Wyrok WSA w Warszawie, sygn. akt II SA/Wa 1513/04
Wojewódzki Sąd Administracyjny w Warszawie
Data orzeczenia: 2005-03-17 00:00:00+01:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Oddalono skargę

SENTENCJA

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA - Stanisław Marek Pietras (spraw.) Asesor WSA - Jacek Fronczyk Asesor WSA - Janusz Walawski Protokolant - Joanna Ukalska po rozpoznaniu na rozprawie w dniu 10 marca 2005 r. sprawy ze skargi Naczelnika Urzędu Skarbowego w O. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2004 r. nr [...] w przedmiocie odmowy stwierdzenia nieważności decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2003 r. nr [...] - oddala skargę -


UZASADNIENIE

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] sierpnia 2003 r. nr [...], działając na podstawie art. 104 § 1 i art. 105 § 1 k.p.a. oraz art. 12 pkt 2 i art. 18 ust. 1 pkt 1 w zw. z art. 36, art. 37 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. z 2002 r. Dz. U. Nr 101, poz. 926), jak również na podstawie § 4, § 5, § 14 ust. 1 i 6, § 16 pkt 1, 3 - 4 oraz § 17 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 3 czerwca 1998 r. w sprawie określenia podstawowych warunków technicznych i organizacyjnych jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 80, poz. 521 ze zm.):

I. nakazał Urzędowi Skarbowemu w O. z siedzibą w O. przy ul. [...] usunięcie uchybień w procesie przetwarzania danych osobowych w terminie 6 miesięcy od dnia, kiedy niniejsza decyzja stanie się ostateczna poprzez:

1. wyposażenie systemu informatycznego służącego do przetwarzania danych na poziomie serwera domeny "P." w oprogramowanie antywirusowe,

2. zapewnienie, aby system informatyczny o nazwie "P." w zakresie podsystemów informatycznych o nazwach: "R.", "W.", "E.". "K.", "P." i "M." zapewniały odnotowanie dla każdej osoby, której dane są w nim przetwarzane, informacji komu, kiedy i w jakim zakresie dane zostały udostępnione,

3. zapewnienie, aby system informatyczny o nazwie "P." w zakresie podsystemów informatycznych o nazwach: "R.", "W.", "E.". "K.", "P." i "M." umożliwiał udostępnienie na piśmie, w powszechnie zrozumiałej formie, treści danych o każdej osobie, której dane są w nim przetwarzane wraz z informacjami o których mowa w § 16 pkt 1, pkt 3 i pkt 4 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 3 czerwca 1998 r. w sprawie określenia podstawowych warunków technicznych i organizacyjnych jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 80, poz. 521 ze zm.), tj. od daty pierwszego wprowadzenia danych osoby, identyfikatora użytkownika wprowadzającego dane oraz informacji komu i w jaki zakresie dane zostały udostępnione:

II. w pozostałym zakresie umorzył postępowanie.

We wniosku z dnia [...] stycznia 2004 r. Naczelnik Urzędu Skarbowego w O. wniósł o stwierdzenie nieważności wyżej wymienionej decyzji. W uzasadnieniu podał, że urząd nie posiada uprawnień do ingerowania i dokonywania jakichkolwiek zmian w systemie "P.", ponieważ został on utworzony w Ministerstwie Finansów i tylko ten organ jest jego właścicielem. W związku z tym tylko on może dokonywać w nim zmian i nie przewiduje on możliwości przekazania urzędowi skarbowemu prawa ingerowania w system. W tej sytuacji, urzędowi została jedynie możliwość postulowania zmian, co też zostało uczynione za pismem z dnia [...] października 2003 r.

Ponadto w art. 7 pkt 2a ustawy zawarto definicję "systemu informatycznego". W rozumieniu tego przepisu jest to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu ich przetwarzania. W związku z tym system komputerowy "P." we wszystkich jego modułach jest tylko częścią systemu informatycznego. Jego integralną częścią są procedury przetwarzania informacji, a one są umieszczone w art. 7 ustawy jako odrębny składnik systemu informatycznego obok urządzeń, programów i narzędzi programowych. W związku z tym żadne przepisy nie precyzują, nakładając na system informatyczny obowiązek odnotowania i udostępnienia informacji, komu, kiedy i w jakim zakresie dane zostały przekazane oraz w której części systemu ma to być realizowane. Zatem ustawowa definicja systemu informatycznego nie wyklucza procedur przetwarzania danych o nieautomatycznym charakterze, a więc w sposób tradycyjny, tzn. ręczny sposób odnotowania komu, kiedy i w jakim zakresie dane zostały udostępnione. Z kolei, jak ustalono podczas kontroli, w urzędzie są prowadzone takie rejestry mieszczące się w ustawowej definicji systemu informatycznego i w konsekwencji jest możliwość udostępnienia na piśmie w powszechnie zrozumiałej formie treści danych o każdej osobie, której dane są przetwarzane oraz informacji kiedy, komu i w jakim zakresie zostały one przekazane. Reasumując, w tym celu organ dla spełnienia powyższych zadań może się posługiwać również ewidencją prowadzoną poza systemem komputerowym i co w rzeczywistości było przez urząd realizowane.

Bezpodstawne jest również twierdzenie - zdaniem skarżącego - o tym, że moduły "P." nie odnotowują w bazie danych daty pierwszego wprowadzenia danych oraz identyfikatora użytkownika wprowadzającego dane.

Stąd też decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2003 r. nr [...] wynikła z nadinterpretacji definicji systemu informatycznego i to na tyle mylnej, że zachodzi konieczność stwierdzenia jej nieważności na podstawie art.

