celu realizacji powyższego uprawnienia pismem z dnia 23 maja 2012 r. zwrócił się do Spółki, która odmówiła udzielenia wnioskowanych informacji, tłumacząc, iż w jej ocenie zakres jego żądania nie jest zbieżny z zakresem określonym w art. 32 ust. 1 pkt 1-5a u.o.d.o.

Zdaniem Generalnego Inspektora Ochrony Danych Osobowych, nie można się zgodzić z powyższą argumentacją Spółki, gdyż wniosek skarżącego dotyczył udostępnienia mu treści jego danych osobowych. Naczelny Sąd Administracyjny w wyroku z dnia 24 lutego 2011 r., sygn. akt. I OSK 653/10 stwierdził, iż "przepis art. 6 ust. 1 i 2 u.o.d.o. wskazuje, że za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Do informacji takich z pewnością należy także informacja o posiadaniu konta bankowego przez zindywidualizowaną osobę, bowiem taka informacja pozwala na identyfikację właściciela konta z uwagi na dane osobowe zawarte w umowie o otwarcie konta bankowego. Podobny charakter ma też podanie wysokości zgromadzonych wkładów, gdyż informacja taka identyfikuje cechy ekonomiczne właściciela konta". W doktrynie również przyjmuje się, iż użyte w art. 6 u.o.d.o. sformułowanie "wszelkie dane osobowe" służy podkreśleniu, że w grę wchodzą informacje odnoszące się do każdego aspektu osoby, jej stosunków osobistych i rzeczowych, jej życia zawodowego, prywatnego, wykształcenia, wiedzy czy cech charakteru. Nie ma przy tym znaczenia, w jakiej roli występuje w danym przypadku osoba, np. członka rodziny, członka grupy zawodowej czy przedsiębiorcy (tak też, J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz. LEX, 2011).

W konsekwencji Generalny Inspektor Ochrony Danych Osobowych stwierdził, że wobec ustalenia, iż dane osobowe C.P. nadal są przez Spółkę przetwarzane, zasadne jest nakazanie jej usunięcie uchybień w procesie wypełniania obowiązku informacyjnego wynikającego z art. 33 w zw. z art. 32 ust. 1 pkt 3 u.o.d.o. W ocenie organu, Spółka nie wypełniła go w sposób właściwy, tj. nie przekazała skarżącemu informacji zgodnych ze stanem faktycznym. Zasadnym jest zatem nakazanie przez Generalnego Inspektora Ochrony Danych Osobowych usunięcia uchybienia przez Spółkę stosownie do nakazu sformułowanego w punkcie I decyzji. Ponadto organ, powołując treść art. 24 ust. 1 i 2 u.o.d.o. uznał, że obowiązek wynikający z tego przepisu został tylko częściowo wypełniony w momencie zawarcia umowy przedmiotowej polisy. Skarżący dobrowolnie przekazał Spółce swoje dane osobowe w celu zawarcia umowy ubezpieczenia. Cel, w jakim Spółka pozyskała dane osobowe oraz oznaczenie podmiotu zostały określone zarówno w Polisie nr [...], jak i Ogólnych Warunkach Ubezpieczenia z Funduszem Inwestycyjnym nr [...]. Generalny Inspektor Ochrony Danych Osobowych, po przeprowadzeniu analizy zgromadzonego materiału dowodowego, w tym treści w/w dokumentów, nie stwierdził, aby Spółka poinformowała skarżącego o prawie dostępu do treści swoich danych oraz ich poprawiania. Działanie Spółki naruszyło zatem przepisy ustawy o ochronie danych osobowych w powyższym zakresie i dlatego niezbędne stało się skorzystanie przez organ z przyznanych mu ustawą kompetencji i nakazanie spełnienia obowiązku informacyjnego wynikającego z art. 24 ust. 1 pkt 3 u.o.d.o.

Generalny Inspektor Ochrony Danych Osobowych odnosząc się do żądania skarżącego zawartego w piśmie z dnia 27 sierpnia 2012 r. podał, że w materiale dowodowym brak jest potwierdzenia, aby skarżący zwracał się do Spółki o spełnienie obowiązku informacyjnego wynikającego z art. 33 u.o.d.o. w zakresie wskazanym w w/w piśmie. Zgodnie z dyspozycją powyższego przepisu, realizacja określonego w nim uprawnienia następuje na wniosek osoby, której dane dotyczą, skierowany do administratora jej danych osobowych. Takie stanowisko znajduje oparcie w piśmiennictwie dotyczącym analizowanego zagadnienia, gdzie wprost wskazuje się, że "przepis art. 33 u.o.d.o. pozostaje w związku z art. 32, wyposażającym osobę, której dotyczą zawarte w zbiorze dane, w określone roszczenia w stosunku do administratora". Przepis art. 33 u.o.d.o. zobowiązuje przede wszystkim administratora do informowania osób, których dane dotyczą, o przysługujących im prawach. Chodzi tu o prawa wynikające z niniejszej ustawy (w pierwszym rzędzie wynikające z art. 32 i art. 35 u.o.d.o., w pewnych przypadkach także z art. 23-25 i 27 u.o.d.o.). Informacji tych administrator nie udziela z urzędu osobom, których dane przetwarza, lecz tylko na ich wniosek. Pojęcie "wniosku" należy tłumaczyć szeroko, nie stawiając wymogów formalnych co do jego treści czy formy (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz. LEX, 2011). W związku z powyższym, jeżeli wolą skarżącego jest uzyskanie innych informacji wskazanych w przedmiotowymi piśmie, powinien on najpierw skorzystać z realizacji uprawnienia określonego w art. 33 u.o.d.o. W przypadku niespełnienia przez administratora danych w ustawowym terminie powyższego obowiązku, osoba której dane dotyczą, może zwrócić się do Generalnego Inspektora z żądaniem wydania decyzji administracyjnej w trybie określonym art. 18 u.o.d.o.

Odnosząc się do wniosku skarżącego w przedmiocie przeprowadzenia kontroli w Spółce w związku z przedmiotową sprawą, organ wyjaśnił, że decyzja o przeprowadzeniu kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych należy do autonomicznych uprawnień Generalnego Inspektora Ochrony Danych Osobowych, w związku z czym nie jest podejmowana na wniosek strony.

