Wyrok NSA, sygn. akt I OSK 1395/09
Naczelny Sąd Administracyjny
Data orzeczenia: 2010-07-13 00:00:00+02:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Oddalono skargę kasacyjną
Powołane przepisy: article: art. 184
journal: Dz.U. 2002 nr 153 poz 1270
law: Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi.
article: art. 7 , art. 8 , art. 77
journal: Dz.U. 2000 nr 98 poz 1071
law: Ustawa z dnia 14 czerwca 1960 r.- Kodeks postępowania administracyjnego - tekst jednolity
article: art. 17 ust. 2
journal: Dz.U. 2007 nr 19 poz 115
law: Ustawa z dnia 21 marca 1985 r. o drogach publicznych - tekst jednolity
article: par. 9 ust. 1
journal: Dz.U. 1999 nr 43 poz 430
law: Rozporządzenie Ministra Transportu i Gospodarki Morskiej z dnia 2 marca 1999 r. w sprawie warunków technicznych, jakim powinny odpowiadać drogi publiczne i ich usytuowanie.

SENTENCJA

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Irena Kamińska Sędziowie sędzia NSA Izabella Kulig- Maciszewska sędzia del. WSA Marzenna Linska-Wawrzon ( spr. ) Protokolant Krzysztof Tomaszewski po rozpoznaniu w dniu 13 lipca 2010 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej P. N. prowadzącego działalność gospodarczą pod nazwą "[...]" z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 czerwca 2009 r. sygn. akt II SA/Wa 1494/08 w sprawie ze skargi P. N. prowadzącego działalność gospodarczą pod nazwą "[...]" z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2008 r. nr [...] w przedmiocie ochrony danych osobowych oddala skargę kasacyjną


UZASADNIENIE

Wyrokiem z dnia 15 czerwca 2009 r., sygn. akt II SA/Wa 1494/08, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę P. N., prowadzącego działalność gospodarczą pod nazwą "[...]" z siedzibą w W. – Z. [...], na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2008 r. w przedmiocie ochrony danych osobowych. Wyrok został wydany w następującym stanie sprawy:

Decyzją z dnia [...] maja 2008 r. Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie, art. 12 pkt 2, art. 18 ust. 1 pkt 1, art. 22 w związku z art. 33 i art. 32 ust. 1 pkt 1-5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), nakazał P. N. – prowadzącemu działalność gospodarczą pod nazwą "[...]", dopełnienie względem D. K., zam. w B. przy ul. [...], obowiązku informacyjnego, określonego w art. 33 ustawy o ochronie danych osobowych, poprzez poinformowanie go, w formie pisemnej, o przysługujących mu prawach, a także:

1) o tym, kto jest administratorem danych osobowych D. K., przetwarzanych w zbiorze prowadzonym przez P. N. – poprzez podanie adresu siedziby i pełnej nazwy administratora,

2) o celu, zakresie i sposobie przetwarzania przez P. N. danych osobowych D. K.,

3) o tym, od kiedy w zbiorze prowadzonym przez P. N. przetwarzane są dane osobowe D. K.,

4) o źródle, z którego pochodzą przetwarzane przez P. N. dane osobowe D. K.,

5) o sposobie udostępniania przez P. N. danych osobowych D. K., a w szczególności o odbiorcach lub kategoriach odbiorców danych, którym dane są lub były udostępniane.

Organ wyjaśnił, że D. K. zwrócił się ze skargą do GIODO, gdyż P. N. nie dopełnił względem niego obowiązku informacyjnego, określonego w art. 33 ustawy o ochronie danych osobowych, tj. nie udzielił informacji na temat procesu przetwarzania jego danych osobowych. W odpowiedzi uzyskał informację, że w bazie firmy jego dane osobowe: "D.K., ul. [...],[...] B." nie są przetwarzane. Zainteresowany zakwestionował prawdziwość przedstawionej informacji, wskazując, iż przetwarzania jego danych osobowych przez "[...]" dowodzi w szczególności otrzymana od tego przedsiębiorcy imienna przesyłka o charakterze marketingowym z dnia [...] czerwca 2005 r. D. K. poinformował ponadto, że jego dane osobowe są przetwarzane przez wskazany podmiot od dnia [...] września 2005 r. w związku z obsługą domeny "[...]", a ponadto w związku z postępowaniem sądowym, które toczyło się od października 2005 r. przed Sądem Okręgowym w W. z jego powództwa przeciwko "[...]" (sygn. akt [...]). Dlatego też, D. K. wniósł, by GIODO zobowiązał "[...]" do wypełnienia obowiązku informacyjnego, wynikającego z ustawy o ochronie danych osobowych.