156 § 1 pkt 2 k.p.a.. Interpretacja owa - w ocenie skarżącego - opiera się na niewłaściwych przesłankach i stoi w sprzeczności z obowiązującym porządkiem prawnym. W konsekwencji została wydana bez podstawy prawnej.

Ponadto w decyzji tej zostały wyczerpane przesłanki stwierdzenia nieważności z art. 156 § 1 pkt 5 i 6 k.p.a. W dacie wydania decyzji bowiem nie uwzględniono okoliczności świadczących o niewykonalności zawartych w niej nakazów. Jak już podkreślano, z aplikacji "P." korzystają wszystkie urzędy skarbowe w Polsce i została ona przekazana urzędowi przez Ministerstwo Finansów do obowiązkowego wdrożenia. Zatem urząd jest jedynie bezpośrednim administratorem tej aplikacji w swoim urzędzie i ponadto nie może dokonywać zmian w aplikacji z uwagi na podległość służbową i brak uprawnień w tym zakresie.

Ta ostatnia teza ma swoje uzasadnienie w art. 34 ust. 1 oraz art. 34a ust. 1 i 2 ustawy z dnia 8 sierpnia 1996 r. o Radzie Ministrów (tekst jedn. z 2003 r. Dz. U. Nr 24, poz. 1999 ze zm.). Zgodnie z tymi przepisami, to minister kieruje, nadzoruje i kontroluje działalność podporządkowanych organów, urzędów i jednostek oraz ma prawo wydawania kierownikom jednostek centralnych, innych urzędów i jednostek organizacyjnych wiążących ich wytycznych i poleceń. Natomiast kwestię zarówno zadań jak i uprawnień urzędów skarbowych reguluje ustawa z dnia 21 czerwca 1996 r. o urzędach i izbach skarbowych (Dz. U. Nr 106, poz. 489 ze zm.) oraz zarządzenie Nr 86 Ministra Finansów z dnia 23 grudnia 1996 r. w sprawie organizacji urzędów i izb skarbowych oraz nadania im statutów (Dz. Urzęd. Min. Fin. Nr 25, poz. 135 ze zm.). Z tych zatem przepisów wynika w sposób jasny porządek prawny oraz struktura uprawnień i urząd nie ma żadnego prawa do narzucania i wydawania poleceń jednostce nadrzędnej jaką jest Minister Finansów. Innymi słowy mówiąc, żeby owa decyzja mogła być wykonalna, urząd musiałby takie uprawnienia posiadać i fakt ten był doskonale znany GIODO już na wstępie kontroli. Wynika to wprost z samej treści decyzji, a mianowicie: "(...) administratorem danych jest Urząd Skarbowy, który jest zobligowany do pełnienia obowiązków określonych przepisami o ochronie danych osobowych (...). Natomiast fakt, że autorem systemu jest Ministerstwo Finansów i tylko ono może dokonywać niezbędnych modyfikacji w systemie w celu dostosowania go do wymogów przewidzianych w przepisach o ochronie danych osobowych, ma wpływ wyłącznie na termin wskazany do usunięcia uchybień w procesie przetwarzania danych przy użyciu systemu P.".

Zatem dopóki urząd takich uprawnień nie posiada, niewykonalność decyzji będzie miała trwały charakter i fakt ten, co już wyżej podkreślono, był znany GIODO w momencie wydawania decyzji. Założył on zatem bezpodstawnie, że urząd wyegzekwuje te zmiany od Ministerstwa Finansów w ciągu 6 miesięcy. Prawdą natomiast jest, że urząd przekazał informację o decyzji Ministrowi Finansów, lecz nie jest to dla ministerstwa wiążące, ponieważ decyzja ta jest skierowana do urzędu, a nie do niego. Reasumując, okoliczności powyższe, zadaniem urzędu, wyczerpują przesłanki z art. 156 k.p.a.

Niezależnie od powyższego każdy pracownik urzędu skarbowego podlega zapisom ustawy z dnia 18 grudnia 1998 r. o służbie cywilnej i zgodnie z treścią art. 68 ust. 1 jest on zobowiązany do wykonywania poleceń służbowych. Wykonanie zatem decyzji, przy braku zgody Ministerstwa Finansów, powodowałoby naruszenie obowiązków członka korpusu służby cywilnej, co zgodnie z treścią art. 106 i 107 ustawy pociągałoby odpowiedzialność dyscyplinarną zagrożoną karą.

Niezależnie od powyższego aplikacja "P." podlega ochronie na podstawie przepisów ustawy z dnia 4 grudnia 1994 r. o prawie autorskim i prawach pokrewnych (tekst jedn. z 2000 r. Dz. U. Nr 80, poz. 904 ze zm.). Stąd też dokonanie w nim zmian, bez zgody autora, uprawniałoby ministerstwo do żądania zaniechania wprowadzenia niezaaprobowanych przez nie zmian w systemie bądź usunięcia takich zmian, gdyby ich wcześniej dokonano, a to na podstawie art. 74 ust. 1 i 2 w zw. z art. 78 ust. 1.

Stąd wykonanie zaskarżonej decyzji stanowiłoby zarazem czyn zagrożony karą w rozumieniu art. 156 § 1 pkt 6 k.p.a. i nie chodzi tu tylko o przestępstwo, lecz - powołując się na doktrynę - również wykroczenie lub delikt zagrożony dyscyplinarnie.

