II SA/Wa 1321/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Stanisław Marek Pietras, Sędziowie WSA Maria Werpachowska (spr.), Janusz Walawski, Protokolant specjalista Joanna Głowala, po rozpoznaniu na rozprawie w dniu 18 kwietnia 2018 r. sprawy ze skargi L. W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2017 r. nr [...] w przedmiocie ochrony danych osobowych 1. uchyla zaskarżoną decyzję, 2. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz L. W. kwotę 200 zł (słownie: dwieście złotych) tytułem zwrotu kosztów postępowania. Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga L. W. – dalej jako "skarżący" z 23 czerwca 2015 r. dotycząca udostępnienia przez Naczelnika Urzędu Skarbowego w [...] – dalej jako "Naczelnik", jego danych osobowych na rzecz osób nieuprawnionych. Skarżący wskazał, że skarga dotyczy sposobu adresowania i przesyłania korespondencji przez Urząd Skarbowy w [...], który w okienku adresowym oprócz adresu uwidocznił w całości numer PESEL skarżącego, co w połączeniu z pełnym imieniem i nazwiskiem oraz adresem zamieszkania było działaniem na szkodę skarżącego, które mogło narazić skarżącego na bezprawne działania w przypadku dostania się danych w niepowołane ręce. W toku postępowania administracyjnego przeprowadzonego w niniejszej sprawie Generalny Inspektor Ochrony Danych Osobowych ustalił, że Naczelnik przetwarza dane osobowe skarżącego w zbiorze danych osobowych o nazwie Lokalna Ewidencja Podatników Urzędu Skarbowego w [...]. Prowadził wobec skarżącego postępowanie podatkowe w sprawie podatku od spadków i darowizn zainicjowane postanowieniem Sądu Rejonowego [...] w [...] [...] Zamiejscowy Wydział [...] z siedzibą w [...] z dnia [...] września 2013 r. (sygn. akt [...]), w toku którego kierował do skarżącego listami poleconymi za potwierdzeniem odbioru pisma, w tym kwestionowane w skardze zawiadomienie informujące o miejscu i terminie zwrotu nadpłaty podatku, wysłane w dniu [...] kwietnia 2015 r. Wskazane pisma zostały wytworzone przy pomocy systemów informatycznych używanych przez administrację podatkową. Dokumenty wytworzone w tych systemach posiadają wyraźną linię oddzielającą część adresową od pozostałej części, co umożliwia ich wysyłkę w kopercie z okienkiem, bowiem przy właściwym złożeniu dokumentów wzdłuż linii wydruku, w okienku adresowym nie pojawia się numer PESEL. Na wydruku zawiadomienia skierowanego przez Naczelnika do skarżącego, numer PESEL skarżącego znajduje się powyżej danych adresowych. Jednakże z uwagi na to, iż format kartki, na której wydrukowano zawiadomienie, był mniejszy od użytej koperty, zawiadomienie to przemieszczało się wewnątrz koperty, co powodowało możliwość odczytania numeru PESEL skarżącego w okienku tej koperty. Zdarzenie to miało charakter incydentalny. Na podstawie tak ustalonego stanu faktycznego Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] lutego 2017 r. znak: [...] odmówił uwzględnienia wniosku L. W. W dniu [...] lutego 2017 r. Generalny Inspektor Ochrony Danych Osobowych skierował do Naczelnika wystąpienie, zwracając się o podjęcie czynności mających na celu zapobieżenie ujawniania numerów PESEL podatników, zawartych w kierowanej do nich korespondencji, w sposób sprzeczny z zasadami wynikającymi ustawy o ochronie danych osobowych. Naczelnik - w odpowiedzi na wystąpienie organu, pismem z [...] marca 2017 r. podniósł, iż w celu wyeliminowania ewentualnych nieprawidłowości wszyscy pracownicy Urzędu zostali poinformowani o konieczności zwrócenia szczególnej uwagi na prawidłowe pakowanie korespondencji wysyłanej do stron, pozwalające