II SA/Wa 289/12

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Pisula-Dąbrowska, Sędziowie WSA Ewa Grochowska-Jung, Ewa Marcinkowska (spr.), Protokolant ref. staż. Małgorzata Ciach, po rozpoznaniu na rozprawie w dniu 4 czerwca 2012 r. sprawy ze skarg W. S. oraz N. S.A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2012 r. nr [...] w przedmiocie spełnienia obowiązku informacyjnego odnośnie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2011r.; 2. stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości; 3. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz skarżącego W. S. kwotę 257 (dwieście pięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania; 4. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz skarżącego N. S.A. z siedzibą w W. kwotę 257 (dwieście pięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania Generalny Inspektor Ochrony Danych Osobowych (dalej: GIODO) decyzją nr [...] z dnia [...] stycznia 2012 r. wydaną na podstawie art. 138 § 1 pkt 1 k.p.a., art. 12 pkt 2, art. 22, art. 18 ust. 1 pkt 1 w związku z art. 33, art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po ponownym rozpatrzeniu sprawy, utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] lipca 2011 r. nr [...] nakazującą spełnienie przez N. S.A. wobec W. S. obowiązku określonego w art. 33 ustawy o ochronie danych osobowych oraz odmawiającą uwzględnienia wniosku w pozostałym zakresie. Do wydania powyższych decyzji doszło w następującym stanie faktycznym i prawnym: Do Biura GIODO wpłynęła skarga W. S. o nakazanie N. S.A. z siedzibą w W. udzielenia informacji w sprawie przetwarzania jego danych osobowych. Z treści skargi wynikało, iż W. S. zarzuca Spółce naruszenie przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, poprzez niewypełnienie wobec niego obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy. W skardze sformułowany został wniosek o wydanie decyzji administracyjnej "nakazującej" N. S.A. (...) udzielenie skarżącemu informacji odnośnie przetwarzania jego danych osobowych zgodnie z jego wnioskiem z dnia 2 listopada 2010 r. skierowanym do N. S.A". W celu rozpatrzenia przedmiotowego wniosku GIODO przeprowadził postępowanie wyjaśniające, w toku którego ustalił, że pismem z dnia 2 listopada 2010 r. W. S. wystąpił do N. S.A. na podstawie art. 33 ust. 1-2 ustawy o ochronie danych osobowych o udzielenie informacji na piśmie w następującym zakresie: jakie jego dane osobowe są przetwarzane przez N. S.A. oraz przez podmioty działające na zlecenie N.. S. A., w jaki sposób zebrano te dane osobowe, w jakim celu są one przetwarzane oraz w jakim zakresie oraz komu zostały udostępnione te dane osobowe. Na powyższe pismo N. S.A. nie udzieliła odpowiedzi wnioskodawcy. Po wpłynięciu skargi do GIODO Spółka w dniu 20 stycznia 2011 r. skierowała pismo do W. S., w którym zwróciła się o podanie numeru telefonu, na który w dniu 26 października 2010 r. o godz. 20:17 wykonane zostało połączenie telefoniczne, które zdaniem skarżącego było akcją marketingową w imieniu N. S.A. Następnie w piśmie z dnia 11 marca 2011 r. skierowanym do skarżącego Spółka poinformowała, iż "nie przetwarza danych osobowych W. S. (...). W chwili obecnej dane W. S. są przetwarzane w związku z prowadzoną korespondencją oraz prowadzonym przez GIODO postępowaniem". Ponadto, Spółka wyjaśniła, iż "podmioty działające na zlecenie Spółki również w chwili obecnej nie przetwarzają danych osobowych W. S. Dane W. S. zostały pozyskane od T. S.A., jak bowiem każdy inny operator korzystający z usług hurtowych T. S.A. N. S.A. ma dostęp do tzw. Informacji Ogólnych, których zakres jest zdefiniowany w Ofercie Ramowej wydanej przez UKE". Ponadto zostało wskazane, iż "Spółka przekazała informację ogólnodostępną (jedynie nr telefonu) podmiotom współpracującym ze Spółką, realizującym wsparcie procesu telesprzedaży usług Spółki". W piśmie z dnia 14 marca 2011 r. skierowanym do GIODO N. S.A. wyjaśniła natomiast, iż "w chwili obecnej Spółka przetwarza dane W. S. na podstawie art. 23 ust. 1 pkt 5 ustawy, w związku z prowadzonym przez GIODO postępowaniem oraz prowadzoną korespondencją ze skarżącym za pośrednictwem jego pełnomocnika". Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] lipca 2011 r. nr [...] wydaną na podstawie art. 12 pkt 2, art. 22, art. 18 ust. 1 pkt 1 w związku z art. 33 ust. 1-2, art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych nakazał N. S.A. z siedzibą w W., spełnienie wobec W. S. obowiązku informacyjnego określonego w art. 33 ust. 1-2 ustawy o ochronie danych osobowych, tj. udzielenie informacji jakie jego dane osobowe są przetwarzane przez N. S.A. oraz przez podmioty działające na zlecenie N. S.A. oraz w jakim zakresie i komu zostały udostępnione dane osobowe W. S., natomiast w pozostałym zakresie odmówił uwzględnienia wniosku. W uzasadnieniu decyzji GIODO podkreślił, iż w niniejszej sprawie zbadał zarówno legalność przetwarzania danych osobowych skarżącego jak również okoliczność niewypełnienia wobec niego obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy. W ocenie organu nie ma podstaw do stwierdzenia, iż dane osobowe skarżącego zostały pozyskane przez Spółkę w sposób sprzeczny z ustawą o ochronie danych osobowych. Ustalone w sprawie okoliczności faktyczne nakazują bowiem uznać, iż dane osobowe skarżącego Spółka pozyskała od T. S.A. na zasadzie dostępu "do tzw. Informacji Ogólnych, których zakres zdefiniowany jest w Ofercie Ramowej wydanej przez UKE. Informacje te zawierają między innymi adresy lokali związanych z węzłami LLU (Local loop unbundling) oraz numery telefonów związanych z węzłami LLU". Podstawowym celem oferty ramowej jest zaś rzeczywiste otwarcie rynku dostępu do pętli abonenckiej w Polsce, poprzez obniżenie opłat i ustalenie precyzyjnych zasad współpracy operatorów. Organ powołał się przy tym na treść art. 43 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. Nr 171, poz. 1800 z późn. zm.) w konkluzji stwierdzając, iż Spółka pozyskała dane skarżącego na podstawie art. 23 ust. 1 pkt 5 ustawy, w wyniku wykonywania prowadzonej działalności gospodarczej w celach marketingowych. Spółka jako operator działający na polskim rynku i korzystający z usług hurtowych T. S.A. miała prawo pozyskać numer telefonu skarżącego w ramach dostępu do węzłów LLU, pod warunkiem, iż nie był to numer zastrzeżony. Odnosząc się zaś do kwestii niewypełnienia wobec skarżącego przez Spółkę w terminie ustawowym obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy organ wskazał, iż do dnia dzisiejszego Spółka nie udzieliła pełnej odpowiedzi w żądanym przez skarżącego zakresie. Spółka poinformowała skarżącego skąd pozyskała jego dane oraz o celu ich pozyskania i przetwarzania. Spółka wypełniając ciążący na niej obowiązek zobowiązana była jednak do udzielenia pełnej odpowiedzi skierowanej bezpośrednio do skarżącego, w której dokładnie ustosunkowałaby się do treści jego pytań. Spółka poza wskazaniem źródła i celu pozyskania oraz przetwarzania danych, powinna była zatem wyjaśnić skarżącemu jakie jego dane osobowe są przetwarzane przez N. S.A. oraz przez podmioty działające na zlecenie N. S. A., a także w jakim zakresie oraz komu zostały one udostępnione. Wobec powyższego zasadne jest nakazanie przez GIODO udzielenia przez Spółkę informacji skarżącemu, w zakresie wskazanym w decyzji. Działanie Spółki niewątpliwie naruszyło bowiem przepisy ustawy o ochronie danych osobowych, w zakresie niewypełniania dyspozycji jej art. 33. Powyższa decyzja została zaskarżona przez obie strony postępowania, które wystąpiły do GIODO z wnioskami o ponowne rozpatrzenie sprawy. W. S. we wniosku o ponowne rozpatrzenie sprawy zarzucił organowi nienależyte wyjaśnienie ustalonego stanu faktycznego wskazując, iż jego