Wyrok NSA, sygn. akt I OSK 601/13
Naczelny Sąd Administracyjny
Data orzeczenia: 2014-10-01 00:00:00+02:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Oddalono skargę kasacyjną
Powołane przepisy: article: art. 7 pkt 4
journal: Dz.U. 2002 nr 101 poz 926
law: Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.

SENTENCJA

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Jolanta Rajewska sędzia NSA Barbara Adamiak (spr.) Sędzia del. WSA Rafał Wolnik Protokolant sekretarz sądowy Justyna Stępień po rozpoznaniu w dniu 1 października 2014 roku na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej N. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 listopada 2012 r. sygn. akt II SA/Wa 1474/12 w sprawie ze skargi N. z siedzibą w Warszawie na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2012 r. nr [...] w przedmiocie umorzenia postępowania prowadzonego w związku ze zgłoszeniem zmian w zbiorze danych o nazwie "[...]" oraz w związku z wnioskiem o wydanie decyzji w sprawie wyżej wymienionego zgłoszenia oddala skargę kasacyjną.


UZASADNIENIE

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 20 listopada 2012 r. sygn. akt II SA/Wa 1474/12, po rozpoznaniu sprawy ze skargi N. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] maja 2012 r. nr [...] w przedmiocie umorzenia postępowania prowadzonego w związku ze zgłoszeniem zmian w zbiorze danych o nazwie "[...]" oraz w związku z wnioskiem o wydanie decyzji w sprawie wyżej wymienionego zgłoszenia, oddalił skargę.

Wyrok zapadł w następującym stanie faktycznym.

Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] maja 2012 r. nr [...], na podstawie art. 138 § 1 pkt 1 oraz art. 105 § 1 k.p.a. oraz art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.), utrzymał w mocy własną decyzję z [...] marca 2012 r. nr [...] umarzającą w całości postępowanie prowadzone w związku ze zgłoszeniem zmian w zbiorze danych o nazwie "[...]" z [...] września 2011 r. oraz w związku z wnioskiem z 2 stycznia 2012 r. o wydanie decyzji w sprawie ww. zgłoszenia, złożonych przez N. z siedzibą w W..

W uzasadnieniu decyzji Generalny Inspektor Ochrony Danych Osobowych wskazał, że w postępowaniu zakończonym decyzją umarzają z [...] marca 2012 r. ustalił, iż wnioskodawca nie jest administratorem danych osobowych przetwarzanych w przedmiotowym zbiorze. Na Towarzystwie nie ciążył więc obowiązek zgłaszania zmian w zbiorze, a Generalny Inspektor Ochrony Danych Osobowych nie miał podstawy prawnej do wpisania tych zmian w rejestrze ani do wydania decyzji rozstrzygającej sprawę co do istoty.

We wniosku o ponowne rozpatrzenie sprawy, zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z [...] marca 2012 r. N. z siedzibą w W., podtrzymało swoje stanowisko prezentowane w sprawie, podkreślając, iż przymiot nie tylko faktycznej, ale i prawnej niezależności administratora danych przysługuje w istocie Towarzystwu, a nie N. z siedzibą w W. Skoro Towarzystwu przysługiwał status strony w przedmiotowym postępowaniu, to brak było podstaw do umorzenia postępowania w sprawie na podstawie art. 105 § 1 k.p.a. Strona odwołująca się wskazała na nierówne traktowanie przez organ poszczególnych podmiotów, co skutkuje uniemożliwieniem Towarzystwu kierowania do członków Funduszu oferty marketingowej swoich produktów, podczas gdy inne towarzystwa emerytalne mają taką możliwość.

Generalny Inspektor Ochrony Danych Osobowych po ponownym rozpatrzeniu sprawy nie znalazł podstaw do uwzględnia wniosku o ponowne rozpatrzenie sprawy i rozstrzygnięciem z [...] maja 2012 r. utrzymał zaskarżoną decyzję w mocy. W motywach rozstrzygnięcia organ wskazał, iż w przedmiotowej sprawie fundamentalne znaczenie ma kwestia, komu przysługuje status administratora danych osobowych przetwarzanych w zbiorze danych o nazwie "[...]" – Towarzystwu czy Funduszowi. Stosownie bowiem do treści art. 41 ust. 2 ustawy o ochronie danych osobowych, obowiązek zgłoszenia zmian dokonanych w zbiorze danych osobowych ciąży na administratorze danych. Zgodnie zaś z art. 7 pkt 4 ww. ustawy przez administratora danych rozumie się "organ, jednostkę organizacyjną, podmiot lub osobę (...) decydujące o celach i środkach przetwarzania danych osobowych".

