II SA/Wa 1131/08

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędzia WSA Joanna Kube, Sędzia WSA Jacek Fronczyk (spr.), Protokolant Łukasz Bazyluk, po rozpoznaniu na rozprawie w dniu 5 grudnia 2008 r. sprawy ze skargi [...] S.A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2008 r. nr [...] w przedmiocie ochrony danych osobowych 1) uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] kwietnia 2008 r. nr [...] w zakresie jej punktu I od 1 do 4; 2) zaskarżona decyzja nie podlega wykonaniu w całości; 3) zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz skarżącej [...] S.A. z siedzibą w W. kwotę 457 zł (czterysta pięćdziesiąt siedem złotych), tytułem zwrotu kosztów postępowania. Decyzją z dnia [...] kwietnia 2008 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych, mając za podstawę art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t. j.: Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.), art. 12 pkt 2, art. 18 ust. 1 pkt 1 i pkt 6, art. 22 w związku z art. 23 ust. 1 pkt 1, art. 26 ust. 1 pkt 1, pkt 3, pkt 4 i art. 41 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) oraz § 4 pkt 2, pkt 3 i pkt 4 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), po przeprowadzeniu postępowania administracyjnego w sprawie przetwarzania danych osobowych przez [...] S.A. z siedzibą w W., w punkcie I nakazał Spółce usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez: 1. zaprzestanie pozyskiwania danych osobowych na "Formularzach wizyty serwisowej", przetwarzanych w celach marketingowych, bez zgody osób, których dane dotyczą, w terminie od dnia, w którym decyzja stanie się ostateczna; 2. usunięcie danych osobowych pozyskanych na "Formularzach wizyty serwisowej", przetwarzanych w celach marketingowych, bez zgody osób, których dane dotyczą, w terminie miesiąca od dnia, w którym decyzja stanie się ostateczna; 3. zaprzestanie pozyskiwania danych osobowych kandydatów do pracy za pomocą testów psychometrycznych, w terminie od dnia, w którym decyzja stanie się ostateczna; 4. usunięcie danych osobowych kandydatów do pracy, pozyskanych za pomocą testów psychometrycznych, w terminie 14 dni od dnia, w którym decyzja stanie się ostateczna. W punkcie II decyzji organ postępowanie umorzył. W motywach rozstrzygnięcia GIODO wyjaśnił, że Spółka naruszyła przepisy o ochronie danych osobowych, a ujawnione uchybienia polegały na przetwarzaniu danych osobowych, pozyskiwanych na "Formularzach wizyty serwisowej", w celach marketingowych, bez zgody osób, których te dane dotyczą, pozyskiwaniu danych osobowych, dotyczących niektórych kandydatów do pracy, za pomocą testów psychometrycznych, przetwarzaniu przez Spółkę, w celach marketingowych, w zbiorze o nazwie "[...]", danych osobowych, m.in. imion rodziców, numerów ewidencyjnych PESEL, numerów identyfikacji podatkowej (NIP), serii i nr dowodów osobistych, nieusuwaniu z dokumentacji rekrutacyjnej danych osobowych kandydatów do pracy, wobec których proces rekrutacji został zakończony, niezawarciu, w opracowanej przez Spółkę polityce bezpieczeństwa, wykazu zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych, opisu struktury zbiorów danych wskazujących zawartość poszczególnych pól informacyjnych i powiązań między nimi oraz sposobu przepływu danych pomiędzy poszczególnymi systemami, podaniu przez Spółkę w zgłoszeniu zbioru danych osobowych o nazwie "Zbiór danych osób zainteresowanych ofertą firm związanych z Grupą [...], gromadzonych przez sieć Internet", szerszego zakresu danych od tego, który został ustalony w toku kontroli. Generalny Inspektor Ochrony Danych Osobowych wskazał na treść art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, w myśl którego przetwarzanie danych jest dopuszczalne wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie danych jej dotyczących. Natomiast, zgodnie z art. 7 pkt 5 cytowanej ustawy, ilekroć w ustawie jest mowa o zgodzie osoby, której dane dotyczą – rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Stosownie zaś do art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych, administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem. W przedmiotowej sprawie od osób, których dane są pozyskiwane na "Formularzach wizyty serwisowej" do zbioru danych o nazwie "[...]", Spółka nie pozyskiwała zgody na przetwarzanie ich danych w celach marketingowych. W zbiorze tym są przetwarzane dane osób, wobec których Spółka prowadzi działania marketingowe w zakresie produktów, których jest dystrybutorem (produktów firm Grupy [...]). Organ uznał za błędne twierdzenie Spółki, iż celem przetwarzania danych osobowych, zebranych na "Formularzach wizyty serwisowej", jest marketing bezpośredni usług pośrednictwa finansowego, świadczonych przez Spółkę, gdyż – w jego ocenie – formularz ten zawiera pole, w którym klient może podać dane kontaktowe osób zainteresowanych ofertą Grupy [...]. Formularz wymienia produkty m. in. [...]. Zdaniem organu, z powyższego wynika, iż oferta dla osób zainteresowanych produktami Grupy [...] nie zawiera usług pośrednictwa finansowego [...]. Celem przetwarzania danych ww. osób nie jest więc marketing własnych produktów i usług Spółki. Z uwagi na to, iż osoby te nie wyraziły zgody na przetwarzanie przez Spółkę swoich danych osobowych, a podstawa przetwarzania danych osobowych, określona w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, nie ma w tym przypadku zastosowania, GIODO uznał, że Spółka nie legitymuje się przesłanką legalnego przetwarzania danych osobowych. Z kolei fakt, że Spółka pozyskuje, za pomocą testów psychometrycznych (mających na celu zbadanie umiejętności, wiedzy, wybranych cech osobowości, kompetencji i predyspozycji oraz motywacji), dane kandydatów do pracy, po uprzednim wyrażeniu przez kandydata zgody na ich przeprowadzenie – w ocenie GIODO – nie pozwala przyjąć, że takie postępowanie mieści się w dyspozycji art. 22 1 ustawy z dnia 26 czerwca 1974 r. – Kodeks pracy (t. j.: Dz. U. z 1998 r. Nr 21, poz. 94 z późn. zm.), gdyż obowiązujące przepisy prawa nie przewidują możliwości przetwarzania danych osobowych nawet w sytuacji, gdy kandydat do pracy wyrazi na to zgodę. Zwracając uwagę na treść art. 105 § 1 Kodeksu postępowania administracyjnego, Generalny Inspektor Ochrony Danych Osobowych wyjaśnił, że gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje decyzję o jego umorzeniu. W toku postępowania usunięte zostały pozostałe uchybienia w procesie przetwarzania danych osobowych, stanowiące przedmiot postępowania, dlatego też należało je umorzyć. W piśmie z dnia 23 kwietnia 2008 r. [...] S.A. z siedzibą w W., będąca następcą prawnym [...] S.A., zawarła wniosek o ponowne rozpatrzenie sprawy. Zakwestionowała wydany nakaz (pkt I od 1 do 4), wnosząc o jego uchylenie i umorzenie postępowania. Spółka zaakcentowała, że z uwagi na przedmiot i zakres prowadzonej działalności (usługi pośrednictwa finansowego), na podstawie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, jest upoważniona do przetwarzania danych osobowych w celach związanych z oferowaniem produktów i usług podmiotów należących do Grupy [...]