II SA/Wa 248/09

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Przemysław Szustakiewicz, Sędziowie WSA Eugeniusz Wasilewski, Adam Lipiński (spr.), Protokolant Sylwia Falkowska, po rozpoznaniu na rozprawie w dniu 22 maja 2009 r. sprawy ze skargi E.R. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] grudnia 2008 r. nr [...] w przedmiocie ochrony danych osobowych: 1) uchyla zaskarżoną decyzję i poprzedzającą ją decyzję z dnia [...] października 2008 r.; 2) zaskarżona decyzja nie podlega wykonaniu w całości; 3) zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz E.R. kwotę 200 (dwieście) złotych tytułem zwrotu kosztów postępowania. W dniu 28 stycznia 2008 r. E. R. przesłała do wiadomości Generalnego Inspektora Ochrony Danych Osobowych, skierowane do R. Sp. z o.o. z siedzibą w W., opatrzone tą datą pismo, w którym zażądała usunięcia swojego nazwiska i adresu z zasobu danych adresowych ww. Spółki i zamieściła informację, że w przypadku doręczenia jej kolejnej przesyłki pocztowej ze strony Spółki skieruje sprawę na drogę sądową. Kolejne pismo E. R. przesłała do wiadomości Generalnego Inspektora Ochrony Danych Osobowych w dniu 6 lutego 2008 r., załączając tym razem kopię koperty, otrzymanej od R., przesyłki listowej. W piśmie ponowiła wcześniejsze żądanie usunięcia swoich danych osobowych ze zbioru prowadzonego przez Spółkę i oświadczyła, że działania pracowników Spółki postrzega jako naruszenie dóbr osobistych określonych w art. 23 Kodeksu cywilnego. W odpowiedzi na pismo z dnia 6 lutego 2008 r. Generalny Inspektor Ochrony Danych Osobowych, pismem z dnia 19 lutego 2008 r. znak [...], pouczył skarżąca o treści art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) oraz art. 63 § 2 k.p.a. i wynikających z powyższych przepisów warunkach formalnych, które musi spełniać skarga wnoszona do organu i wezwał skarżącą do sprecyzowania żądania zawartego w piśmie z dnia 6 lutego 2008 r., w terminie 7 dni pod rygorem pozostawienia go bez rozpoznania. Skarżąca uczyniła zadość wezwaniu organu składając w dniu 29 lutego 2008 r. pismo, w którym stwierdziła, że wobec braku reakcji R., zwraca się do GIODO o wydanie decyzji administracyjnej nakazującej Spółce usunięcie jej danych osobowych z posiadanego zbioru danych oraz dopełnienie przez Spółkę obowiązku informacyjnego określonego w art. 35 ust. 3 ustawy o ochronie danych osobowych – w przypadku, gdy dane zostały przekazane innym instytucjom i podmiotom. W toku postępowania wyjaśniającego GIODO wezwał R. Sp. z o.o. z siedzibą w W. do wskazania podstawy prawnej, celu i zakresu w jakim Spółka przetwarza dane osobowe skarżącej oraz udzielenia informacji, czy dane osobowe skarżącej zostały udostępnione innym podmiotom, a jeżeli tak to na jakiej podstawie, w jakim celu i w jakim zakresie. Wykonując wezwanie organu Spółka w piśmie z dnia 20 marca 2008 r. podała, że dane E. R. przetwarza w celach marketingowych, w oparciu o art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Z kolei, zakres przetwarzanych danych, jak wyjaśniła Spółka, obejmuje: imię, nazwisko, płeć, adres, kod pocztowy i miejscowość. Dodatkowo Spółka stwierdziła, że dopełniła względem skarżącej obowiązku informacyjnego przewidzianego w art. 25 ust. 1 ustawy i skierowała w dniu 17 stycznia 2008 r. na jej adres stosowne zawiadomienie. Powyższe informacje Spółka uzupełniła o stwierdzenie, że w dniu 11 lutego 2008 r. wpłynął do jej siedziby sprzeciw skarżącej odnośnie sposobu przetwarzania danych osobowych, Spółka sprzeciw ten uwzględniła, a w konsekwencji wyłączną podstawą przetwarzania danych osobowych skarżącej jest obecnie art. 32 ust. 3 ustawy o ochronie danych osobowych. W odniesieniu do wezwania organu w części dotyczącej udostępnienia danych osobowych skarżącej innym podmiotom, Spółka oświadczyła, że dane nie