Organ podkreślił, iż w świetle przepisów ustawy o organizacji i funkcjonowaniu funduszy emerytalnych fundusz emerytalny jest osobą prawną, a przedmiotem jego działalności jest gromadzenie środków pieniężnych, ich lokowanie, z przeznaczeniem na wypłatę członkom funduszu po osiągnięciu przez nich wieku emerytalnego i wypłata okresowych emerytur kapitałowych – art. 2 ust. 1 i 2 ustawy o organizacji i funkcjonowaniu funduszy emerytalnych. Z kolei zgodnie z art. 3 ust. 1 i 2 ww. ustawy towarzystwo emerytalne jest organem funduszu i jako organ zarządza nim i reprezentuje w stosunkach z osobami trzecimi. Jak stanowi art. 20 powołanej ustawy, z chwilą wpisania do właściwego rejestru fundusz nabywa osobowość prawną, zaś towarzystwo staje się organem funduszu. W świetle ww. przepisów, towarzystwo emerytalne, podejmując działania w zakresie zarządzania funduszem i reprezentując go na zewnątrz, działa jako jego organ w imieniu i na rzecz funduszu. Brzmienie przepisów rozdziału 7 ustawy o organizacji i funkcjonowaniu funduszy emerytalnych wskazuje także, iż stroną umowy o członkostwo jest fundusz emerytalny.

W świetle powyższego nie sposób uznać za prawidłową argumentacji przedstawionej przez wnioskodawcę w toku postępowania oraz we wniosku o ponowne rozpatrzenie sprawy, na poparcie tezy, że status administratora danych osobowych członków Funduszu przetwarzanych w celu zawarcia i realizacji umowy o członkostwo oraz prowadzenia rejestru członków funduszu przysługuje Towarzystwu. Prowadzi ono bowiem do stwierdzenia, że fundusz emerytalny nie może być administratorem jakichkolwiek danych osobowych. Stwierdzenie takie pozostaje zaś w oczywistej sprzeczności ze stanowiskiem, jakie zajął Wojewódzki Sąd Administracyjny w wyroku z 28 maja 2009 r. w sprawie o sygnaturze akt II SA/Wa 234/09, czy głosami przedstawicieli doktryny. Komentatorzy wprost wskazują wśród podmiotów prywatnych, którym może przysługiwać status administratora danych fundusz emerytalny, podkreślając jednocześnie, że "(...) to właśnie te podmioty posiadają status administratora danych, natomiast administratorami nie są osoba lub osoby pełniące funkcje kierownicze (dyrektor, prezes, zarząd itd.) (...)" (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Warszawa 2011, s. 374–375).

Ponadto we wniosku o ponowne rozpatrzenie sprawy wnioskodawca wskazał, iż zmiana podejścia w kwestii administratora danych, tj. uznanie, że administratorem wszystkich danych przetwarzanych przez Fundusz jest Towarzystwo, jest wynikiem wnikliwej analizy poglądów doktryny. Z treści pisma skierowanego do Generalnego Inspektora Ochrony Danych Osobowych w dniu 21 września 2011 r. wynika, iż analiza ta ukierunkowana jest dążeniem Towarzystwa do wykazania istnienia podstawy prawnej umożliwiającej mu kierowanie do członków Funduszu marketingu bezpośredniego produktów własnych Towarzystwa. Jeżeliby bowiem uznać, iż to Towarzystwo jest administratorem danych uczestników Funduszu to wówczas mogłoby ono, pomimo nieposiadania zgody tych osób na przetwarzanie ich danych w celach marketingowych, kierować do nich swój marketing na podstawie art. 23 ust. 1 pkt 5 ustawy.

