II SA/Wa 218/12

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra – Błaszczykowska (spr.), Sędziowie WSA Ewa Grochowska – Jung, Stanisław Marek Pietras, , Protokolant, asystent sędziego Bartosz Piwoński, po rozpoznaniu na rozprawie w dniu 13 kwietnia 2012 r. sprawy ze skargi M. Sp. z o.o. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2010 r. nr [...] w przedmiocie ochrony danych osobowych - oddala skargę - Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] kwietnia 2010 r. wydaną na podstawie art. 12 pkt 2, art. 22 i art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), odmówił uwzględnienia wniosku M. Sp. z o.o. z siedzibą w W. o nakazanie Q. Sp. z o.o. z siedzibą w P. – jako podmiotowi prowadzącemu serwis transakcji on-Iine [...] w domenie [...] – udostępnienia na rzecz M. Sp. z o.o. danych osobowych osób, które w serwisie [...] wystawiły do sprzedaży (jako przedmiot sprzedaży bądź darmowy dodatek do przedmiotu sprzedaży) na aukcjach internetowych tzw.[...] M. Sp. z o.o. W uzasadnieniu organ wskazał, że jedną z prowadzonych przez M. Sp. z o.o. akcji promocyjnych polega na wydawaniu tzw. [...], tj. kart rabatowych na okaziciela, uprawniających ich posiadaczy do nabywania określonych produktów Spółki po obniżonej cenie, na warunkach opisanych w regulaminie promocji p.n. "[...] – regulamin promocji". [...] otrzymują pracownicy restauracji należących do korporacji [...] i działających na zasadzie franczyzy, pracownicy biura Spółki oraz jej partnerzy handlowi. Na [...], oznaczonej znakiem firmowym korporacji M., zamieszczona jest informacja o dostępnych na promocyjnych warunkach produktach, okresie ważności [...] oraz informacja, że szczegóły promocji zamieszczone są w regulaminie dostępnym w każdej restauracji M. i na stronie www.[...]. Karta nie może być przedmiotem sprzedaży i jest ważna tylko w restauracjach biorących udział w promocji. Zgodnie z postanowieniami regulaminu promocji, [...] jest kartą zniżkową, stanowiącą własność M. Sp. z o.o. i nie może być ani przedmiotem sprzedaży, ani przedmiotem darowizny przy okazji sprzedaży innych rzeczy. Osoba naruszająca regulamin promocji (w tym również nabywca [...]) obowiązana jest do zwrotu [...] Spółce M. Uczestnik akcji promocyjnej, przyjmując [...], zobowiązuje się tym samym do przestrzegania regulaminu akcji promocyjnej, a w szczególności do niezbywania [...]. Pomimo regulaminowego zastrzeżenia o niedopuszczalności zbywania [...], Spółka ustaliła, że są one oferowane do sprzedaży, bądź jako bezpłatny dodatek do innych artykułów sprzedawanych na aukcjach internetowych w serwisie [...]. W zaistniałych okolicznościach, pismem z dnia 28 grudnia 2009 r., M. Sp. z o.o. zwróciła się do Q. Sp. z o.o. z siedzibą w P. o udostępnienie danych osobowych oznaczonych osób, prowadzących ww. aukcje, których przedmiotem są [...], uzasadniając, że dane osób są jej niezbędne, albowiem osoby biorące udział w ww. aukcjach w charakterze sprzedających i kupujących naruszyły postanowienia regulaminu, a wobec tego M. Sp. z o.o. zamierza podjąć czynności mające na celu – z jednej strony – pozbawienie sprzedających nienależnie uzyskanych przez nich korzyści, a z drugiej strony – odebranie [...] osobom, które je zakupiły. Q. Sp. z o.o. odmówiła udostępnienia żądanych danych, argumentując, że udostępnienie ich może być kwalifikowane jako zachowanie bezprawnie naruszające dobra osobiste i skutkować odpowiedzialnością cywilnoprawną administratora danych. Generalny