I OSK 1850/14

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Borowiec (spr.) Sędziowie NSA Maciej Dybowski del. NSA Jacek Hyla Protokolant starszy asystent sędziego Łukasz Mazur po rozpoznaniu w dniu 9 grudnia 2015 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej T.Z. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 10 kwietnia 2014 r. sygn. akt II SA/Wa 1401/13 w sprawie ze skargi T.Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2013 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) oddala skargę kasacyjną 2) zasądza od T.Z. na rzecz Generalnego Inspektora Ochrony Danych Osobowych kwotę 180 (słownie: sto osiemdziesiąt) złotych, tytułem zwrotu kosztów postępowania kasacyjnego. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 10 kwietnia 2014 r. sygn. akt II SA/WA 1401/13 oddalił skargę T.Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2013 r. nr [...] w przedmiocie przetwarzania danych osobowych (pkt 1) oraz przyznał ze środków budżetowych Wojewódzkiego Sądu Administracyjnego w Warszawie na rzecz adwokata [...] kwotę 240 zł oraz kwotę 55,20 zł stanowiącą 23% podatku VAT, tytułem nieopłaconej pomocy prawnej udzielonej z urzędu (pkt 2). Wyrok został wydany w następującym stanie faktycznym i prawnym sprawy. T.Z. w skardze skierowanej do Generalnego Inspektora Ochrony Danych Osobowych, dotyczącej przetwarzania jego danych osobowych przez E. S.A. z siedzibą w B., wniósł o wydanie zakazu przetwarzania w całości jego danych osobowych przez Spółkę, o usunięcie uchybień w zakresie posiadania jego nieaktualnego, nieważnego adresu, o usunięcie jego danych osobowych przez Spółkę, gdyż nie łączą go z tym podmiotem żadne stosunki prawne. W toku postępowania wyjaśniającego organ ustalił, że wierzytelność wynikająca z umowy kredytu nr [...], zawartej pomiędzy skarżącym a G. S.A., została wykupiona przez S. Sp. z o.o., następnie na podstawie umowy cesji scedowana na rzecz E. Ostatecznie E. S.A. nabyła tę wierzytelność od Funduszu w oparciu o umowę cesji z [...] marca 2011 r. Oznacza to, że Spółka, jako właściciel zobowiązania wynikającego z powyższej umowy kredytowej, jest administratorem danych osobowych skarżącego, o czym został on poinformowany pismem z dnia 23 maja 2011 r. Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] lutego 2013 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j.: Dz. U. z 2000r. Nr 98, poz. 1071 ze zm., dalej w skrócie K.p.a.), art. 12 pkt 2, art. 22 w zw. z art. 23 ust. 1 pkt 5 i art. 35 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm., dalej w skrócie u.o.d.o.), odmówił uwzględnienia wniosku. W uzasadnieniu decyzji podał, że nie stwierdził podstaw do zakwestionowania legalności przetwarzania danych osobowych skarżącego przez Spółkę. Nie podzielił również zarzutu skarżącego dotyczącego naruszenia przez Spółkę przepisów ustawy o ochronie danych osobowych, poprzez nieuaktualnienie jego danych osobowych, albowiem skarżący, nie podając swojego nowego adresu, uniemożliwił Spółce dokonanie tej czynności. Skarżący, nie zgadzając się z powyższym rozstrzygnięciem, złożył wniosek o ponowne rozpatrzenie sprawy, po którego rozpoznaniu Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] czerwca 2013 r. nr [...] utrzymał w mocy zaskarżoną decyzję. Organ uzasadniając wydane rozstrzygnięcie w pierwszej kolejności wskazał, że dokonywał oceny legalności przetwarzania danych osobowych skarżącego, natomiast nie badał kwestii istnienia lub nieistnienia wobec skarżącego wierzytelności, ani słuszności i zakresu dochodzonych wobec niego roszczeń cywilnoprawnych. Są to sprawy cywilne, które powinny być rozpatrywane w postępowaniach prowadzonych przez sądy powszechne. Oceniając istnienie przesłanek legalizujących przetwarzanie przez Spółkę danych osobowych skarżącego stwierdził, że stanowi ją art. 23 ust. 1 pkt 5 u.o.d.o. Zgodnie z tym przepisem przetwarzanie danych osobowych jest dopuszczalne, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Powołany przepis jest ściśle skorelowany z art. 23 ust. 4 u.o.d.o., który w pkt 2 określa, że za prawnie usprawiedliwiony cel uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Następnie, powołując również treść art. 509 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. Nr 16, poz. 93 ze zm., dalej w skrócie K.c.) wskazał, że na podstawie umowy cesji, o której mowa w tym przepisie, Spółka prowadząc działalność gospodarczą w zakresie wykupu wierzytelności, nabyła wierzytelność wobec skarżącego. W ocenie organu zbycie wierzytelności firmie windykacyjnej (a w konsekwencji udostępnienie także danych osobowych dłużnika), mające na celu uzyskanie niezapłaconej kwoty wynikającej z tytułu świadczonych na rzecz klienta usług, stanowi realizację przez administratora prawnie usprawiedliwionego celu, o którym mowa w art. 23 ust. 1 pkt 5 u.o.d.o. Taki wniosek znajduje analogiczne zastosowanie również w odniesieniu do podstaw pozyskania danych przez ich odbiorcę, którym jest Spółka. Zdaniem organu, analizowane przetwarzanie danych osobowych nie może być postrzegane jako naruszające prawa i wolności osoby, której te dane dotyczą. Powyższy zapis ustawowy nie może być bowiem wykorzystywany jako podstawa uchylenia się od spełnienia zaległych zobowiązań wobec podmiotu prowadzącego legalną działalność gospodarczą. Generalny Inspektor Danych Osobowych nie podzielił zarzutu skarżącego dotyczącego przetwarzania przez Spółkę jego nieaktualnych danych osobowych. Wskazał, że skarżący wprawdzie kilkakrotnie informował Spółkę, że jego dotychczasowy adres jest nieaktualny, to jednak w żaden sposób tego nie wykazał, w szczególności nie podał innego adresu czy to jego zamieszkania, czy do korespondencji, który mógłby być uznany za obecnie właściwy do kontaktu ze skarżącym. Przedłożone przez skarżącego zaświadczenie, iż w lokalu nr [...] przy ul. [...] w [...] nikt nie jest zameldowany, nie dowodzi, że skarżący pod tym adresem nie zamieszkuje. Niemożliwe jest dokonanie uaktualnienia, a zatem odnotowania zmiany uprzedniego adresu osoby fizycznej, w sytuacji gdy nie wiadomo jaki obecnie inny adres jest dla niej właściwy. Skarżący nie wskazał bowiem Spółce swojego adresu, oznajmiając, że jest on "tajny, niejawny". Powyższa decyzja stała się przedmiotem skargi T.Z. do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której wniósł o jej uchylenie w całości, z uwagi na jej bezzasadność, bezprawność, bezpodstawność, jak i brak podstawy prawnej i faktycznej jej wydania w tym kształcie i czasie. Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie i podtrzymał dotychczasową argumentację przedstawioną w uzasadnieniu zaskarżonej decyzji. W piśmie z dnia 11 grudnia 2013 r. skarżący, reprezentowany przez adwokata, uzupełnił skargę w ten sposób, że zaskarżonej decyzji zarzucił: I. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj.: a) art. 32 ust.1 pkt 6 i art. 35 u.o.d.o., poprzez jego błędną wykładnię i uznanie, że prawo do żądania uaktualnienia adresu skarżącego poprzez usunięcie nieaktualnego adresu z bazy danych nie przysługuje skarżącemu w sytuacji, gdy równocześnie z żądaniem usunięcia z bazy danych starego miejsca zamieszkania nie podał administratorowi danych swojego nowego miejsca zamieszkania; b) art. 35 u.o.d.o., poprzez jego błędną wykładnię i uznanie, że pomimo przesłania w toku sprawy zaświadczenia z dnia 15 listopada 2010 r., wydanego przez Urząd Miasta [...], potwierdzającego, iż pod adresem starego miejsca zamieszkania skarżącego nikt nie jest obecnie zameldowany, skarżący nie wykazał, że jego dane osobowe dotyczące adresu są nieaktualne; c) art. 23 ust. 1 pkt 5 i art. 23 ust. 4 pkt 2 u.o.d.o., poprzez jego błędną wykładnię i uznanie, że przetwarzanie danych osobowych skarżącego przez administratora danych jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów, a ich przetwarzanie nie narusza praw i wolności skarżącego w sytuacji, gdy roszczenie przysługujące wobec skarżącego jest już przedawnione oraz przy jednoczesnym uznaniu prymatu prawnie usprawiedliwionego celu przetwarzania danych osobowych skarżącego przez administratora danych nad prawami i wolnościami osoby, których te dane osobowe dotyczą; 2. naruszenie prawa procesowego, które miało istotny wpływ na wynik sprawy, tj.: a) art. 8 K.p.a., art. 15 K.p.a. i 107 § 1 K.p.a., poprzez brak prawidłowego uzasadnienia prawnego i faktycznego skarżonej decyzji w sytuacji, gdy organ ograniczył się w przeważającej części do dokładnego powtórzenia w jej oryginalnym brzmieniu argumentacji zawartej w poprzedzającej skarżoną decyzję decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2013 r., co jest wyraźnie sprzeczne z zasadą prowadzenia postępowania administracyjnego w sposób budzący zaufanie jego uczestników do władzy publicznej oraz zasadą dwuinstancyjności postępowania administracyjnego; b) art. 138 § 1 pkt 1 K.p.a. w zw. z art. 22 u.o.d.o., poprzez utrzymanie w mocy decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2013 r., podczas gdy prawidłowym rozstrzygnięciem winno być zgodnie z art. 138 § 1 pkt 2 K.p.a. w zw. z art. 22 u.o.d.o. uchylenie decyzji w całości i orzeczenie co do istoty sprawy poprzez nakazanie administratorowi danych usunięcia danych ze zbioru; W związku z powyższym, na podstawie art. 145 § 1 ust. 1 pkt a i c ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j.: Dz. U. z 2012r. poz 270 ze zm., dalej w skrócie p.p.s.a.) wniósł o uchylenie zaskarżonej decyzji oraz na podstawie art. 135 p.p.s.a. rozważenie uchylenia poprzedzającej ją decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2013 r. oraz na podstawie art. 200 p.p.s.a. o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych. Uzasadniając powyższe zarzuty skarżący podał, że zgodnie z przepisami prawa, w tym z art. 5 ust. 1 ustawy z dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych (t.j.: Dz. U. z 2006 r. Nr 139, poz. 993 ze zm.), niedopuszczalna jest sytuacja, w której nie byłby on zameldowany w lokalu [...] przy ul. [...] w [...], pomimo dalszego w nim zamieszkiwania. W ocenie skarżącego, przedkładając zaświadczenie z dnia 15 listopada 2010 r. wykazał, że jego dane osobowe dotyczące adresu znajdujące się w zbiorze Spółki są nieaktualne i jako takie winny podlegać uaktualnieniu. Skarżący nie zgodził się ze stanowiskiem organu, że uaktualnienie danych co do jego adresu jest możliwe tylko w przypadku podania aktualnego adresu, a nie poprzez wykazanie, że dotychczasowe dane są nieaktualne. Skarżący podzielił stanowisko organu, że kwestia badania cywilnoprawnych podstaw roszczeń nie leży w gestii organu, to jednak uznał, że ocena czy przetwarzanie danych osobowych odbywa się "dla wypełnienia celów prawnie usprawiedliwionych" nie może odbywać się w całkowitym oderwaniu od jego kontekstu gospodarczego i rodzaju roszczenia. Zbycie firmie windykacyjnej roszczenia oraz udostępnienie danych osobowych dłużnika cesjonariuszowi w sytuacji, gdy przelew dotyczy wierzytelności przedawnionej, a tym samym jako roszczenia niezupełnego – wierzytelności faktycznie nieściągalnej od jakiegokolwiek dłużnika, nie ma na celu faktycznie dochodzenia roszczeń z tytułu prowadzonej działalności gospodarczej, które mogłoby zostać uznane za przetwarzanie danych osobowych niezbędnych dla wypełnienia "prawnie usprawiedliwionych celów", lecz jest jedynie formą represjonowania dłużników, prowadzącą do nieuprawnionego naruszenia ich praw i wolności. Zdaniem skarżącego pozyskanie i przetwarzanie jego danych osobowych narusza jego wolności oraz umniejsza gwarancje i prawa, jakie mu przysługują jako konsumentowi. Wojewódzki Sąd Administracyjny w Warszawie uznał, że skarga nie zasługuje na uwzględnienie. W uzasadnieniu wyroku podał treść art. 18 ust. 1 u.o.d.o. i stwierdził, że w rozpoznawanej sprawie organ zasadnie uznał brak podstaw do wydania decyzji nakazującej Spółce usunięcie danych osobowych skarżącego. Generalny Inspektor Ochrony Danych Osobowych jako podstawę materialnoprawną zaskarżonej decyzji podał m.in. art. 23 ust. 1 pkt 5 u.o.d.o. Zgodnie z tym przepisem przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w tym przepisie, uważa się – stosownie do treści art. 23 ust. 4 pkt 2 u.o.d.o. – dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Dokonując wykładni przepisów u.o.d.o., należy wziąć pod uwagę cele i podstawowe założenia tej ustawy, określone w