Wyrok NSA, sygn. akt II SA 3878/02
NSA w Warszawie (przed reformą)
Data orzeczenia: 2003-04-16 00:00:00+02:00 (orzeczenie prawomocne)
Symbol z opisem: 645  Sprawy nieobjęte symbolami podstawowymi 601644 oraz od 646-652
Powołane przepisy: article: art. 47 ust. 1, art. 48
journal: Dz.U. 2002 nr 101 poz. 926
law: Obwieszczenie Marszałka Sejmu Rzeczypospolitej Polskiej z dnia 17 czerwca 2002 r. w sprawie ogłoszenia jednolitego tekstu ustawy o ochronie danych osobowych.
Teza: Przy udzielaniu zgody na przekazanie danych osobowych za granicę /art. 47 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - Dz.U. 2002 nr 101 poz. 926/ organ powinien kierować się oceną, czy zastosowane środki różnego typu, klauzule umowne i środki techniczne pozwalają zapewnić stopień ochrony tych danych odpowiadający ustawodawstwu polskiemu.

TEZY

Przy udzielaniu zgody na przekazanie danych osobowych za granicę /art. 47 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - Dz.U. 2002 nr 101 poz. 926/ organ powinien kierować się oceną, czy zastosowane środki różnego typu, klauzule umowne i środki techniczne pozwalają zapewnić stopień ochrony tych danych odpowiadający ustawodawstwu polskiemu.


SENTENCJA

Naczelny Sąd Administracyjny po rozpoznaniu sprawy ze skargi R. D. P. Sp. z o.o. na decyzję Generalnego Inspektora Danych Osobowych z dnia 25 października 2002 r. (...) w przedmiocie odmowy wyrażenia zgody na przekazanie danych osobowych - oddala skargę, (...).


UZASADNIENIE

R. D. P. Sp. z o.o., zwana dalej Spółką zwróciła się w dniu 27 lutego 2002 r. do Generalnego Inspektora Danych Osobowych o wyrażenie zgody, na podstawie art. 48 ustawy o ochronie danych osobowych, na przekazywanie danych osobowych do Stanów Zjednoczonych Ameryki Północnej. Wniosek uzasadniła potrzebą scentralizowanego przetwarzania danych w ramach korporacji T. R. D. A., w specjalnie utworzonym w tym celu Globalnym Centrum Danych, znajdującym się w USA. Przekazywanie danych przez Spółkę miało się odbywać na podstawie "Umowy świadczenia usług przetwarzania danych osobowych", którą załączono do wniosku. Przewidywała ona zasadę ochrony danych według prawodawstwa polskiego. W uzasadnieniu podkreślono, że na podstawie analogicznych umów, spółki należące do korporacji w poszczególnych krajach /m.in. w Wielkiej Brytanii, Szwecji, Hiszpanii i Portugalii/ za zgodą właściwych organów ochrony danych osobowych powierzyły przetwarzanie danych R. D. A. I.

W ramach wszczętego postępowania administracyjnego inspektorzy Generalnego Inspektora Ochrony Danych Osobowych ustalili, że do przekazania danych osobowych ma być wykorzystywany system informatyczny "SCS+". Ponieważ jednak system taki nie został jeszcze wdrożony, nie było możliwości dokonania zgodności jego oceny z wymogami prawa polskiego. Ponadto Generalny Inspektor Ochrony Danych Osobowych zwrócił się do organów ochrony danych osobowych w Wielkiej Brytanii, Szwecji, Hiszpanii, Portugalii i Francji z prośbą o udzielenie informacji, dotyczących wyrażenia zgody spółkom zależnym R. D. A. I. w poszczególnych krajach na przekazywanie danych osobowych do USA.