imię i nazwisko było przetwarzane przez Spółkę "co najmniej od chwili złożenia (...) propozycji o charakterze marketingowym w toku rozmowy telefonicznej, a to ze względu na sposób rozmowy, tj. zwracanie się (...) z wykorzystaniem imienia i nazwiska." Ponadto, skarżący podniósł, iż N. S.A. nie podała, kiedy pozyskała jego dane, bowiem "(...) oferta ramowa określająca ramowe warunki dostępu telekomunikacyjnego w zakresie rozpoczynania i zakańczania połączeń, hurtowego dostępu do sieci T. dostępu do łączy abonenckich w sposób zapewniający dostęp pełny lub współdzielony (...)" stanowi, że "udostępnieniu podlegają m.in. adres zakończenia sieci (adres abonenta) oraz dane łącza (numer telefonu), a nie imię i nazwisko abonenta". Jednocześnie, skarżący wskazał, iż celem udostępnienia informacji ogólnych jest umożliwienie podjęcia decyzji o współpracy z T. S.A., nie zaś ułatwienie działań marketingowych przedsiębiorcy telekomunikacyjnego. W związku z powyższym skarżący podniósł, iż mogło dojść do naruszenia przez Spółkę art. 23 ust. 1 pkt 5 oraz art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych. N. S.A. we wniosku o ponownego rozpatrzenie sprawy wskazała natomiast, iż spełnienie obowiązku informacyjnego płynącego z art. 33 ust. 1 ustawy o ochronie danych osobowych dotyczy tylko tych administratorów danych, którzy przetwarzają dane w zbiorze a nie w zestawie co ma miejsce w przedmiotowym przypadku. Spółka zaznaczyła, że pisma dotyczące W. S. przechowuje w segregatorze ułożone wg daty wpływu lub wysłania pisma. Ponadto, Spółka podniosła, iż numer telefonu w chwili przekazywania danych nie był połączony z jakimikolwiek innymi danymi, a zatem nie umożliwiał określenia tożsamości osoby, której dotyczył, bez ponoszenia nadmiernych kosztów, czasu lub działań po stronie Spółki, co w konsekwencji oznacza, iż numer ten nie był daną osobową. W związku z zarzutami podniesionymi we wniosku W. S. GIODO zwrócił się pisemnie do N. S.A. o dodatkowe wyjaśnienia. W odpowiedzi na ww. pismo, Spółka w piśmie z dnia 8 listopada 2011 r. wyjaśniła, iż uzyskała w kwietniu 2008 roku jedynie numer telefonu W. S. N. S.A. pozyskała dwukrotnie dane W. S. Po raz pierwszy dane pozyskał partner na podstawie art. 23 ust. 1 pkt 5 w związku z art. 2 ust. 3 ustawy ze spisu abonentów. Po raz drugi dane W. S. zostały pozyskane na podstawie art. 23 ust. 1 pkt 5 ustawy, w związku z prowadzoną korespondencją pomiędzy N. S.A., a skarżącym. Ponadto, Spółka wyjaśniła, że powiązanie numeru telefonu z danymi W. S. nastąpiło w pozyskanej od skarżącego informacji dotyczącej przedmiotowego numeru (skarżący podał numer telefonu na jaki kontaktował się partner), a powiązanie to istnieje jedynie w przedmiotowej korespondencji. GIODO, w wyniku ponownego rozpatrzenia sprawy, decyzją nr [...] z dnia [...] stycznia 2012 r. wydaną na podstawie art. 138 § 1 pkt 1 k.p.a., art. 12 pkt 2, art. 22, art. 18 ust. 1 pkt 1 w związku z art. 33, art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] lipca 2011 r. W uzasadnieniu decyzji organ podtrzymał swoją wcześniejszą argumentację. Odnosząc się do zarzutu W. S., że jego imię i nazwisko znane było Spółce co najmniej od chwili złożenia propozycji o charakterze marketingowym w toku rozmowy telefonicznej organ podniósł, iż skarżący nie wskazał na żadne nowe okoliczności w tej kwestii, jak również nie przedłożył dowodów, które potwierdzałyby stawiany zarzut. Organ w ramach uzupełnienia materiału dowodowego uzyskał natomiast od Spółki w piśmie z dnia 8 listopada 2011 r. dodatkowe wyjaśnienia, z których wynika, że Spółka pozyskała jedynie numer telefonu skarżącego w kwietniu 2008 r., zaś powiązanie numeru telefonu z danymi osobowymi skarżącego nastąpiło w wyniku dostępu do spisu abonentów, o czym Spółka informowała skarżącego w piśmie z dnia 11 marca 2011 r. Nie można zatem uznać, iż Spółka składała "propozycję