jej art. 1 ust. 2, gdzie podano, że przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich i że należy za każdym razem wyważyć dobra, które legły u jej podstaw. Prawo do ochrony danych osobowych jako jeden z elementów prawa do ochrony własnej prywatności ulega ograniczeniu z uwagi na interes publiczny lub usprawiedliwiony interes innych osób, czyli nie jest to prawo o charakterze absolutnym, jak większość praw chronionych konstytucyjnie. Zasadą wypracowaną przy stosowaniu ustawy o ochronie danych osobowych stało się przetwarzanie danych osobowych za zgodą osoby zainteresowanej, której dane te dotyczą (art. 23 ust. 1 pkt 1 u.o.d.o.). Nie oznacza to jednak, iż przesłanka uzyskania zgody na przetwarzanie danych osobowych ma pierwszeństwo stosowania przed innymi przesłankami dopuszczającymi przetwarzanie danych osobowych, wg określonych ustawowo zawężonych kryteriów, bez zgody osoby zainteresowanej. Przesłanki zawarte w przepisie art. 23 ust. 1 pkt 1-5 u.o.d.o. są równorzędne, niezależne od siebie i dla przesądzenia o tym, że przetwarzanie danych jest dopuszczalne wystarczy wykazanie zaistnienia jednej z nich. Z ustaleń organu, które nie zostały skutecznie zakwestionowane przez skarżącego wynika, że G. S.A. posiadał wobec skarżącego wierzytelność pieniężną wynikającą z umowy kredytu, która ostatecznie w wyniku umowy cesji z dnia [...] marca 2011 r. przeszła na E. S.A., prowadzącą działalność gospodarczą w zakresie wykupu wierzytelności. Skarżący w skardze kierowanej do organu zarzucił, że Spółka nie udowodniła następstwa prawnego oraz akcentował fakt przedawnienia roszczenia objętego ewentualnym następstwem prawnym. Sąd pierwszej instancji, odnosząc się do powyższych kwestii wskazał, że w sprawie fakt nabycia przez Spółkę wierzytelności skarżącego został w toku prowadzonego przez organ postępowania wykazany i nie jest aktualnie przez skarżącego kwestionowany. W zakresie natomiast oceny zawartych umów istotną jest okoliczność, że Generalny Inspektor Ochrony Danych Osobowych nie jest władny do dokonywania oceny prawidłowości umów cywilnoprawnych i powstałych na tym gruncie sporów, gdyż właściwość rzeczową w tym zakresie posiadają jedynie sądy powszechne. Organ nie może badać, czy umowa jest ważna i prawnie skuteczna, albowiem w tym przypadku organ administracji publicznej, jakim niewątpliwie jest GIODO, wykraczałby poza swoje ustawowo określone kompetencje. Dla Generalnego Inspektora Ochrony Danych Osobowych zawarta umowa jest czynnością prawną niepodlegającą jego ocenie, wywołującą skutki prawne do czasu, dopóki nie zostanie zakwestionowana w formie i trybie przewidzianym przez prawo (por. np. wyrok NSA z dnia 26 maja 2009 r., I OSK 808/08, Lex nr 513109, wyrok WSA w Warszawie z dnia 19 lipca 2007 r., II SA/Wa 678/07, Lex nr 368229). Ustawa o ochronie danych osobowych nie ogranicza swobody prowadzenia działalności gospodarczej przez przedsiębiorców. Zawarcie umowy przelewu wierzytelności wywołuje skutki prawne regulowane zarówno przepisami Kodeksu cywilnego, jak i przepisami ustawy o ochronie danych osobowych. Rozważenie dopuszczalności, skuteczności, czy też ważności umowy przelewu należy do sądów powszechnych, ewentualnie w niektórych jej aspektach, może być również przedmiotem zainteresowania Prezesa Urzędu Ochrony Konkurencji i Konsumentów. Jest to aspekt cywilnoprawny tej sprawy, który nie może być przedmiotem zainteresowania organu administracji publicznej. W niniejszej sprawie zadanie organu ograniczało się zatem do zbadania w toku postępowania, czy w wyniku zawartych umów cywilnoprawnych dane osobowe skarżącego mogły być udostępnione, zgodnie z przepisami ustawy o ochronie danych osobowych. Generalny Inspektor Ochrony Danych Osobowych w toku prowadzonego postępowania wykazał, że podjęte działania, w zakresie dokonania cesji wierzytelności, nie pozostawały w sprzeczności z postanowieniami ustawy o ochronie danych osobowych. Nie był on natomiast uprawniony do badania kwestii istnienia lub nieistnienia wierzytelności, w tym stwierdzenia, czy przedawnienie zobowiązania skutkuje jego wygaśnięciem oraz obowiązku zwrotu długu. Wojewódzki Sąd Administracyjny w Warszawie uznał, iż organ trafnie stwierdził, że dokonanie przelewu wierzytelności jest nierozerwalnie związane z przekazaniem danych osobowych dłużnika. Przepis art. 509 § 2 K.c. stanowi, że wraz z wierzytelnością przechodzą na nabywcę wszelkie związane z nią prawa, a więc i prawo do dysponowania danymi osobowymi dłużnika w celu realizacji długu. Nabywca wierzytelności, poprzez dokonaną czynność cywilnoprawną, staje się samoistnym posiadaczem danych osobowych dłużnika. Zostaje zatem administratorem danych osobowych i przetwarza dane osobowe na własny rachunek i ryzyko. Korzysta z takich samych praw i obowiązków w zakresie przetwarzania danych osobowych, jakie przysługiwały poprzedniemu administratorowi danych. W sytuacji, gdy doszło do zbycia wierzytelności, uznać należy, iż stanowiło to działanie mieszczące się w pojęciu dochodzenia roszczeń z tytułu prowadzonej działalności gospodarczej. Prawnie usprawiedliwiony cel administratora danych osobowych, zezwalający na ich przetwarzanie, znajduje oparcie w przepisie art. 66 K.c., odnoszącym się do oferty zawarcia umowy. Oferta sprzedaży wierzytelności musi zawierać istotne postanowienia umowy, co m.in. oznacza, że wierzytelność musi być skonkretyzowana. W rozpoznawanej sprawie ujawniono tylko te dane, które były do tego celu niezbędne. Zdaniem Sądu pierwszej instancji, przetwarzanie przez Spółkę danych osobowych skarżącego nie narusza także jego praw i wolności. Rozstrzygając o legalności przetwarzania danych osobowych, trzeba każdorazowo znaleźć równowagę między prawami i wolnościami jednostki a prawnie usprawiedliwionym interesem osoby trzeciej (por. wyrok Sądu Apelacyjnego w Warszawie z dnia 5 lutego 2008 r., VI ACa 897/07, Lex nr 434473). Prawidłowe jest stanowisko organu, że gdyby każdy przypadek przetwarzania danych osobowych dłużnika uznać za godzący w jego prawa i wolności, to doszłoby z jednej strony do niczym nieusprawiedliwionej ochrony podmiotów niewywiązujących się ze swoich zobowiązań, z drugiej natomiast do