W wyniku tego postępowania Generalny Inspektor Ochrony Danych Osobowych w dniu 26 lipca 2002 r. decyzją (...) odmówił wyrażenia zgody na przekazanie danych osobowych do R. D. A. I. w USA. W uzasadnieniu stwierdził, że Spółka nie zapewniła dostatecznych gwarancji bezpieczeństwa operacji transferu danych osobowych do USA. Wskazał przy tym na brak możliwości dokonania oceny systemu informatycznego "SCS+", mającego służyć do przekazywania danych. Podkreślił też, że w polskiej ustawie o ochronie danych osobowych zastosowanie odpowiednich klauzul umownych nie jest jedną z samoistnych przesłanek dopuszczalności przekazania danych za granicę. Zdaniem Generalnego Inspektora Danych Osobowych istotne znaczenie dla jego rozstrzygnięcia miał fakt, że R. D. A. I. nie przystąpiła do programu Safe Harbor, który zapewnia trwałą kontrolę przestrzegania zasad ochrony danych osobowych, w tym zasad dotyczących ich bezpieczeństwa.

Spółka złożyła wówczas w dniu 13 sierpnia 2002 r. wniosek o ponowne rozpatrzenie sprawy. Wskazała w nim, że proponowany przez nią system informatyczny "SCS+" jest powszechnie stosowany i brak wdrożenia nie stanowi przeszkody dla jego oceny. Przepisy nie wymagają bowiem, aby ocenie podlegał tylko system wdrożony. Podniosła także we wniosku zarzut, że w toku kontroli przeprowadzonej w siedzibie wnioskodawcy proponowano uruchomienie systemu w jego wersji testowej z użyciem fikcyjnych danych. Propozycja ta nie została jednak przyjęta przez inspektorów. Ponadto skarżąca wyraziła opinię, że oprócz programu Safe Harbor również odpowiednia umowa, zawarta między przekazującym a odbiorcą danych, może we właściwy sposób zabezpieczać ochronę danych osobowych podlegających transferowi do USA.

Następnie pismem z 16 września 2002 r. Spółka złożyła wniosek o uzupełnienie materiału dowodowego o decyzję organu ochrony danych osobowych w Szwecji w sprawie transferu danych do USA, treść Dyrektywy Parlamentu Europejskiego i Rady 95/36/EC z 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych, treść art. 9 Rozporządzenia Parlamentu Europejskiego i Rady /WE/ nr 45/2001 z dnia 18 grudnia 2000 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu danych, treść decyzji Komisji Europejskiej z dnia 27 grudnia 2001 r. w sprawie wzorcowych klauzul umownych w związku z przekazywaniem danych osobowych do podmiotów przetwarzających dane osobowe w imieniu administratorów danych w krajach trzecich na podstawie dyrektywy 95/46/WE /ogłoszonej w dokumencie nr C[2001] 4540/, a także o zwrócenie się do organu ochrony danych osobowych na Węgrzech w celu uzyskania stanowiska z grudnia 1999 r. w sprawie przekazania danych osobowych do USA przez CitiBank Rt.

Postanowieniem z dnia 7 października 2002 r. (...) Generalny Inspektor Ochrony Danych Osobowych odmówił uwzględnienia wniosku w zakresie dotyczącym uzyskania stanowiska organu ochrony danych osobowych na Węgrzech w sprawie przekazania danych osobowych do USA przez CitiBank Rt. Wskazał, że rozstrzygnięcie węgierskiego organu ochrony danych osobowych w sprawie przekazania danych osobowych do USA przez CitiBank Rt. nie dotyczy przedmiotu niniejszej sprawy, którym jest ocena warunków przeprowadzenia operacji przekazania danych osobowych pomiędzy innymi podmiotami i w innych okolicznościach faktycznych. Natomiast w odniesieniu do pozostałych wniosków zgłoszonych przez R. D. Sp. z o.o. Generalny Inspektor wskazał, że zarówno stanowisko szwedzkiego organu danych osobowych dotyczące przekazywania danych osobowych przez szwedzką spółkę R. D. do Stanów Zjednoczonych, jak i treść powołanych przez wnioskodawcę regulacji prawnych są Generalnemu Inspektorowi znane i zostały uwzględnione w całym dotyczącym przedmiotowej sprawy postępowaniu.

