II SA/Wa 2055/05

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Maria Werpachowska, Sędzia WSA Ewa Kwiecińska (spr.), Asesor WSA, Przemysław Szustakiewicz, Protokolant Łukasz Pilip, po rozpoznaniu na rozprawie w dniu 15 lutego 2006 r. sprawy ze skargi A. G. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2005 r. nr [...] w przedmiocie ochrony danych osobowych - oddala skargę - W dniu 1 czerwca 2005 r. Generalny Inspektor Ochrony Danych Osobowych wydał decyzję nr [...]mocą której odmówił uwzględnienia wniosku A.G. z dnia [...] sierpnia 2004 r., dotyczącego nieuprawnionego przetwarzania jego danych osobowych przez Bank S.A. z siedzibą w W.. W uzasadnieniu decyzji organ wskazał, iż w treści powyższego wniosku skarżący zarzucił Bankowi, że ten, realizując w oparciu o przepisy ustawy z dnia 6 marca 1997 r. o zrekompensowaniu okresowego niepodwyższania płac w sferze budżetowej oraz utraty niektórych wzrostów lub dodatków do emerytur i rent (t.j. Dz. U. z 2000 r. Nr 23, poz. 294 ze zm.) proces wypłaty rekompensat pieniężnych, przesłał do niego (jako osoby uprawnionej do otrzymania powyższej rekompensaty) listy informujące go o fakcie rozpoczęcia wypłat oraz trybie i zasadach realizacji prawa do rekompensaty, a tym samym wykorzystał jego dane osobowe w celu reklamy produktów tegoż Banku, takich jak: rachunek SUPERKONTO, książeczka oszczędnościowa oraz rachunek oprocentowany a’vista. W toku postępowania wyjaśniającego organ ustalił, co następuje: 1) obok ustawy o zrekompensowaniu okresowego niepodwyższania płac w sferze budżetowej oraz utraty niektórych wzrostów lub dodatków do emerytur i rent, zasady i formy realizacji procesu wypłaty wskazanych świadczeń pieniężnych określone zostały postanowieniami rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 22 maja 1997 r. w sprawie spisów osób uprawnionych do nieodpłatnego nabycia świadectw rekompensacyjnych (Dz. U. Nr 51, poz. 328 z późn. zm.), rozporządzenia Rady Ministrów z dnia 9 grudnia 1999 r. w sprawie określenia trybu i harmonogramu wypłat rekompensat według kryterium wieku uprawnionych oraz zadań poszczególnych podmiotów odpowiedzialnych za realizację zobowiązań Skarbu Państwa wobec uprawnionych (Dz. U. Nr 102, poz. 1185 z późn. zm.), a także umowy z dnia [...] grudnia 1999 r., zawartej pomiędzy Bankiem a reprezentowanym przez Ministra Skarbu Państwa – Skarbem Państwa; 2) wypłata rekompensat pieniężnych stanowiła realizację zobowiązań Skarbu Państwa – reprezentowanego przez Ministra Skarbu Państwa – wobec osób uprawnionych; 3) przepisy powołanych w pkt. 1 aktów prawnych zobligowały określone organy do sporządzenia spisów osób uprawnionych do otrzymania rekompensat pieniężnych (regulacje ustawy o zrekompensowaniu okresowego niepodwyższania płac w sferze budżetowej oraz utraty niektórych wzrostów lub dodatków do emerytur i rent), wskazując zarazem, jakie dane osobowe uprawnionych winny zostać zamieszczone w powyższych spisach (przepisy rozporządzenia Ministra Pracy i Polityki Socjalnej w sprawie spisów osób uprawnionych do nieodpłatnego nabycia świadectw rekompensacyjnych); 4) na podstawie upoważnienia wynikającego z brzmienia art. 21 ust. 2 ustawy o zrekompensowaniu okresowego niepodwyższania płac w sferze budżetowej oraz utraty niektórych wzrostów lub dodatków do emerytur i rent, Minister Skarbu Państwa wyłonił w drodze przetargu Bank – jako instytucję realizującą proces wypłaty rekompensat pieniężnych. Następnie, Minister Spraw Wewnętrznych i Administracji przekazał Bankowi spisy osób uprawnionych do otrzymania rekompensat, jak również bazę danych adresowych uprawnionych, wypełniając tym samym obowiązki wynikające z brzmienia art. 21 ust. 3 oraz art. 23 ust. 1 omawianej ustawy. Natomiast kwestie realizacji wypłaty rekompensat przez Bank zostały unormowane rozporządzeniem Rady Ministrów w sprawie określania trybu i harmonogramu wypłat rekompensat według kryterium wieku uprawnionych oraz zadań poszczególnych podmiotów odpowiedzialnych za realizację zobowiązań Skarbu Państwa wobec uprawnionych, a także umową z dnia [...] grudnia 1999 r., zawartą pomiędzy Bankiem a reprezentowanym przez Ministra Skarbu Państwa – Skarbem Państwa; 5) na podstawie ww. (w pkt 4) umowy, Minister Skarbu