I OSK 1974/10

Naczelny Sąd Administracyjny w składzie: Przewodniczący sędzia NSA Marek Stojanowski, Sędzia NSA Anna Łukaszewska-Macioch (spr.), Sędzia del. WSA Marian Wolanin, Protokolant starszy sekretarz sądowy Anna Krakowiecka, po rozpoznaniu w dniu 10 listopada 2011 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej B. S.-H. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 13 lipca 2010 r. sygn. akt II SA/Wa 444/10 w sprawie ze skargi B. S.-H. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia (...) stycznia 2010 r. nr (...) w przedmiocie umorzenia postępowania w sprawie przetwarzania danych osobowych oddala skargę kasacyjną. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 13 lipca 2010r. sygn. akt II SA/Wa 444/10 oddalił skargę B. S. – H. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 18 stycznia 2010 r. nr DOLiS/DEC-55/10/2085,2088 o umorzeniu postępowania w sprawie przetwarzania danych osobowych. Wyrok zapadł w następującym stanie faktycznym i prawnym: Do Generalnego Inspektora Ochrony Danych Osobowych (dalej: "GIODO") wpłynęła skarga B. S. - H. z dnia 23 lutego 2009 r. na przetwarzanie jej danych osobowych przez M. M. prowadzącą działalność gospodarczą pod firmą K. z siedzibą w Warszawie. W piśmie tym skarżąca wskazała, że w grudniu 2008 r. posługując się wyszukiwarką Google ustaliła, iż po wpisaniu jej imienia i nazwiska jako wynik wyszukiwania pojawia się strona internetowa K., na której widnieje jej imię i nazwisko oraz adres e-mail, a także informacje o tym, kiedy po raz pierwszy zalogowała się na wskazanej stronie internetowej oraz dokonała pierwszego zakupu. Na stronie tej oprócz jej danych znajdowały się również dane osobowe innych klientów. Wobec powyższego wniosła o przeprowadzenie kontroli zgodności przetwarzania danych osobowych z przepisami ustawy o ochronie danych osobowych, w szczególności ich bezprawnego, publicznego udostępniania przez okres ponad 300 dni, ich bezprawnego wykorzystania do celu, do którego nie były przeznaczone, oraz dalszego ich bezprawnego wykorzystywania pomimo wyraźnego żądania ich usunięcia. W toku przeprowadzonego postępowania GIODO ustalił, iż w marcu oraz listopadzie 2008 r. B. S. – H. dokonała zakupu w sklepie internetowym K. W związku z uzyskaniem informacji, że po wpisaniu jej imienia i nazwiska jako wynik wyszukiwania pojawia się strona internetowa K., na której widnieją jej dane osobowe, pismem z dnia 21 stycznia 2009 r. zwróciła się do K. o m.in. usunięcie jej danych osobowych ze zbiorów sklepu. Odpowiadając na wezwanie GIODO do wyjaśnienia tej sprawy M. M. prowadząca sklep internetowy K. oświadczyła, że strona internetowa sklepu została w dniu 28 lutego 2009 r. zastąpiona stroną w nowej formie technicznej, zaś istniejące dotychczas forum dyskusyjne, na którym znajdowały się ograniczone informacje o zarejestrowanych użytkownikach, zostało zlikwidowane. Podkreśliła, że obecnie sklep K. oraz jego strona internetowa nie posiadają żadnych danych osobowych B. S. – H., a zatem dane te nie są również przetwarzane przez wskazane podmioty. Wobec zebranego materiału dowodowego GIODO uznając, że nie istnieje już stan naruszenia przepisów o ochronie danych osobowych, decyzją z dnia 9 września 2009 r. nr DOLiS/DEC-891/10/32784,32785, na podstawie art. 105 § 1 K.p.a. w zw. z art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), umorzył postępowanie w sprawie. W dniu 22 września 2009 r. skarżąca wniosła o ponowne rozpatrzenie sprawy, zarzucając organowi rażące naruszenie art. 105 § 1 K.p.a. przez jego niesłuszne zastosowanie i umorzenie postępowania jako bezprzedmiotowego, podczas gdy prawidłowa ocena zgromadzonego w