Generalny Inspektor Ochrony Danych Osobowych nie zgodził się ze stwierdzeniem, iż decydujące znaczenie dla określenia statusu administratora w rozpatrywanym przypadku mają, przywołane w opinii przedstawionej przez wnioskodawcę, zasady odpowiedzialności określone w przepisach ustawy o organizacji i funkcjonowaniu funduszy emerytalnych. Przepisy te regulują bowiem przede wszystkim odpowiedzialność administracyjną w postępowaniu przed Komisją Nadzoru Finansowego na gruncie przepisów regulujących działalność funduszy emerytalnych. Natomiast posiłkowanie się kryterium odpowiedzialności przy ustalaniu, któremu podmiotowi przysługuje status administratora danych może być zasadne wyłącznie na gruncie przepisów z zakresu ochrony danych osobowych.

Odnosząc się do podniesionego przez wnioskodawcę zarzutu nierównego traktowania podmiotów organ podkreślił, iż każde zgłoszenie zbioru danych do rejestracji rozpatrywane jest w indywidualnym postępowaniu rejestracyjnym w oparciu o zebrany w jego toku materiał dowodowy. W niektórych przypadkach za administratora danych osobowych członków funduszu uznane może być towarzystwo emerytalne. Status ten może przysługiwać towarzystwu działającemu we własnym imieniu i na własny rachunek np. w zakresie w jakim przetwarza dane tych osób dla własnych celów marketingowych, gdy osoba, której dane dotyczą wyrazi na to zgodę. Towarzystwo może być również administratorem danych potencjalnych klientów. Tego typu zbiory danych, służące celom marketingowym, wpisane są do prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych rejestru zbiorów danych osobowych. W takich właśnie przypadkach, jako administrator danych oznaczone jest towarzystwo emerytalne. Tym samym w zakresie przetwarzania danych członków funduszu w rejestrze członków służącym realizacji umowy o członkostwo, towarzystwo emerytalne działa w imieniu funduszu emerytalnego, któremu przysługuje status administratora danych.

Generalny Inspektor Ochrony Danych Osobowych podniósł, iż zgodnie z art. 41 ust. 4 ustawy o ochronie danych osobowych do zgłaszania zmian stosuje się odpowiednio przepisy o rejestracji zbiorów danych. Sam wpis do rejestru ma charakter czynności materialno-technicznej, a Generalny Inspektor Ochrony Danych Osobowych nie wydaje decyzji administracyjnej w przedmiocie wpisania zmiany w zbiorze, gdyż w obowiązującym stanie prawnym brak jest przepisu prawa materialnego przewidującego taką formę załatwienia sprawy w tym zakresie. Natomiast forma decyzji administracyjnej została przewidziana przez ustawodawcę jedynie w przypadku spełnienia jednej z przesłanek, o których mowa w art. 44 ust. 1 w związku z art. 41 ust. 4 powołanej ustawy – jest to decyzja odmawiająca rejestracji zmian w zbiorze danych. Adresatem ww. decyzji może być wyłącznie podmiot zobowiązany do zgłoszenia Generalnemu Inspektorowi Ochrony Danych Osobowych zmiany w zbiorze, tj. administrator danych osobowych.

W świetle przedstawionego stanu prawnego, orzecznictwa oraz powołanych poglądów doktryny, organ stwierdził, iż brak jest podstawy prawnej do wydania w sprawie decyzji administracyjnej załatwiającej sprawę przez rozstrzygnięcie jej co do istoty w zakresie żądania wnioskodawcy, co z kolei obligowało Generalnego Inspektora Ochrony Danych Osobowych do wydania na podstawie art. 105 § 1 k.p.a. decyzji o umorzeniu postępowania w całości.

Wojewódzki Sąd Administracyjny w Warszawie rozpoznając sprawę wskazał, że Generalny Inspektor Ochrony Danych Osobowych na podstawie art. 105 § 1 k.p.a., umorzył postępowanie w przedmiocie zgłoszenia złożonych przez N. z siedzibą w W. zmian w zbiorze danych o nazwie "[...]" z [...] września 2011 r. przyjmując, iż wniosek nie pochodzi od administratora danych osobowych.

