II SA/Wa 124/09

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Bronisław Szydło (spr.), Sędziowie WSA Andrzej Kołodziej, Ewa Pisula-Dąbrowska, Protokolant Katarzyna Ciacharowska, po rozpoznaniu na rozprawie w dniu 10 czerwca 2009 r. sprawy ze skargi Stowarzyszenia [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2008 r. nr [...] w przedmiocie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych oddala skargę W dniu 28 maja 2008 r. inspektorzy, upoważnieni przez Generalnego Inspektora Ochrony Danych Osobowych, przeprowadzili kontrolę w Stowarzyszeniu [...] z siedzibą w M., zwanym dalej także Stowarzyszeniem, w celu ustalenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych, tj. ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) oraz rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024). W toku kontroli ustalono, że Stowarzyszenie reprezentuje mieszkańców [...] w celu zapewnienia m. in. ochrony interesu prawnego i faktycznego tych mieszkańców, w tym związanych z zarządzaniem nieruchomościami wspólnymi, których współwłaścicielami są właściciele posesji znajdujących się na terenie [...]. Z wyjaśnień członków zarządu Stowarzyszenia wynika, że w Stowarzyszeniu nie została opracowana w formie pisemnej polityka bezpieczeństwa oraz instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych oraz nie jest prowadzona ewidencja przetwarzania danych osobowych. Nie wyznaczono administratora bezpieczeństwa informacji. Dostęp do danych mają wyłącznie Prezes i Wiceprezes Zarządu Stowarzyszenia. Ponadto członkowie Zarządu wyjaśnili, że Stowarzyszenie przetwarza dane osobowe swoich członków w celu zapewnienia funkcjonowania Stowarzyszenia. Dane te nie są udostępniane innym podmiotom. Podstawą ich przetwarzania jest statut Stowarzyszenia oraz ustawa z dnia 7 kwietnia 1989 r. Prawo o stowarzyszeniach (Dz. U. z 2001 r. Nr 79, poz. 855 ze zm.). Członkowie Stowarzyszenia posiadają informacje, o których mowa w art. 24 ust. 1 ustawy o ochronie danych osobowych. Z dalszych wyjaśnień wynika, że w połowie 1999 r. na Walnym Zgromadzeniu Mieszkańców [...] utworzony został Fundusz Mieszkańców [...], w celu pokrywania wydatków związanych z utrzymywaniem wspólnej infrastruktury i zapewnienia obsługi [...]. Inspektorom przeprowadzającym kontrolę przedstawiony został wydruk Regulaminu Funduszu Mieszkańców [...]. Członkowie Zarządu Stowarzyszenia wyjaśnili, że Stowarzyszenie zarządza wskazanym wyżej Funduszem i w związku z tym przetwarza dane osobowe właścicieli posesji znajdujących się na terenie [...]. Właściciele ci są zobowiązani do wpłacania składki na ten fundusz. Prowadzone jest "Rozliczenie Funduszu Remontowego [...]" zawierające dane w zakresie: imię i nazwisko, adres posesji, kwotę wpłat oraz należności. Dane dotyczące właścicieli posesji zostały przekazane Stowarzyszeniu przez tych właścicieli na przelewach kwot składek na rachunek bankowy Stowarzyszenia. Przetwarzanie danych powyższych właścicieli jest niezbędne dla istnienia Funduszu, a tym samym dla funkcjonowania [...]. Jak wskazują członkowie Zarządu Stowarzyszenia wskazane wyżej osoby posiadają informacje, o których mowa w art. 24 ust. 1 ustawy o ochronie danych osobowych. Dane te nie były przekazywane innym podmiotom. W toku oględzin Inspektorzy ustalili, że "Rozliczenie Funduszu Remontowego [...]" zawiera dane osobowe 172 osób w zakresie: imię i nazwisko, ulica, numer domu, kwoty wpłat i należności. Pismem z dnia [...] sierpnia 2008 r. Generalny Inspektor Ochrony Danych Osobowych zawiadomił Stowarzyszenie o wszczęciu z urzędu postępowania administracyjnego w sprawie przetwarzania danych osobowych przez Stowarzyszenie. Decyzją z dnia [...] września 2008 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych nakazał Stowarzyszeniu usunięcie uchybień w procesie przetwarzania danych osobowych