sprawie materiału dowodowego prowadzi do wniosku, że M. M. w dalszym ciągu narusza art. 24 ust. 1 pkt 1 ustawy o ochronie danych osobowych (obowiązek administratora danych podania osobie, której dane przetwarza, adresu swojej siedziby i pełnej nazwy), co oznacza, że organ winien zastosować w niniejszej sprawie art. 18 ust. 1 pkt 1 tej ustawy i nakazać w drodze decyzji usunięcie tego uchybienia. Ponadto zarzuciła organowi naruszenie art. 7, art. 77 i art. 107 § 3 K.p.a. oraz art. 12 ustawy o ochronie danych osobowych przez zaniechanie rzetelnej kontroli oraz zebrania z urzędu i rozpatrzenia materiału dowodowego, a także niewskazanie w uzasadnieniu decyzji, jakie fakty organ uznał za udowodnione lub nieudowodnione, na jakich dowodach się oparł, wydając swoje rozstrzygnięcie, a także czy w sprawie doszło do naruszenia przepisów o ochronie danych osobowych, jakiego było ono rodzaju, w jakich okolicznościach nastąpiło, czy i kiedy uchybienia zostały usunięte. Wnioskodawczyni zarzuciła, iż Generalny Inspektor Ochrony Danych Osobowych niesłusznie ograniczył postępowanie dowodowe wyłącznie do wyjaśnień pisemnych M. M. oraz uznał je za wiarygodne, przekonujące i wyczerpujące, pominął natomiast dowody przedstawione przez skarżącą. Przedstawiła liczne wnioski dowodowe na potwierdzenie wskazywanych przez siebie okoliczności. Po ponownym rozpatrzeniu sprawy GIODO decyzją z 18 stycznia 2010 r. nr DOLiS/DEC-55/10/2085,2088 utrzymał w mocy własną decyzję z dnia 9 września 2009 r. W uzasadnieniu decyzji ostatecznej organ podtrzymał argumentację przedstawioną w uprzednio wydanej decyzji. Wskazał, iż w związku z okolicznościami podniesionymi przez skarżącą ustalono, że aktualnie po wpisaniu imienia i nazwiska skarżącej do wyszukiwarki Google, jako wynik wyszukiwania nie widnieją jej dane osobowe na stronie internetowej sklepu K. Organ stwierdził, że materiał dowodowy w sprawie został zebrany i rozpatrzony w sposób wyczerpujący, z uwzględnieniem wszelkich dokumentów i wyjaśnień złożonych przez skarżącą. Odnosząc się do zarzutu skarżącej dotyczącego naruszenia art. 24 ust. 1 pkt 1 ustawy o ochronie danych osobowych, polegającego na nieinformowaniu przez M. M. osób, których dane osobowe zbiera, o swoim miejscu zamieszkania oraz imieniu i nazwisku GIODO wskazał, że przedmiotem postępowania ze skargi osoby fizycznej mogą być wyłącznie kwestie przetwarzania danych osobowych tej osoby, a nie osób trzecich. Wobec tego, że na dzień wydania zaskarżonej decyzji M. M. nie przetwarzała danych osobowych skarżącej, brak było podstaw do merytorycznego rozstrzygnięcia sprawy, bowiem stan naruszenia nie istniał. Na decyzję ostateczną B. S. – H. wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której żądała jej uchylenia oraz zasądzenia kosztów postępowania. Zaskarżonej decyzji zarzuciła naruszenie art. 7, art. 77 § 1 i 3 K.p.a. przez zaniechanie rzetelnej kontroli wykonywania przez M. M. przepisów ustawy o ochronie danych osobowych, zaniechanie wyczerpującego rozpatrzenia materiału dowodowego w celu ustalenia prawdy obiektywnej oraz wyjaśnienia rodzajów i okoliczności naruszeń cyt. ustawy, błędną wykładnię i niezastosowanie art. 12 i art. 18 ust. 1 ustawy o ochronie danych osobowych przez uznanie, że przedmiotem postępowania ze skargi osoby fizycznej mogą być wyłącznie kwestie przetwarzania jej danych osobowych, a w konsekwencji nie nakazanie administratorowi danych – M. M. informowania o miejscu swojego zamieszkania, swoim imieniu i nazwisku tych osób, od których dane osobowe zbiera i bezpodstawne umorzenie postępowania administracyjnego. Skarżąca zarzuciła także naruszenie art. 107 § 3 K.p.a. przez sporządzenie uzasadnienia niespełniającego wymogów zawartych w tym przepisie. W uzasadnieniu skarżąca powtórzyła argumenty przedstawione we wniosku o ponowne rozpatrzenie sprawy. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. W piśmie z dnia 8 lipca 2010 r. uczestniczka postępowania M. M. wniosła o oddalenie skargi, gdyż jej zdaniem nie można uznać, że zaskarżona decyzja wydana została z naruszeniem wskazywanych przez skarżącą przepisów postępowania oraz przepisów ustawy o ochronie danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie uznał, że skarga nie zasługuje na uwzględnienie. W ocenie Sądu, w świetle treści art. 18 ust. 1 ustawy o ochronie danych osobowych należy przyjąć, że aby mogło dojść do wydania decyzji merytorycznej na podstawie wskazanego przepisu, dane osobowe osoby zainteresowanej, która złożyła do GIODO wniosek dotyczący przetwarzania jej danych osobowych, muszą znajdować się w posiadaniu podmiotu, którego wniosek ten dotyczy. Decyzja nakazująca przywrócenie stanu zgodnego z prawem nie może bowiem zostać wydana w sytuacji, gdy organ stwierdzi dokonanie w przeszłości naruszeń ustawy o ochronie danych osobowych, jeśli dane te zostały następnie usunięte. Jak wynikało z wyjaśnień M. M. prowadzącej działalność gospodarczą pod firmą K. z siedzibą w Warszawie, dane osobowe B. S. – H. w dniu wydania zaskarżonej decyzji nie znajdowały się w posiadaniu sklepu K.; nie były również umieszczone na stronie internetowej tego sklepu. Analiza zgromadzonego przez organ materiału dowodowego, w tym argumentów i zarzutów podnoszonych przez skarżącą, nie pozwala zakwestionować udzielonych w tym zakresie wyjaśnień. A zatem w sytuacji, gdy w niniejszej sprawie dane osobowe skarżącej zostały usunięte, należało uznać, że zasadne było stanowisko GIODO o bezprzedmiotowości postępowania, a co za tym idzie decyzja o umorzeniu postępowania podjęta została zgodnie z prawem. Zdaniem Sądu, nietrafny jest zarzut skarżącej, że GIODO niesłusznie zawęził przedmiot postępowania wyłącznie do jej danych osobowych. Przedmiot postępowania wszczętego nie z urzędu, lecz na wniosek osoby zainteresowanej, jest ograniczony wyłącznie do przetwarzania jej danych osobowych i to w zakresie wskazanym we wniosku. Organ nie jest w tym przypadku uprawniony do wykraczania poza zakreślone w ten sposób ramy postępowania administracyjnego. Co do pozostałych zarzutów Sąd uznał, iż również nie zasługują one na uwzględnienie. W przeprowadzonym postępowaniu administracyjnym organ nie naruszył bowiem art. 7 oraz art. 77 K.p.a., gdyż stosownie do dyspozycji tego przepisu podjął wszelkie kroki niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. W ocenie Sądu, uzasadnienie zaskarżonej decyzji spełnia wymogi, o których mowa w art. 107 § 3 K.p.a. Organ odniósł się do wniosków i zarzutów skarżącej oraz dokonał właściwej analizy całości sprawy i wydał prawidłowe rozstrzygnięcie. Od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie B. S. – H. wniosła skargę kasacyjną. Wyrok Sądu pierwszej instancji zaskarżyła w całości, zarzucając naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, a mianowicie art. 145 § 1 pkt 2 w zw. z art. 151 P.p.s.a. poprzez oddalenie skargi przez Wojewódzki Sąd Administracyjny w Warszawie, podczas gdy – zdaniem skarżącej - zaskarżona decyzja została wydana z rażącym naruszeniem prawa uzasadniającym stwierdzenie jej nieważności, tj. z naruszeniem art. 7, art. 77 § 1 i art. 3 K.p.a. w zw. z art. 12 i art. 18 ustawy o ochronie danych osobowych przez zaniechanie z urzędu rzetelnej kontroli wykonywania przez M. M. przepisów ustawy o ochronie danych osobowych, wyczerpującego zebrania i rozpatrzenia materiału