II SA/Wa 1026/15

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędziowie WSA Ewa Pisula – Dąbrowska, Janusz Walawski (spr.), Protokolant specjalista Elwira Sipak, po rozpoznaniu na rozprawie w dniu 27 stycznia 2016 r. sprawy ze skargi Dyrektora Zakładu Karnego w P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych – oddala skargę – Generalny Inspektor Ochrony Danych Osobowych na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2013 r. poz. 267 z późn.zm.) oraz art. 12 pkt 2 w związku z art. 18 ust. 1 pkt 6 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r. poz. 1182 z późn. zm.), w dniu [...] kwietnia 2015 r. wydał decyzję nr [...], którą utrzymał w mocy decyzję poprzedzającą z dnia [...] czerwca 2014 r. nakazującą Zakładowi Karnemu w P. wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych J. K. poprzez usunięcie jej danych osobowych w zakresie informacji, iż w dniu [...] grudnia 2011 r. została ona skreślona z listy studentów Uniwersytetu [...] w T. wobec niepodjęcia studiów oraz w pozostałym zakresie odmawiającą uwzględnienia wniosku. Organ w uzasadnieniu decyzji podał, że rozstrzygnięcie zawarte w decyzji poprzedzającej jest prawidłowe, a argumenty zawarte we wniosku o ponowne rozpatrzenie sprawy nie uzasadniają konieczność zmiany tej decyzji. W przedmiotowej sprawie kwestią bezsporną jest fakt, iż Uniwersytet udostępnił Zakładowi Karnemu dane J. K. w zakresie informacji, że w dniu [...] grudnia 2011 r. została ona skreślona z listy studentów wobec niepodjęcia studiów. Nie podlega również dyskusji, że powyższe odbyło się bez podstawy prawnej oraz stanowiło działanie sprzeczne z celem przetwarzania danych osobowych skarżącej przez ten podmiot. Uniwersytet stał się administratorem danych osobowych ww. w związku z faktem, iż była ona studentką tej uczelni i tylko w tym celu mógł przetwarzać jej dane osobowe. Tymczasem poprzez udostępnienie Zakładowi Karnemu informacji o skreśleniu z listy studentów doszło do dalszego przetwarzania przez ten podmiot jej danych osobowych, niezgodnego ze wskazanym celem. Generalny Inspektor wskazał, że ustawa o ochronie danych osobowych zawiera zasady postępowania obowiązujące przy przetwarzaniu danych osobowych oraz określa prawa osób fizycznych, których dane są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1). Stosownie do brzmienia art. 7 pkt 2 ustawy pod pojęciem przetwarzania danych rozumieć należy jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Każda ze wskazanych w tym przepisie form przetwarzania danych osobowych powinna znaleźć oparcie w jednej z przesłanek warunkujących legalność przetwarzania danych osobowych tzw. zwykłych, enumeratywnie wymienionych w art. 23 ust. 1 ustawy, i danych sensytywnych, wymienionych w art. 27 ust. 1 pkt 1 ustawy. Ustawodawca w art. 23 ust. 1 ustawy zawarł zamknięty katalog przesłanek, które co do zasady są równoprawne, każda ma charakter autonomiczny i niezależny, co oznacza, że spełnienie jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Nie można więc przy braku zgody osoby, której dane dotyczą, uznać że administrator danych przetwarza jej dane osobowe bez podstawy prawnej, naruszając przepisy ustawy o ochronie danych osobowych, bo ustawodawca dopuścił możliwość przetwarzania danych także na mocy innych przesłanek. Natomiast w art. 27 ust. 1 ustawy został zamieszczony zakaz przetwarzania danych osobowych w zakresie danych w nim określonych. Jednak według ust. 2 tego przepisu przetwarzanie danych, o których mowa w ust. 1 jest dopuszczalne, gdy zachodzi jeden z wymienionych w nim przypadków. Organ za chybiony uznał argument, że pozyskane przez Zakład Karny dane osobowe są kategorią danych wrażliwych i ich przetwarzanie mieści się w pkt 5 art. 27 ust. 2. Wbrew stanowisku Zakładu Karnego pozyskane dane nie są żadną ze wskazanych kategorii danych wrażliwych wymienionych w art. 27 ust. 1 ustawy. Generalny Inspektor podkreślił, że w związku z tym, że zakres pozyskanych danych osobowych nie jest