W wyniku tego postępowania Generalny Inspektor Ochrony Danych Osobowych w dniu 25 października 2002 r. decyzją (...) utrzymał w mocy zaskarżone orzeczenie. Wskazał przede wszystkim, że w trakcie dokonywania w siedzibie spółki czynności kontrolnych, mających na celu m.in. ustalenie warunków technicznych przeprowadzenia operacji transferu danych, brak było możliwości zbadania systemu informatycznego, przy użyciu którego dane miałyby być przekazywane. Nie uznał przy tym argumentacji R. D. Sp. z o.o., że mimo niewdrożenia tego systemu, możliwa jest jego ocena w zakresie zgodności z właściwymi przepisami. Zdaniem Generalnego Inspektora oceny takiej można dokonać jedynie na podstawie ustalonego w toku kontroli stanu faktycznego. W odniesieniu do oświadczenia skarżącej Spółki, iż w toku czynności kontrolnych nie zbadano systemu "SCS+" w wersji testowej, mimo że administrator danych o to wnioskował, stwierdził, iż oświadczenie takie jest niezgodne z prawdą. Podkreślił, iż w zgromadzonym materiale dowodowym /w tym również w protokole przeprowadzonej kontroli/ brak jest dowodu potwierdzającego prawdziwość powyższego oświadczenia.

Ponadto Generalny Inspektor uznał za wątpliwe stwierdzenie R. D. Sp. z o.o. sformułowane we wniosku o ponowne rozpatrzenie sprawy, że osoby, których dane są przetwarzane, nie będą w wyniku transferu pozbawione uprawnień przysługujących im na mocy przepisów o ochronie danych osobowych. Spółka zadeklarowała, iż osoby te po przekazaniu danych za granicę w dalszym ciągu będą mogły wykonywać swoje prawa przysługujące im wobec administratora danych. Biorąc pod uwagę dużą ilość skarg kierowanych do Generalnego Inspektora w sprawach nierespektowania przez R. D. Sp. z o.o. praw podmiotów danych, Generalny Inspektor poddał w wątpliwość wiarygodność powyższej deklaracji, tym bardziej, że również informacje przekazane przez Prezesa Urzędu Ochrony Konkurencji i Konsumentów w piśmie z dnia 4 października 2002 r. świadczyły o wpływających do tego Urzędu skargach na naruszenia prawa konsumenckiego przez skarżącą spółkę, w związku z czym Prezes skierował w 1999 r. sprawę na drogę postępowania sądowego.

Ponadto opierając się na informacjach uzyskanych od organów ochrony danych osobowych w Wielkiej Brytanii, Szwecji, Hiszpanii, Portugalii oraz Francji, Generalny Inspektor stwierdził, że jedynie hiszpański i francuski organ ochrony danych osobowych udzielił zgody spółkom należącym do korporacji T. R. D. A. prowadzącym działalność w Hiszpanii i Francji. Natomiast zgodnie z informacjami przekazanymi przez brytyjski i szwedzki organ ochrony danych osobowych spółki R. D. prowadzące działalność na terytorium Wielkiej Brytanii i Szwecji nie występowały do tych organów z wnioskiem o wydanie decyzji w tym przedmiocie, gdyż zgodnie z obowiązującymi w tych krajach przepisami o ochronie danych osobowych, zgoda taka nie jest wymagana. Portugalski organ ochrony danych osobowych poinformował natomiast, że udzielona spółce R. D. zgoda na przekazywanie danych do USA dotyczyła jedynie danych osobowych pracowników tej firmy, a nie jej klientów. W decyzji wydanej w tej sprawie portugalski organ ochrony danych osobowych wskazał ponadto, że przekazanie danych osobowych dopuszczalne będzie jedynie po uprzednim wyrażeniu na to zgody pracowników tej firmy. Biorąc pod uwagę wszystkie te okoliczności Generalny Inspektor Ochrony Danych Osobowych uznał, że brak jest podstaw do zmiany rozstrzygnięcia i utrzymał zaskarżoną decyzję w mocy. Wskazał przy tym, że nie oznacza to w ogóle braku możliwości przekazania danych do USA, ale będzie to możliwe na warunkach określonych w art. 47 ust. 2 i 3 ustawy, tj. np. na podstawie zgody osób, których dane mają być przedmiotem transferu.

W dniu 26 listopada 2002 r. Spółka wniosła do Naczelnego Sądu Administracyjnego skargę na tę decyzję i utrzymane nią w mocy poprzednie orzeczenie Generalnego Inspektora Ochrony Danych Osobowych. Zarzuciła im naruszenie przepisów o ochronie danych osobowych przez stwierdzenie, że system służący do przetwarzania danych winien być uprzednio wdrożony, naruszenie art. 7 i art. 77 par. 1 Kpa przez pominięcie wniosków dowodowych zgłoszonych przez stronę, naruszenie art. 107 par. 3 Kpa przez wydanie decyzji w oparciu o opinię Prezesa Urzędu Ochrony Konkurencji i Konsumentów w przedmiocie postępowania, które nie zakończyło się prawomocnym wyrokiem a także naruszenie art. 8 Kpa.

Skarżąca podkreśliła, że system "SCS+" jest stosowany powszechnie, a brak jego wdrożenia nie stanowi przeszkody dla oceny czy jest on zgodny z prawem. Takiego warunku nie zawiera bowiem ani ustawa ani rozporządzenie. Generalny Inspektor Ochrony Danych Osobowych nie posiada zresztą wystarczających kwalifikacji dla dokonania takiej oceny.

Ponadto Spółka wskazała, że wbrew stanowisku Inspektora decyzja organu ochrony danych na Węgrzech dotyczyła sytuacji opartej na identycznym stanie faktycznym. Stąd zasadny jest zarzut niewyjaśnienia wszystkich okoliczności faktycznych. Wskazała także, że Generalny Inspektor Ochrony Danych Osobowych oparł się na opinii Prezesa Urzędu Ochrony Konkurencji i Konsumentów mimo, iż sprawa sądowa nie została jeszcze zakończona. Nie uwzględnił natomiast rozwiązań przyjętych w Unii Europejskiej, które choć nie są obowiązującym prawem, mogą być brane pod uwagę z uwagi na niejasność polskiej ustawy o ochronie danych osobowych.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie. Ustosunkowując się do pierwszego zarzutu, podkreślił, że ocena zgodności systemu informatycznego z obowiązującymi przepisami nie może być dokonywana w sposób abstrakcyjny, a jedynie na podstawie ustalonego w wyniku kontroli konkretnego stanu faktycznego. Tymczasem w trakcie kontroli nie proponowano uruchomienia tego systemu, o czym świadczy podpisany protokół.

Generalny Inspektor Ochrony Danych Osobowych podkreślił także, iż w pełni ustalił stan faktyczny. Nie uwzględnił jedynie wniosku o uzyskanie stanowiska organu ochrony danych osobowych na Węgrzech, w sprawie przekazania danych osobowych do USA przez Citi Bank. Dotyczył on bowiem innych stron i innego stanu faktycznego. Stan faktyczny sprawy został już natomiast dostatecznie wyjaśniony przez Generalnego Inspektora Ochrony Danych Osobowych, który zwracał się do organów ochrony danych osobowych w różnych krajach.

Odnośnie regulacji unijnych, Generalny Inspektor Ochrony Danych Osobowych brał je pod uwagę, ale uwzględnił fakt, że w polskiej ustawie o ochronie danych osobowych, zawarcie modelowej umowy dotyczącej przekazania danych za granicę nie zobowiązuje polskiego organu do automatycznego wyrażania zgody na przekazywanie danych i nie zwalnia go od badania innych okoliczności. Zdaniem Generalnego Inspektora uczestnictwo w programie Safe Harbor, które zapewnia odpowiedni poziom bezpieczeństwa ochrony danych osobowych, stanowiłoby odpowiednią gwarancję ochrony danych. W przedmiotowej sprawie, Spółka nie uczestniczyła jednak w tym programie.