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] kwietnia 2004 r. nr [...], mając za podstawę art. 158 § 1 w zw. z art. 156 § 1 pkt 2, 5 i 6 k.p.a. w zw. z art. 12 pkt 2 i art. 36 cytowanej już wyżej ustawy o ochronie danych osobowych, jak również na podstawie § 16 pkt 4 oraz § 17 cytowanego już wyżej rozporządzenia Ministra Spraw Wewnętrznych i Administracji w sprawie określenia podstawowych warunków technicznych i organizacyjnych jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, odmówił stwierdzenia nieważności decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2003 r. nr [...]. W uzasadnieniu zaś podał, że zgodnie z § 16 pkt 4 cytowanego już wyżej rozporządzenia dla każdej osoby, której dane są przetwarzane w systemie informatycznym, system ten musi zapewnić odnotowanie informacji komu, kiedy i w jakim zakresie dane zostały udostępnione. Natomiast stosownie do treści § 17 rozporządzenia system informatyczny służący do przetwarzania danych osobowych powinien umożliwić udostępnienie na piśmie, w powszechnie zrozumiałej formie, treści danych osoby, której dane są przetwarzane, wraz z informacjami, o których mowa w § 16 rozporządzenia.

Z kolei zgodnie z art. 7 pkt 2a ustawy ilekroć w ustawie jest mowa o systemie informatycznym, rozumnie się przez to zespół współpracujących ze sobą programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych. Wprawdzie w urzędzie są prowadzone rejestry pism wychodzących, jednak do tego rejestru wpisywane są wszystkie pisma wychodzące z urzędu, a nie tylko dotyczące udostępniania danych innym podmiotom i ich opis nie wskazuje w sposób jednoznaczny, czy wysyłając to pismo udostępniono dane osobowe. Nie można zatem uznać, że rejestry zapewniają odnotowanie informacji, o których mowa w § 16 pkt 4 rozporządzenia.

Ponadto art. 2 ust. 2 ustawy stanowi, że ustawę stosuje się do przetwarzania danych osobowych w systemach informatycznych oraz w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych. Zatem przepis ten wyraźnie rozgranicza system informatyczny od pozostałych zbiorów, w których - jak podnosi skarżący - są odnotowane informacje, o których mowa w § 16 pkt 4 rozporządzenia.

Niezależnie od powyższego skarżący w żaden sposób nie wykazał, że system informatyczny "P." w zakresie podsystemów informatycznych o nazwach: "R.", "W.", "E.". "K.", "P." i "M." umożliwiał udostępnienie na piśmie, w powszechnie zrozumiałej formie, treści danych o każdej osobie, której dane są w nim przetwarzane wraz z informacjami, o których mowa w § 16 pkt 1 i pkt 3 rozporządzenia, tj. od daty pierwszego wprowadzenia danych i identyfikatora użytkownika wprowadzającego dane do systemu.

Nie zasługuje na uwzględnienie - zdaniem organu - argument skarżącego o braku możliwości wykonania decyzji, bowiem decyzja owa została wydana wobec administratora danych (art. 7 pkt 4 ustawy) jakim jest w świetle przepisów ustawy Naczelnik Urzędu Skarbowego w O. i on też odpowiada za zapewnienie odpowiednich warunków technicznych oraz organizacyjnych decydujących o właściwej ochronie danych osobowych w procesie przetwarzania, w tym przypadku podatników. W konsekwencji może być stroną postępowania prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych i może być wobec niego wydana decyzja, stosownie do treści art. 18 ust. 1 ustawy, nakazująca usunięcie uchybień w procesie przetwarzania danych osobowych.

Nie są natomiast istotne dla uznania podmiotu, jako administratora danych, kwestie dotyczące stosunków własnościowych. Natomiast z racji tego, że system informatyczny "P." jest własnością Ministerstwa Finansów, za pomocą którego skarżący wykonuje operacje na danych osobowych, określono termin 6 miesięcy na dostosowanie systemu do wymogów art. 36 ustawy i § 16 pkt 4 oraz § 17 rozporządzenia.

Nie zasługuje również na uwzględnienie powoływanie się we wniosku na brak zgody Ministra Finansów i w konsekwencji narażenie się na zarzut naruszenia obowiązków członka korpusu służby cywilnej. Ustawa o służbie cywilnej w art. 67 ust. 1 pkt 1 zobowiązuje członka korpusu służby cywilnej m.in. do przestrzegania Konstytucji RP i innych przepisów prawa. Zawiera ponadto przepisy określające sposób postępowania członka korpusu służby cywilnej w przypadku, gdy polecenie jest niezgodne z prawem.

Na zakończenie organ stwierdził, że GIODO nie jest uprawniony do ingerencji w procedury organizacyjne dotyczące funkcjonowania poszczególnych podmiotów. Administrator danych samodzielnie podejmuje decyzje w zakresie stosowania określonych środków organizacyjnych i technicznych zapewniających ochronę przetwarzania danych. Natomiast GIODO dokonuje kontroli w celu ustalenia, czy zastosowane środki spełniają wymogi określone przepisami prawa.

We wniosku z dnia [...] kwietnia 2004 r. o ponowne rozpatrzenie sprawy Naczelnik Urzędu Skarbowego w O. wniósł o uchylenie zaskarżonej decyzji oraz o stwierdzenie nieważności decyzji z dnia [...] sierpnia 2003 r. W uzasadnieniu - poza argumentami przytoczonymi już we wniosku o stwierdzenie nieważności decyzji - podał, że pojęcie systemu informatycznego, o którym mowa w art. 7a ustawy, jest pojęciem szerszym, aniżeli system komputerowy nazwany "P". Ponadto w definicji systemu informatycznego posłużono się zwrotem procedury przetwarzania informacji, które wcale nie muszą i nie oznaczają wyłącznie procedur informatycznych. W tej sytuacji i w oparciu o wyrok Naczelnego Sądu Administracyjnego z dnia 27 listopada 2003 r. sygn. akt II SA 232/02, nie znajduje uzasadnienia stanowisko organu narzucające skarżącemu przywrócenie stanu zgodnego z prawem. Bezpodstawne jest również twierdzenie organu, że prowadzone w urzędzie ewidencje nie spełniają wymogów § 16 i 17 rozporządzenia. Zawierają one bowiem:

1. nr kolejny pisma wchodzącego,

2. adresata, który jest odbiorcą,

3. datę sporządzenia pisma,

4. adnotację, kogo imiennie pismo dotyczy,

5. w skorowidzach znajdują się ponadto drugie egzemplarze pism wychodzących zawierające nie tylko dane osobowe - udostępniane, lecz całą treść pisma. Współpraca papierowych urządzeń ewidencyjnych z systemem "P." polega na korzystaniu z danych zawartych w systemie tworzenia informacji, gdyż nie ma innej możliwości ich uzyskania. Dane te są przenoszone na dokument papierowy, który w formie informacji wychodzi z urzędu do uprawnionych podmiotów.

Bezpodstawne zatem jest twierdzenie organu, że ewidencje nazywają się ewidencjami pism wychodzących, a nie na przykład ewidencjami udostępnianych danych osobowych, bowiem jest to tylko kwestia nazewnictwa. Ponadto żaden przepis nie zabrania umieszczania w tej ewidencji tylko pism o udostępnieniu danych osobowych i mogą w niej być również ewidencjonowane np. dane statystyczne.

Na podstawie przyjętych rozwiązań urząd - wbrew twierdzeniu organu - jest w stanie nie tylko udzielić kompletnej informacji osobie uprawnionej oraz innym uprawnionym podmiotom, lecz wręcz okazać całą treść przekazanej informacji. Ponadto ustawa nie definiuje, co uważa za moment udostępnienia informacji. Zdaniem urzędu, jest to przekazanie w celu zapoznania się z daną informacją. Zatem sam wydruk z systemu komputerowego, bez fizycznego przekazania, nie może być uznany za udostępnianie. Tym samym powyższe argumenty przemawiają za faktem, że zaskarżona decyzja została wydana bez podstawy prawnej lub z rażącym naruszeniem prawa.

Ponadto urząd podatkowy nie jest administratorem danych w rozumieniu art. 7 pkt 4 ustawy. Zgodnie bowiem z tym przepisem, aby spełnić te wymogi, należy łącznie:

- być organem, instytucją, jednostką organizacyjną, podmiotem lub osobą , lecz nie każdą, a tylko w rozumieniu art. 3 ust. 1 i 2;

- decydować o celach przetwarzania danych,

- decydować o środkach przetwarzania danych.

Natomiast żaden urząd skarbowy nie decyduje o celach i środkach przetwarzania danych i w tej sytuacji nie jest administratorem danych osobowych w zakresie korzystania z systemu "P.". Na dowód powyższego załączono stosowne pisma, z których w sposób jednoznaczny wynika, że to nie urząd decyduje o środkach przetwarzania danych. Fakt ten był doskonale znany Generalnemu Inspektorowi Ochrony Danych Osobowych, o czym świadczy pismo z dnia [...] grudnia 2003 r. skierowane do Ministra Finansów. Z jego treści w sposób jednoznaczny wynika, że decyzja z dnia [...] sierpnia 2003 r. była skierowana w tym zakresie, odnośnie zbiorów w systemie "P.", do adresata nie będącego stroną.

Ponadto, ze względu na wskazane już we wniosku zasady podległości służbowej, naczelnik urzędu skarbowego nie ma kompetencji nakazującej Ministrowi Finansów wykonanie powyższej decyzji. Nie ma też możliwości wprowadzenia w kierowanym przez siebie urzędzie innego niż "P." systemu informatycznego, ponieważ jest on jednolity dla całego kraju i nakazany do stosowania przez Ministra Finansów. Jedyne, co urząd mógł zrobić, to poinformować Ministra Finansów o warunkach stawianych przez GIODO.

Nieporozumieniem jest - zdaniem skarżącego - stanowisko organu co do stosunków własnościowych w odniesieniu do systemu informatycznego, bowiem i co już podniesiono we wniosku, wszelkie próby korekty systemu bez akceptacji Ministra Finansów rodzą sankcje karne w tym zakresie.

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] czerwca 2004 r. nr [...], mając za podstawę art. 138 § 1 pkt 1 i art. 158 § 11 w zw. z art. 156 § 1 pkt 2, 4 i 5 k.p.a., utrzymał w mocy zaskarżoną decyzję z dnia [...] kwietnia 2004 r. W obszernym uzasadnieniu zaś - poza argumentami przedstawionymi już w decyzji pierwszoinstancyjnej - podał, że nie dokonano mylnej wykładni definicji systemu informatycznego. Ponadto wskazał, że w prowadzonych rejestrach brak jest informacji o zakresie danych udostępnionych innym organom i nie wykazano, w jaki sposób rejestry miałyby współpracować z systemem "P.", co jest wymagane w definicji zawartej w art. 7 pkt 2a ustawy. Reasumując, przywrócenie stanu zgodnego z prawem możliwe było jedynie przez modyfikację systemu "P.". Tym bardziej, że przetwarzanie danych osobowych w sposób zautomatyzowany dotyczy przetwarzania danych przy użyciu systemu informatycznego. Natomiast system informatyczny to skomputeryzowana część systemu informacyjnego.