żadną z kategorii danych z art. 27 ust. 1, to nie mogą one być przedmiotem rozważań pod kątem art. 27 ust. 2 ustawy. Oba ustępy bowiem są ze sobą spójne i ich analiza jest przeprowadzana wspólnie. Ponadto organ zaznaczył, że ustęp drugi jest uzależniony od ustępu pierwszego, co wynika z treści ust. 2. W ocenie Generalnego Inspektora zakres danych pozyskanych przez Zakład Karny należy do kategorii danych zwykłych, które reguluje art. 23 ust. 1 ustawy, zatem art. 27 ust. 2 pkt 5 ustawy nie może być w tym przypadku uznany za legalizujący proces pozyskanych danych. Organ wyjaśnił też, że koniecznym (ale niewystarczającym) warunkiem legalności przetwarzania danych osobowych jest uprzednia legalność ich pozyskania. Biorąc pod uwagę art. 26 ust. 1 pkt 1 ustawy, który wyraźnie przewiduje, iż administrator przetwarzający dane jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem, uwzględnić należy również definicję terminu przetwarzania danych. Pozyskanie danych w ustawowej definicji znane jako zbieranie, jest operacją wykonywaną na danych osobowych w ramach ich przetwarzania. Administrator musi zatem zapewnić zgodne z prawem ich pozyskanie. Generalny Inspektor wskazał, że w niniejszej sprawie Zakład Karny uzyskując od Uniwersytetu przedmiotowe dane osobowe stał się nieuprawnionym podmiotem przetwarzającym te dane. Jeżeli podmiot pozyskał dane osobowe od innego podmiotu, który je zgromadził bez poszanowania przewidzianych ustawą warunków, wyłącza to możliwość posługiwania się takimi danymi przez nabywcę. Dalej organ wyjaśnił, że zakład Karny, wnioskując do Uniwersytetu o udostępnienie danych osobowych J. K., powinien był sprecyzować okoliczności mające uzasadniać pozyskanie danych. Samo powołanie się na art. 23 ust. 1 pkt 2 ustawy z jednoczesnym wskazaniem, iż jest to istotne do przeprowadzenia niezbędnych czynności służbowych dla organu jest niewystarczające. W ocenie organu udostępnienie przez Uniwersytet Zakładowi Karnemu przedmiotowych informacji, nie było niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Zgodnie bowiem z art. 23 ust. 1 pkt 2 ustawy, przetwarzanie danych osobowych jest dopuszczalne, gdy jest niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten uzależnia zatem możliwość przetwarzania danych od łącznego spełnienia dwóch istotnych warunków, tj. istnienia odpowiedniego przepisu prawa, który przyznaje podmiotowi uprawnienie lub nakłada na niego obowiązek oraz niezbędności przetwarzania danych dla zrealizowania tego uprawnienia lub spełnienia obowiązku wynikającego z tego przepisu. Organ wskazał, iż w przepisach regulujących działalność Zakładu Karnego brak jest przepisu szczególnego, który dawałby mu uprawnienie do pozyskania i dalszego przetwarzania danych osobowych J. K. w zakwestionowanym przez nią zakresie. Organ nie podzielił twierdzenia Zakładu Karnego, jakoby przetwarzanie pozyskanych danych osobowych było niezbędne z uwagi na usprawiedliwiony cel polegający na dokładnym sprawdzeniu, czy ww. jako funkcjonariusz naruszyła dyscyplinę służbową poprzez niezgodne z przeznaczeniem wykorzystywanie zwolnienia lekarskiego. Stosownie do postanowień Regulaminu Dyrektora Generalnego Służby Więziennej z dnia 18 października 2010 r., przełożony kontrolę prawidłowości wykorzystywania zwolnień lekarskich od pracy z powodu choroby lub konieczności sprawowania osobistej opieki nad chorym członkiem rodziny, przeprowadzić powinien w miarę możliwości w szczególności u funkcjonariusza. Nie sposób zatem uznać za działanie mieszczące się w granicach tego uprawnienia kontrolnego, wystąpienia do uczelni, której kontrolowany funkcjonariusz jest studentem, z prośbą o udzielenie informacji, czy w konkretnej dacie uczestniczył on w zajęciach akademickich. W związku z powyższym, skoro przekazanie danych osobowych nie znajdowało podstaw prawnych w żadnej z przesłanek wyrażonych w art. 23 ust. 1 ustawy, to tym samym proces przetwarzania tych danych nie może zostać uznany za legalny. Dyrektor Zakładu Karnego wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2015 r., w której zarzucił, że została wydana z naruszeniem następujących przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 Nr 101, poz. 926 z późn. zm.): 1) art. 23 ust. 5, poprzez uznanie, że zakład żądając udostępnienia przez uniwersytet danych osobowych nie wykazał istnienia prawnie usprawiedliwionego celu, 2) art. 26 ust. 1 pkt 2, poprzez uznanie, że zakład uzyskał w sposób sprzeczny z obowiązującymi przepisami dane osobowe, a w konsekwencji jego działanie polegające na dalszym ich przetwarzaniu było sprzeczne z obowiązującymi pzrepisami, 3) art. 27 ust. 2 pkt 5, poprzez uznanie, że zakład nie był uprawniony do zastosowania tego przepisu w celu przetwarzania danych osobowych tzw. zwykłych (niewrażliwych). Podnosząc powyższe zarzuty Dyrektor Zakładu Karnego wniósł o uchylenie zaskarżonej decyzji. Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie i podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2014 r. poz. 1647 z późn. zm), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej (...). Kontrola, o której mowa w § 1, sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Natomiast art. 3 § 1 powołanej ustawy stanowi, że sprawy należące do właściwości sądów administracyjnych rozpoznają, w pierwszej instancji, wojewódzkie sądy administracyjne. Zgodnie z art. 3 § 1 i 2 pkt 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r. poz. 270 z późn. zm.), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Kontrola działalności administracji publicznej przez sądy administracyjne obejmuje orzekanie w sprawach skarg na decyzje administracyjne. Skarga nie zasługuje na uwzględnienie, gdyż zaskarżona decyzja prawa nie narusza w dacie jej wydania. Na wstępie podać należy, że ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r. poz. 1182 z późn. zm.) z jednej strony reguluje obowiązki podmiotów wykorzystujących dane osobowe, z drugiej zaś – prawa osób, których dane dotyczą, z odniesieniem do konkretnych przepisów ustawy. Naczelną zasadą ustawy nie jest wszak bezwzględny zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. Zgodnie z art. 1 ustawy, każdy ma prawo do ochrony dotyczących go danych osobowych. Przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. Natomiast zgodnie z art. 7 pkt 2 ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Ustawa traktuje zatem udostępnianie danych jako jeden z przejawów "przetwarzania danych". Zgodnie zaś z art. 12 ustawy do zadań Generalnego Inspektora Ochrony Danych Osobowych w szczególności należy: 1) kontrola zgodności przetwarzania danych osobowych z przepisami ustawy o ochronie danych osobowych, 2) wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonywania przepisów o ochronie danych osobowych, 3) prowadzenie rejestru zbiorów danych oraz udzielanie informacji o zarejestrowanych zbiorach, 4) opiniowanie projektów ustaw i rozporządzeń dotyczących ochrony danych osobowych, 5) inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych, 6) uczestniczenie w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych. W rozpoznawanej sprawie Generalny Inspektor Ochrony Danych Osobowych realizował zadania ustawowe, określone w pkt 2 powyżej przytoczonego przepisu, z którego wynikają jego uprawnienia nadzorcze w stosunku do administratorów danych, w zakresie przetwarzania przez nich danych, zgodnie z przepisami o ochronie danych osobowych. Ustawa o ochronie danych osobowych określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). Przetwarzanie może być uznane za zgodne z prawem jedynie wtedy, gdy administrator danych wykaże się spełnieniem choćby jednej z materialnych przesłanek przetwarzania danych. Przesłanki te znajdują się w art. 23 ust. 1 ustawy. Zgodnie z art. 23 ust. 1 pkt 2 przetwarzanie danych jest dopuszczalne, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przypomnieć należy, że Dyrektor Zakładu Karnego w piśmie z dnia 26 lipca 2013 r., powołując się na art. 23 ust. 1 pkt 2 ustawy