I OSK 2068/12

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Wiesław Morys Sędziowie: Sędzia NSA Barbara Adamiak Sędzia NSA Aleksandra Łaskarzewska (spr.) Protokolant st. inspektor sądowy Tomasz Zieliński po rozpoznaniu w dniu 21 lutego 2014 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 4 czerwca 2012 r. sygn. akt II SA/Wa 289/12 w sprawie ze skarg W. S. i [...] S.A. w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2012 r. nr [...] w przedmiocie obowiązku informacyjnego odnośnie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie; 2. odstępuje od zasądzenia zwrotu kosztów postępowania kasacyjnego w całości. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 4 czerwca 2012 r. sygn. akt II SA/Wa 289/12 uchylił zaskarżoną decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2012 r. nr [...] oraz poprzedzającą ją decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2011 r. i stwierdził, że zaskarżona decyzja nie podlega wykonaniu w całości. Sąd wydał powyższy wyrok w następującym stanie faktycznym: Generalny Inspektor Ochrony Danych Osobowych (dalej: GIODO) decyzją nr [...] z dnia [...] stycznia 2012 r., po ponownym rozpatrzeniu sprawy, utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] lipca 2011 r. nr [...] nakazującą spełnienie przez [...] S.A. wobec W. S. obowiązku określonego w art. 33 ustawy o ochronie danych osobowych oraz odmawiającą uwzględnienia wniosku w pozostałym zakresie. W. S. złożył do GIODO skargę wobec [...] S.A. z siedzibą w W., w której wnosił by organ nakazał [...] SA. udzielenia informacji odnośnie przetwarzania jego danych osobowych zgodnie z treścią jego wniosku do [...] S.A. z dnia [...] listopada 2010 r. Wniosek ten oparty został na podstawie art. 33 ust 1-2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926 z późn,. zm.), dalej ustawa uodo, zawierał prośbę o wskazanie jakie jego dane osobowe są przetwarzane przez [...] SA., w jaki sposób zebrano te dane osobowe, w jakim celu są one przetwarzane oraz w jakim zakresie oraz komu zostały udostępnione te dane osobowe. Odpowiedź nie została udzielona. Po wpłynięciu skargi do GIODO Spółka w dniu 20 stycznia 2011 r. skierowała pismo do W. S., w którym zwróciła się o podanie numeru telefonu, na który w dniu 26 października 2010 r. o godz. 20:17 wykonane zostało połączenie telefoniczne, które zdaniem skarżącego było akcją marketingową w imieniu [...] S.A. Następnie w piśmie z dnia 11 marca 2011 r. skierowanym do skarżącego Spółka poinformowała, iż "nie przetwarza danych osobowych W. S. (...). W chwili obecnej dane W. S. są przetwarzane w związku z prowadzoną korespondencją oraz prowadzonym przez GIODO postępowaniem". Ponadto, Spółka wyjaśniła, iż "podmioty działające na zlecenie Spółki również w chwili obecnej nie przetwarzają danych osobowych W. S. Dane W. S. zostały pozyskane od [...] S.A., jak bowiem każdy inny operator korzystający z usług hurtowych [...] S.A. [...] S.A. ma dostęp do tzw. Informacji Ogólnych, których zakres jest zdefiniowany w Ofercie Ramowej wydanej przez UKE". Ponadto zostało wskazane, iż "Spółka przekazała informację ogólnodostępną (jedynie nr telefonu) podmiotom współpracującym ze Spółką, realizującym wsparcie procesu telesprzedaży usług Spółki". Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] lipca 2011 r. nr [...] nakazał [...] S.A. z siedzibą w W., spełnienie wobec W. S. obowiązku informacyjnego określonego w art. 33 ust. 1-2 ustawy o ochronie danych osobowych, tj. udzielenie informacji jakie jego dane osobowe są przetwarzane przez [...] S.A. oraz przez podmioty działające na zlecenie [...] S.A. oraz w jakim zakresie i komu zostały udostępnione dane osobowe W. S., natomiast w pozostałym zakresie odmówił uwzględnienia wniosku. W uzasadnieniu decyzji GIODO podkreślił, że dane osobowe skarżącego zostały pozyskane przez [...] w sposób legalny zgodnie z art. 23 ust. 1 pkt 5 ustawy odo, w wyniku wykonywania prowadzonej działalności gospodarczej w celach marketingowych. Spółka jako operator działający na polskim rynku i korzystający z usług hurtowych [...] S.A. miała prawo pozyskać numer telefonu skarżącego w ramach dostępu do węzłów LLU, pod warunkiem, iż nie był to numer zastrzeżony. Organ wskazał, że Spółka nie udzieliła pełnej odpowiedzi w żądanym przez skarżącego zakresie, czym naruszyła postanowienia art. 33 ust 1 ustawy odo. Spółka poinformowała skarżącego skąd pozyskała jego dane oraz o celu ich pozyskania i przetwarzania. Spółka wypełniając ciążący na niej obowiązek zobowiązana była jednak do udzielenia pełnej odpowiedzi, w której dokładnie ustosunkowałaby się do treści jego pytań. Spółka poza wskazaniem źródła i celu pozyskania oraz przetwarzania danych, powinna była zatem wyjaśnić skarżącemu jakie jego dane osobowe są przetwarzane przez [...] S.A. oraz przez podmioty działające na zlecenie [...] S.A., a także w jakim zakresie oraz komu zostały one udostępnione. Stwierdzone uchybienia potwierdziły zasadność wydania powyższej decyzji. Obie strony postępowania niezadowolone z decyzji GIODO wystąpiły do niego z wnioskami o ponowne rozpatrzenie sprawy. W. S. zarzucił organowi nienależyte wyjaśnienie ustalonego stanu faktycznego. Stwierdził, że jego dane osobowe były przez [...] SA. przetwarzane wcześniej niż wskazuje Spółka w swoich pismach "co najmniej od chwili złożenia (...) propozycji o charakterze marketingowym w toku rozmowy telefonicznej", podczas której zwracano się do niego z wykorzystaniem imienia i nazwiska. Ponadto, skarżący podniósł, iż [...] S.A. nie podała, kiedy pozyskała jego dane, bowiem w oparciu o ofertę ramową "udostępnieniu podlegają m.in. adres zakończenia sieci (adres abonenta) oraz dane łącza (numer telefonu), a nie imię i nazwisko abonenta". Jednocześnie, skarżący wskazał, iż mogło dojść do naruszenia przez Spółkę art. 23 ust. 1 pkt 5 oraz art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych bowiem cel pozyskania danych był odmienny od tego w jakim zostały wykorzystane (cel marketingowy). [...] S.A. wskazała natomiast, iż spełnienie obowiązku informacyjnego płynącego z art. 33 ust. 1 ustawy odo dotyczy tylko tych administratorów danych, którzy przetwarzają dane w zbiorze a nie w zestawie co ma miejsce w przedmiotowym przypadku. Spółka podniosła, iż numer telefonu w chwili przekazywania danych nie był połączony z jakimikolwiek innymi danymi, a zatem nie umożliwiał określenia tożsamości osoby, której dotyczył, bez ponoszenia nadmiernych kosztów, czasu lub działań po stronie Spółki, co w konsekwencji oznacza, iż numer ten nie był daną osobową. GIODO uzupełnił zebrany w sprawie materiał. [...] S.A. wyjaśniła, iż uzyskała w kwietniu 2008 roku jedynie numer telefonu W. S. Spółka pozyskała dwukrotnie dane W. S. Po raz pierwszy dane pozyskał partner na podstawie art. 23 ust. 1 pkt 5 w związku z art. 2 ust. 3 ustawy ze spisu abonentów. Po raz drugi dane