na ochronę ich danych osobowych zgodnie z zapisami ustawy o ochronie danych osobowych. Nadto Naczelnik zobowiązał kierowników komórek organizacyjnych Urzędu do objęcia szczególnym nadzorem wykonywanej przez pracowników wysyłki korespondencji. Osoby zajmujące się przyjmowaniem z poszczególnych komórek organizacyjnych Urzędu korespondencji do wysyłki zostały zobowiązane do dokonywania dodatkowej weryfikacji kopert z okienkami adresowymi w celu wyeliminowania wszelkich nieprawidłowości w zakresie możliwości ujawnienia numeru PESEL. W przypadkach, gdy formularz drukowany z systemu nie odpowiada formatowi koperty z okienkiem, pracowników zobowiązano do wysyłania korespondencji w zwykłych kopertach z adresem pisanym odręcznie lub drukowanym z drukarek adresowych. Podjęto także decyzję o wysyłaniu dokumentów związanych z postępowaniami podatkowymi (postanowienia, wezwania, decyzje) wyłącznie w kopertach bez okienek, adresowanych odręcznie, ze względu na brak masowego charakteru takich pism oraz rozpoczęto wysyłanie zawiadomień informujących o miejscu i terminie zwrotu nadpłaty podatku dochodowego od osób fizycznych (PIT) i innych drukowanych z POLTAX2B wyłącznie w kopertach na naklejonymi adresami drukowanymi za pomocą drukarek adresowych. Ponadto Naczelnik wskazał, iż od grudnia 2015 r. w związku z wdrożeniem w całej administracji skarbowej centralnych systemów - Systemu Zarzadzania Dokumentacją (SZD) i Scentralizowanego Systemu Poboru (SSP) w zakresie: podatku od spadków i darowizn (SD), podatku od czynności cywilnoprawnych (PCC) oraz karty podatkowej (KP), doszło do zmian organizacyjno-informatycznych m.in. wzmacniających ochronę danych osobowych: wszelkie postępowania w zakresie podatku od spadków i darowizn (SD), podatku od czynności cywilnoprawnych (PCC) oraz karty podatkowej (KP), prowadzone są w Centralnym Systemie Administracji Skarbowej SSP - Scentralizowany System Poboru. Wydruki dokumentów z tego systemu zawierają numery NIP lub PESEL tak umieszczony, iż nie istnieje możliwość odczytania go w okienku adresowym koperty, nawet przy niestarannym złożeniu dokumentu, a nadpłaty podatku SD, PCC i KP, wysyłane są bezpośrednio z Centrum Kompetencyjnego Rozliczeń w [...]. Naczelnik wskazał również na fakt zorganizowania w dniu [...] lutego 2017 r. spotkania, na którym pracownikom ponownie zwrócono uwagę na prawidłowe kopertowanie wysyłanej z Urzędu korespondencji. W dniu [...] marca 2017 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął wniosek skarżącego o ponowne rozpatrzenie sprawy, w którym zaskarżonej decyzji zarzucił błędy w ustaleniu stanu faktycznego oraz naruszenie prawa materialnego. Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] lipca 2017 r. nr [...], na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2016 r., poz. 23 ze zm.) – dalej jako "k.p.a.", art. 12 pkt 2, art. 22 oraz art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922) – dalej jako "u.o.d.o." utrzymał w mocy decyzję z [...] lutego 2017 r. nr [...]. Wskazał za organem I instancji, że poza sporem w przedmiotowej sprawie pozostaje fakt przetwarzania przez Naczelnika danych osobowych skarżącego. Skarżący jest podatnikiem Urzędu Skarbowego w [...]