. Nie zgodziła się ze stanowiskiem GIODO, iż z uwagi na fakt, że "Formularz wizyty serwisowej" nie wymienia usług pośrednictwa finansowego, Spółka nie legitymuje się legalną przesłanką przetwarzania danych osób, wskazanych w formularzu. Ustawa w art. 23 ust. 4 tylko w sposób przykładowy wskazuje, co należy rozumieć przez "prawnie usprawiedliwiony cel administratora danych". Oznacza to, iż nawet przy założeniu, że wykorzystywanie przez Spółkę danych osobowych osób zainteresowanych produktami Grupy [...] w celach związanych z oferowaniem usług podmiotów, z którymi Spółka współpracuje, nie jest wykorzystywaniem tych danych w celu marketingu własnych produktów i usług (jak to wskazuje GIODO), to i tak należy uznać, że takie przetwarzanie jest dozwolone z uwagi na prawnie usprawiedliwiony cel administratora (Spółki), jakim jest prowadzenie własnej działalności gospodarczej (usługi pośrednictwa finansowego). Świadczenie usług pośrednictwa finansowego to oferowanie produktów i usług finansowych innych podmiotów. W związku z tym, przetwarzanie danych osobowych osób zainteresowanych ofertą podmiotów, z którymi Spółka współpracuje, a należących do Grupy [...], jest niezbędne dla realizacji tych celów. GIODO w toku postępowania nie stwierdził, aby sposób lub zakres przetwarzania danych osobowych osób zainteresowanych ofertą Grupy [...] naruszał prawa i wolności osób, których dane dotyczą, bądź by zakres pozyskiwanych danych był nieadekwatny do celu przetwarzania. Ponadto, Spółka wskazała, że przepisy ustawy o ochronie danych osobowych nie zakazują pozyskiwania czy gromadzenia danych osobowych od innych osób, niż te, których dane dotyczą. W takim przypadku jednak administrator zobowiązany jest do wypełnienia obowiązków informacyjnych, wskazanych w art. 25 ustawy o ochronie danych osobowych. Jak zostało ustalone w toku postępowania, Spółka wypełniała powyższe obowiązki za pośrednictwem przedstawicieli ubezpieczeniowo – finansowych. Nie zaszły wobec tego przesłanki do nałożenia na Spółkę zakazu pozyskiwania danych osobowych na "Formularzach wizyty serwisowej" dla celów marketingowych oraz przetwarzania tych danych bez zgody osób, których dane dotyczą. W odniesieniu do przetwarzania danych osobowych kandydatów do pracy, pozyskanych przy pomocy testów psychometrycznych, Spółka wyjaśniła, iż pozyskiwanie i następnie przetwarzanie tego rodzaju danych osobowych jest uzasadnione i adekwatne do celu przetwarzania, jakim jest ustalenie umiejętności, a w związku z tym i przydatności danej osoby na określone stanowisko. Testy psychometryczne badają umiejętności analizy informacji słownych oraz analizy danych liczbowych. Umiejętności te są bardzo istotne w przypadku rekrutacji na stanowiska menedżerskie oraz wysokospecjalistyczne. W przypadku rekrutacji na tego typu stanowiska Spółka informuje w ogłoszeniach, iż tego rodzaju umiejętności są wymagane. Zatem kandydat, który przychodzi na rozmowę, może spodziewać się, że te kompetencje, które w ogłoszeniach są podawane jako wymagane – będą sprawdzane. Spółka nie podzieliła argumentów GIODO, iż pracodawca może pozyskiwać i przetwarzać tylko i wyłącznie dane pracowników lub kandydatów do pracy, wymienione w art. 22 1 Kodeksu pracy lub wskazane wyraźnie