II SA/Wa 892/12

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Janusz Walawski Sędziowie WSA Ewa Grochowska - Jung (spr.) Danuta Kania Protokolant referent stażysta Marcin Borkowski po rozpoznaniu na rozprawie w dniu 26 lipca 2012 r. sprawy ze skargi Z. w S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2012 r. nr [...] w przedmiocie ochrony danych osobowych oddala skargę Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] z dnia [...] marca 2012 r., działając na podstawie art. 138 § 1 pkt 1 k.p.a. oraz art. 12 pkt 2, art. 18 ust. 1 pkt 2, art. 22 w zw. z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), utrzymał w mocy własną decyzję z dnia [...] grudnia 2011 r. [...], nakazującą [...] Uniwersytetowi [...] udostępnienie Z. F. danych osobowych L. C. W uzasadnieniu organ wskazał na następujący stan faktyczny w sprawie. W dniu [...] marca 2011 r. Z. F. zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych z wnioskiem o nakazanie [...] Uniwersytetowi [...], udostępnienia danych osobowych L. C.: adresu zamieszkania, numeru PESEL lub daty urodzenia, niezbędnych do przeprowadzenia procesu sądowego. W toku postępowania, Generalny Inspektor Ochrony Danych Osobowych ustalił, że Skarżący wniósł m.in. przeciwko L. C. akt oskarżenia o popełnienie czynu z art. 212 § 1 k.k. W związku z powyższym Sąd Rejonowy [...] w S. wezwał Skarżącego do uzupełnienia braków formalnych aktu oskarżenia m.in. poprzez podanie adresów zamieszkania osób wskazanych w akcie oskarżenia jako oskarżeni. Dlatego też Skarżący pismem z dnia [...] maja 2010 r. zwrócił się do Uniwersytetu o udostępnienie adresu stałego miejsca zamieszkania m.in. Pana L. C. (byłego przewodniczącego Samorządu Studentów Wydziału [...]), wskazując, że dane te potrzebne są do spełnienia wezwania Sądu Rejonowego w S. Pismem z dnia [...] maja 2010 r. Uniwersytet odmówił Skarżącemu udostępnienia żądanych przez niego danych. Następnie Skarżący w piśmie z dnia [...] stycznia 2011 r. ponowił swoją prośbę. W odpowiedzi Uniwersytet, ograniczając się do kwestii udostępnienia numeru PESEL, poinformował, że nie widzi podstaw do przekazania Skarżącemu tych danych. W dniu [...] grudnia 2011 r. Generalny Inspektor Ochrony Danych wydał decyzję administracyjną [...] nakazującą [...] Uniwersytetowi [...], z siedzibą w S., udostępnienie Z. F. danych osobowych L. C. w zakresie jego adresu zamieszkania, w pozostałym natomiast zakresie odmawiającą uwzględnienia wniosku. W dniu [...] grudnia 2011 r. [...] Uniwersytet [...] wniósł o ponowne rozpatrzenie sprawy zakończonej ww. decyzją, wskazując że przedmiotowa decyzja została wydana z naruszeniem prawa materialnego i procesowego. W decyzji z dnia [...] marca 2012 r. Generalny Inspektor Ochrony Danych Osobowych, utrzymując w mocy decyzję I instancji, wskazał, że przetwarzanie (w tym udostępnienie) danych osobowych tzw. zwykłych (do których należą też przedmiotowe dane, o udostępnienie których wnioskuje skarżący) jest dopuszczalne, jeżeli występuje przynajmniej jedna z przesłanek legalizujących dokonywanie jakichkolwiek operacji na danych osobowych, wskazanych w art. 23 ust. 1 pkt 1 - pkt 5 ustawy o ochronie danych osobowych, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy m.in. jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów, realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Dalej organ wyjaśnił, że termin »usprawiedliwione cele« jest zwrotem niedookreślonym i stanowi klauzulę generalną w znaczeniu funkcjonalnym. Daje w szczególności pewnego rodzaju luz decyzyjny, dzięki któremu organ stosujący prawo może przy podejmowaniu decyzji kierować się ocenami indywidualnymi konkretnej sytuacji, a także pewnymi zasadami postępowania niesformułowanymi w przepisach prawa. Stwierdził, że analiza materiału dowodowego, zgromadzonego w sprawie, prowadzi do