I. S.A. siedzibą w W. w dniu 27 grudnia 2012 r. złożyło do Generalnego Inspektora Ochrony Danych Osobowych wniosek o ponowne rozpatrzenie sprawy. Spółka podniosła, że decyzja z dnia [...] grudnia 2012 r. została skierowana do podmiotu niebędącego stroną niniejszego postępowania. Z sentencji decyzji wynika, że jest ona skierowana do F. S.A. Tymczasem stroną postępowania jest I. S.A. Podmiot, do którego jest adresowana decyzja nie istnieje, Towarzystwo go zatem nie reprezentuje. Ponadto wskazała, że treść rozstrzygnięcia zawartego w zaskarżonej decyzji jest niejednoznaczna, bowiem nakłada na wyżej wskazany podmiot obowiązek podania skarżącemu treści jego danych osobowych zawartych w wyciągach stanu konta na Indywidualnym Koncie Jednostek Uczestnictwa. Takie sformułowanie decyzji administracyjnej powoduje, że podmiot zobowiązany do jej wykonania nie ma pewności co do tego, jak ma ją wykonać, narażając się na skutki nieprawidłowego jej wykonania. Wyjaśnienia wymagają okoliczności ujęte w następujących pytaniach: 1) o jakie wyciągi chodzi? Pytanie jest zasadne tym bardziej, że Towarzystwo nie przetwarza danych osobowych skarżącego na żadnych wyciągach; 2) czy Towarzystwo miałoby przygotować dla skarżącego wyciągi stanu konta? Jeśli tak, to jakiej treści i za jaki okres. Organ nie zwracał się do C.P. o wyjaśnienie, jakie wyciągi ma on na myśli formułując skargę. Nie zwrócił się on również do Spółki z pytaniem w tym zakresie.

Spółka podniosła również, iż art. 33 w zw. z art. 32 ust.1 pkt 3 u.o.d.o. nie może być podstawą do nakładania na administratora danych osobowych obowiązku tworzenia zestawień, wykazów i różnego rodzaju wyciągów, których on nie posiada. Odnośnie zarzutu dotyczącego sformułowanego w zaskarżonej decyzji obowiązku informacyjnego Spółka podała, że kwestionowana decyzja nakłada na podmiot, do którego jest adresowana, obowiązek informacyjny, o którym mowa w art. 24 u.o.d.o., poprzez udzielenie skarżącemu informacji o prawie dostępu do treści swoich danych oraz ich poprawiania. Rozstrzygnięcie w tym zakresie jest błędne. Spółka nie otrzymała wniosku skarżącego w tym zakresie. Nie zwracał się on również o wykonanie obowiązku informacyjnego w zakresie poinformowania go o prawie dostępu do treści danych oraz ich poprawiania. Stwierdzenie organu administracji, że działanie Spółki naruszyło przepisy ustawy o ochronie danych osobowych w w/w zakresie jest nieprawidłowe. Dokumenty, na które powołał się organ, tj. Polisa nr [...] i Ogólne Warunki Ubezpieczenia z Funduszem Inwestycyjnym nr [...] nie mogą służyć do ustalenia, czy obowiązek informacyjny został wykonany. Obowiązek informacyjny powinien być wypełniany, poprzez umieszczenie odpowiednich informacji na wniosku o zawarcie umowy ubezpieczenia, którego organ w tym zakresie nie przeanalizował.

C.P. w związku z wnioskiem Spółki o ponowne rozpatrzenie sprawy, w piśmie skierowanym do organu z dnia 10 kwietnia 2013 r. podał, że wnioskuje o wydanie przez Generalnego Inspektora Ochrony Danych Osobowych decyzji, która skoryguje i doprecyzuje decyzję z dnia [...] grudnia 2012 r. W jego ocenie I. słusznie wskazało, że adresatem decyzji powinno być I. S.A. – korekta może być wykonana na podstawie art. 113 § 1 K.p.a. Treścią decyzji powinno być zobowiązanie I. do przekazania wszelkich danych osobowych gromadzonych i przetwarzanych w I. oraz u innych podmiotów, którym I. powierzyło administrację danych (I. wymieniło w piśmie z dnia 27 lipca 2012 r. I. Sp. z o.o. w K. oraz I. S.A. w W.) w związku z polisą ubezpieczeniową nr [...]. Treścią żądania skargi do GIODO było nakazanie dopełnienia obowiązku udostępnienia danych osobowych, a w szczególności wyciągu stanów konta na indywidualnym koncie jednostek uczestnictwa prowadzonym w ramach polisy nr [...] oraz następnie do przekazania danych dotyczących wpłat i rejestru transakcji w tym pobieranych opłat dokonywanych na koncie skarżącego w formacie zgodnym z tym, który I. stosowało rozsyłając "Informację o aktualnej wartości polisy". W sytuacji, gdy I., jak twierdzi, nie prowadzi specjalnych wyciągów z Indywidualnego Konta Jednostek Uczestnictwa, wiążącym powinno być nakazanie przekazania wszelkich danych we wszystkich dostępnych w I. formach i nośnikach danych – papierowych, jak i elektronicznych.

Powyższe stanowisko skarżący potwierdził w piśmie z dnia 29 lipca 2013 r.

Generalny Inspektor Ochrony Danych Osobowych w ponownym postępowaniu, działając w oparciu o art. 136 K.p.a., ustalił dodatkowe okoliczności faktyczne. Spółka w piśmie z dnia 3 kwietnia 2013 r. oświadczyła, że informacje o operacjach wykonywanych na Indywidualnym Koncie Jednostek Uczestnictwa, począwszy od daty zawarcia przez skarżącego umowy ubezpieczenia do dnia jej rozwiązania, dotyczą Ubezpieczającego, są więc przetwarzane w zbiorze danych osobowych "Ubezpieczający I. S.A". Analogicznie, dane dotyczące historii umowy ubezpieczenia takie jak wykaz wpłat (...) również dotyczą Ubezpieczającego, są więc przetwarzane w zbiorze danych osobowych "Ubezpieczający I. S.A." Ponadto Spółka podała, że wniosek o ubezpieczenie na życie z funduszem inwestycyjnym został przez C.P. podpisany w dniu [...] września 1996 r. Wniosek ten nie zawiera informacji stanowiących wypełnienie obowiązku informacyjnego, o którym mowa w art. 24 u.o.d.o., ponieważ w dniu podpisania wniosku, takiego obowiązku nie było.

Generalny Inspektor Ochrony Danych Osobowych, decyzją z dnia [...] listopada 2013 r. nr [...], na podstawie art. 138 § 1 pkt 1 i 2 K.p.a., art. 12 pkt 2, art. 22, art. 24, art. 32 ust. 1 w zw. z art. 33 ust. 1 oraz art. 23 ust. 1 u.o.d.o., 1) uchylił zaskarżoną decyzję z dnia [...] grudnia 2012 r. nr [...] w części dotyczącej jej pkt I i w tym zakresie odmówił uwzględnienia wniosku, 2) w pozostałym zakresie utrzymał zaskarżoną decyzję w mocy.

W uzasadnieniu decyzji podał, że w zaskarżonej decyzji błędnie określono, iż stroną niniejszego postępowania i jednocześnie adresatem nakazu sformułowanego w pkt 1 decyzji jest F. S.A., podczas gdy stroną tą jest niewątpliwie Spółka. Z tego względu konieczne jest uchylenie zaskarżonej decyzji w zakresie jej pkt I. Jednocześnie wskazał, że w niniejszej sprawie całe postępowanie pierwszoinstancyjne zostało przeprowadzone wobec Spółki i z zagwarantowaniem jej uprawnień wynikających z Kodeksu postępowania administracyjnego, w szczególności z art. 10 § 1 i art. 73 § 1 K.p.a. Zaskarżona decyzja została skierowana do Spółki, a więc właściwej strony postępowania, nie można zatem mówić o wadzie postępowania określonej w art. 156 § 1 pkt 4 K.p.a., mogącej skutkować nieważnością decyzji.

