I OSK 1071/13

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Pocztarek (spr.) sędzia NSA Aleksandra Łaskarzewska sędzia del. WSA Agnieszka Miernik Protokolant asystent sędziego Marcin Rączka po rozpoznaniu w dniu 12 grudnia 2014 roku na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej R. S. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 4 lutego 2013 r. sygn. akt II SA/Wa 1530/12 w sprawie ze skargi Polskiego Związku Alpinizmu na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od R.S. na rzecz Polskiego Związku Alpinizmu kwotę 180 (sto osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego. Wyrokiem z dnia 4 lutego 2013 r., sygn. akt II SA/Wa 1530/12, Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu skargi Polskiego Związku Alpinizmu na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych, w pkt 1) uchylił zaskarżoną decyzję, w pkt 2) stwierdził, że zaskarżona decyzja nie podlega wykonaniu w całości, oraz w pkt 3) zasądził od Generalnego Inspektora Ochrony Danych Osobowych na rzecz Polskiego Związku Alpinizmu kwotę 457 zł (czterysta pięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania. Z uzasadnienia zaskarżonego wyroku wynika, że Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia 11 czerwca 2012 r., na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. nr 98, poz. 1071 ze zm.), art. 12 pkt 2, art. 22, art. 23 ust. 1, art. 18 ust. 1 pkt 6 w związku z art. 26 ust. 1 pkt 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.), po rozpoznaniu wniosku Polskiego Związku Alpinizmu z siedzibą w Warszawie o ponowne rozpatrzenie sprawy dotyczącej wniosku R.S. o nakazanie Polskiemu Związkowi Alpinizmu usunięcia jego danych osobowych w zakresie imienia i nazwiska ze strony internetowej Polskiego Związku Alpinizmu, rozstrzygniętej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2012 r. nr [...], nakazującą Polskiemu Związkowi Alpinizmu usunięcia z ww. strony internetowej danych osobowych R.S. w zakresie jego imienia i nazwiska, utrzymał w mocy zaskarżoną decyzję. W uzasadnieniu decyzji organ podał, że do jego biura wpłynął wniosek R.S. o nakazanie Polskiemu Związkowi Alpinizmu z siedzibą w Warszawie usunięcia jego danych osobowych w zakresie imienia i nazwiska ze strony internetowej PZA. Skarżący podniósł, że w dniu 7 stycznia 2010 r. PZA zamieścił na ww. stronie "(...) nieprawdziwe informacje dotyczące R.S., posługując się do tego celu chronionymi prawnie danymi osobowymi, do czego nigdy nie został upoważniony. Pomimo licznych wezwań, kierowanych przez R.S. drogą elektroniczną i do stowarzyszenia, PZA nie zareagowało na monity i nie zdjęło naruszającego prawo i dobra osobiste komunikatu (...)". R.S. wskazał też, że w dniu 18 lutego 2011 r. zwrócił się do PZA pisemnie, wzywając do usunięcia jego danych osobowych z ww. strony, lecz pismo to pozostało bez odpowiedzi. Generalny Inspektor Ochrony Danych Osobowych przeprowadził w sprawie postępowanie wyjaśniające, w toku którego ustalił, że: 1. Na stronie internetowej Polskiego Związku Alpinizmu [...] znajduje się komunikat pt. "Kol. R.S. - zawieszenie uprawnień instruktora PZA", zawierający informację o podjęciu przez Zarząd PZA decyzji o zawieszeniu uprawnień instruktora PZA R.S. w związku z prowadzoną przez niego działalnością szkoleniową, pomimo braku uprawnień wymaganych dla prowadzenia takich szkoleń. 2. Pełnomocnik Skarżącego skierowała do PZA pismo z dnia 18 lutego 2011 r., w którym zażądała: "Umieszczony ponad rok temu na stronie internetowej [...] komunikat, w którym znajdują się chronione prawnie dane osobowe mojego Klienta (...) winien być niezwłocznie usunięty". 3. W piśmie z dnia 26 lipca 2011 r., skierowanym do pełnomocnika R.S., PZA wyjaśnił: "(...) informacje podawane na naszej stronie są prawdziwe i sprawdzone, a podawanie ich wynika z odpowiedzialności społecznej naszego Związku". 4. PZA jest zarejestrowanym związkiem stowarzyszeń kultury fizycznej i posiada osobowość prawną (art. 3 statutu PZA). 5. PZA przetwarza dane osobowe Skarżącego jako instruktora z zawieszonymi uprawnieniami instruktora PZA. 6. PZA w piśmie z dnia 23 sierpnia 2011 r., skierowanym do Generalnego Inspektora Ochrony Danych Osobowych, wyjaśnił: "Zamieszczony na stronie internetowej PZA komunikat informacyjny o zawieszeniu panu R.S. uprawnień instruktora PZA zawiera informację odpowiadającą prawdzie, bowiem Zarząd PZA (...) rzeczywiście podjął decyzję o zawieszeniu uprawnień instruktora PZA panu R.S. w związku z jego działalnością szkoleniową (...) pomimo braku uprawnień wymaganych dla prowadzenia takich szkoleń. (...). upublicznienie informacji o zawieszeniu uprawnień osoby, która publicznie na takowe uprawnienia się powołuje (w swojej ofercie kierowanej do publiczności), leży w interesie nie tylko PZA, ale