II SA/Wa 307/12

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA – Stanisław Marek Pietras (spraw.) Sędzia WSA – Sławomir Antoniuk Sędzia WSA – Waldemar Śledzik Protokolant – sekretarz sądowy Sylwia Mikuła po rozpoznaniu na rozprawie w dniu 12 czerwca 2012 r. sprawy ze skargi I. S.A. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] grudnia 2011 r. nr [...] w przedmiocie usunięcia uchybień w zakresie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] sierpnia 2011 r. nr [...] 2. stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości, 3. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz I. S.A. kwotę 457 zł (czterysta pięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania. Skarżący T. B. złożył skargę do Generalnego Inspektora Ochrony Danych Osobowych na nieprawidłowości w przetwarzaniu jego danych osobowych przez I. S.A. z siedzibą w J. przy [...] i zarzucił I. naruszenie art. 23, 24, 25 i art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (teks jedn. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) poprzez przesłanie "dnia [...] stycznia 2010 r. na (jego) pracowniczą skrzynkę pocztową o adresie [...] niezamówionej informacji handlowej w postaci reklamy o tytule »[...]«" bez jego zgody oraz wskazał, że nigdy nie wyrażał zgody na przetwarzanie jego danych osobowych przez I. Ponadto podniósł, że zwrócił się z pisemnym wnioskiem do I. o podanie danych wskazanych w art. 33 ust. 1 ustawy, na który nie otrzymał od Spółki żądanych informacji. W związku z powyższym skarżący sformułował wniosek o nakazanie I. realizacji obowiązku wynikającego z art. 33 ustawy, usunięcie jego danych ze zbioru administrowanego przez I. oraz o wszczęcie postępowania kontrolnego w celu zweryfikowania poprawności procedur ochrony danych osobowych w I., w tym sprawdzenia bezpieczeństwa przetwarzania danych i celu, w jakim są gromadzone. W toku przeprowadzonych w niniejszej sprawie czynności wyjaśniających organ ustalił, że na podstawie umowy zawartej w dniu [...] grudnia 2008 r. pt. "[...]", I. powierzyła A. Sp. j. z siedzibą w W. przy ul. [...], dane osobowe w zakresie adresów e-mail, w tym i adres skarżącego, a dane te zawarte w zabezpieczonym hasłem pliku Excel zostały przekazane A. za pośrednictwem poczty elektronicznej. Następnie w dniu [...] stycznia 2010 r. skarżący otrzymał na służbową skrzynkę pocztową wiadomość elektroniczną, której przedmiotem była niezamówiona informacja handlowa w postaci reklamy "[...]", a nadawcą wskazanej wiadomości była A. działająca na zlecenie I.. W dniu [...] stycznia 2010 r. skarżący drogą elektroniczną zwrócił się do A. z wnioskiem, o którym mowa w art. 33 ustawy, w treści którego zawarł informację o otrzymaniu przedmiotowej wiadomości e-mail, cyt.: "(...) z powołaniem na pozyskanie (...) adresu z ogólnodostępnych źródeł (...)" i z uwagi na powyższe wniósł o wskazanie przez A. powyższych źródeł. W tym samym dniu A. udzieliła odpowiedzi drogą elektroniczną informując, że "(...) adres został nam przekazany przez klienta, na rzecz którego robiliśmy mailing – jako że jest adresem firmowym, który w myśl ustawy nie podlega ochronie danych osobowych, pozwoliliśmy sobie wykorzystać go w jednorazowym mailingu (...)". W dniach [...] marca – [...] maja 2010 r. skarżący prowadził elektroniczną korespondencję z A. w toku której A. przeprosiła go i zapewniła o "(...) przykładaniu jeszcze większej uwagi do prowadzonych działań marketingowych, w tym do działań związanych z obsługą danych osobowych (...)". Ponadto w złożonych GIODO wyjaśnieniach (pismo z dnia [...] maja 2011 r.) A. wskazała iż "(...) wykonała jednorazową akcję promocyjną działając na