II SA/Wa 1297/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej, Sędziowie WSA Iwona Dąbrowska, Piotr Borowiecki (spr.), Protokolant specjalista Ewa Kielak, po rozpoznaniu na rozprawie w dniu 22 maja 2018 r. sprawy ze skargi P. Sp. z o. o. z siedzibą w K. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Zaskarżoną decyzją z dnia [...] czerwca 2017 r., nr [...] (dot. [...]), Generalny Inspektor Ochrony Danych Osobowych, (dalej także: "GIODO" lub "organ"), działając na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2016 r., poz. 23 - dalej także: "k.p.a."), a także art. 12 pkt 2, art. 18 ust. 1 pkt 1 oraz art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2016 r., poz. 922 ze zm. - dalej także: "u.o.d.o."), po rozpoznaniu wniosku spółki [...] sp. z o.o., z siedzibą w [...] (dalej także: "skarżąca spółka", "strona skarżąca") z dnia [...] lipca 2017 r. o ponowne rozpatrzenie sprawy zakończonej wcześniejszą decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2017 r., nr [...] (dot. [...]) nakazującą usunięcie uchybienia w procesie przetwarzania danych osobowych, poprzez zaprzestanie przetwarzania bez podstawy prawnej danych biometrycznych swoich klientów - utrzymał w mocy w/w decyzję z dnia [...] marca 2017 r. Zaskarżona decyzja została wydana w następującym stanie faktycznym. Pismem z dnia [...] grudnia 2016 r. doręczonym skarżącej spółce dnia [...] stycznia 2017 r. Generalny Inspektor Ochrony Danych Osobowych zawiadomił o wszczęciu z urzędu postępowania w sprawie przetwarzania danych osobowych w rozumieniu ustawy z dnia [...] sierpnia 1997 r. o ochronie danych osobowych przez skarżącą spółkę z dnia [...] grudnia 2016 r. Przedmiotem wszczętego postępowania były stwierdzone w toku kontroli uchybienia, jakich dopuściła się skarżąca spółka w związku z przetwarzanymi przez nią danymi osobowymi. W dniach od [...] do [...] kwietnia 2016 r. upoważnieni przez Generalnego Inspektora Ochrony Danych Osobowych inspektorzy, na podstawie art. 14 u.o.d.o. przeprowadzili w [...] Sp. z o.o. kontrolę (sygn. akt [...]) zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych, tj. ustawą o ochronie danych osobowych oraz rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 1 00, poz. 1024). W toku kontroli odebrano od pracowników skarżącej spółki ustne wyjaśnienia, skontrolowano system informatyczny służący do przetwarzania danych osobowych. Stan faktyczny został szczegółowo opisany w protokole kontroli, który został podpisany przez pełnomocnika skarżącej spółki. Na podstawie zgromadzonego podczas kontroli materiału dowodowego ustalono, że w procesie przetwarzania danych osobowych skarżąca spółka, jako administrator danych naruszyła przepisy o ochronie danych osobowych. W tym zakresie Generalny Inspektor Ochrony Danych Osobowych wskazał na następujące uchybienia skarżącej spółki: 1. wymuszanie zgody na przetwarzanie danych biometrycznych klientów oraz niewskazanie w oświadczeniu o wyrażeniu zgody na przetwarzanie tych danych celu przetwarzania tych danych, a w konsekwencji brak podstawy prawnej do przetwarzania przez skarżącą spółkę danych biometrycznych jej klientów; 2. Niewyodrębnienie (w przypadku zapisu do newsletteru skarżącej spółki, do którego zapis możliwy jest przez stronę internetową skarżącej spółki o adresie: [...]) zgody na przetwarzanie danych osobowych w celach marketingowych od zgody pozyskiwanej na podstawie ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną), przez co zgoda nie może być podjęta swobodnie i nie ma charakteru samodzielnego (art. 23 ust. 1 pkt 1. w zw. z art. 7 pkt 5 u.o.d.o) 3. niespełnienie przez politykę bezpieczeństwa obowiązującą w skarżącej spółce wymogów, o których mowa w § 4 pkt 2-3 rozporządzenia Ministra Spraw Wewnętrznych i Administracji w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych z dnia 29 kwietnia 2004 r. (Dz. U. Nr 100, poz. 1024). Ponadto, niezależnie od powyższych uchybień Generalny Inspektor Ochrony Danych Osobowych zwrócił uwagę na następujące kwestie: 1. zbędność pozyskiwania przez skarżącą spółkę zgody na przetwarzanie danych osobowych w celu zawarcia i realizacji umowy, 2. niepozyskiwanie zgody na udostępnianie danych osobowych klientów oraz nieprawidłowe pozyskiwanie zgody na prowadzenie działań marketingowych od osób rejestrujących się online, 3. ewentualne uchybienia w zakresie obowiązku informacyjnego, 4. niepozyskiwanie w sposób prawidłowy przez skarżącą spółkę zgody na wykorzystanie wizerunku. Pismem z dnia [...] stycznia 2017 r. skarżącą spółkę przedłożyła dodatkowe informacje, dowody, prezentując swoje stanowisko w sprawie. W związku z powyższym Generalny Inspektor Ochrony Danych Osobowych wszczął z urzędu postępowanie administracyjne w celu wyjaśnienia okoliczności sprawy. W piśmie z dnia [...] grudnia 2016 r. sygn. [...], stanowiącym zawiadomienie o wszczęciu postępowania administracyjnego w przedmiotowej sprawie, skarżąca spółka została poinformowana o prawie czynnego udziału na każdym etapie postępowania, a przed wydaniem decyzji wypowiedzenia się, co do zebranych w toku kontroli dowodów i materiałów oraz zgłoszonych żądań. Pismem z dnia [...] marca 2017 r., sygn. [...] Generalny Inspektor poinformował skarżącą spółkę, iż termin wydania decyzji administracyjnej w sprawie przetwarzania danych osobowych przez skarżącą spółkę zostaje przedłużony do dnia [...] marca 2017 r., z uwagi na jej skomplikowany charakter. Na podstawie całokształtu materiału dowodowego zgromadzonego w sprawie w dniu [...] marca 2017 r. Generalny Inspektor Ochrony Danych Osobowych wydał decyzję, sygn. [...] nakazującą skarżącej spółce, jako administratorowi danych osobowych, usunięcie uchybienia w procesie przetwarzania danych osobowych, poprzez zaprzestanie przetwarzania bez podstawy prawnej danych biometrycznych swoich klientów, w terminie 2 miesięcy od dnia, w którym decyzja stanie się ostateczna (vide: pkt 1 decyzji). W pozostałym zakresie postępowanie zostało umorzone (vide: pkt II decyzji). Generalny Inspektor Ochrony Danych Osobowych nakazał [...] sp. z o.o. z siedzibą w [...] przy ul. [...], usunięcie uchybienia w procesie przetwarzania danych osobowych, poprzez zaprzestanie przetwarzania bez podstawy prawne danych biometrycznych swoich klientów. W związku z powyższym skarżąca spółka wniosła o ponowne rozpatrzenie sprawy, wskazując, iż nie zgadza się ze stanowiskiem organu w zakresie pkt. 1 decyzji z dnia [...] marca. W dniu [...] marca 2017 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęło pismo spółki z dnia [...] marca 2017 r. zatytułowane "Wypowiedzenie się strony W przedmiocie prowadzonego postępowania", podtrzymujące wnioski i żądania wyrażone w piśmie z dnia [...] stycznia 2017 r., a ponadto podnoszące, iż skarżąca spółka umożliwia m.in. skorzystanie z usług klubu bez przetwarzania danych biometrycznych następujących osób: korzystających z kart programów partnerskich, takich jak [...],[...],[...],[...]; osób towarzyszących w ramach stałej weekendowej promocji, w ramach, której osoba towarzysząca członka klubu skarżąca spółka może skorzystać z usług klubu bezpłatnie. Do pisma załączono dowód w postaci obowiązującego od stycznia 2017 r. formularza "Oświadczenia do regulaminu klubów Fitness [...] dla osób towarzyszących lub posiadaczy kart programów partnerskich". W związku z powyższym Generalny Inspektor Ochrony Danych Osobowych pismem z dnia [...] kwietnia 2017 r. sygn. [...] wezwał skarżącą spółkę, na podstawie art. 64 § 2 k.p.a. do uzupełnienia braku formalnego. Pismem z dnia [...] czerwca 2017 r. sygn. [...] skarżąca spółka została poinformowana przez organ, iż w przedmiotowej sprawie został zebrany materiał dowodowy pozwalający na wydanie decyzji. Jednocześnie skarżąca spółka została, jako strona poinformowana, iż przed wydaniem decyzji może wypowiedzieć się, co do zebranych dowodów i materiałów oraz zgłoszonych żądań, a także, iż stronie przysługuje prawo przeglądania akt sprawy oraz sporządzania z nich notatek i odpisów. W związku z powyższym pełnomocnik Spółki w dniu [...] czerwca 2017 r. zapoznał się z aktami sprawy sygn. [...] i dokonał ich fotokopii. Po dokonaniu ponownej analizy całokształtu materiału dowodowego zgromadzonego w sprawie (w tym informacji zawartych w piśmie skarżącej spółki z dnia [...] marca 2017 r. zatytułowanym "Wypowiedzenie się strony w przedmiocie prowadzonego postępowania"), Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] czerwca 2017 r. sygn. [...] utrzymał w mocy decyzję z dnia [...] marca 2017 r. sygn. [...]