Wyjaśnienia zatem wymaga, któremu z podmiotów grupy kapitałowej N., działających na podstawie przepisów ustawy z dnia 28 sierpnia 1997 r. o organizacji i funkcjonowaniu funduszy emerytalnych (Dz.U. Nr 139, poz. 934 ze zm.), przysługuje status administratora danych w rozumieniu art. 7 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.) w zakresie prowadzenia zbioru danych osobowych – rejestry członków OFE N.

W świetle postanowień ustawy o ochronie danych osobowych podmiotem, na którego przepisy prawa materialnego nakładają szereg obowiązków z zakresu przetwarzania danych osobowych, jest administrator danych osobowych (przykładowo art. 24, 26, 27 ww. ustawy). To na administratorze danych, zgodnie z art. 40 i art. 41 ust. 2 tej ustawy ciąży obowiązek zgłoszenia organowi Ochrony Danych Osobowych zbioru danych, a także dokonywanych w tym zbiorze zmian. Na podstawie art. 7 pkt 4 powołanej ustawy, za administratora danych należy uznać organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3 (w tym osobę prawną przetwarzającą dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych), decydujące o celach i środkach przetwarzania danych osobowych.

Zgodnie z postanowieniami art. 2 ust. 1 i 2 ustawy o organizacji i funkcjonowaniu funduszy emerytalnych, Fundusz (OFE) jest osobą prawną, której przedmiotem działalności jest gromadzenie środków pieniężnych i ich lokowanie, z przeznaczeniem na wypłatę członkom funduszu po osiągnięciu przez nich wieku emerytalnego. Natomiast w świetle art. 3 ust. 1–3 powołanej ustawy o organem funduszu jest towarzystwo emerytalne. Towarzystwo tworzy fundusz oraz, jako jego organ, zarządza nim i reprezentuje w stosunkach z osobami trzecimi. Towarzystwo reprezentuje fundusz w sposób określony dla reprezentacji towarzystwa w jego statucie. Fundusz posiada osobowość prawną, o czym stanowi art. 20 ust. 1 i 2 tej ustawy – Fundusz nabywa osobowość prawną z chwilą wpisania do rejestru funduszy i z tą chwilą towarzystwo (jako podmiot tworzący fundusz) staje się organem funduszu. Zatem Towarzystwo wykonuje czynności prawne i faktyczne wynikające z zarządzania Funduszem i jego reprezentacji, na zasadach określonych w statucie. Jednakże to Fundusz jest osobą prawną, która realizuje założenia statutowe zgodnie z przedmiotem działalności określonym w statucie. Ustawa o organizacji i funkcjonowaniu funduszy emerytalnych zastrzegła w art. 19 ust. 1 i 2, że do dnia wpisania funduszu do rejestru funduszy, towarzystwo dokonuje czynności prawnych, mających na celu utworzenie funduszu, we własnym imieniu i na własny rachunek, zaś z chwilą wpisania funduszu do rejestru funduszy, fundusz wstępuje w prawa i obowiązki towarzystwa z tytułu umowy z depozytariuszem. Skoro zatem Fundusz posiada osobowość prawną, to jest podmiotem praw i obowiązków, któremu przysługują wszelkie atrybuty procesowe w postępowaniu administracyjnym. W tym jest administratorem danych członków przystępujących do OFE i to na Funduszu spoczywa obowiązek wywiązywania się z obowiązków administratora danych nałożonych ustawą o ochronie danych osobowych. W znaczeniu prawnym Towarzystwo jest jedynie wyrazicielem woli Funduszu, przez to nie przejmuje jego uprawnień i obowiązków, lecz jako organ uzewnętrznia wolę i reprezentuje Fundusz w stosunkach prawnych, których stroną jest osoba prawna – Fundusz (art. 27 ust. 1 – towarzystwo prowadzi działalność wyłącznie w formie spółki akcyjnej). Brak własnych organów zarządzających, co wynika ze specyfiki prawnej funkcjonowania Otwartych Funduszy Emerytalnych, nie uprawnia podmiotu założycielskiego – Towarzystwa – do przejmowania uprawnień Funduszu w postępowaniach administracyjnych (podobnie WSA w Warszawie w wyroku z 28 maja 2009 r. sygn. akt II SA/Wa 234/09). Nie bez przyczyny zatem ustawodawca w art. 89 ust. 1 powołanej ustawy wprost nakazuje funduszowi prowadzenie rejestru członków funduszu, zawierającego podstawowe dane osobowe członków, dane o wpłatach składek do funduszu i otrzymanych wypłatach transferowych oraz przeliczeniach tych składek i wypłat transferowych na jednostki rozrachunkowe, dane o aktualnym stanie środków na rachunkach, a w pracowniczych funduszach – także dane o aktualnym stanie akcji na rachunkach ilościowych.