Organ podał, że "[...]" jest podmiotem prowadzącym działalność gospodarczą, obejmującą rejestrację domen internetowych. "[...]" przetwarzał dane osobowe D. K., dysponując jego adresem: [...] B., skrytka pocztowa [...], w zakresie obejmującym te informacje, jak również nr ewidencyjny PESEL, jako swego klienta - abonenta domeny internetowej "[...]", jednak aktualnie nie przetwarza ww. danych osobowych dla celów realizacji zawartej umowy. W toku postępowania poprzedzającego wydanie zaskarżonej decyzji strona skarżąca wyjaśniała, że oferta marketingowa otrzymana przez D. K. została przygotowana w oparciu o ogólnie dostępne informacje zawierające dane D. K., pozyskane prawdopodobnie z bazy [...], gdzie były już obecne w maju 2005 r. jako dane osoby prowadzącej działalność gospodarczą. Dane zostały wykorzystane jednorazowo (wysłanie oferty) i nie były w żaden sposób archiwizowane. Skarżący nie udostępnił wnioskodawcy żądanej informacji ze względu na brak pewności, że chodzi o tę samą osobę, zwłaszcza że wcześniej D. K. odmówił przekazania kserokopii dowodu osobistego, gdy firma uzależniła dokonanie cesji domeny od okazania tego dokumentu.

Wskazano ponadto, że z pozwów skierowanych przez D. K. do Sądu Rejonowego i Sądu Okręgowego w W. – Sądu Ochrony Konkurencji i Konsumentów przeciwko "[...]" wynika, że zainteresowany podał swój adres zamieszkania, a pomiędzy stronami toczy się spór dotyczący nazwy domeny internetowej oraz zmiany danych abonenta domeny internetowej

Uzasadniając wydane rozstrzygnięcie organ przytoczył treść regulacji art. 33 ustawy o ochronie danych osobowych oraz stwierdził, że P. N. nie wypełnił spoczywającego na nim obowiązku, o którym mowa w tym przepisie. Zgromadzony w sprawie materiał dowodowy wskazuje, iż "[...]" przetwarza dane osobowe D. K. nie tylko w zakresie obejmującym jego adres korespondencyjny (skrytka pocztowa [...],[...] B.), lecz także adres zamieszkania (ul. [...],[...] B.). "[...]" miał status strony w postępowaniach sądowych, inicjowanych przez zainteresowanego, w których był on identyfikowany poprzez wskazanie imienia, nazwiska i adresu zamieszkania. D. K. – niegdyś abonent domeny internetowej "[...]", identyfikowany poprzez adres korespondencyjny, oraz D. K., będący stroną określonych postępowań sądowych, identyfikowany poprzez adres zamieszkania, to ta sama osoba.

Niedopełnienie przez "[...]" obowiązku z art. 33 ustawy powoduje, iż wskazany podmiot naruszył także spoczywający na nim z mocy art. 26 ustawy obowiązek dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą – poprzez uniemożliwienie zainteresowanemu realizacji gwarantowanych mu uprawnień w zakresie kontroli prawa przetwarzania jego danych osobowych.