wniosku, iż żądanie Skarżącego o udostępnienie adresu zamieszkania L. C. jest w pełni uzasadnione i wypełnia dyspozycję art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Podkreślenia bowiem wymaga, iż w ocenie Skarżącego doszło do popełnienia przez L. C. czynu spenalizowanego w art. 212 § 1 k.k., ściganego z oskarżenia prywatnego. Nie ulega wobec tego wątpliwości, że udostępnienie adresu ww. osoby pozwoli Skarżącemu na skierowanie przeciw niej prywatnego aktu oskarżenia, spełniającego wymogi formalne, określone przepisami Kodeksu postępowania karnego. Zasadnie zatem przyjęto, iż wniesienie przez Skarżącego prywatnego aktu oskarżenia stanowi jego (odbiorcy danych) prawnie usprawiedliwiony cel, dla wypełnienia którego niezbędne jest pozyskanie przez niego adresu zamieszkania L. C. Powyższa decyzja stała się przedmiotem skargi [...] Uniwersytetu [...] do Wojewódzkiego Sądu Administracyjnego w Warszawie. Uniwersytet zarzucił zaskarżonej decyzji obrazę przepisu art. 23 ust. 1 ustawy o ochronie danych osobowych poprzez jego wadliwą wykładnię, polegającą na przyjęciu, że przepis ten statuuje obowiązek przetwarzania danych osobowych w sytuacji w nim opisanych, a nie jedynie wskazuje na okoliczności w których przetwarzanie danych jest prawnie dozwolone; obrazę przepisu art. 18 ust. 1 ustawy o ochronie danych osobowych poprzez błędne przyjęcie, że nieskorzystanie przez administratora danych osobowych z uprawnienia do przetwarzania danych osobowych jest równocześnie naruszeniem przepisów o ochronie danych osobowych i stanem niezgodnym z prawem oraz obrazę przepisu art. 10 § 1 i art. 28 k.p.a. poprzez niezapewnienie w sprawie administracyjnej udziału w charakterze strony L. C. Wniósł o uchylenie zaskarżonej decyzji. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w decyzji I i II instancji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 z późn. zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta, stosownie do § 2 powołanego artykułu, sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Skarga [...] Uniwersytetu [...] analizowana pod tym kątem nie zasługuje na uwzględnienie. Na wstępie rozważań należy wskazać, że ochrona danych osobowych polega przede wszystkim na określeniu kiedy dozwolone, a kiedy zabronione jest ich przetwarzanie. Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) wskazuje zasady przetwarzania danych osobowych (rozdz. 3 ustawy). W art. 23 § 1 ustawy zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. W niniejszej sprawie organ wskazał, że zaistniały okoliczności wskazane w art. 23 ust 1 pkt 5 cytowanej powyżej ustawy, na podstawie których dane osobowe L. C. mogą być przetwarzane - udostępnione przez [...] Uniwersytet [...] na wniosek Z. F., stąd też przesłanka ta wymaga bliższej analizy. Określona w art. 23 ust 1 pkt 5 cytowanej ustawy przesłanka legalizacyjna przetwarzania danych osobowych wprowadza klauzule o charakterze ogólnym, w ramach której ustawodawca przyjmuje, że przetwarzanie danych osobowych bez zgody osoby, której dane dotyczą jest dopuszczalne w przypadku zaistnienia łącznie następujących okoliczności: a) przetwarzanie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów administratora danych lub odbiorcy danych, b) przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczą (por. P. Barta, P. Litwiński, Ustawa o ochronie danych osobowych. Komentarz, Wydawnictwo C.H. BECK, Warszawa 2009 r., str. 228 i nast.) Termin "prawnie usprawiedliwione cele" jest pojęciem niedookreślonym, które daje administratorowi pewien luz decyzyjny, a z drugiej strony nakłada nań obowiązek i ryzyko oceny, czy jego działalność jest prawnie dopuszczalna. Natomiast Generalny Inspektor Ochrony Danych Osobowych, oceniając występowanie tej podstawy legalizacyjnej, obowiązany jest kierować się oceną indywidualną konkretnej