dowodowego w celu ustalenia prawdy obiektywnej, w tym zaniechanie przeprowadzenia oględzin systemu informatycznego wykorzystywanego do przetwarzania danych osobowych w celu stwierdzenia, czy M. M. przetwarza (przechowuje) dane osobowe skarżącej oraz wyjaśnienia rodzajów i okoliczności naruszeń przepisów ustawy wskazanych w jej wniosku, a nadto poprzez niepełną, nierzetelną i nielogiczną ocenę dowodów, polegającą na nieprawidłowym uznaniu, że dane osobowe skarżącej nie były przetwarzane w systemie informatycznym po zażądaniu ich usunięcia i na przydaniu waloru wiarygodności wyjaśnieniom M. M., które stoją w sprzeczności z informacjami i innymi dowodami zebranymi w postępowaniu administracyjnym, a nadto przez niezasadne umorzenie postępowania administracyjnego na podstawie art. 105 § 1 K.p.a. i nie nakazanie w drodze decyzji administracyjnej "usunięcia naruszenia przez przedsiębiorcę M. M. art. 24 ust. 1 pkt 1 ustawy o ochronie danych osobowych polegającego na nieinformowaniu na stronie internetowej osób, od których dane osobowe zbiera w związku ze świadczeniem usług drogą elektroniczną, o swojej firmie, czyli o swoim imieniu i nazwisku oraz adresie zamieszkania". Wniesiono o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania oraz o zwrot kosztów sądowych. Zdaniem skarżącej, GIODO dokonał błędnych ustaleń faktycznych dotyczących przetwarzania jej danych osobowych po zażądaniu przez nią ich usunięcia w lutym 2009 r., wskutek nie zebrania w wystarczającym zakresie dowodów z urzędu. Zaniechał w szczególności oględzin systemu informatycznego stosowanego przez M. M. do przetwarzania danych osobowych klientów w związku ze świadczeniem usług drogą elektroniczną w sytuacji, gdy było to nieodzowne w związku, z przedstawieniem przez skarżącą dowodu na to, że po otrzymaniu żądania usunięcia jej danych osobowych ze zbioru M. M. - pomimo uprzednich zapewnień o usunięciu tych danych ze zbioru - dwukrotnie w kwietniu i maju 2009 r. wysyłała za pośrednictwem własnego systemu informatycznego niezamówioną informację handlową drogą e-mail adresowaną do B. S.-H. imiennie i na jej adres poczty elektronicznej. Fakt ten został potwierdzony przez Sąd Rejonowy dla Wrocławia-Krzyki we Wrocławiu w wyroku z dnia 14 października 2010 r. wydanym w sprawie o sygn. akt V W 252/10. W tej sytuacji, bez przeprowadzenia przez GIODO dowodu z oględzin zbiorów danych osobowych gromadzonych w formie elektronicznej, nieuzasadnionym było ustalenie, że na dzień decyzji M. M. danych osobowych skarżącej nie przetwarzała. Nieracjonalną i sprzeczną z zasadami doświadczenia życiowego jest więc dokonana w oparciu o wyjaśnienia M. M. konstatacja, że przesłanie tej korespondencji było wyłącznie błędem systemu informatycznego, albowiem logicznie rzecz oceniając, nie mogłoby dojść do przypadkowego przesłania korespondencji elektronicznej, gdyby M. M. rzeczywiście na żądanie skarżącej zaprzestała przetwarzania danych osobowych i usunęła je z bazy danych systemu informatycznego. Zdaniem skarżącej, sprzeczne z wykładnią legalną art. 7 pkt 2 ustawy o ochronie danych osobowych jest stwierdzenie GIODO, że od 4 lutego 2009 r. dane osobowe skarżącej nie były przetwarzane przez sklep internetowy w kwestionowany przez skarżącą sposób, skoro samo przechowywanie przez M. M. danych osobowych po zażądaniu ich usunięcia było ich (bezprawnym) dalszym przetwarzaniem. Rażącym naruszeniem prawa było, zdaniem wnoszącej skargę kasacyjną , zaniechanie przez GIODO wydania na podstawie art. 18 ustawy o ochronie danych osobowych decyzji nakazującej M. M. usunięcia uchybienia naruszającego art. 24 ust. 1 ustawy o ochronie danych osobowych, polegającego na