o charakterze marketingowym" z naruszeniem ustawy o ochronie danych osobowych. Nie można też wykluczyć, iż Spółka uzyskała dostęp do tego spisu od T. S.A. w ramach umowy o korzystanie z pętli abonenckiej, o której właściwościach Spółka wcześniej posiadała informacje jedynie w zakresie wskazanym w ramach dostępu do "Informacji Ogólnych zdefiniowanych w Ofercie Ramowej". W kwestii natomiast zarzutu W. S., dotyczącego możliwości naruszenia przez Spółkę art. 23 ust. 1 pkt 5 oraz art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych organ wskazał, iż brak jest dowodów na to, że Spółka - w ramach dostępu do "Informacji ogólnych (...)" pozyskała dane osobowe skarżącego, w tym także jego imię i nazwisko, a następnie przetwarzała te dane w celu marketingu własnych produktów i usług. Powiązanie numeru telefonu z danymi osobowymi skarżącego nastąpiło w późniejszym okresie ze spisu abonentów, do którego dostęp wymaga hasła i loginu, a zatem nie jest to powszechny, jawny i ogólnodostępny spis abonentów. Może to wskazywać, iż Spółka otrzymała na mocy stosownych porozumień, dostęp do tego spisu od T. S.A. w ramach zawarcia umowy o korzystanie z pętli, której informacje ogólne są ogłaszane przez Prezesa Urzędu Komunikacji Elektronicznej. Organ zwrócił przy tym uwagę, że nie jest możliwe zwiększenie konkurencyjności na rynku, jeżeli przedsiębiorca telekomunikacyjny nie ma możliwości przedstawienia swojej oferty w trakcie rozmowy telefonicznej z potencjalnym klientem (przyszłym abonentem). Zmiany w ustawie z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne mają natomiast na celu dostosowanie przepisów krajowych do przepisów unijnych, które przewidują m.in. poprawę konkurencyjności, umożliwienie przejścia operatorów pomiędzy operatorami, czy też zapewnienie migracji z usług BSA i WLR do dostępu LLU, zaś brak dostosowania tych przepisów do przepisów unijnych może prowadzić do konieczności stosowania przepisów unijnych wprost, także w zakresie, w jakim aktualne możliwości infrastrukturalne nie umożliwiają ich wdrożenia. Nie jest zatem właściwym stawianie zarzutu naruszenia ustawy o ochronie danych osobowych przez Spółkę w sytuacji, gdy przedsiębiorca telekomunikacyjny realizuje postanowienia przepisów prawa. Odnosząc się natomiast do zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy przez N. S.A., organ przypomniał, iż zgodnie z brzmieniem art. 7 pkt 1 ustawy o ochronie danych osobowych, zbiorem danych jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Powołując się obszernie na poglądy doktryny oraz orzecznictwo co do rozumienia pojęcia zbioru danych organ stwierdził, iż za bezzasadne należy uznać twierdzenie Spółki, wskazane w jej piśmie z dnia 14 marca 2011 r., iż nie przetwarza danych W. S. w żadnym zbiorze danych osobowych, bowiem analiza przepisów prawa, doktryny i orzecznictwa dowodzi, iż zestaw danych osobowych dotyczący skarżącego, a przetwarzany przez Spółkę w korespondencji w niniejszej sprawie, wypełnia przesłanki ustawowe definicji zbioru danych osobowych. Nie można też uznać za zasadne twierdzenia Spółki, iż przekazując informację ogólnodostępną podmiotom współpracującym ze Spółką w postaci numeru telefonu, nie udostępniono danych W. S. Zarówno W. S., jak i N. S.A. wnieśli skargi na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie. W. S. w skardze zarzucił GIODO naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, poprzez naruszenie art. 7 w zw. z art. 77 § 1, art. 80 i art. 11 k.p.a. oraz w zw. z art. 14 ustawy o ochronie danych osobowych, a także naruszenie art. 107 § 1 w zw. z art. 9 i art. 11 k.p.a. W uzasadnieniu skargi skarżący podkreślił, iż GIODO prowadzi postępowanie administracyjne w rozstrzyganych przez siebie sprawach zgodnie z przepisami proceduralnymi ustawy o ochronie danych osobowych oraz - stosowanymi subsydiarnie – przepisami Kodeksu postępowania