zlecenie I. S.A. z siedzibą w J. (...) przeprosiła za powstałą sytuację, usuwając jednocześnie przedmiotowe dane ze swoich zasobów (...)". Natomiast skarżący w dniach [...] maja 2010 r. oraz [...] sierpnia 2010 r. zwracał się pisemnie do I., w treści których zawarł w szczególności wniosek o wypełnienie przez nią obowiązku informacyjnego określonego w art. 33 ustawy. I. udzieliła odpowiedzi pismem z dnia [...] lipca 2010 r. wskazując, że "(...) dane osobowe w postaci adresu elektronicznego zostały usunięte ze zbioru po uzyskaniu informacji od A. o (...) zastrzeżeniach. Dane te nie są już zatem przetwarzane (...)", a następnie pismem z dnia [...] sierpnia 2010 r. poinformowała ponownie skarżącego, że "(...) dane osobowe ([...]) zostały usunięte ze zbioru danych (...)" wskazując jednocześnie, iż "(...) ze względu na to, że zbiór danych nie obejmuje dotyczących Pana danych osobowych, nie służy Panu na zasadzie art. 33 ustawy (...) prawo uzyskania informacji (...)". Następnie pismem z dnia [...] lipca 2011 r. poinformowała Generalnego Inspektora Ochrony Danych Osobowych, że "(...) adres e-mailowy został niezwłocznie, tj. już w dniu [...] stycznia 2010 . skasowany z bazy danych (...)". Wobec powyższego, Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] sierpnia 2011 r. nr [...], działając na podstawie art. 12 pkt 2, art. 22 i art. 18 ust. 1 pkt 1 w zw. z art. 33 cytowanej już wyżej ustawy o ochronie danych osobowych w zw. z art. 5 ustawy z dnia 29 października 2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw (Dz. U. Nr 229, poz. 1497), nakazał I. S.A. z siedzibą w J., usunięcie uchybień w procesie wypełnienia obowiązku informacyjnego z art. 33 ustawy w stosunku do skarżącego T. B., poprzez: – udzielenie Panu T. B. informacji jakie dane zawiera zbiór, – w jaki sposób zebrano dane, – w jakim celu i zakresie dane są przetwarzane, – w jakim zakresie oraz komu dane zostały udostępnione. We wniosku z dnia [...] września 2011 r. do Generalnego Inspektora Ochrony Danych Osobowych o ponowne rozpatrzenie sprawy, I. S.A. wniosła o uchylenie zaskarżonej decyzji i umorzenie postępowania wywołanego jako bezprzedmiotowe zarzucając naruszenie art. 7 pkt 3 ustawy, poprzez jego błędną wykładnię i wadliwe przyjęcie, że dane te nie zostały usunięte (nadal są przetwarzane) oraz art. 105 ust. 1 k.p.a, poprzez jego niezastosowanie w stopniu mającym istotny wpływ na wynik sprawy. W uzasadnieniu podała, że organ błędnie przyjął, iż dane osobowe nie zostały usunięte jedynie po to, by móc nakazać w trybie art. 33 ustawy wypełnienie obowiązków informacyjnych, oraz że nie do zaakceptowania jest stanowisko organu stwierdzające, iż korespondencja pomiędzy Spółką a skarżącym i wysyłanie pism do skarżącego będących odpowiedziami na jego pisma, w których treści zostały zawarte dane osobowe skarżącego jest ich przetwarzaniem. Dalej wskazano, że ewentualne naruszenie przepisów zostało skorygowane poprzez natychmiastowe usunięcie adresu elektronicznego i organ nie może zatem nakazać przywrócenia stanu zgodnego z prawem, skoro stan zgodny z prawem obecnie istnieje. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] grudnia 2011 r. nr [...], mając za podstawę art. 138 § 1 k.p.a., utrzymał w mocy zaskarżoną decyzję z dnia [...] sierpnia 2011 r. W uzasadnieniu natomiast podał, że na podstawie art. 5 cytowanej już wyżej ustawy z dnia 29 października 2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw, do postępowań wszczętych i niezakończonych na podstawie ustawy o ochronie danych osobowych, przed dniem wejścia w życie niniejszej ustawy, stosuje się przepisy dotychczasowe. Z powyższego wynika zatem konieczność