II SA/Wa 2091/16

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędziowie WSA Iwona Dąbrowska (spr.), Andrzej Góraj, Protokolant sekretarz sądowy Agnieszka Wiechowicz, po rozpoznaniu na rozprawie w dniu 23 czerwca 2017 r. sprawy ze skargi L.C. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2016 r. nr [...] w przedmiocie przetwarzanie danych osobowych oddala skargę. Zaskarżoną decyzją z dnia [...] listopada 2016 r. znak: [...] Generalny Inspektor Ochrony Danych Osobowych utrzymał w mocy własną decyzję z dnia [...] maja 2016 r. znak: [...], którą, na podstawie art. 104 § 1 Kpa oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 ustawy o ochronie danych osobowych (Dz.U. z 2015 r. poz. 2135, z późn. zm.), odmówił uwzględnienia wniosku L. C., w sprawie odmowy udostępnienia przez [...] S.A. Oddział w Polsce (zwanej dalej spółką), danych osobowych w zakresie imienia i nazwiska oraz adresu zamieszkania posiadacza pojazdu [...]. Do wydania ww. decyzji doszło w następującym stanie faktycznym i prawnym. L. C. wniósł do organu drogą elektroniczną (e-Puap) skargę na odmowę udostępnienia przez spółkę danych osobowych w zakresie imienia i nazwiska oraz adresu zamieszkania posiadacza pojazdu [...] o wskazanym we wniosku numerze. Domagał się on nakazania udostępnienia ww. danych osobowych z uwagi na wpisanie tego pojazdu do rejestru zastawów pod pozycją [...], na mocy umowy zastawu rejestrowego, zawartej pomiędzy nim, a ówczesnym posiadaczem pojazdu, celem wytoczenia pozwu o zapłatę przeciwko dłużnikowi rzeczowemu. L. C. wskazał, że ówczesny posiadacz pojazdu sprzedał ww. pojazd wbrew zawartemu w umowie zastawu rejestrowego zakazowi i jednocześnie nie przekazał mu personaliów nabywcy. L. C. wyjaśnił też, że nabywca nie przerejestrował samochodu, ale wykupił polisę OC nr [...], która to informacja pochodzi z powszechnie dostępnej bazy danych Ubezpieczeniowego Funduszu Gwarancyjnego. Ww. umowa zastawnicza została zawarta w dniu [...] czerwca 2014 r. pomiędzy L. C. (zastawnik), a ówczesnym właścicielem samochodu. W dniu [...] czerwca 2014 r. postanowieniem Sądu Rejonowego dla [...] w [...] ww. umowa została wpisana do rejestru zastawów pod pozycją [...]. Pismem z dnia [...] kwietnia 2015 r. L. C. zwrócił się do Ubezpieczeniowego Funduszu Gwarancyjnego z zapytaniem, czy pojazd o podanym numerach rejestracyjnym i VIN posiada ubezpieczenie OC w ruchu krajowym. W odpowiedzi została mu wskazana informacja o zawartej polisie nr [...] ze spółką, stąd też w dniu [...] kwietnia 2015 r. L. C. wystosował wniosek do spółki o udostępnienie mu danych osobowych w zakresie imienia, nazwiska oraz adresu posiadacza pojazdu [...], który posiada polisę OC nr [...] zakupioną w spółce. W odpowiedzi na ww. wniosek spółka pismem z dnia [...] maja 2015 r. odmówiła udostępnienia L. C. ww. danych, informując jednocześnie, że wszelkie dane dotyczące przedmiotowej sprawy zostaną niezwłocznie udostępnione w przypadku otrzymania wniosku od prokuratury. Natomiast w przesłanych do organu wyjaśnieniach spółka wskazała, że przetwarza dane osobowe, o które wnioskował L. C., w zakresie imienia, nazwiska, adresu zamieszkania i danych pojazdu oraz w zakresie czynności związanych z realizacją umowy ubezpieczenia komunikacyjnego OC. Podmiot, o którego dane wystąpił L. C., jest ubezpieczonym w zrozumieniu ustawy z dnia 22 maja 2003 r. o działalności ubezpieczeniowej (obecnie akt prawny uchylony - przypis GIODO), co oznacza, że wszelkie dane jego dotyczące stanowią tajemnicę ubezpieczeniową i podlegają ochronie. Spółka uzasadniła odmowę udostępnienia L. C. danych osobowych posiadacza pojazdu ze względu na niezidentyfikowanie podstawy prawnej takiego udostępnienia. Wskazano również, że skarżący nie jest stroną umowy ubezpieczenia, a procedury spółki nie przewidują analizowania rejestru zastawów oraz umów zastawniczych i wnioskowania na ich podstawie o prawach i obowiązkach stron tych umów, jak również nie przewidują analizowania wpływu tego typu dokumentów na czynności związane z zawarciem i realizacją umów ubezpieczenia. Wobec powyższego Generalny Inspektor, przytaczając treść art. 7 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2015 r., poz. 2135, z późn. zm.), stwierdził, że postępowanie administracyjne prowadzone przez ten organ służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy. Jak wynika z brzmienia powołanego przepisu, w przypadku naruszenia przepisów ustawy Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie uchybień (pkt 1), uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych (pkt 2), zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe (pkt 3), wstrzymanie przekazywania danych osobowych do państwa trzeciego (pkt 4), zabezpieczenie danych lub przekazanie ich innym podmiotom (pkt 5), usunięcie danych osobowych (pkt 6). Ustawa określa obowiązki administratora danych osobowych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w ustawie. Nadrzędnym obowiązkiem administratora danych osobowych, zgodnie z art. 26 ust. 1 pkt 1 ustawy, jest dołożenie szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. Ta generalna zasada znajduje swoje rozwinięcie w przepisach ustawy określających m.in. wymogi, jakie powinien spełniać administrator danych w celu zapewnienia bezpieczeństwa danych w procesie ich przetwarzania. Przepisem uprawniającym administratorów danych do przetwarzania danych osób fizycznych, w tym ich udostępniania, jest art. 23 ust. 1 ustawy, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek taksatywnie wskazanych w tym przepisie, a więc katalog przesłanek jest katalogiem zamkniętym. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny, co oznacza, że przesłanki te, co do zasady, są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Organ wyjaśnił, że przedmiotem działalności spółki, zgodnie z zapisem w Krajowym Rejestrze Sądowym, są m.in. ubezpieczenia osobowe oraz ubezpieczenia majątkowa, a także wszelkie operacje ubezpieczeniowe i reasekuracyjne wszelkiego rodzaju, zwłaszcza odnośnie wszelkich szkód lub strat, którymi mogą być dotknięte osoby i rzeczy w następstwie dowolnych zdarzeń i od wszelkiej odpowiedzialności z nich wynikającej. Organ uznał więc, że w sprawie kluczowe znaczenie mają przepisy ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (Dz. U. poz. 1844), która zastąpiła ustawę z dnia 22 maja 2013 r. o działalności ubezpieczeniowej (Dz. U. Z 2015 r., poz. 1206 z późn. zm.). Analizując przepisy umożliwiające spółce, jako zakładowi ubezpieczeń, udostępnienie wnioskowanych danych, a także kierując się treścią art. 35 ust. 1 ww. ustawy, organ uznał, że zakład ubezpieczeń i osoby w nim zatrudnione, a także osoby i podmioty, za pomocą których zakład ubezpieczeń wykonuje czynności ubezpieczeniowe, są obowiązane do zachowania tajemnicy dotyczącej poszczególnych umów ubezpieczenia. Od zachowania ww. tajemnicy ustawodawca przewidział wyjątki, które zostały określone w ust. 2 ww. artykułu. Zatem zgodnie z wolą ustawodawcy zakłady ubezpieczeń są zobowiązane do zachowania w tajemnicy informacji dotyczących umów ubezpieczeniowych, chyba że z wnioskiem o udostępnienie stosownych danych występuje podmiot określony w art. 35 ust. 2 ww. ustawy. Organ ustalił, że skarżący nie jest natomiast żadnym ze wskazanych enumeratywnie podmiotów uprawnionych do uzyskania danych osobowych posiadacza pojazdu od ubezpieczyciela, będących jednocześnie tajemnicą ubezpieczeniową spółki. Organ stwierdził dodatkowo, że art. 19 ust. 2 pkt 25 powołanej przez skarżącego ustawy o działalności ubezpieczeniowej stanowi odzwierciedlenie w art. 35 ust. 2 pkt 27 ustawy o działalności ubezpieczeniowej i reasekuracyjnej. W związku z powyższym, organ uznał, że L. C. nie jest uprawniony do uzyskania danych osobowych posiadacza pojazdu [...], który wykupił polisę OC o podanym we wniosku numerze, na zasadach i warunkach wskazanych w ustawie o działalności ubezpieczeniowej i reasekuracyjnej, tym samym nie jest spełniona przesłanka z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych - udostępnienie tych danych nie jest bowiem niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisów ww. ustawy o działalności ubezpieczeniowej i reasekuracyjnej. Generalny Inspektor nie zgodził się nadto z L. C., iż udostępnienie przez spółkę wnioskowanych danych, konieczne skarżącemu do wniesienia przeciwko dłużnikowi rzeczowemu pozwu o zapłatę, spełnia dyspozycję art. 23 ust. 1 pkt 5 ustawy. Przepis ten nie uchyla bowiem wcześniej przywołanej tajemnicy ubezpieczeniowej. Przepisy odnoszące się do informacji objętych tajemnicą ubezpieczeniową (a więc także