Państwa zlecił Bankowi, ten zaś zobowiązał się do wykonywania prac i czynności polegających na wypłacaniu rekompensat pieniężnych osobom uprawnionym do ich otrzymania (art. 1 § 1 umowy), w tym także do podjęcia względem uprawnionych szeregu działań o charakterze informacyjnym. W szczególności, Bank został zobowiązany do przesłania każdemu uprawnionemu zawiadomienia, obejmującego informację o przewidywanym terminie i formie odbioru rekompensaty, wraz z pouczeniem o możliwości złożenia dyspozycji co do formy odbioru rekompensaty (art. 5 § 3 ust. 1 i 2 umowy), a następnie tzw. "listu przypominającego", zawierającego m.in. informacje o dostępnych formach odbioru rekompensaty, w tym o możliwości przekazania rekompensaty na posiadany już przez uprawnionego rachunek oszczędnościowo-rozliczeniowy oraz pouczenie o trybie dokonywania dyspozycji co do rekompensaty. Generalny Inspektor Ochrony Danych Osobowych, wobec zasadniczego wymogu przetwarzania danych osobowych w sposób zgodny z prawem, rozpatrzył sprawę w pierwszej kolejności w świetle art. 23 ust. 1 pkt 1-5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), zwanej dalej "u.o.d.o." W ocenie Generalnego Inspektora, działania organów sporządzających spisy osób uprawnionych do otrzymania rekompensat pieniężnych, w zakresie przetwarzania danych osobowych uprawnionych, znajdują oparcie w art. 23 ust. 1 pkt 2 ustawy. Również okoliczność przekazania przez Ministra Spraw Wewnętrznych i Administracji danych osobowych zawartych w spisie uprawnionych do otrzymania rekompensat, wraz z danymi adresowymi tych osób Bankowi, nie budzi wątpliwości zarówno w świetle przepisów aktów prawnych regulujących proces wypłaty rekompensat, jak i ustawy o ochronie danych osobowych. Powyższe działania Ministra Spraw Wewnętrznych i Administracji stanowiły realizację obowiązków wynikających z brzmienia art. 21 ust. 3 oraz art. 23 ust. 1 ustawy o zrekompensowaniu okresowego niepodwyższania płac w sferze budżetowej oraz utraty niektórych wzrostów lub dodatków do emerytur i rent. Generalny Inspektor podkreślił także, iż Bank wiązała z Ministrem Skarbu Państwa umowa szczegółowo regulująca kwestie realizacji wypłaty rekompensat oraz związanego z tym przetwarzania danych osobowych. Jak wynika z brzmienia art. 21 ust. 2 ustawy o zrekompensowaniu okresowego niepodwyższania płac w sferze budżetowej oraz utraty niektórych wzrostów lub dodatków do emerytur i rent, na Ministrze Skarbu Państwa spoczywał obowiązek wyłonienia w drodze przetargu podmiotu prowadzącego działalność bankową lub konsorcjum takich podmiotów lub inną instytucję, w celu realizacji wypłaty rekompensat. Dopełniwszy tego obowiązku, Minister Skarbu Państwa zawarł z Bankiem umowę precyzującą wzajemne prawa i obowiązki jej stron związanie z procesem wypłaty rekompensat. Zarówno z uwagi na formę omawianej umowy (pisemna), jak i jej przedmiot (w szczególności postanowienia odnoszące się do kwestii przetwarzania przez Bank danych osób uprawnionych do otrzymania rekompensat, zawarte w art. 4, zatytułowanym "Baza danych"), nosi ona, w ocenie organu, cechy umowy powierzenia danych osobowych – uregulowanej w art. 31 ust. 1 u.o.d.o. Generalny Inspektor nie znalazł podstaw do zarzucenia Bankowi, iż przetwarza on powierzone mu dane osobowe w zakresie bądź celu wykraczającym poza przewidziany w umowie – tym samym zaś, że naruszył art. 31 ust. 2 ustawy o ochronie danych osobowych, w myśl którego podmiot, któremu administrator danych, na mocy pisemnej umowy powierzył przetwarzanie danych, może je przetwarzać wyłącznie w zakresie i celu przewidzianym w umowie. Rozsyłane przez Bank listy wskazywały wszystkie dostępne, jak podkreśla organ, sposoby realizacji prawa do rekompensaty, zarówno gotówkowe, jak i bezgotówkowe, związane z korzystaniem z usług świadczonych przez [...] S.A., jak również inne banki. Wskazanie przez Bank określonych, oferowanych przez ten podmiot, produktów bankowych (rachunek SUPERKONTO oraz książeczka oszczędnościowa) w kontekście celu, któremu informacja ta miała służyć, nie powinno być oceniane jako działalność stricte marketingowa. Całość przekazywanych informacji miała służyć raczej uprawnieniu realizacji wypłat, a nie reklamowaniu produktów finansowych. Po