II SA/Wa 217/12

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra – Błaszczykowska (spr.), Sędziowie WSA Ewa Grochowska – Jung, Stanisław Marek Pietras, , Protokolant, asystent sędziego Bartosz Piwoński, po rozpoznaniu na rozprawie w dniu 13 kwietnia 2012 r. sprawy ze skargi M. Sp. z o.o. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2010 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku o udostępnienie danych osobowych - oddala skargę - Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] lipca 2010 r., wydaną na podstawie art. 12 pkt 2, art. 22 i art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.), odmówił uwzględnienia wniosku M. Sp. z o.o. z siedzibą w W. o nakazanie Q. Sp. z o.o. z siedzibą w P. – jako podmiotowi prowadzącemu serwis transakcji on-line [...] – udostępnienia na rzecz M. Sp. z o.o. danych osobowych osób, które w serwisie [...] wystawiły do sprzedaży (jako przedmiot sprzedaży bądź darmowy dodatek do przedmiotu sprzedaży) na aukcjach internetowych tzw. [...] M. Sp. z o.o. Zdaniem Generalnego Inspektora Ochrony Danych Osobowych, wyrażonym w uzasadnieniu decyzji z dnia [...] lipca 2010 r., wniosek M. Sp. z o.o. nie zasługuje na uwzględnienie, albowiem Spółka, organizując promocję polegającą na przyznawaniu tzw. [...], przewidywała, iż możliwą jest sytuacja, że osoby, którym ww. karty rabatowe przyznano, będą zamierzały je zbyć. Świadczą o tym wprost zapisy regulaminu omawianej promocji, zastrzegające niedopuszczalność obrotu [...], a zarazem przewidujące określone konsekwencje w przypadku naruszenia jego zapisów w tym zakresie (tj. obowiązek zwrotu [...]). Pomimo tego, Spółka nie przedsięwzięła działań służących zabezpieczeniu jej interesów na wypadek, gdyby wydane przez nią karty rabatowe, wbrew zastrzeżeniom regulaminu promocji, stały się przedmiotem obrotu. Działania takie mogłyby przykładowo polegać na wydawaniu kart imiennych, czy na nadaniu im oznaczeń identyfikujących (np. numerów), pozwalających na ustalenie – podstawie oznaczenia karty – komu konkretnie została ona przyznana, tym samym zaś, kto spośród osób, którym wydano karty, wbrew zastrzeżeniom regulaminu promocji, wprowadza je do obrotu. Organ nadmienił, że dostrzegalna jest sprzeczność pomiędzy założeniem, że tzw. [...] są kartami rabatowymi na okaziciela, a zarazem – skoro wykluczony jest obrót nimi – mogą być wykorzystane wyłącznie przez tę osobę lub przez ten podmiot, któremu zostały przyznane. Spółka nie podjęła działań zabezpieczających, zamiast tego, wobec ustalenia, że bliżej nieokreślone osoby wprowadzają do obrotu tzw. [...], a co najmniej próbują to uczynić, wystąpiła do Q. Sp. z o.o. z siedzibą w P. o udostępnienie jej określonych informacji na temat tych osób. W ocenie Generalnego Inspektora, w sprawie interes administratora danych (Spółki), wyrażający się w dążeniu do realizacji jego prawnie usprawiedliwionego celu, nie przeważa nad interesem osób, których dotyczą wnioskowane dane, w poszanowaniu ich prawa do prywatności – rozumianego jako prawo do samodzielnego decydowania o zakresie i zasięgu udostępniania i komunikowania innym osobom informacji o swoim życiu. Zdaniem organu zadośćuczynienie żądaniu Spółki wiązałoby się z nieproporcjonalną – w stosunku do interesów administratora, których on sam nie zabezpieczył w należyty sposób, choć mógł to uczynić – ingerencją w sferę prywatności osób, których dotyczą żądane informacje. Generalny Inspektor Ochrony Danych Osobowych przyjął, że podstawą prawną rozstrzygnięcia w sprawie jest art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, który stwarza prawną możliwość udostępnienia danych osobowych, jeżeli jest to niezbędne ze względu na usprawiedliwiony cel administratora danych, który to cel w rozpoznawanej sprawie Generalny Inspektor uznał za prawnie usprawiedliwiony, jednak, ważąc interesy