zostały udostępnione osobom trzecim, za wyjątkiem podmiotów, którym powierzono szczególne czynności związane z przygotowaniem i wysyłką materiałów promocyjnych, na co zezwala art. 31 ww. ustawy. W dniu 21 marca 2008 r. skarżąca złożyła do akt kopię pisma Spółki z dnia 7 marca 2008 r. zawierającego informację o przyjęciu jej sprzeciwu oraz udzieloną przez siebie odpowiedź (pismo z dnia 21 marca 2008 r.). W ramach prowadzonego postępowania dowodowego GIODO skierował następnie wezwanie do Spółki, w którym zażądał podania podstawy prawnej pozyskania danych osobowych skarżącej, źródła pozyskania tych danych oraz zakresu pozyskanych danych, a po uzyskaniu informacji, że dane skarżącej Spółka nabyła na podstawie umowy zawartej z I. z siedzibą w L. w prawnie usprawiedliwionym celu polegającym na marketingu towarów i usług (art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 4 pkt 1 ustawy), organ wezwał o przesłanie potwierdzonej za zgodność z oryginałem kopii tej umowy, po uprzednim usunięciu z niej informacji stanowiących tajemnicę handlową. Po włączeniu tej umowy do materiału dowodowego, GIODO zwrócił się do skarżącej o udzielenie informacji, czy udostępniła ona swoje dane osobowe ww. kontrahentowi Spółki. Skarżąca oświadczyła, że nie udostępniła danych ani ww. podmiotowi, ani Spółce R. Sp. z o.o., ani żadnej innej firmie zajmującej się pozyskiwaniem i handlem danymi adresowymi, a w końcowej części pisma zaznaczyła, iż oczekuje od organu podjęcia działań, które doprowadzą do usunięcia jej danych osobowych ze zbioru prowadzonego przez te dwie firmy. Pismem z dnia 24 lipca 2008 r. GIODO wezwał Spółkę o przedstawienie dokumentów potwierdzających pozyskanie przez R. Sp. z o.o. danych osobowych skarżącej na podstawie umowy zawartej z I. W odpowiedzi na wezwanie Spółka powołała się na treść złożonej już do akt umowy. Decyzją z dnia [...] października 2008 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych, odmówił uwzględnienia wniosku skarżącej. W uzasadnieniu decyzji powołując się na ustalony w sprawie stan faktyczny organ stwierdził, iż Spółka R. Sp. z o.o. przetwarzała dane osobowe skarżącej na podstawie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, w myśl którego, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dotyczą. Powyższy przepis organ zestawił z treścią art. 23 ust. 4 pkt 1 ustawy, zgodnie z którym za prawnie usprawiedliwiony cel uważa się w szczególności marketing bezpośredni własnych produktów lub usług administratora danych. Odnosząc powyższe regulacje do treści sprzeciwu skarżącej z dnia 6 lutego 2008 r., a po jego uwzględnieniu przez Spółkę, do dalszego kategorycznego żądania skarżącej co do całkowitego usunięcia jej danych osobowych przez Spółkę, GIODO wyjaśnił, że uwzględnienie sprzeciwu nie jest tożsame z obowiązkiem całkowitego usunięcia danych osobowych osoby, która taki sprzeciw wniosła. Na dalsze bowiem przetwarzanie danych osobowych, jak zauważył organ, zezwala przepis art. 32 ust. 3 ustawy, który stanowi, iż w razie wniesienia sprzeciwu administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem. Tym samym, w ocenie organu, Spółka uprawniona jest do przetwarzania danych osobowych skarżącej wyłącznie w celu uniknięcia ponownego wykorzystania danych w celach marketingowych. We wniosku o ponowne rozpatrzenie sprawy skarżąca, wyrażając swoje niezadowolenie z wydanej decyzji, podniosła, że wbrew stanowisku GIODO w zakresie możliwości przetwarzania jej danych osobowych, uważa, że powinno nastąpić przywrócenie stanu sprzed pozyskania przez Spółkę jej danych, czyli ich całkowite usunięcie. Wystąpiła zatem o wydanie, po ponownym rozpatrzeniu sprawy, rozstrzygnięcia, o którym mowa w art. 18 ust. 1 pkt 6 ustawy. Stwierdziła także, że w odniesieniu do przetwarzania jej danych przez I. z siedzibą