II SA/Wa 1988/13

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk (spr.) Sędziowie WSA Ewa Marcinkowska Andrzej Kołodziej Protokolant starszy sekretarz sądowy Dorota Kwiatkowska po rozpoznaniu na rozprawie w dniu 13 marca 2014 r. sprawy ze skargi R. S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2013 r. nr [...] w przedmiocie ochrony danych osobowych - oddala skargę - Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] sierpnia 2013 r. nr [...], wydaną na podstawie art. 138 § 1 pkt 1 k.p.a. oraz art. 12 pkt 2 w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), utrzymał w mocy własną decyzję z dnia [...] lutego 2013 r. nr [...] o odmowie uwzględnienia skargi R. S.. W uzasadnieniu powyższej decyzji Generalny Inspektor Ochrony Danych Osobowych wskazał, iż do jego biura wpłynęła skarga R. S. na udostępnienie przez Straż Miejską w L. jego danych osobowych na rzecz E. H.. Organ Ochrony Danych Osobowych w postępowaniu wyjaśniającym ustalił, iż E. H. pismem z dnia [...] kwietnia 2011 r. zwróciła się do Straży Miejskiej w L. o udostępnienie informacji w sprawie wskazanej w załączniku nr 1 do tego pisma, wskazując iż informacja ta jest niezbędna w celu przedstawienia w prokuraturze. Załącznik do tego pisma stanowiło podanie z dnia [...] kwietnia 2011 r., w którym wymieniona prosiła o "udzielenie informacji w sprawie zdarzeń [...], [...], [...], [...], które dotyczyły źle zaparkowanego samochodu na posesji L. ul. [...]". W treści podania zostały zamieszczone informacje o imieniu, nazwisku i adresie skarżącego. Wnioskodawczyni podnosząc, iż skarżący "chciał wjechać dużym samochodem na moją posesję bez mojej zgody, a wcześniej kierował groźby karalne w moją stronę, istnieje prawdopodobieństwo i obawa ich realnego spełnienia", wskazała, iż chciałaby "uzyskać informacje po co chce ten pan S. wjechać dużym samochodem na moje podwórko pod moją nieobecność i dlaczego tak bardzo złośliwie i bezkarnie mnie nęka". Straż Miejska w skierowanym do wnioskodawczyni w odpowiedzi na ww. podanie piśmie z dnia [...] kwietnia 2011 r. wskazała m.in., iż: "w dniu [...] kwietnia 2011 r. o godzinie [...] Dyżurny Straży Miejskiej w L. przyjął interwencję [...] od osoby prywatnej – R. S. zamieszkałego w L. przy ul. [...], dotyczącą niszczenia zieleni przez parkowanie na trawniku pojazdu [...] (...)". Z wyjaśnień złożonych przez Straż Miejską wynikało, iż jej zdaniem udostępnienie danych osobowych skarżącego było uzasadnione sytuacją realnego zagrożenia życia i zdrowia E. H. i potrzebami postępowania przygotowawczego dotyczącego zawiadomienia o popełnieniu przestępstwa z art. 190 ustawy z dnia 6 czerwca 1997 r. Kodeks karny. W tym stanie faktycznym Generalny Inspektor Ochrony Danych Osobowych wydał w dniu [...] lutego 2013 r. decyzję administracyjną, mocą której odmówił uwzględnienia wniosku skarżącego. R. S. wniósł o ponowne rozpatrzenie sprawy podnosząc, iż zaskarżona decyzja jest niezgodna z obowiązującym prawem, gdyż Straż Miejska nie jest upoważniona do przekazania jego danych osobowych jakiejkolwiek osobie prywatnej. W wyniku rozpoznania wniesionego środka zaskarżenia Generalny Inspektor Ochrony Danych Osobowych rozstrzygnięciem z dnia [...] sierpnia 2013 r. utrzymał zaskarżoną decyzję w mocy. W motywach rozstrzygnięcia organ przywołał treść art. 23 ust. 1 ustawy o ochronie danych osobowych, określającego przesłanki dopuszczalności przetwarzania danych osobowych i stwierdził, że udostępnienie przez Straż Miejską w L. na rzecz E. H. informacji identyfikujących skarżącego jako osobę, która dokonała zgłoszenia interwencji nr [...] nie znajduje oparcia w żadnej z powyższych przesłanek. Mając na uwadze, iż z wyjaśnień Straży wynika, że jej zdaniem