W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie, Naczelnik Urzędu Skarbowego w O. wniósł o uchylenie zaskarżonej decyzji oraz poprzedzającej ją decyzji, stwierdzenie nieważności decyzji z dnia [...] sierpnia 2003 r. lub jej uchylenie oraz o zasądzenie kosztów postępowania, zarzucając naruszenie przepisów art. 156 § 1 pkt 2, 4, 5 i 6 k.p.a., art. 7 pkt 2, 2a i 4 cytowanej już wyżej ustawy o danych osobowych, § 16 i 17 cytowanego już wyżej rozporządzenia Ministra Spraw Wewnętrznych i Administracji w sprawie określenia podstawowych warunków technicznych i organizacyjnych jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych oraz art. 107 § 1 i 3 k.p.a. W obszernym uzasadnieniu powołał się na argumenty podniesione już we wniosku o stwierdzenie nieważności decyzji, jak i we wniosku o ponowne rozpatrzenie sprawy. Jednocześnie dodał, że na podstawie ustawy z dnia 22 stycznia 2004 r. zmianie ustawy o ochronie danych osobowych oraz ustawy o wynagrodzeniu osób zajmujących kierownicze stanowiska państwowe (Dz. U. Nr 33, poz. 285) z dniem 1 maja 2004 r. utraciło moc rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 3 czerwca 1998 r. w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 80, poz. 521 ze zm.) i obecnie kwestia ta jest regulowana w rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024). Stąd też istnieje podstawa do uchylenia decyzji z dnia [...] sierpnia 2003 r., bowiem niewyeliminowanie jej z obrotu prawnego spowoduje sytuację, w której nakaz dotyczący systemu "P." dotyczy sytuacji prawnej za rządów starego rozporządzenia. Stąd też można w powyższej sprawie zastosować przepis art. 154 lub 162 § 1 k.p.a., bowiem decyzja owa jest - zdaniem skarżącego - bezprzedmiotowa. Ponadto dodał, że uzasadnienie faktyczne decyzji odnosi się do Urzędu Skarbowego W. Wskazuje na to znaczna część uzasadnienia, począwszy od akapitu na stronie 9 i do końca uzasadnienia. Jest to zatem przesłanka do uchylenia zaskarżonego rozstrzygnięcia.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie i wskazując na dotychczasowe ustalenia faktyczne oraz prawne dodał, że zaskarżona decyzja została wydana w okresie obowiązywania rozporządzenia wskazanego w podstawie prawnej decyzji i jego zmiana nie może mieć wpływu na treść decyzji. Natomiast omyłkowe wpisanie na stronie 9 wers 18 od góry słów "Naczelnik Urzędu Skarbowego W." w żaden sposób nie zmienia podjętego rozstrzygnięcia, bowiem całe uzasadnienie odnosi się do skarżącego.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269) sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania.

Skarga analizowana pod tym kątem podlega oddaleniu, bowiem zaskarżona decyzja jest zgodna z prawem. Ocenę zaś jej legalności oparto przede wszystkim na odpowiedzi na trzy podstawowe pytania, a mianowicie, czym jest pojęcie systemu informatycznego, co należy rozumieć pod pojęciem administratora danych oraz jaka decyzja jest decyzją niewykonalną. Pojęcie systemu informatycznego i zagadnienie niewykonalności decyzji ma znaczenie dla zgodnego z prawem określenia przedmiotu decyzji, zaś pojęcie administratora decyzji ma wpływ na legalność podmiotowego zakresu zaskarżonej decyzji. Zaznaczyć przy tym należy, że ocena zgodności z prawem zaskarżonej decyzji została dokonana z uwzględnieniem przesłanek stwierdzenia nieważności wymienionych w art. 156 § 1 k.p.a. z uwagi na fakt, że decyzja owa utrzymywała w mocy decyzję wydaną w postępowaniu nadzwyczajnym dotyczącym stwierdzenia nieważności.

Zgodnie z treścią art. 7 pkt 2a ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. z 2002 r. Dz. U. Nr 101, poz. 926) ilekroć w ustawie jest mowa o systemie informatycznym, należy przez to rozumieć zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narządzi programowych zastosowanych w celu przetwarzania. Zdaniem skarżącego na system ten składa się zarówno automatyczne przetwarzanie danych w systemie komputerowym, jak i ręczne (tradycyjne) przetwarzanie danych w kartotece, a definicja systemu informatycznego dopuszcza taki sposób i co miało miejsce w rozpoznawanej sprawie. W związku z tym nie doszło do naruszenia przepisów § 16 pkt 4 i § 17 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 3 czerwca 1998 r. w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 80, poz. 521 ze zm.). Na dowód powyższego powołał się na tezę zawartą w wyroku Naczelnego Sądu Administracyjnego z dnia 27 listopada 2003 r. sygn. akt II SA 232/02, według której definicja systemu informatycznego jest bardzo szeroka i nie można z niej eliminować procedur przetwarzania danych w innych formach, aniżeli elektroniczne, np. w formie ewidencji, skoroszytów.

W ocenie Sądu, na kanwie rozpoznawanej sprawy, pojęciu systemu informatycznego nie można nadać tak szerokiego znaczenia i w konsekwencji nie sposób przyjąć, że system informatyczny stosowany przez skarżącego spełniał wymogi stosowane w wyżej już cytowanym rozporządzeniu. Prawidłowość takiego toku rozumowania potwierdza zarówno wykładnia językowa, jak i systemowa oraz celowościowa.

Zgodnie z językowym znaczeniem termin "informatyczny" odnosi się do informatyki, a więc do techniki i metod przetwarzania informacji z zastosowaniem komputerów. Odróżnia się w związku z tym system informacyjny jako udzielający informacji lub objaśnień, a zatem odmienny od systemu informatycznego (vide: Mały Słownik Języka Polskiego, Warszawa 1996 r., s. 265).