rozpatrzenia niniejszej sprawy odwołując się do brzmienia przepisów ustawy obowiązujących przed dniem 7 marca 2011 r. Dalej zaś stwierdził, że przedmiotem niniejszego postępowania jest legalność przetwarzania danych osobowych skarżącego oraz realizacja obowiązku informacyjnego przez I. wobec skarżącego. Bezspornym jest także fakt, że adres poczty elektronicznej skarżącego, zawierający w nazwie jego imię i nazwisko, tj. [...] stanowi daną osobową w rozumieniu art. 6 ustawy. Kwestią sporną jest natomiast błędne rozumienie przez I. brzmienia przepisu art. 7 pkt 3 ustawy, a w konsekwencji realizacji przez I. obowiązku z art. 33 ustawy. Zgodnie bowiem z jego brzmieniem, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W myśl powołanego przepisu zatem, przechowywanie danych osobowych skarżącego zawartych w treści pisma Spółki z dnia [...] sierpnia 2010 r., wyjaśnieniach A. z dnia [...] maja 2011 r. oraz w korespondencji elektronicznej (stanowiącej załącznik do pisma I. z dnia [...] marca 2011 r., którego adresatem jest organ), stanowi ich przetwarzanie. W myśl art. 7 pkt 3 ustawy przez usuwanie danych rozumie się zniszczenie danych osobowych lub taką ich modyfikację, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą. Zatem w niniejszej sprawie dane osobowe skarżącego nie zostały przez I. usunięte. Spółka zgłosiła do organu zbiór danych osobowych "[...]", w którym wskazała, iż dane osobowe w zakresie: nazwiska, imienia, adresu zamieszkania lub pobytu, zawodu, wykształcenia, numeru telefonu, wieku oraz adresu poczty elektronicznej, zostały zebrane od osób, których te dane dotyczą, za ich zgodą. Skoro zatem dane osobowe skarżącego zostały zebrane za jego zgodą to nie powinno stanowić problemu, aby I. dopełniła obowiązku informacyjnego, o którym mowa w art. 33 ust. 1 ustawy. Zatem osoba, której dane dotyczą ma prawo do otrzymania informacji o swoich danych osobowych, przetwarzanych przez administratora tych danych, stosownie do brzmienia wyżej wymienionego przepisu prawa. Zgodnie bowiem z jego treścią sprzed [...] marca 2011 r., na wniosek osoby, której dane dotyczą administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1 – 5a, a w szczególności podać w formie zrozumiałej: 1) jakie dane osobowe zawiera zbiór, 2) w jaki sposób zebrano dane, 3) w jakim celu i zakresie dane są przetwarzane, 4) w jakim zakresie oraz komu dane zostały udostępnione. Tymczasem żadne pismo I. znajdujące się w aktach sprawy, a stanowiące korespondencję ze skarżącym, jak również będące wyjaśnieniami składanymi organowi, nie zawiera informacji, które wypełniałyby dyspozycję wynikającą w tym przepisie. Odmowa, utrudnienie realizacji przez osobę, której dane dotyczą, jej prawa do kontroli procesu przetwarzania danych osobowych przez administratora tych danych, stanowi niewątpliwie naruszenie przepisów ustawy. Ponadto, uniemożliwianie, bądź utrudnianie skorzystania z prawa do kontroli procesu przetwarzania danych osobowych może być także uznane za naruszenie dóbr osobistych osoby, której te dane dotyczą. Z materiału dowodowego wynika wprost, iż jedynie A. usunęła dane osobowe skarżącego w zakresie jego adresu e-mail, co nie jest i nie może zostać uznane za tożsame z usunięciem kwestionowanego adresu ze zbiorów danych będących w posiadaniu I. Brak jest bowiem dowodów wskazujących, iż przedmiotowego usunięcia adresu e-mail dokonała także I. Podtrzymać należy, że I. nie spełniła ciążącego na niej wobec skarżącego obowiązku informacyjnego z art. 24 ustawy (w przypadku zbierania danych od osoby, której dotyczą) lub art. 25 ustawy (w przypadku zbierania danych z innych źródeł, niż osoba, której te dane dotyczą), co