. W uzasadnieniu przedmiotowej decyzji Generalny Inspektor Ochrony Danych Osobowych uznał, iż szereg stosowanych przez skarżącą spółkę rozwiązań alternatywnych - obowiązujcych dokumentów w zakresie korzystani z usług klubów Fitness [...] - nie jest wystarczające dla uznania, iż zgoda na przetwarzanie danych biometrycznych nie jest wyrażana dobrowolnie. Generalny Inspektor Ochrony Danych Osobowych podniósł, iż nie nieguje, że potencjalni klienci posiadają swobodę w zakresie wyboru usługodawcy (vide: możliwość wyboru podmiotu, w którym system biometryczny nie jest stosowany), jednakże fakt ten nie ma wpływu na ocenę organu, czy zgoda na przetwarzanie danych biometrycznych przez skarżąca spółka jest dobrowolna. Generalny Inspektor Ochrony Danych Osobowych wskzał, iż skarżąca spółka przetwarza dane osobowe użytkowników kart programów partnerskich jako podmiot, o którym mowa w art. 31 u.o.d.o., tj. jako partner, któremu dany podmiot wydający kartę powierzył przetwarzanie danych osobowych swoich klientów w celu rozliczania wizyt i usług świadczonych w obiektach skarżącej spółki. Organ podniósł, iż to wydawcy kart decydują, iż wejście do klubów sportowych będzie odbywało się na zasadach przez nich określonych, alternatywnych w stosunku do zasad wprowadzonych przez skarżącą spółkę w odniesieniu do jej klientów. Oznacza to, w ocenie organu, że to nie skarżąca spółka zapewnia alternatywny sposób wejściia do klubów dla swoich klientów, tylko to podmioty wydające karty programów partnerskich decydują o sposobie wejścia do obiektów skarżącej spółki, tj. bez wykorzystania danych biometrycznych. Organ podniósł, że fakt, iż skarżąca spółka organizuje stałą weekendową promocję, w ramach której osoba towarzysząca członka klubu skarżącej spółki lub osoby korzystającej z kart programów partnerskich może korzystać z usłus skarżącej spółki bezpłatnie, również nie nadaje oświadczeniu w przedmiocie zgody na przetwarzanie danych biometrycznych walory dobrowolności. Oznacza to, w ocenie organu, że osoby zainteresowane zawarciem umowy o świadczenie usług klubów [...] Fitness niekoniecznie muszą znać jakiegokolwiek członka klubu skarżącej spółki, dostosować się do godzin jego ćwiczeń, czy wreszcie ograniczać swoją aktywność do weekendów. Organ podkreślił, że nie wskazał, iż przetwarzanie danych biometrycznych w celach związanych z zapewnieniem bezpieczeńśtwa w klubach skarżącej spółki, ograniczenia oszustw związanych z korzystaniem z karnetów jest nieproporcjonalne. W piśmie z dnia [...] lipca 2017 r. strona skarżąca, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2017 r. W petitum skargi strona skarżąca: 1. wniosła na podstawie art. 145 § 1 pkt 1 lit a i c p.p.s.a. o uchylenie zaskarżonej decyzji w całości oraz na podstawie art. 135 p.p.s.a. o uchylenie poprzedzającej ją decyzji z dnia [...] marca 2017 r. w [pic]pkt. 1; 2. wniosła na podstawie art. 60 § 2 pkt 1 p.p.s.a. o wstrzymanie wykonania zaskarżonej decyzji w całości w tym poprzedzającej ją decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca sygn. [...] w pkt. 1 przez Generalnego Inspektora [pic]Ochrony Danych Osobowych, a w przypadku gdyby Generalny Inspektor Ochrony Danych Osobowych nie uwzględnił tego wniosku na podstawie art. 61 p.p.s.a. wniosła o wstrzymanie wykonania zaskarżonej decyzji w całości w tym poprzedzającej ją decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2017 r. sygn. [...] w pkt. 1 przez Wojewódzki Sąd Administracyjny w Warszawie; 3. wniosła na podstawie art. 200 p.p.s.a. o zasądzenie kosztów postępowania sądowo-administracyjnego wg norm prawem przepisanych; 4. wniosła o dopuszczenie i przeprowadzenie dowodów z dokumentów i innych środków dowodowych załączonych do niniejszego pisma na okoliczności w nim wskazane. Skarżąca spółka zarzuciła Generalnemu Inspektorowi Ochrony Danych Osobowych: 1. Naruszenie przepisów postepowania mające istotny wpływ na wynik sprawy: 1) naruszenie art. 138 § 1 pkt 1 k.p.a. poprzez jego błędne zastosowanie i utrzymanie w mocy wadliwej decyzji z dnia [...] marca 2017 r., 2) naruszenie art. 138 § 1 pkt 2 k.p.a. poprzez jego niezastosowanie i utrzymanie w mocy wadliwej decyzji z dnia [...] marca 2017 r., 3) naruszenia art. 107 § 3 k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 22 u.o.d.o. poprzez nieustosunkowanie się w treści uzasadnienia zaskarżonej decyzji przez Generalnego Inspektora Ochrony Danych Osobowych do wszystkich zarzutów strony skarżącej, podniesionych we wniosku o ponowne rozpatrzenie sprawy, co uniemożliwia właściwe zapoznanie się z motywami działania organu pierwszej instancji, zrozumienie tych motywów; 4) naruszenie art. 7 k.p.a. w zw. z art. 22 u.o.d.o. poprzez niepodjęcie przez organ wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz załatwienia sprawy, 5) naruszenie art. 8 k.p.a. w zw. z art. 22 u.o.d.o. poprzez poinformowanie strony skarżącej o zamiarze przesłania pisma zawierającego dodatkowe pytania do strony skarżącej, a następnie odstąpienie od przesłania tego pisma bez powiadomienia strony skarżącej, a ponadto wydanie decyzji z dnia [...] marca 2017 r. dzień po poinformowaniu Skarżącego o przedłużeniu terminu do wydania decyzji i możliwości zapoznania się przez Skarżącego z zebranym materiałem dowodowym zanim skarżąca spółka faktycznie mogła podjąć stosowne działania, co istotnie narusza zasadę pogłębiania zaufania uczestników postępowania do władzy publicznej; 6) naruszenie art. 10 § 1 k.p.a. w zw. z art. 22 u.o.d.o. poprzez uniemożliwienie stronie skarżącej przed wydaniem decyzji z dnia [...] marca 2017 r. złożenia dalszych wyjaśnień i żądań oraz wypowiedzenia się, co do zebranych dowodów i materiałów, co nastąpiło w związku z poinformowaniem skarżącej spółki o zamierzanie przesłania pisma zawierającego dodatkowe pytania do skarżącej spółki oraz odstąpienie od przesłania tego pisma bez poinformowania skarżącej spółki, a ponadto wydanie decyzji dzień po powiadomieniu skarżącej spółki o przedłużeniu terminu do wydania decyzji i możliwości zapoznania się przez skarżącej spółki z zebranym materiałem dowodowym tj. przed upływem terminu do dokonania przez skarżącą spółkę tych czynności, 7) naruszenie art. 77 § 1 k.p.a. w zw. z art. 22 u.o.d.o. poprzez niezebranie przez Generalnego Inspektora Ochrony Danych Osobowych i nierozpatrzenie całego materiału dowodowego [pic]pomimo posiadania przez Inspektora Ochrony Danych Osobowych wiedzy na temat dowodów oraz istnienia innych istotnych okoliczności w tym w szczególności pominięcie przy wydawaniu decyzji z dnia [...] marca 2017 r. informacji dotyczących wszystkich stosowanych wejść alternatywnych, a przekazanych organowi przez Spółkę; 8) naruszenie art. 80 k.p.a. w zw. z art. 22 u.o.d.o. poprzez dokonanie przez organ dowolnej, a nie swobodnej oceny dowodów zebranych w toku postępowania, a w konsekwencji uznanie, że zgoda na przetwarzanie danych biometrycznych nie została wyrażona w sposób swobodny. 