także w interesie publicznym. Wszystkie osoby chcące skorzystać z usług profesjonalnego instruktora z uprawnieniami PZA (...) powinny mieć możliwość zweryfikowania informacji na temat uprawnień konkretnego instruktora (...). Zamieszczenie na stronie internetowej informacji o zawieszeniu uprawnień instruktora PZA zapobiega również wprowadzaniu w błąd aktualnych lub potencjalnych klientów pana R.S., który w celach marketingowych powoływał się na autoryzację udzieloną mu przez PZA jako instruktorowi". Wskazano, że dane osobowe R.S. zostały udostępnione na stronie internetowej PZA na podstawie art. 7 pkt 2, 5, 6 oraz art. 21 pkt 12 Statutu PZA. 7. Zgodnie z art. 7 ww. statutu PZA realizuje swoje cele przez: sprawowanie wszechstronnej opieki szkoleniowej i wychowawczej nad członkami organizacji zrzeszonych w PZA oraz kontroli przestrzegania przez nich oraz przez członków PZA statutu, postanowień i regulaminów oraz przepisów i zasad uprawiania alpinizmu (pkt 2), prowadzenie działalności szkoleniowej dla członków organizacji zrzeszonych w PZA (pkt 5), ustalenie zasad i instrukcji oraz projektów w zakresie szkolenia bezpieczeństwa i działalności sportowej dotyczących alpinizmu (pkt 6). W myśl art. 21 pkt 12 Statutu PZA do kompetencji Zarządu należy nadawanie i pozbawianie uprawnień instruktorskich. 8. Z pkt 3 Regulaminu kadry szkoleniowej PZA (znajdującego się na stronie internetowej tego podmiotu) wynika, że stopnie instruktorskie nadaje, odbiera i zawiesza Zarząd PZA na wniosek odpowiednio: Komisji Szkolenia Wspinaczki Skałkowej i Wysokogórskiej PZA, Komisji Taternictwa Jaskiniowego, Komisji Narciarstwa Wysokogórskiego. 9. PZA poinformował też w ww. piśmie z dnia 23 sierpnia 2011 r., że skarżący jest przedsiębiorcą prowadzącym działalność gospodarczą pod firmą "[...]". W ocenie PZA "(...) dane osobowe R.S. są przetwarzane przez PZA w nie większym zakresie, w jakim są one ogólnodostępne w Ewidencji Działalności Gospodarczej bądź na stronie internetowej pana R.S.". 10. Ministerstwo Sportu i Turystyki w piśmie z dnia 3 stycznia 2012 r., skierowanym do GIODO, poinformowało, że: "(...) Polski Związek Alpinizmu nie posiada aktualnej zgody na prowadzenie kursów specjalistycznych, o której mowa w art. 41 ust. 8 ustawy z dnia 25 czerwca 2010 r. o sporcie (Dz. U. nr 127, poz. 857 ze zm.). Polski Związek Alpinizmu posiadał zgodę na prowadzenie kursów instruktora sportu we wspinaczce wysokogórskiej, alpinizmie jaskiniowym oraz kursu trenera drugiej klasy we wspinaczce sportowej. Zgoda ta wydana była w oparciu o przepisy ustawy z dnia 18 stycznia 1996 r. o kulturze fizycznej (Dz. U. z 2007 r. nr 226, poz. 1675 ze zm.) oraz rozporządzenia Ministra Edukacji Narodowej z dnia 27 czerwca 2001 r. w sprawie kwalifikacji, stopni i tytułów zawodowych w dziedzinie kultury fizycznej oraz szczegółowych zasad i trybu ich uzyskiwania (Dz. U. nr 71, poz. 738 ze zm.) i straciła swoją ważność 31 października 2011 r. Specjalistyczne kursy, o których mowa w art. 41 ustawy o sporcie, mogą być prowadzone przez podmioty, które spełnią wymogi przepisów prawa i uzyskają zgodę ministra właściwego ds. kultury fizycznej. Polski Związek Alpinizmu nie ma więc »monopolu« na prowadzenie działalności w tym obszarze. (...) Szkolenia realizowane przez Polski Związek Alpinizmu (bez zgody MSiT) mają charakter wewnętrzny, a uprawnienia nadawane przez PZA mogą wynikać z regulacji obowiązujących w tym stowarzyszeniu". Po przeprowadzeniu w sprawie postępowania wyjaśniającego Generalny Inspektor decyzją administracyjną z dnia [...] lutego 2012 r. nakazał Polskiemu Związkowi Alpinizmu usunięcie ze strony internetowej tej organizacji [...] danych osobowych skarżącego w zakresie jego imienia i nazwiska. W dniu 14 marca 2012 r. do Biura GIODO wpłynął wniosek PZA o ponowne rozpatrzenie sprawy rozstrzygniętej ww. decyzją, uchylenie tej decyzji i odmowę uwzględnienia wniosku skarżącego. We wskazanym wniosku podniesiono: "(...) nie istnieją podstawy do nakazania PZA usunięcia danych osobowych zgodnie z sentencją decyzji z dnia [...] lutego 2012 r.(...)". W ocenie PZA: "Decyzja GIODO nakazująca usunięcie danych osobowych może zostać wydana w przypadku naruszenia obowiązków określonych w art. 23 lub 27 Ustawy. W przedmiotowej sprawie do naruszenia takich obowiązków przez PZA nie doszło". Wskazano, że R.S. w ramach prowadzonej działalności gospodarczej "powoływał się publicznie na posiadanie aktualnych uprawnień PZA (także po ich zawieszeniu). Z tego tez względu, aby sprostować nieprawdziwe informacje publikowane przez samego R.S., PZA zamieściła na swojej stronie internetowej informację o zawieszeniu jego uprawnień instruktora PZA. (...) Takie działanie PZA mieści się w granicach prawnie usprawiedliwionych celów administratora danych osobowych R.S. (...) nie