w L. podejmie odrębne, przewidziane prawem działania. Decyzją z dnia [...] grudnia 2008 r. nr [...] wydaną po ponownym rozpatrzeniu sprawy, Generalny Inspektor Ochrony Danych Osobowych utrzymał w mocy zaskarżoną decyzję. W jej uzasadnieniu powtórzył motywy rozstrzygnięcia przedstawione we wcześniejszej decyzji, a analizując zarzuty postawione we wniosku o ponowne rozpatrzenie sprawy wyjaśnił, że sugerowana przez skarżącą uznaniowość przetwarzania danych osobowych jest nieuzasadniona z uwagi na treść art. 32 ust. 3 ustawy. Decyzja ta stała się przedmiotem skargi wniesionej do Wojewódzkiego Sądu Administracyjnego w Warszawie. E. R. zarzuciła Generalnemu Inspektorowi Ochrony Danych Osobowych wydanie zaskarżonej decyzji z naruszeniem art. 30 i 51 Konstytucji Rzeczypospolitej Polskiej oraz art. 1 ust. 1 i 2, art. 23 ust. 1 pkt 5 i art. 32 ust. 3 ustawy o ochronie danych osobowych i wniosła o uchylenie tak zaskarżonej decyzji, jak i decyzji ją poprzedzającej. Uzasadniając postawione zarzuty podniosła, że poprzez nielegalny obrót i wykorzystanie danych osobowych doszło do naruszenia jej godności, a przetwarzanie danych od początku odbywało się bez jej wiedzy i zgody. Podniosła też, że organ błędnie przyjął, że skierowane do Spółki żądanie usunięcia danych było sprzeciwem, skoro złożone żądanie miało charakter kategoryczny i dotyczyło całkowitego usunięcia danych. W odpowiedzi na skargę organ podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji i wniósł o oddalenie skargi. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 13 § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), do rozpoznania sprawy właściwy jest wojewódzki sąd administracyjny, na którego obszarze właściwości ma siedzibę organ administracji publicznej, którego działalność została zaskarżona. Natomiast zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Skarga oceniana pod tym względem zasługuje na uwzględnienie. Zakres uprawnień GIODO określony został w art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Zgodnie z tym przepisem w razie stwierdzenia naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, nakazuje administratorowi danych, w drodze decyzji administracyjnej przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie uchybień, uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych. Z powołanego przepisu wynika, że do wydania decyzji pozytywnej, w rozumieniu art. 18 ust. 1 ustawy, konieczne jest stwierdzenie naruszenia prawa określonego przepisami ustawy o ochronie danych osobowych. Natomiast w sytuacji, gdy postępowanie administracyjne przed Generalnym Inspektorem Ochrony Danych Osobowych wszczynane jest na podstawie żądania strony (składanego przez nią wniosku), to w pierwszej kolejności konieczne jest ustalenie przez organ zakresu żądania strony, który to zakres wyznacza przedmiot całego postępowania. O ile w początkowej fazie postępowania – w momencie przekazania przez skarżącą pisma z dnia 6 lutego 2008 r. do wiadomości Generalnego Inspektora Ochrony Danych Osobowych, organ prawidłowo (zgodnie z dyspozycją art. 64 § 2 i art. 63 § 2 k.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych) wezwał skarżącą do wskazania zakresu żądania objętego tym pismem, poprzez sprecyzowanie, jakich działań domaga się skarżąca od Generalnego Inspektora Ochrony Danych Osobowych wobec R. Sp. z o.o. i wyjaśnił wymogi formalne przewidziane dla skargi wnoszonej do GIODO łącznie z obowiązkiem uiszczenia opłaty skarbowej, to już na dalszym etapie postępowania nie wziął pod uwagę, iż skarżąca rozszerzyła swoje pierwotne żądanie. Jak wynika z akt administracyjnych, E. R. treść swojego pisma z dnia 6 lutego 2008 r. w zakresie postawionego żądania sprecyzowała, w wykonaniu wezwania organu, pismem z dnia 29 lutego 2008 r. Oświadczyła wówczas, że domaga