Odnosząc się do nakazu sformułowanego w pkt I decyzji z dnia [...] grudnia 2012 r. dotyczącego obowiązku informacyjnego określonego w art. 24 u.o.d.o. w zakresie poinformowania skarżącego o prawie dostępu do jego danych osobowych i prawie ich poprawiania, organ podzielił trafność zarzutu Spółki, że sformułowanie nakazu było niezasadne, jednakże z innych względów niż podniesione we wniosku o ponowne rozpatrzenie sprawy. Spółka zarzuciła, iż w tym zakresie skarżący nie wystąpił do niej z odpowiednim wnioskiem o podanie informacji. Tymczasem spełnienie obowiązku z art. 24 u.o.d.o. nie jest uzależnione od wniosku osoby, której dane dotyczą. Administrator danych jest obowiązany w momencie zbierania danych od osoby, której dane dotyczą, dopełnić obowiązku z art. 24 u.o.d.o. w zakresie określonym dyspozycją tego przepisu.

Spółka prawidłowo zauważyła, iż dane skarżącego zostały pozyskane od niego w dniu [...] września 1996 r., tj. w dacie złożenia przez niego wniosku o ubezpieczenie na życie z funduszem inwestycyjnym. Tymczasem ustawa o ochronie danych osobowych zaczęła obowiązywać w dniu 30 kwietnia 1998 r. W dacie zbierania danych osobowych skarżącego obowiązek informacyjny, o którym mowa w art. 24 u.o.d.o., w zakresie poinformowania skarżącego o prawie dostępu do danych oraz ich poprawiania, nie istniał. W sprawie nie można zatem stwierdzić, aby Spółka w tej dacie naruszyła w w/w zakresie przepisy ustawy, która wówczas nie obowiązywała. Z kolei Spółka pod rządami ustawy (od dnia 30 kwietnia 1998 r.) nie zbierała danych skarżącego na potrzeby zawarcia umowy nr [...]. Z tego względu organ uznał, że sformułowany w pkt I zaskarżonej decyzji nakaz dotyczący obowiązku informacyjnego określonego w art. 24 u.o.d.o. w zakresie poinformowania skarżącego o prawie dostępu do jego danych osobowych i prawie ich poprawiania, jest wadliwy i musiał zostać uchylony.

Ponadto Generalny Inspektor Ochrony Danych Osobowych mając na względzie sformułowany również w pkt I zaskarżonej decyzji z dnia [...] grudnia 2012 r. nakaz dotyczący spełnienia wobec skarżącego obowiązku informacyjnego określonego w art. 33 u.o.d.o., poprzez podanie mu w powszechnie zrozumiałej treści jego danych osobowych zawartych w wyciągach stanu konta na Indywidualnym Koncie Jednostek Uczestnictwa prowadzonym w ramach polisy nr [...], powołując się na treść art. 6, art. 32 ust. 1 i art. 33 u.o.d.o., stwierdził, że "wyjawienie stanu konta" czy "informacje o wyciągach stanu konta na Indywidualnym Koncie Jednostek Uczestnictwa prowadzonym w ramach polisy nr [...]", względnie – jak to doprecyzował skarżący w piśmie z dnia 29 lipca 2013 r. – "informacje o wszelkich operacjach wykonywanych na Indywidualnym Koncie Jednostek Uczestnictwa w trakcie trwania umowy ubezpieczenia (polisa ubezpieczeniowa nr [...]) zawartej ze skarżącym w dniu [...] listopada 1996 r., która uległa rozwiązaniu w dniu [...] września 2002 r. (tj. o wszystkich operacjach wykonywanych przez cały okres obowiązywania tej umowy)", nie są informacjami o treści danych osobowych przetwarzanych przez administratora danych osobowych, o której mowa w art. 32 ust. 1 pkt 3 u.o.d.o. in fine. Tym samym nie są informacjami, których udostępnienia można domagać się od administratora danych osobowych w trybie wniosku o spełnienie obowiązku informacyjnego, o którym mowa w art. 33 ust.1 u.o.d.o. Organ przyznał, że dokonana w zaskarżonej decyzji ocena uznająca informacje o wszelkich operacjach wykonywanych na Indywidualnym Koncie Jednostek Uczestnictwa za informacje podpadające pod dyspozycję art. 32 ust. 1 pkt 3 u.o.d.o. in fine była błędna. Powyższe powoduje, iż sformułowanie w pkt I zaskarżonej decyzji nakazu dotyczącego wypełnienia w stosunku do C.P. obowiązku informacyjnego z art. 33 w zw. z art. 32 ust. 1 pkt 3 poprzez podanie mu w powszechnie zrozumiałej treści jego danych osobowych zawartych w wyciągach stanu konta na Indywidualnym Koncie Jednostek Uczestnictwa prowadzonym w ramach polisy nr [...] było wadliwe, a jednocześnie naruszało wskazane przepisy ustawy o ochronie danych osobowych w zw. z art. 18 ust. 1 pkt 1 tej ustawy. Z tego względu opisany nakaz został przez organ uchylony. Jak wyżej wskazano, domaganie się przez skarżącego w/w informacji w trybie art. 33 ust. 1 u.o.d.o. było niezasadne.

Jednocześnie Generalny Inspektor Ochrony Danych Osobowych podał, że "informacje o wszelkich operacjach wykonywanych na Indywidualnym Koncie Jednostek Uczestnictwa w trakcie umowy ubezpieczenia nr [...]" nie mogą być uznane za dane osobowe w rozumieniu art. 6 ust. 1 u.o.d.o., jako informacje odnoszące się do zidentyfikowanej osoby fizycznej, są to bowiem informacje finansowe dotyczące alokacji składek, o których mowa w w/w umowie ubezpieczenia. W tym kontekście jednocześnie nie można mówić o treści takich informacji w rozumieniu art. 32 ust. 1 pkt 3 u.o.d.o., gdyż "treścią danych" są kategorie danych osobowych, rodzaj danych osobowych jak np. imię, nazwisko, adres. Również treść pisma skarżącego z dnia 23 maja 2012 r. skierowanego do Spółki nie pozwalała na potraktowanie go jako wniosku z art. 33 ust. 1 u.o.d.o., w szczególności nie wynika z niego, aby skarżący wnioskował o udostępnienie mu informacji o treści jego danych w rozumieniu art. 32 ust. 1 pkt 3 u.o.d.o. Za słuszne zatem należy uznać stanowisko Spółki wyrażone w piśmie z dnia 4 czerwca 2012 r. skierowanym do skarżącego, że art. 33 u.o.d.o. również nie stanowi podstawy do realizacji żądania wyjawienia wyciągu stanu konta. Zakres żądanych informacji nie jest tożsamy z zakresem wskazanym w art. 32 ust. 1 pkt 1-5a u.o.d.o.