narusza też praw i wolności R.S., bowiem są to publicznie dostępne dane przedsiębiorcy, na które on sam publicznie powoływał się właśnie w kontekście posiadanych uprawnień instruktorskich. Gdyby więc R.S. nie powoływał się publicznie na posiadane przez siebie uprawnienia PZA, o tyle rzeczywiście zrozumiałe byłoby domaganie się przez niego usunięcia informacji o zawieszeniu tych uprawnień. Jeśli jednak R.S. - jako przedsiębiorca prowadzący działalność w zakresie organizowania kursów wspinaczkowych - zdecydował się na publikowanie swoich danych jako instruktora posiadającego aktualne uprawnienia PZA, o tyle żądanie usunięcia informacji prostującej przecież te niezgodne z prawdą oświadczenia, nie można uznać za słuszne i usprawiedliwione prawną ochroną danych osobowych R.S. (...) W ocenie PZA dozwolone jest publikowanie takich informacji, skoro to sam R.S. na uprawnienia PZA powoływał się publicznie". Po powtórnym rozpatrzeniu zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych uznał rozstrzygnięcie zawarte w decyzji z dnia [...] lutego 2012 r. za prawidłowe. Mając na uwadze wielokrotnie akcentowaną przez PZA okoliczność prowadzenia przez skarżącego działalności gospodarczej, w związku z czym według PZA jego dane osobowe stanowią "publicznie dostępne dane przedsiębiorcy", organ podkreślił, że z dniem 31 grudnia 2011 r. utracił moc obowiązującą art. 7a ust. 2 ustawy z dnia 19 listopada 1999 r. - Prawo działalności gospodarczej (Dz. U. nr 101, poz. 1178 ze zm.), który stanowił, że ewidencja działalności gospodarczej jest jawna i dane osobowe w niej zawarte nie podlegają przepisom ustawy o ochronie danych osobowych. W konsekwencji powyższego od dnia 1 stycznia 2012 r. przepisy ustawy o ochronie danych osobowych stosuje się także do informacji identyfikujących przedsiębiorców w obrocie gospodarczym, zatem również do danych osobowych R.S. Wobec tego organ powtórzył, że ustawa o ochronie danych osobowych określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1). Administratorem danych osobowych, w myśl art. 7 pkt 4 ustawy, jest organ, jednostka organizacyjna, podmiot lub osoba, o której mowa w art. 3 ustawy, która decyduje o celach i środkach przetwarzania tych danych. Zgodnie z art. 7 pkt 2 ustawy, przetwarzaniem danych osobowych są jakiekolwiek operacje na nich wykonywane, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Każda z ww. form przetwarzania danych osobowych powinna znaleźć oparcie w jednej z przesłanek warunkujących legalność tego procesu, enumeratywnie wymienionych w art. 23 ust. 1 ustawy. Obok i niezależnie od zgody osoby, której dane dotyczą (pkt 1), przetwarzanie danych osobowych jest dopuszczalne m.in. wtedy, gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3), gdy jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4) oraz gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). Oprócz wymogu legitymowania się przesłanką legalności przetwarzania danych osobowych, na administratorze danych spoczywa wynikający z art. 26 ust. 1 ustawy obowiązek dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności obowiązek zapewnienia, aby dane te były przetwarzane zgodnie z prawem (pkt 1) oraz zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2 tego przepisu (pkt 2). W niniejszej sprawie PZA jest administratorem danych skarżącego w rozumieniu art. 7 pkt 4 ustawy, gdyż decyduje o celach i środkach przetwarzania danych R.S. jako instruktora PZA, w związku z czym ciąży na tej organizacji obowiązek zapewnienia, by ww. dane przetwarzane były zgodnie z przepisami ustawy o ochronie danych osobowych. Organ podkreślił, że z materiału dowodowego sprawy wynika, że Polski Związek Alpinizmu jest stowarzyszeniem utworzonym na podstawie przepisów ustawy - Prawo o stowarzyszeniach. W myśl art. 9 tej ustawy, osoby w liczbie co najmniej piętnastu, pragnące założyć stowarzyszenie, uchwalają statut stowarzyszenia i wybierają komitet założycielski. Zgodnie z art. 16 ww. ustawy, sąd rejestrowy wydaje postanowienie o zarejestrowaniu stowarzyszenia po stwierdzeniu, że jego statut jest zgodny z przepisami prawa i założyciele spełniają wymagania określone ustawą. Z powyższego wynika zatem, że skoro PZA jako stowarzyszenie działa na podstawie statutu, to uregulowań dotyczących zarówno podstaw prawnych, jak i sposobu udostępnienia określonych decyzji organów PZA, wobec braku takich regulacji w powszechnie obowiązujących przepisach prawa, należy poszukiwać w Statucie PZA. Generalny Inspektor Ochrony Danych Osobowych uznał, że w decyzji z dnia [...] lutego 2012 r. prawidłowo stwierdzono brak podstaw prawnych do udostępnienia danych skarżącego na powszechnie dostępnej stronie internetowej PZA w zakresie jego imienia i nazwiska w zestawieniu z informacją o zawieszeniu mu uprawnień