wystąpił do Uniwersytetu [...] w T. "o potwierdzenie czy Pani J. P. K., PESEL [...] jest studentem waszej uczelni. Jeżeli tak, to proszę o podanie jakiego wydziału, kierunku oraz czy w okresie od 08.05.2012 r. do 04.06.2013 uczestniczyła w zajęciach lub egzaminach. Proszę, w miarę możliwości, o wskazanie konkretnych terminów. Powyższe istotne jest do przeprowadzenia niezbędnych czynności służbowych". Wskazać należy, że zgodnie z art. 26 ust. 1 pkt 3 powołanej ustawy o ochronie danych osobowych, administrator danych przetwarzający je powinien dołożyć należytej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane. Wobec treści zapisu nawet wykazanie przez administratora danych, że legitymuje się przynajmniej jedną z przesłanek przewidzianych w art. 23 ust. 1 ustawy, nie wyłącza oceny adekwatności danych osoby w stosunku do celów, w jakich są one przetwarzane. Podkreślić należy, że zasada adekwatności ma charakter bezwzględnie obowiązujący. Adekwatność danych w stosunku do celu ich przetwarzania powinna być rozumiana jako równowaga pomiędzy uprawnieniem osoby do dysponowania swoimi danymi a interesem administratora danych. Administrator danych nie może w żaden sposób stawiać swego interesu ponad dobro osoby, której dane przetwarza. Jak zasadnie ocenił organ, udostępnienie danych osobowych J. K. innemu podmiotowi – Dyrektorowi Zakładu Karnego nastąpiło niewątpliwie z naruszeniem art. 26 ust. 1 pkt 1 ustawy, bowiem administrator danych (Uniwersytet) przedłożył w tym wypadku swój interes nad interesem osoby, której dane przetwarza. Zatem dane osobowe w zakresie, w którym zostały udostępnione podmiotowi do tego nieupoważnionemu powinny zostać usunięte przez ten podmiot (Zakład Karny) zgodnie z nakazem Generalnego Inspektora. Zgodnie bowiem z art. 18 ust. 1 pkt 6 ustawy, w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej nakazuje przywrócenie stanu zgodnego z prawem, w szczególności usunięcie danych osobowych. Tym samym należy stwierdzić, że decyzja Generalnego Inspektora Ochrony Danych Osobowych jest zgodna z prawem i wydana została w wyniku właściwie przeprowadzonego postępowania administracyjnego, w trakcie którego organ zgromadził w sprawie niezbędny materiał dowodowy, a następnie wnikliwie go rozpatrzył. Odnosząc się do zarzutów podniesionych w skardze, związanych z naruszeniem podanych w niej przepisów, stwierdzić należy, że są one niezasadne. Należy zgodzić się ze stroną skarżącą, że "zadaniem zakładu nie jest badanie, czy przekazanie mu danych nastąpiło w sposób zgodny z przepisami. Jeżeli administrator danych osobowych przekazuje te dane, należy domniemywać, że robi to w legalny sposób". Jednakże nie można zgodzić się, że "w niniejszej sprawie istotne jest to, że zakład przetwarzał otrzymane dane osobowe zgodnie z obowiązującymi przepisami". Udostępnienie stronie skarżącej przedmiotowych danych osobowych przez Uniwersytet nastąpiło bez podstawy prawnej, bowiem nie legitymowała się ona jakąkolwiek z przesłanek wymienionych w art. 23 ust. 1 ustawy. Nie sposób zgodzić się z twierdzeniem, że zaistniała przesłanka z pkt. 5 tego przepisu. Aby przetwarzanie danych osobowych było dopuszczalne, to podmiot je udostępniający musi stosować się do postanowień art. 26 ustawy. Jeżeli tego nie czyni, to przetwarzanie danych osobowych przez podmiot, który wszedł w ich posiadanie jest niedopuszczalne. Nadto, całkowicie chybiony jest zarzut naruszenia art. 27 ust. 2 pkt 5, gdyż przepis ten w sprawie nie miał zastosowania, bowiem odnosi się do szczególnych kategorii danych osobowych tzw. Danych wrażliwych, sensytywnych, które zostały objęte zakazem przetwarzania. Co więcej, jak trafnie podał organ, nie można interpretować ust. 2 tego przepisu w oderwaniu od ust. 1, stąd też przetwarzanie takich danych możliwe jest wyłącznie po spełnieniu przesłanek z art. 27 ust. 2 ustawy. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy - Prawo o postępowaniu przed sądami administracyjnymi orzekł, jak w sentencji wyroku.