2. Naruszenie prawa materialnego, które miało wpływ na wynik sprawy: 9) art. 23 ust. 1 pkt 1, 3 i 5 oraz art. 7 pkt 5 u.o.d.o. poprzez ich błędną wykładnię mającą wpływ na wynik sprawy i przyjęcie, że skarżąca spółka nie legitymuje się żadną podstawą prawną do przetwarzania danych biometrycznych wskazanych w tych przepisach ustawy tj. konieczną do realizacji umowy, gdy osoba, której dotyczą jest stroną ani, że osoba, której dane dotyczą wyraziła zgodę ma przetwarzanie tych danych, ani że przetwarzanie danych biometrycznych jest niezbędne dla realizacji prawnie usprawiedliwionych celów przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą, podczas gdy ze zgromadzonego w sprawie materiału dowodowego jednoznacznie wynika, iż umowa zawierana z klientem klubu Fitness [...] przewiduje możliwość wykorzystania biometrycznego systemu kontroli wstępu do klubu klienta, a wyrażana przez klienta zgoda nie jest dorozumiana ani domniemana z oświadczenia woli o innej treści, zaś możliwe dostępne alternatyw korzystania z sieci klubów Fitness [...] zapewniają dobrowolność wyrażenia tej zgody. W uzasadnieniu skargi strona skarżąca przedstawiła argumenty, które - w jej ocenie - świadczyć mają o istotnym naruszeniu powołanych wyżej przepisów przez organ rozstrzygający sprawę. Strona skarżąca wskazała, że Generalny Inspektora Ochrony Danych Osobowych naruszył przepisy postępowania, które miało istotny wpływ na wynik sprawy. Skarżąca spółka, wskazując na wyrok Wojewódzkiego Sądu Administracyjnego z dnia 6 września 2016 r., sprawa o sygn. akt II GSK 346/15 wskazała, że "Obowiązkiem organu odwoławczego jest, wobec tego ustosunkowanie się w uzasadnieniu swej decyzji do wszystkich żądań, zarzutów i wniosków strony, zwłaszcza zawartych w odwołaniu, a mających znaczenie dla rozstrzygnięcia sprawy. Organ odwoławczy, orzekający na niekorzyść strony, zobowiązany jest, bowiem do sporządzenia uzasadnienia w sposób wyjątkowo staranny, tak, aby strona miała pełną wiedzę, co do przesłanek zastosowania określonych w rozstrzygnięciu przepisów. Uzasadnienie, które nie rozprawia się z zasadniczymi dla wyniku sprawy argumentami strony jest uzasadnieniem wadliwym, naruszającym zarówno art. 107 § 3 k.p.a., jak też art. 11 tej ustawy." W związku z powyższym strona skarżąca wskazała, że nierozpatrzenie przez Generalnego Inspektora Ochrony Danych Osobowych wszystkich zarzutów, jak również utrzymanie w mocy decyzji z dnia [...] marca 2017 r. stanowi o naruszeniu przepisów w toku całego postępowania prowadzonego przez organ. Skarżąca spółka wyraźnie zaznaczyła, że decyzja z dnia [...] marca została wydana, niespełna dzień po doręczeniu skarżącej spółce informacji o przedłużeniu postępowania oraz poinformowaniu o możliwości wypowiedzenia się, co do zebranego w sprawie materiału dowodowego i przeczy podstawowym zasadom postępowania. Skarżąca spółka podniosła, że na tym etapie Generalny Inspektor Ochrony Danych Osobowych nie tylko wprowadził skarżącą spółkę, jako uczestnika postępowania w błąd, co do dalszych czynności, uniemożliwiając jej czynny udział w postępowaniu, ale w konsekwencji nie zebrał w sprawie całego materiału dowodowego, a finalnie pominął istotne dla sprawy okoliczności, na temat, których pozyskał wiedzę w toku postępowania. W nawiązaniu do powyższego skarżąca spółka wskazała na wyrok Wojewódzkiego Sądu Administracyjnego z dnia 24 kwietnia 2014 r., sprawa o sygn. akt VII SA/Wa 1056/13, godnie z treścią, którego "Z zasady ogólnej prawdy obiektywnej (art. 7 KPA) wynika nakaz podjęcia przez organ administracji publicznej wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy, co znajduje swoją konkretyzację w treści art. 77, zgodnie, z którym organ administracji jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. Przepis ten nakłada na organ administracji publicznej prowadzący postępowanie obowiązek zgromadzenia w sposób wyczerpujący materiału dowodowego, a następnie wyczerpującego rozpatrzenia całokształtu tego materiału celem prawidłowego ustalenia podstawy faktycznej decyzji administracyjnej. W konsekwencji nie można odmówić słuszności zarzutowi skarżącego, że organy orzekające w niniejszej sprawie nie ustaliły w sposób pełny i wyczerpujący stanu faktycznego w sprawie, który mógł być podstawą rozstrzygnięcia. Z treści art. 77 Ś I KPA wynika, że postępowanie dowodowe oparte jest na zasadzie oficjalności. Oznacza to, że organ administracji publicznej jest obowiązany z urzędu podejmować wszelkie kroki zmierzające do wyczerpującego zgromadzenia materiału dowodowego. Przepis ten przesądza, więc o tym, że ciężar prowadzenia postępowania dowodowego spoczywa na organie administracji publicznej i nie może być przerzucony na stronę, a zatem jeśli strona przedstawi niepełny materiał dowodowy, organ ma obowiązek z własnej inicjatywy go uzupełnić: W doktrynie i orzecznictwie podkreśla się stanowczo, że decyzja administracyjna nie może być oparta na domniemanej okoliczności faktycznej, nieustalonej w postępowaniu administracyjnym, której prawdziwości strona przeczy, a rozpatrzenie przez organ administracji publicznej całokształtu materiału dowodowego oraz dokonanie jego wszechstronnej oceny zgodnie z wymaganiami art. 80 jest możliwe dopiero po wyczerpaniu wszystkich ujawnionych w toku postępowania administracyjnego możliwości dowodowych, dotyczących istotnych okoliczności faktycznych (zob. wyrok NSA z 14 listopada 1996 r., SA/Rz 1162/95 niepublik:, wyrok NSA z 10 kwietnia 1990 r., II SA 149/90, Hauser, KPA z orzecznictwem s 236)." Skarżąca spółka nie podzieliła stanowiska organu w kwestii alternatywnych metod weryfikacji wejść do klubów (vide: jednorazowych wejściówek; wejść na podstawie kart programów partnerskich takich jak [...],[...],[...],[...]; osób towarzyszących w ramach stałej, trwającej już od około dwóch lat, weekendowej promocji (tzn. dotyczącej każdego weekendu), w ramach, której osoba towarzysząca Członka Klubu Fitness [...] lub osoby korzystającej z kart programów partnerskich może skorzystać z usług klubu bezpłatnie), z uwagi na fakt, iż organ nie zbadał rzetelnie czy spełniają czy nie swoją funkcję, a tym samym czy skutkują tym, iż pozyskiwana na przetwarzanie danych biometrycznych zgoda jest zgodą dobrowolną. W tym miejscu skarżąca spółka podniosła, iż przedmiotowe wnioski nie zostały wyrażone przez organ w sposób stanowczy ("może być mniej korzystne"), a ponadto z żadnych dowodów zgromadzonych w toku postępowanie nie wynika, by organ na tę okoliczność gromadził i przeprowadzał dowody, a ponadto ze zgromadzonego materiału dowodowego nie można wysnuć takich wniosków. Skarżąca spółka w dalszej części uzasadnienia wskazała, iż prowadząc kluby fitness nie jest zobowiązana do zapewniania obsługi posiadaczy kart programów partnerskich. Wskazując, na powszechnie znany fakt, iż obsługa tego typu kart programów partnerskich jest oparta na indywidualnie zawartej przez przedsiębiorcę umowie, której zawarcie zależy wyłącznie od jego decyzji biznesowej – wskazała, że wnioski wyciągnięte przez organ są, więc niezgodne ze stanem faktycznym. W związku z powyższym w ocenie strony skarżącej stosowane przez nią alternatywy winny być brane pod uwagę nie tylko, jako pojedyncze możliwości, ale również, jako możliwości, które można stosować łącznie, a których to stosowanie nie będzie skutkowało rzekomymi niekorzystnymi czynnikami finansowymi. Oznacza to, że aby organ mógł w tym zakresie wyciągnąć pełne i prawidłowe wnioski winien zebrać pełny materiał dowody i wyjaśnić wszelkie napotkane wątpliwości, czego w tym postępowaniu nie uczynił. Na potwierdzenie przyjętego stanowiska skarżąca spółka wskazała na wyrok Naczelnego Sądu Administracyjnego z dnia 10 kwietnia 1990 r., sprawa o sygn. akt. II SA 149/90, zgodnie z treścią, którego "Dopiero wyczerpanie wszystkich ujawnionych w toku postępowania możliwości dowodowych, dotyczących istotnych okoliczności faktycznych, umożliwia spełnienie wymogu 'rozpatrzenia całego materiału dowodowego oraz dokonania wszechstronnej oceny tego materiału zgodnie z wymogami art. 80 KPA, w tym oceny, czy występujące w tym materiale rozbieżności podważają wiarygodność dowodów wskazanych przez Stronę." Celem zweryfikowania wyciągniętych przez GIODO wyżej opisanych wniosków skarżący podniósł, że zlecił podmiotowi zewnętrznemu (vide: dostawcy stosowanego rozwiązania do kontroli dostępu) sporządzenie zestawu danych według wskazanych wytycznych. Odnosząc się do uznania przez organ, iż zgoda na przetwarzanie danych biometrycznych jest zgodą samodzielną, określającą cel, jednakże nie jest zgodą swobodną (dobrowolną), co miałoby skutkować przetwarzaniem tych danych bez podstawy prawnej skarżący podniósł, iż w tym zakresie organ dopuścił się naruszenia prawa materialnego. Strona skarżąca wskazała, że w jej ocenie naruszenie