Od powyższej decyzji P. N. złożył wniosek o ponowne rozpatrzenie sprawy. Podniósł, że decyzja Generalnego Inspektora Ochrony Danych Osobowych jest niezgodna ze stanem faktycznym. Firma nie miała pewności, czy D. K., posługujący się adresem: skrytka pocztowa [...],[...] B., oraz D. K., używający adresu zamieszkania: ul. [...],[...] B., to ta sama osoba. Niezrozumiałym jest, dlaczego osoba, posiadająca adres, posługuje się w oficjalnej korespondencji skrytką pocztową. To wskazywało, że może być to zupełnie inna osoba. Z tego powodu informacja o danych osobowych nie została udostępniona zainteresowanemu.

Decyzją z dnia [...] sierpnia 2008 r. Generalny Inspektor Ochrony Danych Osobowych, działając na postawie art. 138 § 1 pkt 1 k.p.a. oraz art. 12 pkt 2 i art. 18 ust. 1 pkt 1, art. 22 w związku z art. 33 i art. 32 ust. 1 pkt 1-5 ustawy o ochronie danych osobowych, utrzymał zaskarżoną decyzję w mocy, nie znajdując podstaw do uwzględnienia wniosku.

W skardze na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie "[...]" podtrzymał krytyczną ocenę stanowiska GIODO, prezentowaną we wniosku o ponowne rozpatrzenie sprawy. Zdaniem wnoszącego skargę, decyzje wydane w sprawie zostały oparte jedynie na domniemaniach, co świadczy o naruszeniu art. 7 k.p.a., który nakazuje dokładne wyjaśnienie stanu faktycznego sprawy. Ma to tym większe znaczenie, że istota sprawy dotyczy dostępu do danych osobowych, które - jeśli nie zostaną odpowiednio potwierdzone przez zainteresowanego - nie mogą podlegać udostępnieniu.

Strona skarżąca nie miała pewności co do tego, że D. K., figurujący w jej zbiorach danych, to ten sam, który domaga się wypełnienia obowiązku informacyjnego z art. 33 ustawy o ochronie danych osobowych. Takiej pewności na gruncie ustaleń faktycznych sprawy nie mógł też mieć Generalny Inspektor Ochrony Danych Osobowych. W związku z powyższym P. N. wniósł o uchylenie zaskarżonej decyzji w całości.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując argumentację, przytoczoną w zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny uzasadniając wyrok przytoczył treść znajdujących zastosowanie w sprawie przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) oraz wyjaśnił ich znaczenie. Sąd zauważył, że według art. 32 ustawy osoba występująca z wnioskiem o udzielenie informacji o procesie przetwarzania jej danych powinna wykazać swe uprawnienia, a więc udokumentować, że zwraca się o dane jej dotyczące, natomiast udzielający informacji powinien mieć możliwość zweryfikowania wnioskodawcy.

Istota sprawy sprowadzała się do ustalenia, czy posiadane przez stronę skarżącą wszelkie dane dotyczące D. K. pozwalały na jego identyfikację w chwili złożenia wniosku z dnia [...] grudnia 2005 r. oraz udzielenie żądanych informacji.

Sąd podkreślił, że identyfikacja osoby wnioskującej o informację o danych jej dotyczących winna nastąpić w oparciu o całokształt danych, którymi administrator danych dysponuje.

Z akt administracyjnych wynika ponad wszelką wątpliwość, iż D. K., posługujący się adresem: skrytka pocztowa [...],[...] B., oraz D. K., używający adresu zamieszkania: ul. [...],[...] B., to ta sama osoba. Do takiej konkluzji prowadzi zarówno analiza treści wniosku z dnia [...] grudnia 2005 r., złożonego w trybie art. 32 ustawy o ochronie danych osobowych, jak i treści załączonego do niego m.in. wniosku z tej samej daty, oznaczonego jako wniosek [...] o zmianę abonenta domeny "[...]". W pierwszym z wymienionych D. K. użył adresu zamieszkania: "ul. [...],[...] B.", w drugim natomiast zamieścił adres: "skrytka pocztowa [...],[...] B.". Nie powinno budzić wątpliwości strony skarżącej, że pochodzące z tej samej daty wnioski, współtworzące tę samą, nadesłaną do "[...]", korespondencję, pochodzą od D. K. Twierdzenie strony skarżącej, że zainteresowany nie wykazał uprawnienia do otrzymania informacji o przetwarzaniu jego danych osobowych, okazało się nieuzasadnione.

