II SA/Wa 2394/13

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA – Ewa Marcinkowska Sędzia WSA – Andrzej Kołodziej Sędzia WSA – Stanisław Marek Pietras (spraw.) Protokolant – starszy sekretarz sądowy Sylwia Mikuła po rozpoznaniu na rozprawie w dniu 26 czerwca 2014 r. sprawy ze skargi C.P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2013 r. nr [...] w przedmiocie przetwarzania danych osobowych – oddala skargę – Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga C. P. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] z siedzibą w W. przy ul. [...], reprezentujące Fundusz [...] w której podniósł, że: "(...) składam skargę na [...] (...) który zdaniem skarżącego dopuścił się naruszeń następujących przepisów ustawy o ochronie danych osobowych: 1. art. 33 ust. 1 w zw. z art. 32, który nakłada na administratora danych obowiązek udostępnienia danych osobowych na wniosek zainteresowanego. 2. art. 23 ust. 1 w zw. art. 24 ust. 1 oraz art. 32 ust. 1 pkt 4, który nakłada obowiązek uzyskania od administratora danych wyraźnej zgody osoby, której dane będą przetwarzane (...), 3. Art. 40 który nakłada obowiązek rejestracji zbioru danych osobowych (...)". W związku ze wskazanymi zarzutami skarżący wniósł o przeprowadzenie kontroli oraz wydanie decyzji administracyjnej nakazującej Spółce dopełnienia obowiązku informacyjnego wynikającego z treści art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Dodatkowo skarżący, po zrealizowaniu uprawnienia określonego w art. 10 § 1 w zw. z art. 73 § 1 k.p.a., pismem z dnia [...] sierpnia 2012 r. zażądał przekazania przez Spółkę wszelkich danych osobowych zawartych w dokumentach przekazanych przez nią do [...] z siedzibą w K. przy ul. [...] oraz [...] z siedzibą w W. przy ul. [...], na podstawie zawartej pomiędzy tymi podmiotami umowy o powierzenie, a ponadto wniósł o udostępnienie informacji określających liczbę jednostek w danym funduszu, cenę sprzedaży jednostek oraz ich wartość. W toku przeprowadzonego postępowania administracyjnego organ ustalił, że skarżący zawarł ze Spółką w dniu [...] listopada 1996 r. umowę Ubezpieczenia z Funduszem Inwestycyjnym. W dniu [...] września 2002 r. Skarżący złożył wniosek o wypłatę wartości wykupu, co zgodnie z art. 14 ust. 3 Ogólnych Warunków Ubezpieczenia z Funduszem Inwestycyjnym, było równoznaczne z wypowiedzeniem umowy ubezpieczenia z dniem [...] października 2002 r. Spółka przetwarza dane osobowe skarżącego w zakresie dotyczącym jego imienia, nazwiska, płci, stanu cywilnego, adresu, zawodu, miejscu i dacie urodzenia, narodowości, numeru dowodu tożsamości, numeru PESEL, numeru telefonu, informacji o stanie zdrowia, jak i przechowuje również dane dotyczące historii umowy ubezpieczenia, takie jak wykaz transakcji i rejestr wpłat, a także dokumentacji ubezpieczeniowej i korespondencji z klientem, zaś powyższe dane Spółka przetwarza w celach archiwalnych. Skarżący pismem z dnia [...] maja 2012 r. zwrócił się do Spółki celem wyjawienia danych zawartych w wyciągu konta prowadzonego w ramach polisy ubezpieczeniowej nr [...] i w powyższym wniosku powoływał się na uprawnienie określone w art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. W odpowiedzi Spółka pismem z dnia [...] czerwca 2012 r. odmówiła spełnienia obowiązku informacyjnego wynikającego z powyższego przepisu i w uzasadnieniu podniosła, że zakres danych, do których dostępu domagał się skarżący, nie jest zbieżny z zakresem określonym w art. 32 ust. 1 pkt 1 – 5a ustawy o ochronie danych osobowych. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] grudnia 2012 r. nr [...] mając za podstawę art. 104 § k.p.a., art. 12 pkt 2, art. 22, art. 18 ust. 1 pkt 1 w zw. z art. 24 ust. 1 pkt 3, art. 32 ust. 1 pkt 3 i art. 33 oraz art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), I. nakazał Funduszowi Inwestycyjnemu [...]. reprezentowanemu przez [...] z siedzibą w W. przy ul. [...], wypełnianie obowiązku informacyjnego z art. 33 w zw. z art. 32 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst. jedn. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) w stosunku do C. P., adres do korespondencji ul. [...], skr. [...], W., poprzez podanie mu w powszechnie zrozumiałej treści jego danych osobowych zawartych w wyciągach stanu konta na Indywidualnym Koncie [...] prowadzonym w ramach polisy nr [...] oraz wypełnianie obowiązku informacyjnego z art. 24 ustawy o ochronie danych osobowych w stosunku do wymienionego poprzez udzielenie mu informacji o prawie dostępu do treści swoich danych oraz ich poprawiania. II. w pozostałym zakresie odmówił uwzględnienia wniosku. W uzasadnieniu – powołując się na opisany powyżej stan faktyczny – podał, że zgodnie z art. 6 ustawy o ochronie danych osobowych, za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (ust. 1), a osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (ust. 2). Dodatkowo zgodnie z treścią art. 33 ustawy o ochronie danych osobowych na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1 – 5a (ust. 1). Na wniosek osoby, której dane dotyczą, informacji, o których mowa w ust. 1, udziela się na piśmie (ust. 2). Wskazany powyżej przepis art. 32 ust. 1 