to dotyczy błędnej wykładni mającej wpływ na wynik sprawy art. 23 ust. 1 pkt 1 3 i 5 u.o.d.o. oraz art. 7 pkt 5 u.o.d.o. poprzez ich błędną wykładnię mającą wpływ na wynik sprawy i przyjęcie, że skarżący nie legitymuje się żadną podstawą prawną do przetwarzania danych biometrycznych wskazanych w tych przepisach ustawy tj. konieczną do realizacji umowy, gdy osoba, której dotyczą jest jej stroną ani, że osoba, której dane dotyczą wyraziła zgodę ma przetwarzanie tych danych, ani że przetwarzanie danych biometrycznych jest niezbędne dla realizacji prawnie usprawiedliwionych celów przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą, [pic]podczas gdy ze zgromadzonego w sprawie materiału dowodowego jednoznacznie wynika, iż umowa zawierana z klientem klubu Fitness [...] przewiduje możliwość wykorzystania biometrycznego systemu kontroli wstępu do klubu klienta, a wyrażana przez klienta zgoda nie jest dorozumiana ani domniemana z oświadczenia woli o innej treści, zaś możliwe dostępne alternatyw korzystania z sieci klubów Fitness [...] zapewniają dobrowolność wyrażenia tej zgody. W dalszej części skarżąca spółka podniosła, że z dokumentów i materiałów zgromadzonych w toku postępowania wynika, iż zgodzie na przetwarzanie danych biometrycznych można przypisać walor dobrowolności. Ponadto skarżąca spółka wyjaśniła, iż promocja "osoba towarzysząca gratis" została wprowadzona mniej więcej w tym samym czasie, co wejście dla Członków Klubu na podstawie danych biometrycznych, jako ścieżka alternatywna obok alternatywnych wejść na podstawie jednorazowych wejściówek. Skarżąca spółka [...] sp. z.o.o. wskazała, że z przedłożonych w toku postępowania danych jak i załączonego do niniejszej skargi zestawienia jednoznacznie wynika, iż stosowane alternatywne formy korzystania z klubu bez danych biometrycznych pozwalają na podjęcie przez klienta swobodnej decyzji, co do korzystania z usług sieci klubów Fitness [...] bez wywierania na kliencie presji finansowej, na którą powołuje się organ. Tym samym w ocenie skarżącego alternatywne, stale dostępne formy wejść do sieci klubów Fitness [...] w zupełności realizują wymagania ścieżki alternatywnej, a w ostateczności jednoznacznie wskazują na fakt, iż dane biometryczne od Członków Klubu przetwarzane są na podstawie zgody wyrażonej w sposób w pełni dobrowolny. Strona skarżąca, powołując się na stanowisko Grupy roboczej art. [...] zawarte w opinii [...] w sprawie zmian w sytuacji w dziedzinie technologii biometrycznych przyjętej w dniu [...] października 2012 r. ([...]) ponownie wskazała, iż nie wyklucza w sposób kategoryczny możliwości wykorzystywania tego rodzaju danych w celach weryfikacji uprawnień klientów sieci klubów. Grupa robocza w przykładzie dotyczącym klubu fitness i odnowy biologicznej wskazała jedynie na przypuszczenia, co do ewentualnej nieproporcjonalności przetwarzania danych biometrycznych w takich celach, jednakże nie zdyskwalifikowała tej formy w zupełności. Tym samym nie można z całą stanowczością wykluczyć tego typu rozwiązania w klubach fitness. Podsumowując rozważania dotyczące naruszenia prawa materialnego w skardze skarżąca spółka stwierdziła, że stosowany sposób weryfikacji uprawnień klienta jest proporcjonalny w stosunku do potrzeb kontrolowania dostępu do klubu zarówno z uwagi na konieczność zapewnienia bezpieczeństwa w klubie jak i ograniczenia procederów nieprawidłowego korzystania z karnetów przez klientów, które narażały skarżącego na straty finansowe. Skarżąca spółka uznała, iż przetwarzanie przez skarżącego danych biometrycznych odbywa się w sposobów odpowiadający wytycznym Grupy roboczej art. [...]. Skarżąca spółka wnosząc o wstrzymanie wykonania decyzji wskazała, iż wykonanie zaskarżonej decyzji spowoduje wyrządzenie znacznej szkody oraz trudne do odwrócenia skutki. Wykonanie decyzji poprzez zaprzestanie przetwarzania danych biometrycznych skutkować będzie koniecznością wprowadzenia istotnych zmian w sferze biznesowej i operacyjnej skarżącego. Działania takie związane będą z koniecznością poniesienia przez skarżącego nadmiernych kosztów oraz nadmiernego nakładu pracy jego pracowników. Celem wdrożenia powyższego koniecznym będzie zatrudnienie kolejnych pracowników niezbędnych przy osobistej obsłudze klientów, a ponadto zakup i wdrożenie nowego systemu kontroli do alternatywnej obsługi klientów. Wszystko to będzie skutkowało znacznymi nakładami finansowymi oraz nieodwracalnymi skutkami, a poniesienie tych kosztów i poczynione nakłady pracy w przypadku przychylenia się Sądu do niniejszej skargi będą nieodwracalne. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Organ, na wstępie wskazał, że nie podziela stanowiska strony skarżącej, w którym to strona skarżąca wskazuje, że dysponuje podstawą prawną przetwarzania danych osobowych biometrycznych swoich klientów, o której mowa w art. 23 ust. 1 u.o.d.o. (vide: zgoda udzielona dobrowolnie), bądź jakąkolwiek inną podstawą prawną, o której mowa w cytowanym artykule. W nawiązaniu do powyższego organ wskazał, iż podstawą prawną przetwarzania danych osobowych klientów skarżącej spółki, w szczególności danych biometrycznych jest art. 23 ust. 1 pkt 1 u.o.d.o., tj. zgoda osoby, której dane dotyczą. Organ podniósł, iż, jak wynika z dokonanych przez organ czynności kontrolnych skarżąca spółka umożliwia także zawarcie umowy z usług klubu Fitness [...] z wykorzystaniem strony internetowej o adresie [...], przy czym sama rejestracja on-line nie jest "niewystarczająca do korzystania z usług (klient i tak musi zgłosić się do wybranego klubu skarżącej spółki w celu dodatkowego potwierdzenia kontraktu zawartego on-line przez podpisanie umowy o korzystanie z klubu Fitness [...]). Organ zauważył, iż obowiązujące treści dokumentów nadal nie zapewniają dobrowolności w wyrażeniu zgody na przetwarzanie danych osobowych biometrycznych. Organ wskazał, że skarżąca spółka nie zapewnia dobrowolności wyrażenia zgody na przetwarzanie danych biometrycznych – nie jest możliwe zawarcie pisemnej umowy o korzystanie z usług klubów Fitness [...] bez konieczności wyrażenia zgody na przetwarzanie swoich danych osobowych biometrycznych przez skarżącą spółkę w celu prawidłowego świadczenia usług sportowo – rekreacyjnych, tj. odnotowania wejścia do klubu osoby uprawnionej. Generalny Inspektor Ochrony Danych Osobowych podtrzymał swoje stanowisko, że stosowany przez skarżącą spółkę "alternatywny" sposób wejścia do klubów związany z zakupem przez klientów biletów jednorazowych (wejście na podstawie paragonu), również pozbawia oświadczenia w przedmiocie zgody na przetwarzanie danych osobowych biometrycznych (wyrażone w treści umów o korzystanie z usług klubów Fitness [...] zawartych na podstawie formularzy wprowadzonych do stosowania w czerwcu 2016 r. Generalny Inspektor Ochrony Danych Osobowych nie podzielił stanowiska skarżącej spółki w przedmiocie organizowania przez skarżącą spółkę stałych weekendowych promocji, w ramach, których osoba towarzysząca członkowi klubu skarżącej spółki lub osobie korzystającej z kart programów partnerskich może korzystać z usług klubów bezpłatnie, również nie nadaje zdaniem organu oświadczeniu w przedmiocie zgody na przetwarzanie danych biometrycznych waloru dobrowolności. Organ wskazał, że osoby zainteresowane zawarciem umowy o świadczenie usług klubów [...] Fitness niekoniecznie muszą znać jakiegokolwiek członka klubu skarżącej spółki (bądź uczestnika programu partnerskiego), dostosowywać się do godzin jego ćwiczeń, czy wreszcie ograniczać swoją aktywność do weekendów W dalszej części odpowiedzi na skargę organ wskazał, że nie znajduje uzasadnienia w sprawie argument skarżącej spółki, wskazujący, iż skarżąca spółka zapewnia możliwość wejścia do sieci klubów skarżącej spółki z wykorzystaniem kart programów partnerskich (takich jak: [...],[...],[...],[...]) i bez wykorzystania danych biometrycznych organ podniósł, że spółka przetwarza dane osobowe użytkowników kart programów partnerskich, jako podmiot, o którym mowa w art. 31 u.o.d.o., tj., jako partner, któremu dany podmiot "dający kartę (np. [...]S.A. ł, siedzibą