II SA/Wa 1674/11

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA – Stanisław Marek Pietras (spraw.) Sędzia WSA – Jacek Fronczyk Sędzia WSA – Adam Lipiński Protokolant – specjalista Marek Kozłowski po rozpoznaniu na rozprawie w dniu 24 stycznia 2012 r. sprawy ze skargi I. s. c. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2011 r. nr [...] w przedmiocie odmowy rejestracji zbioru danych osobowych – oddala skargę – Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] lutego 2011 r. nr [...], działając na podstawie art. 44 ust. 1 pkt 1 w związku z art. 41 ust. 1 pkt 5, art. 44 ust. 2 pkt 1 w związku z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) w zw. z § 3 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), odmówił skarżącym I. N. oraz W. S., wspólnikom Spółki Cywilnej L., rejestracji zbioru danych osobowych o nazwie "[...]" oraz nakazał wymienionym ograniczenie przetwarzania danych osobowych zgromadzonych w tym zbiorze wyłącznie do ich przechowywania do czasu zarejestrowania tego zbioru po jego ponownym zgłoszeniu. W uzasadnieniu podał, że w złożonym zgłoszeniu skarżący wskazali, iż w przedmiotowym zbiorze przetwarzają dane osobowe swoich klientów w celu prowadzenia i koordynowania doradztwa prawnego oraz udzielania porad prawnych. Jednocześnie z przesłanej przez administratorów kopii umowy spółki cywilnej wynikało, że I. N. oraz W. S. umową z dnia [...] kwietnia 2009 r. zawiązali spółkę cywilną w celu prowadzenia działalności gospodarczej obejmującej m.in. działalność prawniczą. Natomiast nie podali oni w zgłoszeniu do rejestracji informacji o spełnieniu wymogów technicznych i organizacyjnych, o których mowa w art. 36 – 39 ustawy, informacji dotyczących opracowania i wdrożenia polityki bezpieczeństwa, nadania upoważnień osobom dopuszczonym do przetwarzania danych osobowych oraz prowadzenia ewidencji osób upoważnionych do przetwarzania danych osobowych, a konieczność podania tych informacji w zgłoszeniu wynika z art. 41 ust. 1 pkt 5 ustawy. Zatem brak ten obligował organ do wydania decyzji odmownej. We wniosku z dnia [...] lutego 2011 r. o ponowne rozpatrzenie sprawy skarżący wnieśli o cofnięcie decyzji i umorzenie postępowania, natomiast uzasadniając swoje stanowisko podnieśli, że działalność Spółki Cywilnej L. sprowadzająca się do obsługi prawnej, jest "tożsama" z działalnością prowadzoną przez radców prawnych i adwokatów, a w związku z tym, mając na uwadze treść art. 43 ust. 1 pkt 5 ustawy, administratorzy powinni być zwolnieni z obowiązku rejestracji zbioru danych osobowych. Z kolei w piśmie z dnia [...] kwietnia 2011 r. skarżący dodali, że art. 43 ust. 1 pkt 5 ustawy "nie stanowi katalogu zamkniętego, dopuszczając jednocześnie, poprzez sformułowanie "m.in." innych przedstawicieli prawa zobligowanych do zachowania tajemnicy zawodowej czy zasad etyki zawodowej, co wynika z samej natury wykonywania zawodu prawniczego bądź prawnego". Ponadto – ich zdaniem – "z uwagi na fakt, że adwokaci i radcowie prawni mają swoje przepisy szczególne, należy stosować się wprost w przypadku, gdy inne grupy prawników nie mają takich przepisów, celem uniknięcia luki prawnej – takie przypadki są często stosowane na innym gruncie prawa". Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] maja 2011 r. nr [...], mając za podstawę art. 138 § 1 pkt 1 k.p.a., utrzymał w mocy decyzję z dnia [...] lutego 2011 r. nr [...]. W uzasadnieniu – wskazując na dotychczasową argumentację – podał, że art. 43 ustawy wymienia przypadki zwolnienia administratora z obowiązku rejestracji zbioru danych osobowych opierając się na kryterium przedmiotowym (poprzez wskazanie określonych sytuacji przetwarzania danych) lub podmiotowym (poprzez określenie pewnych kategorii administratorów danych). Zgodnie z ust. 1 pkt 5 tegoż przepisu, z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych dotyczących osób korzystających z ich usług medycznych, obsługi notarialnej, adwokackiej, radcy prawnego, rzecznika patentowego, doradcy podatkowego lub biegłego rewidenta. Przepis ten, jako wprowadzający wyjątek od ogólnej zasady rejestracji