. Ocenie Generalnego Inspektora podlegać będzie udostępnienie numeru PESEL skarżącego nieokreślonej liczbie osób, poprzez przesłanie do niego korespondencji z widocznym w okienku koperty tym numerem oraz kwestia należytego zabezpieczenia danych osobowych skarżącego przed dostępem do nich osób nieupoważnionych. Generalny Inspektor podał, że materiał dowodowy zgromadzony w niniejszej sprawie daje podstawy do przyjęcia, iż opisany przez skarżącego przypadek przetwarzania danych osobowych polegający na narażeniu na udostępnienie ich na rzecz osób nieupoważnionych rzeczywiście zaistniał. Zdaniem Generalnego Inspektora Danych Osobowych udostępnienie numeru PESEL skarżącego nieokreślonej ilości osób poprzez przesłanie korespondencji z widoczną na kopercie tą daną osobową nie znajduje uzasadnienia w żadnej z przesłanek legalizujących przetwarzanie danych osobowych z art. 23 ust. 1 pkt. 1-5 u.o.d.o. Jednakże organ zauważył, iż zakwestionowane przez skarżącego zdarzenie miało charakter incydentalny i aktualnie nie istnieje już stan naruszenia ustawy o ochronie danych osobowych. W związku z tym nie ma obecnie przesłanek do uznania, że w przedmiotowej sprawie w chwili rozstrzygania przez organ ochrony danych osobowych zachodzi konieczność, stosownie do art. 18 ust. 1 ustawy, nakazania przywrócenia stanu zgodnego z prawem. Niemniej jednak GIODO zauważył, iż na Naczelniku jako administratorze danych osobowych z mocy ustawy spoczywają określone obowiązki, mające na celu zapewnienie legalności procesu przetwarzania danych osobowych, stosownie do art. 26 ust. 1 pkt 2 u.o.d.o. W ocenie organu dane osobowe skarżącego nie zostały zabezpieczone w sposób należyty przed ich udostępnieniem na rzecz osób nieupoważnionych, jednak z materiału dowodowego wynika, iż przez Naczelnika zostały podjęte działania w celu wyeliminowania podobnych uchybień w procesie przetwarzania danych osobowych skarżącego w przyszłości, w odpowiednim, adekwatnym zakresie w stosunku do stwierdzonych uchybień. Powyższe było konsekwencją skierowania do Naczelnika wystąpienia, w którym wskazano na konieczność zastosowania dodatkowych procedur mających na celu zabezpieczenie danych osobowych, podatników, zawartych w kierowanej do nich korespondencji, przed ich udostępnieniem na rzecz osób nieupoważnionych. Niezależnie od powyższego organ wskazał, iż istnieje możliwość wytoczenia powództwa cywilnego, jeżeli w przekonaniu skarżącego jego dobra osobiste, w tym np. tajemnica korespondencji, zostały naruszone. GIODO odnosząc się do zarzutów podniesionych przez skarżącego we wniosku o ponowne rozpatrzenie sprawy, w pierwszej kolejności wskazał należy, że przedmiotem niniejszego postępowania nie było udostępnienie przez Naczelnika danych osobowych osoby trzeciej skarżącemu, co zostało podniesione, jako argument za notorycznym naruszaniem przepisów o ochronie danych osobowych przez Naczelnika. Z takim wnioskiem mogłaby wystąpić co najwyżej osoba, której dane zostały udostępnione, przy czym podnieść należy, iż na tym etapie tego postępowania, tj. po rozstrzygnięciu sprawy decyzją administracyjną, rozszerzenie jego zakresu przedmiotowego i podmiotowego jest niedopuszczalne. Respektując zasadę dwuinstancyjności postępowania administracyjnego, na skutek wniosku o ponowne rozpatrzenie sprawy, Generalny Inspektor Ochrony Danych Osobowych zobligowany jest do ponownego rozpatrzenia tej samej (zarówno w aspekcie podmiotowym, jak i przedmiotowym) sprawy, która była przedmiotem jego rozpoznania w ramach postępowania w pierwszej instancji. Generalny Inspektor Ochrony Danych Osobowych dokonał oceny zarzutu sformułowanego przez skarżącego na tle praktyki przestrzegania zasad ochrony danych osobowych przez Naczelnika i stwierdziwszy ich naruszenie wskazał jednocześnie na jego incydentalny i nie intencjonalny charakter. Działania podjęte przez Naczelnika, a także przedstawione zmiany organizacyjne, Generalny Inspektor należy uznał za satysfakcjonujące i w sposób realny