umożliwiłoby mu pozyskanie niektórych informacji, o których stanowi art. 33 ustawy. Z materiału dowodowego nie wynika także, aby zaistniała którakolwiek z przesłanek z art. 24 ust. 2 ustawy lub art. 25 ust. 2 ustawy. Zatem uznać należy, że I. bezpodstawnie odmawia skarżącemu prawa do informacji stosownie do dyspozycji art. 33 ustawy. Ponadto I. nie zadośćuczyniła obowiązkowi informacyjnemu wskazanemu w przepisach art 24 i/lub art. 25 ustawy. W sytuacji zaś, gdyby I. faktycznie usunęła wszystkie dane osobowe skarżącego – co rzekomo ma miejsce, bowiem rzekomo I. posiadała jedynie jego adres e-mail – to pozostaje obowiązek poinformowania go o aktualnym celu i zakresie przetwarzania jego danych osobowych, bowiem racjonalny ustawodawca nie wskazał wyłączeń, tudzież okresu przedawnienia dla realizacji obowiązku informacyjnego wskazanego w art. 33 ustawy. Nie można podzielić poglądu I., iż obowiązek z art. 33 ustawy został wobec skarżącego dopełniony przez A. w imieniu I., bowiem ustawa stanowi wprost, iż to administrator danych jest zobligowany do udzielenia informacji w zakresie determinowanym tym przepisem, nie zaś na podmiocie (w tym przypadku A.), który na podstawie umowy realizował dla I. akcję promocyjną. Wobec powyższego, zarzut, iż dane osobowe skarżącego nie są przetwarzane, zaś Generalny Inspektor błędnie interpretuje art. 7 pkt 3 ustawy, należy uznać za bezpodstawny. Bezzasadny jest również zarzut, iż Generalny Inspektor nie zastosował w pierwszej decyzji z dnia [...] sierpnia 2011 r. dyspozycji z art. 105 k.p.a., bowiem istnieją podstawy do władczej ingerencji Generalnego Inspektora w formie decyzji administracyjnej. Nie można uznać, iż odpowiedzią administratora danych na wniosek osoby, której dane dotyczą realizującej prawo do kontroli swoich danych osobowych jest rzekome usunięcie danych osobowych. Takie działanie administratora danych osobowych nie wypełnia dyspozycji, którą na administratora nałożył racjonalny ustawodawca w art. 33 ustawy. Z uwagi, iż I. nadal przetwarza dane osobowe skarżącego, a jednocześnie nie wypełniła obowiązku informacyjnego z art. 33 ustawy w sposób właściwy, tj. nie przekazała skarżącemu informacji zgodnych ze stanem faktycznym, należy uznać niniejsze postępowanie za przedmiotowe. Organ do spraw ochrony danych osobowych, nakazując usunięcie uchybień, nie może nakazać jednocześnie usunięcia danych osobowych, bowiem prawo administratora danych do ich dalszego przetwarzania może wynikać z przepisów odrębnych, niż przepisy ustawy, które I. jest zobligowana stosować. Wskazać należy także, że zgodnie z art. 33 ust. 3 ustawy, w razie wniesienia sprzeciwu, o którym mowa w ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie, skarżąca I. S.A. wniosła o uchylenie zaskarżonej i poprzedzającej ją decyzji oraz zasądzenie kosztów postępowania według norm przepisanych, zarzucając: 1. naruszenie prawa materialnego, tj. art. 7 pkt 2) i art. 7 pkt 3) ustawy, poprzez błędną wykładnię i w konsekwencji niewłaściwe zastosowanie polegające na przyjęciu, że dane osobowe są nadal przetwarzane i przechowywane w pismach wyjaśniających do organu oraz nie zostały usunięte przez I. SA, podczas gdy w dniu [...].01.2010 r. zostały one usunięte (jeszcze przed zgłoszeniem przez zainteresowanego skargi do GIODO) i nie są wykorzystywane, ani w żaden inny sposób przetwarzane, 2. naruszenie prawa materialnego, tj. art. 33 ust. 1 ustawy, poprzez niewłaściwe zastosowanie skutkujące wadliwym uznaniem, że spółka nie wypełniła nałożonego obowiązku udzielenia informacji, pomimo tego, że I. SA nie miała takiego obowiązku (albowiem zbiór danych nie obejmował danych osobowych