II SA/Wa 857/10

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Przemysław Szustakiewicz, Sędziowie WSA Jacek Fronczyk (spr.), Andrzej Góraj, Protokolant Marek Kozłowski, po rozpoznaniu na rozprawie w dniu 12 października 2010 r. sprawy ze skargi R. G. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2010 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę. W dniu [...] kwietnia 2008 r. R. G. zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych ze skargą na udostępnienie jego danych osobowych przez A. K. w ramach prowadzonej przez niego działalności gospodarczej pod firmą "[...]" z siedzibą w T. na rzecz Z. P. – adwokata prowadzącego Kancelarię Adwokacką Z. P. z siedzibą w T. oraz niewypełnienie wobec niego obowiązku informacyjnego, nałożonego art. 33 w związku z art. 32 ust. 1 pkt 1 – 5a ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). W toku badania przedmiotowej sprawy, Generalny Inspektor Ochrony Danych Osobowych ustalił, iż: 1) w dniu [...] sierpnia 2007 r. R. G. zawarł z A. K., prowadzącym działalność gospodarczą pod firmą "[...]", umowę o wykonanie robót budowlanych; 2) dane osobowe skarżącego przetwarzane były przez A. K. w celu realizacji zawartej umowy; 3) A. K. – w celu dochodzenia roszczeń związanych z ww. umową – udostępnił dane osobowe skarżącego na rzecz adwokata Z. P.; 4) Z. P. – w ramach prowadzonej działalności – przetwarzał dane osobowe skarżącego jedynie w celu, w jakim zostały mu one udostępnione przez A. K., tj. wystosowania do skarżącego przedsądowego wezwania do zapłaty oraz wniesienia odpowiedniego powództwa do sądu powszechnego; 5) R. G. wystosował do A. K. wniosek o spełnienie wobec niego w formie pisemnej obowiązku informacyjnego, określonego w art. 33 ust. 1 ustawy o ochronie danych osobowych, w tym o udzielenie mu informacji, w jakim zakresie oraz komu jego dane osobowe zostały udostępnione; 6) A. K., pismem z dnia [...] sierpnia 2008 r., ustosunkował się do żądania skarżącego co do spełnienia wobec niego obowiązku informacyjnego z art. 33 ustawy o ochronie danych osobowych, przesyłając w formie pisemnej informacje o osobie administratora danych, celu i zakresie przetwarzania danych oraz prawie dostępu do danych, ich poprawienia, prawie żądania wniesienia sprzeciwu wobec ich przetwarzania dla celów innych, niż zawarte w umowie, oraz wobec ich przekazywania innym podmiotom. Nie poinformował on natomiast skarżącego o zakresie, w jakim jego dane zostały udostępnione, ani nie wskazał podmiotów, na rzecz których udostępnienie nastąpiło; 7) z wyjaśnień A. K. wynika, iż udostępnił on dane osobowe skarżącego jedynie na rzecz adwokata Z. P.; 8) A. K. przetwarza obecnie dane osobowe skarżącego jedynie w związku z koniecznością utrwalenia treści stosunku prawnego, łączącego go z R. G., tj. w celach dowodowych; 9) Z. P. nie przetwarza obecnie danych osobowych skarżącego, ponieważ pełnomocnictwo udzielone przez A. K. do reprezentowania go przed sądami powszechnymi, a także w postępowaniu przed Generalnym Inspektorem Ochrony Danych Osobowych, zostało w dniu [...] czerwca 2009 r. odwołane. W ustalonym stanie faktycznym i prawnym, decyzją z dnia [...] listopada 2009 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych, mając za podstawę art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t. j.: Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.) oraz art. 12 pkt 2, art. 18 ust. 1 w związku z art. 33 ust. 1 i 2, art. 22, art. 23 ust. 1 pkt 3 i 5 w związku z art. 23 