II SA/Wa 1135/13

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej (spr.) Sędziowie WSA Stanisław Marek Pietras Danuta Kania Protokolant starszy sekretarz sądowy Dorota Kwiatkowska po rozpoznaniu na rozprawie w dniu 5 grudnia 2013 r. sprawy ze skargi C. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2013 r. nr [...] w przedmiocie ochrony danych osobowych - oddala skargę - ygn. akt II SA/Wa 1135/13 UZASADNIENIE C. P. wniósł do Generalnego Inspektora Ochrony Danych Osobowych skargę dotyczącą przetwarzania jego danych osobowych przez K. S.A. z siedzibą w [...] , dalej "[...] ", A. "[...] " S.A. z siedzibą w [...] , dalej "[...] ", P. [...] z siedzibą w S., dalej "[...] ", F. z siedzibą w [...] , dalej "[...] " oraz M. Sp. z o.o. z siedzibą w [...] , dalej "[...] ", doprecyzowaną pismem z dnia [...] maja 2012 r. Zainteresowany wskazał w szczególności, że w latach 2005-2006 składał "jako osoba fizyczna lub też osoba prawna" wnioski o udzielenie pożyczki w wyżej wymienionych podmiotach. A. przekazała zaś do K. jego imię, nazwisko, adres oraz informacje o nieudzieleniu pożyczek, podobnie analogiczne informacje o nim przekazały do K.: P., F. i M.. Z kolei K. przekazała jego imię, nazwisko i adres do wszystkich wymienionych podmiotów. Strona zarzuciła niewłaściwe zabezpieczenie danych polegające na przekazywaniu jej danych osobowych, pomimo braku zgody na ich przetwarzanie lub też "regulaminowego zakazu ujawniania danych osobom trzecim". Ponadto w piśmie z dnia [...] listopada 2012 r. wnioskodawca wniósł o przeprowadzenie dowodu w postaci przesłuchania osób reprezentujących uczestników postępowania oraz ich pracowników na okoliczność przekazywania jego danych osobowych. Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] , z dnia [...] stycznia 2013 r., po przeprowadzeniu postępowania administracyjnego na podstawie art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), odmówił uwzględnienia wniosku, podnosząc, że w świetle art. 18 ust. 1 ustawy o ochronie danych osobowych, wyłącznie w razie stwierdzenia naruszenia przepisów ww. ustawy w dacie wydawania decyzji, może sformułować ewentualne nakazy wymienione w tym przepisie w celu przywrócenia stanu zgodnego z prawem, a takiego stanu niezgodności nie stwierdzono. Natomiast skarżone podmioty przetwarzają dane zainteresowanego w zakresie, w jakim pozyskały je od niego na podstawie wniosków pożyczkowych, a zatem w sposób legalny. We wniosku o ponowne rozpatrzenie sprawy C. P. zarzucił organowi nierzetelne przeprowadzenie postępowania dowodowego na okoliczność nieuprawnionej wymiany jego danych osobowych pomiędzy wskazanymi podmiotami poprzez nieodniesienie się do mocy dowodowej przedłożonych przez niego dokumentów i przyjęcie za wiarygodne oświadczeń "osób postronnych". Ponowił wniosek o przesłuchanie wskazanych wcześniej osób reprezentujących wyśnione podmioty bądź ich pracowników. Zarzucił też niewłaściwe zastosowanie przez GIODO art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] z dnia [...] kwietnia 2013 r., po ponownym rozpatrzeniu sprawy, na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2013 r., poz. 267) oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, a nadto art. 105 ust. 4 i art. 105a ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 ze zm.), utrzymał w mocy zaskarżoną decyzję. W uzasadnieniu wyjaśnił na wstępie, że w związku z utratą z dniem 31 grudnia 2011 r. mocy obowiązującej przez art. 7a ust. 2 ustawy z dnia 19 listopada 1999 r. Prawo działalności gospodarczej (Dz. U. Nr 101, poz. 1178 ze zm.) stanowiący, iż ewidencja działalności gospodarczej jest