Również prowadzone postępowania sądowe między stroną skarżącą a zainteresowanym wskazują, że na dzień [...] grudnia 2005 r. "[...]" wiedział, iż D. K., posługujący się adresem: "skrytka pocztowa [...],[...] B.", oraz D. K., używający adresu zamieszkania: "ul. [...],[...] B.", to ta sama osoba.

W takim stanie sprawy trudno zgodzić się z zarzutem, że ustalony przez organ stan faktyczny został oparty na domniemaniach. Nie można zatem uznać, że w sprawie doszło do uchybienia treści art. 7 k.p.a., co zostało podniesione w skardze.

Na stronie skarżącej spoczywał – w świetle art. 33 ustawy o ochronie danych osobowych – obowiązek informacyjny względem D. K., którego "[...]" nie dopełnił (zaniechał), mimo złożonego wniosku, toteż prawidłowo Generalny Inspektor Ochrony Danych Osobowych zobowiązał stronę skarżącą do uczynienia zadość temu obowiązkowi mocą decyzji (nakazu), która znajduje swoje uzasadnienie we wskazanych przez organ przepisach.

Od powyższego wyroku Wojewódzkiego Sądu Administracyjnego P. N., prowadzący działalność gospodarczą pod nazwą "[...]", wniósł skargę kasacyjną.

Zaskarżonemu wyrokowi zarzucił naruszenie prawa materialnego, tj. art. 33 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych poprzez niewłaściwe zastosowanie polegające na przyjęciu, iż skarżący obowiązany był udzielić informacji o przetwarzaniu danych osobie, która nie wykazała w sposób uzgodniony wcześniej z administratorem danych, iż to jej dane figurują w zbiorze. Wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania.

W uzasadnieniu skargi kasacyjnej zaznaczono, że świetle art. 33 ustawy o ochronie danych osobowych określenie i sprawdzenie tożsamości wnioskującego o przekazanie danych jest obowiązkiem administratora danych.

Według autora skargi kasacyjnej Sąd w zaskarżonym wyroku błędnie przyjął, że "[...]" mógł dokonać identyfikacji osoby występującej z żądaniem o którym mowa w art. 33 ustawy. Skarżący z uwagi na ilość klientów (ok. [...]) oraz sposób prowadzenia działalności gospodarczej (umowy są zawierane drogą elektroniczną) stosuje zaakceptowane przez klientów zasady. Klient kontaktuje się zwykle drogą elektroniczną, ale w przypadku cesji domeny powinien wykonać jedną z czynności w przyjętych procedurach. W celu zabezpieczenia praw abonentów domen internetowych skarżący wymaga aby w przypadku cesji domeny klient potwierdził notarialnie swój podpis przed dokonaniem cesji, przesłał kserokopię dowodu osobistego, lub też stawił się w biurze obsługi klienta. D.K. odmówił zastosowania się do tych reguł.

Zdaniem skarżącego w sytuacji gdy występuje wątpliwość dotycząca podmiotu, który składa wniosek o przekazanie danych osobowych, administrator ma prawo odmówić udostępnienia tychże danych.

Nie jest przekonywujący natomiast argument Sądu, że dwa dokumenty (wniosek o cesję i wniosek z art. 33 ustawy) były sygnowane takim samym podpisem, a potwierdzeniem tożsamości osoby nie może być dorozumiane. Nie przeprowadzono też na tę okoliczność dowodu z biegłego grafologa.

Według autora skargi kasacyjnej decyzja GIODO wydana została na podstawie stanu faktycznego, który był ustalony nie poprzez ocenę materiału dowodowego, ale głównie poprzez domniemania i nieuzasadnioną interpretację faktów. Odmowa udzielenia informacji podyktowana była negatywną weryfikacją danych osoby wnioskującej o udzielenie informacji. Ta negatywna weryfikacja polegała na różnicy w adresach. Zaznaczono, że skarżący zaprzecza aby miał świadomość faktu, że D. K. posługujący się adresem: skrytka pocztowa nr [...],[...] B. oraz D. K. zamieszkały pod adresem: ul. [...],[...] B. to ta sama osoba. Negatywna weryfikacja danych klienta wraz z brakiem współpracy z jego strony musiała spowodować odmowę udzielenia informacji z art. 33 ustawy.