naruszenia zasady swobody działalności gospodarczej. Skarżący, jako dłużnik, musi liczyć się z tym, że popadając w zwłokę w spełnianiu zobowiązania jego prawo do prywatności może zostać ograniczone ze względu na roszczenia dochodzone przez wierzyciela. W orzecznictwie podkreśla się, że ochrona dóbr jednych nie może odbywać się kosztem naruszenia praw innych, co można pośrednio bądź bezpośrednio wywieść z wielu przepisów Konstytucji RP (art. 2, art. 22, art. 31 ust. 3, art. 32 ust. 1, art. 83) (por. wyrok WSA w Warszawie z dnia 21 września 2005 r., II SA/Wa 1443/05, Lex nr 204649). Wojewódzki Sąd Administracyjny w Warszawie nie podzielił stanowiska skarżącego, iż przetwarzanie jego danych osobowych jest jedynie formą represjonowania, prowadzącą do naruszenia jego praw i wolności, a to w kontekście tego, iż wierzytelność jako przedawniona jest nieściągalna, gdyż okoliczności sprawy nie wskazują, aby taki cel przyświecał działalności organu. Skoro Generalny Inspektor Danych Osobowych nie był uprawniony do badania cywilnoprawnych podstaw roszczeń, czego skarżący ostatecznie nie kwestionuje, to nie mógł, w ramach oceny, czy przetwarzanie danych osobowych dłużnika przez administratora danych odbywa się dla wypełnienia celów prawnie usprawiedliwionych, odnosić się do kwestii przedawnienia roszczenia i dokonywać jej z perspektywy wierzytelności faktycznie nieściągalnej. Ten aspekt sprawy pozostaje poza jakąkolwiek oceną organu, na co powyżej wskazano. Sąd pierwszej instancji uznał również, iż organ prawidłowo stwierdził, że Spółka nie naruszyła przepisów ustawy o ochronie danych osobowych poprzez nieuaktualnienie danych osobowych skarżącego. Wobec postawy skarżącego, który żądając usunięcia dotychczasowego adresu, nie wskazał adresu aktualnego, dokonanie powyższej czynności nie było możliwe. Zgodnie z art. 35 ust. 1 u.o.d.o., w razie wykazania przez osobę, której dane osobowe dotyczą, że są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są zbędne do realizacji celu, dla którego zostały zebrane, administrator danych jest obowiązany, bez zbędnej zwłoki, do uzupełnienia, uaktualnienia, sprostowania danych, czasowego lub stałego wstrzymania przetwarzania kwestionowanych danych lub ich usunięcia ze zbioru, chyba że dotyczy to danych osobowych, w odniesieniu do których tryb ich uzupełnienia, uaktualnienia lub sprostowania określają odrębne ustawy. Celem cytowanego przepisu jest uszczegółowienie procedury wykonywania przez osobę, której dane dotyczą, tzw. uprawnień korekcyjnych. Istotą skorzystania z tych uprawnień jest powstanie zmiany o charakterze merytorycznym w treści danych osobowych przetwarzanych przez administratora danych. Okoliczności przedmiotowej sprawy w korelacji z treścią powyższego przepisu, prowadzą do wniosku, że w ramach przysługujących skarżącemu uprawnień korekcyjnych, mógł on domagać się od administratora danych uaktualnienia jego adresu. Aby jednak jego żądanie było zasadne i zobowiązujące Spółkę do jego realizacji, skarżący powinien wskazać aktualny adres zamieszkania. Organ prawidłowo przyjął, że uaktualnienie oznacza czynienie aktualnym, a więc obowiązującym w danej chwili. Uaktualnienie adresu polega na zastąpieniu adresu starego, nieaktualnego, adresem nowym, czyli aktualnym. Skarżący nie wskazując aktualnego adresu miejsca zamieszkania w istocie nie żądał uaktualnienia tego adresu, lecz usunięcia części danych osobowych przetwarzanych przez Spółkę. Takie żądanie skarżącego nie znajduje oparcia w powołanym przepisie, co w konsekwencji prowadzi do wniosku, że jego zarzut dotyczący naruszenia przez administratora jego danych osobowych przepisów ustawy o ochronie danych osobowych poprzez nieuaktualnienie jego danych osobowych, jest nieuprawniony. Organ zasadnie także uznał, że skarżący przedkładając zaświadczenie stanowiące, iż w lokalu nr [...] przy ul. [...] w [...] nikt nie jest zameldowany, nie udowodnił niczego innego ponad to, co wynika z treści tego dokumentu. Zameldowanie jest pojęciem formalnym z dziedziny prawa administracyjnego i ma charakter ewidencyjny, a w istocie wyłącznie porządkowy. Zamieszkiwanie jest natomiast okolicznością faktyczną. Zameldowanie może być uznane za jedną z przesłanek ułatwiających ustalenie miejsca zamieszkania, nie można jednak postawić znaku równości pomiędzy zameldowaniem i zamieszkiwaniem, uwzględniwszy nawet wynikający z art. 5 ust. 1 ustawy z dnia 10 kwietnia 1974 r. o ewidencji i ludności i danych osobowych obowiązek meldunkowy. Są to odrębne kategorie – prawne i faktyczne, które zazwyczaj pokrywają się, ale nie jest to normą. Nie można zatem przyjąć, że skarżący podając, iż nie jest zameldowany pod ww. adresem, skutecznie wykazał, że pod tym adresem nie zamieszkuje. A to adres zamieszkiwania, a nie zameldowania jest przetwarzany przez Spółkę jako uprawnionego administratora danych osobowych skarżącego. W stanie faktycznym sprawy, podnoszone powyżej okoliczności nie mają jednak istotnego znaczenia. Przesądzające o prawidłowości stanowiska organu, a wcześniej Spółki jest niepodanie przez skarżącego jego aktualnego adresu. Ponadto podkreślić należy, iż skarżący argumentując w skardze, że przedkładając zaświadczenie z dnia 15 listopada 2010 r. wykazał, że jego dane osobowe dotyczące adresu znajdujące się w zbiorze Spółki są nieaktualne i jako takie winny podlegać uaktualnieniu, w istocie nie wskazuje na czym to uaktualnienie miałoby polegać. Z kolei twierdzenia skarżącego odnoszące się do możliwości przekazania jego nieaktualnych danych do Biura Informacji Gospodarczej pozostają poza przedmiotem rozpoznawanej sprawy, co skutkuje tym, iż Sąd nie jest uprawniony do ich oceny. Wojewódzki Sąd Administracyjny w Warszawie stwierdzając, że sformułowane w skardze zarzuty naruszenia prawa materialnego nie zasługują na uwzględnienie, nie podzielił także podanych w niej zarzutów naruszenia przepisów postępowania. Zaskarżona decyzja odpowiada wymogom zawartym w art. 107 § 1 K.p.a. Nie narusza również art. 8 i 15 K.p.a. Generalny Inspektor Ochrony Danych Osobowych jest centralnym organem administracji państwowej usytuowanym poza systemem organów administracji rządowej i od niej