W. S. zostały pozyskane na podstawie art. 23 ust. 1 pkt 5 ustawy, w związku z prowadzoną korespondencją pomiędzy [...] S.A., a skarżącym. Wyjaśniła też, że powiązanie numeru telefonu z danymi W. S. nastąpiło w pozyskanej od skarżącego informacji dotyczącej przedmiotowego numeru (skarżący podał numer telefonu na jaki kontaktował się partner), a powiązanie to istnieje jedynie w przedmiotowej korespondencji. Po ponownym rozpatrzeniu sprawy GIODO decyzją nr [...] z dnia [...] stycznia 2012 r. utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] lipca 2011 r. W uzasadnieniu decyzji organ podtrzymał swoją wcześniejszą argumentację uznając, że zarzuty skarżącego nie stanowią nowej okoliczności w sprawie a nadto nie przedstawił on dokumentów na ich poparcie. Organ wskazał, że Spółka składała "propozycję o charakterze marketingowym" zgodnie z ustawą o ochronie danych osobowych. Nie można też wykluczyć, iż Spółka uzyskała dostęp do spisu abonentów od [...] S.A. w ramach umowy o korzystanie z pętli abonenckiej, o której właściwościach Spółka wcześniej posiadała informacje jedynie w zakresie wskazanym w ramach dostępu do "Informacji Ogólnych zdefiniowanych w Ofercie Ramowej". Zarzut dotyczący możliwości naruszenia przez Spółkę art. 23 ust. 1 pkt 5 oraz art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych organ uznał za bezpodstawny albowiem brak jest dowodów na to, że Spółka - w ramach dostępu do "Informacji ogólnych (...)" pozyskała dane osobowe skarżącego, w tym także jego imię i nazwisko, a następnie przetwarzała te dane w celu marketingu własnych produktów i usług. Powiązanie numeru telefonu z danymi osobowymi skarżącego nastąpiło w późniejszym okresie ze spisu abonentów, do którego dostęp wymaga hasła i loginu, a zatem nie jest to powszechny, jawny i ogólnodostępny spis abonentów. Organ zwrócił uwagę, że nie jest możliwe zwiększenie konkurencyjności na rynku, jeżeli przedsiębiorca telekomunikacyjny nie ma możliwości przedstawienia swojej oferty w trakcie rozmowy telefonicznej z potencjalnym klientem (przyszłym abonentem). Odnosząc się natomiast do zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy przez [...] S.A., organ przypomniał, iż zgodnie z brzmieniem art. 7 pkt 1 ustawy o ochronie danych osobowych, zbiorem danych jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Wobec powyższego twierdzenie Spółki, iż nie przetwarza danych W. S. w żadnym zbiorze danych osobowych jest bezzasadne. Analiza przepisów prawa, doktryny i orzecznictwa dowodzi, iż zestaw danych osobowych dotyczący skarżącego, a przetwarzany przez Spółkę w korespondencji w niniejszej sprawie, wypełnia przesłanki ustawowe definicji zbioru danych osobowych. Przekazanie informacji ogólnodostępnej – numeru telefonu – podmiotom współpracującym ze Spółka należy zakwalifikować jako udostępnianie danych W. S. Stanowisko organu spotkało się ze skargami zarówno W. S. jak i [...] S.A. W. S. zarzucił GIODO naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, poprzez naruszenie art. 7 w zw. z art. 77 § 1, art. 80 i art. 11 k.p.a. oraz w zw. z art. 14 ustawy o ochronie danych osobowych, a także naruszenie art. 107 § 1 w zw. z art. 9 i art. 11 k.p.a. Organ prowadzący postępowanie – GIODO- był zobowiązany z urzędu zebrać i przeprowadzić dowody służące wyjaśnieniu sprawy. Tymczasem nie wyjaśnił podnoszonych przez niego wątpliwości, co do stanu faktycznego sprawy ograniczając się tylko do lakonicznego