zarówno administratora danych, jak i osób, których dane mają być udostępnione, organ ochrony danych osobowych doszedł do wniosku, że udostępnienie danych stanowić będzie w istocie ingerencję w sferę prywatności osób, których dane dotyczą. Organ ocenił bowiem, że w sprawie nie można mówić o przewadze interesów Spółki M. nad interesami osób, których dotyczą wnioskowane dane. Wyjaśnił także, że podstawą prawną decyzji nie mógł być przepis art. 29 ust. 2 ustawy o ochronie danych osobowych, gdyż Spółka M. nie wykazała, że dane osobowe, których się domaga, mają być wykorzystane w celach innych, niż włączenie do zbioru. Decyzją z dnia [...] września 2010 r. Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 138 § 1 pkt 1 k.p.a. oraz art. 12 pkt 2, art. 22 i art. 23 ust. 1 ustawy o ochronie danych osobowych, utrzymał zaskarżoną decyzję w mocy, nie znajdując podstaw do uwzględnienia wniosku i przytaczając poprzednio zaprezentowane argumenty. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 16 marca 2011 r. sygn. akt II SA/Wa 2037/10, po rozpoznaniu sprawy ze skargi M. Sp. z o.o. z siedzibą w W. na ww. decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2010 r. w przedmiocie odmowy uwzględnienia wniosku o udostępnienie danych osobowych, uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] lipca 2010 r. W uzasadnieniu wyroku Sąd wskazał, że Generalny Inspektor Ochrony Danych Osobowych prawidłowo przyjmuje, że podstawą prawną rozstrzygnięcia w sprawie jest art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), który stwarza prawną możliwość udostępnienia danych osobowych, jeżeli jest to niezbędne ze względu na usprawiedliwiony cel administratora danych albo odbiorcy danych, przy jednoczesnym zastrzeżeniu, że udostępnienie danych nie naruszy praw i wolności osób, których dane dotyczą. Cel, jaki realizuje skarżąca, wiąże się – zdaniem Sądu- z dochodzeniem roszczeń, wynikających z prowadzonej działalności gospodarczej i nie powinno budzić wątpliwości, że jest to cel usprawiedliwiony. Oczywiście samo ustalenie, że administrator danych osobowych (odbiorca danych) realizuje cel prawnie usprawiedliwiony, nie może przesądzić o dopuszczalności przetwarzania danych osobowych (udostępnienia danych) bez zgody osoby, której dane dotyczą. Konieczne jest zatem dokonanie oceny, czy jest to niezbędne dla realizacji tego celu, a co najważniejsze – dokonanie wyważenia interesów administratora danych (odbiorcy danych), zwłaszcza w aspekcie prawa do prowadzenia działalności gospodarczej, prawa dochodzenia roszczeń i interesów osoby, której dane dotyczą, przy uwzględnieniu celu ustawy o ochronie danych osobowych, którym jest ochrona prywatności. Z jej art. 1 wynika, że każdy ma prawo do ochrony dotyczących go danych osobowych, a przetwarzanie tych danych, w znaczeniu, o którym mowa w art. 7 pkt 2 ustawy, dopuszczalne jest tylko ze względu na określone dobra i tylko w zakresie i trybie określonym ustawą. Realizacja prawnie usprawiedliwionego celu przez administratora danych (odbiorcę danych) w żadnym razie nie może naruszać praw i wolności osoby, której dane dotyczą. Zatem ocena ta ma służyć wyważeniu racji i interesów, z jednej strony osoby, której dane dotyczą, mającej objęty ochroną prawną interes, aby jej dane osobowe nie były przetwarzane bez jej zgody, a z drugiej strony – administratora danych (odbiorcy danych), który ma także objęty ochroną prawną interes polegający na tym, że ma prawo realizować prawnie usprawiedliwione cele i uprawnienia. Ustawa o ochronie danych osobowych służy ochronie danych osobowych i przyjąć należy, że w tym zakresie ma charakter kompleksowy. Jeśli zasadą jest, że dane osobowe mogą być przetwarzane za zgodą osoby, której dotyczą, to wszelkie wyjątki od niej muszą być interpretowane ściśle. Ustawa wprowadza wiele rozwiązań, które umożliwiają