poprzez: 1. zaprzestanie przetwarzania bez podstawy prawnej danych osobowych właścicieli posesji znajdujących się na terenie [...], którzy nie są członkami Stowarzyszenia, w terminie od dnia, w którym decyzja stanie się ostateczna, 2. opracowanie w formie pisemnej polityki bezpieczeństwa oraz instrukcji zarządzania system informatycznym służącym do przetwarzania danych osobowych, w terminie 14 dni od dnia, w którym decyzja stanie się ostateczna, 3. wyznaczenie administratora bezpieczeństwa informacji, w terminie od dnia w którym decyzja stanie się ostateczna. Jako podstawę rozstrzygnięcia organ wskazał art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t. j. Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.) oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 i art. 22 w związku z art. 23 ust. 1 oraz art. 36 ust. 2 i 3 powołanej ustawy o ochronie danych osobowych. W uzasadnieniu decyzji organ wyjaśnił, że w toku kontroli Stowarzyszenie nie przedstawiło oryginału "Regulaminu Funduszu Remontowego [...]", a jedynie wydruk, z którego nie wynika, czy został on zaakceptowany przez wszystkich właścicieli posesji znajdujących się na terenie [...]. Stowarzyszenie nie przedstawiło również żadnego dokumentu potwierdzającego, iż jak wskazują członkowie Zarządu Stowarzyszenia, wskazany wyżej Fundusz został utworzony na walnym zebraniu właścicieli posesji. W konsekwencji tego nie potwierdzona została okoliczność powierzenia Stowarzyszeniu zarządzania Funduszem. Organ wskazał, że w związku z zarządzaniem Funduszem Stowarzyszenie przetwarza dane osobowe właścicieli posesji, wśród których są zarówno członkowie Stowarzyszenia, jak również osoby nie będące jego członkami. Generalny Inspektor Ochrony Danych Osobowych stwierdził, iż Stowarzyszenie nie legitymuje się jakąkolwiek podstawą prawną przetwarzania danych osobowych osób niebędących członkami stowarzyszenia, wynikającą z art. 23 ust. 1 ustawy o ochronie danych osobowych. Ponadto organ podniósł, iż Stowarzyszenie nie opracowało w formie pisemnej polityki bezpieczeństwa oraz instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych, do czego było zobowiązane na podstawie art. 36 ust. 2 ustawy o ochronie danych osobowych oraz na podstawie § 3 ust. 1 powołanego rozporządzenia w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych. Stowarzyszenie nie wyznaczyło również administratora bezpieczeństwa informacji, którego obowiązek wyznaczenia wynika z art. 36 ust. 3 ustawy. We wniosku o ponowne rozpatrzenie sprawy Stowarzyszenie podniosło, iż w toku postępowania wyjaśniającego odebrane zostały wyjaśnienia jedynie od obecnych członków zarządu Stowarzyszenia. Stowarzyszenie zostało wpisane do rejestru stowarzyszeń w 1998 r. Na przestrzeni prawie 10 lat działalności Zarząd Stowarzyszenia zmieniał się wielokrotnie. W opinii Stowarzyszenia, w toku postępowania należało uwzględnić również wyjaśnienia byłych członków jego zarządu. Stowarzyszenie wyjaśniło również, że nie posiada stałej siedziby, a jego dokumentacja jest przechowywana w prywatnych domach kolejnych członków zarządu. Podniosło także, że podstawą prawną przetwarzania danych osobowych przez Stowarzyszenie jest art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, albowiem przetwarzanie tych danych jest niezbędne dla realizacji celów statutowych. Po rozpatrzeniu wniosku o ponowne rozpatrzenie sprawy Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t. j. Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.) oraz art. 12 pkt 2, art., 18 ust. 1 pkt 1, art. 22 w zw. z art. 23 ust. 1 pkt 1 i art. 36 ust. 2 i 3 powołanej ustawy o ochronie danych osobowych utrzymał w mocy swoją poprzednią decyzję z dnia [...] września 2008 r., powołując się na dotychczasowe ustalenia faktyczne i prawne. Wskazana wyżej decyzja stała się przedmiotem skargi Stowarzyszenia do Wojewódzkiego Sądu Administracyjnego w Warszawie. Stowarzyszenie wskazało, iż zaskarża tę decyzję w całości. Strona skarżąca wniosła o uchylenie zaskarżonej decyzji oraz poprzedzającej ją decyzji z dnia [...] września 2008 r. Zaskarżonej decyzji zarzucono naruszenie art. 7, art. 10 oraz art. 77 § 1 k.p.a. poprzez zaniechanie dokładnego wyjaśnienia stanu faktycznego sprawy, niezapewnienie stronie czynnego udziału w postępowaniu poprzez ograniczenie czynności dowodowych tylko do analizy zgromadzonych dokumentów oraz niewyczerpujące zebranie i rozważenie materiału dowodowego. Przytoczono również zarzuty powołane we wniosku o ponowne rozpatrzenie sprawy. W odpowiedzi na skargę organ wniósł o oddalenie skargi. W uzasadnieniu swojego stanowiska organ zwrócił uwagę, że Stowarzyszenie nie kwestionuje, iż powinno legitymować się zgodą osób nie będących członkami Stowarzyszenia na przetwarzanie danych ich dotyczących. Strona skarżąca nie posiada natomiast wiedzy, czy kiedykolwiek taka zgoda została wyrażona. Ponadto organ wskazał, że na obecnym Zarządzie Stowarzyszenia, który administruje danymi osobowymi, ciąży odpowiedzialność za przetwarzanie danych zgodnie z przepisami o ochronie danych osobowych. Na rozprawie przed Wojewódzkim Sądem Administracyjnym w Warszawie pełnomocnik strony skarżącej oświadczył, iż ogranicza zakres skargi w ten sposób, że wnosi o uchylenie pkt 1 decyzji z [...] września 2008 r. o treści "zaprzestanie przetwarzania bez podstawy prawnej danych osobowych właścicieli posesji znajdujących się na terenie [...], którzy nie są członkami stowarzyszenia". Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji i to z przepisami obowiązującymi w dacie jej wydania. Innymi słowy, sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga analizowana pod tym kątem nie zasługuje na uwzględnienie. Na wstępie należy stwierdzić, iż okolicznością niebudzącą wątpliwości jest fakt przetwarzania przez Stowarzyszenie danych osobowych członków Stowarzyszenia oraz osób niebędących jego członkami, a którzy są właścicielami posesji na terenie [...]. Kwestią kluczową w niniejszej sprawie jest odpowiedź na pytanie, czy Stowarzyszenie legitymuje się jedną z przesłanek wymienionych w art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), uprawniającą je do przetwarzania danych osobowych. Zgodnie z treścią powołanego wyżej przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Należy zauważyć, że wyrażenie zgody na przetwarzanie danych osobowych przez osobę, której te dane dotyczą, stanowiące przesłankę przetwarzania danych osobowych wymienioną w art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, nie może być dorozumiane, ani istnienia takiej zgody nie można też domniemywać. Zgoda na przetwarzanie danych osobowych stanowi oświadczenie woli osoby, której dane mają być przetwarzane. Nie jest wystarczające samo powiadomienie o zamiarze przetwarzania danych osobowych oraz brak sprzeciwu zainteresowanej osoby. Wprawdzie ustawa o ochronie danych osobowych nie wymaga, aby taka zgoda udzielona została na piśmie, jednakże fakt udzielenia takiej zgody nie może budzić wątpliwości, a co za tym idzie administrator danych osobowych winien wykazać, iż została ona faktycznie udzielona. W toku kontroli przeprowadzonej przez inspektorów, upoważnionych przez Generalnego Inspektora Ochrony Danych Osobowych ustalono, że Stowarzyszenie nie posiada zgody osób będących właścicielami posesji na [...], niebędących członkami Stowarzyszenia, na przetwarzanie danych ich dotyczących. Stowarzyszenie nie udokumentowało w żaden sposób, iż taka zgoda została kiedykolwiek udzielona. Słusznie organ podniósł, iż dokumentem potwierdzającym tą okoliczność nie może być wydruk Regulaminu Funduszu Mieszkańców [...]