stanowi, iż każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą zawartych w zbiorach danych, a zwłaszcza prawo do: uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna – jej miejsca zamieszkania oraz imienia i nazwiska (pkt 1), uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze (pkt 2), uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych (pkt 3), uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie w tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej (pkt 4), uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane (pkt 5), uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2 (pkt 5a). Odnosząc zaś powyższe do stanu faktycznego sprawy podniesiono, iż na Spółce będącej w myśl art. 7 ust. 4 ustawy o ochronie danych osobowych, administratorem danych osobowych skarżącego, ciąży wobec niego obowiązek informacyjny określony w art. 33 ustawy. Bezsprzecznym jest bowiem, fakt, iż aktualnie Spółka przetwarza dane osobowe skarżącego. Skarżący w celu realizacji powyższego uprawnienia zwrócił się do Spółki pismem z dnia 23 maja 2012 r., jednakże Spółka odmówiła udzielenia wnioskowanych informacji, tłumacząc, iż w jej ocenie zakres jego żądania nie jest zbieżny z zakresem określonym w art. 32 ust. 1 pkt 1-5a ustawy o ochronie danych osobowych. Zdaniem Generalnego Inspektora Ochrony Danych Osobowych, nie można zgodzić się z powyższą argumentacją, gdyż wniosek skarżącego bez wątpienia dotyczył udostępnienia mu treści jego danych osobowych. W tym miejscu wskazano na stanowisko zawarte przez Naczelny Sąd Administracyjny w Warszawie w wyroku z dnia 24 lutego 2011 r. (sygn. akt. I OSK 653/10), w którym wyraźnie stwierdzono, iż "przepis art. 6 ust. 1 i 2 ustawy o ochronie danych osobowych wskazuje, że za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Do informacji takich z pewnością należy także informacja o posiadaniu konta bankowego przez zindywidualizowaną osobę, bowiem taka informacja pozwala na identyfikację właściciela konta z uwagi na dane osobowe zawarte w umowie o otwarcie konta bankowego. Podobny charakter ma też podanie wysokości zgromadzonych wkładów, gdyż informacja taka identyfikuje cechy ekonomiczne właściciela konta". Mając na uwadze powyższe, a także ugruntowane w polskiej doktrynie stanowisko, iż użyte w art. 6 ustawy o ochronie danych osobowych sformułowanie "wszelkie dane osobowe" służy podkreśleniu, że w grę wchodzą informacje odnoszące się do każdego aspektu osoby, jej stosunków osobistych i rzeczowych, jej życia zawodowego, prywatnego, wykształcenia, wiedzy czy cech charakteru. Nie ma znaczenia, w jakiej roli występuje w danym przypadku osoba (np. członka rodziny, członka grupy zawodowej czy przedsiębiorcy) [ tak też, J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz. LEX, 2011]. Mając na uwadze powyższe, w rozpatrywanej sprawie należy stwierdzić, że wobec ustalenia, iż dane osobowe skarżącego nadal są przez Spółkę przetwarzane, zasadne jest nakazanie jej usunięcie uchybień w procesie wypełniania obowiązku informacyjnego wynikającego z art. 33 w zw. z art. 32 ust. 1 pkt 3. Należy bowiem podkreślić, iż Spółka nie wypełniła go w sposób właściwy, tj. nie przekazała skarżącemu informacji zgodnych ze stanem faktycznym, zatem zasadne jest w tym przedmiocie nakazanie przez Generalnego Inspektora Ochrony Danych Osobowych, usunięcia uchybienia przez Spółkę stosownie do nakazu sformułowanego w punkcie I niniejszej decyzji. Dodatkowo podano, że przepis art. 24 ust. 1 ustawy o ochronie danych osobowych stanowi, że w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna – o miejscu swojego zamieszkania oraz imieniu i nazwisku (pkt 1) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach albo kategoriach odbiorców danych (pkt 2), prawie dostępu do treści swoich danych oraz ich poprawiania (pkt 3), dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej (pkt 4). W myśl ust. 2 cytowanego przepisu, ust. 1 nie stosuje się, jeżeli: przepis innej ustawy zezwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania (pkt 1), osoba, której dane dotyczą posiada informacje, o których mowa w ust. 1 (pkt 2). Mając na uwadze powyższe podkreślono, że częściowo obowiązek ten został wypełniony w momencie zawarcia umowy przedmiotowej polisy. Skarżący dobrowolnie przekazał Spółce swoje dane osobowe w celu zawarcia umowy ubezpieczenia. Cel w jakim Spółka pozyskała dane osobowe oraz oznaczenie podmiotu zostały określone zarówno w Polisie Nr [...], jak i Ogólnych Warunkach Ubezpieczenia z Funduszem Inwestycyjnym Nr [...]