Naczelny Sąd Administracyjny zważył że:

Skarga nie jest zasadna. Przekazywanie danych osobowych za granicę co do zasady może nastąpić, zgodnie z art. 47 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych /Dz.U. 2002 nr 101 poz. 926/ jedynie wtedy, gdy kraj docelowy daje gwarancje ochrony danym osobowym na swoim terytorium przynajmniej takie, jak obowiązujące na terytorium Rzeczypospolitej Polskiej.

Pomiędzy stronami nie ma sporu co do faktu, iż gwarancji takich nie dają Stany Zjednoczone Ameryki Północnej.

Przepisu tego nie stosuje się, gdy zachodzą okoliczności wskazane w art. 47 ust. 2 i 3 ustawy. Również w tym przypadku, nie jest okolicznością sporną, że skarżąca nie spełniała wymienionych warunków, a więc przykładowo nie dysponowała udzieloną na piśmie zgodą osób, których dane dotyczą.

Podstawą przekazania danych miał być więc art. 48 ustawy. Przewiduje on, iż w przypadkach innych niż wymienione w art. 47 ust. 2 i 3 ustawy przekazanie danych osobowych za granicę do kraju, który nie daje gwarancji ochrony danych osobowych przynajmniej takich, jakie obowiązują na terytorium Rzeczypospolitej Polskiej, może mieć miejsce po uzyskaniu zgody Generalnego Inspektora.

Przepis ten oparty jest na uznaniu i nie zawiera kryteriów udzielania bądź odmowy wyrażenia takiej zgody.

Z uwagi na brak takich kryteriów, należy je poszukiwać w innych przepisach ustawy. Decydujące znaczenie ma przy tym art. 1 ust. 1, który przewiduje jako zasadę ochronę danych osobowych. Ich przetwarzanie, na podstawie art. 1 ust. 2 może mieć miejsce ze względu na dobro publiczne, dobro osoby której dane dotyczą lub dobro osób trzecich. Warto również podkreślić, iż zgodnie z art. 47 ust. 1 ustawy zasadą jest przekazywanie danych do krajów, które ustawowo gwarantują odpowiedni stopień ochrony.

Oznacza to w konsekwencji, że wyrażając zgodę na przekazywanie danych osobowych za granicę, Generalny Inspektor Ochrony Danych Osobowych powinien przy udzieleniu zgody kierować się oceną, czy zastosowane środki różnego typu, klauzule umowne, środki techniczne, pozwalają zapewnić odpowiadający ustawodawstwu polskiemu stopień ochrony tych danych.

W przedmiotowej sytuacji Generalny Inspektor Ochrony Danych Osobowych słusznie uznał, że brak jest tego typu gwarancji. Strona skarżąca powoływała się co prawda na zawartą wzorcową umowę "Umowę świadczenia usług przetwarzania danych osobowych", która zawierała wyraźne odesłanie, iż ochrona danych będzie dokonywana według ustawodawstwa polskiego. Zawarcie takiej umowy nie jest jednak w świetle prawa polskiego autonomiczną przesłanką udzielenia zgody.

Zdaniem skarżącej można się było tutaj posłużyć pomocniczo art. 26 ust. 2 dyrektywy 95/46/EC Parlamentu Europejskiego i Rady Unii Europejskiej z dnia 24 października 1995 r. w sprawie ochrony osób w związku z przetwarzaniem danych osobowych oraz swobodnego przepływu takich danych. Dotyczy ona przesyłania danych osobowych do innych krajów i zezwala na upoważnienie do takiego przesyłania do krajów, które nie zapewniają odpowiedniego poziomu ochrony, jeżeli kontroler wskaże odpowiednie środki ochrony prywatności, fundamentalnych praw i wolności osobistych w odniesieniu do przestrzegania tych praw, zwłaszcza wynikające z odpowiednich postanowień umowy, /tekst [w:] J. Barta, R. Markiewicz, Ochrona danych osobowych, Komentarz Zakamycze 2001 r. str. 692/.

Według skarżącej, ponieważ Polska przystosowuje swoje prawo do prawodawstwa unijnego, winna brać pod uwagę przy wykładni tego prawa wspomnianą dyrektywę. Stąd odpowiednia umowa, a taką jest wzorcowa umowa dołączona do wniosku, powinna być wystarczającą przesłanką wyrażenia zgody.