zainteresowanego w postaci adresu e-mailowego – zostały one usunięte), 3. naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 7 k.p.a., art. 77 k.p.a. i art. 80 k.p.a. polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie poprzez uznanie, że I. SA nie usunęła adresu e-mailowego zainteresowanego, nadal przetwarza jego dane osobowe w pismach kierowanych bezpośrednio do niego jak i organu; jak również polegające na nieodniesieniu się do kwestii konieczności umorzenia postępowania w kontekście powołanego orzeczenia NSA z 31.03.2009 r., sygn. akt I OSK 500/08, 4. naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 105 § 1 k.p.a., poprzez uznanie, że dalsze prowadzenie postępowania jest uzasadnione, w sytuacji gdy I. SA usunęła adres e-mailowy powodując, że prowadzenie postępowania było i ciągle jest bezprzedmiotowe. W uzasadnieniu natomiast – powołując się na opisany powyżej stan faktyczny – podała, że organ błędnie założył, że Spółka przechowywała, a zatem przetwarzała dane osobowe zainteresowanego w treści pism Spółki wyjaśniających zaistniałą sytuację, kierowanych do samego zainteresowanego oraz do GIODO i powyższa interpretacja stworzyła fikcję prawną powodującą, że nawet w piśmie do organu czy skardze do Sądu nie można wskazać danych osobowych zainteresowanego, których dotyczy sprawa, albowiem wskazanie ich w piśmie jest jednocześnie ich przetwarzaniem. Jednocześnie wyjaśnienia A. uznano za wiarygodne, zaś twierdzenie Spółki zostało pominięte przez organ, który uznał, że spółka nie udowodniła, iż dane w postaci adresu e-mailowego zostały usunięte, posługując się w uzasadnieniu decyzji określeniem "rzekomo usunięte dane". Ponadto, organ uznał, że żądanie wypełnienia obowiązków z art. 33 ustawy i jednocześnie nakazanie usunięcia danych wyklucza się wzajemnie (tym samym przyznając, że w przypadku usunięcia danych osobowych nie ma już obowiązku informacyjnego), wobec czego stwierdził, że dane osobowe nadal są przetwarzane i nakazał udzielenie informacji jakie dane zawiera zbiór, w jaki sposób zebrano dane, w jakim celu i zakresie dane są przetwarzane oraz w jakim zakresie i komu zostały udostępnione. W myśl art. 7 pkt 3) przez usuwanie danych rozumie się zniszczenie danych osobowych lub taką ich modyfikację, która nie pozwoli na ustalenie tożsamości osoby, której dotyczą. Słownik Języka Polskiego PWN wskazuje, że synonimem pojęcia "usuwać" jest pojęcie "kasować", "pozbywać się". Powyższe czynności zostały dokonane przez I. w wyniku usunięcia (poprzez wykasowanie) adresu e-mailowego z bazy danych/skrzynki mailowej. Określenie "usuwanie danych" oznacza takie procedury, których rezultatem jest pozbawienie administratora możliwości jakiegokolwiek dalszego przetwarzania danych osobowych i w żadnej z baz danych I. SA adres e-mailowy zainteresowanego nie figuruje. Ponadto nie istniał obowiązek podania informacji w trybie art. 33, albowiem w dniu, kiedy zwrócono się do I. SA z wnioskiem o udzielenie informacji – dane osobowe nie były już przetwarzane, nie istniały też w systemie, albowiem zostały usunięte. Zatem zainteresowanemu nie służyło na zasadzie art. 33 prawo uzyskania informacji. Wystarczającą czynnością, do której była ewentualnie zobligowana I. SA, było poinformowanie osoby, której dane osobowe dotyczyły o ich usunięciu, na co zresztą zwrócił uwagę organ w uzasadnieniu decyzji. GIODO stwierdza, że rzekome usunięcie danych nie wypełnia dyspozycji, którą na administratora nałożył racjonalny ustawodawca w art. 33. I. SA jednak nie jest administratorem wskazanego adresu e-mail, albowiem został on usunięty. Nie można zaś administrować danymi usuniętymi. Zatem udzielenie informacji