. Generalny Inspektor po przeprowadzeniu analizy zgromadzonego materiału dowodowego w tym treści ww. dokumentów, nie stwierdził by Spółka poinformowała skarżącego o prawie dostępu do treści swoich danych oraz ich poprawiania. Nie budzącym wątpliwości zatem jest, iż działanie Spółki naruszyło przepisy ustawy o ochronie danych osobowych w powyższym zakresie i dlatego również w tym zakresie niezbędnym stało się skorzystanie przez Generalnego Inspektora z przyznanych mu ustawą kompetencji i nakazanie spełnienia obowiązku informacyjnego wynikającego z art. 24 ust. 1 pkt 3 ustawy o ochronie danych osobowych. Odnosząc się natomiast do żądania Skarżącego zawartego w piśmie z dnia [...] sierpnia 2012 r. podkreślono, iż w materiale dowodowym brak jest potwierdzenia, by Skarżący zwracał się do Spółki o spełnienie obowiązku informacyjnego wynikającego z art. 33 ustawy o ochronie danych osobowych w zakresie wskazanym w powyższym piśmie. Zgodnie natomiast z dyspozycją przytoczonego powyżej przepisu, realizacja określonego w nim uprawnienia następuję na wniosek osoby której dane dotyczą, skierowany do administratora jej danych osobowych. Takie stanowisko znajduje oparcie w piśmiennictwie dotyczącym analizowanego zagadnienia, gdzie wprost wskazuje się, że: "przepis art. 33 u.o.d.o. pozostaje w związku z art. 32, wyposażającym osobę, której dotyczą zawarte w zbiorze dane, w określone roszczenia w stosunku do administratora. Przepis art. 33 u.o.d.o. zobowiązuje przede wszystkim administratora do informowania osób, których dane dotyczą, o przysługujących im prawach. Chodzi tu o prawa wynikające z niniejszej ustawy (w pierwszym rzędzie wynikające z art. 32 i 35, w pewnych przypadkach także z art. 23 – 25 i 27). Informacji tych administrator nie udziela z urzędu osobom, których dane przetwarza, lecz tylko na ich wniosek. Pojęcie "wniosek" należy tłumaczyć szeroko, nie stawiając wymogów formalnych co do jego treści czy formy" (J. Barta, P. Fąjgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz. LEX, 2011). W związku z powyższym, jeżeli wolą skarżącego jest uzyskanie innych informacji wskazanych w przedmiotowymi piśmie, powinien on wpierw skorzystać z realizacji uprawnienia określonego w art. 33 ustawy o ochronie danych osobowych. W przypadku niespełnienia przez administratora danych w ustawowym terminie powyższego obowiązku, osoba której dane dotyczą, może zwrócić się do Generalnego Inspektora z żądaniem wydania decyzji administracyjnej w trybie określonym art. 18 ustawy o ochronie danych osobowych. Odnosząc się do wniosku skarżącego w przedmiocie przeprowadzenia kontroli w Spółce w związku z przedmiotową sprawą podkreślono, że decyzja o przeprowadzeniu kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych należy do autonomicznych uprawnień Generalnego Inspektora Ochrony Danych Osobowych, w związku z czym nie jest podejmowana na wniosek stron. Następnie w dniu [...] grudnia 2012 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęło pismo [...] stanowiące wniosek o ponowne rozpatrzenie przedmiotowej sprawy. Podniesiono w nim w szczególności iż decyzja z dnia [...] grudnia 2012 r. została skierowana do podmiotu nie będącego stroną niniejszego postępowania cyt.: "(...) z sentencji decyzji wynika, że jest ona skierowana Funduszu Inwestycyjnego [...] Decyzja nakłada obowiązek na podmiot o nazwie sformułowanej jak wyżej. Tymczasem stroną postępowania jest [...]. Podmiot, do którego jest adresowana decyzja, nie istnieje, [...] więc siłą rzeczy go nie reprezentuje, jak błędnie wskazano w sentencji decyzji (...)". Ponadto podniesiono, iż treść rozstrzygnięcia zawartego w zaskarżonej decyzji jest niejednoznaczna, bowiem cyt.: "(...) nakłada na wyżej wskazany podmiot obowiązek podania skarżącemu treści jego danych osobowych zawartych w wyciągach stanu konta na Indywidualnym Koncie [...]. Takie sformułowanie decyzji administracyjnej powoduje, że podmiot zobowiązany do jej wykonania nie ma pewności co do tego, jak ją wykonać, narażając się na skutki nieprawidłowego jej wykonania. Wyjaśnienia wymagają okoliczności ujęte w następujących pytaniach: 1) o jakie wyciągi chodzi? Pytanie jest zasadne tym bardziej, że [...] nie przetwarza danych osobowych skarżącego na żadnych wyciągach; 2) czy [...] miałoby przygotować dla skarżącego wyciągi stanu konta? Jeśli tak, to jakiej treści i za jaki okres". Dodano, że organ administracji nie zwracał się do C. P. (...) o wyjaśnienie jakie wyciągi ma on na myśli formułując skargę. Nie zwracano się również do [...] z pytaniem w tym zakresie (...)". Dalej zarzucono, iż cyt.: "(...) art. 33 w zw. z art. 32 ust. 1 pkt 3 ustawy o ochronie danych osobowych nie może być podstawą do nakładania na administratora danych osobowych obowiązku tworzenia zestawień, wykazów i różnego rodzaju wyciągów, których w posiadaniu administrator nie jest (...)". Kolejne zarzuty wniosku o ponowne rozpatrzenie niniejszej sprawy dotyczą sformułowanego w zaskarżonej decyzji obowiązku informacyjnego. Podniesiono, że: "(...) kwestionowana decyzja nakłada na podmiot, do którego jest adresowana obowiązek informacyjny, o którym mowa w art. 24 ustawy o ochronie danych osobowych poprzez udzielenie skarżącemu informacji o prawie dostępu do treści swoich danych oraz ich poprawiania. Rozstrzygnięcie w tym zakresie jest błędne z następujących powodów, bowiem (...). [...] nie otrzymało wniosku skarżącego w tym zakresie. Skarżący nie zwracał się o wykonanie obowiązku informacyjnego w zakresie poinformowania go o prawie dostępu do treści danych oraz ich poprawiania. (...) Nie jest więc prawidłowe stwierdzenie organu administracji, że działanie Spółki naruszyło przepisy ustawy o ochronie danych osobowych w ww. zakresie (...). Organ administracji stwierdza, że [...] nie wypełniło tego obowiązku w ogóle, również przy okazji zbierania danych osobowych skarżącego. W uzasadnieniu Decyzji [str. 5] wskazano "Generalny Inspektor po przeprowadzeniu analizy zgromadzonego materiału dowodowego w tym treści ww. dokumentów nie stwierdził by Spółka poinformowała Skarżącego o prawie dostępu do treści swoich danych oraz ich poprawiania". Dokumenty, o których mowa w przytoczonym fragmencie to Polisa Nr [...] i Ogólne Warunki Ubezpieczenia z Funduszem Inwestycyjnym Nr [...]