niezależnym. Spełnia kryteria wskazane w art. 5 § 2 pkt 4 K.p.a. i w rozumieniu przepisów Kodeksu postępowania administracyjnego powinien być traktowany jako "minister". Zgodnie z art. 21 ust. 1 ustawy o ochronie danych osobowych strona może zwrócić się do GIODO z wnioskiem o ponowne rozpatrzenie sprawy. Wniosek ten jest środkiem prawnym służącym od decyzji administracyjnej wydanej w pierwszej instancji. W wyniku jego wniesienia sprawa jest rozpatrywana ponownie przez ten sam organ, który wydał decyzję w pierwszej instancji. W niniejszej sprawie warunek ten został zrealizowany. Nie przeczy temu powtórzenie argumentacji użytej we wcześniejszej decyzji tego organu w sytuacji, gdy jest ona prawidłowa i uwzględniająca wszystkie aspekty rozpoznawanej sprawy. Odnotować należy, iż skarżący w lakonicznym wniosku o ponowne rozpatrzenie sprawy odwołał się do swojej wcześniejszej argumentacji. Organ, który już tę argumentację przeanalizował w pierwszej decyzji, nie był zobligowany do odnoszenia się do zarzutów skarżącego zawartych we wniosku o ponowne rozpatrzenie sprawy, gdyż zarzutów takich brak. Organ analizując ponownie skargę skarżącego ocenił, że wydane rozstrzygnięcie jest prawidłowe, co obligowało go do zastosowania art. 138 § 1 pkt 1 K.p.a. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., skargę oddalił. Przyznanie pełnomocnikowi z urzędu kosztów nieopłaconej pomocy prawnej nastąpiło na zasadzie art. 250 p.p.s.a. oraz § 9 i 20 w zw. z § 18 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 28 września 2002 r. w sprawie opłat za czynności adwokackie oraz przyznania przez Skarb Państwa kosztów nieopłaconej pomocy prawnej udzielonej z urzędu (Dz. U. z 2013 r., poz. 461). Skargę kasacyjną od powyższego wyroku do Naczelnego Sądu Administracyjnego wniósł T.Z., reprezentowany przez adwokata i zaskarżając wyrok w całości zarzucił: I. Na podstawie art. 174 pkt 1 p.p.s.a. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj.: 1) art. 32 ust.1 pkt 6 i art. 35 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j.: Dz. U. 2002 Nr 101, poz. 926 ze zm., dalej w skrócie u.o.d.o.) w zw. z art. 12 lit. b Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. U. WE L281/31, dalej w skrócie Dyrektywa 95/46/WE) oraz w zw. z art. 8 Karty Praw Podstawowych Unii Europejskiej (dalej w skrócie "Karta Praw Podstawowych UE), poprzez błędną wykładnię czynności "uaktualnienia danych" i uznanie, że prawo do żądania uaktualnienia adresu skarżącego, poprzez usunięcie nieaktualnego adresu z bazy danych, nie przysługuje skarżącemu w sytuacji, gdy równocześnie z żądaniem usunięcia z bazy danych starego miejsca zamieszkania nie podał administratorowi danych swojego nowego miejsca zamieszkania; 2) art. 35 u.o.d.o., poprzez jego niewłaściwe zastosowanie i uznanie, że pomimo przesłania w toku sprawy zaświadczenia z dnia 15 listopada 2010 r. wydanego przez Urząd Miasta [...] potwierdzającego, że pod adresem starego miejsca zamieszkania skarżącego nikt nie jest obecnie zameldowany. Skarżący nie wykazał, że jego dane osobowe dotyczące adresu są nieaktualne; 3) art. 23 ust.1 pkt 5 i art. 23 ust. 4 pkt 2 u.o.d.o., poprzez jego błędną wykładnię i uznanie, że przetwarzanie danych osobowych skarżącego przez administratora danych jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów, a ich przetwarzanie nie narusza praw i wolności skarżącego w sytuacji, gdy roszczenie przysługujące wobec skarżącego jest już przedawnione oraz przy jednoczesnym uznaniu prymatu prawnie usprawiedliwionego celu przetwarzania danych osobowych skarżącego przez administratora danych nad prawami i wolnościami osoby, których te dane osobowe dotyczą, skutkiem którego była akceptacja sądu decyzji odmawiającej nakazania uczestnikowi dokonania uaktualnienia danych skarżącego. II. Na podstawie art. 174 pkt 2 p.p.s.a. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.: 1) art. 1 § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm. dalej w skrócie p.u.s.a) w zw. z art. 3 § 1 p.p.s.a. i art. 106 § 3 p.p.s.a. w zw. z art. 77 § 1 K.p.a., poprzez dokonanie ustaleń faktycznych niezgodnych ze zgromadzonym w sprawie materiałem dowodowym i przyjęcie, że pomimo przesłania w toku sprawy zaświadczenia z dnia 15 listopada 2010 r. wydanego przez Urząd Miasta [...] potwierdzającego, iż pod adresem starego miejsca zamieszkania skarżącego, tj. ul. [...] lok. [...], [...], nikt nie jest obecnie zameldowany, skarżący w toku postępowania administracyjnego przed Generalnym Inspektorem Ochrony Danych Osobowych nie wykazał, że jego dane osobowe dotyczące adresu są nieaktualne oraz że pomimo kierowania korespondencji do skarżącego, w tym korespondencji pochodzącej z Wojewódzkiego Sądu Administracyjnego, na inny adres zamieszkania, tj. ul. [...], [...], nie wykazał on, że nie zamieszkuje już dłużej pod starym adresem zamieszkania/zameldowania, skutkiem którego była akceptacja sądu decyzji odmawiającej nakazania uczestnikowi dokonania uaktualnienia danych skarżącego; 2) art. 145 § 1 ust. 1 lit. a i c p.p.s.a., poprzez oddalenie skargi w sytuacji, gdy skarżący wykazał, że postępowanie Generalnego Inspektora Ochrony Danych Osobowych było dotknięte wadami. Wskazując na powyższe podstawy skargi kasacyjnej wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania oraz o zasądzenie zwrotu kosztów postępowania za obie instancje, w tym kosztów zastępstwa procesowego, według norm przepisanych. Ponadto oświadczył, że koszty pomocy prawnej świadczonej z urzędu nie zostały opłacone w całości, ani w części. W uzasadnieniu skargi kasacyjnej podał, że Sąd pierwszej instancji w sposób zupełnie dowolny dokonał wykładni art. 32 ust. 1 pkt 6 i art. 35 ustawy o ochronie danych osobowych i przyjął, że "uaktualnienie adresu polega zatem na zastąpieniu adresu starego, nieaktualnego, adresem nowym, czyli aktualnym" (str. 11 uzasadnienia), pomimo, iż taki sposób wykładni nie wynika wprost z w/w przepisów. Wykładnia art. 35 ustawy o ochronie danych osobowych dokonana przez organ opiera się na arbitralnym przyjęciu, że pomimo braku doprecyzowania w samej ustawie, na czym winno polegać wykazanie przez skarżącego nieaktualności danych i ich "uaktualnienie", a co nie jest wystarczające do uznania spełnienia tego obowiązku przez Skarżącego. Przepis art. 32 ust. 1 pkt 6 ustawy o ochronie danych osobowych przewiduje dla osoby, której dane dotyczą, żądanie uaktualnienia, sprostowania danych osobowych, czasowego lub stałego wstrzymania ich przetwarzania lub ich usunięcia, jeżeli są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są już zbędne do realizacji celu, dla którego zostały zebrane. Warunki dopuszczalności żądania usunięcia danych przez tego, którego dane dotyczą, nie zostały jednak w samej ustawie wyraźnie określone. Wybór roszczenia należy, przynajmniej częściowo, do uprawnionego. Można bronić wykładni, że stwierdzenie nieaktualności danych upoważnia do domagania się ich usunięcia, a nie tylko do ich aktualizacji. Sąd pierwszej instancji w zaskarżonym wyroku uznał, że możliwość przekazania nieaktualnych danych skarżącego do Biura Informacji Gospodarczej pozostaje poza przedmiotem rozpoznawanej sprawy (str. 12 uzasadnienia). Tymczasem z korespondencji uczestnika kierowanej do skarżącego wynika, że "nadal rozważa możliwość umieszczenia danych o Pana zobowiązaniach w Biurze Informacji Gospodarczej" (akta sprawy [...], załącznik do skargi Pana T.Z. do GIODO z dnia 19 sierpnia 2012 r. przesłana pocztą elektroniczną). Wykładnia "uaktualnienia" danych osobowych powinna być zatem dokonywana przez sąd także przy uwzględnieniu możliwości późniejszego przekazania nieaktualnych danych osobowych do Biura Informacji Gospodarczej. W ocenie autora skargi kasacyjnej, nie można zgodzić się ze stanowiskiem, że uaktualnienie danych co do adresu skarżącego jest możliwe tylko w przypadku podania przez niego aktualnego adresu, a nie poprzez samo wykazanie, że dotychczasowe dane są nieaktualne. Uczestnik, przetrzymując w swoim zbiorze danych i przekazując do Biura Informacji Gospodarczej nieaktualne już w momencie przekazania dane co do adresu zamieszkania skarżącego, dopuściłby się naruszenia przepisów ustawy o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych. Zdaniem autora skargi kasacyjnej, przy dokonywaniu wykładni art. 32 ust. 1 pkt 6 i art. 35 u.o.d.o. należy uwzględnić art. 12 lit. b Dyrektywy 95/46/WE oraz art. 8 Karty Praw Podstawowych UE. Zgodnie z art. 12 lit b Dyrektywy 95/46/WE, Państwa Członkowskie zapewniają każdej osobie, której dane dotyczą, prawo do uzyskania od administratora danych odpowiednio do przypadku, sprostowania, usunięcia lub zablokowania danych, których przetwarzanie jest niezgodne z przepisami dyrektywy, szczególnie ze względu na niekompletność lub niedokładność danych. Stosownie do art. 8 ust. 2 zd. 1 Karty Praw Podstawowych UE, dane (osobowe) muszą być przetwarzane rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą. Dyrektywa 95/46/WE wskazuje na niekompletność i niedokładność danych, które uzasadniają odpowiednio do przypadku prawo do uzyskania usunięcia danych. Karta Praw Podstawowych stanowi natomiast o przetwarzaniu "rzetelnym", a więc również nakazuje przetwarzanie danych aktualnych. Mając powyższe na uwadze, dokonując wykładni art. 32 ust. 1 pkt 6 i art. 35 u.o.d.o., powinno się przede wszystkim dążyć do wyeliminowania ze zbioru danych informacji o osobie, które nie odpowiadają rzeczywistości. W niniejszej sprawie, aby osiągnąć ten cel nie było potrzeby zastępować adresu starego nowym, lecz wystarczyło usunąć stary adres skarżącego jako nieaktualny. W ocenie autora skargi kasacyjnej, Sąd pierwszej instancji równocześnie dopuścił się kolejnego naruszenia prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 35 u.o.d.o. W zaskarżonym wyroku Sąd, poprzez błędną wykładnię art. 35 u.o.d.o., nieprawidłowo uznał, że skarżący, pomimo przesłania w toku sprawy zaświadczenia z dnia 15 listopada 2010 r. wydanego przez Urząd Miasta [...], które potwierdziło, iż pod adresem starego miejsca zamieszkania skarżącego nikt nie jest obecnie zameldowany, nie wykazał, że jego dane osobowe, przechowywane w zbiorze danych przez uczestnika dotyczące adresu skarżącego, są nieaktualne. Zgodnie z art. 35 u.o.d.o., skarżący był zobowiązany do wykazania, że zebrane dane są nieaktualne. Zasadniczo na wnioskodawcy (czyli skarżącym) spoczywa obowiązek uprawdopodobnienia, że zachodzą przesłanki uzasadniające wystąpienie z roszczeniami do administratora danych (tj. niekompletność, nieaktualność, nieprawdziwość, bezprawność zebrania danych, nieadekwatność do celu zebrania) oraz obowiązek wskazania, o jakie dane konkretnie chodzi. Spełnienie wymienionych wyżej przesłanek ocenia administrator danych. On też powinien ustalić, czy proponowane korekty danych odpowiadają rzeczywistemu stanowi rzeczy, a w razie sporu udowodnić, iż zamieszczone dane w zbiorze są prawdziwe (J. Barta (red.), Komentarz do ustawy o ochronie danych osobowych, SIP LEX, art. 32, Nb. 20). Okoliczność, że przetwarzane przez administratora dane dotyczące adresu zamieszkania skarżącego są nieaktualne wykazał on przekładając w toku postępowania administracyjnego w/w zaświadczenie z dnia 15 listopada 2010 r. wydane przez Urząd Miasta [...]. Natomiast Sąd pierwszej instancji w sposób nieuprawniony w tym względzie podzielił stanowisko organu, mimo iż powołane zaświadczenie udowadnia, a przynajmniej uprawdopodabnia, że skarżący pod tym adresem nie zamieszkuje. Nieprawidłowo również stwierdził, że "nie można zatem przyjąć, że skarżący podając, iż nie jest zameldowany pod w/w adresem wykazał skutecznie, iż pod tym adresem nie zamieszkuje" (str. 11 uzasadnienia). Fakt niezameldowania pod przedmiotowym adresem równocześnie uprawdopodabnia fakt niezamieszkiwania pod danym adresem. W świetle art. 5 ust. 1 ustawy z dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych, niedopuszczalna byłaby sytuacja, w której skarżący nie byłby zameldowany w lokalu [...] przy ul. [...] w [...] pomimo dalszego w nim zamieszkiwania. W konsekwencji autor skargi kasacyjnej stwierdził, iż skarżący przedkładając powołane wyżej zaświadczenie z dnia 15 listopada 2010 r. wykazał, że jego dane osobowe dotyczące adresu znajdujące się w zbiorze uczestnika są nieaktualne i jako takie winny podlegać uaktualnieniu. Skarżący uzasadniając zarzut