W odpowiedzi na skargę kasacyjną Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie.

Naczelny Sąd Administracyjny zważył, co następuje:

Skarga kasacyjna okazała się niezasadna.

Przepis art. 174 pkt 1 ustawy z dnia 30 sierpnia 2002 r. prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), dalej w skrócie p.p.s.a., jako jedną z podstaw skargi kasacyjnej wymienia naruszenie prawa materialnego przez jego błędną wykładnię lub niewłaściwe zastosowanie. Istota zarzutu naruszenia prawa materialnego poprzez jego niewłaściwe zastosowanie polega na zarzuceniu zaskarżonemu orzeczeniu tzw. błędu subsumcji czyli wadliwego uznania, że ustalony w sprawie stan faktyczny odpowiada hipotezie określonej normy prawnej.

Należy przy tym mieć na uwadze, że sąd administracyjny w istocie nie stosuje żadnego przepisu prawa materialnego w sensie wiążącego ustalenia konsekwencji prawnych stwierdzonych faktów. To, co w art. 174 pkt 1 p.p.s.a. określono jako "niewłaściwe zastosowanie", jest w istocie nieprawidłową oceną zastosowania prawa materialnego przez organ administracji. Ilekroć w skardze kasacyjnej mowa jest o niewłaściwym zastosowaniu prawa materialnego przez sąd, należy przez to rozumieć bezzasadne tolerowanie błędu subsumcji popełnionego przez organ administracyjny albo bezzasadne zarzucenie organowi popełnienia takiego błędu (B. Dauter, B. Gruszczyński, A. Kabat, M. Niezgódka-Medek: Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, wyd. 3. Warszawa 2009, s. 468-469).

Tego rodzaju zarzut podniósł autor skargi kasacyjnej w niniejszej sprawie. Zarzucił, iż naruszenie art. 33 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych polegało na błędnym przyjęciu, iż P. N. obowiązany był udzielić D. K. żądanej informacji w trybie art. 33 ustawy pomimo braku po stronie pierwszego z wymienionych przedsiębiorców – administratora danych pewności co do tożsamości wnioskodawcy. Innymi słowy, zdaniem autora skargi kasacyjnej, Wojewódzki Sąd Administracyjny błędnie przyporządkował zaistniały w sprawie stan faktyczny pod normę z art. 33 ustawy o ochronie danych osobowych stwierdzając, iż skarżący podlegał wyrażonemu w niej obowiązkowi, pomimo braku podstaw ku temu, tzn. pomimo braku pewności, że wniosek istotnie pochodzi od osoby, której dane dotyczą.

Zgodnie z art. 32 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych. Sposoby tej kontroli oraz wiążące się z tym uprawnienia zostały sprecyzowane w pkt od 1 do 9 wskazanego przepisu. Z kolei stosownie do art. 33 ust. 1 ustawy, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a, a w szczególności podać w formie zrozumiałej: jakie dane osobowe zawiera zbiór, w jaki sposób zebrano dane, w jakim celu i zakresie dane są przetwarzane oraz w jakim zakresie i komu dane zostały udostępnione. Na wniosek osoby, której dane dotyczą, informacji, o których mowa w ust. 1, udziela się na piśmie (art. 33 ust. 2 ustawy).