zgodnie z wymogami art. 33 staje się w momencie usunięcia danych bezzasadne, a prowadzenie postępowania – zmierzającego według woli zgłaszającego do nakazania usunięcia danych i jednocześnie udzielenia informacji w trybie art. 33 - za bezprzedmiotowe. Niezależnie od powyższego I. SA udzieliła już informacji w trybie art. 33 (chociaż nie miała takiego obowiązku w sytuacji, kiedy dane zostały usunięte). Ponadto, nieprawdziwe jest stwierdzenie zawarte w decyzji, jakoby żadne pismo znajdujące się w aktach sprawy nie zawierało informacji, które wypełniałyby dyspozycję wynikającą z art. 33 ust. 1, bowiem chociażby w piśmie skierowanym do organu, w dniu [...] marca 2011 r. oraz [...] kwietnia 2011 r. udzieliła wyczerpującej informacji – dane dotyczyły jedynie adresu elektronicznego, zostały wykorzystane i udostępnione A. jednorazowo (miała ona uzyskać zgodę na dalszą korespondencję) i niezwłocznie usunięte [...] stycznia 2010 r. (przez I. SA i A.), z uwagi na niewyrażenie zgody przez zainteresowanego, w związku z czym w dacie składania skargi, tj. [...] stycznia 2011 r. (rok po ich usunięciu) nie były już w żaden sposób przetwarzane. Spółka udzieliła również informacji, że powierzyła dane w postaci adresu e-mailowego A. w drodze pisemnej umowy, na podstawie art. 31 ustawy. W dalszej części podano, że naruszenie przez organ przepisów postępowania polega w głównej mierze na tym, że organ wybiórczo potraktował materiał dowodowy stojąc na stanowisku, że I. SA nie usunęła danych osobowych, tj. adresu e-mailowego, a zatem nie dokonał dokładnego wyjaśnienia stanu faktycznego (art. 7 k.p.a.). Przetwarzanie danych osobowych zainteresowanego uzasadnił natomiast wskazywaniem ich w pismach wyjaśniających niniejszą sprawę. Wybiórczo organ również potraktował twierdzenia w zakresie zaprzestania przetwarzania danych osobowych, uznając, że A. działająca na zlecenie I. SA usunęła dane, natomiast nie dając wiary twierdzeniom I. SA odnośnie ich wykasowania. Poza tym GIODO rozpoznając niniejszą sprawę w ogóle nie skomentował powołanego orzeczenia Naczelnego Sądu Administracyjnego z dnia 31 marca 2009 r. (sygn. akt I OSK 500/08), które zapadło w analogicznej sprawie. NSA we wskazanym orzeczeniu stwierdził, że "w sytuacji gdy dane osobowe osoby, której dane dotyczą, nie są przetwarzane, brak jest podstaw do rozpatrzenia skargi i wydania merytorycznej decyzji administracyjnej". Organ zatem w sposób niewyczerpujący odniósł się do zgromadzonego materiału dowodowego. W sprawie nie został również wszechstronnie oceniony materiał dowodowy (art. 80 k.p.a.). Nie można również prześledzić toku rozumowania organu, który w sytuacji, w której dane osobowe nie są już przetwarzane, twierdzi odmiennie. W dalszej części stwierdzono, że – jak już zostało wskazane we wniosku o ponowne rozpatrzenie sprawy – zakres uprawnień GIODO został określony w art. 18 ust. 1 ustawy i zgodnie z tym przepisem w razie stwierdzenia naruszenia przepisów o ochronie danych osobowych GIODO z urzędu lub na wniosek nakazuje administratorowi danych przywrócenie stanu zgodnego z prawem. Natomiast w powyższym stanie faktycznym ewentualne naruszenie przepisów zostało skorygowane poprzez natychmiastowe usunięcie adresu elektronicznego. Organ zatem nie może nakazać przywrócenia stanu zgodnego z prawem (w postaci nakazu udzielenia informacji w trybie art. 33 ustawy) skoro stan zgodny z prawem obecnie istnieje i w tej sytuacji postępowanie stało się bezprzedmiotowe. Toteż z uwagi na niewystępowanie naruszenia prawa (na skutek skasowania danych w postaci adresu e-mail) nie można mówić o przywróceniu stanu zgodnego z prawem, albowiem istnieje on od [...] stycznia 