zmierzające do zapobieżenia ewentualnego ujawniania numeru PESEL osobnym nieupoważnionym przy wysyłce korespondencji. Organ odpowiadając na żądanie skarżącego dotyczące skierowania zawiadomienia o popełnieniu przestępstwa do organów ścigania wskazał, że strona może domagać się od Generalnego Inspektora w administracyjnych formach postępowania wyłącznie podjęcia działań określonych w ww. art. 18 ust. 1 u.o.d.o. oraz może składać tylko takie wnioski, które mogą być rozpatrzone przez wydanie decyzji administracyjnej. Tymczasem ustawa nie daje temu organowi uprawnień do kończenia prowadzonego postępowania poprzez skierowanie w formie decyzji administracyjnej zawiadomienia do organów ścigania o popełnieniu przestępstwa. L. W. w skardze z 2 sierpnia 2017 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie, zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2017 r. zarzucił naruszenie prawa procesowego poprzez prowadzenie postępowania w sposób przewlekły na szkodę skarżącego. Wskazał na niewłaściwe zastosowanie normy prawnej w stosunku do sytuacji, w której się znalazł, co doprowadziło do wadliwej odmowy uwzględnienia wniosku. W ocenie skarżącego skoro organ stwierdził, że niewątpliwie do naruszenia doszło, to nie powinien wydawać decyzji odmawiającej uwzględnienia wniosku, a uwzględnić wniosek co potwierdzałoby w przyszłości ewentualne prawo skarżącego do dochodzenia roszczeń na drodze cywilne z tytułu naruszenia dóbr osobistych. Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej uwzględnienie z przyczyn innych niż wskazane w treści skargi. W ocenie organu istnieje podejrzenie, że zaskarżona decyzja dotknięta jest wadą nieważności, o której mowa w art. 156 § 1 pkt k.p.a., została bowiem wydana z rażącym naruszeniem prawa. Podał, że administratorem danych osobowych, których dotychczas był Naczelnik Urzędu Skarbowego w [...], na podstawie stał się, art. 232 ustawy z dnia 16 listopada 2016 r. Przepisy wprowadzające ustawę o Krajowej Administracji Skarbowej (Dz. U. z 2016 r. poz. 1948 ze zm.), Dyrektor Izby Administracji Skarbowej w [...]. W związku z powyższym organ postanowił sporządzić uwierzytelnione kopie akt sprawy o sygn. [...] w celu ich włączenia do odrębnego postępowania prowadzonego pod sygn. [...], tj. postępowania wszczętego z urzędu w sprawie stwierdzenia nieważności decyzji GIODO z [...] lipca 2017 r. nr [...]. Wskazane postępowanie zostanie zawieszone do czasu rozstrzygnięcia niniejszej sprawy w postępowaniu sądowoadministracyjnym. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2016 r., poz.1066), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonego aktu administracyjnego i to z przepisami obowiązującymi w dacie jego wydania. Uchylenie objętej skargą decyzji (postanowienia) następuje w razie stwierdzenia uchybień z art. 145 § 1 pkt 1 ustawy z dnia 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (tj. Dz. U. z 2017 r. poz. 1369 ze zm.), dalej "P.p.s.a." tj: naruszenia prawa materialnego mającego wpływ na wynik sprawy (lit. a), naruszenia prawa dającego podstawę do wznowienia postępowania (lit. b), innego naruszenia przepisów postępowania, jeśli mogło mieć ono istotny wpływ na wynik sprawy (lit. c). Rozstrzygając sprawę sąd nie jest związany zarzutami oraz wnioskami skargi, jak również powołaną w niej podstawą prawną, co oznacza że jest uprawniony do oceny sprawy w jej całokształcie. Wskazuje na to regulacja art. 134 P.p.s.a. Dokonując takiej oceny w niniejszej sprawie Sąd stwierdził, że Generalny Inspektor Ochrony Danych osobowych rozpoznając wniosek skarżącego o ponowne rozpatrzenie