stwierdzenia, że to strona nie przytoczyła żadnych dowodów na udokumentowanie jej twierdzeń. W niniejszej sprawie powołane zostały wszystkie okoliczności, jakie strona powołać mogła. Podkreślił, że GIODO dysponując sprzecznymi oświadczeniami stron postępowania na temat wykonywania obowiązków w zakresie ochrony danych osobowych, powinien podjąć działania z urzędu celem ustalenia stanu faktycznego sprawy. Ponadto zdaniem skarżącego organ nie odniósł się do jego wątpliwości dotyczących przestrzegania przez [...] S.A. obowiązków wynikających z art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych. W związku z tym uzasadnienie zaskarżonej decyzji niespełnia wymagań stawianych mu przez art. 107 § 1 k.p.a. [...] S.A. zarzuciła w skardze: po pierwsze dokonanie błędnej wykładni art. 7 pkt 1 uodo polegającej na uznaniu, że ze zbiorem danych osobowych mamy do czynienia, nawet wówczas gdy dane osobowe są dostępne w zestawie tylko według jednego kryterium, wbrew literalnemu brzmieniu tego przepisu; po drugie naruszenie art. 33 w zw. z art. 32 ust. 1 pkt 1-5a, art. 18 ust. 1 pkt 1 i art. 22 ww. ustawy w zw. z art. 138 § 1 pkt 1 k.p.a. – poprzez utrzymanie w mocy decyzji zobowiązującej [...] S.A. do spełnienia obowiązku informacyjnego z art. 33 ustawy pomimo, że dane osobowe uczestnika nie są zawarte w zbiorze danych osobowych; po trzecie zaś wskazała na brak wszechstronnego wyjaśnienia podstawy prawnej decyzji, tj. wskazania dlaczego zestawy w których dane osobowe są dostępne tylko według jednego kryterium należy uznać za zbiory danych osobowych w rozumieniu ustawy o ochronie danych osobowych. Zdaniem Spółki obowiązki informacyjne, o których mowa w art. 33 w zw. z art. 32 ustawy odnoszą się do danych zawartych w zbiorach danych. Natomiast dane W. S. , które posiada [...] nie spełniają wymogu z art. 7 pkt 1 uodo bowiem istnienie jednego tylko kryterium dostępności (data wpływu/wysłania) wyklucza możliwość uznania, że [...] S.A. przetwarza dane W. S. w zbiorze danych osobowych. GIODO w odpowiedzi na powyższe skargi wniósł o ich oddalenie podtrzymując w całości stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Mając na uwadze zarzuty skarg organ stwierdził, że postępowanie prowadził poprawnie i rzetelnie, co zaowocowało ustaleniem okoliczności przetwarzania danych osobowych W. S. przez [...] S.A. Zarzut naruszenia art. 14 uodo należy uznać za bezzasadny albowiem organ odebrał pisemne wyjaśnienia od stron postępowania co pozwoliło na ustalenie okoliczności faktycznych i wyczerpało przedmiot postępowania, umożliwiając podjęcie rozstrzygnięcia w sprawie. Dalej wskazał, że ze zgromadzonego materiału dowodowego nie wynikało, aby w trakcie rozmowy telefonicznej, podczas której Spółka prezentowała ofertę marketingową skarżącemu, przetwarzane były jego dane osobowe w zakresie imienia i nazwiska. Trudno zatem było przypisywać Spółce działanie niezgodne z przepisami ustawy, w szczególności art. 23 ust. 1 pkt 5 w zw. z art. 26 ust. 1 pkt 2 ustawy. Odnosząc się natomiast do zarzutów podniesionych w skardze [...] S.A., GIODO stwierdził, iż przychyla się do stanowiska prezentowanego w doktrynie, według którego wystarcza występowanie jednego kryterium wyszukiwawczego w zestawieniu danych aby zakwalifikować je jako zbiór danych w rozumieniu art. 7 pkt 1 ustawy o ochronie danych osobowych, mimo że stanowisko to nie odpowiada literalnemu brzmieniu definicji sformułowanej w tym