ponownym rozpatrzeniu sprawy, Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] września 2005 r. nr [...,]utrzymał w mocy zaskarżoną decyzję. Odnosząc się do zarzutu przetwarzania danych osobowych skarżącego przez Bank dla realizacji celów marketingowych (reklama produktów Banku), Generalny Inspektor stwierdził, iż wszelkie informacje zawarte w korespondencji skierowanej przez Bank do osób uprawnionych dają się zakwalifikować jako dotyczące sposobu wypłaty świadczeń. W ocenie organu, wskazanie przez Bank konkretnych jego produktów i usług (rachunek SUPERKONTO oraz książeczka oszczędnościowa) w kontekście celu, któremu informacja ta miała służyć, nie może być oceniane jako informacja wyłącznie handlowa. Informacje te służyły przede wszystkim zachęceniu uprawnionych do odbioru należnych świadczeń oraz usprawnieniu ich wypłat. Treści zawarte w skierowanym do A. G. liście Banku, służyły przekazaniu informacji o możliwych formach odbioru rekompensaty. Skargę na decyzję tę wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie A. G.. W skardze podniesiono, między innymi, iż w pismach kierowanych do osób uprawnionych do otrzymania rekompensat, Bank oprócz poinformowania o możliwości podjęcia rekompensaty, informował także o swoich produktach bankowych, takich jak: SUPERKONTO czy książeczka oszczędnościowa. Bank, zdaniem skarżącego, miał jedynie prawo poinformować go, że może już odebrać przysługującą mu rekompensatę oraz mógł powiadomić skarżącego, że rekompensatę można odebrać w formie gotówki lub w formie dyspozycji przelewu na dowolnie wskazany przez niego rachunek bankowy. Bank zaś podjął czynności dodatkowe – marketingowe, które w żaden sposób nie miały związku z wypłatą rekompensaty, ale z możliwością zadysponowania nią. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie i podtrzymał argumentację zawartą w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 13 § 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), do rozpoznania sprawy właściwy jest wojewódzki sąd administracyjny, na którego obszarze właściwości ma siedzibę organ administracji publicznej, którego działalność została zaskarżona. Art. 1 § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269) statuuje zasadę kontroli przez sąd administracyjny zaskarżonych decyzji pod względem ich zgodności z prawem. Jednocześnie, zgodnie z art. 134 § 1 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, sąd rozstrzygając w granicach danej sprawy, nie jest związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Rozpoznając skargę w świetle powołanych powyżej przepisów, należy stwierdzić, że nie zasługuje ona na uwzględnienie. W myśl art. 23 ust. 1 ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla realizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Każda z wymienionych w art. 23 ustawy okoliczności usprawiedliwiających przetwarzanie danych ma charakter automatyczny i niezależny. Przepisy art. 17 – art. 20 ustawy o zrekompensowaniu okresowego niepodwyższania płac w sferze budżetowej oraz utraty niektórych wzrostów lub dodatków do emerytur i rent oraz wydanego na podstawie tej ustawy rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 22 maja 1997 r. w sprawie spisów osób uprawnionych do nieodpłatnego nabycia świadectw rekompensowanych (Dz. U. Nr 51, poz. 328 ze zm.), regulujące proces sporządzania i scalania spisów osób uprawnionych, obligowały podmioty, o których mowa w art. 17 ust. 1 oraz art. 20 ustawy, do przetwarzania określonych danych osób uprawnionych do otrzymania rekompensat w celach związanych z wypłatą tych świadczeń. Ponadto, na podstawie art. 21 ust. 3 oraz art. 23 ust. 1 ustawy o zrekompensowaniu okresowego niepodwyższania płac w sferze budżetowej oraz utraty niektórych wzrostów i dodatków do emerytur i rent, Minister Spraw Wewnętrznych i Administracji był zobowiązany do przekazania podmiotowi wyłonionemu w drodze przetargu, w tym przypadku [...] S.A., wykazów osób uprawnionych oraz bazy danych adresowych tych osób. W konsekwencji, przetwarzanie danych osobowych uprawnionych do otrzymania rekompensat w opisany sposób znajdowało oparcie w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Jak wynika z akt sprawy, w dniu [...] grudnia 1999 r. zawarta