ust. 4 pkt 2 ustawy o ochronie danych osobowych, po przeprowadzeniu postępowania administracyjnego w sprawie przetwarzania danych osobowych, wszczętego wnioskiem R. G., nakazał A. K. przywrócenie stanu zgodnego z prawem, poprzez dopełnienie w formie pisemnej obowiązku informacyjnego wobec R. G., o którym mowa w art. 33 ust. 1 pkt 4 ustawy o ochronie danych osobowych, poprzez udzielenie informacji, w jakim zakresie i na czyją rzecz dane osobowe wyżej wymienionego zostały udostępnione; w zakresie przetwarzania danych osobowych R. G. przez Z. P. umorzył postępowanie, zaś w pozostałym zakresie odmówił uwzględnienia wniosku. We wniosku o ponowne rozpatrzenie sprawy R. G. wyraził niezadowolenie z powyższej decyzji. Zarzucił organowi naruszenie m.in.: 1) zasady prawdy obiektywnej, wyrażonej w art. 7 w związku z art. 77 § 1 kpa, poprzez brak szczegółowej analizy okoliczności sprawy, a także wadliwą analizę materiału dowodowego i przekroczenie granicy swobodnej oceny dowodów, jak również przyjęcie błędnych podstaw do wydania decyzji; 2) zasady pogłębiania zaufania obywateli do organów państwa, wyrażonej w art. 8 kpa, poprzez niespełnienie w praktyce postulatu przewidywalności i pewności, a ponadto brak przejrzystych i czytelnych zasad, w szczególności niestosowanie obowiązku równego traktowania stron oraz wydanie decyzji w oparciu o wadliwe i powierzchowne uzasadnienie prawne; 3) art. 107 § 1 kpa, zgodnie z którym decyzja powinna zawierać uzasadnienie faktyczne i prawne; 4) zasady szybkości i prostoty postępowania określonej w art. 12 § 1 kpa, poprzez mało wnikliwe załatwienie sprawy; 5) art. 80 kpa, poprzez niedokonanie przez organ oceny, czy dana okoliczność została udowodniona na podstawie całokształtu materiału dowodowego; 6) art. 35 w związku z art. 36 kpa, poprzez niezałatwienie sprawy w przewidzianym do tego terminie. Decyzją z dnia [...] marca 2010 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 138 § 1 pkt 1 kpa oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 w związku z art. 33 ust. 1 i 2, art. 22, art. 23 ust. 1 pkt 2, 3 i 5 w związku z art. 23 ust. 4 pkt 2 ustawy o ochronie danych osobowych, utrzymał zaskarżoną decyzję w mocy, nie znajdując podstaw do uwzględnienia wniosku. W motywach rozstrzygnięcia wskazał, iż w wyniku przeprowadzonego postępowania wyjaśniającego nie stwierdzono, aby A. K. przetwarzał dane osobowe R. G., które byłyby nieaktualne, nieprawdziwe lub zbędne dla celu, dla którego zostały zebrane. Jednocześnie nic nie wskazuje na to, aby A. K. przetwarzał dane osobowe wymienionego, zebrane z naruszeniem ustawy o ochronie danych osobowych. Organ ochrony danych osobowych podkreślił, że dwukrotnie wzywał R. G. do wykazania, że A. K. przetwarza jego nieaktualne lub nieprawdziwe dane osobowe. Nic nie wskazuje również na to, aby A. K. przetwarzał dane współwłaścicieli nieruchomości lub dane zawarte w decyzjach administracyjnych zatwierdzających projekt budowlany i w decyzji o udzieleniu pozwolenia na budowę (czy tzw. danych osobowych sensytywnych), związanych z osobą R. G. Odnosząc się natomiast do konieczności spełnienia w formie pisemnej obowiązku informacyjnego, o którym mowa w art. 33 ust. 1 pkt 1 – 4 ustawy o ochronie danych osobowych, GIODO wskazał, że organ ochrony danych osobowych nakazał A. K. w zaskarżonej decyzji poinformowanie R. G. w formie pisemnej, w jakim zakresie i na czyją rzecz jego dane osobowe zostały udostępnione. Jednocześnie zaznaczył, iż przetwarzanie danych