O ile Naczelny Sąd Administracyjny podziela pogląd, że przy wykładni polskiej ustawy o ochronie danych osobowych można posługiwać się pomocniczo wspomnianą wyżej dyrektywą, to nie oznacza, iż akceptuje wyprowadzone z tego przez skarżącą wnioski.

Zdaniem Naczelnego Sądu Administracyjnego, umowa przedstawiona przez Spółkę nie gwarantuje odpowiedniego poziomu ochrony danych. Po pierwsze wynika z niej tylko odpowiedzialność kontraktowa, a ustawa o ochronie danych osobowych przewiduje również inne formy odpowiedzialności m.in. administracyjną czy karną. Zatem stwierdzenie, że ochrona danych będzie się odbywać według zasad prawa polskiego, nie oznacza poddania się organów i osób R. D. A. w USA jurysdykcji organów państwa polskiego. Nie jest też słuszny zarzut, iż taka ochrona umowna wystarcza w systemie Unii Europejskiej, zgodnie ze wskazaną dyrektywą. Po pierwsze dyrektywa wiąże państwo do którego jest skierowana w zakresie celów, które mają być osiągnięte, pozostawiając władzom swobodę wyboru środków i form ich realizacji. Za pomocą dyrektyw koordynuje się więc, upodabnia i ujednolica akty prawa krajowego. Po drugie wspomniana dyrektywa zezwala jedynie państwom członkowskim na udzielenie zgody, w sytuacji zawarcia odpowiednich umów, a nie zobowiązuje do tego. Po trzecie, jak wskazuje postępowanie przeprowadzone przez Generalnego Inspektora Ochrony Danych Osobowych w krajach, będących członkami Unii podanymi we wniosku, praktyka w tym zakresie jest różna.

Nie można też dla oceny proponowanych rozwiązań nie uwzględniać faktu, że kraje - członkowie Unii - związane są nie tylko dyrektywą, ale także rozporządzeniami, decyzjami itp. Chcąc zagwarantować odpowiedni stopień ochrony Generalny Inspektor Ochrony Danych Osobowych nie może więc abstrahować od faktu, iż godząc się na ochronę wynikającą z umowy, według zasad wynikających z dyrektywy, czyniłby to wobec spółki, która działa w państwie nienależącym do Unii, niepoddanym jej prawodawstwu.

Z tego względu Generalny Inspektor Ochrony Danych Osobowych widział jako zabezpieczenie odpowiedniego poziomu ochrony zastosowanie systemu Safe Harbor. Program ten opracowany został bowiem przez Departament Handlu Stanów Zjednoczonych we współpracy z Komisją Europejską. Zabezpiecza on stałą kontrolę przestrzegania zasad ochrony danych osobowych, w tym zasad dotyczących ich bezpieczeństwa. Członkostwo w nim zobowiązuje firmy w nim uczestniczące do zapewnienia właściwej ochrony danym osobowym pochodzącym z Europy zgodnie z wymaganiami Dyrektywy Parlamentu Europejskiego i Rady 95/46/EC z dnia 24 października 1995 r. w sprawie ochrony fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych. Tymczasem w przedmiotowej sprawie spółka z jednej strony powołuje się na art. 26 ust. 2 dyrektywy zezwalający na przesyłanie danych, gdy odpowiedni stopień ochrony wynika z umowy, jednocześnie zaś firma funkcjonująca w państwie nienależącym do Unii i nie uczestnicząca w programie, nie bierze na siebie obowiązku przestrzegania pozostałych przepisów tej dyrektywy.