jawna i dane osobowe w niej zawarte nie podlegają przepisom ustawy o ochronie danych osobowych, legalność przetwarzania przez K. danych osobowych zainteresowanego, jako podmiotu ówcześnie składającego wnioski o pożyczkę do ww. podmiotów, działającego pod firmą C. P. C. oraz reprezentującego C. P. Sp. z o.o., oceniana jest na podstawie przepisów ustawy o ochronie danych osobowych, albowiem Generalny Inspektor wydaje decyzję administracyjną według stanu prawnego i faktycznego, istniejącego w dacie jej wydania. Organ podniósł, iż stosownie do brzmienia art. 7 pkt 2 ustawy o ochronie danych osobowych pod pojęciem przetwarzania danych rozumieć należy jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Każda ze wskazanych w art. 7 pkt 2 ustawy form przetwarzania danych osobowych powinna znaleźć oparcie w jednej z przesłanek warunkujących legalność procesu przetwarzania danych osobowych, enumeratywnie wymienionych w art. 23 ust. 1 ustawy. I tak, obok i niezależnie od zgody osoby, której dane dotyczą (art. 23 ust. 1 pkt 1 ustawy), przetwarzanie danych osobowych jest dopuszczalne między innymi, jeżeli jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (art. 23 ust. 1 pkt 5 ustawy). Błędne są twierdzenia strony, jakoby ww. przepis nie miał zastosowania do spółek prawa handlowego. Strona w swoim wywodzie pomija fakt, że wyrażenie zgody na przetwarzanie danych jest tylko jedną z przesłanek legalności procesu przetwarzania danych osobowych. Przesłanki te są względem siebie równoprawne, co oznacza, że dla legalności procesu przetwarzania danych wystarczające jest spełnienie jednej z nich. Tym samym zgoda na przetwarzanie danych, o której mowa w art. 23 ust. 1 pkt 1 ustawy, nie jest jedyną przesłanką legalizującą proces przetwarzania danych osobowych. Odnosząc powyższe do okoliczności do niniejszej sprawy organ wskazał, iż z materiału dowodowego zgromadzonego w sprawie wynika, że nie potwierdziły się zarzuty zainteresowanego sformułowane w piśmie z dnia [...] maja 2012 r., dotyczące udostępnienia przez ww. podmioty jego danych osobowych w zakresie imienia, nazwiska, adresu i informacji o nieudzielaniu pożyczek na rzecz K. S.A. oraz przekazania przez K. S.A. imienia, nazwiska i adresu do ww. podmiotów. Jednocześnie, wobec oświadczeń ww. podmiotów, iż dane wnioskodawcy wynikające ze składanych przez niego wniosków pożyczkowych przetwarzają wyłącznie w celach archiwalnych, dla celów ewentualnych roszczeń cywilnoprawnych i postępowań sądowych, wskazał, iż proces ten odbywa się na podstawie art. 23 ust. 1 pkt 5 ustawy. Generalny Inspektor ustosunkowując się do wniosków dowodowych, sformułowanych zarówno w piśmie z dnia [...] listopada 2012 r., jak również zawartych we wniosku o ponowne rozpoznanie sprawy wskazał, iż zgodnie z art. 78 § 1 K.p.a., żądanie strony dotyczące przeprowadzenia dowodu należy uwzględnić, jeżeli przedmiotem dowodu jest okoliczność mająca znaczenie dla sprawy. Stosownie zaś do treści § 2 ww. przepisu, organ administracji publicznej może nie uwzględnić żądania (§ 1), które nie zostało zgłoszone w toku przeprowadzania dowodów lub w czasie rozprawy, jeżeli żądanie to dotyczy okoliczności już stwierdzonych innymi dowodami, chyba że mają one znaczenie dla sprawy. Wobec treści cytowanego przepisu zaakcentował, iż w przedmiotowej sprawie nie zachodzą okoliczności, które nakazywałyby uwzględnienie analizowanego wniosku w zakresie przeprowadzenia dowodów z przesłuchań ww. świadków na okoliczność udostępnienia danych osobowych strony przez ww. podmioty na rzecz K. i przez K. na rzecz tych podmiotów. Organ stwierdził, że postępowanie dowodowe na tę