osobowych R. G. przez A. K. ma obecnie swoją podstawę prawną w art. 23 ust. 1 pkt 3 i 5 w związku z art. 23 ust. 4 pkt 2 ustawy o ochronie danych osobowych. Organ podkreślił, iż w sprawie bezsporne jest, iż R. G. zawarł umowę z A. K., na skutek czego jego dane osobowe były przetwarzane w celu realizacji przedmiotowej umowy. W związku z roszczeniami powstałymi na skutek zawarcia ww. umowy, dane osobowe R. G. przetwarzane były także przez pełnomocnika A. K., tj. adwokata Z. P., w ramach prowadzonej przez niego Kancelarii Adwokackiej. Organ ochrony danych osobowych wskazał również na konieczność przetwarzania danych osobowych R. G. w związku z obowiązkami nałożonymi na przedsiębiorców ustawą z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2002 r. Nr 76, poz. 694 ze zm.). Zgodnie z art. 74 ust. 2 pkt 8 tej ustawy, dokumenty związane z prowadzoną działalnością gospodarczą należy przechowywać przez okres 5 lat od początku roku następującego po roku obrotowym, którego dane zbiory (dokumenty) dotyczą. Ww. okoliczność znajduje – zdaniem GIODO – odzwierciedlenie w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, zgodnie z którym przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Ponadto, wobec brzemienia art. 118 ustawy z dnia 23 kwietnia 1964 r. – Kodeks cywilny (Dz. U. Nr 16 poz. 93 ze zm.), zgodnie z którym, jeżeli przepis szczególny nie stanowi inaczej, termin przedawnienia wynosi dziesięć lat, a dla roszczeń o świadczenia okresowe oraz roszczeń związanych z prowadzeniem działalności gospodarczej – trzy lata, A. K. ma więc prawo przetwarzać dane osobowe R. G. w celu ewentualnego dochodzenia roszczeń w związku z umową, którą z nim zawarł. Generalny Inspektor Ochrony Danych Osobowych wskazał także, że zarówno inicjatywa w kwestii złożenia zawiadomienia o podejrzeniu popełnienia przestępstwa, jak i badanie wypełnienia obowiązków rejestracyjnych przez A. K., należy do kompetencji organu ochrony danych osobowych realizowanej z urzędu i nie może być przedmiotem postępowania inicjowanego skargą czy też wnioskiem R. G. W ocenie organu, w sprawie nie zostały również naruszone wskazane przez stronę przepisy postępowania administracyjnego. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję R. G. podtrzymał krytyczną ocenę stanowiska GIODO, prezentowaną we wniosku o ponowne rozpatrzenie sprawy. Zarzucił organowi naruszenie przepisów prawa materialnego, tj.: 1) art. 33 w związku z art. 32 ust. 1 pkt 1 – 5a ustawy o ochronie danych osobowych, poprzez niestwierdzenie niespełnienia obowiązku informacyjnego przez A. K.; 2) art. 32 ust. 1 pkt 6 w związku z art. 35 ust. 1 i 2 cyt. ustawy, poprzez nienakazanie sprostowania i uaktualnienia nieprawdziwych oraz nieaktualnych danych osobowych skarżącego; 3) art. 53 w związku z art. 40 cyt. ustawy, poprzez niezarejestrowanie u Generalnego Inspektora Ochrony Danych Osobowych zbioru danych osobowych, jaki posiada A. K.; 4) art. 49 w związku z art. 46 ust. 2 cyt. ustawy, poprzez przetwarzanie tzw. danych osobowych sensytywnych przed zarejestrowaniem zbioru danych osobowych przez GIODO; 5) art. 51 cyt. ustawy, poprzez udostępnienie danych osobowych skarżącego lub też umożliwienie dostępu do nich osobie nieupoważnionej (pełnomocnikowi przed udzieleniem mu pełnomocnictwa oraz współwłaścicielowi Kancelarii – W. P.). Ponadto, skarżący zarzucił organowi naruszenie przepisów postępowania, tj. art. 7, art. 8, art. 77 i art. 80 kpa, poprzez niewyczerpujące zebranie i rozpatrzenie całego materiału dowodowego oraz art. 11, art. 12, art. 35 § 3, art. 36 § 1 oraz art. 107 kpa. Wskazując na powyższe, skarżący wniósł o uchylenie zaskarżonej decyzji oraz o zasądzenie kosztów postępowania według norm przepisanych. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, przytaczając w uzasadnieniu swego stanowiska procesowego argumentację, jakiej użył w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Innymi słowy, sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga analizowana pod tym kątem nie zasługuje na uwzględnienie. Z art. 1 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) wynika, iż przysługujące każdemu prawo do ochrony dotyczących go danych osobowych nie ma charakteru absolutnego, bowiem przetwarzanie danych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich w zakresie i trybie określonym ustawą. W myśl art. 7 pkt 2 ustawy o ochronie danych osobowych, przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Przesłanki dopuszczalności przetwarzania danych osobowych zostały określone w art. 23 ust. 1 cyt. ustawy. Przetwarzanie danych osobowych jest więc dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę; 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa; 3) jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą; 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego; 5) jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5 ustawy, uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (art. 23 ust. 4 pkt 2). Wskazane przesłanki mają charakter autonomiczny i niezależny. Wystarczy zatem wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Przechodząc na grunt rozpoznawanej sprawy, należy stwierdzić, iż w okresie obowiązywania umowy o wykonanie robót budowlanych, którą R. G. zawarł z A. K., prowadzącym działalność gospodarczą pod firmą "[...]", A. K. mógł legalnie przetwarzać dane skarżącego w oparciu o dwie różne przesłanki (z których, jak już wskazano, każda jest samodzielna i niezależna), tj. podstawę z art. 23 ust. 1 pkt 3 oraz z art. 23 ust. 1 pkt 5 w związku z art. 23 ust. 4 pkt 2 ustawy o ochronie danych osobowych. Faktem uzasadniającym prawne podstawy przetwarzania danych osobowych była bowiem w tym przypadku realizacja ww. umowy oraz związane z nią dochodzenie roszczeń. Generalny Inspektor Ochrony Danych Osobowych trafnie argumentuje, że wobec zawartej umowy, konieczność przetwarzania danych osobowych R. G. wynika przy tym z obowiązków nałożonych na przedsiębiorców ustawą z dnia 29 września 1994 r. o rachunkowości (t. j.: Dz. U. z 2009 r. Nr 152, poz. 1223 ze zm.). W świetle przepisów tej regulacji, dokumenty związane z prowadzoną działalnością gospodarczą należy przechowywać przez okres 5 lat od początku roku następującego po roku obrotowym, którego dane zbiory (dokumenty) dotyczą (art. 74 ust. 2 pkt 8 tej ustawy). Okoliczność ta świadczy, że w sprawie zachodzi kolejna przesłanka legalnego przetwarzania danych osobowych skarżącego, wynikająca z przepisu art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, zgodnie z którym przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Także – jak słusznie zauważa GIODO – wobec brzemienia art. 118 ustawy z dnia 23 kwietnia 1964 r. – Kodeks cywilny (Dz. U. Nr 16 poz. 93 ze zm.), zgodnie z którym, jeżeli przepis szczególny nie stanowi inaczej, termin przedawnienia wynosi dziesięć lat, a dla roszczeń o świadczenia okresowe oraz roszczeń związanych z prowadzeniem działalności gospodarczej – trzy lata, A. K. ma prawo