w innych przepisach prawa. Zdaniem Spółki, pracodawca jest upoważniony również do przetwarzania innych danych pracownika, niż wymienione w art. 22 1 Kodeksu pracy, w sytuacji, gdy kandydat na pracownika udzieli pracodawcy zgody na takie przetwarzanie, a charakter stawianych pytań nie będzie naruszał zasady adekwatności oraz godności pracownika. Przy pomocy testów psychometrycznych Spółka pozyskuje dane osobowe kandydatów do pracy wyłącznie na podstawie ich pisemnej zgody, a to oznacza, że pozyskiwanie w ten sposób danych osobowych nie narusza przepisów ustawy o ochronie danych osobowych. Decyzją z dnia [...] czerwca 2008 r. nr [...] Inspektor Ochrony Danych Osobowych, działając na postawie art. 138 § 1 pkt 1 kpa oraz art. 12 pkt 2 i art. 18 ust. 1 pkt 1 i 6, art. 22 w związku z art. 23 ust. 1 pkt 1 i art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych, utrzymał zaskarżoną decyzję w mocy, nie znajdując podstaw do uwzględnienia wniosku. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję [...] S.A. podtrzymała krytyczną ocenę stanowiska GIODO w sprawie dopuszczalności przetwarzania danych osobowych w związku z prowadzeniem przez Spółkę marketingu własnych usług, podkreślając, że nie stoi to w sprzeczności z treścią art. 23 ust. 1 pkt 5 w związku z art. 23 ust. 4 pkt 1 ustawy o ochronie danych osobowych. Skarżąca wskazała na wadliwość rozumowania GIODO, który naruszenia praw i wolności osoby upatrywał w przetwarzaniu danych osobowych bez jej zgody. Tymczasem samo przetwarzanie danych osobowych bez zgody nie może być automatycznie traktowane jako naruszające prawa i wolności danej osoby, gdyż zgoda stanowi samodzielną przesłankę przetwarzania i jest jedną z kilku legalnych podstaw przetwarzania danych osobowych. W ocenie Spółki, założenie GIODO byłoby prawdziwe tylko wówczas, gdyby zgoda była jedyną podstawą legalnego przetwarzania danych osobowych. Ustawa o ochronie danych osobowych dopuszcza także inne przypadki. Nieuzasadniony jest zatem wniosek GIODO, że w sytuacji, gdy nie zachodzi przesłanka z art. 23 ust. 4 pkt 1 ustawy o ochronie danych osobowych, przetwarzający dane osoby bez jej zgody, nie może powołać się na przesłankę z art. 23 ust. 1 pkt 5 ustawy, gdyż takie przetwarzanie prowadzi do naruszenia praw i wolności osoby. Ocena, czy doszło do naruszenia praw i wolności osoby, której dane dotyczą, powinna uwzględnić ustalenie, czy przetwarzanie nie narusza praw i wolności konstytucyjnych. Odnosząc się natomiast do sposobu interpretacji przez GIODO art. 22 1 Kodeksu pracy, Spółka wskazała, że wspomniany przepis nie jest przepisem, który zapewnia dalej idącą ochronę przetwarzania danych. Stwarza jedynie uprawnienie do uzyskania określonych danych i ich przetwarzania, o ile w tym zakresie osoba, której dane dotyczą, wyrazi na to zgodę. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, przytaczając w uzasadnieniu swego stanowiska procesowego argumentację, jakiej użył w zaskarżonej decyzji. Na rozprawie w dniu 5 grudnia 2008 r. pełnomocnik uczestnika postępowania –Fundacji [...] z siedzibą w W., oświadczył, iż popiera stanowisko Generalnego Inspektora Ochrony Danych Osobowych. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Innymi słowy, sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga analizowana pod tym kątem zasługuje na uwzględnienie. Jak wynika z treści wniosku o ponowne rozpatrzenie sprawy, [...] S.A. z siedzibą w W. zakwestionowała tę część decyzji z dnia [...] kwietnia 2008 r. nr [...], mocą której Generalny Inspektor Ochrony Danych Osobowych nakazał Spółce usunięcie uchybień w procesie przetwarzania danych osobowych. Spółka, składając rzeczony wniosek, z pewnością nie zaskarżyła całej decyzji. Do takiej konkluzji prowadzi bowiem nie tylko wspomniana treść wniosku, ale nade wszystko zawarte w nim żądania, które dotyczyły uchylenia decyzji i umorzenia postępowania. Jeśli celem postępowania z wniosku o ponowne rozpatrzenie sprawy jest weryfikacja wydanej decyzji, to byłoby sprzeczne z podstawowymi zasadami logiki, gdyby przyjąć, że zainteresowana domaga się uchylenia decyzji w całości, zgłaszając przy tym żądanie umorzenia postępowania, zwłaszcza że punkt II decyzji umarzał postępowanie w odpowiednim zakresie. Z treści uzasadnienia wniosku o ponowne rozpatrzenie sprawy jasno wynika, że skarżąca kwestionowała jedynie nakazową część decyzji (pkt I od 1 do 4), wnosząc o jej uchylenie i umorzenie postępowania w tym zakresie. Jednak w przypadku wątpliwości co do treści zawartych we wniosku (a z punktu widzenia dokonywanej przez Sąd kontroli GIODO je miał, biorąc pod uwagę osnowę decyzji i początek jej uzasadnienia, gdzie stwierdził, że zaskarżono całą decyzję), organ ma możliwość ich usunięcia w postępowaniu naprawczym, prowadzonym w trybie art. 64 § 2 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t. j.: Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.). Mimo tych uchybień, można jednak uznać, że osnowa decyzji w brzmieniu: "utrzymuję w mocy zaskarżoną decyzję", jak i jej uzasadnienie, mieszczą się w faktycznych granicach zaskarżenia, zwłaszcza że w dalszych motywach decyzji organ wyraźnie dostrzega, że skarżąca w istocie kwestionuje tylko nałożony nakaz. Osnowę decyzji należy zatem odczytywać jako utrzymującą w mocy jedynie skarżone rozstrzygnięcie (nakaz), mogące stanowić i – w rzeczy samej – stanowiące odrębną decyzję. O tym, że Spółka we wniosku o ponowne rozpatrzenie sprawy kwestionowała jedynie nałożony nakaz, świadczy także treść skargi do Sądu. Niezależnie jednak od powyższego, skierowany do Spółki nakaz usunięcia uchybień w procesie przetwarzania danych osobowych jest nieprawidłowy, albowiem jego wydanie nastąpiło w wyniku wadliwie przeprowadzonego postępowania administracyjnego. Badając zgodność z prawem zaskarżonej decyzji, Sąd stwierdził, iż decyzja narusza art. 7, art. 77 § 1, art. 80, art. 107 § 1 i § 3 kpa w sposób mogący mieć istotny wpływ na wynik sprawy, co spowodowało konieczność uchylenia obu decyzji. Przede wszystkim należy zwrócić uwagę, że Generalny Inspektor Ochrony Danych Osobowych, dokonując oceny ustaleń faktycznych, zamiast zajmować się tym, czy Spółka prowadzi marketing bezpośredni własnych usług, czy też nie, w pierwszej kolejności winien wykazać, że skarżąca jest administratorem danych osobowych, pozyskiwanych na "Formularzach wizyty serwisowej". Dla przeprowadzenia prawidłowej oceny w tym aspekcie nader ważny jest przedmiot prowadzonej przez Spółkę działalności gospodarczej, a także fakt, iż jest ona jednym z podmiotów Grupy [...], do czego organ nie odniósł się z wymaganą dokładnością. Wskazuje na to punkt I od 1 do 2 nakazu, zaś jego uzasadnienie to potwierdza. Jeśli bowiem skarżąca, zajmując się usługami pośrednictwa finansowego, współtworzy Grupę [...], konieczna jest ocena jej działań i sytuacji prawnej na gruncie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) w