przepisie. W ocenie organu, wykładnia językowa powinna w tym przypadku ustąpić pierwszeństwa wykładni celowościowej. Jego zdaniem Spółka przetwarzała - w korespondencji w niniejszej sprawie - dane osobowe skarżącego, które stanowią zestaw danych. Zestaw tych danych w ocenie organu stanowił zbiór danych w rozumieniu art. 7 pkt 1 ustawy. Wobec powyższego i w związku z niewypełnieniem obowiązku informacyjnego wobec skarżącego organ słusznie nakazał Spółce usuniecie uchybień na mocy art. 18 ust. 1 pkt 1 ustawy o ochronie danych osobowych w związku z jej art. 22. Wojewódzki Sąd Administracyjny w Warszawie uwzględnił obie skargi, gdyż w sprawie doszło do naruszenia zarówno przepisów postępowania w stopniu mogącym mieć wpływ na prawidłowość dokonanego przez organ rozstrzygnięcia, jak też przepisu prawa materialnego, poprzez niewłaściwą jego interpretację. Sąd wskazał, że z art. 33 ust. 1 ustawy o ochronie danych osobowych w zw. z art. 32 ust. 1 tej ustawy wynika, że obowiązki informacyjne określone w tym przepisie dotyczą tylko administratorów zbiorów danych. Sąd podkreślił, że ani z uzasadnienia zaskarżonej decyzji, ani z decyzji ją poprzedzającej nie wynikało jednak, aby organ uznał w następstwie przeprowadzonego postępowania wyjaśniającego, że [...] S.A. przetwarza dane osobowe W. S., w związku ze złożoną mu propozycją marketingową, w zbiorze danych co było istotą jego skargi do GIODO. Organ ten, zdaniem Sądu, uznał jedynie, że zestaw danych osobowych dotyczący skarżącego, a przetwarzany przez Spółką w korespondencji związanej ze skargą do GIODO wypełnia przesłanki ustawowe definicji zbioru danych. Dalej Sąd podkreślił, że skoro ustawodawca użył w art. 7 pkt 1 uodo sformułowania "kryteria" w liczbie mnogiej, to zgodnie z założeniem racjonalnego ustawodawcy należy przyjąć, że dostępność zestawu danych o charakterze osobowym musi być możliwa w oparciu, o co najmniej dwa kryteria (vide: wyrok NSA z dnia 12 stycznia 2007 r. sygn. akt I OSK 218/06, LEX nr 290699). Stanowiska odmienne są sprzeczne z wykładnią językową i podważają świadomy wybór racjonalnego ustawodawcy. Zaznaczył, że cechą konieczną zbioru danych na gruncie przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych jest zatem posłużenie się co najmniej dwoma kryteriami umożliwiającymi dostęp do znajdujących się w nim danych. Wobec powyższego Sąd stwierdził, że z dotychczasowych ustaleń poczynionych przez organ nie wynika, czy [...] S.A. przetwarzała dane osobowe W. S. w zbiorze danych. Nie wyjaśnienie tej okoliczności, jako mającej istotne znaczenie dla prawidłowego i pełnego rozstrzygnięcia sprawy, nie daje podstaw do nałożenia na [...] S.A. obowiązku informacyjnego określonego w art. 33 ust. 1 i 2 ustawy o ochronie danych osobowych. Sąd zalecił by organ ponownie rozpoznając sprawę ustalił w sposób nie budzący wątpliwości, czy [...] S.A. przetwarza dane osobowe W. S. w zbiorze danych, a tym samym, czy spełniona została przesłanka niezbędna do nałożenia na Spółkę obowiązku informacyjnego określonego w art. 33 ustawy o ochronie danych osobowych, uwzględniając przy tym dokonaną przez Sąd w niniejszej sprawie wykładnię przepisu art. 7 pkt 1 tej ustawy. W skardze kasacyjnej zaskarżającej powyższy wyrok w całości GIODO zarzucił Sądowi naruszenie art. 134 P.p.s.a. i art. 3 § 1 P.p.s.a. w zw. z art. 1 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. 