do imienia i nazwiska oraz adresu zamieszkania podmiotu, który zawarł umowę ubezpieczenia ze spółką), należy uznać za szczególne (lex specialis) w stosunku do ogólnej normy z art. 23 ust. 1 ustawy (lex generalis). Wobec powyższego przepisy przewidujące ochronę dalej idącą wyłączają stosowanie ustawy o ochronie danych osobowych w zakresie, w jakim ta ochrona jest szersza na zasadzie lex specialis derogat legi generali. We wniosku o ponowne rozpatrzenie sprawy L. C. wniósł o uwzględnienie jego skargi. Generalny Inspektor zaskarżoną decyzją z dnia [...] listopada 2016 r., na podstawie art. 138 § 1 pkt 1 Kpa oraz art. 12 pkt 2 w zw. z art. 22 i art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922), utrzymał w mocy swoją decyzję z dnia [...] maja 2016 r. W uzasadnieniu decyzji organ przytoczył te same argumenty, które legły u podstaw decyzji z dnia [...] maja 2016 r. Zaskarżając decyzję z dnia [...] listopada 2016 r. w całości, skarżący wniósł jednocześnie o jej uchylenie i zasądzenie na jego rzecz kosztów postępowania. W ocenie skarżącego niezależnie od tego czy do rozpoznawanej sprawy należy zastosować ustawę w brzmieniu obecnym czy też obowiązującym w chwili wniesienia wniosku o udostępnienie danych osobowych do ubezpieczyciela, to w obu przypadkach przepis, na który powołuje się organ, zawiera otwarty katalog podmiotów uprawionych, co wynika wprost z ostatniego podpunktu obecnego bądź poprzedniego przepisu: (...) innego podmiotu, którego uprawnienie do żądania informacji wynika z przepisów odrębnej ustawy (...). Skarżący zarzucił nadto, że organ abstrahuje od własnego orzecznictwa wydawanego w odniesieniu do przepisów bardziej restrykcyjnych, np. art. 18 ust. 6 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, a nawet art. 105 ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe, który w dosłownym brzmieniu operuje zamkniętym katalogiem podmiotów uprawnionych i dodatkowo katalog ten ograniczony jest określeniem "wyłącznie" (np. decyzja [...]). Skarżący podniósł, że nie widzi podstaw do różnicowania jego położenia względem innych podmiotów, które uzyskiwały dane osobowe potencjalnych pozwanych na podstawie przepisów, które już na pierwszy rzut oka wydawały się bardziej ograniczać taki dostęp (np. kogoś, kto stara się uzyskać informację o numerze IP osoby, która zamieściła przez internet zniesławiający komentarz). W obu przypadkach chodzi o zidentyfikowanie potencjalnego pozwanego i gwarantowane Konstytucją RP prawo do sądu. Skarżący podkreślił, że posiadanie samochodu jest czymś z natury jawnym i informacja o tym nie wymaga większej ochrony niż swoboda wypowiedzi czy prawo do prywatności. Ponadto nabywca pojazdu zobowiązany jest zarejestrować ten fakt w Urzędzie Gminy, i gdyby tak się w sprawie stało, to skarżący za 30 zł i 40 gr uzyskałby informację o nowym właścicielu z CEPiK w trybie z art. 80c ust. 4 ustawy z dnia 20 czerwca 1997 r. Prawo o ruchu drogowym. W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał argumenty przedstawione w zaskarżonej i poprzedzającej ją decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z treścią przepisu art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2016 r., poz. 718 ze zm.) sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż nie narusza ona prawa. Istota sprawy w niniejszym postępowaniu sprowadzała się do analizy stany faktycznego sprawy przez pryzmat przepisu art. 23 ust. 1 pkt 2 w zw. z art. 27 ust. 2 pkt 2 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Zgodnie z wyżej powołanymi regulacjami jeżeli szczególny przepis prawa przyznaje określonemu podmiotowi uprawnienie do żądania danych osobowych lub nakłada obowiązek ich udostępnienia po stronie podmiotu, do którego w tym celu się zwrócono, udostępnienie danych nie może być traktowane jako naruszenie przepisów ustawy o ochronie danych osobowych. Skoro więc ustawa o ochronie danych osobowych odsyła do szczególnych przepisów prawa, to w realiach niniejszej sprawy takim aktem prawnym będzie ustawa z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (Dz. U. z 2015 r., poz. 1844), która zastąpiła ustawę z dnia 22 maja 2013 r. o działalności ubezpieczeniowej (Dz. U. z 2015 r., poz. 1206 ze zm.). Ten akt prawny reguluje bowiem m.in. obowiązki spoczywające na Zakładzie Ubezpieczeń, (w