udostępnienie informacji dotyczących skarżącego było uzasadnione sytuacją realnego zagrożenia życia i zdrowia wnioskodawczyni, jak i potrzebami postępowania przygotowawczego, organ wskazał, iż przestępstwo, o którym mowa w art. 190 § 1 k.k., jest - stosownie do treści art. 190 § 2 - ścigane na wniosek pokrzywdzonego, nie oznacza, że do kompetencji pokrzywdzonego należy prowadzenie postępowania mającego na celu ustalenie okoliczności faktycznych zaistniałych w sprawie, a co za tym idzie, że jest on osobą uprawnioną do udostępnienia mu informacji mogących służyć do realizacji ww. celu. W przypadku przestępstwa ściganego na wniosek pokrzywdzonego prowadzenie postępowania przygotowawczego należy do właściwych organów, które zostały wyposażone przez przepisy ustawy z dnia 6 czerwca 1997 r. Kodeks postępowania karnego (Dz. U. z 1997 r. Nr 89, poz. 555 ze zm.), w środki prawne pozwalające im na zbieranie informacji na potrzeby takiego postępowania. W szczególności, zgodnie z art. 15 § 2 k.p.k. wszystkie instytucje państwowe i samorządowe są obowiązane w zakresie swego działania do udzielania pomocy organom prowadzącym postępowanie karne w terminie wyznaczonym przez te organy. Zatem, zdaniem Generalnego Inspektora, Straż Miejska mogłaby udostępnić informacje identyfikujące skarżącego, jako osobę która dokonała zgłoszenia interwencji nr [...], lecz wówczas, gdyby ze stosownym żądaniem zwrócił się organ prowadzący postępowanie przygotowawcze. Nadto Straż Miejska w L. udostępniła informacje identyfikujące skarżącego, jako osobę, która dokonała zgłoszenia interwencji nr [...], podczas gdy wnioskodawczyni w treści swojego podania nie zwracała się do Straży Miejskiej o informację w tym zakresie. Mając powyższe na względzie Generalny Inspektor stwierdził, iż udostępnienie danych osobowych skarżącego naruszyło przepisy o ochronie danych osobowych, to jednak ma ono charakter nieodwracalny. W związku z czym organ Ochrony Danych Osobowych nie mógł w tym postępowaniu administracyjnym rozstrzygnąć sprawy w sposób wskazany w art. 18 ust. 1 ustawy, zgodnie z którym w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem. Generalny Inspektor podkreślił, iż korzystając z uprawnienia określonego w art. 19a ust. 1 ustawy, w odrębnym wystąpieniu zwrócił się do Komendanta Straży Miejskiej w L. o dołożenie w przyszłości wyższego poziomu staranności przy weryfikacji wniosków o udostępnienie informacji z akt prowadzonych postępowań. Wymieniony Komendant w piśmie z dnia [...] marca 2013 r. poinformował Generalnego Inspektora o działaniach podjętych w celu podwyższenia poziomu ochrony danych osobowych w Straży Miejskiej. Wskazał, że "na odprawie kadry kierowniczej zwróciłem uwagę i przypomniałem o przestrzeganiu obowiązujących przepisów prawa odnośnie ochrony danych osobowych". Poinformował również, że "w dniu [...] grudnia 2012 roku Zarządzeniem nr [...] wprowadziłem politykę bezpieczeństwa informacji oraz instrukcji zarządzania systemem informatycznym. Ponadto nadmieniam, iż pracownikowi, który udostępnił informację identyfikującą osobę zgłaszającą sprawę, będącą przedmiotem interwencji straży, zwróciłem uwagę na piśmie, odnośnie konieczności zachowania w przyszłości wyższego poziomu staranności, przy weryfikacji wniosków o udostępnienie informacji z akt prowadzonych postępowań". Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2013 r. stała się przedmiotem skargi wniesionej przez R. S. do Wojewódzkiego Sądu Administracyjnego w Warszawie. W skardze podniesiono, iż w okolicznościach niniejszej sprawy Staż Miejska w L. nie była uprawniona do podawania danych osobowych skarżącego E. H.. Wymieniona osoba, czując zagrożenie ze strony skarżącego, powinna zgłosić ten fakt odpowiednim organom i na żądanie takowej instytucji Straż Miejska mogłaby jedynie przekazać żądane dane osobowe. W tym zaś przypadku strażnik zaocznie uznał winę skarżącego, wyręczając tym samym organy ścigania, czym złamał prawo. W dalszej części skargi wskazano na przebieg zdarzeń i czynności podejmowanych przez strażników Straży Miejskiej w L. w związku ze zgłoszeniami potrzeb interwencji na posesji przy ul. [...] w L.. Charakter opisanych działań Straży Miejskiej w L., w ocenie skarżącego, świadczy o niekompetencji i nieuczciwości strażników miejskich. Z tego też powodu skarżący nie może zaakceptować stanowiska organu Ochrony Danych Osobowych, że "w tej sprawie nic nie można zrobić ze względu na nieodwracalny charakter". W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie oraz podtrzymał argumentację przedstawioną w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z treścią art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Rozpatrywana pod tym względem skarga nie zasługuje na uwzględnienie. Sąd w niniejszej sprawie podziela stanowisko organu, iż udostępnienie danych osobowych przez Straż Miejską w L. na rzecz E. H. nastąpiło z naruszeniem przepisów dotyczących ochrony danych osobowych. Przesłanki dopuszczalności przetwarzania danych osobowych zostały określone w art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926). Przetwarzanie danych osobowych jest więc dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę; 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa; 3) jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą; 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego; 5) jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Wskazane przesłanki mają charakter autonomiczny i niezależny. Wystarczy zatem wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Niepowielając argumentacji przedstawionej w uzasadnieniu zaskarżonej decyzji należy stwierdzić, iż w analizowanym przypadku żadna z powyższej przedstawionych przesłanek nie legitymizowała Straży Miejskiej w L. do udostępnienia danych osobowych skarżącego na pytanie osoby fizycznej o przebieg zdarzeń, które dotyczyły źle zaparkowanych samochodów na posesji przy ul. [...] w L.. W tej sytuacji organ obowiązany był do rozważenia konieczności zastosowania sankcji określonych w art. 18 ust. 1 ustawy o ochronie danych osobowych. W literaturze przedmiotu podkreśla się, że decyzja Generalnego Inspektora wydawana na podstawie powyższego przepisu ma służyć przywróceniu stanu zgodnego z prawem. Ustawodawca nie wprowadza żadnych dodatkowych wskazówek w zakresie wyboru konkretnego nakazu, pozostawiając to organowi wydającemu decyzję. Biorąc pod uwagę systematykę przepisu, przyjąć należy, że mamy do czynienia ze stopniowaniem sankcji administracyjnych (w zależności od rodzaju uchybienia), a Generalny Inspektor powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatnie (współmiernie) do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą. Pośrednio wynika to również z samego celu nakazu, którym jest przywrócenie stanu zgodnego z prawem ochrony danych osobowych, bez niepotrzebnego nakładania zbędnych obowiązków na administratora danych (por. G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Dom Wydawniczy ABC, Warszawa 2003, str. 153). Przesłanką wydania nakazu jest stwierdzenie naruszenia przepisów o ochronie danych osobowych, tj. z zebranego w postępowaniu materiału dowodowego musi wynikać, że swoim działaniem lub zaniechaniem administrator naruszył przepisy prawa. Co ważne, stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji. Przewidziana zaś w art. 18 pkt 1 ust. 1 ustawy o ochronie danych osobowych sankcja w postaci usunięcia uchybień