instruktorskich PZA w zakresie prowadzonej przez niego działalności szkoleniowej w Tatrach. Przesłanki legalizującej to udostępnienie nie stanowi bowiem art. 23 ust. 1 pkt 3 i 5 ustawy, na który powoływał się PZA w udzielonych w sprawie wyjaśnieniach, w zestawieniu z ww. przepisami Statutu PZA. Skarżącego nie łączy bowiem z PZA żadna umowa, dla realizacji której konieczne byłoby udostępnienie jego danych w podważany przez niego sposób. Kwestionowane działanie nie może być uznane za działanie w prawnie usprawiedliwionym celu PZA, wbrew twierdzeniom zawartym w złożonym przez stowarzyszenie wniosku o ponowne rozpatrzenie sprawy. Podkreślić należy, że w czasie udostępnienia na stronie internetowej PZA (w dniu 7 stycznia 2010 r.) informacje w zakresie imienia i nazwiska Skarżącego były rzeczywiście danymi jawnymi jako przedsiębiorcy, wynikającymi z ewidencji działalności gospodarczej. Jednak, jak wyżej wskazano, od dnia 1 stycznia 2012 r. także do danych osobowych przedsiębiorców, zawartych w tej ewidencji, stosuje się przepisy ustawy o ochronie danych osobowych. Niezależnie od powyższego, zaznaczenia wymaga, że informacja o zawieszeniu uprawnień instruktorskich na skutek określonego działania Skarżącego nie jest ani nie była również przez ww. zmianą stanu prawnego daną jawną. Z tego powodu upublicznienie ww. informacji w sposób kwestionowany w skardze może naruszać prawa i wolności Skarżącego, w przeciwieństwie do tego, co twierdzi PZA. Podnieść należy, że statut PZA nie przewiduje możliwości upubliczniania decyzji Zarządu PZA o zawieszeniu uprawnień instruktorskich PZA ani jakichkolwiek innych decyzji. Dlatego Generalny Inspektor stwierdził w zaskarżonej decyzji, że działania PZA, mające na celu uniemożliwienie powoływania się przez określonego instruktora na fakt posiadania ważnych uprawnień w sytuacji ich zawieszenia, nie można uznać za uprawnione w świetle art. 23 ust. 1 pkt 5 ustawy. Organ wskazał, że gdyby Statut PZA przewidywał sytuacje podawania do publicznej wiadomości poprzez publikację na stronie internetowej takich konkretnych decyzji, osoba, wobec której określona decyzja zostałaby podjęta, jako zrzeszona w PZA i tym samym zobowiązana do przestrzegania regulaminu i statutu tego stowarzyszenia, byłaby wcześniej zaznajomiona z tymi regulacjami, a tym samym miałaby świadomość, że w przypadku naruszenia przez nią zasad obowiązujących w tej organizacji poniesie określone skutki prawne. Jednak w niniejszej sprawie taka sytuacja nie zachodzi, gdyż w Statucie PZA brak przedmiotowej regulacji. Przesłanki do kwestionowanego udostępnienia danych skarżącego na stronie internetowej PZA w postaci komunikatu o zawieszeniu uprawnień instruktorskich PZA nie można upatrywać również w art. 23 ust. 1 pkt 4 ustawy. Wbrew stanowisku PZA działanie stowarzyszenia w tym zakresie nie może być traktowane jako niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego. Nadawanie i zawieszanie przez tę organizację uprawnień instruktorskich wynika bowiem wyłącznie z Regulaminu kadry szkoleniowej PZA, obowiązującego w stowarzyszeniu, a uprawnienia te nie mają charakteru uprawnień państwowych. Ponadto prowadzone przez PZA szkolenia w tym zakresie odbywają się aktualnie bez zgody właściwego ministra. Powyższa decyzja stała się przedmiotem skargi, wniesionej do Wojewódzkiego Sądu Administracyjnego, w której skarżący zaskarżonej decyzji zarzucił : I. naruszenie przepisów postępowania, tj. przepisów art. 7, art. 77 § 1 oraz art. 80 K.p.a., w zw. z art. 22 ustawy o ochronie danych osobowych, polegające na braku wszechstronnego rozpatrzenia materiału dowodowego, zgromadzonego w sprawie, co w efekcie doprowadziło do błędnego przyjęcia przez organ, iż podstawą prawną, umożliwiającą skarżącemu zamieszczenie na stronie internetowej informacji o zawieszeniu uprawnień instruktorskich R.S., mógłby być Statut Polskiego Związku Alpinizmu w przypadku gdyby zawierał postanowienia umożliwiające upublicznienie takich informacji, gdzie uprawnienie takie przysługiwało skarżącemu na podstawie ustawy o ochronie danych osobowych, a które to naruszenie prawa procesowego przez GIODO miało istotny wpływ na wynik sprawy; II. naruszenie przepisów postępowania, tj. przepisów art. 7 oraz 77 § 1 K.p.a., w zw. z art. 22 ustawy o ochronie danych osobowych, polegające na braku wszechstronnego rozpatrzenia materiału dowodowego, zgromadzonego w sprawie, co w efekcie doprowadziło do błędnego przyjęcia przez organ administracji, iż w przedmiotowej sprawie nie występują prawnie usprawiedliwione cele, realizowane przez Skarżącego jako administratora danych osobowych, które uprawniały go do zamieszczenia na stronie internetowej informacji o zawieszeniu uprawnień instruktorskich R.S., które to naruszenie prawa procesowego przez Stronę przeciwną miało