Problematyką właściwości administratora danych osobowych w ramach przystąpienia do OFE zajmował się NSA, który w wyroku z 31 stycznia 2012 r. sygn. akt I OSK 1317/11 (przywołane wyroki znajdują się na stronie https://cbois.nsa.gov.pl) stwierdził, iż cyt.: "Według art. 7 pkt 4 tej ustawy, przez administratora danych rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, o której mowa w art. 3, decydującą o celach i środkach przetwarzania danych osobowych. Administratorem danych osobowych jest więc jedynie taki dysponent danych, który decyduje o celach i środkach ich przetwarzania. Powołany przepis w swej treści posługuje się pojęciem "przetwarzania danych osobowych", a zatem konieczne jest także odwołanie się do ustawowej definicji tego pojęcia, gdyż "cele" i "środki" należy zawsze odnosić do procesu przetwarzania danych osobowych. Stosownie do art. 7 pkt 2 tej ustawy przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Należy podkreślić, że ustawa używa pojęcia "przetwarzanie danych osobowych", a zatem posługuje się określeniem wskazującym na dokonywanie (tu i teraz) czynności czy operacji na danych osobowych. Z samej treści "Deklaracji przystąpienia do I." wynika wprost, że I. jest podmiotem decydującym o celach i środkach ich przetwarzania.

Mając powyższe rozważania na uwadze, Sąd stwierdził, że Generalny Inspektor Ochrony Danych Osobowych w toku powadzonego postępowania prawidłowo uznał, iż to właśnie N. Otwarty Fundusz Emerytalny jest w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych administratorem danych osobowych zbioru danych członków tego Funduszu i to ten właśnie podmiot, jako osoba prawna, jest jedynie uprawniony do dokonywania zmian w rejestrze członów N., w szczególności, iż zmiana dotyczy administratora tego zbioru.

Sąd podzielił zarzuty skargi dotyczące naruszenia przez Generalnego Inspektora Ochrony Danych Osobowych przepisów procesowych.

Zwrócić uwagę, iż przepisy ustawy o ochronie danych osobowych zawierają normy prawne o charakterze procesowym, które w sposób odmienny niż k.p.a. regulują kwestię wydania decyzji administracyjnej. Mianowicie art. 44 ust. 1 ww. ustawy stanowi, iż Generalny Inspektor wydaje decyzję o odmowie rejestracji zbioru danych (a poprzez art. 41 ust. 2 i 4 tej ustawy o odmowie zmiany), jeżeli: 1) nie zostały spełnione wymogi określone w art. 41 ust. 1, 2) przetwarzanie danych naruszałoby zasady określone w art. 23–28, 3) urządzenia i systemy informatyczne służące do przetwarzania zbioru danych zgłoszonego do rejestracji nie spełniają podstawowych warunków technicznych i organizacyjnych, określonych w przepisach, o których mowa w art. 39a. Powyższy przepis określa więc przesłanki warunkujące wydanie decyzji odmownej. W sytuacji, gdy którakolwiek z ww. przesłanek nie zostanie ziszczona organ nie ma podstaw do wydania decyzji w sprawie rejestracji zbioru. Ponadto ust. 2 ww. art. obliguje Generalnego Inspektora przy odmowie rejestracji zbioru danych w drodze decyzji administracyjnej, do nakazania: 1) ograniczenia przetwarzania wszystkich albo niektórych kategorii danych wyłącznie do ich przechowywania lub 2) zastosowania innych środków, o których mowa w art. 18 ust. 1. Zgodnie z art. 44 ust. 4 powołanej ustawy, administrator danych może zgłosić ponownie zbiór danych do rejestracji po usunięciu wad, które były powodem odmowy rejestracji zbioru.