. Wskazujemy, że wyżej wymienione dokumenty nie mogą służyć do ustalenia, czy obowiązek informacyjny został wykonany. (...) obowiązek informacyjny powinien być wypełniany poprzez umieszczenie odpowiednich informacji na wniosku o zawarcie umowy ubezpieczenia. (...) Wniosku o zawarcie umowy ubezpieczenia podpisanego przez Skarżącego Organ administracji nie przeanalizował w tym zakresie (...)". Na koniec zarzucono, iż postępowanie administracyjne w niniejszej sprawie prowadzone było w sposób przewlekły. Z kolei, w związku z wnioskiem Spółki o ponowne rozpatrzenie niniejszej sprawy, skarżący w piśmie z dnia [...] kwietnia 2013 r. skierowanym do organu podniósł, że: "(...) wnioskuję o wydanie decyzji GIODO, która koryguje i doprecyzowuje decyzję GIODO z dnia [...] grudnia 2012 roku. 1. [...] słusznie wskazało, iż adresatem decyzji powinno być [...]. – korekta może być wykonana na podstawie art. 113 par. 1 k.p.a.; 2. Treścią decyzji powinno być zobowiązanie [...] do przekazania wszelkich danych osobowych gromadzonych i przetwarzanych w [...] oraz u innych podmiotów, których [...] powierzyło administracje danych [...] wymieniło w piśmie z dnia [...] lipca 2012 roku [...] w K. oraz [...] w W. w związku z polisą ubezpieczeniową nr [...]. Treścią żądania skargi do GIODO było nakazania dopełnienia obowiązku udostępnienia danych osobowych, a w szczególności wyciągu stanów konta na indywidualnym koncie [...] prowadzonym w ramach polisy nr [...] oraz następnie do przekazania danych dotyczących wpłat i rejestru transakcji w tym pobieranych opłat] dokonywanych na moim koncie w formacie zgodnym z tym, który [...] stosowało rozsyłając >Informację o aktualnej wartości polisy. W sytuacji gdy [...], jak twierdzi, nie prowadzi specjalnych wyciągów z Indywidualnego Konta [...], wiążącym powinno być nakazanie przekazania wszelkich danych we wszystkich dostępnych w [...] formach i nośnikach danych – papierowych, jak i elektronicznych". W piśmie z dnia [...] lipca 2013 r. skierowanym do organu skarżący oświadczył cyt.: "(...) potwierdzam treść żądania – nakazanie [...] dopełnienia wobec Skarżącego obowiązku informacyjnego wynikłego z art. 33 ustawy (...) w zakresie informacji o wszelkich operacjach wykonywanych na Indywidualnym Koncie [...]w trakcie trwania umowy ubezpieczenia [polisa ubezpieczeniowa nr [...]] zawartej ze Skarżącym w dniu [...] listopada 1996 r., która uległa rozwiązaniu w dniu [...] września 2002 r. [tj. o wszystkich operacjach wykonywanych przez cały okres obowiązywania tej umowy]. Treścią decyzji powinno być także zobowiązanie [...] do przekazania wszelkich danych osobowych gromadzonych i przetwarzanych w [...] oraz u innych podmiotów, którym [...] powierzyło administracje danych (...)". Wobec powyższego w ponownym postępowaniu Generalny Inspektor Ochrony Danych Osobowych ustalił dodatkowe okoliczności faktyczne, a to: Spółka w piśmie z dnia [...] kwietnia 2013 r. skierowanym do Generalnego Inspektora Ochrony Danych Osobowych oświadczyła cyt.: "(...) informacje o operacjach wykonywanych na Indywidualnym Koncie [...] począwszy od daty zawarcia przez Skarżącego umowy ubezpieczenia do dnia jej rozwiązania dotyczą Ubezpieczającego, są więc przetwarzane w zbiorze danych osobowych >Ubezpieczający [...]. Analogicznie, dane dotyczące historii umowy ubezpieczenia takie jak wykaz wpłat (...) również dotyczą Ubezpieczającego, są więc przetwarzane w zbiorze danych osobowych ubezpieczający [...].< (...)". W piśmie tym. Spółka oświadczyła ponadto cyt.: "(...) wniosek o ubezpieczenie na życie z funduszem inwestycyjnym został podpisany przez Pana C. P. w dniu [...] września 1996 r. (...). Wniosek o ubezpieczenie opisany powyżej nie zawiera informacji stanowiących wypełnienie obowiązku informacyjnego, o którym mowa w art. 24 ustawy o ochronie danych osobowych, ponieważ w dniu podpisania tego wniosku, takiego obowiązku nie było. (...)". Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] listopada 2013 r. nr [...], mając za podstawę art. 138 § 1 pkt 1 i 2 k.p.a., art. 12 pkt 2, art. 22, art. 24, art. 32 ust. 1 w zw. z art. 33 ust. 1 oraz art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, 1) uchylił zaskarżoną decyzję z dnia [...] grudnia 2012 r. w pkt 1 i w tym zakresie odmówił uwzględnienia wniosku, 2) w pozostałym zakresie utrzymał zaskarżoną decyzję w mocy. W uzasadnieniu podano, że faktycznie w zaskarżonej decyzji błędnie określono, iż stroną niniejszego postępowania i jednocześnie adresatem nakazu sformułowanego w pkt 1 decyzji jest Fundusz Inwestycyjny [...], podczas gdy stroną tą jest niewątpliwie Spółka. Dlatego też konieczne jest uchylenie zaskarżonej decyzji w zakresie jej pkt 1. Jednocześnie