Organ, odnosząc się do żądania skarżącego zawartego w piśmie z dnia 27 sierpnia 2012 r., ponownie stwierdził, że w aktach sprawy brak jest dowodu potwierdzającego fakt zwrócenia się skarżącego do Spółki o spełnienie obowiązku informacyjnego wynikającego z art. 33 u.o.d.o. w zakresie wskazanym w powołanym piśmie.

Powyższa decyzja stała się przedmiotem skargi C.P. do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której wniósł o jej uchylenie w całości i zobowiązanie Generalnego Inspektora Ochrony Danych Osobowych do nakazania I. S.A. dopełnienia wobec niego obowiązku informacyjnego z art. 33 u.o.d.o. w zakresie informacji o wszelkich operacjach wykonywanych na Indywidualnym Koncie Jednostek Uczestnictwa w trakcie trwania umowy ubezpieczenia (polisa nr [...]) zawartej z nim w dniu [...] listopada 1996 r., która uległa rozwiązaniu w dniu [...] września 2002 r. (tj. o wszystkich operacjach wykonywanych przez cały okres obowiązywania umowy) w formie papierowej i elektronicznej. Zdaniem skarżącego treścią decyzji powinno być także zobowiązanie I. do przekazanie wszelkich danych osobowych gromadzonych i przetwarzanych w I. oraz u innych podmiotów, którym I. S.A. powierzyło administracje danych (I. wymieniło w piśmie z dnia 27 lipca 2012 r. I. Sp. z o.o. w K. oraz I. S.A. w W.) w związku z polisą ubezpieczeniową nr [...].

Skarżący zaskarżonej decyzji zarzucił naruszenie prawa materialnego poprzez:

1. niewłaściwe zastosowanie art. 6 ust. 1 u.o.d.o., poprzez uznanie, iż będące w posiadaniu I., informacje dotyczące operacji na koncie IKJU, ściśle związane z polisą ubezpieczeniową nr [...], nie stanowią danych osobowych, gdy tymczasem za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej osoby fizycznej.

2. niewłaściwe zastosowanie art. 33 ust. 1 w zw. z art. 32 ust. 1 pkt 3 u.o.d.o., poprzez nieprawidłowe ustalenie, iż I. nie był obowiązany do udzielenia skarżącemu informacji o operacjach na koncie IKJU prowadzonego dla skarżącego, gdyż nie są to informacje o treści danych osobowych.

3. niewłaściwe zastosowanie art. 23 ust. 1 w zw. art. 24 ust. 1 oraz art. 32 ust. 1 pkt 4 u.o.d.o., który nakłada obowiązek uzyskania od administratora danych wyraźnej zgody osoby, której dane będą przetwarzanie oraz obliguje do udzielania informacji na temat zakresu przetwarzanych danych oraz źródeł ich pochodzenia, poprzez ustalenie, iż umowa ubezpieczenia została zawarta w 1996 r., a ustawa weszła w życie 30 kwietnia 1998 r., gdy tymczasem umowa ubezpieczenia została rozwiązana [...] września 2002 r., tj. pod rządami ustawy.

4. naruszenie zasad ogólnych wyrażonych w art. 7 i art. 8 w zw. z art. 104 K.p.a., poprzez uznanie, iż nie jest możliwym modyfikowanie w trakcie postępowania treści żądania zawartego we wniosku złożonym do I. oraz w skardze do GIODO, gdy tymczasem dopiero w trakcie postępowania I. ujawniło informacje (zakres przetwarzania, miejsca przetwarzania i formy przetwarzania danych) skutkujące koniecznością modyfikacji treści żądania, a zasady ogólne wyrażone w powyższych przepisach nie obligują organu li tylko do rozpoznania wniosku, ale przede wszystkim do załatwienia sprawy.

Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie i podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie uznał, że skarga nie zasługuje na uwzględnienie. W uzasadnieniu wyroku podał, że ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych zaczęła obowiązywać od dnia 30 kwietnia 1998 r. – art. 62. W rozpoznawanej sprawie Spółka uzyskała dane skarżącego w dniu 2 września 1996 r., tj. po podpisaniu przez niego wniosku o ubezpieczenie na życie z funduszem inwestycyjnym. W tym dniu powołana wyżej ustawa jeszcze nie obowiązywała. Po stronie Spółki nie istniał zatem obowiązek informacyjny wynikający z art. 24 u.o.d.o. Spółka od dnia 30 kwietnia 1998 r. nie zbierała od skarżącego danych osobowych na potrzeby zawarcia umowy nr [...].

Sąd pierwszej instancji, powołując treść art. 6 ust. 1 i 2, art. 32 ust. 1 pkt 1 – 5a i art. 33 u.o.d.o., wskazał, że żądane przez skarżącego od Spółki informacje dotyczące wyjawienia stanu konta, wyciągach stanu konta na Indywidualnym Koncie Jednostek Uczestnictwa prowadzonym w ramach polisy nr [...] oraz doprecyzowane przez skarżącego w piśmie z dnia 29 lipca 2013 r., informacje o wszelkich operacjach wykonywanych na Indywidualnym Koncie Jednostek Uczestnictwa w trakcie trwania umowy ubezpieczenia, tj. o wszystkich operacjach wykonywanych od dnia [...] listopada 1996 r. do dnia [...] września 2002 r. (data rozwiązania umowy), nie są informacjami o treści danych osobowych przetwarzanych przez administratora o których mowa w art. 32 ust. 1 pkt 3 in fine u.o.d.o. Stwierdził, że nie są one tymi informacjami, których skutecznie można się domagać od administratora danych osobowych w trybie wniosku o spełnienie obowiązku informacyjnego złożonego na podstawie art. 32 ust.1 u.o.d.o. Z tego powodu, że żądane informacje nie są danymi osobowymi, o których mowa w art. 6 u.o.d.o. Operacje finansowe dotyczące alokacji składek, o których mowa w umowie ubezpieczenia, nie identyfikują osoby. Zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie z tego względu ustawa o ochronie danych osobowych nie ma zastosowania. Powyższe stwierdzenie dotyczy również pisma skarżącego z dnia 23 maja 2012 r. wystosowanego do Spółki, bowiem jego treść sprowadzała się do "(...) potwierdzenia jak alokowano w poszczególnych funduszach wpłaty rocznych składek ubezpieczeniowych i w jakim terminie to następowało. Następnie potwierdzenia ujęcia z IKJU kosztów wstępnych, opłat administracyjnych, opłat za zarządzanie funduszem kapitałowym oraz opłat od ryzyka poprzez wskazanie alokacji funduszy i terminów dokonywanych operacji. A w finale ujęcie z IKJU trzech wypłat dla wnioskodawcy poprzez wskazanie alokacji funduszy, na których dokonywano operacji oraz terminów operacji (...)". Nie ma ono charakteru wniosku z art. 33 ust. 1 pkt 3 u.o.d.o., nie jest bowiem tożsame z zakresem wskazanym w art. 32 ust. 1 pkt 1-5a u.o.d.o

W ocenie Sądu pierwszej instancji, na uwzględnienie nie zasługuje także żądanie skarżącego zawarte w piśmie z dnia 27 sierpnia 2012 r., dotyczące wydania decyzji obligującej I. do przekazania wszystkich jego danych osobowych przekazanych do I. Sp. z o.o. w K. oraz I. S.A. w W. Organ zasadnie podał, że w aktach sprawy brak jest potwierdzenia, aby skarżący zwracał się z wnioskiem do Spółki o spełnienie obowiązku informacyjnego, wynikającego z art. 33 u.o.d.o.