Zatem decyzję administracyjną w przedmiocie odmowy zamiany danych w rejestrze, o którym mowa w powołanym art. 44 organ Ochrony Danych Osobowych może wydać w stosunku do administratora danych, albowiem nie rozstrzyga jedynie o zasadności bądź nie wniosku, lecz nakłada obowiązek usunięcia nieprawidłowości w procesie przetwarzania danych osobowych. Oznacza to, iż adresatem decyzji odmownej może być jedynie administrator danych. Wniosek każdego innego podmiotu, niebędącego administratorem danych zbioru danych osobowych, będzie czynił postępowanie wszczęte tym wnioskiem bezprzedmiotowym. Generalny Inspektor Ochrony Danych Osobowych nie może bowiem kierować decyzji związanej, o odmowie dokonania zmian w rejestrze i nakazania usunięcia naruszenia prawa, do podmiotu niebędącego administratorem przedmiotowego zbioru danych osobowych.

Tym samym, w sprawie nie należy czynić Generalnemu Inspektorowi zarzutu naruszenia art. 28 i art. 105 § 1 k.p.a., albowiem w ustawie o ochronie danych osobowych (lex specialis w stosunku do k.p.a.) próżno szukać podstawy prawnej zezwalanej organowi na rozstrzygnięcie o zasadności żądania wnioskodawcy w formie decyzji administracyjnej.

Można natomiast przyznać rację skarżącemu Towarzystwu, iż Fundusz legitymuje się przymiotem strony w rozumieniu art. 28 k.p.a. (niewątpliwie posiada interes prawny) w postępowaniu zakończonym zaskarżoną i poprzedzająca ją decyzją. Wobec niezawiadomienia o toczącym się postępowaniu bez własnej winy Fundusz nie brał w nim udziału, co wyczerpuje przesłankę z art. 145 § 1 pkt 4 k.p.a. Jednakże trzeba mieć na uwadze, że w wyniku wznowienia postępowania mogłaby zapaść wyłącznie decyzja odpowiadająca w swej istocie decyzji dotychczasowej, co świetle art. 146 § 2 k.p.a. wyklucza uchylenie zaskarżonej decyzji tylko z tego powodu.

Sąd podkreślił, że za wyjątkiem powyższej dostrzeżonej wady procesowej, Generalny Inspektor Ochrony Danych Osobowych nie naruszył prawa, w szczególności w uzasadnieniu zaskarżonej decyzji organ wykazał zasadność umorzenia postępowania w sprawie i odniósł się do wszystkich zarzutów strony, czym wypełnił dyspozycję przepisu art. 107 § 3 k.p.a.

Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz.U. z 2012 r., poz. 270 ze zm.), oddalił skargę.

N. z siedzibą w W. wniosło od wyroku skargę kasacyjną, zaskarżając wyrok w całości. W skardze kasacyjnej zarzuciło:

1) naruszenie przepisu prawa materialnego, tj. art. 7 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.) poprzez jego błędną wykładnię i w konsekwencji uznanie, iż administratorem danych osobowych przetwarzanych w zbiorze danych osobowych o nazwie "[...]" jest N. Otwarty Fundusz Emerytalny a nie skarżący,

2) naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. art. 106 § 5 ustawy – Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 233 § 1 Kodeksu postępowania cywilnego poprzez brak wszechstronnego rozważenia przez Sąd zebranego w sprawie materiału, a co za tym idzie okoliczności sprawy, w szczególności poprzez pominięcie w dokonanej ocenie specyfiki funkcjonowania otwartych funduszy emerytalnych i zarządzających nimi powszechnych towarzystw emerytalnych oraz wzajemnych relacji między tymi podmiotami prawa,

3) naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. art. 3 § 1 i § 2 pkt 1 ustawy – Prawo o postępowaniu przed sądami administracyjnymi i art. 1 § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych poprzez wadliwe wykonanie przez Sąd swego ustrojowego obowiązku kontroli zaskarżonej decyzji pod względem zgodności z prawem oraz art. 151 ustawy – Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 8 k.p.a., art. 10 k.p.a. w związku z art. 73 k.p.a., art. 11 k.p.a., art. 15 k.p.a., art. 28 k.p.a., art. 107 § 1 k.p.a. oraz art. 105 § 1 k.p.a., które polegało na oddaleniu skargi w sytuacji, gdy istniały podstawy do stwierdzenia przez Sąd naruszenia przez organ ww. przepisów, które to naruszenia miało istotny wpływ na wynik sprawy,

4) naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. art. 141 § 4 ustawy – Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 3 § 1 i § 2 pkt 1 ustawy – Prawo o postępowaniu przed sądami administracyjnymi i art. 1 § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych poprzez brak odniesienia się przez Sąd do wszystkich zarzutów skargi skierowanej do Sądu I instancji, w szczególności brak odniesienia się do zarzutu skarżącego dotyczącego naruszenia przez organ przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 8, art. 11, art. 15 k.p.a., art. 107 § 1 k.p.a.

Na tych podstawach wnosiła:

1) uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie,

2) w przypadku niepodzielenia przez Sąd podniesionych w niniejszej skardze zarzutów skarżącego w przedmiocie uchybień procesowych Wojewódzkiego Sądu Administracyjnego w Warszawie – uchylenie w całości zaskarżonego wyroku i rozpoznanie skargi co do istoty sprawy,

3) przyznanie stronie skarżącej zwrotu kosztów postępowania kasacyjnego, w tym kosztów zastępstwa procesowego według norm przepisanych.

Generalny Inspektor Ochrony Danych Osobowych wniósł o oddalenie skargi kasacyjnej.

Naczelny Sąd Administracyjny zważył, co następuje:

Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz.U. z 2012 r., poz. 270), Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej.

Skarga kasacyjna nie została oparta na usprawiedliwionych podstawach. Zasadniczym zarzutem jest zarzut naruszenia art. 7 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.). Według art. 7 pkt 4 tej ustawy "przez administratora danych rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych". Artykuł 7 pkt 4 posługuje się w definicji pojęcia administratora danych pojęciem "przetwarzania danych osobowych", a zatem konieczne jest także odwołanie się do ustawowej definicji tego pojęcia, gdyż "cel" i "środki" należy odnieść do procesu przetwarzania danych osobowych. Zgodnie z art. 7 pkt 2 ustawy przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Regulacja w art. 7 ust. 4 ustawy o ochronie danych osobowych nie stanowi regulacji pełnej. Podstawą wypełniającą regulację art. 7 ust. 4 tej ustawy jest regulacja materialnoprawna, która normuje działalność związaną z przetwarzaniem danych osobowych. Zasadnie zatem w zaskarżonym wyroku wyprowadzono ustalenie podmiotu decydującego o celach i środkach z regulacji ustawy z dnia 28 sierpnia 1997 r. o organizacji i funkcjonowaniu funduszy emerytalnych (tekst jedn. Dz.U. z 2013 r., poz. 989 ze zm.). Związek ten dostrzeżono w uzasadnieniu skargi kasacyjnej, powołując jednak przepisy prawa, które nie mają znaczenia prawnego dla ustalenia administratora danych osobowych. Zasadnicze znaczenie prawne ma regulacja art. 2 ust. 1 i ust. 2 oraz art. 3 ust. 1 ustawy o organizacji i funkcjonowaniu funduszy emerytalnych. Artykuł 2 ust. 1 stanowi, że fundusz jest osobą prawną, a w art. 2 ust. 2 unormowano przedmiot działalności funduszu, stanowiąc, że "Przedmiotem działalności funduszu jest gromadzenie środków pieniężnych i ich lokowanie z przeznaczeniem na wypłatę członkom funduszu emerytury po osiągnięciu przez nich wieku emerytalnego oraz emerytury częściowej (...)". Z tym koresponduje wprost regulacja prawna art. 89 ust. 1 ustawy o organizacji i funkcjonowaniu funduszy emerytalnych, który stanowi "Fundusz prowadzi rejestr członków funduszu zawierający podstawowe dane osobowe członków, dane o wpłatach składek do funduszu i otrzymanych wypłatach transferowych oraz przeliczeniach tych składek i wypłat transferowych na jednostki rozrachunkowe, dane o aktualnym stanie środków na rachunkach z uwzględnieniem środków wypłaconych na okresową emeryturę kapitałową (...)". Według art. 89 ust. 3 tej ustawy "Prowadzenie rejestru członków funduszu może być powierzone osobie trzeciej, z zastrzeżeniem przepisów art. 49".