istotny wpływ na wynik sprawy; III. naruszenie prawa materialnego, tj. art. 23 ust. 5 ustawy o ochronie danych osobowych, poprzez jego błędną wykładnię, polegającą na uznaniu przez GIODO, że zaistniała w niniejszej sprawie sytuacja polegająca na zamieszczeniu na stronie internetowej PZA prawdziwej informacji o fakcie, iż zawieszono R.S. uprawnienia instruktora PZA, a w tym samym czasie R.S. poprzez stronę internetową informującą o jego działalności gospodarczej podaje do publicznej wiadomości informację przeciwną (tj. iż R.S. posiada uprawnienia instruktorskie PZA), nie stanowi o spełnieniu przesłanki przetwarzania danych osobowych, gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych (tu: PZA), przy jednoczesnym braku naruszenia praw i wolności osoby, której te dane dotyczą. W odpowiedzi na skargę organ wniósł o jej oddalenie, powołując argumenty jak w uzasadnieniu zaskarżonej decyzji. Sąd I instancji uznał, że skarga zasługuje na uwzględnienie. W pierwszej kolejności Sąd I instancji podniósł, iż podstawę prawną dla wydania zaskarżonej decyzji stanowi art. 23 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.), który w ust. 1 stanowi, że przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. W myśl natomiast art. 23 ust. 2 cyt. ustawy, zgoda, o której mowa w ust. 1 pkt 1, może obejmować również przetwarzanie danych w przyszłości, jeżeli nie zmienia się cel przetwarzania. Jeżeli przetwarzanie danych jest niezbędne dla ochrony żywotnych interesów osoby, której dane dotyczą, a spełnienie warunku określonego w ust. 1 pkt 1 jest niemożliwe, można przetwarzać dane bez zgody tej osoby, do czasu, gdy uzyskanie zgody będzie możliwe (ust. 3). Z kolei zgodnie z art. 23 ust. 4 ww. ustawy, za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Zdaniem Sądu I instancji, ocena zgromadzonego w sprawie materiału dowodowego nie dała podstaw do stwierdzenia, że prawne działanie PZA w przedmiotowej sprawie nie znajdowało oparcia w art. 23 ust. 1 pkt 5 cyt. ustawy. Przyjęcie przez organ, że gdyby statut PZA zawierał postanowienia umożliwiające publikowanie informacji o zawieszeniu wykonywania uprawnień instruktorskich na stronie internetowej PZA, to wówczas działania podjęte przez PZA zostałyby dokonane zgodnie z prawem, nie znajduje uzasadnienia w przedmiotowej sprawie. Sąd podzielił pogląd GIODO, że w przypadku, gdy regulaminy lub statuty określonych organizacji zawierają postanowienia stanowiące o możliwości publikacji danych osobowych ich członków (w tym na stronie internetowej), to wówczas jest oczywiste, że członkowie poprzez przystąpienie do takiej organizacji, a co za tym idzie wyrażenie zgody na brzmienie statutów i regulaminów, wyrażają również zgodę na publikowanie swoich danych osobowych w przypadkach określonych przez wewnętrzne regulacje obowiązujące w danej organizacji, związku, etc. Takie publikowanie danych osobowych łączy się z normalną działalnością danej organizacji i ma na celu realizowanie jej funkcji. Natomiast Sąd zauważył, że w przedmiotowej sprawie stan faktyczny dotyczył zupełnie innego zagadnienia. Powodem opublikowania informacji o zawieszeniu uprawnień instruktorskich R.S. nie był sam fakt podjęcia takiej decyzji przez właściwe organy PZA, lecz fakt posługiwania się przez R.S. informacją (jej upublicznienie poprzez stronę internetową dotyczącą prowadzonej przez R.S. działalności gospodarczej) o posiadaniu uprawnień instruktora PZA, pomimo podjęcia ww. decyzji. Zdaniem Sądu, organ powinien jeszcze raz przeanalizować, czy w celu ochrony własnego dobrego imienia i renomy oraz w celu uprzedzenia potencjalnych klientów o braku autoryzacji działań R.S. przez PZA, wbrew opublikowanym na jego stronie informacjom, PZA podjęło w sposób uprawniony decyzję o zamieszczeniu odpowiedniej informacji na stronie internetowej. Powinien również wyjaśnić, czy działania PZA w przedmiotowej sprawie nie znajdowały oparcia w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych jako normie samoistnej, do realizacji której nie ma potrzeby powoływania się dodatkowo na postanowienia statutów czy regulaminów związku. Sąd I instancji podkreślił, że w zaskarżonej decyzji Generalny Inspektor zupełnie nie dokonał analizy, czy w przedmiotowej sprawie istniały prawnie usprawiedliwione cele, których realizacja, zgodnie z art. 23 ust. 1 pkt 5 ww. ustawy, uprawniałaby administratora danych do przetwarzania danych osobowych R.S. Organ wymienił jedynie ww. przepis jako jedną z możliwych podstaw przetwarzania danych osobowych, odniósł się do zmiany przepisów regulujących dostęp do ewidencji podmiotów prowadzących działalność gospodarczą oraz wskazał na brak postanowień statutu PZA regulujących kwestię publikacji określonych informacji na stronie internetowej związku. W przedmiotowej sprawie brak jest