2002 r. Nr 153, poz. 1269 ze zm.) w wyniku niewłaściwej kontroli nad postępowaniem administracyjnym poprzez błędne przyjęcie, że z ustaleń poczynionych przez organ nie wynika, że [...] S.A. przetwarza dane osobowe Pana W. S. w zbiorze danych, a ponadto przez błędne przyjęcie, że GIODO wydał decyzję z dnia [...] stycznia 2012 r. (znak: [...]; z naruszeniem art. 7, art. 77 § 1, art. 80 oraz art. 107 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. 2000 r. Nr 98, poz. 1071 ze zm.) co miało istotny wpływ na wynik sprawy. Wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Motywując swoje stanowisko GIODO uznał, że w przedmiotowej sprawie ustalono w sposób wyczerpujący stan faktyczny sprawy i zebrano pełny materiał dowodowy, a zaskarżona decyzja - tak jak decyzja z dnia [...] lipca 2011 r. – została wydana w sposób niewadliwy i spełnia wymogi określone w art. 107 K.p.a. Stwierdził, że dokonał oceny, jaki zakres środków i czynności jest niezbędny dla ustalenia stanu faktycznego uwzględniając brzmienie art. 12 i art. 14 ustawy o ochronie danych osobowych. Ustalił kiedy, z jakiego źródła i w jakim zakresie Spółka pozyskała dane osobowe skarżącego, a następnie -mając na uwadze zakres odpowiedzi udzielonej Skarżącemu przez Spółkę - rozstrzygnął poprzez nakazanie Spółce spełnienie obowiązku informacyjnego z art. 33 ust. 1-2 ustawy o ochronie danych osobowych. Rozstrzygnięcia i uzasadnienia uwzględniają zarówno zarzuty stron tego postępowania, jak również zawierają ocenę wszechstronnie zebranego materiału dowodowego oraz subsumcję stanu faktycznego do przepisów ustawy o ochronie danych osobowych oraz ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. 2004 r. Nr 171, poz. 1800 ze zm.), a zatem uchylone przez WSA decyzje Generalnego Inspektora spełniają wymogi określone w art. 7, 77 §, 80 i art. 107 ustawy Kodeks postępowania administracyjnego. Zatem zarzut WSA w tym zakresie należy uznać za nieuzasadniony. GIODO nie zgadza się z rozstrzygnięciem WSA dotyczącym zarzutów nieustalenia, że dane osobowe Skarżącego są przetwarzane w zbiorze oraz błędnego uznania przez Generalnego Inspektora, że zestaw danych, zawierający dane osobowe Skarżącego, jest zbiorem danych w rozumieniu art. 7 pkt 1 ustawy o ochronie danych osobowych. Organ wskazuje, że adres lokalu oraz numer telefonu Skarżącego zostały przez Spółkę zgromadzone w systemie informatycznym Spółki, a weryfikacja danych osobowych Skarżącego w tym systemie odbyła się poprzez numer telefonu. Ponadto, Spółka posiadała dostęp do danych osobowych skarżącego w zakresie imienia, nazwiska, numeru telefonu, numeru ID Kit, nazwy ulicy, numeru telefonu stacjonarnego, na stronie internetowej o adresie http://[...]. Zdaniem GIODO trudno w tym stanie faktycznym uznać, że informacje dotyczące Skarżącego, a pozyskane z ww. źródeł, nie zostały zgromadzone w żadnym zbiorze danych przez Spółkę. Informacje Ogólne zawarte w Ofercie Ramowej, do których dostęp miała Spółka, są pozyskiwane całościowo, a nie w sposób podzielony, cząstkowy (pakietowy), a zatem nie można zgodzić się z twierdzeniem Spółki, że cyt.: "adresy lokali związanych z węzłami LLU (...) oraz numery telefonów związanych i węzłami LLU (...) nie są ze sobą powiązane. Ponadto dane osobowe Skarżącego zostały zgromadzone przez Spółkę w toku wymiany korespondencji z pełnomocnikiem Skarżącego oraz w związku z postępowaniem przed Generalnym Inspektorem. Powyższe zgromadzenie informacji z tylu źródeł oraz w takim zakresie w stosunku do