została pomiędzy Skarbem Państwa a [...] S.A. z siedzibą w W. umowa, której przedmiotem było wykonanie prac i czynności polegających na wypłacaniu osobom uprawnionym rekompensat pieniężnych (artykuł 1 § 1 umowy). Strony tej umowy postanowiły, między innymi, iż Bank jest uprawniony i zobowiązany do wykorzystania i przetwarzania danych osobowych uprawnionych wyłącznie w celu wykonania niniejszej umowy (art. 4 § 4 ust. 3). Słusznie zatem Generalny Inspektor uznał, iż zarówno z uwagi na formę omawianej umowy (pisemna), jak i jej przedmiot (w szczególności postanowienia odnoszące się do kwestii przetwarzania przez Bank danych osób uprawnionych do otrzymania rekompensat, zawarte w artykule 4, zatytułowanym "Baza danych"), umowa ta nosi cechy umowy powierzenia przetwarzania danych osobowych – uregulowanej w art. 31 ust. 1 ustawy o ochronie danych osobowych. Stosownie bowiem do brzmienia powołanego przepisu, administrator może powierzyć innemu podmiotowi w drodze umowy zawartej na piśmie, przetwarzanie danych. Kolejną kwestią wymagającą rozważenia jest to, czy podmiot, któremu powierzono w drodze umowy przetwarzanie danych, przetwarzał te dane wyłącznie w zakresie i celu przewidzianym w umowie, a więc, czy zachowane zostały warunki przetwarzania danych określone w przepisie art. 31 ust. 2 u.o.d.o. Wskazać należy, iż podmiot przyjmujący od administratora "zlecenie przetwarzania danych" może to przetwarzanie prowadzić wyłącznie w przewidzianym umową zakresie (chodzi tu głównie o rodzaj danych) oraz w określonym umową celu (chodzi tu głównie o przeznaczenie danych). Zakres i cel mogą być doprecyzowane przez wskazówki i polecenia udzielone przez administratora danych (Janusz Barta, Paweł Fajgielski, Ryszard Markiewicz "Ochrona danych osobowych – Komentarz", Wyd. III, Zakamycze 2004, s. 620, teza 6). W ocenie Sądu, organ prawidłowo ustalił, iż brak jest podstaw do zarzucenia Bankowi, że przetwarzał powierzone mu dane osobowe w zakresie bądź celu wykraczającym poza przewidziany w umowie. W szczególności nie zasługuje na uwzględnienie zarzut, iż Bank przetwarzał powierzone mu dane osobowe w innym celu, niż przewidziany w umowie. Celem wskazanym w umowie, dla którego powierzono Bankowi przetwarzanie danych osobowych osób uprawnionych, było wypłacenie tym osobom rekompensat pieniężnych (art. 4 § 4 pkt 3 w związku z art. 1 § 1 umowy). Na mocy art. 6 § 6 ust. 1 umowy Bank zobowiązał się do przyjmowania od uprawnionych dyspozycji o sposobie wypłaty rekompensaty w formie gotówki, przelewu lub poprzez otwarcie rachunku bankowego oprocentowanego a’vista. Umowa ta obligowała Bank do poinformowania osób uprawnionych do otrzymania rekompensaty o możliwych sposobach realizacji tego prawa (art. 5 § 3 umowy). Bank zobowiązany był do zawiadomienia uprawnionych o uprawnieniu do rekompensaty. Zawiadomienie to powinno zawierać informację o przewidywanym terminie i formie odbioru rekompensaty oraz pouczenie o możliwości złożenia dyspozycji co do formy odbioru rekompensaty (art. 5 § 3 ust. 2 umowy). Ponadto w liście przypominającym Bank zobowiązany był do zamieszczenia, między innymi, informacji o dostępnych formach odbioru rekompensaty, w tym o możliwości przekazania rekompensaty na posiadany już przez uprawnionego rachunek oszczędnościowo-rozliczeniowy (art. 5 § 3 ust. 4 umowy). Zawarte zatem w przesłanym do skarżącego przez Bank piśmie informacje odnoszące się do realizacji należnego świadczenia, w tym informacje o możliwości wpłaty rekompensaty na rachunek własny w oddziale Banku, a także o możliwości, w przypadku braku ww. rachunku własnego, bezpłatnego otworzenia uprawnionemu rachunku SUPERKONTO, na który można przekazać otrzymaną rekompensatę oraz o możliwości dokonania wpłaty rekompensaty na książeczkę oszczędnościową, służyły, w ocenie Sądu, realizacji powyżej wskazanego celu, przewidzianego w umowie z dnia [...] grudnia 1999 r. łączącej Skarb Państwa i Bank. Skoro zatem w toku postępowania Generalny Inspektor Ochrony Danych Osobowych nie stwierdził naruszenia przepisów o ochronie danych osobowych, to zasadnym było odmówienie wnioskodawcy uwzględnienia jego wniosku o przywrócenie stanu zgodnego z prawem. Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w sentencji.