Za takim też rozumowaniem przemawia wykładnia systemowa, ponieważ w art. 2 cytowanej już wyżej ustawy o ochronie danych osobowych wskazuje się, że ustawę tę stosuje się do przetwarzania danych osobowych w systemach informatycznych oraz w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych. Wniosek z tego, że ustawodawca wyraźnie odróżnia system informatyczny oraz inne systemy przetwarzania danych. Jak wskazuje się w literaturze ustawodawca traktuje w związku z tym odmienne przetwarzanie danych w systemach informatycznych, a odrębnie w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych (vide: J. Barta, R. Markiewicz - Ochrona danych osobowych, Komentarz, Zakamycze 2001 r. s. 260; A. Drozd - Zakres zakazu przetwarzania danych osobowych, PiP 2003 r. Nr 2, s. 44 - 45). Podobne stanowisko zajmuje A. Mednis, podkreślając, że system informatyczny oznacza zespół środków informatycznych połączonych w określony sposób, stanowiących odrębną, niezależną całość (vide: A. Mednis - Ustawa o ochronie danych osobowych, Komentarz, Warszawa 1999 r., s. 14). Za tego typu wykładnią przemawia ponadto dyrektywa 95/46EC Parlamentu Europejskiego i Rady Unii Europejskiej z dnia 24 października 1995 r. w sprawie ochrony osób w związku z przetwarzaniem danych osobowych oraz swobodnego przepływu takich danych (O Nr L281 z 23 listopada 1995 r. s. 31), która w art. 3 rozróżnia automatyczne przetwarzania danych oraz wykonywane nie za pomocą środków automatycznych. Wskazując na możliwość przetwarzania danych wykonywanych również - tylko w części - automatycznie, używa się wówczas dla takiego systemu nazwy systemu ewidencyjnego, a nie informatycznego.

Ponadto, jak to już wyżej zasygnalizowano, wykładnia celowościowa również przemawia za takim stanowiskiem. Należy w tym miejscu podkreślić, że powoływany przez skarżącego wyrok Naczelnego Sądu Administracyjnego odnosił się zarówno do innego stanu faktycznego, jak i do innego typu danych osobowych. W rozpoznawanej zaś sprawie elementami zbioru są "wrażliwe" dane zbierane przez organy podatkowe. Nie potrzeba szczególnej wyobraźni, żeby uznać je za istotne z punktu widzenia ochrony praw obywateli i to tym bardziej, że na podstawie art. 293 ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa (Dz. U. Nr 137, poz. 926 ze zm.) dane te są objęte tajemnicą skarbową. Na tym tle zatem ochrona ta nabiera szczególnego znaczenia wynikającego z cytowanego już wyżej rozporządzenia. Wzmacnia ją m.in. fakt, iż w samym systemie informatycznym powinno być każdorazowo odnotowane, kto zwracał się o udostępnienie danych o podatniku oraz o jakie informacje chodziło i kiedy zostały mu udzielone. Odnotowanie tego typu danych w odrębnej ewidencji, poza systemem informatycznym, nie zapewnia - w ocenie Sądu - prawidłowej ochrony powyższych danych i właściwej kontroli nad ich przetwarzaniem. Więcej, stwarza potencjalną możliwość ujawnienia danych bez odnotowania tego faktu.

W tym stanie rzeczy Sąd uznał, że użytkowany przez Urząd Skarbowy w O. system "P.", we wskazanych już w zaskarżonych decyzjach modułach, nie spełnia warunków cytowanego już wyżej rozporządzenia. W konsekwencji, nie zapewnia dostatecznej ochrony danych osobowych podatników przetwarzanych przez urząd.

Kolejnym, istotnym dla sprawy, rozstrzygnięciem jest pojęcie administratora danych osobowych, bowiem skarżący kwestionował pełnienie tej roli, konstatując, iż decyzja została skierowana do niewłaściwej strony.

Stosownie do treści art. 7 pkt 4 ustawy o ochronie danych osobowych administratorem takim jest organ, instytucje, jednostki organizacyjne, podmioty lub osoby, o których mowa w art. 3 ust. 1 i 2 ustawy, decydujące o celach i środkach przetwarzania danych.

W sprawie nie budzi wątpliwości fakt, że zbiór danych został zarejestrowany przez Urząd Skarbowy w O.. Bezspornym jest i to, że urząd był organem podatkowym w dacie wydawania decyzji z dnia [...] sierpnia 2003 r. i samodzielnie decydował o celach przetwarzania danych. Dopiero na podstawie ustawy z dnia 27 czerwca 2003 r. o utworzeniu Wojewódzkich Kolegiów Skarbowych oraz o zmianie niektórych ustaw regulujących zadania i kompetencje organów oraz organizację jednostek organizacyjnych podległych ministrowi właściwemu do spraw finansów publicznych (Dz. U. Nr 137, poz. 1302), funkcje tę przejął naczelnik urzędu skarbowego. Stad tez stroną postępowania o stwierdzenie nieważności był już Naczelnik Urzędu Skarbowego w O.. Do organów tych, zgodnie z art. 5 ust. 6 ustawy z dnia 21 czerwca 1996 r. o urzędach i izbach skarbowych (Dz. U. Nr 106, poz. 489 ze zm.), należało m.in. ustalenie lub określenie i pobór podatków oraz nieopodatkowanych należności budżetowych, jak i rejestrowanie podatników oraz przyjmowanie deklaracji podatkowych. Przetwarzali oni zatem dane osobowe, decydując o celach tego przetwarzania. W ocenie Sądu należało do nich również decydowanie o środkach przetwarzania. Zarejestrowali bowiem zbiory danych, zdając sobie sprawę z wiążących się z tym uprawnieniami i obowiązkami. Decydowali o udostępnieniu bądź odmowie udostępnienia danych. Ciążyły wreszcie na nich obowiązki z art. 36 ustawy , a nadto prowadzili ewidencje osób zatrudnionych przy ich przetwarzaniu na podstawie art. 39 ustawy o ochronie danych osobowych.