wskazano, iż całe postępowanie pierwszoinstancyjne w niniejszej sprawie zostało przeprowadzone wobec Spółki i z zagwarantowaniem jej uprawnień wynikających k.p.a, w szczególności z art. 10 § 1 i art. 73 § 1 k.p.a. Jednocześnie zauważono, iż zaskarżona decyzja została skierowana do Spółki, a więc właściwej strony postępowania, zatem wbrew zarzutom Spółki nie można mówić o wadzie postępowania określonej w art. 156 § 1 pkt 4 k.p.a., mogącej skutkować nieważnością decyzji. Odnosząc się natomiast do nakazu sformułowanego w pkt 1 decyzji z dnia [...] grudnia 2012 r. dotyczącego obowiązku informacyjnego określonego w art. 24 ustawy w zakresie poinformowania skarżącego o prawie dostępu do jego danych osobowych i prawie ich poprawiania, zgodzić należy się ze Spółką, iż sformułowanie nakazu było niezasadne, jednakże z innych względów niż podniesione we wniosku o ponowne rozpatrzenie sprawy. Spółka zarzuciła bowiem, iż w tym zakresie Skarżący nie wystąpił do niej z odpowiednim wnioskiem o podanie informacji. Tymczasem spełnienie obowiązku z art. 24 ustawy nie jest uzależnione od wniosku osoby, której dane dotyczą. Administrator danych jest bowiem obowiązany w momencie zbierania danych od osoby, której dane dotyczą, dopełnić obowiązku z art. 24 ustawy w zakresie określonym dyspozycją tego przepisu. Art. 24 ust. 1 ustawy o ochronie danych osobowych stanowi bowiem, że w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna – o miejscu swojego zamieszkania oraz imieniu i nazwisku (pkt 1), celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych (pkt 2), prawie dostępu do treści swoich danych oraz ich poprawiania (pkt 3), dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej (pkt 4). W myśl ust. 2 cytowanego przepisu, ust. 1 nie stosuje się, jeżeli: przepis innej ustawy zezwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania (pkt 1), osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1 (pkt 2). Jednakże, jak trafnie zauważyła Spółka w toku postępowania ponownego w niniejszej sprawie, dane skarżącego zostały pozyskane od niego w dniu [...] września 1996 r., tj. w dacie złożenia przez niego wniosku o ubezpieczenie na życie z funduszem inwestycyjnym. Tymczasem ustawa o ochronie danych osobowych zaczęła obowiązywać w dniu 30 kwietnia 1998 r. Zatem w dacie zbierania danych Skarżącego obowiązek informacyjny, o którym mowa w art. 24 ustawy, w zakresie poinformowania Skarżącego o prawie dostępu do danych oraz ich poprawiania, nie istniał. Dlatego też nie można mówić, by w tej dacie Spółka naruszyła w ww. zakresie przepisy ustawy, skoro ta nie obowiązywała. Natomiast pod rządami ustawy (od dnia [...] kwietnia 1998 r.) Spółka nie zbierała danych Skarżącego na potrzeby zawarcia umowy nr [...]. Powyższe ustalenie powoduje tym samym, iż sformułowany w pkt 1 zaskarżonej decyzji nakaz dotyczący obowiązku informacyjnego określonego w art. 24 ustawy w zakresie poinformowania Skarżącego o prawie dostępu do jego danych osobowych i prawie ich poprawiania, jest wadliwy i musiał zostać uchylony. Mając natomiast na względzie nakaz sformułowany również w pkt 1 zaskarżonej decyzji z dnia [...] grudnia 2012 r. dotyczący spełnienia wobec Skarżącego obowiązku informacyjnego z art. 33 ustawy poprzez podanie mu w powszechnie zrozumiałej treści jego danych osobowych zawartych w wyciągach stanu konta na Indywidualnym Koncie [...] prowadzonym w ramach polisy nr [...] wskazano, iż zgodnie z art. 6 ustawy o ochronie danych osobowych, za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (ust. 1), a osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (ust. 2). Dodatkowo zgodnie z treścią art. 33 ustawy o ochronie danych osobowych na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a (ust. 1). Na wniosek osoby, której dane dotyczą, informacji, o których mowa w ust. 1, udziela się na piśmie (ust. 2). Wskazany powyżej przepis art. 32 ust. 1 stanowi, iż każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do: uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna – jej miejsca zamieszkania oraz imienia i nazwiska (pkt 1), uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze (pkt 2), uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych (pkt 3), uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie w tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej (pkt 4), uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane (pkt 5), uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2 (pkt 5a). Odnosząc powyższe do niniejszego stanu faktycznego wskazano, iż "wyjawienie stanu konta" czy "informacje o wyciągach stanu konta na Indywidualnym Koncie [...] prowadzonym w ramach polisy nr [...]", względnie – jak to doprecyzował skarżący w piśmie z dnia [...] lipca 2013 r. – "informacje o wszelkich operacjach wykonywanych na Indywidualnym Koncie [...] w trakcie trwania umowy ubezpieczenia [polisa ubezpieczeniowa nr [...] zawartej ze Skarżącym w dniu [...] listopada 1996 r., która uległa rozwiązaniu w dniu [...] września 2002 r. [tj. o wszystkich operacjach wykonywanych przez cały okres obowiązywania tej umowy]", nie są informacją o treści danych osobowych przetwarzanych przez