Inspektor Ochrony Danych Osobowych przyjął też, że podstawą prawną rozstrzygnięcia w sprawie jest art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, który stwarza prawną możliwość udostępniania danych osobowych, jeżeli jest to niezbędne ze względu na usprawiedliwiony cel administratora danych, który to cel w rozpoznawanej sprawie Generalny Inspektor uznał za prawnie usprawiedliwiony. Organ ocenił bowiem, że w sprawie nie można mówić o przewadze interesów Spółki M. nad interesami osób, których dotyczą wnioskowane dane. Generalny Inspektor Ochrony Danych Osobowych wyjaśnił także, że podstawą prawną decyzji nie mógł być przepis art. 29 ust. 2 ustawy o ochronie danych osobowych, gdyż Spółka M. nie wykazała, że dane osobowe, których się domaga, mają być wykorzystane w celach innych, niż włączenie do zbioru. Decyzją z [...] lipca 2010 r. Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 138 § 1 pkt 1 K.p.a. w związku z art. 12 pkt 2, art. 22, art. 23 ust. 1 ustawy o ochronie danych osobowych, utrzymał zaskarżoną decyzję w mocy, nie znajdując podstaw do uwzględnienia wniosku i podzielając zajęte poprzednio stanowisko. Decyzja ta także została podpisana przez upoważnionego Zastępcę Generalnego Inspektora Ochrony Danych Osobowych. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 10 lutego 2011 r. sygn. akt II SA/Wa 1560/10, po rozpoznaniu sprawy ze skargi M. Sp. z o.o. z siedzibą w W. na decyzję Generalnego Inspektor Ochrony Danych Osobowych z [...] lipca 2010 r. uchylił zaskarżoną decyzję. W uzasadnieniu Sąd wskazał, że w sprawie doszło do naruszenia art. 24 § 1 pkt 5 w związku z art. 127 § 3 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (tekst jedn. Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.), poprzez wydanie zaskarżonej decyzji przez tę samą osobę, która brała udział w wydaniu decyzji, od której złożono wniosek o ponowne rozpatrzenie sprawy. Sąd powołał uchwałę Naczelnego Sądu Administracyjnego z dnia 20 maja 2010 r. o sygn. akt I OPS 13/09 (LEX nr 579940), A contrario przyjął, że przepis art. 24 § 1 pkt 5 K.p.a. ma zastosowanie w postępowaniu, o jakim mowa w art. 127 § 3 K.p.a., w przypadku, gdy funkcję organu wykonuje upoważniony pracownik organu, który wydał decyzję, objętą wnioskiem o ponowne rozpatrzenie sprawy. W sprawie pracownikiem Generalnego Inspektora Ochrony Danych Osobowych, podlegającym wyłączeniu, jest Zastępca Generalnego Inspektora Ochrony Danych Osobowych, który podpisał obie wydane w sprawie decyzje. Generalny Inspektor Ochrony Danych Osobowych wniósł od wyroku skargę kasacyjną, zaskarżając wyrok w całości. Naczelny Sąd Administracyjny wyrokiem z dnia 13 grudnia 2011 r. (sygn. akt I OSK 834/11) uchylił zaskarżony wyrok WSA i przekazał sprawę temu sądowi do ponownego rozpoznania. W uzasadnieniu wyroku zważył, że skarga kasacyjna została oparta na usprawiedliwionej podstawie naruszenia art. 1 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.) oraz art. 3 § 1 i art. 134 powołanej ustawy – Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 7 i art. 77 Kodeksu postępowania administracyjnego. Przyjmując za podstawę zastosowanie środka prawnego naruszenia przepisów postępowania, zarówno kwalifikowanego, jak i nie mającego takiego ciężaru gatunkowego niezbędne jest wskazanie na hipotetyczny stan faktyczny zapisany w normie prawa materialnego. Nie jest bowiem zasadnym wyprowadzenie naruszenia przepisów postępowania z wadliwego przyjęcia wykładni