obejmuje czynności przywracające stan zgodny z prawem, inne niż wymienione w pozostałych punktach tego przepisu. Przenosząc powyższe rozważania natury ogólnej na grunt rozpoznawanej sprawy, uznać należy, że organ, wydając decyzję merytoryczną odmawiającą uwzględnienia wniosku skarżącego działał prawidłowo. Organ zasadnie przyjął, że jakkolwiek stan naruszenia przepisów ustawy miał miejsce w chwili udostępnienia danych skarżącego, to w momencie wydawania decyzji już nie zachodził i w konsekwencji brak było podstaw do sformułowania nakazu, o którym mowa w art. 18 ust. 1 ustawy o ochronie danych osobowych. Dane osobowe skarżącego, choć z naruszeniem przepisów ustawy o ochronie danych osobowych, zostały przez Straż Miejską udostępnione osobie trzeciej jednorazowo. Skutek tego działania ma jednak charakter nieodwracalny. W takiej sytuacji organ może działać jedynie prewencyjnie, co też uczynił kierując do Komendanta Straży Miejskiej wystąpienie z art. 19a ust. 1 ustawy o ochronie danych osobowych, mające na celu zapobieżenie podobnym naruszeniom prawa w przyszłości. Jako nieuprawniony trzeba potraktować sformułowany w skardze zarzut, iż Generalny Inspektor Ochrony Danych Osobowych nie wykorzystał przysługujących mu kompetencji w celu zobligowania Straży Miejskiej w L. do przestrzegania przepisów ustawy o ochronie danych osobowych. W świetle art. 19 ustawy o ochronie danych osobowych, w razie stwierdzenia, że działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem danych wyczerpuje znamiona przestępstwa określonego w ustawie, Generalny Inspektor kieruje do organu powołanego do ścigania przestępstw zawiadomienie o popełnieniu przestępstwa, dołączając dowody dokumentujące podejrzenie. W kontekście art. 19 w zw. z art. 51 tej ustawy należy stwierdzić, iż w orzecznictwie utrwalony jest pogląd, że kierowanie zawiadomień o popełnieniu przestępstwa do organów ścigania należy do autonomicznych, samodzielnych kompetencji Generalnego Inspektora Ochrony Danych Osobowych, realizowanych przez niego z urzędu, a nie na wniosek osób zainteresowanych. Wskazuje na to sam przepis art. 19 ustawy, w którym mówi się "w razie stwierdzenia" i nie ma zapisów, które stanowiłyby o wystosowaniu takich zawiadomień na wniosek strony postępowania. Odnosząc się do dyspozycji powyższego przepisu NSA, w wyroku z 19 listopada 2001 r., II SA 2702/00 (LEX nr 78796), stwierdził, że obowiązek wynikający z tego przepisu nie mieści się w sferze decyzyjnych, merytorycznych rozstrzygnięć Generalnego Inspektora Ochrony Danych Osobowych, dotyczących nakazania przywrócenia stanu zgodnego z prawem. Osoba dochodząca ochrony swych praw w trybie ustawy o ochronie danych osobowych nie jest przy tym podmiotem postępowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych i nie może się tego domagać od Generalnego Inspektora Ochrony Danych Osobowych w administracyjnych formach tego postępowania. Przepis art. 19 ustawy nie daje bowiem stronie roszczenia w tym względzie. Wykonanie obowiązku, o którym mowa w tym przepisie, obciąża wyłącznie Generalnego Inspektora Ochrony Danych Osobowych. Przedmiotowe zawiadomienie nie nosi jednak cech dyspozycji administracyjnej, o jakiej mowa w art. 104 i nast. k.p.a. Mając powyższe stanowisko na uwadze, Sąd uznał, wbrew twierdzeniom skargi, że na organie, w ramach przedmiotowego postępowania, nie ciążył obowiązek kierowania do organu powołanego do ścigania przestępstw zawiadomienia o popełnieniu przestępstwa. Oznacza to, że skarżący nie może skutecznie zarzucić organowi, że obowiązku tego nie zrealizował. Mając powyższe ustalenia na uwadze, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2012 r., poz. 270 ze zm.), Sąd orzekł jak w sentencji.