przetwarzać dane osobowe R. G. w celu ewentualnego dochodzenia roszczeń w związku z umową, którą z nim zawarł. Zatem w zakresie oceny legalności przetwarzania danych osobowych skarżącego przez A. K. w pełni uzasadnioną była odmowa uwzględnienia jego wniosku przez GIODO. Również Z. P., jako pełnomocnik A. K., był uprawniony – do momentu odwołania udzielonego pełnomocnictwa bądź zakończenia postępowania sądowego, prowadzonego w imieniu mandanta – do przetwarzania danych osobowych skarżącego w ramach realizacji wspomnianej umowy i wynikających z niej roszczeń. W tym zakresie zastosowanie ma przepis art. 31 ust. 1 ustawy o ochronie danych osobowych, który stanowi, że administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (udzielenie pełnomocnictwa). Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2). Jedynie w celu dochodzenia roszczeń A. K. udzielił pełnomocnictwa adwokatowi Z. P., co oznacza, że zlecił mu także przetwarzanie danych osobowych skarżącego. Przetwarzanie to miało miejsce w ramach prowadzonej przez niego Kancelarii Adwokackiej w związku z postępowaniem sądowym, w którym reprezentował on A. K. Jak już wyżej wskazano, podstawą legalnego przetwarzania danych osobowych był w tym przypadku art. 23 ust. 1 pkt 5 w związku z art. 23 ust. 4 pkt 2 ustawy o ochronie danych osobowych. Wobec zakończenia postępowania sądowego, dane osobowe skarżącego na dzień wydania decyzji nie były już przez Z. P. przetwarzane, zatem słusznie Generalny Inspektor Ochrony Danych Osobowych umorzył postępowanie w tym zakresie, uznając, że stało się ono bezprzedmiotowe. W sprawie nie doszło także do naruszenia art. 51 ustawy o ochronie danych osobowych, poprzez udostępnienie danych osobowych skarżącego lub też umożliwienie dostępu do nich osobie nieupoważnionej (pełnomocnikowi przed udzieleniem mu pełnomocnictwa oraz współwłaścicielowi Kancelarii – W. P.). Stosowne pełnomocnictwo, uprawniające adwokata Z. P. do występowania w imieniu A. K. przed Generalnym Inspektorem Ochrony Danych Osobowych, zostało dołączone do akt sprawy przy piśmie z dnia [...] października 2008 r., wobec czego wszelkie czynności podejmowane w zakresie postępowania administracyjnego przez pełnomocnika w imieniu A. K. uznać należało za prawnie skuteczne. Złożenie w toku postępowania pełnomocnictwa konwalidowało bowiem jego brak w momencie składania wcześniejszych wyjaśnień. Również za prawnie dopuszczalne uznać należy pokwitowanie przez W. P., tj. wspólnika Z. P. z Kancelarii Adwokackiej, odbioru korespondencji kierowanej w postępowaniu prowadzonym przed GIODO do Z. P. Niewątpliwie W. P., jako wspólnik Kancelarii Adwokackiej, jest osobą uprawnioną do odbioru wszelkiej korespondencji, kierowanej na adres Kancelarii. Z drugiej zaś strony, sam fakt pokwitowania odbioru korespondencji, nadesłanej przez GIODO, nie świadczy w żaden sposób o udostępnieniu danych osobowych skarżącego przez Z. P. W. P. Z przepisu art. 18 ust. 1 pkt 1 ustawy o ochronie danych osobowych wynika, że w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych, Generalny Inspektor Ochrony Danych Osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie stwierdzonych uchybień. Treścią takiej decyzji powinien być nakaz przywrócenia stanu zgodnego z prawem, który zwykle dotyczy konkretnego działania lub zaniechania. W art. 32 ust. 1 ustawy o ochronie danych osobowych osobie zainteresowanej przyznane zostały uprawnienia do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych. Uprawnienie to