Wojewódzki Sąd Administracyjny w Warszawie, odnosząc się do zarzutu naruszenia przez organ art. 23 ust. 1 w zw. z art. 24 ust. 1 u.o.d.o. oraz art. 32 ust. 1 pkt 4 u.o.d.o., stwierdził, że jest on nietrafny. Podał, że przepisy te, jako normujące różne kwestie, pozostają ze sobą bez związku, a zatem ich zestawienie jest niezasadne. Wskazał, że początkowo podstawą przetwarzania danych osobowych skarżącego był art. 23 ust. 1 pkt 3 u.o.d.o. Przetwarzanie przez Spółkę jego danych osobowych następowało w celu realizacji umowy z dnia [...] listopada 1996 r., której był on stroną. Aktualnie podstawę przetwarzania jego danych osobowych w celach archiwalnych stanowi art. 23 ust. 1 pkt 2 u.o.d.o., lecz ta kwestia nie była przedmiotem zaskarżenia w niniejszej sprawie. Natomiast art. 32 ust. 1 pkt 4 u.o.d.o. stanowi o prawie osoby, której dane dotyczą, do uzyskania od administratora danych informacji o źródle, z którego jej dane pochodzą. Tymczasem w rozpoznawanej sprawie źródła danych skarżącego, przetwarzanych przez Spółkę w związku z umową z dnia [...] listopada 1996 r., były kwestią bezsporną, bowiem to właśnie skarżący był "źródłem" owych danych. Kwestia pozyskania informacji o źródle danych przez osobę, której dane dotyczą, mogłaby być przedmiotem wniosku z art. 33 ust. 1 u.o.d.o., skierowanego do administratora. W niniejszej sprawie wniosku takiego jednak nie było.

Ponadto Sąd pierwszej instancji wyjaśnił, że wprawdzie skarżący może pod adresem organu modyfikować żądanie do czasu wydania przezeń decyzji administracyjnej, to jednak dokonane przez niego w piśmie z dnia 27 sierpnia 2012 r. określenie żądania , nie mogło spowodować wydania przez organ nakazu pod adresem Spółki w zakresie wskazanym w powyższym piśmie. Decydującym było ustalenie przez Generalnego Inspektora Ochrony Danych Osobowych, że skarżący nie występował do Spółki o udostępnienie mu informacji określonych w tym piśmie. Tymczasem dopiero bezczynność administratora w odniesieniu do takiego wniosku, mogłaby być przedmiotem zaskarżenia do Generalnego Inspektora Ochrony Danych Osobowych. Organ w odpowiedzi na skargę trafnie podał, że nie może wyręczać strony w realizacji jej uprawnień wynikających z ustawy.

Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 w związku z art. 132 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j.: Dz. U. z 2012 r., poz. 270 ze zm., dalej w skrócie p.p.s.a.), skargę oddalił.

Skargę kasacyjną od powyższego wyroku do Naczelnego Sądu Administracyjnego wniósł C.P., reprezentowany przez adwokata i zaskarżając wyrok w całości, na podstawie art. 174 pkt 1 i 2 zarzucił naruszenie prawa materialnego i procesowego:

1. niewłaściwe zastosowanie art. 6 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) w zw. z art. 133 § 1 i art. 106 § 5 p.p.s.a., poprzez niewłaściwą ocenę stanu faktycznego i prawnego i uznanie, że będące w posiadaniu I., informacje dotyczące operacji na koncie IKJU ściśle związane z polisą ubezpieczeniową nr [...], nie stanowią danych osobowych, gdy tymczasem za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej osoby fizycznej.

2. niewłaściwe zastosowanie art. 33 ust. 1 w zw. z art. 32 ust. 1 pkt 3 u.o.d.o., poprzez nieprawidłowe ustalenie, iż I. nie był obowiązany do udzielenia skarżącemu informacji o operacjach na koncie IKJU prowadzonego dla skarżącego, gdyż nie są to informacje o treści danych osobowych.

3. niewłaściwe zastosowanie art. 23 ust. 1 w zw. art. 24 ust. 1 oraz art. 32 ust. 1 pkt 4 u.o.d.o., który nakłada obowiązek uzyskania od administratora danych wyraźnej zgody osoby, której dane będą przetwarzanie oraz obliguje do udzielania informacji na temat zakresu przetwarzanych danych oraz źródeł ich pochodzenia, poprzez ustalenie, iż umowa ubezpieczenia została zawarta w 1996 r., a ustawa weszła w życie w dniu 30 kwietnia 1998 r., gdy tymczasem umowa ubezpieczenia została rozwiązana w dniu [...] września 2002 r., tj. pod rządami ustawy.

4. naruszenie zasad ogólnych wyrażonych w art. 7 i art. 8 w zw. z art. 104 K.p.a., poprzez uznanie, iż nie jest możliwym modyfikowanie w trakcie postępowania treści żądania zawartego we wniosku złożonym do I. oraz w skardze do GIODO, gdy tymczasem dopiero w trakcie postępowania I. ujawniło informacje skutkujące koniecznością modyfikacji treści żądania.

5. niewłaściwe zastosowanie art. 151 w zw. z art. 132 p.p.s.a., poprzez niesłuszne oddalenie skargi z w/w przyczyn.

Wskazując na powyższe podstawy skargi kasacyjnej wniósł o uchylenie zaskarżonego wyroku, zaskarżonej decyzji w całości i zobowiązanie Generalnego Inspektora Ochrony Danych Osobowych do nakazania I. S.A. dopełnienia wobec skarżącego obowiązku informacyjnego z art. 33 u.o.d.o. w zakresie informacji o wszelkich operacjach wykonywanych na Indywidualnym Koncie Jednostek Uczestnictwa w trakcie trwania umowy ubezpieczenia (polisa ubezpieczeniowa nr [...]) zawartej ze skarżącym w dniu [...] listopada 1996 r., która uległa rozwiązaniu w dniu [...] września 2002 r. (tj. o wszystkich operacjach wykonywanych przez cały okres obowiązywania umowy) w formie papierowej i elektronicznej. Zdaniem skarżącego treścią decyzji powinno być także zobowiązanie I. do przekazania wszelkich danych osobowych gromadzonych i przetwarzanych w I. oraz u innych podmiotów, którym I. S.A. powierzyło administracje danych (I. wymieniło w piśmie z dnia 27 lipca 2012 r. I. Sp. z o.o. w K. oraz I. S.A. w W.) w związku z polisą ubezpieczeniową nr [...]. Ponadto wniósł o zasądzenie zwrotu kosztów (wpisów sądowych i opłat kancelaryjnych) oraz kosztów zastępstwa prawnego za instancję kasacyjną.