Skarżącego, nie budziło wątpliwości Generalnego Inspektora w zakresie uznania, że dane osobowe Skarżącego są przetwarzane w zbiorze. GIODO przywołał orzecznictwo, z którego wynika słuszność jego twierdzeń o interpretacji sformułowania "kryteriów" w art. 7 pkt 1 ustawy o ochronie danych osobowych, określającym definicję zbioru danych. Dowodzi on, że sformułowanie «kryteriów» użyte w definicji zbioru danych osobowych odnosi się do ich różnorodności, a zatem nie tylko do wyszukiwania poprzez kryterium identyfikacyjne (osobowe), ale także przez każde kryterium, które umożliwia dostęp do danych osobowych znajdujących się w zestawie, co skutkuje uznaniem tego zestawu za zbiór danych osobowych w rozumieniu art. 7 pkt 1 ustawy o ochronie danych osobowych. Zatem wystarcza występowanie jednego kryterium wyszukiwawczego w zestawieniu danych, aby zaklasyfikować je jako zbiór danych w rozumieniu art. 7 pkt 1 u.o.d.o., mimo że stanowisko to nie odpowiada literalnemu brzmieniu definicji sformułowanej w art. 7pkt 1 u.o.d.o. Podniósł za poglądem doktryny, że skrupulatne przestrzeganie wymogu co najmniej dwóch kryteriów otwierałoby pole do łatwego obchodzenia ustawy i stawiałoby pod znakiem zapytania osiągnięcie celów, jakim ta ustawa ma służyć. Wobec powyższego stanowisko GIODO wyrażone w decyzji z dnia [...] stycznia 2012 r. oraz poprzedzającej ją decyzji z dnia [...] lipca 2011 r. należy uznać za prawidłowe. Naczelny Sąd Administracyjny zważył co następuje: Stosownie do treści art. 183 § 1 ustawy z dnia 30 sierpnia 2002r. prawo o postępowaniu przed sądami administracyjnymi (Dz.U.2002.153.1270 ze zm., dalej zwana p.p.s.a.), Naczelny Sąd Administracyjny rozpoznaje konkretną sprawę w granicach zarzutów skargi kasacyjnej, biorąc z urzędu pod rozwagę nieważność postępowania, która zachodzi w przypadkach przewidzianych w § 2 tego artykułu. W badanej sprawie nie występuje jednak żadna z wad wymienionych we wspomnianym przepisie, które mogłyby świadczyć o nieważności postępowania prowadzonego przez Wojewódzki Sąd Administracyjny w Warszawie i których zaistnienie powodowałoby konieczność zakończenia sprawy, co do zasady, już na tym etapie postępowania kasacyjnego. W niniejszej sprawie skarga kasacyjna zawierała zarzuty odnoszące się do naruszenia przepisów prawa procesowego. Ich uchybienie skutkować mogłoby wzruszeniem kwestionowanego wyroku jedynie wówczas gdyby miało to istotny wpływ na wynik sprawy w rozumieniu art. 174 pkt. 2 p.p.s.a. Wskazać w tym miejscu należy na wskazywaną przez Skarżącego normę zawartą w art. 134 p.p.s.a. W myśl postanowień zawartych w §1 tego przepisu sąd rozstrzyga w granicach danej sprawy, nie będąc związany zarzutami ,wnioskami skargi, powołaną podstawą prawną. Zawarty w tej nomie wymóg co do rozstrzygania przez sąd w granicach danej sprawy oraz braku związania zarzutami i wnioskami skargi , powołaną podstawą prawną powinien być tak rozumiany, iż wprawdzie sąd orzeka w konkretnej sprawie i w występującym w niej przedmiocie, zasadniczo nie rozwiązując problemów generalnych (ogólnych), to w tych granicach jest zobowiązany do dokonania oceny legalności zaskarżonego aktu. Stosownie do art. 1 § 1 ustawy - Prawo o ustroju sądów administracyjnych oraz art. 3§1 p.p.s.a., sądy administracyjne zostały powołane do tego, aby sprawować wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta jest sprawowana pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej (art.1§ 