Zgodnie z art. 3 ustawy o organizacji i funkcjonowaniu funduszy emerytalnych "Organem funduszu jest towarzystwo emerytalne, (...), utworzone zgodnie z przepisami ustawy (ust. 1). Towarzystwo tworzy fundusz oraz, jako jego organ, zarządza nim i reprezentuje w stosunkach z osobami trzecimi (ust. 2). Towarzystwo reprezentuje fundusz w sposób określony dla reprezentacji towarzystwa w jego statucie (ust. 3)". Towarzystwo jako organ funduszu nie przejmuje praw i obowiązku funduszu w zakresie zastrzeżonym dla funduszu przepisami prawa. Administrowanie danymi osobowymi członków funduszu należy do funduszu. W takim zakresie towarzystwo działa w imieniu funduszu. Jest to podstawowa reguła działania organu osoby prawnej.

Inną kwestią jest działanie towarzystwa we własnym, przysługującym towarzystwu, jako odrębnemu od funduszu podmiotowi, zakresie działania. W takim przypadku jest administratorem danych na zasadach ogólnych przyjętych w ustawie o ochronie danych osobowych.

W sytuacji, gdy podstawowy zarzut skargi kasacyjnej, zarzut naruszenia art. 7 pkt 4 ustawy o ochronie danych osobowych nie jest zasadny, nie są zasadne zarzuty naruszenia przepisów postępowania administracyjnego, a to art. 8, art. 10, art. 11, art. 15, art. 28, art. 73, art. 105 § 1, art. 107 § 1 Kodeksu postępowania administracyjnego. Regulacja art. 7 pkt 4 ustawy o ochronie danych osobowych w związku z art. 2 ust. 1 i ust. 2, art. 3, art. 89 ust. 1 ustawy o organizacji i funkcjonowaniu funduszy emerytalnych nie daje podstaw do wyprowadzenia takich okoliczności faktycznych, które zostały ustalone z naruszeniem przepisów prawa procesowego. Podstawą do ustalenia strony postępowania administracyjnego jest regulacja materialnoprawna, którą w sprawie jest regulacja zawarta w ustawie o organizacji i funkcjonowaniu funduszy emerytalnych.

Regulacja wprost w art. 89 ust. 1 tej ustawy prowadzenie rejestru przez fundusz, w związku z art. 2 ust. 1 i 2 oraz art. 3 pozwala na ustalenie administratora danych osobowych bez podejmowania czynności postępowania wyjaśniającego.

Tym samym nie jest zasadny zarzut naruszenia art. 106 § 5 ustawy – Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 233 § 1 Kodeksu postępowania cywilnego. Nie jest okolicznością faktyczną sprawy specyfika funkcjonowania otwartych funduszy emerytalnych i zarządzania nimi. Wynika to bowiem wprost z regulacji prawnej, która nie daje podstaw do podważenia wskazania administratora danych osobowych.

Rozpoznając sprawę Sąd przeprowadził kontrolę zgodnie z art. 1 § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz.U. Nr 153, poz. 1269 ze zm.) i art. 3 § 1 i § 2 i art. 151 ustawy – Prawo o postępowaniu przed sądami administracyjnymi. Uzasadnienie zaskarżonego wyroku nie zostało sporządzone z naruszeniem art. 141 § 4 ustawy – Prawo o postępowaniu przed sądami administracyjnymi.

W tym stanie rzeczy, skoro skarga kasacyjna nie została oparta na usprawiedliwionych podstawach, na mocy art. 184 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, Naczelny Sąd Administracyjny orzekł jak w sentencji.