W sprawie nie budzi wątpliwości, wbrew stanowisku skarżącego, możliwość decydowania przez niego o środkach organizacyjnych. Jednak zgodnie z art. 41 pkt 5 ustawy o ochronie danych osobowych wyróżnia się środki techniczne oraz organizacyjne i istniały wątpliwości odnośnie środków technicznych w tym zakresie, przynajmniej w tej części, jaką stanowiło zastosowanie określonego systemu informatycznego "P.". Skarżący podniósł bowiem, że system ten został mu narzucony w drodze polecenie służbowego. Należy w związku z tym wskazać, że żaden przepis powszechnie obowiązującego prawa nie nakazywał stosowania w urzędzie określonego systemu informatycznego, ani też nie zakazywał stosowania innego systemu. Jeżeli zatem system "P." nie odpowiadał wymogom rozporządzenia stanowiącego akt powszechnie obowiązujący, to jego zastosowanie stanowiło granice posłuszeństwa wobec takiego polecenia. Zgodnie z art. 18 ust. 2 ustawy z dnia 16 września 1982 r. o pracownikach urzędów państwowych (tekst jedn. z 2001 r. Dz. U. Nr 86, poz. 953 ze zm.) jeżeli polecenie służbowe jest m.in. niezgodne z prawem, urzędnik powinien przedstawić swoje zastrzeżenia przełożonemu, a w razie pisemnego potwierdzenia powinien je wykonać, informując o tym organ nadrzędny. Podobną regulację zawiera art. 68 ust. 2 i 3 ustawy z dnia 18 grudnia 1998 r. o służbie cywilnej (Dz. U. z 1999 r. Nr 49, poz. 483 ze zm.). Wskazać jednocześnie należy, że zgodnie z ustawą o urzędach i izbach skarbowych system organów podatkowych oparty jest na decentralizacji, co w innym świetle stawia możliwość wydawania tego typu poleceń. Minister właściwy do spraw finansów publicznych bowiem sprawuje na podstawie art. 14 nadzór w sprawach podatkowych.

Wobec powyższego zasadne jest przyjęcie, że urząd miał możliwości zarówno prawne, jak i faktyczne, decydowania o środkach przetwarzania danych. Nie jest to bowiem czynność prawna, lecz faktyczna, z której wypływają konsekwencje prawne. Do uznania podmiotu za administratora danych potrzebna jest zawsze analiza konkretnych przepisów prawnych. Dlatego też o tym, czy ktoś jest administratorem danych, decydują przede wszystkim rodzaj i charakter nadanych mu przez prawo kompetencji z obszaru spraw publicznych oraz wyznaczone ustawowo zadania (vide: R. Hauser - Przetwarzanie danych osobowych, cel i środki, Rzeczpospolita z 6 kwietnia 1999 r.). Wskazane powyżej ustawowe kompetencje skarżącego wskazują, że spełniał on rolę administratora danych w rozumieniu art. 7 ust. 4 ustawy o ochronie danych osobowych. Co prawda minister był dostawcą systemu informatycznego, lecz nie miał wpływu na treść i cel przetwarzania konkretnych danych. Stąd też nie mógł być traktowany jako administrator zbioru podatników z zakresu działania urzędu (por. J. Barda, R. Markiewicz - Ochrona... s. 307).

Dlatego też można przyjąć, że zagadnienie autorstwa systemu informatycznego nie ma wpływu na obowiązki administratora danych wypływające z ustawy. Autorstwo systemu dotyczy bowiem uprawnień i obowiązków z zakresu prawa cywilnego, zaś obowiązki administratora wiążą się z prawem administracyjnym bądź ewentualnie karnym.

Należy również podkreślić, że przy zastosowanej przez skarżącego koncepcji określony zbiór danych nie mógłby być ze wskazanych powyżej powodów administrowany przez Ministra Finansów. Podnosił to zresztą wcześniej w swoich decyzjach Generalny Inspektor Ochrony Danych Osobowych, czego konsekwencją było zarejestrowanie zbioru danych przez właściwe urzędy skarbowe. Nie mógłby być według tej koncepcji administrowany także przez urzędy skarbowe, co mogłoby doprowadzić do sytuacji, że bardzo ważne i istotne zbiory danych osobowych pozbawione zostałyby ochrony prawnej i wyłączone z zakresu stosowania ustawy.

Kolejną kwestią podniesioną przez skarżącego jest niewykonalność decyzji. Urząd wskazywał bowiem, że nie jest właścicielem systemu "P." i w konsekwencji nie jest władny dokonywać w nim jakichkolwiek zmian. W związku z tym decyzja jest nieważna z powodu wady, o której mowa w art. 156 § 1 pkt 4 k.p.a.

Dla wyjaśnienia tej kwestii należy podkreślić, że przesłanka niewykonalności decyzji może mieć charakter faktyczny i prawny. W pierwszym wypadku oznacza ona, że nie ma możliwości technicznych do usunięcia przeszkody. W drugim natomiast, że istnieją prawne nakazy lub zakazy, które stwarzają nieusuwalną przeszkodę w wykonaniu praw i obowiązków nałożonych decyzją. Poza tym niewykonalność ową powinny charakteryzować dwie cechy. Mianowicie, wspomniane powyżej sytuacje istniały już w dacie wydania decyzji i są nieusuwalne przez cały czas oraz ich istnienie powinno być udowodnione (B. Adamiak,J. Borkowski - Kodeks postępowania administracyjnego, Komentarz, Warszawa 2000 r. s. 668-669).