naruszenia art. 23 ust. 1 pkt 5 i art. 23 ust. 4 pkt 2 u.o.d.o., poprzez błędną ich wykładnię stwierdził, iż Sąd pierwszej instancji nieprawidłowo podzielił stanowisko organu, że przetwarzanie danych osobowych skarżącego przez administratora danych jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów, o których mowa w art. 23 ust. 1 pkt 5 u.o.d.o. oraz uznał, iż nie narusza ono praw i wolności skarżącego. Nie uwzględnił bowiem sytuacji, że roszczenie przysługujące wobec skarżącego jest już przedawnione. W uzasadnieniu zaskarżonego wyroku stanął na stanowisku, że "organ nie był natomiast uprawniony do badania kwestii istnienia lub nieistnienia wierzytelności, w tym stwierdzenia, czy przedawnienie zobowiązania skutkuje jego wygaśnięciem oraz obowiązkiem zwrotu długu" (str. 9 uzasadnienia). Zdaniem autora skargi kasacyjnej, ocena czy przetwarzanie danych osobowych przez administratora danych osobowych odbywa się "dla wypełnienia celów prawnie usprawiedliwionych" nie może odbywać się w całkowitym oderwaniu od jego kontekstu gospodarczego i rodzaju roszczenia. Oznacza to, że przy wykładni art. 23 ust. 4 pkt 2 u.o.d.o., wyjaśniającego pojęcie prawnie usprawiedliwionego celu, którym jest dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej, niezbędna jest ocena faktycznej możliwości egzekwowania długu w konkretnej sprawie, z więc tego, czy roszczenie ma charakter zobowiązania niezupełnego – naturalnego. Nieprawidłowe było również stwierdzenie Sądu pierwszej instancji, że przetwarzanie danych osobowych skarżącego przez Spółkę nie narusza jego praw i wolności. W niniejszej sprawie pozyskanie i przetwarzanie przez uczestnika danych osobowych skarżącego, w odniesieniu do wierzytelności przedawnionej, narusza jego wolności i umniejsza gwarancje i prawa, jakie mu przysługują jako konsumentowi. W związku z powyższym skarżący uważa, że dalsze przetwarzanie przez Spółkę jego danych osobowych, w tym nieuaktualnionego adresu, nie może zostać ocenione jako niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych, o którym mowa w art. 23 ust. 1 pkt 5 u.o.d.o. Autor skargi kasacyjnej, uzasadniając zarzuty naruszenia wskazanych w niej przepisów postępowania, powtórzył argumentację dotyczącą nieuwzględnienia w sprawie przedstawionego przez skarżącego zaświadczenia z dnia 15 listopada 2010 r. wydanego przez Urząd Miasta [...] oraz faktu, że skarżący nie zamieszkuje już dłużej pod starym adresem zamieszkania/zameldowania. Skutkowało to akceptacją przez Sąd decyzji odmawiającej nakazania uczestnikowi dokonania uaktualnienia danych skarżącego. Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę kasacyjną wniósł o jej oddalenie i odnosząc się do podniesionych zarzutów stwierdził, że są one niezasadne. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania, której przesłanki enumeratywnie wymienione w art. 183 § 2 p.p.s.a. w rozpoznawanej sprawie nie występują. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego wyroku determinują zakres kontroli dokonywanej przez Sąd drugiej instancji, który w odróżnieniu od wojewódzkiego sądu administracyjnego nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów podniesionych w skardze kasacyjnej. W niniejszej sprawie skarga kasacyjna została oparta na obu podstawach określonych w art. 174 pkt 1 i 2 p.p.s.a. Przy czym zauważyć należy, iż w zasadniczej części podniesione w niej zarzuty oraz ich uzasadnienie stanowią powtórzenie zarzutów i argumentacji, które były przedmiotem oceny dokonanej przez Wojewódzki Sąd Administracyjny w Warszawie. Istota zarzutów podanych w skardze kasacyjnej sprowadza się do zakwestionowania stanowiska Sądu pierwszej instancji, który zaaprobował stwierdzenie Generalnego Inspektora Ochrony Danych Osobowych, iż przetwarzanie przez Spółkę danych osobowych T.Z. jest zgodne z prawem (art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 4 u.o.d.o.) oraz że przetwarzanie to nie dotyczy nieaktualnych danych osobowych skarżącego. W rozpoznawanej sprawie w pierwszej kolejności rozpoznaniu podlegały zarzuty naruszenia powołanych w skardze kasacyjnej przepisów prawa materialnego. Podniesione zarzuty naruszenia przepisów postępowania są bowiem procesową konsekwencją dokonanej przez Wojewódzki Sąd Administracyjny w Warszawie zakwestionowanej przez autora skargi kasacyjnej wykładni i niewłaściwego zastosowania przepisów prawa materialnego. W ocenie Naczelnego Sądu Administracyjnego, wskazane w skardze kasacyjnej zarzuty naruszenia prawa materialnego, tj. art. 23 ust. 1 pkt 5 i art. 23 ust. 4 pkt 2 i art. 32 ust. 1 pkt 6 i art. 35 u.o.d.o. w zw. z art. 12 lit. b Dyrektywy 95/46/WE oraz w zw. z art. 8 Karty Praw Podstawowych UE, w wyszczególnionych formach nie mogły odnieść skutku zamierzonego przez jej autora. W sprawie jest niesporne, że Generalny Inspektor Ochrony Danych Osobowych, oceniając na podstawie i w granicach ustawowych kompetencji przyznanych mu ustawą o ochronie danych osobowych legalność przetwarzania przez Spółkę danych osobowych skarżącego, ustalił, że wierzytelność wynikająca z umowy kredytu nr [...], zawartej pomiędzy skarżącym a G. S.A., została w dniu [...] września 2006 r. wykupiona przez S. Sp. z o.o., następnie na podstawie umowy cesji została scedowana na rzecz E. Ostatecznie E. S.A. nabyła tę wierzytelność od Funduszu w oparciu o umowę cesji z dnia [...] marca 2011 r. Oznacza to, że obecnie Spółka, jako strona stosunku zobowiązaniowego wynikającego z powyższej umowy kredytowej, jest administratorem danych osobowych skarżącego, o czym został on poinformowany pismem z 23 maja 2011 r. E. S.A. prowadzi działalność gospodarczą w zakresie wykupu wierzytelności. Organ stwierdził, że przetwarzanie przez Spółkę danych osobowych skarżącego znajduje prawne uzasadnienie w art. 23 ust. 1 pkt 5 u.o.d.o. Było to bowiem niezbędne do wypełnienia prawnie usprawiedliwionego celu realizowanego przez administratora danych i nie naruszało praw i wolności skarżącego, którego przetwarzane dane dotyczą. Zauważyć należy, iż Generalny Inspektor Ochrony Danych Osobowych nie był uprawniony do badania kwestii istnienia lub nieistnienia wierzytelności wobec skarżącego ani słuszności i