wszechstronnego rozpatrzenia materiału dowodowego, zgromadzonego w sprawie, w zakresie analizy, czy w omawianym stanie faktycznym istnieją prawnie usprawiedliwione cele, uprawniające PZA jako administratora danych osobowych do zamieszczenia na stronie internetowej informacji o zawieszeniu uprawnień instruktorskich R.S.. Organ powinien jeszcze raz przeanalizować, czy prawnie usprawiedliwionym celem działania PZA jako administratora danych osobowych jest ochrona dobrego imienia i renomy PZA oraz działalność informacyjna w odniesieniu do potencjalnych klientów poprzez uprzedzenie ich o braku autoryzacji działań R.S. przez PZA, a tym samym umożliwienie im podjęcia decyzji w oparciu o tę informacji. Dalej Sąd I instancji wskazał, że art 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych wprowadza zasadę, iż przetwarzanie danych osobowych jest dopuszczalne, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. W swojej decyzji GIODO uznał, że przetwarzania przez PZA danych osobowych R.S. nie można zakwalifikować jako spełniającego kryteria art. 23 ust. 1 pkt 5 cyt. ustawy. Organ stwierdził, że w jego ocenie informacja o zawieszeniu uprawnień instruktorskich na skutek określonego działania pana S. nie jest daną jawną. Uznał, że dlatego upublicznienie ww. informacji w sposób kwestionowany w skardze może naruszyć prawa i wolności R.S. Sąd I instancji nie podzielił wyżej przytoczonego poglądu. Podkreślił, iż Generalny Inspektor Ochrony Danych Osobowych powinien jeszcze raz zbadać, czy w przedmiotowej sprawie nie zachodzą przesłanki opisane w art. 25 ww. ustawy, legalizujące przetwarzanie danych, a w szczególności z art. 25 ust. 1 pkt 5 ustawy, który stanowi, że aby przetwarzanie danych osobowych uznać za dopuszczalne w świetle art. 25 ust. 1 pkt 5 ustawy, zachowanie administratora danych musi kumulatywnie spełniać następujące przesłanki: (i) przetwarzanie jest niezbędne dla realizacji celu administratora danych lub odbiorców danych, (ii) cel przetwarzania jest prawnie usprawiedliwiony, (iii) przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. R.S. informował bowiem, za pośrednictwem swojej strony internetowej, szeroko pojętą społeczność internetową, że jest w posiadaniu uprawnień instruktorskich PZA. Tym samym reklamował swoją działalność i czynił ją bardziej "godną zaufania" poprzez ukazywanie swoich związków z PZA, która jest instytucją powszechnie znaną i z długoletnimi tradycjami. Powoływanie się na posiadanie uprawnień PZA pełniło funkcję marketingową i przyciągało chętnych do skorzystania z usług R.S. Faktyczne posiadanie takich uprawnień przez R.S. usprawiedliwiałoby tego typu praktykę - skoro uzyskał te uprawnienia i był w ich posiadaniu miał prawo informować swoich potencjalnych usługobiorców i pośrednio firmować w ten sposób swoją działalność poprzez ukazywanie swoich związków z PZA. Ponadto Sąd zauważył, iż PZA przetwarza dane osobowe R.S. wyłącznie w zakresie jego imienia i nazwiska. R.S. sam zamieścił swoje dane osobowe, tj. imię, nazwisko, adres, na stronach internetowych w celu reklamy i informacji o prowadzonej działalności. Zdaniem Sądu powinien się liczyć z tym, że jego działalność będzie podlegać różnym ocenom osób, również negatywną, a równiez z weryfikacją podanych na stronie informacji. Skargę kasacyjną od powyższego wyroku wniósł R.S., zaskarżając go w całości zarzucił mu naruszenie przepisów prawa procesowego, które mogło mieć istotny wpływ na wynik sprawy tj. 1) art. 145 § 1 pkt 1 lit. c P.p.s.a. poprzez uznanie zasadności skargi w zw. z brakiem wszechstronnego rozpatrzenia materiału dowodowego przez GIODO, zgromadzonego w sprawie, w zakresie analizy, czy w omawianym stanie faktycznym istnieją prawnie usprawiedliwione cele, uprawniające skarżącego do zamieszczenia na stronie internetowej informacji o zwieszeniu uprawnień instruktorskich uczestnika na prawach strony. Ponadto skarżący zarzucił Sądowi I instancji naruszenie przepisów prawa materialnego tj. 1) art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. nr 101, poz. 926 ze zm., dalej: u.o.d.o.), poprzez przyjęcie że GIODO bezpodstawnie uznał, że ww. przepis nie odnosi się do sytuacji, w której znalazł się uczestnik przedmiotowej sprawy. W konkluzji skargi kasacyjnej wniesiono o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz zasądzenie kosztów postępowania według norm przepisanych. W uzasadnieniu skargi kasacyjnej podniesiono, że Sąd bez dostatecznej ku temu podstawy odmówił zaśadności stanowiska GIODO w przedmiotowej sprawie. Jak słusznie zauważono, zgodnie z art. 23 ust. 1 pkt 5 u.o.d.o. aby przetwarzanie danych osobowych uznać za dopuszczalne w świetle ww. przepisu, zachowanie administratora danych musi spełnić kumulatywnie następujące przesłanki: 1) przetwarzanie jest niezbędne dla realizacji