przepisów prawa materialnego. Zdaniem NSA nie ulega wątpliwości, że podstawą rozpoznania i rozstrzygnięcia sprawy był art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Wykładni tego przepisu prawa organy państwa obowiązane są dokonać w zgodzie z prawem Unii Europejskiej. Trybunał Sprawiedliwości Unii Europejskiej w wyroku z 29 stycznia 2008 r. C-275/06 przyjął: "Dyrektywy 2000/31 w sprawie niektórych aspektów prawnych usług społeczeństwa informacyjnego, w szczególności handlu elektronicznego w ramach rynku wewnętrznego (dyrektywa o handlu elektronicznym), 2001/29 w sprawie harmonizacji niektórych aspektów praw autorskich i pokrewnych (prawa autorskiego i praw pokrewnych) w społeczeństwie informacyjnym, 2004/48 w sprawie egzekwowania praw własności intelektualnej oraz 2002/58 dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej), nie zobowiązują państw członkowskich do ustanowienia obowiązku przekazania danych osobowych w celu zapewnienia skutecznej ochrony praw autorskich w ramach postępowania cywilnego, w sytuacji gdy stowarzyszenie niemające celu zarobkowego grupujące producentów i wydawców nagrań muzycznych oraz opracowań audiowizualnych wniosło o nakazanie, by dostawca usług w zakresie dostępu do Internetu wskazał tożsamość i adresy określonych abonentów, w celu umożliwienia mu wytoczenia następnie przeciwko tym osobom powództw cywilnych z tytułu naruszenia praw autorskich. Jednocześnie, jeżeli chodzi o art. 41, 42 i 47 porozumienia w sprawie handlowych aspektów praw własności intelektualnej (TRIPS), w świetle których, w miarę możliwości, powinno dokonywać się wykładni prawa wspólnotowego regulującego zagadnienia, do których porozumienie to znajduje zastosowanie, mimo że wymagają one skutecznej ochrony własności intelektualnej i instytucji prawa do środka zaskarżenia w celu jej egzekwowania, to nie zawierają przepisów, które nakazywałyby wykładnię wspomnianych dyrektyw jako zobowiązujących państwa członkowskie do ustanowienia obowiązku przekazania danych osobowych w ramach postępowania cywilnego. Jak zasadnie zauważył NSA, prawo wspólnotowe wymaga od państw członkowskich, by przy transpozycji tych dyrektyw oparły się one na takiej wykładni tych dyrektyw, która pozwoli na zapewnienie odpowiedniej równowagi między poszczególnymi prawami podstawowymi chronionymi przez wspólnotowy porządek prawny. Ponadto przy przyjmowaniu środków mających na celu transpozycję tych dyrektyw, władze i sądy państw członkowskich są zobowiązane nie tylko dokonywać wykładni swojego prawa krajowego w sposób zgodny ze wspomnianymi dyrektywami, lecz również nie opierać się na takiej wykładni tych dyrektyw, która pozostawałby w konflikcie z wspomnianymi prawami podstawowymi lub z innymi ogólnymi zasadami prawa wspólnotowego, takimi jak zasada proporcjonalności. Zdaniem NSA, przy wykładni art. 23 ust. 1 pkt 5 należy też uwzględnić rozwiązania przyjęte w ustawie z 18 listopada 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. Nr 144, poz. 1204 ze zm.). W systemie prawa polskiego brakuje przepisu, który przyznawałby takie uprawnienia osobie, której prawa autorskie zostały naruszone, i która żąda od dostawcy usług internetowych udostępnienia danych osobowych w celu skorzystania ze środka prawnego, mającego na celu ochronę tych praw w ramach postępowania cywilnego. Podmioty żądające ochrony praw autorskich występują zatem na drogę postępowania karnego tylko w celu, aby pozyskać dane osobowe naruszającego ich prawa. NSA