zakresu dochodzonych wobec niego roszczeń cywilnoprawnych. Tego rodzaju sprawy, stosownie do art. 1 K.c., są sprawami cywilnymi, do rozpoznawania których są uprawnione sądy powszechne. Zdaniem Naczelnego Sądu Administracyjnego, wbrew stanowisku autora skargi kasacyjnej, oznacza to, że w tej sprawie organ, rozważając spełnienie w sprawie przesłanek z art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 4 pkt 2 u.o.d.o., czy przetwarzanie danych osobowych skarżącego – dłużnika przez administratora danych – Spółkę odbywa się dla wypełnienia prawnie usprawiedliwionych celów i nie narusza praw i wolności skarżącego, nie był uprawniony do odnoszenia się do kwestii istnienia lub nieistnienia wierzytelności, w tym stwierdzenia, czy przedawnienie zobowiązania skutkuje jego wygaśnięciem i dokonywania oceny z punktu widzenia obowiązku zwrotu długu. Powyższe rozważania prowadzą do wniosku, że Sąd pierwszej instancji dokonał prawidłowej wykładni art. 23 ust. 1 pkt 5 i art. 23 ust. 4 pkt 2 u.o.d.o. i trafnie zaaprobował stanowisko organu, który uznał, że w niniejszej sprawie nie ma podstaw do zakwestionowania legalności przetwarzania danych osobowych skarżącego przez Spółkę. Odnosząc się do zarzutów naruszenia art. 32 ust. 1 pkt 6 i art. 35 u.o.d.o. w zw. z art. 12 lit. b Dyrektywy 95/46/WE oraz w zw. z art. 8 Karty Praw Podstawowych UE, stwierdzić należy, iż są one niezasadne. Powołane przepisy ustawy o ochronie danych osobowych z jednej strony zapewniają osobie, której dane dotyczą, m.in. ich aktualność, zaś z drugiej strony przewidują prawo żądania od administratora tych danych m.in. ich uaktualnienia, w przypadku jeżeli są one nieaktualne. Z kolei wskazane przepisy Dyrektywy 95/46/WE oraz Karty Praw Podstawowych UE zawierają regulacje dotyczące uprawnienia osoby, której dane dotyczą, w stosunku do administratora danych, w przypadku, gdy dane są niekompletne lub niedokładne oraz mają być przetwarzane rzetelnie. W sprawie jest niesporne, że skarżący kilkakrotnie wskazywał Spółce, że jego poprzedni adres, tj. ul. [...] lok. [...], [...], jest nieaktualny. Przedstawił m.in. zaświadczenie z dnia 15 listopada 2010 r. wydane przez Urząd Miasta [...], z którego wynika, że pod adresem ul. [...] lok. [...], [...], nikt nie jest obecnie zameldowany. Jednocześnie skarżący nie podał Spółce nowego adresu zamieszkania, a w jednej z kierowanych do tego podmiotu korespondencji stwierdził, że jego nowy adres jest "tajny, niejawny". W rozpoznawanej sprawie wyjaśnienia wymagała zatem kwestia, czy administrator danych osobowych, uzyskując od skarżącego informację, że znajdujący się w bazie danych adres jego zamieszkania jest nieaktualny, w sytuacji, gdy skarżący nie podał swojego nowego adresu zamieszkania, był obowiązany do uaktualnienia adresu skarżącego. Sąd pierwszej instancji trafnie podzielił stanowisko organu, że uaktualnienie przez administratora danych osobowych adresu skarżącego było niemożliwe w przypadku, gdy nie podał on adresu aktualnego. Uaktualnienie adresu polega bowiem na zastąpieniu adresu starego, nieaktualnego, adresem nowym, czyli aktualnym. Zaprezentowana przez autora skargi kasacyjnej odmienna wykładnia wyżej wymienionych przepisów ustawy o ochronie danych osobowych oznacza żądanie przez skarżącego nie uaktualnienia adresu, lecz jego usunięcia przez administratora danych osobowych ze zbioru. Tego rodzaju interpretacja nie znajduje jednak oparcia w powołanych przepisach. Zauważyć należy, iż fakt przedstawienia w skardze kasacyjnej własnej interpretacji przepisów prawa i własnych ocen nie może stanowić wystarczającej podstawy do uznania, że zaskarżony wyrok narusza przepisy prawa. Autor skargi kasacyjnej obowiązany jest wykazać, że stanowisko Sądu pierwszej instancji nie daje się pogodzić z przepisami podanymi w podstawie kasacyjnej. Naczelny Sąd Administracyjny stwierdził, że zaskarżony wyrok nie narusza także powołanych w skardze kasacyjnej przepisów postępowania. Jak na wstępie wyjaśniono są one konsekwencją zarzutów naruszenia prawa materialnego. Odnosząc się do pierwszego z zarzutów naruszenia przepisów postępowania wskazać należy, iż Sąd pierwszej instancji, podzielając stanowisko organu przyjął, że skarżący, przedkładając w toku postępowania wskazane wyżej zaświadczenie z dnia 15 listopada 2010 r. wydane przez Urząd Miasta [...], z którego wynika, że w lokalu nr [...] przy ul. [...] w [...] nikt nie jest zameldowany, nie udowodnił niczego innego ponad to, co z tego dokumentu wynika. W niniejszej sprawie dla oceny zarzutu skarżącego naruszenia przez Spółkę art. 35 i art. 32 ust. 1 pkt 6 u.o.d.o. istotne było bowiem ustalenie, czy skarżący umożliwił Spółce uaktualnienie jego danych osobowych, poprzez podanie nowego adresu zamieszkania, a nie wykazanie, że dotychczasowy adres zameldowania jest nieaktualny. Z kolei drugi z zarzutów naruszenia przepisów postępowania, tj. art. 145 § 1 lit. a i c p.p.s.a., z uwagi na sposób jego sformułowania, bez jednoczesnego wykazania, jakie przepisy prawa materialnego i przepisy postępowania zostały naruszone, nie daje Sądowi drugiej instancji możliwości merytorycznej oceny jego zasadności. Mając powyższe na uwadze Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie zawiera usprawiedliwionych podstaw i w oparciu o art. 184 p.p.s.a. podlega oddaleniu. O kosztach postępowania kasacyjnego orzeczono na podstawie art. 204 pkt 1, art. 209 p.p.s.a. oraz art. 205 § 2 p.p.s.a. w związku z § 14 ust. 2 pkt 2 lit. c rozporządzenia Ministra Sprawiedliwości z 28 września 2002 r. w sprawie opłat za czynności radców prawnych oraz ponoszenia przez Skarb Państwa kosztów pomocy prawnej udzielonej przez radcę prawnego ustanowionego z urzędu (t.j.: Dz. U. z 2013 r., poz. 490 ze zm.). Podkreślić należy, iż zgodnie z art. 248 p.p.s.a., przyznanie prawa pomocy nie zwalnia strony od obowiązku zwrotu kosztów postępowania, jeżeli obowiązek taki wynika z innych przepisów. W niniejszej sprawie obowiązek zwrotu kosztów postępowania kasacyjnego na rzecz organu, pomimo przyznania skarżącemu prawa pomocy w zakresie całkowitym, obejmującym zwolnienie od kosztów sądowych i ustanowienie adwokata, wynikał z art. 204 pkt 1 p.p.s.a.