nieinformowaniu na stronie internetowej osób, od których dane osobowe zbiera w związku ze świadczeniem usług drogą elektroniczną, o swojej firmie, czyli o swoim imieniu i nazwisku oraz adresie zamieszkania. Powyższe naruszenie pozostaje w związku z nieprawidłowym założeniem GIODO o ograniczeniu przedmiotu postępowania administracyjnego wywołanego wniesieniem skargi do zbadania naruszenia przepisów ustawy o ochronie danych osobowych wyłącznie w odniesieniu do osoby skarżącej, a to ze względu na wszczęcie postępowania na jej wniosek. Takie zawężenie kognicji organu administrującego stoi w rażącej sprzeczności z zasadą praworządności, z obowiązkiem ustalania prawdy obiektywnej i działania z urzędu dla wszechstronnego wyjaśnienia okoliczności sprawy. Jest to niezgodne z zadaniami nałożonymi na organ przepisami art. 12 pkt 2 i 18 ustawy o ochronie danych osobowych, które nakazują (z urzędu lub na wniosek) zbadanie wykonywania przez administratora danych przepisów ustawy (w tym wypadku art. 24 ust. 1 ustawy o ochronie danych osobowych) w ogóle i nakazanie przywrócenia stanu zgodnego z prawem. W odpowiedzi na skargę kasacyjną GIODO wniósł o jej oddalenie z powodu bezzasadności podniesionych w niej zarzutów. Naczelny Sąd Administracyjny zważył, co następuje: Skarga kasacyjna nie posiada usprawiedliwionych podstaw. Należy podkreślić, że zasadą w orzekaniu przez sąd kasacyjny jest ograniczenie kognicji wyłącznie do granic zakreślonych podstawami skargi kasacyjnej. Zgodnie bowiem z art. 183 § 1 P.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej; z urzędu bierze pod rozwagę jedynie nieważność postępowania, której przesłanki określa § 2 art. 183. Wobec tego, że w rozpoznawanej sprawie nie zachodzi żadna z przesłanek nieważności, Naczelny Sąd Administracyjny oceniał wyłącznie zarzuty podniesione w skardze kasacyjnej i w rezultacie tej oceny stwierdził, że są one niezasadne. Skarga kasacyjna B. S.-H. oparta została na zarzucie naruszenia przez Wojewódzki Sąd Administracyjny w Warszawie art. 145 § 1 pkt 2 w zw. z art. 151 P.p.s.a. wskutek niedostrzeżenia przez Sąd rażących naruszeń prawa przy wydaniu zaskarżonej decyzji. Rażące naruszenie prawa, zdaniem skarżącej, dotyczy art. 7 oraz art. 77 § 1 i 3 K.p.a., w zw. z art. 12 i art. 18 ustawy o ochronie danych osobowych i polegało na zaniechaniu przez GIODO przeprowadzenia z urzędu kontroli wykonywania ustawy o ochronie danych osobowych, zebrania w sposób wyczerpujący materiału dowodowego, a także na wadliwej ocenie zgromadzonych przez organ dowodów, skutkiem czego było niezasadne – jak twierdzi skarżąca – umorzenie postępowania przez ten organ. Odnosząc się do tak skonstruowanej podstawy skargi kasacyjnej, tj. w sytuacji, gdy skarga kasacyjna zarzuca wyrokowi naruszenie art. 145 § 1 pkt 2 P.p.s.a. w powiązaniu z przepisami prawa, które - według strony skarżącej kasacyjnie - zostały rażąco naruszone zaskarżoną decyzją, należy w pierwszej kolejności ocenić, czy rzeczywiście miały miejsce wytknięte w skardze kasacyjnej rażące naruszenia przepisów prawa, których Sąd pierwszej instancji nie dostrzegł w trakcie kontroli zaskarżonej decyzji. Od ewentualnego potwierdzenia takich naruszeń prawa zależeć będzie dopiero ustalenie, czy wskutek ich niedostrzeżenia przez Sąd pierwszej instancji doszło do uchybienia przepisowi art. 145 § 1 pkt 2 P.p.s.a. W ocenie NSA, nie ma uzasadnionych podstaw do uznania, że zaskarżona decyzja GIODO umarzająca postępowanie administracyjne wszczęte skargą B. S. – H. z 23 lutego 2009 r. rażąco narusza wskazane w skardze kasacyjnej przepisy prawa. Jeśli chodzi o podniesiony w skardze kasacyjnej zarzut rażącego naruszenia przez GIODO zasad postępowania administracyjnego (art. 7 i art. 77 § 1 K.p.a.), należy podkreślić, że zarówno w judykaturze jak i w doktrynie prawa procesowego administracyjnego przyjęto, iż wady nieważności decyzji administracyjnej wymienione w art. 156 § 1 K.p.a. mają charakter materialnoprawny i tkwią w samej decyzji. Nie są to wady o charakterze proceduralnym, gdyż takie wady są usuwane w trybie wznowienia postępowania. Wady postępowania mogą być źródłem wadliwości decyzji, ale ostatecznej weryfikacji podlega to przy ocenie decyzji pod kątem wad nieważności z art. 156 § 1 K.p.a., ponieważ w trybie określonym w art. 156 i nast. K.p.a. ocenie podlega sama decyzja (B. Adamiak, J. Borkowski Kodeks postępowania administracyjnego – Komentarz Wydawnictwo C. H. Beck, 9 wydanie s. 737). W przypadku wady rażącego naruszenia prawa wadliwość decyzji sprowadza się do oczywistej sprzeczności treści decyzji z jednoznacznie brzmiącym przepisem prawa obowiązującego w dniu jej wydania. Takiej wadliwości zaskarżonej decyzji nie można przypisać. W szczególności nie zasługuje na akceptację pogląd skarżącej kasacyjnie, że wydana przez GIODO decyzja umarzająca postępowanie administracyjne na podstawie art. 105 § 1 K.p.a., rażąco naruszała zasady postępowania administracyjnego określone w art. 7, 77 § 1 i 3 tego kodeksu. Pogwałcenie ogólnych zasad postępowania (art. 7, 77 § 1 K.p.a.) ma charakter rażącego naruszenia prawa wtedy, gdy jest to oczywiste i niewątpliwe, kiedy nie budzi wątpliwości, że nie zastosowano ich w ogóle w trakcie prowadzonego postępowania (por. wyrok NSA z dnia 25 listopada 2002 r. sygn. akt III SA 2643/01 (Lex nr 79735). Należy zgodzić się z oceną Sądu pierwszej instancji, że w przeprowadzonym postępowaniu administracyjnym organ nie naruszył art. 7 oraz art. 77 § 1 K.p.a., gdyż podjął działania niezbędne do dokładnego wyjaśnienia sprawy. Zarzut braku rzetelnej kontroli przez GIODO wykonywania przez administratora przepisów ustawy o ochronie danych osobowych, w tym przypadku jest zbyt daleko idący. Chybione jest twierdzenie strony skarżącej, że GIODO przed wydaniem decyzji obowiązany był przeprowadzić dowód z oględzin systemu informatycznego stosowanego przez M. M. do przetwarzania danych osobowych klientów sklepu K. w sytuacji, gdy - pomimo uprzednich zapewnień o usunięciu tych danych ze zbioru - dwukrotnie w kwietniu i maju 2009 r. przetwarzała ona dane osobowe skarżącej, co zostało potwierdzone w wyroku Sądu Rejonowego dla Wrocławia-Krzyki z 14 października 2010 r. sygn. akt V W 252/10. Jak zasadnie przyjął Wojewódzki Sąd Administracyjny w Warszawie, analiza zgromadzonego przez organ materiału dowodowego, w tym argumentów i zarzutów podnoszonych przez skarżącą, nie pozwala na stwierdzenie, iż w dniu wydania decyzji przez GIODO (pierwsza: 9 września 2009 r., druga: 18 stycznia 2010 r.) dane osobowe skarżącej znajdowały się w posiadaniu sklepu K.. Dane te, jak sprawdził organ w toku postępowania, nie były również w tym dniu umieszczone na stronie internetowej sklepu. Za prawidłowe należało zatem uznać stanowisko GIODO o bezprzedmiotowości postępowania, co skutkować musiało wydaniem decyzji o umorzeniu postępowania. W świetle powyższych wywodów nie znajduje uzasadnienia zarzut skargi kasacyjnej dotyczący naruszenia art. 145 § 1 pkt 2 w zw. z art. 151 P.p.s.a. poprzez oddalenie skargi przez Wojewódzki Sąd Administracyjny w Warszawie, pomimo rażącego naruszenia art. 7, art. 77 § 1 K.p.a. Jeśli chodzi o zarzut dotyczący naruszenia art. 145 § 1 pkt 2 w zw. z art. 151 P.p.s.a. w związku z rażącym naruszeniem art. 18 ustawy o ochronie danych osobowych, trzeba zwrócić uwagę, że Naczelny Sąd