. Z dokumentu tego nie wynika, iż osoby nie będące członkami Stowarzyszenia wyraziły zgodę na przetwarzanie danych ich dotyczących. Nietrafny jest zawarty w skardze zarzut naruszenia przez organ art. 7 oraz art. 77 § 1 k.p.a. poprzez zaniechanie zgromadzenia całego materiału dowodowego pozwalającego na wyjaśnienie tej okoliczności. We wniosku o ponowne rozpatrzenie sprawy zarzut ten sformułowany został w kontekście wskazywanej przez Stowarzyszenie konieczności odebrania wyjaśnień od byłych członków jego Zarządu. Zgodzić się należy ze stanowiskiem organu zaprezentowanym w odpowiedzi na skargę, iż zmiany w składzie osobowym Zarządu Stowarzyszenia, administrującego danymi osobowymi, nie zwalniają od obowiązku przestrzegania przepisów dotyczących ochrony danych osobowych. Brak jakichkolwiek dokumentów potwierdzających, iż właściciele posesji na [...] niebędący członkami Stowarzyszenia udzielili Stowarzyszeniu zgody na przetwarzanie danych osobowych, powodował w tej sytuacji konieczność zastosowania art. 18 ust. 1 pkt 1 ustawy o ochronie danych osobowych, poprzez wydanie decyzji nakazującej usunięcie stwierdzonych uchybień. W ocenie Sądu przesłanki uzasadniającej przetwarzanie danych osobowych osób niebędacych członkami Stowarzyszenia nie można wywieść również z art. 23 ust.1 pkt 5 ustawy o ochronie danych osobowych. W niniejszej sprawie nie można bowiem stwierdzić, że przetwarzanie danych osobowych powyższych osób jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Zaznaczyć należy, że stosownie do treści art. 2 ust. 1 oraz ust. 2 ustawy z dnia 7 kwietnia 1989 r. Prawo o stowarzyszeniach (Dz. U. z 2001 r. Nr 79, poz. 855 ze zm.) stowarzyszenie jest dobrowolnym, samorządnym, trwałym zrzeszeniem o celach niezarobkowych, samodzielnie określającym swoje cele, programy działania i struktury organizacyjne oraz uchwalającym akty wewnętrzne dotyczące jego działalności. We wniosku o ponowne rozpatrzenie sprawy, wniesionym od decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2008 r., Stowarzyszenie podniosło, iż celem jego działalności są m. in. uporządkowanie stosunków własnościowych na [...], zapewnienie mieszkańcom [...] korzystnych pod względem finansowym, jakościowym oraz ilościowym dostaw mediów oraz ochrona interesu prawnego i faktycznego mieszkańców [...]. Wskazało również, że cele te realizowane są poprzez sprawowanie zarządu [...]. W ocenie Sądu, nawet przy tak ogólnie określonych celach działalności Stowarzyszenia, odnoszących się do całego [...], nie można uznać przetwarzania danych osobowych osób niebędących członkami stowarzyszenia za działanie niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Sąd podziela w tym zakresie stanowisko organu przedstawione w uzasadnieniu zaskarżonej decyzji oraz w odpowiedzi na skargę. Należy także podnieść, że zarząd [...] nie należy do celów działalności Stowarzyszenia wymienionych w jego Statucie. Słusznie również organ zauważa, że z zebranych w toku postępowania dowodów nie wynika, aby wszyscy współwłaściciele nieruchomości wspólnych [...] powierzyli Stowarzyszeniu prowadzenie zarządu [...], czy też zarządu utworzonym Funduszem Remontowym [...]. Okolicznością niebudzącą wątpliwości i niekwestionowaną przez stronę skarżącą jest również fakt, iż przeprowadzona w Stowarzyszeniu kontrola wykazała, że Stowarzyszenie nie opracowało w formie pisemnej polityki bezpieczeństwa oraz instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych, do czego było zobowiązane na podstawie art. 36 ust. 2 ustawy o ochronie danych osobowych oraz na podstawie § 3 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024), oraz że nie wyznaczyło również administratora bezpieczeństwa informacji, którego obowiązek wyznaczenia wynika z art. 36 ust. 3 powołanej ustawy. W tej sytuacji należy stwierdzić, że zaskarżona decyzja nie narusza prawa. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), orzekł jak w sentencji.