celu administratora danych lub odbiorców danych, 2) cel przetwarzania jest prawnie usprawiedliwiony, 3) przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Analiza ww. wymogów została przeprowadzona przez GIODO w trakcie prowadzonego postępowania i należy się z nią zgodzić. Skarżący kasacyjnie podkreślił, że nie zachodził w niniejszej sprawie usprawiedliwiony cel przetwarzania danych. Wskazał, że samo ogólne sformułowane dobro jakim jest "ochrona dobrego imienia i renomy PZA" nie spełnia ww. przesłanki. W orzecznictwie podkreśla się fakt, że termin "usprawiedliwione cele" jest zwrotem niedookreślonym i stanowi klauzulę generalną o znaczeniu funkcjonalnym. Pozostawiono więc pewien luz decyzyjny, co z kolei wymusza indywidualizację podejścia do danej sytuacji oraz stosowanie pomocniczo zasad postępowania właściwych dla danego rodzaju zachowań. Na tej podstawie należy uznać, że PZA chcąc usprawiedliwić cel przetwarzania danych w niniejszej sprawie powinna powołać się na konkretny, zindywidualizowany cel swojego działania. Uzasadnienie przetwarzania danych "ochroną dobrego imienia i renomy" jest bowiem zbyt ogólne i może prowadzić do nadużyć w ww. zakresie. Stąd też należy uznać, że w przedmiotowej sprawie nie istniał żaden usprawiedliwiony cel, który uzasadniałby przetwarzanie danych R.S. Podkreślono również, że samo przyzwolenie na przetwarzanie danych musi wynikać z wyważenia interesów podmiotów uczestniczących w procesie przetwarzania. W postępowaniu w niniejszej sprawie wykazano, że przetwarzanie danych osobowych w postaci imienia i nazwiska mogło naruszyć prawa i wolności R.S. Należy zauważyć, że bez znaczenia dla przedmiotowych rozważań jest fakt umieszczenia ww. danych przez samego zainteresowanego na jego stronie internetowej. Stąd też, umieszczenie przez PZA imienia i nazwiska R.S. wraz z informacją o zawieszeniu uprawnień stanowi naruszenie jego konstytucyjnych praw i wolności, w tym art. 47 Konstytucji RP dot. m.in. prawa do ochrony czci i dobrego imienia. Ponadto, zdaniem skarżącego kasacyjnie, GIODO w sposób wyczerpujący i szczegółowy ustalił stan faktyczny oraz na jego podstawie przedstawił odpowiednią analizę prawną. Przeciwne twierdzenia Sądu zawarte w uzasadnieniu do wyroku w przedmiotowej sprawie nie zostały poparte żadnymi argumentami i jako takie nie mogą zostać uznane za uzasadnione. W odpowiedzi na skargę kasacyjną Polski Związek Alpinizmu wniósł o jej oddalenie oraz zasądzenie kosztów postępowania kasacyjnego według norm przepisanych. Naczelny Sąd Administracyjny zważył, co następuje: Postępowanie kasacyjne oparte jest na zasadzie związania Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej wyznaczonymi przez jej podstawy. Sąd ten, w odróżnieniu od Sądu I instancji nie bada całokształtu sprawy z punktu widzenia stanu prawnego, który legł u podstaw zaskarżonego orzeczenia. Bada natomiast zasadność przedstawionych w skardze kasacyjnej zarzutów. Zakres kontroli jest zatem określony i ograniczony wskazanymi w skardze kasacyjnej przyczynami wadliwości prawnej zaskarżonego wyroku wojewódzkiego sądu administracyjnego. Jedynie w przypadku, gdyby zachodziły przesłanki, powodujące nieważność postępowania sądowoadministracyjnego określone w art. 183 § 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2012 r., poz. 270 ze zm., dalej jako : Ppsa), NSA zobowiązany jest podjąć działania z urzędu, niezależnie od zarzutów wskazanych w skardze. W niniejszej sprawie takie okoliczności nie zachodzą. Skarga kasacyjna nie mogła odnieść zamierzonego skutku, przede wszystkim z uwagi na wadliwą konstrukcję jej podstaw. Pierwsza z podstaw na jakich oparta została skarga kasacyjna dotyczy naruszenia zaskarżonym wyrokiem art. 145 § 1 pkt. 1 lit. c Ppsa. Naruszenie tego przepisu autor skargi kasacyjnej upatruje w tym, iż Sąd I instancji bezpodstawnie uznał, że GIODO winien rozważyć (a czego nie uczynił ), czy art. 23 ust. 1 pkt. 5 ustawy o ochronie danych osobowych może stanowić przesłankę legalizującą przetwarzanie danych osobowych skarżącego. W ocenie skargi kasacyjnej w rozpoznawanej sprawie nie występuje prawnie usprawiedliwiony cel administratora danych osobowych o jakim mowa w wymienionym przepisie. W skardze kasacyjnej poza art. 145 § 1 pkt. 1 lit. c Ppsa nie zostały powołane inne przepisy Ppsa, które miałby naruszyć Sąd I instancji dokonując takiej nieprawidłowej oceny, a których naruszenie skutkowało także nieprawidłowym zastosowaniem w/wym. przepisu. W ugruntowanym orzecznictwie Naczelnego Sądu Administracyjnego wskazuje się, iż przepis ten nie może stanowić samodzielnej podstawy kasacyjnej, albowiem błąd w postaci oddalenia lub uwzględnienia skargi Sąd może popełnić we wcześniejszym etapie postępowania, tj. w fazie kontroli zaskarżonego aktu lub decyzji. Oznacza to, że