obejmuje m.in. prawo do uzyskania informacji o tym, czy taki zbiór istnieje, kto jest administratorem danych, o celu, zakresie i sposobie przetwarzania jej danych, znajdujących się w zbiorze. Ustawa przyznaje osobie zainteresowanej również prawo uzyskania informacji, od kiedy przetwarzane są w zbiorze dane jej dotyczące oraz z jakich źródeł pochodzą i komu były przekazywane lub udostępniane (art. 32 ust. 1 pkt 1-5a). Osoba, której dane są przetwarzane, może żądać podania treści przetwarzanych danych. Stosownie do art. 33 ust. 1 cyt. ustawy, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a, a w szczególności podać w formie zrozumiałej: 1) jakie dane osobowe zawiera zbiór, 2) w jaki sposób zebrano dane, 3) w jakim celu i zakresie dane są przetwarzane, 4) w jakim zakresie oraz komu dane zostały udostępnione. Decyzją z dnia [...] listopada 2009 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych nakazał A. K. przywrócenie stanu zgodnego z prawem, poprzez dopełnienie w formie pisemnej obowiązku informacyjnego wobec R. G., o którym mowa w art. 33 ust. 1 pkt 4 ustawy o ochronie danych osobowych, poprzez udzielenie informacji, w jakim zakresie i na czyją rzecz dane osobowe skarżącego zostały udostępnione. Informacje, o których mowa w art. 33 ust. 1 pkt 1 – 3, zostały skarżącemu udostępnione przy piśmie z dnia [...] sierpnia 2008 r., a zatem twierdzenie skarżącego, iż organ nie uwzględnił jego zarzutu dotyczącego niespełnienia przez administratora danych obowiązku informacyjnego (art. 33 w związku z art. 32 ust. 1 pkt 1 – 5a ustawy o ochronie danych osobowych), jest nieuzasadnione, gdyż organ uczynił zadość wnioskowi skarżącego w tym zakresie. Ustawa o ochronie danych osobowych jest regulacją stwarzającą prawne podstawy stosowania ochrony państwowej w sytuacjach nielegalnego lub nieprawidłowego przetwarzania danych osobowych obywateli przez zarówno podmioty prawa publicznego, jak i podmioty prawa prywatnego, posługujące się ich danymi osobowymi. Wspomniana ochrona państwowa, stosowana w przypadku stwierdzenia wadliwości w procesie przetwarzania danych osobowych, ma za zadanie uczynienie zadość żądaniu osoby, której dane dotyczą, jeśli jej dane przetwarzane są w sposób nieprawidłowy (np. błędne dane adresowe), nierzetelny, nieadekwatny do celu, w jakim zostały zebrane, czy wręcz w sposób sprzeczny z celem. Jednak w sytuacji, gdy organ ochrony danych osobowych wymaga od osoby zainteresowanej współdziałania w tym względzie, by ustalić, na czym kwestionowane przetwarzanie danych polega (by wyjaśnić zakres przetwarzania danych i ewentualne błędy i nieprawdziwości, jakie mogą wystąpić w procesie przetwarzania danych), a ta na jego wezwania nie reaguje, trudno uznać, że w tym względzie organ uchybia przywołanym przepisom ustawy o ochronie danych osobowych czy przepisom regulującym postępowanie dowodowe. Badanie rzetelności, adekwatności, prawdziwości i celowości przetwarzania danych osobowych przez administratora danych wykracza poza aspekt kontroli legalności przetwarzania danych. Weryfikacja ww. cech przetwarzania danych osobowych w rzeczy samej może nastąpić w trybie art. 32 ust. 1 w związku z art. 33 ust. 1 ustawy o ochronie danych osobowych, z wydaniem odpowiedniej decyzji przez GIODO włącznie, gdy są ku temu powody, jednak to wymaga od osoby, której dane dotyczą, współdziałania z organem ochrony danych osobowych, wszak organ musi wiedzieć, w jakim zakresie osoba zainteresowana, która występuje ze skargą do