w [...]) powierzył przetwarzanie danych osobowych swoich klientów (tj. użytkowników kart) w celu rozliczania wizyt i usług świadczonych w obiektach skarżącej spółki. Generalny Inspektor Ochrony Danych Osobowych podkreślił, że materiał dowodowy zgromadzony w toku kontroli przeprowadzonej w skarżącej spółce, jak również przesłany przez skarżącą spółkę pismem z dnia [...] stycznia 2017 r. daje podstawę do stwierdzenia, iż skarżąca spółka nie dysponuje podstawą prawną do przetwarzania danych biometrycznych swoich klientów w postaci zgody wyrażonej dobrowolnie. Generalny Inspektor Ochrony Danych Osobowych nie podzielił stanowiska skarżącej spółki dot. błędnej wykładni art. 23 ust. 1 pkt 3 u.o.d.o. (vide: konieczność realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub podjęcia działań przed zawarciem umowy, na żądanie osoby, której dane dotyczą) i art. 23 ust. 1 pkt 5 u.o.d.o. (vide: wypełnienie prawnie usprawiedliwionych celów realizowanych przez administratora danych), wskazując, iż podstawy prawne te nie mają wobec Spółki zastosowania. W podsumowani organ wskazał, za art. 23 ust. 1 pkt 5 u.o.d.o., zgodnie, z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Organ wskazał, że skarżąca spółka wskazując w skardze, iż posiada podstawę prawną do przetwarzania danych osobowych, o której mowa w ww. przepisie, nie wskazała, wprost jakiego prawnie usprawiedliwionego celu realizacja legitymuje ją do przetwarzania danych biometrycznych jej klientów. Organ podniósł, że jeśli prawnie usprawiedliwionym celem jest zapewnienie kontroli wstępu do klubów i bezpieczeństwa, a także ograniczenie nadużyć finansowych dokonywanych przez klientów, należy wskazać, że do wypełnienia ww. prawnie usprawiedliwionych celów nie jest "niezbędne" przetwarzanie przez skarżącą spółkę danych osobowych biometrycznych. Organ wskazał, że istnieją, bowiem inne sposoby weryfikacji tożsamości klientów, skutkujące zapewnieniem wysokiego poziomu bezpieczeństwa i ograniczające nadużycia związane z nieuprawnionym korzystaniem z usług, niewymagające przetwarzania danych biometrycznych klientów. Generalny Inspektor Ochrony Danych Osobowych stwierdził także, że w związku z przetwarzaniem danych biometrycznych klientów skarżącej spółki dochodzi do naruszenia prawa osób, których dane dotyczą, do dysponowania ich danymi, co oznacza, że skarżąca spółka wymusza sposób kontroli wstępu związany z przetwarzaniem danych biometrycznych klientów). Odnosząc się do stanowiska skarżącej spółki wyrażonego w skardze, wskazującego, iż przyjęty przez skarżącą spółkę system kontroli biometrycznej odpowiada zasadzie proporcjonalności, Generalny Inspektor Ochrony Danych Osobowych wskazał, że w toku postępowania administracyjnego nie wskazywał, iż, przetwarzanie danych biometrycznych w celach związanych z zapewnieniem bezpieczeństwo w klubach skarżącej spółki, ograniczenia oszustw związanych z korzystaniem z karnetów, jest nieproporcjonalne, natomiast konsekwentnie podkreślał brak podstawy prawnej do przetwarzania przez skarżącą spółkę danych biometrycznych jej klientów. Wobec z kolei zarzutów skarżącej spółki podniesionych w skardze, wskazujących na naruszenie przepisów postępowania, organ wskazał, iż w uzasadnieniu do decyzji administracyjnej organu z dnia [...] czerwca 2017 r. sygn. [...] odniesiono się do całego materiału dowodowego zgromadzonego w sprawie, w tym informacji na temat tzw. alternatywnych wejść. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2017 r., poz. 2188 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi, więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2017 r., poz. 1369 ze zm., dalej także: "p.p.s.a."). Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy, którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej. W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych, zobowiązany był wziąć pod uwagę również jej zgodność z przepisami prawa europejskiego, w tym przede wszystkim regulacjami zawartymi w Dyrektywie nr 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. UE L z dnia 23 listopada 1995 r. Nr 281, s. 31; Dz. Urz. UE-sp.13-15-355 ze zm.). W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga Skarżącej spółki [...] sp. z o.o. nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2017 r., nr [...], utrzymująca w mocy decyzję tego organu z dnia [...] marca 2017 r. nakazującą usunięcie uchybienia w procesie przetwarzania danych osobowych, poprzez zaprzestanie przetwarzania bez podstawy prawnej danych biometrycznych swoich klientów – nie narusza obowiązujących przepisów prawa. Sąd uznał, bowiem, że - wbrew stanowisku strony skarżącej - Generalny Inspektor Ochrony Danych Osobowych, wydając wskazane powyżej decyzje administracyjne nieuwzględniające skargi skarżącej spółki [...] sp. z o.o., prawidłowo uznał, że przetwarzania bez podstawy prawnej danych biometrycznych swoich klientów przez skarżącą spółkę stanowi uchybienie w procesie przetwarzania danych osobowych–, co oznacza, że podmiot ten dopuścił się naruszenia powszechnie obowiązujących przepisów o ochronie danych osobowych. Ponadto, w wyniku przeprowadzenia analizy stanowiska organu administracji publicznej, zaprezentowanego w uzasadnieniu zaskarżonej decyzji, Sąd stwierdził, że - wbrew stanowisku strony skarżącej - Generalny Inspektor Ochrony Danych Osobowych, wydając zaskarżoną decyzję z dnia [...] czerwca 2017 r. oraz utrzymaną nią w mocy decyzję z dnia [...] marca 2017 r., nie dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych, albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej analizy zebranego w sprawie materiału dowodowego, w szczególności w zakresie przesłanek prawidłowego przetwarzania danych osobowych strony skarżącej, jako zasadniczej podstawy do oddalenia wniesionej przez skarżącą spółkę [...] sp. z o.o. skargi z dnia [...] lipca 2017 r. W działaniu Generalnego Inspektora Ochrony Danych Osobowych, jako organu administracji publicznej wydającego obie sporne decyzje, Sąd nie dopatrzył się jakichkolwiek istotnych nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa materialnego. Ponadto, Sąd uznał, że w uzasadnieniu zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej. Tym samym, Sąd uznał, że Generalny Inspektor Ochrony Danych Osobowych, wydając sporne decyzje administracyjne – nie dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP. Przechodząc do oceny legalności zaskarżonej decyzji, należy na wstępie wyraźnie wskazać, że spór w zasadniczej części sprowadza się do rozstrzygnięcia, czy Generalny Inspektor Ochrony Danych Osobowych, dokonując w ramach prowadzonego postępowania administracyjnego oceny legalności przetwarzania danych osobowych strony skarżącej przez spółkę pod nazwą [...]sp. z.o.o. z siedzibą w [...] przy ul. [...] nr [...] uwzględnił wszelkie istotne okoliczności przetwarzania tych danych w oparciu o całokształt prawidłowo zgromadzonego materiału dowodowego oraz właściwe przepisy o ochronie danych osobowych, a w szczególności, czy prawidłowo przyjął, iż skarżąca spółka przetwarza bez podstawy prawnej dane biometryczne swoich klientów Dokonując powyższej oceny, wskazać trzeba, iż Generalny Inspektor Ochrony Danych Osobowych jest organem do spraw ochrony danych osobowych. Jego podstawowe zadania i kompetencje zostały wymienione w art. 12 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Jednym z zadań GIODO, określonym w art. 12 ust. 2 cyt. ustawy, jest rozpoznawanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Przedmiotem takiej skargi może być na przykład brak dbałości administratora o merytoryczną poprawność przetwarzanych danych, przetwarzanie tych danych w innym celu niż ten, dla którego zostały zebrane, bezpodstawne nieudostępnianie danych. Skarga może dotyczyć również podejrzenia przetwarzania danych przez osobę nieuprawnioną. Jeżeli zatem określona osoba zgłasza GIODO nieprawidłowości w zakresie przetwarzania danych osobowych, jest on zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie czy dane osobowe są w istocie przetwarzane, jeżeli tak, to, w jakim celu i czy proces ten