okoliczność zostało już przez Generalnego Inspektora Ochrony Danych Osobowych przeprowadzone, w aktach postępowania znajdują się pisemne oświadczenia osób uprawnionych do ich składania w imieniu skarżonych podmiotów, jak w szczególności Prezesa Zarządu A. J. D. czy Prezesa Zarządu F. J. G., dlatego też przesłuchanie tych osób na tę samą okoliczność jest niecelowe. Zatem przeprowadzenie wnioskowanych dowodów nie jest uzasadnione ze względów ekonomicznych i jedynie spowodowałoby przedłużenie postępowania. Odnosząc się do wniosku dotyczącego przesłuchania świadka R. P.– ówczesnego członka zarządu M., czy też R. R. – ówczesnego prezesa zarządu K. podniósł, iż w przypadku, gdy stroną postępowania administracyjnego jest podmiot prawa publicznego, jak spółka akcyjna czy stowarzyszenie, organ administracji odbiera wyjaśnienia od tego podmiotu za pośrednictwem osób uprawnionych do reprezentowania tego podmiotu. W kontekście powyższego świadek R. P., czy też R. R. – są osobami postronnymi, aktualnie nieuprawnionymi do reprezentowania interesów ww. podmiotów. Ponadto wskazał, że przeprowadzenie dowodów na okoliczność "prowadzonych rozmów z uczestnikami na temat skarżącego" nie ma znaczenia dla rozstrzygnięcia sprawy, bowiem wskutek ewentualnego ustnego przekazania danych w trakcie rozmów nie dochodzi do utrwalenia danych. Generalny Inspektor Ochrony Danych Osobowych podtrzymał swoje stanowisko wyrażone w zaskarżonej decyzji, iż istotnym dla rozstrzygnięcia niniejszej sprawy jest fakt że aktualny proces przetwarzania danych skarżącego odbywa się na podstawie art. 23 ust. 1 pkt 5 ustawy i nawet stwierdzenie ewentualnych uchybień w tym procesie w przeszłości, pozostaje bez wpływu na rozstrzygnięcie. Generalny Inspektor Ochrony Danych Osobowych bowiem w świetle art. 18 ust. 1 ustawy, wyłącznie w razie stwierdzenia naruszenia przepisów ustawy w dacie wydawania decyzji może sformułować ewentualne nakazy wymienione w tym przepisie w celu przywrócenia stanu zgodnego z prawem, a takiego stanu niezgodności nie stwierdzono. Skarżone podmioty przetwarzają dane zainteresowanego w zakresie w jakim pozyskały je od niego na podstawie wniosków pożyczkowych, a zatem w sposób legalny. W skardze na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie C. P. wniósł o uchylenie wszystkich decyzji Generalnego Inspektora Ochrony Danych Osobowych, a następnie zobowiązanie organu do wydania decyzji uwzględniającej żądania wyrażone we wniosku oraz jego uzupełnieniach, a nadto przeprowadzenie wnikliwego postępowania dowodowego na okoliczność nieuprawnionej wymiany danych osobowych skarżącego pomiędzy podmiotami oraz usunięcie uchybień zgodnie z treścią skargi. W uzasadnieniu podniósł, że niewłaściwość zabezpieczenia danych osobowych skarżącego polega na przekazaniu ich, pomimo braku jego zgody na ich przetwarzanie lub też regulaminowego zakazu ujawniania danych osobom trzecim. Jego zdaniem, doszło do naruszenia art. 23 ust. 1 w zw. z art. 24 ust. 1 oraz art. 32 ust. 1 pkt 4 ustawy, który nakłada obowiązek uzyskania przez administratora danych wyraźnej zgody osoby, której dane będą przetwarzane oraz obliguje do udzielenia informacji na temat zakresu przetwarzania danych oraz źródeł ich pochodzenia. Ponadto, w ocenie skarżącego, organ wydając decyzję o nieuwzględnieniu wniosku dowodowego o przesłuchanie wskazanych osób, dopuścił się naruszenia art. 75, art. 77 i art. 80 K.p.a. oraz niewłaściwego zastosowania art. 23 ust.1 i art. 18 ust. 1 ustawy o ochronie danych osobowych. Skarżący podniósł także, że przedmiotem skargi jest bezpodstawna wymiana danych osobowych, w tym pejoratywnych