organu, kwestionuje prawidłowość przetwarzania jej danych przez administratora. Podobnie rzecz się ma, gdy chodzi o zarzut naruszenia art. 32 ust. 1 pkt 6 w związku z art. 35 ust. 1 i 2 cyt. ustawy o ochronie danych osobowych, poprzez nienakazanie sprostowania i uaktualnienia nieprawdziwych oraz nieaktualnych danych osobowych skarżącego. Przede wszystkim, na podstawie art. 32 ust. 1 ustawy, osoba, której dane dotyczą, w pierwszej kolejności ma prawo sama zweryfikować prawidłowość przetwarzania jej danych osobowych, ze skutkiem zobowiązania administratora danych do uzupełnienia, uaktualnienia, sprostowania danych, czasowego lub stałego wstrzymania przetwarzania kwestionowanych danych lub ich usunięcia ze zbioru (art. 35 ust. 1 ustawy). Dopiero, gdy administrator danych stwierdzonych wadliwości nie usunie, osoba zainteresowana może domagać się ochrony od GIODO (art. 35 ust. 2). Jeśli natomiast skarżący nie zweryfikował osobiście, jak przetwarzane są jego dane (nie zbadał kwestii jakości przetwarzania jego danych przez A. K.), lecz w tej mierze opiera się tylko na informacjach przekazanych mu przez osoby trzecie, nie może zatem dziwić, że nie uczynił zadość wezwaniom organu. W takiej sytuacji nie sposób zgodzić się z postawionym zarzutem. Rację ma organ, twierdząc, iż skarżący, pomimo wezwań GIODO w tym zakresie, nie przedstawił dowodów mogących potwierdzić, iż A. K. przetwarzał dane osobowe skarżącego, które byłyby nieaktualne, nieprawdziwe czy nieadekwatne do celu, dla którego zostały zebrane. Nie naruszono zatem wskazanych w skardze przepisów prawa procesowego, bowiem organ, stojąc na straży praworządności, podjął wszelkie kroki niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, a wydając decyzję, miał na względzie interes społeczny i słuszny interes skarżącego oraz zapewnił mu czynny udział w każdym stadium postępowania. Za niezasadny należy także uznać zarzut dotyczący wydania zaskarżonej decyzji z naruszeniem art. 53 w związku z art. 40 cyt. ustawy o ochronie danych osobowych, poprzez niezarejestrowanie u Generalnego Inspektora Ochrony Danych Osobowych zbioru danych osobowych i art. 49 w związku z art. 46 ust. 2 ustawy, poprzez przetwarzanie tzw. danych osobowych sensytywnych przed zarejestrowaniem zbioru danych osobowych przez GIODO. Jak słusznie zauważył organ, kwestia spełnienia przez administratora obowiązku rejestracji zbioru danych nie jest przedmiotem postępowania prowadzonego na wniosek zainteresowanych podmiotów, zaś zarzuty w tym zakresie mogą być ewentualnie przedmiotem kontroli organu ochrony danych osobowych, jednak inicjowanej tylko z urzędu. Jeżeli – jak sugeruje skarżący – w wyniku przetwarzania danych osobowych przez A. K., doszło do naruszenia jego dóbr osobistych, istnieje możliwość wytoczenia powództwa cywilnego, bowiem wszelkich roszczeń, związanych z naruszeniem tych dóbr, można dochodzić przed sądem powszechnym, natomiast organ ochrony danych osobowych nie jest w tym zakresie właściwy, czym innym bowiem jest ochrona danych osobowych, a czym innym ochrona dóbr osobistych. W takim stanie rzeczy, wydane w sprawie przez GIODO decyzje należy uznać za prawidłowe, zaś zarzuty podniesione w skardze za nieuzasadnione. Sąd nie stwierdził takich naruszeń prawa, które skutkowałyby koniecznością uwzględnienia skargi. Z tych względów, działając na podstawie art. 151 ww. ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), Wojewódzki Sąd Administracyjny w Warszawie orzekł, jak w sentencji wyroku.