W uzasadnieniu skargi kasacyjnej jej autor w zasadzie powtórzył dotychczasowe stanowisko prezentowane w sprawie i zarzuty podane w skardze do Sądu pierwszej instancji.

Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę kasacyjną wniósł o jej oddalenie i odnosząc się do podniesionych w niej zarzutów stwierdził, że są one bezzasadne.

Uczestnik postępowania I. S.A. w W. w odpowiedzi na skargę kasacyjną wniosło o jej oddalenie oraz zasądzenie zwrotu kosztów postępowania kasacyjnego według norm przepisanych, wskazując, że podniesione w niej zarzuty nie zasługują na uwzględnienie.

Naczelny Sąd Administracyjny zważył, co następuje:

Skarga kasacyjna jest niezasadna i nie zasługuje na uwzględnienie.

Na wstępie zauważyć należy, iż Wojewódzki Sąd Administracyjny w Warszawie niedokładnie oznaczył w sentencji zaskarżonego wyroku przedmiot niniejszej sprawy i podał, że jest nim odmowa uwzględnienia wniosku, zamiast przetwarzanie danych osobowych. W związku z powyższym, Naczelny Sąd Administracyjny z urzędu, na podstawie art. 156 § 3 p.p.s.a., sprostował w/w niedokładność w sentencji zaskarżonego wyroku i orzekł jak w punkcie pierwszym sentencji.

Przechodząc do oceny skargi kasacyjnej wskazać należy, że zgodnie z art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc jednak z urzędu pod rozwagę nieważność postępowania, której przesłanki enumeratywnie wymienione w § 2 tego przepisu w rozpoznawanej sprawie nie występują. Skargę kasacyjną, w granicach której operuje Naczelny Sąd Administracyjny, zgodnie z art. 174 p.p.s.a., można oprzeć na podstawie naruszenia prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie oraz na podstawie naruszenia przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.

Z powyższego wynika, że wywołane skargą kasacyjną postępowanie przed Naczelnym Sądem Administracyjnym podlega zasadzie dyspozycyjności i nie polega na ponownym rozpoznaniu sprawy w jej całokształcie, lecz ogranicza się do rozpatrzenia poszczególnych zarzutów przedstawionych w skardze kasacyjnej w ramach wskazanych podstaw kasacyjnych. Istotą tego postępowania jest bowiem weryfikacja zgodności z prawem orzeczenia wojewódzkiego sądu administracyjnego oraz postępowania, które doprowadziło do jego wydania.

Z zarzutów skargi kasacyjnej, które zostały oparte na obydwu podstawach wskazanych w art. 174 p.p.s.a. wynika, że istota sporu prawnego w rozpoznawanej sprawie, w której przedmiot sądowoadministracyjnej kontroli stanowiła decyzja Generalnego Inspektora Ochrony Danych Osobowych w przedmiocie przetwarzania danych osobowych, dotyczy tego, czy uzasadnione jest stanowisko Sądu pierwszej instancji, że organ wydał tę decyzję bez naruszenia przepisów obowiązującego prawa materialnego i procesowego, w ramach którego operował. Z uzasadnienia zaskarżonego wyroku wynika, że w sprawie nie dopatrzono się naruszenia przez organ przepisów prawa materialnego oraz przepisów postępowania. Nie czynią zatem niezasadnym i niezgodnym z prawem podjętego w sprawie rozstrzygnięcia o odmowie uwzględnienia wniosku skarżącego, zwłaszcza, że Generalny Inspektor Ochrony Danych Osobowych w kontrolowanej decyzji szczegółowo uzasadnił motywy, którymi się kierował wydając negatywną dla skarżącego decyzję. Natomiast według skarżącego – wbrew stanowisku Sądu pierwszej instancji – zaskarżona decyzja jest niezgodna z prawem. Jego zdaniem, stan faktyczny rozpatrywanej sprawy nie został prawidłowo ustalony i oceniony przez organ administracji, w tym zwłaszcza z punktu widzenia ziszczenia się przesłanek wskazujących na nieprawidłowości Spółki w procesie przetwarzania jego danych osobowych. W konsekwencji skarżący podważył prawidłowość zaskarżonej decyzji, zarówno w zakresie odnoszącym się do faktycznych podstaw jej wydania, jak i w zakresie odnoszącym się do zastosowanych w sprawie przepisów prawa materialnego regulujących przetwarzanie danych osobowych.

Zdaniem Naczelnego Sądu Administracyjnego zarzuty skargi kasacyjnej nie zostały oparte na usprawiedliwionych podstawach.

Ocenę postawionych w skardze kasacyjnej zarzutów, które dotyczą naruszenia przez Sąd pierwszej instancji przepisów postępowania i do których należy odnieść się w pierwszej kolejności, poprzedzić należy koniecznym w rozpatrywanej sprawie ich wskazaniem: pkt 4 – naruszenie zasad ogólnych wyrażonych w art. 7 i art. 8 w zw. z art. 104 K.p.a., pkt 5 – niewłaściwe zastosowanie art. 151 w zw. z art. 132 p.p.s.a. oraz pkt 1 – niewłaściwe zastosowanie art. 133 § 1 p.p.s.a. i art. 106 § 5 p.p.s.a., wiążąc je z przepisem prawa materialnego – art. 6 ust. 1 u.o.d.o. Sposób sformułowania tych zarzutów i w niektórych przypadkach próba ich uzasadnienia wymaga przypomnienia i wyjaśnienia, że o skuteczności postawionych w skardze kasacyjnej zarzutów, które zostały oparte na podstawie określonej w art. 174 pkt 2 p.p.s.a. nie decyduje każde uchybienie przepisów postępowania, lecz tylko i wyłącznie takie, które mogło mieć istotny wpływ na wynik sprawy. Przez "wpływ", o którym mowa w powołanym przepisie, należy rozumieć istnienie związku przyczynowego pomiędzy uchybieniem procesowym stanowiącym przedmiot zarzutu skargi kasacyjnej a wydanym w sprawie zaskarżonym orzeczeniem sądu administracyjnego pierwszej instancji, który to związek przyczynowy, jakkolwiek nie musi być realny, to jednak musi uzasadniać istnienie hipotetycznej możliwości odmiennego wyniku sprawy. Wynikającym z przepisu art. 176 p.p.s.a. obowiązkiem strony wnoszącej skargę kasacyjną jest zatem nie tylko wskazanie podstaw kasacyjnych, lecz również ich uzasadnienie, co w odniesieniu do zarzutu naruszenia przepisów postępowania powinno się wiązać z uprawdopodobnieniem istnienia wpływu zarzucanego naruszenia na wynik sprawy. Autor skargi kasacyjnej zobowiązany jest więc uzasadnić, że następstwa zarzucanych uchybień były na tyle istotne, że kształtowały lub współkształtowały treść kwestionowanego orzeczenia, a w sytuacji, gdyby do nich nie doszło, wyrok sądu administracyjnego pierwszej instancji byłby inny.