o skarżącym oraz informujących o decyzjach kredytowych, pomiędzy wymienionymi w skardze podmiotami. Zarzucił również niewłaściwe zastosowanie przez GIODO art. 23 ust. 1 pkt 5 ustawy, gdyż powyższe podmioty to spółki prawa handlowego oraz fundacje, które nie posiadają ustawowych uprawnień do przetwarzania danych osobowych. Winny zatem uzyskać zgodę potencjalnych klientów na przetwarzanie ich danych osobowych, gdyż nie jest spełniona przesłanka usprawiedliwionego celu. Skarżący powołał się też na wyrok Sądu Apelacyjnego w [...] o sygn. akt [...], stwierdzający, iż doszło do nieuprawnionego przekazania danych osobowych skarżącego. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie i podtrzymał w całości swoje dotychczasowe stanowisko faktyczne oraz prawne. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości m.in. przez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie. Na wstępie należy zwrócić uwagę na okoliczność, że w istocie zarzut niezgodnego z prawem przetwarzania danych osobowych skarżącego przez K. S.A. z siedzibą w [...] , dalej jako "[...] ", A. S.A. z siedzibą w [...] , dalej jako "[...] ", P. z siedzibą w [...] , dalej jako "[...] ", F. z siedzibą w [...] , dalej jako "[...] " oraz M. Sp. z o.o. z siedzibą w [...] , dalej jako "[...] ", dotyczy lat 2005 – 2006, kiedy składał on do ww. podmów wnioski o pożyczkę, działając pod firmą C. P. C. oraz jako osoba reprezentująca C. P. Sp. z o.o. Zgodnie z obowiązującym ówcześnie przepisem art. 7a ust. 2 ustawy z dnia 19 listopada 1999 r. – Prawo działalności gospodarczej (Dz. U. Nr 101, poz. 1178 ze zm.), ewidencja działalności gospodarczej jest jawna i dane osobowe w niej zawarte nie podlegają przepisom ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Zatem w świetle ww. przepisu we wskazanym okresie brak było podstaw do stosowania rygorów ustawy o ochronie danych osobowych, dalej jako "u.o.d.o.", do danych osobowych zawartych w ewidencji działalności gospodarczej. Mając jednakże na uwadze, że Generalny Inspektor Ochrony Danych Osobowych jako organ administracji publicznej wydaje decyzję administracyjną według stanu prawnego i faktycznego istniejącego w dacie jej wydawania, znajdują zastosowanie przepisy u.o.d.o. Stosownie bowiem do treści art. 66 pkt 4 ustawy z dnia 6 sierpnia 2004 r. Przepisy wprowadzające ustawę o swobodzie działalności gospodarczej (Dz. U. Nr 173, poz. 1808 ze zm.), przepis art. 7a ustawy – Prawo działalności gospodarczej, utracił moc z dniem 31 grudnia 2011 r. Przez wzgląd na powyższe należy wskazać, iż w myśl art. 7 pkt 2 u.o.d.o., po pojęciem przetwarzania danych należy rozumieć jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Natomiast, jak stanowi przepis art. 23 ust. 1 u.o.d.o., przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Odnosząc powyższe do stanu faktycznego niniejszej sprawy, Sąd podziela stanowisko organu, iż z obszernego materiału dowodowego zgromadzonego w toku postępowania administracyjnego nie wynika, by zarzuty skarżącego dotyczące udostępniania jego danych osobowych w zakresie imienia, nazwiska, adresu i informacji o nieudzieleniu pożyczek przez wskazane podmioty na rzecz K. oraz przekazaniu przez ten podmiot imienia, nazwiska i adresu skarżącego pozostałym podmiotom, miały miejsce. Godzi się w tym miejscu wskazać, iż dane osobowe skarżącego pozyskane przez ww. podmioty w wyniku składanych przez niego wniosków pożyczkowych w latach 2005-2006, są obecnie przetwarzane przez nie wyłącznie w celach archiwalnych, dla celów ewentualnych roszczeń cywilnoprawnych i postępowań sądowych. Proces przetwarzania tych danych znajduje