administracyjnego. Zaś jedną z podstawowych zasad postępowania dowodowego na gruncie k.p.a. jest zasada oficjalności postępowania dowodowego, zgodnie z którą organ prowadzący postępowanie jest zobowiązany z urzędu zebrać i przeprowadzić dowody służące wyjaśnieniu sprawy. Skarżący zarzucił, iż organ w toku ponownego rozpoznania sprawy nie wyjaśnił podnoszonych przez niego wątpliwości, co do stanu faktycznego sprawy ograniczając się tylko do lakonicznego stwierdzenia, że to strona nie przytoczyła żadnych dowodów na udokumentowanie jej twierdzeń. Tymczasem obowiązek ustalenia stanu faktycznego sprawy spoczywa nie na stronie, ale na organie prowadzącym postępowanie. Strona powołała w niniejszej sprawie wszystkie okoliczności, jakie powołać mogła - w szczególności, co najmniej dwukrotnie przytoczyła treść rozmowy telefonicznej, w której osoba działająca w imieniu N. S.A. używała jej imienia i nazwiska. W ocenie skarżącego, w sytuacji gdy GIODO dysponuje sprzecznymi oświadczeniami stron postępowania na temat wykonywania obowiązków w zakresie ochrony danych osobowych, powinien podjąć działania z urzędu celem ustalenia stanu faktycznego sprawy. Skarżący zarzucił ponadto, że organ w zaskarżonej decyzji nie ustosunkował się do podniesionych przez niego wątpliwości dotyczących przestrzegania przez N. S.A. obowiązków wynikających z art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych. GIODO w arbitralny sposób uznał bowiem, że N. S.A. działała na podstawie przepisów ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne, a więc jej działania nie naruszają przepisów ustawy o ochronie danych osobowych. Nie sposób tym samym uznać, że uzasadnienie zaskarżonej decyzji spełnia wymagania stawiane mu przez art. 107 § 1 k.p.a. Ponadto, brak odniesienia się do konkretnych wątpliwości podnoszonych przez stronę narusza w sposób oczywisty tzw. zasadę przekonywania wyrażoną w art. 11 k.p.a. N. S.A. w skardze zarzuciła natomiast GIODO naruszenie: 1. art. 7 pkt 1 ustawy o ochronie danych osobowych - poprzez dokonanie jego błędnej wykładni polegającej na uznaniu, że ze zbiorem danych osobowych mamy do czynienia, nawet wówczas gdy dane osobowe są dostępne w zestawie tylko według jednego kryterium, wbrew literalnemu brzmieniu tego przepisu, w którym mowa jest o "kryteriach" w liczbie mnogiej; 2. art. 33 w zw. z art. 32 ust. 1 pkt 1-5a, art. 18 ust. 1 pkt 1 i art. 22 ww. ustawy w zw. z art. 138 § 1 pkt 1 k.p.a. – poprzez utrzymanie w mocy decyzji zobowiązującej N. S.A. do spełnienia wobec uczestnika obowiązku informacyjnego określonego w art. 33 ustawy pomimo, że dane osobowe uczestnika nie są zawarte w zbiorze danych osobowych; 3. art. 7 i art. 107 § 3 k.p.a. - poprzez brak wszechstronnego wyjaśnienia podstawy prawnej decyzji, tj. wskazania dlaczego zestawy w których dane osobowe są dostępne tylko według jednego kryterium należy uznać za zbiory danych osobowych w rozumieniu ustawy o ochronie danych osobowych, pomimo, że przepis ustawy wyraźnie wskazuje na wymóg dostępności danych osobowych przynajmniej według dwóch kryteriów. W uzasadnieniu skargi podkreślono, że obowiązki informacyjne, o których mowa w art. 33 w zw. z art. 32 ustawy odnoszą się do danych zawartych w zbiorach danych. W niniejszej sprawie powyższa przesłanka jednak nie zachodzi. Dla zaistnienia zbioru danych osobowych, zgodnie z definicją ustawową zawartą w art. 7 pkt 1 ustawy, konieczne jest bowiem, aby dane w zbiorze dostępne były według określonych kryteriów. Doktryna i orzecznictwo wskazują zaś dość jednoznacznie, że użycie w przepisie słowa "kryteria" w liczbie mnogiej wyklucza z zakresu pojęcia "zbiór danych osobowych" zestawy danych dostępnych według tylko jednego kryterium. W niniejszej sprawie istnieje tymczasem tylko jedno kryterium dostępności, co też zostało wyraźnie potwierdzone przez GIODO w skarżonej decyzji. Dane osobowe