Podniesiony w skardze kasacyjnej zarzut należy uznać za bezzasadny. Wojewódzki Sąd Administracyjny w uzasadnieniu zaskarżonego wyroku w sposób logiczny i przekonujący wykazał, iż skarżący – administrator danych osobowych D. K. znajdował się w posiadaniu takich danych, które pozwalały na jednoznaczne zidentyfikowanie autora wniosku z [...] grudnia 2005 r., D. K. posługującego się adresem "ul. [...],[...] B.", jako przedsiębiorcy D. K., figurującego w bazie danych skarżącego pod adresem "[...] B., skrytka pocztowa [...]". Spośród wszystkich argumentów przytoczonych w uzasadnieniu zaskarżonego wyroku za szczególnie znaczący i znajdujący odzwierciedlenie w aktach administracyjnych sprawy należy uznać fakt, że do wniosku w przedmiocie danych osobowych z [...] grudnia 2005 r., opatrzonego oznaczeniem autora "D. K., ul. [...],[...] B." został załączony wniosek [...] o zmianę abonenta domeny "[...]", w którym jako dotychczasowy abonent został wskazany "D. K., [...] B., skrytka pocztowa [...]".

Ustosunkowując się do argumentacji podniesionej w uzasadnieniu skargi kasacyjnej należy zwrócić uwagę, iż ustalone i zaakceptowane przez klientów strony skarżącej zasady składania oświadczeń woli mogą znaleźć zastosowanie na gruncie cywilnoprawnym pomiędzy stroną skarżącą a jej kontrahentami. Natomiast postępowanie w przedmiocie ochrony danych osobowych jest rodzajem postępowania administracyjnego. Ustalone zasady składania oświadczeń woli w kontaktach cywilnoprawnych między kontrahentami nie mogą zostać przeniesione wprost na to postępowanie, bowiem nie przewiduje tego żaden przepis ustawy o ochronie danych osobowych. Tym samym brak jest podstaw do uznania za uzasadnioną odmowę wykonania przez administratora danych osobowych obowiązku z art. 33 omawianej ustawy.

Zgodzić się należy z oceną Sądu Wojewódzkiego, iż w świetle całokształtu ustaleń faktycznych sprawy, których w skardze kasacyjnej nie podważono, uzasadnione było wnioskowanie co do możliwości identyfikacji osoby, która zwróciła się do skarżącego z wnioskiem z dnia [...] grudnia 2005 r. o udzielenia informacji na temat procesu przetwarzania danych osobowych. Wbrew przekonaniu skarżącego nie mogła być usprawiedliwieniem dla niedopełnienia obowiązku informacyjnego okoliczność negatywnej weryfikacji danych osobowych z uwagi na posługiwanie się przez niego dwoma różnymi adresami, tj. adresem zamieszkania oraz adresem korespondencyjnym oznaczonym numerem skrytki pocztowej. Zaznaczyć trzeba, że fakt negatywnej weryfikacji był efektem błędnej oceny skarżącego, gdyż właściwa analiza danych, którymi dysponował powinna usunąć wątpliwości co do tożsamości podmiotu występującego z żądaniem informacji w przedmiocie danych osobowych.

W konsekwencji słusznie przyjął organ administracji, a następnie Sąd w zaskarżonym wyroku, że skarżący niewłaściwie ustalił, że przedmiotowy wniosek pochodził od osoby nieuprawnionej. W takim stanie sprawy uzasadnione było nałożenie na skarżącego obowiązku informacyjnego skonkretyzowanego w kwestionowanej decyzji Generalnego Inspektora Ochrony Danych Osobowych.

Wskazać dodatkowo trzeba, że przy stosowaniu przepisu art. 33 cyt. Ustawy należy mieć na uwadze, iż obowiązek informacyjny ustanowiony tym przepisem jest korelatem uprawnienia osoby fizycznej do kontroli przetwarzania swoich danych osobowych. Uprawnienie przyznane osobie, której dane dotyczą, uregulowane w art. 32 i 33 ustawy stanowią gwarancję konstytucyjnej zasady autonomii informacyjnej jednostki. Realne wykonywanie tych uprawnień musi być więc zabezpieczone poprzez skuteczne wymuszenie obowiązków spoczywających na administratorach danych osobowych.

Z tych wszystkich względów zarzuty skargi kasacyjnej należało uznać za nieusprawiedliwione. W konsekwencji orzeczono jak w sentencji, zgodnie z art. 184 p.p.s.a