zatem swoje uzasadnienie w przesłance legalizującej przetwarzanie danych, o której mowa w art. 23 ust. 1 pkt 5 u.o.d.o., a okoliczność ta nie jest przez skarżącego kwestionowana. Należy zgodzić się z Generalnym Inspektorem, że nawet stwierdzenie ewentualnych uchybień w procesie przetwarzania danych osobowych skarżącego w przeszłości, nie ma wpływu na podjęte rozstrzygnięcie. Jak wynika bowiem z przepisu art. 18 ust. 1 u.o.d.o., organ wyłącznie w razie stwierdzenia naruszenia przepisów w dacie wydawania decyzji, może formułować nakazy wymienione w tym przepisie w celu przywrócenia stanu zgodnego z prawem. Taki stan niezgodności zaś w sprawie nie występuje, gdyż jak już wyżej Sąd stwierdził, wymienione podmioty przetwarzają dane skarżącego w takim zakresie, w jakim pozyskały je od niego legalnie na podstawie wniosków pożyczkowych. Sąd podziela również stanowisko Generalnego Inspektora Ochrony Danych Osobowych w odniesieniu do wniosków dowodowych skarżącego, dotyczących przeprowadzenia dowodu z przesłuchania świadków. Zgodnie z przepisem art. 78 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2013 r., poz. 267), dalej jako "K.p.a", żądanie strony dotyczące przeprowadzenia dowodu należy uwzględnić, jeżeli przedmiotem dowodu jest okoliczność mająca znaczenie dla sprawy. Stosownie zaś do treści § 2 ww. przepisu, organ administracji publicznej może nie uwzględnić żądania (§ 1), które nie zostało zgłoszone w toku przeprowadzania dowodów lub w czasie rozprawy, jeżeli żądanie to dotyczy okoliczności już stwierdzonych innymi dowodami, chyba że mają one znaczenie dla sprawy. W niniejszej sprawie postępowanie dowodowe na okoliczności wnioskowane przez skarżącego, zostało już przez organ przeprowadzone. W aktach postępowania administracyjnego znajdują się bowiem pisemne oświadczenia osób uprawnionych do ich składania w imieniu skarżących podmiotów, tj. Prezesa Zarządu A. J. D. i Prezesa Zarządu F. J. G., stąd też ich przesłuchanie byłoby niecelowe i nieuzasadnione ze względów ekonomicznych. Natomiast były członek Zarządu M. R. P. oraz były Prezes Zarządu K., są obecnie osobami postronnymi i nieuprawnionymi do reprezentowania tych podmiotów. Stosowne zaś oświadczenia w imieniu M. i K. zostały złożone przez osoby uprawnione do ich reprezentowania. Odnosząc się z kolei do zarzutu naruszenia przepisu art. 23 ust. 1 pkt 1 u.o.d.o., polegającego na braku zgody skarżącego na przekazywanie jego danych osobowych innym podmiotom, należy wskazać, że przesłanki legalizujące przetwarzanie danych wymienione w przepisie art. 23 ust. 1, są autonomiczne i niezależne od siebie, co oznacza, że spełnienie którejkolwiek z nich uprawnia do zgodnego z prawem przetwarzania danych osobowych. W niniejszej sprawie, jak już wskazano wyżej, przesłanką taką jest obecnie przepis art. 23 ust. 1 pkt 5 u.o.d.o. Dla zgodności z prawem zaskarżonej decyzji nie ma też znaczenia powoływany przez skarżącego wyrok Sądu Apelacyjnego w [...] o sygn. [...] , w którym stwierdzono, że doszło do nieuprawnionego przekazania danych osobowych skarżącego. Należy bowiem zauważyć, że sąd powszechny orzekał w sprawie ochrony dóbr osobistych, o których mowa w przepisie art. 23 Kodeksu cywilnego, której nie można utożsamiać z ochroną danych osobowych w oparciu o przepisy ustawy o ochronie danych osobowych, uprawniającej organ administracji publicznej w postaci GIODO do ściśle określonych działań, w tym wydawania decyzji administracyjnych jedynie w sytuacjach określonych w art. 18 ust. 1 u.o.d.o. Mając powyższe na względzie Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), orzekł jak w sentencji wyroku.