administratora danych osobowych, o której mowa w art. 32 ust. 1 pkt 3 ustawy in fine. Tym samym powyższe informacje nie są informacjami, których udostępnienia można domagać się od administratora danych osobowych w trybie wniosku o spełnienie obowiązku informacyjnego, o którym mowa w art. 33 ust. 1 ustawy. Dokonana w zaskarżonej decyzji ocena Generalnego Inspektora Ochrony Danych Osobowych uznająca informacje o wszelkich operacjach wykonywanych na Indywidualnym Koncie [...] za informacje podpadające pod dyspozycję przepisu w art. 32 ust. 1 pkt 3 ustawy in fine była błędna. Powyższe powoduje, iż sformułowanie w pkt 1 zaskarżonej decyzji nakazu dotyczącego wypełnienia obowiązku informacyjnego z art. 33 w zw. z art. 32 ust. 1 pkt 3 ustawy o ochronie danych osobowych w stosunku do C. P. poprzez podanie mu w powszechnie zrozumiałej treści jego danych osobowych zawartych w wyciągach stanu konta na Indywidualnym Koncie [...] prowadzonym w ramach polisy nr [...] było wadliwe, a jednocześnie naruszało wyżej wskazane przepisy ustawy w zw. z art. 18 ust. 1 pkt 1 ustawy. Dlatego też opisany nakaz został uchylony. Jak bowiem wyżej wskazano, niezasadne jest bowiem domaganie się przez skarżącego ww. informacji w trybie art. 33 ust. 1 ustawy. Wskazano jednocześnie, że "informacje o wszelkich operacjach wykonywanych na Indywidualnym Koncie [...] w trakcie umowy ubezpieczenia nr [...]" nie mogą być uznane za dane osobowe w rozumieniu art. 6 ust. 1 ustawy, jako informacje odnoszące się do zidentyfikowanej osoby fizycznej, bowiem są to informacje finansowe dotyczące alokacji składek, o których mowa w ww. umowie ubezpieczenia. W tym kontekście jednocześnie nie można mówić o treści takich informacji w rozumieniu art. 32 ust. 1 pkt 3 ustawy, gdyż "treścią danych" są kategorie danych osobowych, rodzaj danych osobowych jak np. imię, nazwisko, adres. Również treść ww. pisma skarżącego z dnia [...] maja 2012 r. skierowanego do Spółki nie pozwala na potraktowanie go jako wniosku z art. 33 ust. 1 ustawy, w szczególności nie wynika z niego, by Skarżący wnioskował o udostępnienie mu informacji o treści jego danych w rozumieniu art. 32 ust. 1 pkt 3 ustawy, gdyż wnosił on o cyt.: "(...) potwierdzenie jak alokowano w poszczególnych funduszach wpłaty rocznych składek ubezpieczeniowych i w jakim terminie (o następowało. Następnie potwierdzenia ujęcia z [...] kosztów wstępnych, opłat administracyjnych, opłat za zarządzanie funduszem kapitałowym oraz opłat od ryzyka poprzez wskazanie alokacji funduszy i terminów dokonywanych operacji. A w finale ujęcie z [...] trzech wypłat dla Wnioskodawcy poprzez wskazanie alokacji funduszy, na których dokonywano operacji oraz terminów operacji (...)". Za słuszne tym samym uznać należy stanowisko Spółki wyrażone w piśmie z dnia [...] czerwcu 2012 r. skierowanym do Skarżącego, iż cyt.: "(...) art. 33 ustawy o ochronie danych osobowych również nie stanowi podstawy do realizacji Pana żądania precyzowanego jako żądania >wyjawienia wyciągu stanu konta<. (...). Zakres informacji, których Pan żąda nie jest tymczasem tożsamy z zakresem wskazanym w art. 32 ust. 1 pkt 1 – 5a tejże ustawy (...)". Odnosząc się natomiast do żądania Skarżącego zawartego w piśmie z dnia [...] sierpnia 2012 r. dotyczącego "wydania decyzji obligującej [...] {Spółkę} do przekazania wszystkich danych osobowych Skarżącego, które zgodnie z treścią pisma zostały przekazane do [...]w K. oraz [...] w W.", ponownie podkreślono, iż w materiale dowodowym brak jest potwierdzenia, by Skarżący zwracał się do Spółki o spełnienie obowiązku informacyjnego wynikającego z art. 33 ustawy o ochronie danych osobowych w zakresie wskazanym w ww. piśmie. Zgodnie natomiast z dyspozycją przytoczonego powyżej przepisu, realizacja określonego w nim uprawnienia następuję na wniosek osoby której dane dotyczą, skierowany do administratora jej danych osobowych. Takie stanowisko znajduje oparcie w piśmiennictwie dotyczącym analizowanego zagadnienia, gdzie wprost wskazuje się, że: "przepis art. 33 u.o.d.o. pozostaje w związku z art. 32, wyposażającym osobę, której dotyczą zawarte w zbiorze dane, w określone roszczenia w stosunku do administratora. Przepis art. 33 u.o.d.o. zobowiązuje przede wszystkim administratora do informowania osób, których dane dotyczą, o przysługujących im prawach. Chodzi tu o prawa wynikające z niniejszej ustawy (w pierwszym rzędzie wynikające z art. 32 i 35, w pewnych przypadkach także z art. 23-25 i 27). Informacji tych administrator nie udziela z urzędu osobom, których dane przetwarza, lecz tylko na ich wniosek. Pojęcie "wniosek" należy tłumaczyć szeroko, nie stawiając wymogów formalnych co do jego treści czy formy" (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz. LEX, 2011). W związku z powyższym, jeżeli wolą Skarżącego jest uzyskanie innych informacji wskazanych w przedmiotowym piśmie, powinien on najpierw skorzystać z realizacji uprawnienia określonego w art. 33 ustawy o ochronie danych osobowych. W przypadku niespełnienia przez administratora danych w ustawowym terminie powyższego obowiązku, osoba której dane dotyczą, może zwrócić się do Generalnego Inspektora z żądaniem wydania decyzji administracyjnej w trybie określonym art. 18 ustaw o ochronie danych osobowych. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie, skarżący C. P. wniósł o uchylenie zaskarżonej decyzji w całości i o zobowiązanie Generalnego Inspektora Ochrony Danych Osobowych do nakazania [...] dopełnienia wobec niego obowiązku informacyjnego z art. 33 ustawy w zakresie informacji o wszelakich operacjach wykonywanych na Indywidualnym Koncie [...] w trakcie trwania umowy ubezpieczenia (polisa nr [...]) zawartej z nim [...] listopada 1996 r., która uległa rozwiązaniu w dniu [...] września 2002 r. (tj. o wszystkich operacjach wykonywanych przez cały okres obowiązywania umowy) w formie papierowej i elektronicznej. Jego zdaniem treścią decyzji powinno być także zobowiązanie [...] do przekazanie wszelkich danych osobowych gromadzonych i przetwarzanych w [...] oraz u innych podmiotów, którym [...]. powierzyło administracje danych ([...] wymieniło w piśmie z dnia [...] lipca 2012 roku [...] w K. oraz [...] w W.) w związku z polisą ubezpieczeniową nr [...]. Natomiast zarzucił jej naruszenie prawa materialnego poprzez: 1. Niewłaściwe zastosowanie art. 6 ust. 1 ustawy poprzez uznanie, iż będące w posiadaniu [...], informacje dotyczące operacji na koncie [...] ściśle związane z polisą ubezpieczeniową nr [...], nie stanowią danych osobowych, gdy tymczasem za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej osoby fizycznej. 2. Niewłaściwe zastosowania art. 33 ust. 1 w zw. z art. 32 ust. 1 pkt 3 ustawy, poprzez nieprawidłowe ustalenie, iż [...] nie był obowiązany do udzielenia skarżącemu informacji o operacjach na koncie [...] prowadzonego dla skarżącego, gdyż nie są to informacje o treści danych osobowych. 3. Niewłaściwe zastosowanie art. 23 ust. 1 w zw. art. 24 ust. 1 oraz art. 32 ust. 1 pkt 4 ustawy, który nakłada obowiązek uzyskania od administratora danych wyraźnej zgody osoby, której dane będą przetwarzanie oraz obliguje do udzielania informacji na temat zakresu przetwarzanych danych oraz źródeł ich pochodzenia, poprzez ustalenie, iż umowa ubezpieczenia została zawarta w roku 1996 a ustawa weszła w życie 30 kwietnia 1998 roku, gdy tymczasem umowa ubezpieczenia została rozwiązana [...] września 2002, tj. pod rządami ustawy. 4. Naruszenia zasad ogólnych wyrażonych w art.7 i art. 8 w zw. z art. 104 ustawy kodeks postępowania administracyjnego poprzez uznanie, iż nie jest możliwym modyfikowanie w trakcie postępowania treści żądania zawartego we wniosku złożonym do [...] oraz w skardze do GIODO, gdy tymczasem dopiero w trakcie postępowania [...] ujawniło informacje (zakres przetwarzania danych, miejsca przetwarzania danych, formy przetwarzania danych) skutkujące koniecznością modyfikacji treści żądania a zasady ogólne wyrażone w powyższych przepisach nie obligują organu li tylko do rozpoznania wniosku ale przede wszystkim do załatwienia sprawy. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, wskazując na dotychczasowe ustalenia faktyczne i prawne. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości m.in. poprzez kontrolę działalności administracji publicznej pod względem zgodności z prawem. Skarga analizowana pod tym kątem podlega oddaleniu, bowiem zaskarżona decyzja została wydana zgodnie z prawem. Stosownie do treści art. 24 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku, 2) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych, 3) prawie dostępu do treści swoich danych oraz ich poprawiania, 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Z kolei według ust. 2 tegoż przepisu, przepisu ust. 1 nie stosuje się, jeżeli: 1) przepis innej ustawy zezwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania, 2) osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1. Natomiast w myśl art. 62 ustawy, weszła ona w życie po upływie 6 miesięcy od dnia ogłoszenia, zaś jej ogłoszenie nastąpiło w Dzienniku Ustaw z dnia 29 października 1997 r. (Dz. U. Nr 133, poz. 883), zatem zaczęła ona obowiązywać od dnia 30 kwietnia 1998 r. Tymczasem w rozpoznawanej sprawie Spółka uzyskała dane skarżącego w dniu [...] września 1996 r., tj. po podpisaniu przez skarżącego wniosku o ubezpieczenie na życie z funduszem inwestycyjnym. Zatem w tym dniu ustawa jeszcze nie obowiązywała i w konsekwencji nie istniał obowiązek informacyjny wynikający z cytowanego już wyżej przepisu art. 24 ustawy, a od 30 kwietnia 1998 r. Spółka nie zbierała od skarżącego danych osobowych na potrzeby zawarcia umowy nr [...]