Administracyjny, będąc związany granicami skargi kasacyjnej, nie może poddać ocenie zarzutu, jeżeli w skardze kasacyjnej nie określono jednoznacznie granic zaskarżenia tym zarzutem. Wskazać należy, że art. 18 ustawy o ochronie danych osobowych posiada złożoną strukturę i w czterech odrębnych jednostkach redakcyjnych (ustępach) zawiera uregulowania odnoszące się do różnych działań GIODO (ust. 1), te ostatnie ujęte są w przykładowo podanych sześciu punktach; w kolejnych ustępach zawarto klauzule ograniczające te działania - o charakterze podmiotowym (ust. 2) oraz przedmiotowym (ust. 3), a ponadto ust. 4 zawiera normę odsyłającą do stosowania innych ustaw. Przepis art. 18 ust. 1, w przypadku stwierdzenia naruszenia przepisów ustawy, przewiduje możliwość wydawania przez ten organ rozstrzygnięć o zróżnicowanej treści. Brak sprecyzowania w podstawie skargi kasacyjnej, którego konkretnie przepisu dotyczyć ma zarzucana kwalifikowana wadliwość decyzji, nie pozwala Naczelnemu Sądowi Administracyjnemu na ocenę zarzutu odnoszącego się do naruszenia przez Sąd pierwszej instancji art. 145 § 1 pkt 2 P.p.s.a. w związku z rażącym naruszeniem art. 18 ustawy o ochronie danych osobowych. Naczelny Sąd Administracyjny nie jest uprawniony do korygowania braków skargi kasacyjnej, uzupełniania jej treści, czy domniemywania rzeczywistych granic zaskarżenia. Z tego samego powodu - braku odpowiednio sformułowanego zarzutu skargi kasacyjnej - Naczelny Sąd Administracyjny nie mógł się odnieść do podniesionych w uzasadnieniu skargi kasacyjnej kwestii związanych z trybem wszczęcia postępowania przez GIODO i ocenić, czy organ ten - na skutek wniosku skarżącej - był obowiązany podjąć z urzędu stosowne działania kontrolne w przedmiocie wykonywania ustawy o ochronie danych osobowych przez M. M.. Niezależnie od tego należy przyznać rację GIODO i Sądowi pierwszej instancji, że w świetle art. 18 ustawy, aby mogło dojść do wydania merytorycznej decyzji na podstawie tego przepisu, dane osobowe skarżącej musiałyby być przetwarzane w dacie wydania decyzji. Wynika to wprost z brzmienia art. 18, które nie pozostawia wątpliwości, że wydana na podstawie tego przepisu decyzja GIODO może tylko nakazać przywrócenie stanu zgodnego z prawem. Skoro z niczego nie wynika, by w dacie wydania zaskarżonej decyzji dane osobowe skarżącej były przetwarzane niezgodnie z ustawą, organ ochrony danych osobowych nie miał podstaw do wydania decyzji w trybie art. 18 ustawy. Rację ma także organ twierdząc, że w postępowaniu wszczętym wnioskiem osoby zwracającej się do GIODO o ochronę danych osobowych, organ może podejmować tylko działania zmierzające do ochrony interesów tej osoby, chyba że na podstawie stosownego umocowania reprezentuje ona także interesy innych osób. Wynika to wprost z istoty postępowania administracyjnego, którego przedmiotem jest zawsze indywidualna sprawa z zakresu administracji publicznej. Naczelny Sąd Administracyjny nie mógł odnieść się także do podniesionego w skardze kasacyjnej zarzutu naruszenia art. 145 § 1 pkt 2 P.p.s.a. w związku z rażącym naruszeniem art. 12 pkt 2 ustawy o ochronie danych osobowych, ponieważ uzasadnienie skargi kasacyjnej nie wyjaśnia, w jaki sposób zaskarżona decyzja GIODO mogła rażąco naruszyć wskazany przepis, który w sposób ogólny określa jedno z przykładowo wymienionych w tym artykule zadań tego organu. Z powyższych przyczyn Naczelny Sąd Administracyjny nie znalazł podstaw do uwzględnienia zarzutów podniesionych przez skarżącą i z tego powodu uznał, że skarga kasacyjna nie posiada usprawiedliwionych podstaw. Z tych względów Naczelny Sąd Administracyjny, na podstawie art. 184 P.p.s.a., orzekł jak w sentencji.