sytuacji, a także pewnymi zasadami nieskonkretyzowanymi przepisami prawa (tamże). Ponadto w literaturze podnosi się, iż ocenie powinien podlegać cel, który administrator zamierza osiągnąć - czy jest usprawiedliwiony, tj. czy znajduje swoje gospodarcze i prawne uzasadnienie. Ponadto wskazuje się, że w przypadku udostępniania danych osobowych stwierdzenie istnienia usprawiedliwionych celów powinno dotyczyć administratora udostępniającego lub podmiotu, który jest zainteresowany otrzymaniem danych (któremu są one przekazywane). Użyty spójnik "lub" powoduje, iż wystarczające jest istnienie usprawiedliwionego interesu tylko po jednej stronie, zatem wystarczy istnienie usprawiedliwionego celu po stronie administratora danych albo odbiorcy danych (por. J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych. Komentarz.", publ. LEX Nr 106659). Kończąc analizę przesłanki art. 23 ust 1 pkt 5 ustawy, należy wskazać, iż sprowadza się ona do wyważenia interesów administratora danych i osoby, której dane dotyczą, związanych z jednej strony z realizacją prawnie usprawiedliwionych celów administratora, z drugiej natomiast z ochroną prywatności osoby, której dane dotyczą. W niniejszej sprawie Z. F. (odbiorca danych) wystąpił do Uniwersytetu (administratora danych) o udostępnienie mu danych osobowych byłego studenta tej uczelni – L. C. w celu skutecznego wniesienia przeciwko niemu akt oskarżenia o popełnienie czynu z art. 212 § 1 k.k. Zgodnie z art. 212 § 1 k.k., kto pomawia inną osobę, grupę osób, instytucję, osobę prawną lub jednostkę organizacyjną niemającą osobowości prawnej o takie postępowanie lub właściwości, które mogą poniżyć ją w opinii publicznej lub narazić na utratę zaufania potrzebnego dla danego stanowiska, zawodu lub rodzaju działalności, podlega grzywnie albo karze ograniczenia wolności. Stosownie do § 4 tego przepisu, ściganie przestępstwa określonego w § 1 lub 2 odbywa się z oskarżenia prywatnego. W dalszej kolejności należy wskazać, że Kodeks postępowania karnego określa jakie elementy winien zawierać akt oskarżenia, jaki jest tryb uzupełniania ewentualnych braków tego pisma oraz skutki terminowego i nieterminowego uzupełnienia. Akt oskarżenia winien w pierwszej kolejności odpowiadać wymogom pisma procesowego, określonym w art. 119 § 1 k.p.k., tj. powinien zawierać oznaczenie organu, do którego jest skierowane, oraz sprawy, której dotyczy; oznaczenie oraz adres wnoszącego pismo; treść wniosku lub oświadczenia, w miarę potrzeby z uzasadnieniem oraz datę i podpis składającego pismo. Dodatkowo, stosownie do art. 332 § 1 k.p.k. akt oskarżenia powinien zawierać: 1) imię i nazwisko oskarżonego, inne dane o jego osobie oraz dane o zastosowaniu środka zapobiegawczego, 2) dokładne określenie zarzucanego oskarżonemu czynu ze wskazaniem czasu, miejsca, sposobu i okoliczności jego popełnienia oraz skutków, a zwłaszcza wysokości powstałej szkody, 3) wskazanie, że czyn został popełniony w warunkach wymienionych w art. 64 Kodeksu karnego albo art. 37 § 1 pkt 4 Kodeksu karnego skarbowego, 4) wskazanie przepisów ustawy karnej, pod które zarzucany czyn podpada, 5) wskazanie sądu właściwego do rozpoznania sprawy i trybu postępowania, 6) uzasadnienie oskarżenia. Zgodnie z art. 120 § 1 i 2 k.p.a., jeżeli pismo nie odpowiada wymaganiom formalnym, przewidzianym w art. 119 lub w przepisach szczególnych, a brak jest tego rodzaju, że pismo nie może otrzymać biegu, albo brak polega na niezłożeniu należytych opłat lub upoważnienia do podjęcia czynności procesowej, wzywa się osobę, od której pismo pochodzi, do usunięcia braku w terminie 7 dni. W razie uzupełnienia braku w terminie, pismo wywołuje skutki od dnia jego wniesienia. W razie nieuzupełnienia braku w terminie, pismo uznaje się za bezskuteczne, o czym należy pouczyć przy doręczeniu wezwania (§ 2). Z przytoczonych powyżej