Wbrew stanowisku strony skarżącej, Naczelny Sąd Administracyjny nie zgodził się także z zarzutem, iż nie jest istotne przy udzielaniu zgody, aby program przy którego pomocy dane mają być przekazywane był już wdrożony, a zgoda mogła być wyrażona wobec programu abstrakcyjnego. Jak już bowiem podkreślono powyżej, kryterium udzielenia zgody jest zapewnienie odpowiednich gwarancji przesyłania danych. Muszą one zapewniać określony stopień ochrony danych. Zarówno ustawa o ochronie danych osobowych, jak i rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 3 czerwca 1998 r. w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych /Dz.U. nr 80 poz. 521/ zawierają wymogi, które mogą być sprawdzalne jedynie na podstawie już wdrożonego systemu. Ustawa przewiduje bowiem w rozdziale 4 prawa osoby, której dane dotyczą m.in. prawa kontroli danych z art. 32, czy prawa informacji z art. 33. Rozporządzenie wskazuje natomiast w par. 17, iż system informatyczny służący do przekazywania danych osobowych powinien umożliwić udostępnienie na piśmie, w powszechnie zrozumiałej treści, danych o każdej osobie, której dane są przetwarzane wraz z informacjami o których mowa w par. 16. Trudno ocenić, czy ochrona w tym względzie jest gwarantowana, jeżeli nie ma możliwości sprawdzenia programu. Tymczasem Generalny Inspektor Ochrony Danych Osobowych wyrażając zgodę na przekazanie danych za granicę, w sytuacji, gdy osoby i instytucja, które dane przetwarzają znajdują się częściowo poza zakresem jurysdykcji państwa polskiego, musi w większym stopniu zwracać uwagę na rozwiązania czy to instytucjonalne, czy techniczne, które takiej ochronie mogą sprzyjać lub nie. Trudno ocenę taką wyrazić abstrakcyjnie bez odwołania się do określonego stanu faktycznego.

Naczelny Sąd Administracyjny nie stwierdził również naruszenia przez Generalnego Inspektora Ochrony Danych Osobowych art. 7 i art. 77 par. 1 Kpa. Stan faktyczny został ustalony w oparciu o obszerny materiał dowodowy. Brak jest dowodu na to, że w trakcie postępowania wyjaśniającego proponowano inspektorom Generalnego Inspektora Ochrony Danych Osobowych sprawdzenie systemu informatycznego "SCS+". Przeczy temu treść podpisanego przez skarżącą protokołu. Również we wniosku o ponowne rozpatrzenie sprawy, skarżąca wskazała, że system ten może być dopiero uruchomiony w przyszłości. Podobnie nie jest słuszny zarzut braku uwzględnienia wniosku o uzyskanie stanowiska organu ochrony danych na Węgrzech. Dotyczył on bowiem innych podmiotów i innej sytuacji. Nie miał on też znaczenia dla sprawy. Generalny Inspektor Ochrony Danych Osobowych uzyskał już bowiem wystarczające dane do podjęcia decyzji w sprawie.

Nie jest również zasadny zarzut naruszenia art. 8 Kpa, przez powołanie się w uzasadnieniu decyzji na opinię Prezesa Urzędu Ochrony Konkurencji i Konsumentów, mimo iż sprawa sądowa nie została jeszcze zakończona, a organ ten zajmuje się innego typu sprawami. Wręcz przeciwnie, badając wiarygodność firmy, która chciała uzyskać zgodę na transfer danych, organ mógł a nawet powinien posługiwać się takimi środkami dowodowymi, które miały tę wiarygodność potwierdzić lub nie. Mimo braku wyroku sądu, już opinia zawarta w wystąpieniu organu administracji publicznej mogła stanowić środek dowodowy w sprawie.

Ponieważ Naczelny Sąd Administracyjny nie dopatrzył się w zaskarżonej decyzji naruszenia prawa, orzekł na podstawie art. 27 ust. 1 i art. 57 ust. 2 ustawy z dnia 11 maja 1995 r. o Naczelnym Sądzie Administracyjnym /Dz.U. nr 74 poz. 368 ze zm./ w związku z art. 48 ustawy o ochronie danych osobowych, jak w sentencji.

O kosztach orzeczono na podstawie art. 36 ust. 4 ustawy z dnia 13 czerwca 1967 r. o kosztach sądowych w sprawach cywilnych /Dz.U. nr 24 poz. 110 ze zm./.