sprawy dopuścił się naruszenia prawa dającego podstawę do wznowienia postępowania, co w świetle art. 145 § 1 pkt 1 lit. b P.p.s.a. obliguje do wyeliminowania takiego aktu z obrotu prawnego. Sąd stwierdza, że podstawowym obowiązkiem organu prowadzącego postępowanie jest prawidłowe ustalenie kręgu stron postępowania, a następnie zapewnienie im czynnego w nim udziału. Powyższe wynika z art. 10 § 1 k.p.a., który stanowi, iż organy administracji publicznej obowiązane są zapewnić stronom czynny udział w każdym stadium postępowania, a przed wydaniem decyzji umożliwić im wypowiedzenie się co do zebranych dowodów i materiałów oraz zgłoszonych żądań. Zadaniem organu jest zatem ustalenie, w oparciu o stosowne przepisy prawa materialnego, jakim podmiotom przysługuje przymiot stron danego postępowania, następnie zawiadamianie ich o wszelkich dokonywanych w tym postępowaniu czynnościach, w tym m. in. o zamiarze przeprowadzenia poszczególnych dowodów (art. 79 § 1 k.pa.). Określona okoliczność faktyczna może być bowiem - według art. 81 k.p.a. - uznana za udowodnioną, jeżeli strona miała możność wypowiedzenia się co do przeprowadzonych dowodów. Jak trafnie zauważa organ, lecz dopiero w odpowiedzi na skargę, na podstawie art. 232 ustawy z dnia 16 listopada 2016 r. Przepisy wprowadzające ustawę o Krajowej Administracji Skarbowej (Dz. U. z 2016 r. poz. 1948 ze zm.) dyrektor izby administracji skarbowej staje się administratorem danych osobowych, których administratorem był dyrektor izby skarbowej, naczelnik urzędu skarbowego, dyrektor izby celnej, naczelnik urzędu celnego lub dyrektor urzędu kontroli skarbowej. Niniejszy przepis wszedł w życie z dniem 1 marca 2017 r. na mocy art. 260 wskazanej wyżej ustawy. Oznacza to, że w postępowaniu odwoławczym toczącym się przed Generalnym Inspektorem Danych Osobowych z wniosku skarżącego o ponowne rozpatrzenie sprawy uczestnikiem tego postępowania powinien być Dyrektor Izby Administracji Skarbowej w [...] jako administrator danych osobowych skarżącego a nie Naczelnik Urzędu Skarbowego w [...], który przymiot ten utracił. Jak wynika z akt sprawy Dyrektor Izby Administracji Skarbowej w [...] bez własnej winy nie brał udziału w postępowaniu odwoławczym i nie została mu doręczona zaskarżona decyzja. Tym samym organ nie dopełnił obowiązku prawidłowego ustalenia stron postępowania. Naruszenie tego obowiązku stanowi wadę procesową, o której mowa w art. 145 § 1 pkt 4 k.p.a, a która jest podstawą do wznowienia postępowania administracyjnego, co w konsekwencji stanowi podstawę uchylenia zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2017 r. w oparciu o art. 145 § 1 pkt 1 lit. b P.p.s.a. Zgodnie z poglądem Sądu Najwyższego (por. wyrok z dnia 4 grudnia 2002 r., III RN 200/01, OSNPUS 2003, nr 24, poz.582) dla obligatoryjnego uchylenia zaskarżonej decyzji nie ma znaczenia, że zgodnie z art. 147 k.p.a. wznowienie postępowania z przyczyny określonej w art.. 145 § 1 pkt 4 k.p.a. następuje tylko na żądanie strony. Ponownie rozpoznając wniosek o ponowne rozpoznanie sprawy organ zapewni czynny udział stron postępowania w prowadzonym postępowaniu w tym Dyrektora Izby Administracji Skarbowej w [...]. Z uwagi na charakter niniejszego orzeczenia - uchylenie zaskarżonej decyzji - Sąd odstąpił od merytorycznej oceny zawartych w skardze zarzutów, bowiem jest to na obecnym etapie postępowania przedwczesne. Mając na uwadze powyższe Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 b P.p.s.a., orzekł jak w pkt 1 wyroku. Orzeczenie o kosztach wydano w oparciu o art. 200 P.p.s.a. – 200 zł tytułem wpisu od skargi.