celu jednoznacznego wykazania, jaki jest jej status w procesie przetwarzania danych osobowych, pozyskiwanych na "Formularzach wizyty serwisowej", zważywszy że w takim przypadku skarżąca może działać nie tylko jako administrator danych, ale także jako zleceniobiorca (art. 31 ustawy o ochronie danych osobowych), uwzględniając relacje Spółki z innymi podmiotami w Grupie [...], to zaś wskazuje na potrzebę przeprowadzenia dokładniejszych ustaleń w zakresie stanu faktycznego (art. 7 i art. 77 § 1 kpa). Dla sprawy niniejszej podstawowe znaczenie ma to, kto decyduje o celach i środkach przetwarzania danych osobowych, pozyskiwanych na "Formularzach wizyty serwisowej". Rozstrzygnięcie o charakterze nakazowym Generalny Inspektor Ochrony Danych Osobowych kieruje do podmiotu mającego status administratora danych osobowych. Nie może zatem być tak, że odmawiając kontrolowanemu podmiotowi przymiotu administratora danych, GIODO jednocześnie nakłada na niego odpowiedni nakaz usunięcia uchybień w procesie przetwarzania danych osobowych. Tymczasem w rozpoznawanej sprawie organ nałożył na Spółkę nakaz, przy czym na stronie 4 uzasadnienia zaskarżonej decyzji, już po ponownym rozpatrzeniu sprawy, zanegował, że jest ona administratorem danych osobowych, pozyskiwanych na "Formularzach wizyty serwisowej". Twierdzenie, że skarżąca nie jest administratorem danych osobowych, wyklucza konieczność kierowania do niej nakazu. Wskazuje to na wewnętrzną sprzeczność zawartego w punkcie I od 1 do 2 rozstrzygnięcia i podważa jego legalność. Ma to tym większe znaczenie, że GIODO, formułując punkt I od 1 do 2 nakazu, w ogóle zakwestionował przetwarzanie przez Spółkę danych osobowych w celach marketingowych (a więc zarówno na własne potrzeby, jak i na potrzeby innych podmiotów), uznając, że brak jest którejkolwiek z podstaw legalnego przetwarzania danych osobowych, i pomijając przy tym, że skarżąca wskazywała na wypełnienie przez nią – za pośrednictwem przedstawicieli ubezpieczeniowo – finansowych – obowiązków informacyjnych, określonych w art. 25 ustawy o ochronie danych osobowych (art. 77 § 1 i art. 80 kpa). Przyczyny, dla których organ uznał za konieczne wydanie nakazu usunięcia uchybień, winny znaleźć jednoznaczny wyraz w uzasadnieniu decyzji. Zgodnie z art. 107 § 1 kpa, uzasadnienie decyzji stanowi jej integralną część. Z uzasadnienia wynikać ma ocena faktów, prawa i subsumpcji oraz celów i skutków rozstrzygnięcia. Zatem ocenie Sądu nie może podlegać sama osnowa decyzji, ale decyzja jako całość, a więc łącznie z uzasadnieniem. Decyzja administracyjna składa się z kilku elementów wymienionych w art. 107 § 1 kpa. Dla jej poprawności niezbędnym jest, aby pomiędzy takimi elementami jak: podstawą prawną, rozstrzygnięciem, czyli osnową oraz uzasadnieniem prawnym i faktycznym, istniała wewnętrzna spójność. Tylko wtedy można o takiej decyzji powiedzieć, iż zgodnie z art. 104 kpa, decyzja jest aktem rozstrzygającym konkretną sprawę. Punkt I od 1 do 2 nakazu nie tylko sprawia, że niezrozumiałym dla strony jest treść wydanego rozstrzygnięcia, ale również powoduje niepewność w zakresie jej sytuacji prawnej. Tego rodzaju wadliwa decyzja nie może pozostać w obrocie prawnym, gdyż rozstrzygnięcie, czyli osnowa decyzji, będąca w istocie treścią decyzji, nie znajduje odzwierciedlenia w jej uzasadnieniu (por. wyrok Naczelnego Sądu Administracyjnego z dnia 31 marca 1999 r. o sygn. akt III SA 5191/98, LEX nr 