Z punktu widzenia przedstawionych uwag stwierdzić należy, że postawione w skardze kasacyjnej zarzuty naruszenia określonych w niej przepisów postępowania nie mogły odnieść skutku oczekiwanego przez jej autora.

Przechodząc do zarzutu podanego w pkt 4 skargi kasacyjnej, uznać należy, iż wymienienie przepisów naruszonych przez organ administracji publicznej nie jest wykonaniem obowiązku przytoczenia podstaw kasacyjnych. Adresatem zarzutu naruszenia przepisów postępowania może być tylko Sąd pierwszej instancji. W postępowaniu kasacyjnym przedmiotem kontroli jest wyrok sądu, a nie decyzja administracyjna. W przypadku, gdy Sąd pierwszej instancji nie dostrzegł naruszenia przez organ przepisów Kodeksu postępowania administracyjnego, to sam naruszył przepisy zobowiązujące go do kontroli legalności działalności administracji publicznej. Przepisy te należy wskazać jako podstawę kasacyjną, w powiązaniu z przepisami postępowania administracyjnego, których naruszenia nie dostrzegł sąd. Tymczasem w niniejszej sprawie sformułowane w skardze kasacyjnej zarzuty zostały ograniczone wyłącznie do wskazanych przepisów Kodeksu postępowania administracyjnego, bez powiązania z odpowiednimi przepisami ustawy Prawo o postępowaniu przed sądami administracyjnymi. Czyni to zarzut naruszenia powołanych przepisów nietrafnym.

Jako chybiony ocenić należy również zarzut dotyczący naruszenia przez Wojewódzki Sąd Administracyjny w Warszawie art. 151 p.p.s.a. w zw. z art. 132 p.p.s.a., poprzez ich niewłaściwe zastosowanie. Przede wszystkim wyjaśnić należy, iż naruszenie art. 151 p.p.s.a. mogłoby nastąpić w sytuacji, gdyby sąd oddalił skargę pomimo stwierdzenia uchybień skutkujących podjęciem przez sąd określonych rozstrzygnięć. W rozpoznawanej sprawie sytuacja taka nie wystąpiła, gdyż Sąd pierwszej instancji uznał, że zaskarżona decyzja nie narusza prawa materialnego i procesowego. Ponadto w orzecznictwie przyjmuje się, że przepis art. 151 p.p.s.a. nie może stanowić samodzielnej podstawy kasacyjnej (por. m.in. wyrok NSA z dnia 13 stycznia 2011 r. sygn. akt II GSK 1387/10, LEX nr 952790). Jest to przepis ogólny (blankietowy), stanowiący jedynie podstawę prawną wyroku oddalającego skargę. Oznacza to, że strona skarżąca, chcąca powołać się na zarzut naruszenia tego przepisu, obowiązana jest powiązać go z zarzutem naruszenia konkretnych przepisów, którym uchybił Sąd pierwszej instancji w toku rozpatrywania sprawy. W niniejszej sprawie autor skargi kasacyjnej w jej petitum, wskazując na naruszenie art. 151 p.p.s.a., powiązał tą normę prawną jedynie z art. 132 p.p.s.a., stanowiącym, że sąd rozstrzyga sprawę wyrokiem, a nie z innymi przepisami ustawy Prawo o postępowaniu przed sądami administracyjnymi dotyczącymi postępowania przed Sądem.

Odnosząc się do postawionego w pkt 1 skargi kasacyjnej zarzutu naruszenia art. 133 § 1 p.p.s.a. w zw. z art. 106 § 5 p.p.s.a. w zw. z art. 6 ust. 1 u.o.d.o., poprzez ich niewłaściwe zastosowanie, wskazać należy, iż w istocie zarzut naruszenia przepisów postępowania w zakresie dwóch z powołanych wyżej przepisów nie został, wbrew wymogom określonym w art. 174 pkt 2 p.p.s.a. i art. 176 p.p.s.a., uzasadniony. Przepis art. 133 § 1 p.p.s.a. stanowi, że sąd wydaje wyrok po zamknięciu rozprawy na podstawie akt sprawy, chyba że organ nie wykonał obowiązku, o którym mowa w art. 54 § 2. Wyrok może być wydany na posiedzeniu niejawnym w postępowaniu uproszczonym albo jeżeli ustawa tak stanowi. Z kolei z art. 106 § 5 p.p.s.a. wynika, że do postępowania dowodowego, o którym mowa w § 3, stosuje się odpowiednio przepisy Kodeksu postępowania cywilnego. W niniejszej sprawie autor skargi kasacyjnej nie wyjaśnił jednak, w czym upatruje naruszenia przez Sąd pierwszej instancji powołanych przepisów postępowania.

Z tych względów dokonanie przez Naczelny Sąd Administracyjny oceny merytorycznej podniesionych w skardze kasacyjnej zarzutów naruszenia przepisów postępowania nie było możliwe.

Jednocześnie podać należy, iż Sąd drugiej instancji nie może domniemywać intencji autora skargi kasacyjnej i samodzielnie uzupełniać, czy też konkretyzować zarzutów kasacyjnych, albo wręcz wyręczać profesjonalnego pełnomocnika w prawidłowym ich stawianiu, czy też poszukiwać za niego (albo wręcz wskazywać) naruszeń prawa, których mógł dopuścić się (dopuścił się) Sąd pierwszej instancji, a które nie zostały zarzucone w skardze kasacyjnej od wyroku, z którym strona skarżąca kasacyjnie się nie zgadza. To bowiem sam autor skargi kasacyjnej jest zobowiązany wyznaczyć zakres kontroli instancyjnej, poprzez precyzyjne wskazanie, które normy prawa i w jaki sposób zostały naruszone (por. np. wyrok NSA z dnia 3 lipca 2013 r. sygn. akt I FSK 1130/12).

Przechodząc do oceny podniesionych w skardze kasacyjnej zarzutów naruszenia prawa materialnego, określonych w niej przepisów niewłaściwego ich zastosowania, stwierdzić należy, iż są one niezasadne. Przede wszystkim nie zostały one szczegółowo uzasadnione.

Istota zarzutu naruszenia art. 6 ust. 1 u.o.d.o. sprowadza się do zakwestionowania stanowiska Sądu pierwszej instancji, który uznał, że żądane przez skarżącego informacje nie są danymi osobowymi, o których mowa w tym przepisie. Operacje finansowe dotyczące alokacji składek, o których mowa w umowie ubezpieczenia, nie identyfikują osoby. Stwierdzenie to dotyczyło również pisma skarżącego z dnia 23 maja 2012 r. skierowanego do Spółki.