warunkiem skutecznego powołania się na zarzut naruszenia art. 145 §1 pkt. 1 lit. c Ppsa jest wskazanie w skardze kasacyjnej także na te przepisy procedury sądowoadministracyjnej, którym uchybił Sąd w procesie kontroli zaskarżonej decyzji. Skarga kasacyjna złożona w niniejszej sprawie warunku tego nie spełnia. W tym miejscu trzeba wyjaśnić, że warunkiem uwzględnienia skargi na podstawie tego przepisu jest ustalenie przez Sąd I instancji istnienia naruszenia przepisów postępowania przez organ administracji publicznej rozpatrujący daną sprawę oraz stwierdzenie, że naruszenie to miało lub mogło mieć wpływ na wynik sprawy, a więc gdyby nie było stwierdzonego naruszenia przepisów prawa, to rozstrzygnięcie sprawy najprawdopodobniej byłoby inne. Oznacza to, że można zarzucić Sądowi I instancji naruszenie wyżej wymienionego przepisu tylko wówczas, gdy Sąd ten stwierdził takie naruszenie prawa, a mimo to nie spełnił dyspozycji powołanej normy prawnej i nie uchylił zaskarżonej decyzji. Natomiast w rozpatrywanej sprawie przedstawione przez Sąd I instancji przesłanki uchylenia zaskarżonej decyzji pozwalały na zastosowanie art. 145 § 1 pkt 1 lit. c ustawy Prawo o postępowaniu przed sądami administracyjnymi, gdyż Sąd I instancji stwierdził , że GIODO nie rozważył należycie, czy w sprawie może znaleźć zastosowanie art. 23 ust. 1 pkt. 5 ustawy o ochronie danych osobowych, jako przesłanka legalizująca przetwarzanie danych osobowych skarżącego. Sąd dokonał wnikliwej, merytorycznej oceny zaskarżonej decyzji i zasadnie uznał, że powołane w skardze PZA przepisy prawa zostały przez organ naruszone. Również drugi z zarzutów skargi kasacyjnej nie mógł okazać się skuteczny. W zasadzie wiąże się on bezpośrednio z przedstawionym wyżej zarzutem naruszenia art. 145 § 1pkt. 1 lit. c Ppsa, bowiem skarga kasacyjna zarzuca Sądowi I instancji także i w tym punkcie, że bezzasadnie ustalił, iż GIODO nie ustalił w sposób wyczerpujący stanu sprawy ( konkretnie, że nie rozważył, czy w sprawie może znaleźć zastosowanie art. 23 ust. pkt. 5 ustawy o ochronie danych osobowych ), podczas gdy w przekonaniu skarżącego kasacyjnie stan faktyczny sprawy i jego analiza prawna nie budzą wątpliwości. Po pierwsze Sąd I instancji uchylił zaskarżoną decyzję na podstawie art. 145 § 1 pkt. 1 lit. c Ppsa, a więc z uwagi na stwierdzone uchybienie przez organ przepisom postępowania, a nie na podstawie art. 145 § 1 pkt. lit. a Ppsa. W uzasadnieniu wyroku Sądu I instancji czytamy "organ powinien jeszcze raz przeanalizować, czy w celu ochrony własnego dobrego imienia i renomy oraz w celu uprzedzenia potencjalnych klientów o braku autoryzacji działań R.S. przez PZA, wbrew opublikowanym na jego stronie informacjom, PZA podjęło w sposób uprawniony decyzję o zamieszczeniu odpowiedniej informacji na stronie internetowej. Powinien również wyjaśnić, czy działania PZA w przedmiotowej sprawie nie znajdowały oparcia w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych jako normie samoistnej, do realizacji której nie ma potrzeby powoływania się dodatkowo na postanowienia statutów czy regulaminów związku". Jak wynika z przytoczonego fragmentu uzasadnienia wyroku Sąd I instancji nie przesądził o zastosowaniu w niniejszej sprawie art. 23 ust. 1 pkt. 5 ustawy o ochronie danych osobowych, a wskazał jedynie na pewne okoliczności, które mogą wpłynąć na ocenę organu w zakresie tego, czy przetwarzanie danych osobowych skarżącego było, czy też nie było legalne. W tej sytuacji nie można utożsamiać faktu powołania się przez Sąd I instancji na w/wym. przepis z faktem jego zastosowania przez Sąd. Ponadto jak wynika z uzasadnienia skargi kasacyjnej poprzez zarzut naruszenia art. 23 ust. 1 pkt. 5 ustawy o ochronie danych osobowych autor skargi kasacyjnej chciał zakwestionować ocenę Sądu I instancji co do tego, że GIODO nie rozważył należycie materiału dowodowego w sprawie. W orzecznictwie sądów administracyjnych przyjmuje się, że nie jest dopuszczalne powoływanie się na zarzut naruszenia prawa materialnego w celu podważenia ustalonego stanu faktycznego sprawy. O błędnej wykładni prawa, czy błędnym zastosowaniu przepisu prawa materialnego można mówić jedynie w przypadku gdy stan faktyczny sprawy nie jest kwestionowany i nie budzi wątpliwości. W rozpoznawanej sprawie skarga kasacyjna skutecznie nie podważyła, z przyczyn o których była mowa wcześniej oceny Sądu I instancji co do tego, że materiał dowodowy w sprawie nie został oceniony należycie, z uwzględnieniem jej wszystkich aspektów. W takiej sytuacji powoływanie się na zarzut naruszenia przez Wojewódzki Sąd Administracyjny w Warszawie prawa materialnego jest nieuzasadnione i przedwczesne. Z tych wszystkich względów Naczelny Sąd Administracyjny na podstawie art. 184 w zw. z art. 204 pkt. 2 Ppsa orzekł jak w sentencji.