38160). Analizując z kolei punkt I od 3 do 4 nakazu w świetle poczynionych przez organ ustaleń, Sąd stwierdził, że również w tym zakresie wydana decyzja jest wadliwa. Na rozprawie w dniu 5 grudnia 2008 r. zarówno organ, jak i skarżąca, przyznali, że w trakcie prowadzonej kontroli przetwarzania danych osobowych kandydatów do pracy, pozyskiwanych przez Spółkę przy pomocy testów psychometrycznych, Generalnemu Inspektorowi Ochrony Danych Osobowych nie zostały przedstawione formularze testów psychometrycznych z uwagi na tajemnicę przedsiębiorcy. Wynika zatem z tego, że organ przyjął dla potrzeb swego rozstrzygnięcia jedynie wyjaśnienia Spółki w tym zakresie, uznając je za miarodajne i wystarczające. Jednak, zdaniem Sądu, to za mało dla dokonania wiążącej oceny przez organ administracji publicznej, powołany do ochrony danych osobowych, zwłaszcza że już sama nazwa "test psychometryczny" wskazuje, że za jego pośrednictwem mogą być zbierane nie tylko tzw. zwykłe dane osobowe o kandydatach do pracy, ale także dane, mające charakter danych sensytywnych (dane wrażliwe). Jeśli przy tym uwzględni się złożone przez Spółkę wyjaśnienia, że za pomocą testów psychometrycznych skarżąca pozyskuje dane, które nie tylko służą badaniu umiejętności, wiedzy, kompetencji, ale również predyspozycji, motywacji oraz wybranych cech osobowości kandydata do pracy (test może służyć badaniu ot choćby odporności na stres czy wytrzymałości kondycyjnej organizmu), to nie można poprzestać na jedynie słownych deklaracjach o przetwarzaniu w ten sposób przez Spółkę tylko zwykłych danych osobowych, jak to uczynił GIODO. "Psychometria" jest działem psychologii zajmującym się zagadnieniami związanymi z pomiarem (ilościowym opisem) zjawisk i procesów psychologicznych (Encyklopedia powszechna PWN, tom III, Warszawa 1985, s. 804), czyli – najogólniej rzecz ujmując – chodzi o badanie stanu zdrowia w sferze psycho – intelektualnej człowieka (art. 27 ustawy o ochronie danych osobowych). Zadaniem organu ochrony danych osobowych jest kontrola legalności przetwarzania danych osobowych na gruncie konkretnej sprawy, a to oznacza, że dla Generalnego Inspektora Ochrony Danych Osobowych wyłącznie istotna jest kwestia, czy w grę wchodzą dane osobowe (nie każde bowiem informacje o osobie stanowią dane osobowe), a jeśli tak, to jakie, oraz czy w zakresie ich przetwarzania istnieje choćby jedna z prawnych podstaw (przesłanek), zezwalająca na przetwarzanie danych. Ma to decydujące znaczenie dla rozstrzygnięć podejmowanych przez organ ochrony danych osobowych, albowiem jedynie w przypadku, gdy w sprawie wiadomo, o jakie dane osobowe chodzi (w przypadku braku tego rodzaju ustaleń decyzja jest nieweryfikowalna, co podważa jej legalność), jak również, gdy brak jest przesłanki legalizującej ich przetwarzanie, winno dojść do wydania przez GIODO właściwego nakazu bądź zakazu. Bez odpowiednich ustaleń w tej mierze nie można przejść do merytorycznych rozważań co do istnienia bądź braku przesłanki (przesłanek) legalnego przetwarzania danych osobowych, pozyskiwanych przez skarżącą za pomocą testów psychometrycznych. Warto jedynie zaznaczyć, że wynik ustaleń organu będzie miał wpływ na ocenę złożonych przez kandydatów do pracy oświadczeń o wyrażeniu zgody na przetwarzanie ich danych osobowych pod kątem tego, czy mieli oni świadomość, że w postępowaniu rekrutacyjnym zostaną poddani m.in. testowi psychometrycznemu. GIODO, podejmując decyzję