się od GIODO wydania decyzji nakazującej R. Sp. z o.o. usunięcia jej danych osobowych. Natomiast pismem z dnia 27 czerwca 2008 r. skarżąca uzupełniła swój pierwotny wniosek i poza żądaniem wydania decyzji nakazującej usunięcie danych Spółce R. Sp. z o.o. wystąpiła z takim żądaniem także wobec I. z siedzibą w L. w Wielkiej Brytanii. W piśmie z dnia 27 czerwca 2008 r. skarżąca w sposób jednoznaczny wymieniła nazwy tych dwóch podmiotów z podaniem miejsca ich siedziby i zwróciła się do GIODO o całkowite usunięcie swoich danych osobowych z dokumentacji przez nie prowadzonych. Nie budzi również wątpliwości, że uchybienie organu polegające na pominięciu tej części żądania zostało pośrednio podniesione przez skarżącą we wniosku o ponowne rozpatrzenie sprawy. W końcowej części wniosku skarżąca wskazała bowiem na wadliwość decyzji wydanej w dniu [...] października 2008 r. stwierdzając, że w odniesieniu do firmy I. L. podejmie odrębne, przewidziane prawem działania. Oznacza to, iż skarżąca dostrzegła, że organ nie odniósł się do całości jej żądania i rozstrzygnął wyłącznie kwestię przetwarzania jej danych osobowych przez R. Sp. z o.o. i to pomimo iż prowadził postępowanie dowodowe na okoliczność zgody udzielonej przez skarżącą I. (v. pismo GIODO z dnia 18 czerwca 2008 r. [...] – k. 33). Powstałe uchybienie miało zatem istotny wpływ na prowadzone postępowanie i wydane w nim decyzje administracyjne. Jak wskazano powyżej w toku postępowania skarżąca w sposób kategoryczny domagała się od GIODO wydania decyzji, o której mowa w art. 18 ust. 1 pkt 6 ustawy, w tym przypadku nakazaniu usunięcia jej danych osobowych najpierw przez Spółkę R. Sp. z o.o., a potem także przez I. Stosownie zaś do treści art. 7 pkt 3 ustawy o ochronie danych osobowych, przez usuwanie danych rozumie się zniszczenie danych osobowych lub taką ich modyfikację, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą. Organ nie podzielił stanowiska skarżącej, aby konieczne było usunięcie jej danych osobowych. Co więcej uznał, że przetwarzanie danych osobowych przez R. odbywało się w oparciu o przesłankę legalizującą przetwarzanie danych wymienioną w art. 23 ust. 1 pkt 5 i ust. 4 pkt 1 ustawy, tzn. przetwarzanie było niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych w postaci marketingu bezpośredniego własnych produktów lub usług administratora danych, a przetwarzanie nie naruszało praw i wolności osoby, której dane dotyczą. Jednocześnie stwierdził, że po uwzględnieniu sprzeciwu skarżącej, Spółka może nadal przetwarzać jej dane osobowe, tym razem w zakresie ściśle określonym przez ustawodawcę w art. 32 ust. 3 ustawy. Organ nie odniósł się natomiast w żaden sposób do przetwarzania danych osobowych skarżącej przez I. i nie podjął jakichkolwiek działań mających na celu ustalenie sposobu uzyskania przez ten podmiot danych osobowych skarżącej, choć, co wymaga jeszcze raz podkreślenia, skarżąca skierowanym do organu żądaniem objęła także ten podmiot. Co prawda organ zwrócił się do skarżącej o złożenia oświadczenia, czy udzieliła zgody na przetwarzanie swoich danych przez I., ale po otrzymaniu negatywnej odpowiedzi od skarżącej poprzestał na tym oświadczeniu, zamknął postępowanie wyjaśniające i wydał decyzję. Należy poczynić przy tym uwagę, że wprawdzie GIODO nie mógł objąć postępowaniem administracyjnym i tym samym stosować przepisów ustawy wobec podmiotu mającego siedzibę poza terytorium Rzeczypospolitej Polskiej (art. 3 ust. 2 pkt 2 ustawy), niemniej jednak mógł co najmniej zwrócić się do odpowiedniego organu nadzorczego w zakresie przetwarzania danych osobowych na terytorium Wielkiej Brytanii o udzielenie stosownych informacji co do przetwarzania danych osobowych przez należący do jego właściwości podmiot zagraniczny. Na takie działania zezwala art. 28 ust. 6 zd. 3 