przepisów wynika, że wskazanie danych dotyczących oskarżonego, w tym jego adresu, jest niezbędne do skutecznego wniesienia aktu oskarżenia. Skoro zatem Sąd Rejonowy, do którego Z. F. skierował akt oskarżenia, uznał, że brak adresu oskarżonego jest brakiem formalnym tego aktu i wezwał go do jego uzupełnienia w zakreślonym terminie, a od wykonania powyższego wezwania zależy możliwość realizacji prawa do skutecznego złożenia aktu oskarżenia Z. F., to należy uznać, że posiada on usprawiedliwiony cel, o którym mowa w art. 23 ust 1 pkt 5 ustawy o ochronie danych osobowych. Zatem w ocenie Sądu organ prawidłowo ocenił, że w zaistniałym stanie faktycznym ziściła się przesłanka, określona w art. 23 ust 1 pkt 5 ustawy o ochronie danych osobowych i zasadnie nakazał Uniwersytetowi udostępnić Z. F. dane osobowe L. C. Odnosząc się natomiast do zarzutów skargi, należy wskazać, ze są one niezasadne. W pierwszej kolejności należy wskazać, że zarówno w decyzji I, jak i II instancji organ nie stwierdza, że przepis art. 23 ust 1 pkt 5 ustawy o ochronie danych osobowych statuuje obowiązek przetwarzania danych osobowych w sytuacji w niej opisanej. Organ podkreśla natomiast, że przetwarzanie danych osobowych w przypadkach określonych powyższym przepisem jest dopuszczalne. Ogólną zasadą, wynikającą z cytowanej powyżej ustawy, jest ochrona danych osobowych i odpowiadające jej prawo każdego do ochrony dotyczących go danych osobowych (art. 1 ust 1 ustawy). Natomiast przetwarzanie danych osobowych jest możliwe (dopuszczalne) jedynie w przypadkach i na zasadach określonych w tej ustawie. Zatem wskazane w art. 23 ust 1 pkt 5 ustawy słowo "dopuszczalne" należy rozumieć jako możliwość przetwarzania danych osobowych w przypadkach określonych w przepisie art. 23 ust 1 ustawy. Dlatego też w niniejszej sprawie, skoro wnioskodawca wykazał usprawiedliwiony cel do uzyskania danych osobowych, administrator danych winien mu te dane udostępnić, zaistniała bowiem przesłanka legalizująca przetwarzanie danvch osobowych. W ocenie Sądu nie można podzielić poglądu Strony Skarżącej, że w takim przypadku - zaistnienia przesłanek wskazanych art. 23 ust 1 cytowanej ustawy, administrator ma możliwość zdecydowania, czy powyższe dane udostępni, czy też nie, bowiem takiego warunku art. 23 cytowanej ustawy nie przewiduje. W ocenie Sądu organ nie naruszył również przepisu art. 18 ust 1 cytowanej ustawy, zgodnie z którym w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Skoro bowiem Uniwersytet, pomimo zaistnienia przesłanki wymienionej w art. 23 ust 1 pkt 5 ustawy, nie udostępnił wnioskodawcy danych osobowych, to naruszył przepisy o ochronie danych osobowych i zaszła konieczność wydania decyzji określonej w pkt 2 cytowanego art. 18 ust 1. Organ nie uchybił również art. 10 § 1 i art. 28 k.p.a. Należy bowiem zauważyć, że w niniejszym postępowaniu organ skupił się na badaniu zaistnienia przesłanki legalizującej przetwarzanie danych osobowych z art. 23 ust 1 pkt 5 ustawy, która nie uzależnia przetwarzania tych danych od zgody osoby, której one dotyczą. Ponadto, jak słusznie wskazał Generalny Inspektor, uczynienie w niniejszej sprawie L. C. stroną postępowania doprowadziłoby do sytuacji, w której dane osobowe stały by się znane dla wnioskodawcy, bez potrzeby prowadzenia postępowania przed Generalnym Inspektorem. Tymczasem dopiero po przeprowadzeniu postępowania administracyjnego i sądowego zostanie ostatecznie i prawomocnie rozstrzygnięta kwestia możliwości udostępnienia wnioskodawcy danych osobowych L C. Zatem nieuczynienie L. C. stroną niniejszego postępowania, a tym samym nieujawnienie jego danych, jest prawidłowe, bowiem w istocie stanowi realizację jego prawa do ochrony jego danych osobowych. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity Dz. U. z 2012 r., poz. 270), orzekł, jak w sentencji.