administracyjną, związany jest regułami postępowania administracyjnego, określającymi jego obowiązki w zakresie prowadzenia postępowania i orzekania. W szczególności winien on przestrzegać zasady dochodzenia do prawdy materialnej (art. 7 kpa), a więc podejmować wszelkie niezbędne kroki zmierzające do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy. Jest zobowiązany w sposób wyczerpujący zebrać, rozpatrzyć i ocenić cały materiał dowodowy (art. 77 § 1 i art. 80 kpa) oraz uzasadnić swoje rozstrzygnięcie zgodnie z wymogami określonymi w art. 107 § 3 kpa. W niniejszej sprawie organ uchybił wskazanym regułom postępowania, poprzez niewyczerpujące zebranie i mało wnikliwe rozpatrzenie materiału dowodowego. W konsekwencji, wobec stwierdzonych nieprawidłowości, zasadnym było uchylenie zaskarżonej decyzji oraz poprzedzającej ją decyzji z dnia [...] kwietnia 2008 r. nr [...] w zakresie jej punktu I od 1 do 4. Przy ponownym rozpoznaniu sprawy organ uwzględni poczynione przez Sąd uwagi, zaś Spółka, niezależnie od tego, jaką formę mają przeprowadzane przez nią testy psychometryczne, w szczególności, czy test jest w formie pisemnej, ustnej czy elektronicznej (bądź jeszcze innej), będzie zobowiązana do przedstawienia Generalnemu Inspektorowi Ochrony Danych Osobowych testów psychometrycznych tych kandydatów do pracy, którzy takiemu testowi zostali poddani. Powoływanie się przez Spółkę na tajemnicę przedsiębiorcy jest nieporozumieniem, biorąc pod uwagę fakt, iż tego rodzaju informacje skarżąca przedstawia do kontroli w postępowaniu administracyjnym organowi administracji publicznej, a nie podmiotowi z branży, w której funkcjonuje, czy innej jednostce prowadzącej działalność gospodarczą. Twierdzenia Spółki, że testy psychometryczne nie mają waloru dowodowego, są błędne. Nawet jeśli – same w sobie – nie stanowią dokumentu, co immanentnie wiąże się ze wspomnianą wyżej, acz bliżej nieokreśloną, formą, informacje, które w sobie zawierają, winny zostać utrwalone przez organ, w sporządzonym na okoliczność zaznajomienia z nimi, protokole, który w postępowaniu administracyjnym ma pełnoprawną moc dowodową. Natomiast wywody skarżącej na temat tego, czym jest dokument, czym test psychometryczny, a czym formularz testu, zdają się być jedynie grą słowną, której celem jest nieujawnianie, jakie informacje o kandydatach do pracy są przez nią zbierane. W takiej sytuacji znamiennym przy tym jest to, że skarżąca również Sądowi nie ujawniła, w jakiej formie przeprowadza testy psychometryczne, i co one zawierają. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. "c" ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), orzekł, jak w punkcie 1 sentencji wyroku. W oparciu o art. 152 ww. ustawy, Sąd wstrzymał wykonanie zaskarżonej decyzji w całości. O kosztach orzeczono na podstawie art. 200, art. 205 § 1 i 2 i art. 209 ww. ustawy – Prawo o postępowaniu przed sądami administracyjnymi. Sąd zasądził na rzecz skarżącej Spółki kwotę 440 zł, w tym 200 zł, stanowiącą wartość uiszczonego wpisu, kwotę 17 zł, poniesioną tytułem opłaty skarbowej od udzielonego pełnomocnictwa, oraz kwotę 240 zł, tytułem wynagrodzenia pełnomocnika, zgodnie z § 14 ust. 2 pkt 1 lit. "c" rozporządzenia Ministra Sprawiedliwości z dnia 28 września 2002 r. w sprawie opłat za czynności radców prawnych oraz ponoszenia przez Skarb Państwa kosztów pomocy prawnej udzielonej przez radcę prawnego ustanowionego z urzędu (Dz. U. Nr 163, poz. 1349 ze zm.).