powołał również Dyrektywę 2006/24/WE z 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej bądź udostępnianiem publicznych sieci łączności oraz zmieniająca dyrektywę 2002/58/WE, przewiduje możliwość udostępniania danych zgromadzonych przy świadczeniu usług dostępu do Internetu jedynie w szczególnych przypadkach, oraz na rzecz właściwych organów krajowych, nie zaś bezpośrednio na rzecz podmiotów prywatnych. NSA podkreślił, że artykuł 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych wymaga wykładni z uwzględnieniem dyrektyw, co daje dopiero podstawę do wyprowadzenia w sprawie równowagi między prawami podstawowymi chronionymi przez przepisy prawa w tym Unii Europejskiej oraz polski porządek prawny. Przyjęcie na podstawie ogólnego celu wskazanego we wniosku, że celem M. Sp. z o.o. jest pozbawienie sprzedających nienależnie uzyskanych korzyści oraz odebranie bonifikat osobom, które je zakupiły, nie uzasadnia przyjęcia oceny, że organ nie rozważył równowagi między podstawowym prawem do ochrony danych a realizacją usprawiedliwionego celu. Sąd obowiązany był przeprowadzić wykładnię tych dwóch wartości i ocenić czy w zaskarżonej decyzji w świetle prawa Unii Europejskiej nie wyważono w pełni prawidłowo tych wartości nie dając pierwszeństwa interesom M. Sp. z o.o. NSA uznał za zasadny zarzut naruszenia art. 24 § 1 pkt 5 k.p.a. Przy wykładni tego przepisu w zakresie zastosowania go do Zastępcy Generalnego Inspektora Ochrony Danych Osobowych należy uwzględnić regulację przyjętą w art. 12a ustawy o ochronie danych osobowych. Przepisy tej ustawy wprowadzają rozróżnienie pozycji ustrojowej Zastępcy Generalnego Inspektora Ochrony Danych Osobowych od aparatu pomocniczego – Biura Generalnego Inspektora Ochrony Danych Osobowych. Generalny Inspektor Ochrony Danych Osobowych określa zakres zadań zastępcy. Nie jest to zatem upoważnienie do działania pracownika aparatu pomocniczego. Zastępca Generalnego Inspektora Ochrony Danych Osobowych ma ustrojowo wyodrębnioną pozycję realizując określony przez Generalnego Inspektora Ochrony Danych Osobowych zakres zadań. Oznacza to, że pozycja ustrojowa Zastępcy Generalnego Inspektora Ochrony Danych Osobowych nie może być zrównana z pozycją pracownika, który działa wyłącznie w zakresie upoważnienia, a nie przypisanych zadań. Wojewódzki Sąd Administracyjny ponownie rozpoznając sprawę zważył, co następuje: Zgodnie z treścią art. 190. p.p.s.a. sąd, któremu sprawa została przekazana, związany jest wykładnią prawa dokonaną w tej sprawie przez Naczelny Sąd Administracyjny. Nie można oprzeć skargi kasacyjnej od orzeczenia wydanego po ponownym rozpoznaniu sprawy na podstawach sprzecznych z wykładnią prawa ustaloną w tej sprawie przez Naczelny Sąd Administracyjny. W uzasadnieniu wyroku NSA z dnia 13 grudnia 2011 r. (w sprawie o sygn. akt I OSK 834/11) Sąd ten dokonał szczegółowych ustaleń i rozważań na temat sprawy niniejszej i uznał, że Wojewódzki Sąd Administracyjny nie odkodował hipotetycznego stanu faktycznego, w związku z czym nie miał podstaw do oceny tegoż stanu faktycznego, przyjętego w podstawie faktycznej rozstrzygnięcia w zaskarżonej decyzji. Brak wykładni z uwzględnieniem przepisów Unii Europejskiej powoduje, że nie została zawarta prawidłowa ocena prawna, co ma kapitalne znaczenie prawne przy ponownym rozpoznawaniu sprawy. Zdaniem NSA, przyjęcie na podstawie ogólnego celu wskazanego we wniosku, że celem M. Sp. z o.o. jest pozbawienie sprzedających nienależnie uzyskanych