W. S. N. S.A. posiada bowiem zawarte w pismach dotyczących postępowań prowadzonych przez GIODO. Pisma te są ułożone w segregatorze chronologicznie (według daty wpływu/wysłania). Istnienie zatem jednego tylko kryterium dostępności wyklucza możliwość uznania, że N. S.A. przetwarza dane W. S. w zbiorze danych osobowych. Ponadto, nawet ww. kryterium nie odnosi się bezpośrednio do danych osobowych, jest to bowiem kryterium dostępu do pism, które mogą, ale nie muszą zawierać danych osobowych. Dopiero po wydobyciu konkretnego pisma możliwe jest zaś uzyskanie dostępu do zawartych w nim danych, jednak nie są one tam ułożone według żadnych określonych kryteriów (stanowią po prostu element treści pisma). GIODO w odpowiedzi na powyższe skargi wniósł o ich oddalenie podtrzymując w całości stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Odnosząc się do zarzutów podniesionych w skardze W. S. dotyczących naruszenia art. 7, art. 77, art. 80, art. 11 k.p.a. w związku z art. 14 ustawy, organ podniósł, iż niniejsze postępowanie zostało przeprowadzone poprawnie i rzetelnie, a celem tego postępowania było ustalenie okoliczności przetwarzania danych osobowych skarżącego przez N. S.A. W ocenie organu zarzut dotyczący naruszenia art. 14 ustawy należy uznać za bezzasadny, bowiem GIODO skorzystał z uprawnień przysługujących mu w tym przepisie i odebrał pisemne wyjaśnienia i dowody od stron postępowania. Trudno zatem ocenić, o jakie dodatkowe czynności chodzi skarżącemu, tudzież, jakie dodatkowe "czynności dowodowe" miałby podjąć Generalny Inspektor, skoro odebrane pisemne wyjaśnienia pozwoliły na ustalenie okoliczności faktycznych, wyczerpały przedmiot postępowania i umożliwiły podjęcie rozstrzygnięcia w sprawie. Odnoszą się zaś do zarzutu dotyczącego naruszenia art. 107 § 1 k.p.a. w zw. z art. 9 i art. 11 k.p.a., poprzez nie odniesienie się przez GIODO do zarzutu, że Spółka naruszyła przepisy art. 23 ust. 1 pkt 5 w zw. z art. 26 ust. 1 pkt 2 ustawy organ wskazał, iż ze zgromadzonego materiału dowodowego nie wynika, aby w trakcie rozmowy telefonicznej, podczas której Spółka prezentowała ofertę marketingową skarżącemu, przetwarzane były jego dane osobowe w zakresie imienia i nazwiska. Trudno zatem było przypisywać Spółce działanie niezgodne z przepisami ustawy, w szczególności art. 23 ust. 1 pkt 5 w zw. z art. 26 ust. 1 pkt 2 ustawy. W ocenie GIODO zaskarżona decyzja została wydana po rzetelnym przeprowadzeniu postępowania administracyjnego i zawiera zarówno analizę zgromadzonego materiału dowodowego, jak również ocenę tego materiału i uzasadnienie rozstrzygnięcia przez pryzmat przepisów powszechnie obowiązującego prawa oraz z uwzględnieniem zarzutów skarżącego. Powyższe działanie wyczerpuje zatem dyspozycję art. 9 i art. 11 k.p.a. Odnosząc się natomiast do zarzutów podniesionych w skardze N. S.A., GIODO stwierdził, iż przychyla się do stanowiska prezentowanego w doktrynie, według którego wystarcza występowanie jednego kryterium wyszukiwawczego w zestawieniu danych aby zakwalifikować je jako zbiór danych w rozumieniu art. 7 pkt 1 ustawy o ochronie danych osobowych, mimo że stanowisko to nie odpowiada literalnemu brzmieniu definicji sformułowanej w tym przepisie. W ocenie organu, wykładnia językowa powinna w tym przypadku ustąpić pierwszeństwa wykładni celowościowej. Zdaniem organu z analizy art. 7 pkt 1 ustawy oraz zgromadzonego materiału dowodowego w sprawie wynika wprost, iż Spółka przetwarza - w korespondencji w niniejszej sprawie - dane osobowe skarżącego, które stanowią zestaw danych. Zestaw tych danych w ocenie organu stanowi zbiór danych w rozumieniu art. 7 pkt 1 ustawy, bowiem dostęp do tych danych jest możliwy poprzez datę wpływu pisma/datę wysłania pisma, co zostało także wyjaśnione przez Spółkę w jej piśmie z dnia 20 lipca 2011 r., a tym samym jest to kryterium dostępu do danych osobowych w zestawie