następuje z poszanowaniem przepisów ustawy o ochronie danych osobowych. GIODO wszczyna i prowadzi postępowanie na wniosek strony według przepisów Kodeksu postępowania administracyjnego i rozstrzyga sprawę indywidualną strony w zakresie objętym jej wnioskiem, wydając w tym zakresie decyzję administracyjną (vide: wyrok WSA w Warszawie z dnia 9 listopada 2011 r., sygn. akt II SA/Wa 1363/11). Taka sytuacja miała miejsce w rozpoznawanej sprawie. Otóż, Generalny Inspektor Ochrony Danych Osobowych, rozpatrując skargę skarżącej spółki [...] sp. z o.o. z dnia [...] lipca 2017 r., dokonał oceny legalności przetwarzania danych osobowych przez skarżącą spółkę, uwzględniając okoliczności przetwarzania tych danych, całokształt materiału dowodowego oraz przepisy prawa, w tym przepisy ustawy o ochronie danych osobowych. Skoro postępowanie przed Generalnym Inspektorem Ochrony Danych Osobowych zostało zainicjowane w niniejsze sprawie, to zgodnie z przepisem art. 18 ust. 1 ustawy o ochronie danych osobowych, organ ten zobowiązany był zbadać, czy doszło do naruszeń, a w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych, GIODO zobowiązany był, w drodze decyzji administracyjnej, nakazać przywrócenie stanu zgodnego z prawem, a w szczególności: 1. usunięcie uchybień; 2. uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnianie danych osobowych; 3. zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe; 4. wstrzymanie przekazywania danych osobowych do państwa trzeciego; 5. zabezpieczenie danych lub przekazanie ich innym podmiotom; 6. usunięcie danych osobowych. Treścią decyzji wydanej na podstawie cytowanego wyżej przepisu powinien być nakaz przywrócenia stanu zgodnego z prawem, który może dotyczyć konkretnego (określonego w pkt 1-6) działania lub zaniechania. GIODO powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatne do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą. Stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji (vide: por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Zakamycze 2004 r.). W literaturze podnosi się, iż mamy tu do czynienia ze stopniowaniem sankcji administracyjnych (w zależności od rodzaju uchybienia), a Generalny Inspektor Ochrony Danych Osobowych powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatne (współmierne) do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą (zob. G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 153). W literaturze i orzecznictwie wyrażany jest również pogląd, zgodnie, z którym stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji, natomiast, jeżeli postępowanie administracyjne zostało wszczęte w wyniku stwierdzenia nieprawidłowości przez inspekcję, a w trakcie tego postępowania ustanie stan naruszenia prawa (np. administrator usunie uchybienia), postępowanie staje się bezprzedmiotowe, a organ wydaje decyzję o jego umorzeniu na podstawie art. 105 k.p.a. (por. m.in. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 13 marca 2014 r., sygn. akt II SA/Wa 1988/13, publ. http://orzeczenia.nsa.gov.pl). Wykonując powierzone zadania w świetle przepisów cyt. ustawy, GIODO obowiązany jest dokonać oceny zgodności z prawem przetwarzania danych osobowych wnoszącego skargę. Rolą organu powołanego do spraw ochrony danych osobowych jest, zatem - w każdej indywidualnej sprawie - przede wszystkim ustalenie czy dane osobowe konkretnego skarżącego przetwarzane są zgodnie z prawem. Ocena w tym zakresie determinuje, bowiem rodzaj rozstrzygnięcia organu. Pamiętać przy tym należy, że przez przetwarzanie danych rozumie się m.in. ich zbieranie, utrwalanie, opracowywanie, udostępnianie (art. 7 pkt 2 u.o.d.o.). Niezależnie od powyższego, w myśl art. 7 pkt 1, ilekroć w ustawie jest mowa o zbiorze danych, to rozumie się przez to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie, zaś wedle pkt 2 przetwarzanie danych, to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Zaś, co się tyczy systemu informatycznego, to w pkt 2a rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych, a mówiąc o zgodzie osoby, której dane dotyczą, rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie (pkt 5). W rozpoznawanej sprawie tymczasem, jak ustalono w toku kontroli przeprowadzonej przez Generalnego Inspektora Ochrony Danych Osobowych i co organ dokładnie opisał w uzasadnieniu zaskarżonej decyzji, w klubach Spółki zastosowano system biometrycznej kontroli wstępu do klubów, bazujący na informacjach dotyczących wybranych punktów linii papilarnych palca w celu uproszczenia i przyspieszenia skutecznej weryfikacji klientów oraz podniesienia bezpieczeństwa (tzw. wzorzec biometryczny odcisku palca). Jak wskazuje wyrok Naczelnego Sądu Administracyjnego z dnia 1 grudnia 2009 r., sprawa o sygn. akt I OSK 249/09 – wzorzec biometryczny odciska palca klienta należy do kategorii danych biometrycznych, a zarazem danych osobowych. Analiza przedstawionego stanu faktycznego nie pozwala – zdaniem Sądu – na przyjęcie tezy zaprezentowanej przez skarżącą spółkę, że przetwarzanie danych biometrycznych, odbywa się na podstawie umowy zawieranej z klientem klubu skarżącej spółki, która to przewiduje możliwość wykorzystania biometrycznego systemu kontroli wstępu do klubu klienta, a wyrażana przez klienta zgoda nie jest dorozumiana ani domniemana z oświadczenia woli o innej treści, zaś możliwe dostępne alternatywy korzystania z sieci klubów [...] zapewniają dobrowolność wyrażenia jej zgody, co oznacza, że w ocenie skarżącej spółki nie dochodzi w ten sposób do przetwarzania danych osobowych w postaci danych biometrycznych. Powyższe stanowisko potwierdzają stosowane przez skarżącą spółkę sposoby alternatywnego wejścia do klubów skarżącej spółki, tj. wejście na podstawie jednorazowego biletu; wejście na podstawie kart "programów partnerskich", takich jak [...],[...],[...],[...]; wejście osób towarzyszących w ramach stałej promocji dotyczącej każdego weekendu, w ramach, której osoba towarzysząca członkowi klubu Spółki/osobie korzystającej z kart "programów partnerskich", może korzystać z usług klubów Spółki bezpłatnie. Od ww. osób skarżąca spółka nigdy nic pobierała danych biometrycznych. Natomiast promocja "osoba towarzysząca gratis" dotyczy każdego weekendu w roku kalendarzowym i każdego klubu sieci Fitness [...], a więc jest organizowana dla znacznej większości osób w dni wolne od pracy we wszystkich godzinach otwarcia klubów, a zatem umożliwia skorzystanie z usług klubu skarżącej spółki darmowo i bez przetwarzania danych biometrycznych możliwie najszerszej grupie osób. Sąd stwierdza także, że niezależnie od przetwarzania danych w systemie informatycznym, również w przypadku przetwarzania danych poza zbiorem danych, administrator także musi się legitymować jedną z przesłanek, o których mowa w cytowanym już wyżej przepisie art. 23 ust. 1 ustawy. Tymczasem skarżąca spółka zgłosiła do rejestracji zbiór danych osobowych i w zbiorze tym przetwarzane są dane osobowe klientów skarżącej spółki, jednakże nie wskazano informacji o pozyskiwaniu wskazanych już wyżej danych biometrycznych, a przecież dana biometryczna jest powiązana z danymi osobowymi klienta poprzez numer ID i jest pozyskiwana do zbioru danych osobowych klientów skarżącej spółki, bowiem dane osobowe klientów przetwarzane przez skarżącej spółki wraz z ich danymi biometrycznymi tworzą posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, a więc zbiór danych w rozumieniu art. 7 pkt 1 ustawy. Należy w tym miejscu wskazać, że w myśl art. 2 ust. 3 ustawy, w odniesieniu do zbiorów danych osobowych sporządzanych doraźnie, wyłącznie ze względów technicznych, szkoleniowych lub w związku z dydaktyką w szkołach wyższych, a po ich wykorzystaniu niezwłocznie usuwanych albo poddanych animizacji, mają zastosowanie jedynie przepisy rozdziału 5. Jednakże – zdaniem Sądu – nie można powyższego zbioru uznać, jako doraźny, bowiem dane osobowe biometryczne przetwarzane są w zbiorze danych osobowych klientów skarżącej spółki zgłoszonym do rejestracji i w związku z zapewnieniem kontroli wstępu do klubów, Zatem nie ma on charakteru technicznego