2010 r. Skarżąca Spółka jeszcze przed wszczęciem postępowania administracyjnego nie przetwarzała danych osobowych skarżącego, co oznacza, że postępowanie jeszcze przed wszczęciem było bezprzedmiotowe. Wskazano też, że umorzenie postępowania nie jest zależne ani od woli organu administracyjnego, ani tym bardziej pozostawione do uznania organu. Reasumując, decyzja organu jest wadliwa, albowiem została wydana w czasie, kiedy dane nie były już w żaden sposób przetwarzane, zostały usunięte, zatem postępowanie winno zostać umorzone jako bezprzedmiotowe. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenia, a wskazując na dotychczasowe ustalenia faktyczne i prawne dodał, że I. zgłosiła do Biura GIODO zbiór danych osobowych o nazwie "[...]", w którym wskazała, iż dane osobowe w zakresie: nazwiska, imienia, adresu zamieszkania lub pobytu, zawodu, wykształcenia, numeru telefonu, wieku oraz adresu poczty elektronicznej, zostały zebrane od osób których te dane dotyczą, za ich zgodą. Zatem jeżeli dane osobowe skarżącego zostały zebrane za jego zgodą, to nie powinno stanowić problemu, aby I. dopełniła obowiązku informacyjnego, o którym mowa w art. 33 ust. 1 ustawy (w brzmieniu sprzed dnia [...] marca 2011 r.). Reasumując, z uwagi, iż I. nadal przetwarza dane osobowe skarżącego, jak również, że jego dane są przetwarzane za zgodą skarżącego w zgłoszonym do Biura GIODO zbiorze danych osobowych o nazwie "[...]" należy podtrzymać, że Generalny Inspektor prawidłowo dokonał oceny materiału dowodowego, prawidłowo zinterpretował brzmienie przepisów art. 7 pkt 2, art. 7 pkt 3 ustawy, a w konsekwencji zasadnie nakazał wobec I. spełnienie obowiązku z art. 33 ustawy wobec skarżącego. Za bezzasadne uznano również zarzuty dotyczące naruszenia przepisów proceduralnych, tj. art. 7, art. 77, art. 80, art. 105 Kpa, poprzez "niewyczerpujące rozpatrzenie materiału dowodowego oraz jego dowolną ocenę i nieodniesienie się do konieczności umorzenia postępowania", bowiem zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] grudnia 2011 r. została wydana po rzetelnym i wyczerpującym przeprowadzeniu postępowania administracyjnego i zawiera zarówno analizę zgromadzonego materiału dowodowego, jak również ocenę tego materiału i uzasadnienie rozstrzygnięcia przez pryzmat przepisów powszechnie obowiązującego prawa oraz z uwzględnieniem stanowisk stron, co jest celem każdego postępowania administracyjnego. Podobnie rzecz się ma, tzn. z zarzutem dotyczącym niezastosowania art. 105 k.p.a., bowiem I. – co już wyżej wykazano – nadal przetwarza dane osobowe skarżącego. Na koniec zaś stwierdzono, że nie było możliwe jednoczesne zadośćuczynienie żądaniu skarżącego poprzez nakazanie I. usunięcia jego danych osobowych ze zbiorów danych I., bowiem prawo administratora danych do ich dalszego przetwarzania może wynikać z przepisów odrębnych, niż przepisy ustawy, które I. jest zobligowana stosować. Wskazano, że zgodnie z art. 33 ust. 3 ustawy, w razie wniesienia sprzeciwu, o którym mowa w ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne, zaś administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269), sąd administracyjny sprawuje wymiar sprawiedliwości m.in. poprzez kontrolę działalności administracji publicznej pod względem zgodności z prawem. Skarga analizowana pod tym kątem zasługuje na uwzględnienie. Na samym wstępie zaznaczyć jednak należy, że przepisem art. 1 ustawy z dnia 29 października 2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw (Dz. U. Nr 229, poz. 1497), wprowadzono zmiany w ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. z 2002 r. Dz. U. Nr 101, poz. 926 ze zm.), zaś w myśl art. 5, do