Zdaniem Naczelnego Sądu Administracyjnego stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie dotyczące niemożności uznania żądanych przez skarżącego informacji za dane osobowe, o których mowa w art. 6 ust. 1 u.o.d.o., jest prawidłowe. Żądanie informacji dotyczących operacji finansowych przeprowadzanych w ramach produktów finansowych (w tym umowy ubezpieczenia) – jako informacje nie dotyczące osoby fizycznej – nie mogą być zakwalifikowane jako dane osobowe. Nie służą one do identyfikacji cech skarżącego.

Nietrafny okazał się również kolejny zarzut skargi kasacyjnej dotyczący naruszenia art. 33 ust. 1 w zw. z art. 32 ust. 1 pkt 3 u.o.d.o. Sąd pierwszej instancji zasadnie uznał, że wyjawienie stanu konta, czy informacje o wyciągach stanu konta na Indywidualnym Koncie Jednostek Uczestnictwa związanym z polisą ubezpieczeniową nr [...], oraz informacje o wszelkich operacjach wykonywanych na tym koncie w trakcie trwania umowy ubezpieczenia nie są informacją o treści danych osobowych przetwarzanych przez administratora danych osobowych, o których mowa w art. 32 ust. 1 pkt 3 in fine u.o.d.o. Żądane przez skarżącego informacje nie są danymi osobowymi, a więc tymi informacjami, których mógłby się on domagać od administratora danych osobowych w trybie wniosku o spełnienie obowiązku informacyjnego złożonego na podstawie art. 32 ust. 1 u.o.d.o. Także zawarte w skierowanym do Spółki piśmie skarżącego z dnia 23 maja 2012 r. żądanie prawidłowo ocenił, iż nie ma ono charakteru wniosku, o którym mowa w art. 33 ust. 1 pkt 3 u.o.d.o., gdyż nie jest tożsame z zakresem podanym w art. 32 ust.1 pkt 1 – 5a u.o.d.o. Trafnie również przyjął, że żądanie skarżącego zawarte w skierowanym do organu piśmie z dnia 27 sierpnia 2012 r., dotyczące wydania decyzji obligującej Spółkę do przekazania jego danych osobowych przekazanych do I. Sp. z o.o. w K. oraz I. w W., nie zasługiwało na uwzględnienie. W aktach sprawy brak jest bowiem dowodu na to, aby skarżący zwracał się z wnioskiem do Spółki o spełnienie obowiązku informacyjnego z art. 33 u.o.d.o. Z przepisu tego wynika, że realizacja określonego w nim uprawnienia następuje na wniosek osoby, której dane dotyczą, skierowany do administratora danych osobowych. Skoro wolą skarżącego było uzyskanie informacji podanych w w/w piśmie, powinien on najpierw skorzystać z realizacji uprawnienia określonego w art. 33 u.o.d.o. Dopiero w przypadku niespełnienia przez administratora danych powyższego obowiązku w ustawowym terminie, osoba, której dane dotyczą, może zwrócić się do Generalnego Inspektora Ochrony Danych Osobowych z żądaniem wydania decyzji administracyjnej na podstawie art. 18 u.o.d.o.

Zamierzonego skutku nie mógł odnieść zarzut naruszenia art. 23 ust. 1 w zw. z art. 24 ust. 1 oraz art. 32 ust. 1 pkt 4 o.o.d.o. Sąd pierwszej instancji trafnie zauważył, że skoro powołane przepisy regulują różne kwestie i pozostają ze sobą bez związku, ich zestawienie jest niezrozumiałe. W niniejszej sprawie podstawą przetwarzania danych skarżącego przez Spółkę nie był przepis art. 23 ust. 1 pkt 1 u.o.d.o. uzależniający dopuszczalność przetwarzania danych od zgody osoby, której dane dotyczą, lecz przepis art. 23 ust. 1 pkt 3 u.o.d.o. Następowało ono w celu realizacji umowy z dnia [...] listopada 2006 r., zawartej przez niego ze Spółką. Aktualnie podstawę tę stanowi art. 23 ust. 1 pkt 2 u.o.d.o., dane skarżącego są przez Spółkę przetwarzane w celach archiwalnych. Kwestia ta nie jest jednak przedmiotem zaskarżenia w sprawie. Z kolei art. 32 ust. 1 pkt 4 u.o.d.o. stanowi, że każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie w tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej. W rozpoznawanej sprawie jest niesporne, że skarżący był "źródłem" danych przetwarzanych przez Spółkę w związku z w/w umową. Z art. 24 ust. 1 u.o.d.o. nie wynika, aby administrator danych był obowiązany poinformować skarżącego o tej informacji. Kwestia pozyskania informacji o źródle danych przez osobę, której dane dotyczą, mogłaby być przedmiotem wniosku z art. 33 ust. 1 u.o.d.o. skierowanego do administratora danych, którego jednak w tej sprawie nie było.

Ponadto wskazać należy, iż z art. 24 ust. 1 u.o.d.o. wynika, że administrator danych jest zobowiązany w momencie zbierania od osoby, której dane dotyczą, dopełnić obowiązku w zakresie określonym w tym przepisie. Skoro dane osobowe skarżącego zostały pozyskane przez Spółkę w dniu [...] września 1996 r., tj. w dacie złożenia przez niego wniosku o ubezpieczenie na życie z funduszem inwestycyjnym, a więc w dacie, gdy określony w powołanym przepisie obowiązek informacyjny nie istniał, gdyż ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych weszła w życie w dniu 30 kwietnia 1998 r., to brak było podstaw do stwierdzenia, że Spółka przepis ten naruszyła. Po tej dacie (30 kwietnia 1998 r.) Spółka nie zbierała danych skarżącego na potrzeby zawarcia umowy nr [...]. W rozpoznawanej sprawie bez znaczenia pozostaje twierdzenie skarżącego, że skoro umowa ubezpieczenia została rozwiązana w dniu [...] września 2002 r. to istniał obowiązek informacyjny Spółki z art. 24 ust. 1 u.o.d.o. Dla ustalenia istnienia bądź nieistnienia po stronie administratora danych tego obowiązku ważny jest moment zbierania danych, gdyż obowiązek ten istnieje właśnie w tym momencie. Oznacza to, że późniejsze, tj. pod rządami u.o.d.o., przetwarzanie danych skarżącego przez Spółkę nie miało wpływu na istnienie obowiązku informacyjnego, który jak wyżej wyjaśniono, wiąże administratora danych w dacie zbierania danych.

Mając powyższe na uwadze Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie zawiera usprawiedliwionych podstaw i w oparciu o art. 184 p.p.s.a. podlega oddaleniu. Wniosek uczestnika postępowania N. S.A. z siedzibą w W. o zwrot kosztów postępowania kasacyjnego nie mógł zostać uwzględniony, bowiem przepisy art. 204 pkt 1 i 2 p.p.s.a., regulujące zwrot kosztów postępowania kasacyjnego w razie oddalenia skargi kasacyjnej, nie przewidują zwrotu kosztów postępowania kasacyjnego na rzecz uczestnika postępowania (por. postanowienie Naczelnego Sądu Administracyjnego z dnia 5 grudnia 2012 r. sygn. akt II GSK 887/12).