mimo relatywnie krótkiego okresu przetwarzania i wprowadzania tych danych do zbioru pojedynczo, podczas wchodzenia klienta do klubu, a wobec powyższego nie można uznać tego zbioru, jako sporządzanego doraźnie. Nie zmienia tego okoliczność, że same dane biometryczne wprowadzane są do zbioru danych osobowych klientów skarżącej spółki pojedynczo, tj. każdorazowo przy wejściu klienta skarżącej spółki do klubu w związku z przyłożeniem do czytnika palca. Stosownie do art. 22 ustawy o ochronie danych osobowych, postępowanie w sprawach uregulowanych w tej ustawie prowadzi się według przepisów Kodeksu postępowania administracyjnego, o ile przepisy ustawy nie stanowią inaczej. Z uwagi na fakt, iż ustawa o ochronie danych osobowych nie reguluje kwestii postępowania dowodowego i powinności organu związanych z czynieniem ustaleń faktycznych, zastosowanie w tym zakresie znajdują reguły i zasady określone w kodeksie postępowania administracyjnego. W ocenie Sądu, należy uznać, że w rozpoznawanej sprawie Generalny Inspektor Ochrony Danych Osobowych przeprowadził postępowanie dowodowe w zakresie niezbędnym do jej rozstrzygnięcia. Postępowanie prowadzone przez GIODO miało charakter kontrolny w tym znaczeniu, że organ badał, czy dane klientów strony skarżącej były przetwarzane przez spółkę [...] sp. z o.o., a jeżeli tak, to czy w procesie przetwarzania nie doszło do uchybień, których stwierdzenie obligowałoby Generalnego Inspektora Ochrony Danych Osobowych do wydania stosownego nakazu zgodnie z treścią art. 18 ust. 1 ustawy. Zdaniem Sądu, postulat przeprowadzenia kontroli przetwarzania danych osobowych formułowany przez skarżącą spółkę został zrealizowany, choć nie w ramach zadania tego organu, o którym mowa w art. 12 pkt 1 u.o.d.o., czyli kontroli przetwarzania danych zgodnie z przepisami o ochronie danych osobowych, gdyż tego typu kontrole nie dotyczą spraw indywidualnych. Była to kontrola przybierająca postać postępowania wyjaśniającego, dokonana w ramach realizacji zadania organu określonego w art. 12 pkt 2 cyt. ustawy. Ustalenia faktyczne, jakich dokonał organ, pozwoliły na wyprowadzenie wniosku, który Sąd ocenia, jako prawidłowy, że w przedmiotowej sprawie doszło do naruszenia przepisów ustawy o ochronie danych osobowych, były, zatem podstawy do zastosowania nakazów przewidzianych w art. 18 ust. 1 u.o.d.o. Wojewódzki Sąd Administracyjny w Warszawie pragnie wyraźnie zauważyć, że zadaniem ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest też zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. W art. 1 ustawy o ochronie danych osobowych stwierdza się, bowiem, że przetwarzanie danych osobowych może mieć miejsce, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych, na podstawie przepisów powołanej ustawy, nie powinna być oderwana od przepisów służących ochronie innych wartości. Stosownie do treści art. 7 pkt 2 cyt. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei w przepisie art. 23 ust. 1 ustawy o ochronie danych osobowych zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: (1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba, że chodzi o usunięcie dotyczących jej danych, (2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, (3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, (4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, (5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Wskazany powyżej przepis ustawy o ochronie danych osobowych określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one, co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, System Informacji Prawnej LEX, 2015 r.). Nie ulega wątpliwości, że każda z wymienionych w przepisie art. 23 ust. 1 u.o.d.o. podstaw stanowi odrębną przesłankę dopuszczalności przetwarzania danych osobowych i na gruncie określonego stanu faktycznego musi bezwzględnie uzasadniać przetwarzanie. Zgodnie z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, przetwarzanie takich danych jest dopuszczalne wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą Art. 32 ust. 1 u.o.d.o. stanowi natomiast, iż każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych (pkt 8). Zatem, podstawą ich przetwarzania jest przepis art. 23 ust. 1 pkt 5 u.o.d.o., zgodnie, z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Warto w tym miejscu zauważyć, że przepis art. 23 ust. 1 pkt 4 cyt. ustawy wskazuje na istnienie dwóch warunków, których wystąpienie pozwala na legalne przetwarzanie danych osobowych. Po pierwsze: przetwarzanie danych musi być niezbędne do wykonania określonych prawem zadań i po drugie: zadania te muszą być realizowane dla dobra publicznego. Konstrukcja tej regulacji wyraźnie precyzuje, że obie przesłanki muszą wystąpić łącznie, toteż zawsze niezbędność przetwarzania danych osobowych w procesie realizacji określonych prawem zadań musi służyć dobru publicznemu. Oznacza to, że niezbędność przetwarzania danych należy rozpatrywać w ścisłej korelacji z dobrem publicznym. Przepis ten jest uregulowaniem usprawiedliwiającym przetwarzanie danych osobowych dla dobra publicznego. Jego zastosowanie możliwe jest niejako w warunkach swoistego stanu wyższej konieczności, tj. wówczas, gdy administrator danych przedkłada dobro publiczne nad interes jednostki, bo jest to niezbędne do wykonania określonych prawem zadań. Norma zawarta w art. 23 ust. 1 pkt 4 u.o.d.o. nie precyzuje, że mają to być zadania należące tylko do kompetencji administratora danych. Należy wskazać, że art. 23 ust. 1 pkt 5 określany jest w doktrynie przedmiotu mianem tzw. klauzuli usprawiedliwionego celu, przesłanki, która oznacza, że "przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą". Innymi słowy, jej spełnienie stanowi dostateczną legitymację do legalnego w świetle ustawy o ochronie danych osobowych przetwarzania danych osobowych. Nie jest wymagane, więc spełnienie innych przesłanek. Słuszność tej opinii potwierdził Naczelny Sąd Administracyjny w swoim wyroku z dnia 21 listopada 2002 r., sprawa o sygn. akt II SA 2247/2001 w którym to NSA uznał, iż przetwarzanie danych osobowych nie jest zawsze uzależnione od zgody osoby, której te dane dotyczą, co wynika z art. 23 ust. pkt 2-5. W innym wyroku z dnia 19 listopada 2001 r., sprawa o sygn. akt II 2748/00 Naczelny Sąd Administracyjny uznał, że zwrot "usprawiedliwione cele" stanowi termin niedookreślony, ale również klauzulę generalną. Skutkuje to przyznaniem nie tylko administratorom danych, ale i organom stosującym prawo pewnego zakresu luzu decyzyjnego. Najważniejszymi elementami klauzuli usprawiedliwionego celu w świetle art. 23 ust. 1 pkt 5 u.o.d.o. jest po pierwsze: "niezbędność" dla wypełnienia celów realizowanych przez administratorów oraz po drugie wymóg, aby te cele były "prawnie usprawiedliwione". Pierwszy element sprowadzić można do wniosku, iż tylko osiągnięcie określonego celu realizowanego przez administratora lub odbiorcę danych może stanowić dostateczną przesłankę dla legalnego przetwarzania danych osobowych. Oznacza to, że na administratorze danych spoczywa obowiązek udowodnienia, iż przetwarzanie danych osobowych, którego dokonuje jest niezbędne dla realizacji tego celu. Zaznaczyć trzeba, iż cytowany przepis przyznaje tożsame uprawnienie także dla odbiorców danych (są nimi najczęściej administratorzy danych, którym inny administrator przekazuje dane osobowe). Z kolei, analizując pojęcie "niezbędności", trzeba mieć na względzie przede wszystkim konieczność działania (konieczność przetwarzania danych osobowych), bez którego zadania nałożone przepisami prawa na określony podmiot nie zostaną zrealizowane dla dobra publicznego. Całkowita niemożność realizacji zadań - w zwykłym trybie - implikuje niezbędność, o której mowa w art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych. Nie można powiedzieć, że przetwarzanie danych osobowych jest niezbędne, jeśli odstąpienie od ich przetwarzania spowodowałoby tylko utrudnienia w realizacji przewidzianych (określonych) prawem zadań albo - z drugiej strony - rzekome ułatwienie w ten sposób wykonywania zadań byłoby próbą wkraczania w zakres uprawnień, tak