swobodne i zarazem dopuszczalne przetwarzanie danych osobowych w różnych sytuacjach. Z drugiej zaś strony, dokonując wykładni przepisów ustawy o ochronie danych osobowych, należy również wziąć pod uwagę, cele i podstawowe jej założenia, określone w art. 1 ust. 2, gdzie wskazano, iż przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich. Mając na uwadze powyższe, stosując przepisy tej ustawy, należy za każdym razem wyważać dobra, które legły u jej podstaw. Prawo do ochrony danych osobowych, jako jeden z elementów prawa do ochrony własnej prywatności, ma swoje źródło w przepisach art. 47, art. 49, art. 50 i art. 51 Konstytucji Rzeczypospolitej Polskiej. W praktyce prawo do ochrony danych osobowych ulega ograniczeniu z uwagi na interes publiczny lub usprawiedliwiony interes innych osób, czyli nie jest to prawo o charakterze absolutnym, jak większość praw chronionych konstytucyjnie. Zdaniem Wojewódzkiego Sąd Administracyjnego, interes skarżącej Spółki, nawet jeśli – w ocenie – nie był właściwie zabezpieczony, z pewnością nie może ustępować przed interesem osób, które, wbrew woli właściciela, próbują zbyć jego rzecz, licząc tym samym na zysk ze sprzedaży cudzej własności. W tym aspekcie rozważenia wymaga także kwestia okresu ważności oferowanych do zbycia [...], jak również związana z nią okoliczność, że M. Sp. z o.o. realizowała i wciąż realizuje tego rodzaju akcje promocyjne. Nie można przepisów ustawy o ochronie danych osobowych interpretować w ten sposób, że udostępnienie danych osobowych osoby, która oferuje do zbycia cudzą rzecz, narusza dobro tej osoby, gdyż byłoby to niczym nieuzasadnione jej uprzywilejowanie. Ochrona dóbr jednych nie może się odbywać kosztem naruszania praw innych podmiotów, który to wniosek można pośrednio, bądź bezpośrednio wyprowadzić z wielu przepisów Konstytucji Rzeczypospolitej Polskiej (art. 2, art. 22, art. 31 ust. 3, art. 32 ust. 1, art. 83). Generalny Inspektor Ochrony Danych Osobowych wniósł od wyroku skargę kasacyjną, zaskarżając wyrok w całości. Naczelny Sąd Administracyjny wyrokiem z dnia 13 grudnia 2011 r. uchylił zaskarżony wyrok Wojewódzkiego Sądu Administracyjnego i przekazał sprawę temu sądowi do ponownego rozpoznania. W uzasadnieniu wyroku NSA zważył, że skarga kasacyjna została oparta na usprawiedliwionej podstawie naruszenia art. 145 § 1 pkt 1 lit. a) p.p.s.a. w związku z art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Wykładni tego przepisu prawa organy państwa obowiązane są dokonać w zgodzie z prawem Unii Europejskiej. NSA powołał się na wyroku Trybunału Sprawiedliwości Unii Europejskiej z dnia 29 stycznia 2008 r. C-275/06. Jednocześnie NSA dokonał analizy treści art. 41, 42 i 47 porozumienia w sprawie handlowych aspektów praw własności intelektualnej (TRIPS), w świetle których, w miarę możliwości, powinno dokonywać się wykładni prawa wspólnotowego regulującego zagadnienia, do których porozumienie to znajduje zastosowanie, mimo że wymagają one skutecznej ochrony własności intelektualnej i instytucji prawa do środka zaskarżenia w celu jej egzekwowania, to nie zawierają przepisów, które nakazywałyby wykładnię wspomnianych dyrektyw jako zobowiązujących państwa członkowskie do ustanowienia obowiązku przekazania danych osobowych w ramach postępowania cywilnego. Zdaniem NSA, wyrok Trybunału Sprawiedliwości Unii Europejskiej ma istotne znaczenie dla wykładni art. 23 ust. 1 pkt 5 powołanej ustawy o ochronie danych osobowych. Przy wykładni tego przepisu należy też uwzględnić rozwiązanie, przyjęte w ustawie z dnia 18 listopada 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. Nr 144, poz. 1204 ze zm.), która w Rozdziale 4 reguluje zasadę ochrony danych osobowych w związku ze świadczeniem usług drogą elektroniczną. Wymaga też uwzględnienia regulacja wprowadzona ustawą z 16 lipca 2004 r. – Prawo