W rozpoznawanej zaś sprawie Sąd nie dopatrzył się niewykonalności faktycznej, bowiem organ nie wykazał, żeby system "P." nie mógł podlegać modyfikacji. W judykaturze wielokrotnie podkreślano, że nie stanowią przeszkody w wykonalności decyzji ani względy ekonomiczne, ani też finansowe. Stąd też nie ma znaczenia dla sprawy fakt, że Ministerstwo Finansów nie przewidziało pozycji dotyczącej wydatków na system komputerowy (por. wyrok Naczelnego Sądu Administracyjnego z dnia 20 grudnia 1984 r. sygn. akt I SA 804/84 - ONSA z 1984 r., Nr 2, poz. 123). W przypadku niewykonalności prawnej, o czym już wspomniano wyżej, muszą istnieć prawne nakazy lub zakazy stwarzające nieusuwalną przeszkodę w wykonaniu decyzji. Takim powodem może być to, że jej realizacja mogłaby nastąpić tylko w wykonaniu czynu niedozwolonego w rozumieniu prawa cywilnego. Taka zaś sytuacja nie miała miejsca w rozpoznawanej sprawie.

O ile bowiem w przypadku ustawy o ochronie danych osobowych wchodzi w grę podmiotowość administracyjnoprawna zgodnie z art. 28 i 29 k.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych, o tyle w przypadku prawa cywilnego w grę wchodzi osobowość cywilnoprawna. W rozumieniu prawa cywilnego zarówno urząd skarbowy, jak i Minister Finansów, reprezentują szerszą strukturę, jaką jest Skarb Państwa. Zgodnie z art. 33 Kodeksu cywilnego osobami prawnym są bowiem Skarb Państwa i jednostki organizacyjne, którym przepisy szczególne przyznają osobowość prawną.

Nie można zatem mówić o czynie niedozwolonym jako popełnionym przez wewnętrzną część jednostki w stosunku do siebie samej. Stąd też wykonanie zmian przez urząd skarbowy w systemie "P.", którego autorem jest Ministerstwo Finansów, nie może stanowić czynu niedozwolonego w rozumieniu prawa cywilnego. Reasumując, nie można zatem uznać, że decyzja nakładająca taki obowiązek jest niewykonalna prawnie.

Z uwagi na odmiennie ukształtowaną podmiotowość prawa administracyjnego i prawa cywilnego zdarzyć się może, że skutki decyzji będą oddziaływać pośrednio na podmiot, który nie był stroną postępowania. Taka jednak sytuacja nie może być ujmowana w ramach przesłanki niewykonalności decyzji, bowiem niewykonalne byłyby np. wszystkie decyzje o odszkodowanie, ponieważ podmiot zobowiązany jako strona postępowania administracyjnego, np. naczelnik urzędu skarbowego, byłby w takim samym stopniu uzależniony od środków finansowych ministra i znajdowałby się w podobnym systemie organizacyjnym.

Nie ma przy tym znaczenia fakt, że w rozpoznawanej sprawie w grę wchodziły prawa autorskie do systemu. Ich autorem i właścicielem był bowiem pracodawca - Ministerstwo Finansów reprezentujące Skarb Państwa.

Zauważyć zresztą należy, że jest to konsekwencja przekazywania przez jednostkę nadrzędną jednostce podległej określonych środków przekazu w formie decyzji stanowiącej w istocie polecenie służbowe. W przypadku struktur niezależnych od siebie, kiedy takie przekazanie następuje w drodze umowy, jej strony dysponują środkami cywilnoprawnymi, które pozwalają m.in. na zmianę umowy. Do tego typu umów nie dochodzi w przypadku struktur niestanowiacych w świetle prawa cywilnego odrębnych podmiotów prawa. Stąd też przekazujący w drodze polecenia, np. obowiązek stosowania określonego systemu informatycznego, musi się liczyć z konsekwencjami, które będą wypływać z faktu tego przekazania w związku z istnieniem odrębnej podmiotowości administracyjnoprawnej. Z tego punku widzenia Generalny Inspektor Ochrony Danych Osobowych kierował do Ministra Finansów pismo z dnia [...] grudnia 2003 r.

Co prawda w świetle art. 12 ust. 1 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (tekst jedn. z 2000 r. Dz. U. Nr 80, poz. 904) pracodawca nabywa jedynie autorskie prawa majątkowe, a istnieją poza tym prawa osobiste, w tym nienaruszalność treści i formy utworu (art. 16 pkt 3), to jednak podlegają one ograniczeniu w odniesieniu np. do systemu komputerowego (vide: J. Barta, R. Markiewicz - Nowy nośnik informacji-nowe problemy, Rzeczpospolita 1997 r. 11/18 t. 2).

Jeśli chodzi zaś o kwestię wygaśnięcia w części decyzji w związku ze zmianą stanu prawnego i w konsekwencji z jej bezprzedmiotowością, to nic nie stoi na przeszkodzie, żeby skarżący zwrócił się z wnioskiem do Generalnego Inspektora Ochrony Danych Osobowych o zastosowanie trybu przewidzianego w art. 162 k.p.a. Z kolei zarzut o skierowaniu decyzji do niewłaściwego organu, zważywszy na część treści uzasadnienia decyzji, nie zasługuje na uwzględnienie, jeśli się zważy na fakt, iż z sentencji decyzji i z pozostałej części uzasadnienia w sposób jednoznaczny wynika o skierowaniu jej do Urzędu Skarbowego w O..

W tym stanie rzeczy, na mocy art. 151 w zw. z art. 132 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), należało orzec jak w sentencji wyroku.