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. U. UE L z dnia 23 listopada 1995 r.), który stanowi, iż organy nadzorcze współpracują ze sobą w zakresie koniecznym do wykonywania swoich obowiązków, zwłaszcza poprzez wymianę wszelkich przydatnych informacji. Za podjęciem takich działań przemawia bardzo szeroki zakres danych osobowych obywateli polskich, które przetwarza I. Z materiałów zgromadzonych w aktach administracyjnych wynika, że R. Sp. z o.o. otrzymał od tej firmy dane adresowe obywateli polskich na płytach CD w kilku transzach. Zatem, w zestawieniu z pojemnością tych nośników danych należy stwierdzić, że skala, na którą I. przetwarza dane osobowe jest bardzo duża. Przede wszystkim zaś nie można przyjąć, mając na względzie zakres złożonego przez stronę do organu żądania dotyczącego przetwarzania jej danych osobowych przez dwa podmioty, w tym jeden zagraniczny, że stwierdzenie legalności przetwarzania danych osobowych przez podmiot polski, który uzyskał dane osobowe od podmiotu zagranicznego na podstawie zawartej z nim umowy, bez jakiegokolwiek badania sposobu pierwotnego uzyskania tych danych przez podmiot zagraniczny, przesądza o wystąpieniu po stronie podmiotu polskiego okoliczności usprawiedliwiającej przetwarzanie danych osobowych wymienionej w art. 23 ust. 1 pkt 5 w zw. z ust. 4 pkt 1 ustawy o ochronie danych osobowych. Wówczas bowiem uzyskanie danych w sposób nielegalny przez podmiot zagraniczny - tj. w sposób naruszający prawa i wolności osoby, której dane dotyczą - podlegałoby swoistej "legalizacji" w wyniku przetwarzania tych danych przez drugi, polski podmiot. Trzeba podkreślić, że w sprawie E. R. konsekwentnie domagała się usunięcia swoich danych osobowych i równie konsekwentnie powoływała się na okoliczności naruszenia swoich praw poprzez przetwarzanie danych osobowych przez dwa ww. podmioty. Jednocześnie organ był związany wnioskiem skarżącej, ponieważ, uzupełniony pismem z dnia 27 czerwca 2008 r., wniosek nie budził wątpliwości i nie wymagał prowadzenia przez organ tzw. postępowania naprawczego w trybie określonym w art. 64 § 2 k.p.a. Jednak organ prowadząc postępowanie administracyjne nie zebrał w sposób wyczerpujący materiału dowodowego w części dotyczącej możliwości naruszenia praw i wolności skarżącej przez przetwarzanie jej danych osobowych i choć podjął w tym kierunku działania wzywając m.in. dwukrotnie R. do złożenia dokumentów wskazujących na źródło pochodzenia danych skarżącej, a potem potwierdzających przekazanie danych Spółce przez I. oraz dopuścił dowód z oświadczenia skarżącej, to były to działania niewystarczające do odmowy uwzględnienia wniosku skarżącej i uznania, że w sprawie nie ma podstaw do nakazania Spółce usunięcia danych. Poza tym GIODO całkowicie pominął kwestię sposobu uzyskania i przetwarzania danych skarżącej przez podmiot zagraniczny i wpływu jaki to przetwarzanie mogło mieć na legalność przetwarzania tych danych w Polsce. Zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie, z powyższych względów, w toku przeprowadzonego postępowania administracyjnego Generalny Inspektor Ochrony Danych Osobowych nie poczynił w sposób dostateczny ustaleń faktycznych, nie rozstrzygnął o całości żądania strony oraz w sposób niepełny uzasadnił zaskarżoną decyzję i decyzję ją poprzedzającą, a w rezultacie naruszył przepisy postępowania, tj. art. 7, 77, 80 oraz art. 107 § 3 k.p.a. w sposób, który mógł mieć istotny wpływ na wynik sprawy. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. "c" cyt. ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w pkt 1 sentencji wyroku. O wstrzymaniu wykonania zaskarżonej decyzji, w pkt 2 sentencji, Sąd orzekł na podstawie art. 152 tej ustawy. O kosztach, w pkt 3 sentencji wyroku, orzeczono na podstawie art. 200, art. 205 § 1 oraz art. 209 tejże ustawy.