telekomunikacyjne (Dz.U. Nr 171, poz. 1800 ze zm.). Zgodnie z art. 159 ust. 1 tej ustawy dane dotyczące użytkowników sieci telekomunikacyjnej są objęte tajemnicą telekomunikacyjną. Zgodnie z art. 20c ustawy z 6 kwietnia 1990 r. o Policji, dane identyfikujące abonenta oraz dane dotyczące uzyskania – lub próby uzyskania – połączenia między określonymi urządzeniami telekomunikacyjnymi, a także okoliczności i rodzaj wykonywanego połączenia, mogą być ujawnione Policji oraz przetwarzane przez Policję wyłącznie w celu zapobiegania przestępstwom lub ich wykrywania. Podmioty wykonujące działalność telekomunikacyjną są zobowiązane udostępnić dane, o których mowa w ust. 1 tego artykułu, policjantom wskazanym we wniosku organu Policji. W systemie prawa polskiego brakuje przepisu, który przyznawałby takie uprawnienia osobie, której prawa autorskie zostały naruszone i która żąda od dostawcy usług internetowych udostępnienia danych osobowych w celu skorzystania ze środka prawnego, mającego na celu ochronę tych praw w ramach postępowania cywilnego. Podmioty żądające ochrony praw autorskich występują zatem na drogę postępowania karnego tylko w celu, aby pozyskać dane osobowe naruszającego ich prawa. Dyrektywa 2006/24/WE z 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej bądź udostępnianiem publicznych sieci łączności oraz zmieniająca dyrektywę 2002/58/WE, przewiduje możliwość udostępniania danych zgromadzonych przy świadczeniu usług dostępu do Internetu jedynie w szczególnych przypadkach, oraz na rzecz właściwych organów krajowych, nie zaś bezpośrednio na rzecz podmiotów prywatnych". NSA zastrzegł, że artykuł 23 ust. 5 ustawy o ochronie danych osobowych wymaga wykładni z uwzględnieniem dyrektyw, co daje dopiero podstawę do wyprowadzenia w sprawie równowagi między poszczególnymi prawami podstawowymi chronionymi przez przepisy prawa w tym Unii Europejskiej oraz polski porządek prawny. Przyjęcie na podstawie ogólnego celu wskazanego we wniosku, że celem M. Sp. z o.o. jest pozbawienie sprzedających nienależnie uzyskanych korzyści oraz odebranie [...] osobom, które je zakupiły, nie uzasadnia - zdaniem NSA - przyjęcia oceny, że organ nie rozważył równowagi między podstawowym prawem do ochrony danych, a realizacją usprawiedliwionego celu. Naczelny Sąd Administracyjny wskazał, że Wojewódzki Sąd Administracyjny obowiązany był przeprowadzić wykładnię tych dwóch wartości i ocenić, czy w zaskarżonej decyzji w świetle prawa Unii Europejskiej nie wyważono w pełni prawidłowo tych wartości, nie dając pierwszeństwa interesom M. Sp. z o.o. Wojewódzki Sąd Administracyjny nie odkodował hipotetycznego stanu faktycznego, a to powoduje, że nie miał podstaw do oceny stanu faktycznego przyjętego w podstawie faktycznej rozstrzygnięcia w zaskarżonej decyzji. Brak wykładni z uwzględnieniem przepisów Unii Europejskiej powoduje, że nie została zawarta prawidłowa ocena prawna, co ma kapitalne znaczenie prawne przy ponownym rozpoznawaniu sprawy. Wojewódzki Sąd Administracyjny ponownie rozpoznając sprawę zważył, co następuje: Zgodnie z treścią art. 190. p.p.s.a. sąd, któremu sprawa została przekazana, związany jest wykładnią prawa dokonaną w tej sprawie przez Naczelny Sąd Administracyjny. Nie można oprzeć skargi kasacyjnej od orzeczenia wydanego po ponownym rozpoznaniu sprawy na podstawach sprzecznych z wykładnią prawa ustaloną w tej sprawie przez Naczelny Sąd Administracyjny. W uzasadnieniu wyroku NSA z dnia 13 grudnia 2011 r. Sąd ten dokonał szczegółowych ustaleń i rozważań na temat sprawy niniejszej i uznał, że Sąd nie odkodował hipotetycznego stanu faktycznego, a to powoduje, że nie miał podstaw do oceny stanu faktycznego przyjętego w podstawie faktycznej rozstrzygnięcia w zaskarżonej decyzji. Brak wykładni z uwzględnieniem przepisów Unii Europejskiej powoduje, że nie została zawarta prawidłowa ocena