. W dalszym ciągu stwierdzić należy, że w myśl art. 6 ust. 1 ustawy, w rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, a według ust. 2 tegoż przepisu, osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Z kolei według treści art. 33 ustawy, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1 – 5a (ust.1), a na wniosek osoby, której dane dotyczą, informacji, o których mowa w ust. 1, udziela się na piśmie (ust. 2). Natomiast według brzmienia wspomnianego już wyżej przepisu art. 32 ust. 1 pkt 1 – 5a ustawy, każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do: 1) uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska, 2) uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze, 3) uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych, 4) uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie w tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej, 5) uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane, 5a) uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2. Tymczasem wyjawnienie stanu konta czy informacje o wyciągach stanu konta na Indywidualnym Koncie [...] prowadzonym w ramach polisy nr [...] oraz, co zostało doprecyzowane przez skarżącego w piśmie z dnia [...] lipca 2013 r., informacje o wszelkich operacjach wykonywanych na indywidualnym Koncie [...] w trakcie trwania umowy ubezpieczenia, tj. o wszystkich operacjach wykonywanych od dnia [...] listopada 1996 r. do dnia [...] września 2002 r. (data rozwiązania umowy), nie są informacją o treści danych osobowych przetwarzanych przez administratora danych osobowych w myśl art. 32 ust. 1 pkt 3 in fine ustawy i w konsekwencji powyższe informacje nie są tymi informacjami, których skutecznie można się domagać od administratora danych osobowych w trybie wniosku o spełnienie obowiązku informacyjnego złożonego na podstawie art. 32 ust. 1 ustawy. Z tego mianowicie powodu, że żądane informacje nie są danymi osobowymi, o których mowa w art. 6 ustawy. Podkreślenia bowiem wymaga, że operacje finansowe dotyczące alokacji składek, o których mowa w umowie ubezpieczenia, nie identyfikują osoby. W tej sytuacji – zdaniem Sądu – nie ma zastosowania ustawa o ochronie danych osobowych i dotyczy to również pisma skarżącego z [...] maja 2012 r. wystosowanego do Spółki, bowiem jego treść sprowadzająca się do "(...) potwierdzenie jak alokowano w poszczególnych funduszach wpłaty rocznych składek ubezpieczeniowych i w jakim terminie (o następowało. Następnie potwierdzenia ujęcia z [...] kosztów wstępnych, opłat administracyjnych, opłat za zarządzanie funduszem kapitałowym oraz opłat od ryzyka poprzez wskazanie alokacji funduszy i terminów dokonywanych operacji. A w finale ujęcie z [...] trzech wypłat dla Wnioskodawcy poprzez wskazanie alokacji funduszy, na których dokonywano operacji oraz terminów operacji (...)", nie ma charakteru wniosku z trybu art. 33 ust. 1 pkt 3 ustawy, bowiem nie jest on tożsamy z zakresem wskazanym w art. 32 ust. 1 pkt 1 – 5a ustawy. W dalszym ciągu wskazać należy, że żądanie skarżącego z pisma z dnia [...] sierpnia 2012 r. dotyczące wydania decyzji obligującej [...] do przekazania wszystkich jego danych osobowych przekazanych do [...]w K. oraz [...] w W., nie zasługuje na uwzględnienie. Rację bowiem należy przyznać organowi, że w aktach sprawy brak jest potwierdzenia, aby skarżący zwracał się z wnioskiem do Spółki o spełnienie tego obowiązku informacyjnego wynikającego z art. 33 ustawy. Odnosząc się z kolei do zarzutu naruszenia przez organ art. 23 ust. 1 w zw. z art. 24 ust. 1 oraz art. 32 ust. 1 pkt 4 ustawy wskazać należy, iż nie zasługuje on na uwzględnienie. Na samym wstępie omawiania tej zagadnienia stwierdzić należy, iż przepisy te, jako normujące różne kwestie, pozostają ze sobą bez związku i wobec ich zestawienie nie jest zasadne. Podstawą przetwarzania danych skarżącego był przepis art. 23 ust. 1 pkt 3 ustawy, bowiem jego dane były przetwarzane przez Spółkę w celu realizacji umowy z dnia [...] listopada 1996 r., której wymieniony był stroną, zaś aktualnie podstawę tę stanowi art. 23 ust. 1 pkt 2 ustawy, gdyż jego dane przetwarzane są w celach archiwalnych, a kwestia ta nie była przedmiotem zaskarżenia w niniejszej sprawie. Natomiast art. 32 ust. 1 pkt 4 ustawy stanowi o prawie osoby, której dane dotyczą, do uzyskania od administratora danych informacji o źródle, z którego jej dane pochodzą. Tymczasem w rozpoznawanej sprawie źródła danych skarżącego przetwarzanych przez Spółkę w związku z umową z dnia [...] listopada 1996 r., była kwestią bezsporną, bowiem to właśnie skarżący był "źródłem" owych danych. Co więcej kwestia pozyskania informacji o źródle danych przez osobę, której dane dotyczą, mogłaby być co najwyżej przedmiotem wniosku z art. 33 ust. 1 ustawy skierowanego do administratora, a takiego wniosku w sprawie nie było. Niezależnie od powyższego podnieść należy, że bezspornym jest, iż skarżący może modyfikować żądanie pod adresem organu do czasu wydania przezeń decyzji. Jednakże dokonana przez wymienionego modyfikacja żądania w piśmie z dnia [...] sierpnia 2012 r. skierowanym do organu, nie mogła spowodować wydania przez organ nakazu pod adresem Spółki w zakresie określonym w powyższym piśmie, bowiem decydującym było ustalenie przez Generalnego Inspektora, iż skarżący nie występował do Spółki o udostępnienie mu informacji określonych w powyższym piśmie. Natomiast dopiero bezczynność administratora w przedmiocie takiego wniosku, mogłaby być przedmiotem zaskarżenia do Generalnego Inspektora Ochrony Danych Osobowych, bowiem – jak słusznie zauważono w odpowiedzi na skargę – organ nie może bowiem wyręczać strony w realizacji jej uprawnień wynikających z ustawy. W tym stanie rzeczy, na mocy art. 151 w zw. z art. 132 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2012 r. poz. 270), należało orzec jak w sentencji wyroku.