rozpoznawanej sprawie jest to Ubezpieczeniowy Fundusz Gwarancyjny) i tryb jego funkcjonowania. W takiej więc sytuacji, należało przede wszystkim przeanalizować zapisy powyższej ustawy w celu ustalenia, czy zawiera ona zapisy regulujące materię udostępniania danych gromadzonych przez zakład ubezpieczeń i osoby w nim zatrudnione a także podmioty, za pomocą których zakład ubezpieczeń wykonuje czynności ubezpieczeniowe. Jeżeli bowiem w omawianym akcie prawnym znajdowałyby się takie zapisy, to będą one miały pierwszeństwo przed regulacjami ustawy o ochronie danych osobowych. Przechodząc zaś już do wspomnianej wyżej analizy ustawa z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej to w jej art. 35 ust. 2 została wymieniona wyczerpująca lista podmiotów, których nie dotyczy obowiązek zachowania tajemnicy, o której mowa w ust. 1 tego przepisu. Najogólniej rzecz ujmując, wyżej powołany przepis reguluje materię dostępu do danych przetwarzanych przez zakład ubezpieczeń w związku ze zdarzeniami dotyczącymi ubezpieczenia odpowiedzialności cywilnej, co jest najzupełniej zrozumiałe biorąc pod uwagę fakt, że wspomniana ustawa reguluje materię związaną z tego rodzaju ubezpieczeniem. Zestawiając treść powyższej regulacji art. 35 ust. 2 pow. ustawy z wnioskami wysnutymi przez organ w skarżonym rozstrzygnięciu, jako uprawnione jawiły się konkluzje organu, iż wnioskodawca nie należy do podmiotów, którym zakład ubezpieczeń może udostępnić gromadzone dane. Dodatkowo wspomnieć należy też o tym, że cel, w którym wnioskodawca zamierza posiąść wspomniane dane, odbiega od materii będącej przedmiotem zainteresowania zakładu ubezpieczeń. To więc również przemawia za trafnością poglądu organu, że w trybie omawianego aktu prawnego wnioskodawca nie ma możliwości otrzymania interesujących go danych. Wbrew twierdzeniom skarżącego, w realiach prawnych niniejszej sprawy nie zachodziła możliwość skutecznego powoływania się na orzecznictwo sądowo-administracyjne wypracowane na kanwie ustawy o świadczeniu usług drogą elektroniczną. W ustawie o działalności ubezpieczeniowej i reasekuracyjnej – odmiennie niż w ustawie o świadczeniu usług drogą elektroniczną ustawodawca nie zawarł odesłania do ustawy o ochronie danych osobowych. Nie ma tu bowiem adekwatnego stwierdzenia do tego, jakie znajduje się w ustawie o świadczeniu usług drogą elektroniczną, że do przetwarzania danych osobowych stosuje się przepisy ustawy o ochronie danych osobowych o ile przepisy ustawy o ubezpieczeniach obowiązkowych, Ubezpieczeniowym Funduszu Gwarancyjnym i Polskim Biurze Ubezpieczycieli Komunikacyjnych nie stanowią inaczej. W związku z powyższym należało uznać, że w realiach niniejszej sprawy katalog podmiotów wymieniony w art. 35 ustawy o działalności ubezpieczeniowej i reasekuracyjnej, którym zakład ubezpieczeń może udostępniać gromadzone dane, jest katalogiem zamkniętym. Skoro zaś, jak to już podkreślono wyżej, skarżący nie należy do tego katalogu, to tym samym jego wniosek nie mógł zostać uwzględniony. Bez wpływu na poprawność skarżonego rozstrzygnięcia pozostaje to, czy istotnie zakład ubezpieczeń udostępnia gromadzone przez siebie dane innym podmiotom niż wymienione w art. 35omawianej ustawy, tj. m.in. Komornikom sądowym. W niniejszej sprawie Sąd może bowiem jedynie badać zasadność i zgodność z prawem skarżonej decyzji. Nie jest zaś uprawniony do badania prawidłowości funkcjonowania zakładu ubezpieczeń w zakresie wykraczającym poza ramy niniejszej sprawy. Stąd więc także uwypuklenia wymagało to, że brak ustosunkowania się przez organ do podnoszonych przez stronę twierdzeń o udostępnianiu przez zakład ubezpieczeń danych innym podmiotom niż wymienione w art. 35 omawianej ustawy, nie rzutowało na poprawność skarżonego rozstrzygnięcia. Tego typu uchybienie, badane przez pryzmat art. 145 § 1 pkt 1 lit. c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2016 r., poz. 718 ze zm.) pozostawało bowiem bez wpływu na rozstrzygnięcie. W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, oraz uznając, iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, jak również, że przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sąd Administracyjny w Warszawie orzekł, jak w sentencji wyroku, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2016 r., poz. 718 ze zm.).