zbiorów danych osobowych, powinien być interpretowany ściśle, bowiem jednoznacznie wylicza zawody prawnicze, z wykonywaniem których wiąże się zwolnienie administratorów z obowiązku rejestracji zbiorów danych osób, które administratorzy ci obsługują i w tej sytuacji ma charakter enumeratywny. Ponadto zwolnienie przewidziane w art. 43 ust. 1 pkt 5 ustawy oparte zostało o kryterium podmiotowe, a wykonywanie jednego z zawodów prawniczych wskazanych w tym przepisie przez administratora danych stanowi istotę tego zwolnienia. Natomiast w przypadku przetwarzania danych osobowych w zbiorze danych przez administratora, który nie wykonuje żadnego z zawodów wymienionych w tym przepisie, administrator zobowiązany jest do zgłoszenia tego zbioru do rejestracji. W dalszej części wskazano, że zasady wykonywania każdego z zawodów prawniczych wymienionych w art. 43 ust. 1 pkt 5 ustawy uregulowane zostały ustawowo i tej sytuacji nie sposób przyjąć, aby świadczenie usług prawniczych przez wspólników Spółki Cywilnej L. było równoznaczne z obsługą radcy prawnego lub obsługą adwokacką. Z tego mianowicie powodu, że to odpowiednie ustawy określają szczegółowo m.in. wymogi stawiane osobom wykonującym każdy z tych zawodów, zasady uzyskiwania uprawnień do ich wykonywania, nakładają obowiązki w zakresie zachowania tajemnicy zawodowej, a także przewidują odpowiedzialność dyscyplinarną również w przypadku naruszenia zasad etyki zawodowej. Natomiast skarżący nie wykonują zawodu radcy prawnego ani adwokata i zwolnienie z obowiązku rejestracji zbioru danych przewidziane w art. 43 ust. 1 pkt 5 ustawy w rozpatrywanej sprawie nie ma zastosowania. Świadczone bowiem przez administratorów usługi prawnicze nie stanowią obsługi radcy prawnego ani obsługi adwokackiej, a tym samym dane osobowe klientów administratorów zawarte w przedmiotowym zbiorze nie dotyczą osób korzystających z obsługi radcy prawnego ani obsługi adwokackiej. Skoro zatem w rozpoznawanej sprawie nie występuje żaden z przewidzianych w art. 43 ust. 1 ustawy przypadków zwolnienia administratora z obowiązku rejestracji zbioru danych osobowych, to na skarżących, zgodnie z art. 40 ustawy, ciąży obowiązek zgłoszenia do rejestracji zbioru danych osobowych ich klientów. Obligatoryjne elementy zgłoszenia zbioru danych do rejestracji określa art. 41 ust. 1 ustawy. Jeżeli wymogi te nie są spełnione Generalny Inspektor Ochrony Danych Osobowych odmawia, w drodze decyzji administracyjnej, rejestracji zgłoszonego zbioru danych, stosownie do treści art. 44 ust. 1 pkt 1 ustawy. Tymczasem w zgłoszeniu złożonym przez administratorów brak jest informacji o spełnieniu wymogów technicznych i organizacyjnych, o których mowa w art. 36 – 39 ustawy, tj. informacji dotyczących opracowania i wdrożenia polityki bezpieczeństwa, nadania upoważnień osobom dopuszczonym do przetwarzania danych osobowych oraz prowadzenia ewidencji osób upoważnionych do przetwarzania danych osobowych, a okoliczność ta została wprost przyznana przez administratorów we wniosku o ponowne rozpoznanie sprawy. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie, skarżący I. N. i W. S. wspólnicy L. s. c. wnieśli o uchylenie zaskarżonej decyzji, zwolnienie ich od rejestracji w GIODO, a ewentualnie o przekazanie sprawy do ponownego rozpoznania organowi I instancji. W uzasadnieniu natomiast podali, że stanowisko organu jest dla nich krzywdzące i art. 43 ust. 1 pkt 5 ustawy nie stanowi katalogu zamkniętego oraz nie zastrzega, iż dotyczy to tylko wymienionych zawodów prawniczych wymienionych w tym przepisie. Zawodem prawniczym jest również doradztwo prawne, które mieści się w parametrach świadczenia usług zarówno przez radców prawnych, jak i adwokatów. Zatem owa luka prawna nie powinna działać na ich niekorzyść. Ponadto I. N. ustawicznie się kształci, zaś wspólnicy przestrzegają zasad radcowskich i adwokackich i podobnie jak oni, muszą korzystać z kas fiskalnych. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, a wskazując na dotychczasowe ustalenia faktyczne i prawne dodał, że argumenty skarżących są pozbawione znaczenia w rozpoznawanej sprawie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Skarga analizowana pod tym kątem podlega oddaleniu, bowiem zaskarżona decyzja została wydana zgodnie z prawem. Wprawdzie skarżący nie kwestionują w skardze, ani też we wniosku o ponowne rozpatrzenie sprawy poniższych kwestii, jednak wskazać należy, że zgodnie a brzmieniem art. 41 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. z 2002 r. Dz. U. Nr 101, poz. 926 ze zm.), zgłoszenie zbioru danych do rejestracji powinno zawierać opis środków technicznych i organizacyjnych zastosowanych w celach określonych w art. 36 – 39. Tymczasem w rozpoznawanej sprawie bezspornym jest, że skarżący w zgłoszeniu zbioru danych do rejestracji nie podali informacji dotyczących opracowania i wdrożenia polityki bezpieczeństwa, nadania upoważnień osobom dopuszczonym do przetwarzania danych osobowych oraz prowadzenia ewidencji osób upoważnionych do przetwarzania danych osobowych. Wobec powyższego zasadnie organ odmówił im rejestracji danych osobowych o nazwie "[...]". Natomiast odnosząc się do zarzutów zgłoszonych w skardze stwierdzić należy, że w myśl art. 43 ust. 1 pkt 5 ustawy, z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych dotyczących osób korzystających z ich usług medycznych, obsługi notarialnej, adwokackiej, radcy prawnego, rzecznika patentowego, doradcy podatkowego lub biegłego rewidenta. Oznacza to, poza administratorami danych dotyczących osób korzystających z ich usług medycznych, że katalog pozostałych podmiotów jest zamknięty i dotyczy tylko tych korporacji zawodowych, które mają swoje uregulowania ustawowe, a ich działalność zawodowa opiera się na następujących – odpowiednio – aktach prawnych: – ustawa z dnia 14 lutego 1991 r. – Prawo o notariacie (tekst jedn. z 2008 r. Dz. U. Nr 189, poz. 1158 ze zm.), – ustawa z dnia 26 maja 1982 r. – Prawo o adwokaturze (tekst jedn. z 2009 r. Dz. U. Nr 146, poz. 1188 ze zm.), – ustawa z dnia 6 lipca 1982 r. o radcach prawnych (tekst jedn. z 2010 r. Dz. U. Nr 10, poz. 65 ze zm.), – ustawa z dnia 11 kwietnia 2001 r. o rzecznikach patentowych (tekst jedn. z 2011 r. Dz. U. Nr 155, poz. 925), – ustawa z dnia 5 lipca 1996 r. o doradztwie podatkowym (tekst jedn. z 2011 r. Dz. U. Nr 41, poz. 213), – ustawa z dnia 7 maja 2009 r. o biegłych rewidentach i ich samorządzie, podmiotach uprawnionych do badania sprawozdań finansowych oraz o nadzorze publicznym (Dz. U. Nr 77, poz. 649 ze zm.). Tymczasem w rozpoznawanej sprawie skarżący po pierwsze nie wykonują powyższych zawodów, bowiem L. s. c. zajmuje się doradztwem prawnym. Po drugie zaś, ich działalność opiera na podstawie ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej (Dz. U. Nr 173, poz. 1807). Zatem status doradcy prawnego nie jest uregulowany prawnie, tak jak wymienione w cytowanym przepisie zawody prawnicze i w konsekwencji doradców prawnych nie można zaliczyć do wskazanych tam korporacji prawnych, ani też nie posiadają oni ich uprawnień. Reasumując, doradcy prawni zobowiązani są do przestrzegania przepisów wskazanej już wyżej ustawy o swobodzie działalności gospodarczej i mogą prowadzić działalność w każdej prawnie dopuszczalnej formie, lecz nie podlegają rygorom przepisów regulujących działalność opisanych już powyżej korporacji prawniczych. Na marginesie wskazać należy skarżącym, że gdyby racjonalny ustawodawca chciał nadać doradcom prawnym takie same uprawnienia jak wskazanym w tym przepisie przedstawicielom korporacji prawnych, to wymieniłby ich wprost w tym przepisie, bądź – podobnie jak w odniesieniu do "osób korzystających z ich usług medycznych" – użył sformułowania co do osób korzystających z np. "ich obsługi prawnej", tzn. posłużył się określeniem ogólnym. Dodać się również godzi skarżącym, że dyspozycja przepisu art. 43 ust. 1 pkt 5 ustawy nie używa – wbrew ich stanowisku zawartym w piśmie z dnia 12 kwietnia 2011 r. – sformułowania "m.in.", co miałoby świadczyć, iż katalog wymienionych tam zawodów jest otwarty. W tym stanie rzeczy, na mocy art. 151 w zw. z art. 132 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), należało orzec jak w sentencji wyroku.