prawna, co ma kapitalne znaczenie prawne przy ponownym rozpoznawaniu sprawy. Zdaniem NSA, przyjęcie na podstawie ogólnego celu wskazanego we wniosku, że celem M. Sp. z o.o. jest pozbawienie sprzedających nienależnie uzyskanych korzyści oraz odebranie bonifikat osobom, które je zakupiły, nie uzasadnia przyjęcia oceny, że organ nie rozważył równowagi między podstawowym prawem do ochrony danych, a realizacją usprawiedliwionego celu. Sąd obowiązany był przeprowadzić wykładnię tych dwóch wartości i ocenić, czy w zaskarżonej decyzji w świetle prawa Unii Europejskiej nie wyważono w pełni prawidłowo tych wartości, nie dając pierwszeństwa interesom M. Sp. z o.o. Wojewódzki Sąd Administracyjny w Warszawie podczas ponownego rozpoznania sprawy dokonał analizy przepisów Unii Europejskiej, wskazanych przez NSA w uzasadnieniu wyroku. Sąd całkowicie podzielił bardzo szczegółową analizę i ocenę prawną tych przepisów, dokonaną przez NSA; wszystkie rozważania, zawarte w uzasadnieniu wyroku NSA przyjmując za własne. W szczególności trafne są rozważania NSA na temat treści art. 41, 42 i 47 porozumienia w sprawie handlowych aspektów praw własności intelektualnej (TRIPS), w świetle których powinno dokonywać się wykładni prawa wspólnotowego regulującego zagadnienia, do których porozumienie to znajduje zastosowanie. Nie zawierają one przepisów, które nakazywałyby wykładnię wspomnianych dyrektyw jako zobowiązujących państwa członkowskie do ustanowienia obowiązku przekazania danych osobowych w ramach postępowania cywilnego. Jak trafnie zauważył NSA, w systemie prawa polskiego brakuje przepisu, który przyznawałby takie uprawnienia osobie, której prawa autorskie zostały naruszone i która żąda od dostawcy usług internetowych udostępnienia danych osobowych w celu skorzystania ze środka prawnego, mającego na celu ochronę tych praw w ramach postępowania cywilnego. Podmioty żądające ochrony praw autorskich występują zatem na drogę postępowania karnego tylko w celu, aby pozyskać dane osobowe naruszającego ich prawa. Dyrektywa 2006/24/WE z 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej bądź udostępnianiem publicznych sieci łączności oraz zmieniająca dyrektywę 2002/58/WE, przewiduje możliwość udostępniania danych zgromadzonych przy świadczeniu usług dostępu do Internetu jedynie w szczególnych przypadkach, oraz na rzecz właściwych organów krajowych, nie zaś bezpośrednio na rzecz podmiotów prywatnych. Sąd orzekający w sprawie niniejszej całkowicie zgadza się z konkluzją NSA, iż organ, wydając zaskarżone decyzje zrównoważył podstawowe prawo do ochrony danych z realizacją usprawiedliwionego celu. Tak jak trafnie zauważył Naczelny Sąd Administracyjny w zaskarżonej decyzji - w świetle prawa Unii Europejskiej - wyważono w pełni prawidłowo te wartości. Jak zasadnie zwrócił uwagę organ II instancji, M. Sp. z o.o. nie podjęła działań, służących zabezpieczeniu jej własnych interesów na wypadek przewidywanych przez nią zagrożeń, zamiast tego, po ustaleniu, że bliżej nieokreślone osoby wprowadzają do obrotu [...], wystąpiła do Q. o udostępnienie informacji na temat tych osób. Mimo, iż interes spółki M. jest prawnie usprawiedliwiony, nie zasługuje na uwzględnienie w sytuacji, gdy Spółka ta sama nie zadbała o należyte zabezpieczenie tych interesów i dlatego interes Spółki nie może przeważać nad interesami osób, które mogły wejść w posiadanie [...] w różny sposób. Osoby te mogą zatem nie być związane postanowieniami regulaminu promocji, a co za tym idzie, wniosek M. [...] nie może prowadzić do naruszenia ich interesów. Mając na uwadze bardzo szczegółową analizę przepisów, mających zastosowanie w sprawie niniejszej, jak i treść art. 190 p.p.s.a. Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę, stosownie do treści wytycznych, jasno sprecyzowanych w cytowanym wyroku Naczelnego Sądu Administracyjnego.