danych tworzących zbiór danych. Z zebranego materiału dowodowego wynika ponadto, iż Spółka nie wypełniła wobec skarżącego obowiązku informacyjnego z art. 32 ust. 1 pkt 1- 5a ustawy w zw. z jej art. 33. W tym stanie faktycznym Generalny Inspektor - stosownie do brzmienia art. 18 ustawy o ochronie danych osobowych - słusznie nakazał zatem Spółce usuniecie uchybień na mocy art. 18 ust. 1 pkt 1 ustawy o ochronie danych osobowych w związku z jej art. 22. Wojewódzki Sąd Administracyjny zważył, co następuje: Zgodnie z art. 1 § 1 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym w świetle paragrafu drugiego powołanego wyżej artykułu kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Innymi słowy, wchodzi tutaj w grę kontrola aktów lub czynności z zakresu administracji publicznej dokonywana pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów odnoszących się do słuszności rozstrzygnięcia. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy – Prawo o postępowaniu przed sądami administracyjnymi). Rozpoznając skargi W. S. oraz N. S.A. w świetle powołanych wyżej kryteriów Sąd stwierdził, że zasługują one na uwzględnienie, gdyż w sprawie doszło do naruszenia zarówno przepisów postępowania w stopniu mogącym mieć wpływ na prawidłowość dokonanego przez organ rozstrzygnięcia, jak też przepisu prawa materialnego, poprzez niewłaściwą jego interpretację. Skarżący W. S. we wniosku skierowanym do GIODO zwrócił się o wydanie decyzji nakazującej N. S.A. wypełnienie w stosunku do niego obowiązku informacyjnego odnośnie przetwarzania jego danych osobowych, wynikającego z art. 33 ust. 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.). GIODO, w wyniku rozpoznania powyższej skargi, w decyzji z dnia [...] lipca 2011 r. nakazał N. S.A. spełnienie wobec W. S. obowiązku informacyjnego określonego w art. 33 ust. 1-2 ustawy o ochronie danych osobowych, tj. udzielenie informacji jakie jego dane osobowe są przetwarzane przez N. S.A. oraz przez podmioty działające na zlecenie N. S.A. oraz w jakim zakresie oraz komu zostały udostępnione dane osobowe W. S., natomiast w pozostałym zakresie odmówił uwzględnienia wniosku. Analiza treści art. 33 ust. 1 ustawy o ochronie danych osobowych w powiązaniu z art. 32 ust. 1 tej ustawy prowadzi do jednoznacznego wniosku, że obowiązki informacyjne określone w tym przepisie dotyczą tylko administratorów zbiorów danych. Warunkiem niezbędnym do zastosowania tego przepisu w stanie faktycznym niniejszej sprawy było więc uprzednie ustalenie przez organ, że N. S.A. przetwarza dane osobowe W. S. w zbiorze danych. W. S. w skardze skierowanej do GIODO powołał się na fakt przetwarzania przez N. S.A. jego danych osobowych w związku z otrzymaną od Spółki drogą telefoniczną w dniu 26 października 2010 r. propozycją o charakterze marketingowym. Zarówno z uzasadnienia zaskarżonej decyzji, jak i z decyzji ją poprzedzającej nie wynika jednak, aby organ uznał w następstwie przeprowadzonego postępowania wyjaśniającego, że N. S.A. przetwarza dane osobowe W. S., w związku ze złożoną mu propozycją marketingową, w zbiorze danych. Z uzasadnienia zaskarżonej decyzji, a także z odpowiedzi na skargę wynika jedynie, iż organ uznał, że zestaw danych osobowych dotyczący skarżącego, a przetwarzany przez Spółkę w korespondencji w niniejszej sprawie zainicjowanej skargą wniesioną przez W. S. do GIODO, wypełnia przesłanki ustawowe definicji zbioru danych osobowych. Zestaw tych danych, w ocenie organu, stanowi zbiór danych w rozumieniu art. 7 pkt 1 ustawy, bowiem dostęp do tych danych jest możliwy poprzez datę wpływu pisma/datę wysłania pisma. Organ podkreślił przy tym, iż przychyla się do stanowiska prezentowanego w doktrynie, według którego wystarcza występowanie jednego kryterium wyszukiwawczego w zestawieniu danych aby zakwalifikować je jako zbiór danych w rozumieniu art. 7 pkt 1 ustawy o ochronie danych