jak w tym przypadku, podmiotu zatrudniającego. Niezbędność musi być oczywista. Pamiętać również należy, iż zawarta w u.o.d.o. definicja "przetwarzania danych" obejmuje również m.in.: ich udostępnianie. Z kolei drugi element, odnosi się do "prawnego usprawiedliwienia" celu realizowanego przez administratora danych albo odbiorców danych, dla którego to dokonuje się przetwarzania danych. W literaturze przedmiotu często podkreśla się, że "prawnego usprawiedliwienia" nie można utożsamiać z jakimś konkretnym przepisem szczegółowym. Gdyby przyjąć odmienne stanowisko, to nieuchronnie prowadziłoby to do kolizji zakresu dwóch przesłanek legalizujących przetwarzanie danych, tj. klauzuli usprawiedliwionego celu z art. 23 ust. 1 pkt 5 oraz przesłanki zapisanej w pkt 2 niniejszego przepisu, która upoważnia do przetwarzania danych wówczas, gdy "jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa". Wskazuje się, bowiem, iż taką decydującą rolę odgrywać powinien raczej przedmiot działalności danego podmiotu. Przy czym należy podkreślić fakt, iż nie chodzi tu o każde "prawne usprawiedliwienie" wynikające głównie z działalności prowadzonej przez administratorów lub odbiorców danych, ale tylko i wyłącznie takiej, która pozostaje w zgodzie z powszechnie obowiązującymi normami prawa. W innym przypadku, bowiem, klauzula usprawiedliwionego celu nie zostanie spełniona, a przetwarzanie danych uzyska cechy działania niezgodnego z prawem (nielegalnego). Niezależnie od powyższego wskazać należy, że skarżąca spółka nie pozyskiwała od klientów pisemnej zgody na przetwarzanie ich danych biometrycznych, w tym pisemnego oświadczenia o wyrażeniu takiej zgody i nie sposób się zgodzić. Stosownie do cytowanego już wyżej art. 7 pkt 5 ustawy, zgoda nie może być wyrażona przez pewne czynności dorozumiane, zaś uzyskanie zgody w ten sposób nie daje podstawy prawnej do przetwarzania danych. Powyższe stanowisko nie jest odosobnione, bowiem znajduje swoje potwierdzenie w doktrynie, gdzie np. w komentarz do art. 174 (pkt 1) ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. z 2014 r., poz. 243 z późn. zm.), w myśl, którego jeżeli przepisy tej ustawy wymagają wyrażenia zgody przez abonenta lub użytkownika końcowego, zgoda ta nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści, stwierdza się, że "(...) Pierwszym wymogiem dla zgody, wynikającym ze sformułowania zakazu domniemywania zgody bądź jej dorozumienia, jest konieczność jasnego, wyraźnego, nienasuwającego wątpliwości pozytywnego oświadczenia woli przy tak samo wyraźnym jednoznacznym określeniu przedmiotu, którego zgoda dotyczy. Dla wyrażenia zgody w rozumieniu art. 174 nie znajduje zastosowania przepis art. 60 k.c. wskazujący, że oświadczenie woli może być wyrażone przez każde zachowanie ujawniające wolę w sposób dostateczny" (Krzysztof Kawałek, Maciej Rogalski, Prawo telekomunikacyjne Komentarz Warszawa 2010, Wolters Kluwer Polska Sp. z o.o., str. 894) . Takie same stanowisko zawarto w Komentarzu do ustawy o ochronie danych osobowych Janusza Barta, Pawła Fajgielskiego i Ryszard Markiewicz (wydanie 4, Wolters Kluwer Polska Sp. z o.o., 384 i 386 – 387). Tytułem uzupełnienia argumentacji, w ocenie Sądu stwierdzić należy, że w myśl art. 6 ustawy, pojęcie danych osobowych obejmuje wszelkie informacje dotyczące osoby fizycznej, o ile możliwe jest zidentyfikowanie tej osoby. Z kolei za osobę możliwą do zidentyfikowania uważana jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się m.in. na jej cechy fizyczne, do których bez wątpienia zalicza się dane biometryczne np. w postaci linii papilarnych palca (ust. 2). Skoro zaś tak, to należy rozstrzygnąć czy, a jeżeli tak, to, kiedy taka informacja umożliwia określenie tożsamości danej osoby. Niewykluczone jest i co utrzymuje skarżącą spółkę, sama dana biometryczna – oceniając powyższą kwestię tylko hipotetycznie – faktycznie może nie wskazywać na konkretną osobę. Jednakże nie oznacza to, że w ten sposób w ogóle zamyka się drogę do ustalenia tożsamości osoby, z którą ta informacja jest związana. Wszak można to uczynić poprzez dotarcie do odpowiedniej bazy, niekoniecznie będącej w posiadaniu strony skarżącej, w której są zbierane powyższe dane biometryczne i następnie powiązać te dane z odpowiednio osobą. Reasumując, "w zasadzie każda wiadomość o jakimś zdarzeniu, o jakiejś sytuacji z udziałem człowieka może zostać uznana za wiadomość zindywidualizowaną, gdyż, – co najmniej teoretycznie – zawsze istnieje możliwość określenia tożsamości tego człowieka. W tym stanie rzeczy pojawia się dalsze, zasadnicze pytanie, czy danymi osobowymi są tylko takie dane, które od razu, ze względu na swoją treść, pozwalają określić tożsamość osoby (jak się określa: osoby zainteresowanej), czy również takie dane, przy których co prawda takie bezpośrednie odniesienie do osoby nie istnieje, niemniej podanie jej tożsamości jest możliwe. Przychylenie się do drugiej możliwości wywołuje dalsze pytania. Odnoszą się one do stopnia nakładów potrzebnych do ustalenia tożsamości. Innymi słowy, chodzi o to, czy do danych osobowych powinno się zaliczać tylko takie dane (informacje), przy których określenie tożsamości jest proste (względnie nie przysparza znacznych trudności) i dostępne dla przeciętnej osoby. Alternatywą byłoby przyjęcie, że przesłanką danych osobowych jest w ogóle możliwość określenia tożsamości, choćby wymagało to szczególnych nakładów, przygotowania, wiedzy, kompetencji". (Komentarz do ustawy o ochronie danych osobowych, Janusz Barta, Paweł Fajgielski, Ryszard Markiewicz, stan na dzień 1 lipca 2015 r. – LEX). Powyższe ograniczenie jest zawarte w art. 6 ust. 3 u.o.d.o. w myśl, którego, informacji nie uważa się za umożliwiającą określenia tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań. Zawarte w tym przepisie określenie "nadmierności" nie jest zdefiniowane, a przez to jest nieostre. Jednakże – w ocenie Sądu – nie musi to oznaczać np. braku umiarkowania, przesadności, zawyżonych kosztów, nieumiarkowania, zwiększonego nakładu pracy etc., lecz adekwatność w realizacji postawionego zadania i przy takim podejściu ową "nadmierność" należy zawsze oceniać w sposób indywidualny w zależności do zamierzonego celu i wagi tej informacji. Podsumowując, Sąd wskazuje, iż Generalny Inspektor Ochrony Danych Osobowych uznał za zgodne z przepisami, że w rezultacie w analizowanym procesie przetwarzania danych konieczne było zyskanie zgody na przetwarzanie danych biometrycznych klientów skarżącej spółki. Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, że GIODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego Państwa (art. 8 k.p.a.). Zdaniem Sądu, organ uwzględniając powyższą zasadę zobowiązany jest dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony. Organ administracji jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a. Mając powyższe na uwadze, należy uznać, że wydając sporną decyzję administracyjną z dnia [...] września 2017 r., Generalny Inspektor Ochrony Danych Osobowych nie dopuścił się w toku postępowania jakichkolwiek istotnych uchybień formalnych, które uniemożliwiłyby Sądowi dokonanie prawidłowej oceny zarzutów skargi i wypowiedzenie się, co do legalności (zasadności) podjętego rozstrzygnięcia. Sąd uznał, że uzasadnienie zaskarżonej decyzji spełnia wymogi przewidziane przez ustawodawcę w przepisie art. 107 § 3 k.p.a., gdyż w jej treści organ wyraźnie wskazał, dlaczego - pomimo podniesionych przez stronę skarżącą argumentów i przedłożonych materiałów dowodowych - w wyniku przetwarzania danych dotyczących skarżącej nie doszło jednak do naruszenia przepisów o ochronie danych osobowych. W konsekwencji powyższych ustaleń, Sąd uznał, że skoro Generalny Inspektor Ochrony Danych Osobowych stwierdził, że w niniejszej sprawie nie ma podstaw do przywrócenia stanu zgodnego z prawem - zasadnie odmówił uwzględnienia wniosku strony skarżącej. Biorąc powyższe pod uwagę, Wojewódzki Sad Administracyjny w Warszawie orzekł, jak w sentencji wyroku, działając na podstawie przepisu art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi.[pic][pic][pic]