korzyści oraz odebranie [...] osobom, które je zakupiły, nie uzasadnia przyjęcia oceny, że organ nie rozważył równowagi między podstawowym prawem do ochrony danych, a realizacją usprawiedliwionego celu. Sąd obowiązany był przeprowadzić wykładnię tych dwóch wartości i ocenić czy w zaskarżonej decyzji w świetle prawa Unii Europejskiej nie wyważono w pełni prawidłowo tych wartości, nie dając pierwszeństwa interesom M. Sp. z o.o. Wojewódzki Sąd Administracyjny podczas ponownego rozpoznania sprawy dokonał analizy przepisów Unii Europejskiej, wskazanych przez NSA w uzasadnieniu wyroku. Sąd całkowicie podzielił bardzo szczegółową analizę i ocenę prawną tych przepisów, dokonaną przez NSA; wszystkie rozważania, zawarte w uzasadnieniu wyroku NSA przyjmując za trafne. W szczególności warte uwagi są rozważania NSA na temat treści art. 41, 42 i 47 porozumienia w sprawie handlowych aspektów praw własności intelektualnej (TRIPS). NSA wywiódł, że nie zawierają one przepisów, które nakazywałyby wykładnię wspomnianych dyrektyw jako zobowiązujących państwa członkowskie do ustanowienia obowiązku przekazania danych osobowych w ramach postępowania cywilnego. Jak trafnie zauważył NSA, w systemie prawa polskiego brakuje przepisu, który przyznawałby takie uprawnienia osobie, której prawa autorskie zostały naruszone i która żąda od dostawcy usług internetowych udostępnienia danych osobowych w celu skorzystania ze środka prawnego, mającego na celu ochronę tych praw w ramach postępowania cywilnego. Podmioty żądające ochrony praw autorskich występują zatem na drogę postępowania karnego tylko w celu, aby pozyskać dane osobowe naruszającego ich prawa. Dyrektywa 2006/24/WE z 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej bądź udostępnianiem publicznych sieci łączności oraz zmieniająca dyrektywę 2002/58/WE, przewiduje możliwość udostępniania danych zgromadzonych przy świadczeniu usług dostępu do Internetu jedynie w szczególnych przypadkach, oraz na rzecz właściwych organów krajowych, nie zaś bezpośrednio na rzecz podmiotów prywatnych. Sąd orzekający w sprawie niniejszej całkowicie zgadza się z konkluzją NSA, iż organ, wydając zaskarżone decyzje zrównoważył podstawowe prawo do ochrony danych z realizacją usprawiedliwionego celu. Tak jak trafnie zauważył Naczelny Sąd Administracyjny w zaskarżonej decyzji - w świetle prawa Unii Europejskiej - wyważono w pełni prawidłowo te wartości. Jak zasadnie zwrócił uwagę organ II instancji, M. Sp. z o.o. nie podjęła działań, służących zabezpieczeniu jej własnych interesów na wypadek przewidywanych przez nią zagrożeń, zamiast tego, po ustaleniu, że bliżej nieokreślone osoby wprowadzają do obrotu [...], wystąpiła do Q. o udostępnienie informacji na temat tych osób. Mimo, iż interes spółki M. jest prawnie usprawiedliwiony, nie zasługuje na uwzględnienie w sytuacji, gdy spółka ta sama nie zadbała o należyte zabezpieczenie tych interesów i dlatego interes Spółki nie może przeważać nad interesami osób, które mogły wejść w posiadanie [...] w różny sposób. Osoby te mogą zatem nie być związane postanowieniami regulaminu promocji, a co za tym idzie, wniosek M. nie może prowadzić do naruszenia ich interesów. Mając na uwadze bardzo szczegółową analizę przepisów, mających zastosowanie w sprawie niniejszej, jak i treść art. 190 p.p.s.a. Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę, stosownie do treści wytycznych, jasno sprecyzowanych w cytowanym wyroku Naczelnego Sądu Administracyjnego.