osobowych. W tym miejscu przypomnieć należy, iż zgodnie z art. 7 pkt 1 ustawy o ochronie danych osobowych ilekroć w ustawie jest mowa o zbiorze danych rozumie się przez to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępny według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. W ocenie Sądu skoro ustawodawca użył w tym przepisie sformułowania "kryteria" w liczbie mnogiej, to zgodnie z założeniem racjonalnego ustawodawcy należy przyjąć, że dostępność zestawu danych o charakterze osobowym musi być możliwa w oparciu, o co najmniej dwa kryteria (vide: wyrok NSA z dnia 12 stycznia 2007 r. sygn. akt I OSK 218/06, LEX nr 290699). Wprawdzie w literaturze prezentowane jest także stanowisko odmienne, zgodnie, z którym zbiór danych to posiadające strukturę zestawienie danych dostępnych, co najmniej według jednego kryterium wyszukiwawczego - J. Barta, P. Fajgielski, R. Markiewicz, komentarz do art. 7 ustawy o ochronie danych osobowych – LEX 2011, ale uznać trzeba, że jest ono sprzeczne z wykładnią językową art. 7 pkt 1 ustawy, a ponadto jego przyjęcie byłoby oczywiście sprzeczne z paradygmatem racjonalnego ustawodawcy, który posłużył się w art. 7 pkt 1 ustawy terminem "kryterium" używając go jednak w liczbie mnogiej, co uznać trzeba za świadomy wybór ustawodawcy. Cechą konieczną zbioru danych na gruncie przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych jest zatem posłużenie się co najmniej dwoma kryteriami umożliwiającymi dostęp do znajdujących się w nim danych. Przy czym należy zgodzić się z organem, iż z art. 7 pkt 1 ww. ustawy nie wynika, że dane osobowe muszą być w takim zbiorze danymi podstawowymi, a także, że kryterium dostępu do danych osobowych muszą być dane identyfikacyjne jak np. nazwisko, adres, PESEL. Przenosząc powyższe rozważania na grunt niniejszej sprawy należy stwierdzić, iż z dotychczasowych ustaleń poczynionych przez organ nie wynika, czy N. S.A. przetwarza dane osobowe W. S. w zbiorze danych. Organ nie wyjaśnił tym samym podstawowej okoliczności mającej istotne znaczenie dla prawidłowego i pełnego rozstrzygnięcia sprawy. Organ nie wyjaśnił bowiem, czy w stanie faktycznym niniejszej sprawy spełniona została przesłanka niezbędna do nałożenia na N. S.A. obowiązku informacyjnego określonego w art. 33 ust. 1 i 2 ustawy o ochronie danych osobowych. Należy w tym miejscu przypomnieć, iż zgodnie z art. 22 ustawy o ochronie danych osobowych, postępowanie w sprawach uregulowanych w niniejszej ustawie prowadzi się według przepisów Kodeksu postępowania administracyjnego, o ile przepisy ustawy nie stanowią inaczej. Wydanie prawidłowej decyzji przez GIODO w każdym przypadku poprzedzać powinno więc dokładne ustalenie stanu faktycznego i prawnego istotnego w sprawie (stosownie do wymogów art. 7, 77 § 1 i 80 k.p.a.). Treść uzasadnienia podjętej decyzji powinna natomiast dokumentować wypełnienie przez organ wymienionych obowiązków procesowych (art. 107 k.p.a.). W ocenie Sądu zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych nie odpowiada powyższym wymogom. Rozpoznając ponownie sprawę organ zobowiązany będzie zatem ustalić w sposób nie budzący wątpliwości, czy N. S.A. przetwarza dane osobowe W. S. w zbiorze danych, a tym samym, czy spełniona została przesłanka niezbędna do nałożenia na Spółkę obowiązku informacyjnego określonego w art. 33 ustawy o ochronie danych osobowych, uwzględniając przy tym dokonaną przez Sąd w niniejszej sprawie wykładnię przepisu art. 7 pkt 1 tej ustawy. Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie, orzekł jak w sentencji wyroku, działając na podstawie art. 145 § 1 pkt 1 lit. a) i c) ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi. Stwierdzając, że zaskarżona decyzja nie podlega wykonaniu w całości, Sąd działał na podstawie art. 152 p.p.s.a. O kosztach postępowania Sąd orzekł na podstawie art. 200 w zw. z art. 205 § 2 p.p.s.a.