2 ustawy – Prawo o ustroju sądów administracyjnych). Rację ma skarżący kasacyjnie, iż w niniejszej sprawie dokonana przez sąd I instancji ocena legalności decyzji nie odpowiadała wskazanej w skardze kasacyjnej normie art. 134p.p.s.a. W istocie bowiem jak wynika z zapisu tej oceny, zawartej w uzasadnieniu wyroku zawiera treści, pozostające ze sobą w sprzeczności. I tak na stronie 12 uzasadnienia sąd I instancji wywiódł, że "....z kontrolowanych decyzji nie wynika, by organ uznał w następstwie przeprowadzonego postępowania, że spółka przetwarza dane osobowe skarżącego w związku z propozycją marketingową, z uzasadnienia zaskarżonej decyzji wynika, że organ uznał za przetwarzane przez spółkę dane osobowe skarżącego, wynikające z korespondencji w niniejszej sprawie ...."Jednocześnie na stronie 13 uzasadnienia znalazło się stwierdzenie, że "....organ nie ustalił, by spółka przetwarzała dane osobowe, tym samym za niewyjaśnione uznać należało podstawowe okoliczności , mające istotne znaczenie dla wyniku sprawy, nie ustalono bowiem, czy w sprawie zaistniały przesłanki z art. 33 ust.1 i 2 ustawy ochronie danych osobowych...". Powyższe oznacza zdaniem Naczelnego Sądu Administracyjnego, iż Sąd I instancji z jednej strony, przyjął, iż organy nie poczyniły w sprawie istotnych ustaleń, z drugiej zaś wywiódł, że takie ustalenia poczyniono poprzez przyjęcie braku przetwarzania danych osobowych w związku z propozycję marketingową i ich przetwarzanie odnoszące się do danych osobowych skarżącego, związanych z korespondencją w niniejszej sprawie. Wskazana rozbieżność wyklucza dokonanie kontroli sądowoadministracyjnej, która w okolicznościach niniejszej sprawy winna doprowadzić do zbadania legalności działań Generalnego Inspektora w trybie przepisów ustawy o ochronie danych osobowych. Konstrukcja uzasadnienia wyroku wojewódzkiego sądu administracyjnego, na którą składają się wskazywane powyżej rozbieżności nie pozwala na odtworzenie toku myślowego sądu pierwszej instancji. W ocenie Naczelnego Sądu Administracyjnego analiza decyzji obu instancji prowadzi do wręcz przeciwnych wniosków. Wynika z niej, że Generalny Inspektor poczynił rozważania i ustalenia co do przetwarzania danych osobowych skarżącego zarówno odnosząc się do tych, które spółka pozyskała w celach marketingowych, jak i związanych z korespondencją w niniejszej sprawie. W tym stanie rzeczy Sąd I instancji winien ocenić ich zgodność z mającymi zastosowanie w sprawie normami prawa materialnego, zawartymi w ustawie o ochronie danych osobowych, jak z normami prawa procesowego stanowiącymi o konieczności zgromadzenia wyczerpującego materiału dowodowego zgodnie z art. 7, 77§1 kpa, jego oceny zgodnej z art. 80 kpa . Tymczasem kontrolowany Sąd zaniechał oceny rzeczywistych ustaleń i rozważań, dokonanych przez organ, w świetle zgromadzonego materiału dowodowego. Ponownie rozpoznając sprawę zgodnie z art. 134 p.p.s.a. sąd rozstrzygnie mając na uwadze granice całej sprawy. Jeśli poczynione przez organ ustalenia i rozważania uzna za niewystarczające, w sposób nie budzący wątpliwości wskaże w uzasadnieniu wyroku jakich ustaleń i rozważań brak, określi czynności które należy podjąć, aby istotne dla sprawy okoliczności zostały wyjaśnione. Mając powyższe na względzie Naczelny Sąd Administracyjny na podstawie art. 185 §1 p.p. s.a. orzekł jak w pkt.1 sentencji O kosztach postępowania kasacyjnego orzeczono na zasadzie art. 207§2 p.p.s.a.