postępowań wszczętych i niezakończonych na podstawie ustawy, o której mowa w art. 1, przed dniem wejścia w życie niniejszej ustawy, stosuje się przepisy dotychczasowe. Natomiast według art. 6, ustawa wchodzi w życie po upływie 3 miesięcy od dnia ogłoszenia. Zatem skoro jej promulgacja miała miejsce w dniu 6 grudnia 2010 r., to weszła ona w życie w dniu 7 marca 2011 r., zaś skarga T. B. z dnia [...] stycznia 2011 r. w niniejszej sprawie wpłynęła do Generalnego Inspektora Ochrony Danych Osobowych w dniu [...] stycznia 2011 r. Z kolei według art. 6 ust. 1 ustawy, za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, zaś według art. 7 pkt 1) ilekroć w ustawie jest mowa o zbiorze danych – rozumie się przez to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. W rozpoznawanej sprawie bezspornym jest, że adres poczty elektronicznej T. B., tj. [...], stanowi daną osobową i skoro ostatecznie ustalono w trakcie rozprawy przed sądem, a co pełnomocnik Generalnego Inspektora Ochrony Danych Osobowych potwierdził, że tylko te dane były w posiadaniu I. S.A., to uznać należy, iż powyższy adres poczty elektronicznej i jedynie on składał się na zbiór danych osobowych "[...]". Z kolei według treści art. 7 pkt 4 ustawy, przez administratora danych rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych i wobec powyższego I. S.A. spełniała powyższe kryteria. Natomiast w myśl art. 33 ust. 1 ustawy, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1 – 5a, a w szczególności podać w formie zrozumiałej: 1) jakie dane osobowe zawiera zbiór, 2) w jaki sposób zebrano dane, 3) w jakim celu i zakresie dane są przetwarzane, 4) w jakim zakresie oraz komu dane zostały udostępnione. Ponadto, zgodnie z brzmieniem art. 32 ust. 1 pkt 1 – 5a, każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do: 1) uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska, 2) uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze, 3) uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych, 4) uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie tajemnicy państwowej, służbowej lub zawodowej, 5) uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane, 5a) uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2. W rozpoznawanej sprawie natomiast bezspornym jest, że T. B. po otrzymaniu od A. sp. j. na wskazany już wyżej adres poczty elektronicznej niezamówionej informacji handlowej w postaci reklamy "[...]", w dniach [...] maja 2010 r. oraz [...] sierpnia 2010 r. zwrócił się do administratora danych prowadzącego zbiór danych pod nazwą "[...]", tj. do I. S.A. z wnioskiem o wypełnienie przez nią obowiązku informacyjnego zawartego w art. 33 ustawy. Nie budzi również wątpliwości fakt, że skarżąca pismem z dnia [...] lipca 2010 r. odpowiedziała T. B., "(...) dane osobowe w postaci adresu elektronicznego zostały usunięte ze zbioru po uzyskaniu informacji od A. o (...) zastrzeżeniach. Dane te nie są już zatem przetwarzane (...)", a następnie pismem z dnia [...] sierpnia 2010 r. poinformowała ponownie skarżącego, że "(...) dane osobowe [...] zostały usunięte ze zbioru danych (...)" wskazując jednocześnie, iż "(...) ze względu na to, że zbiór danych nie obejmuje dotyczących Pana danych osobowych, nie służy Panu na zasadzie art. 33 ustawy (...) prawo uzyskania informacji (...)". Niezależnie od powyższego skarżąca pismem z dnia [...] lipca 2011 r. poinformował Generalnego Inspektora Ochrony Danych Osobowych, że "(...) adres e-mailowy został niezwłocznie, tj. już w dniu [...] stycznia 2010 r. skasowany z bazy danych (...)". Zatem jeżeli jedynymi danymi osobowymi zawartymi w zbiorze danych osobowych pod nazwą "[...]", był adres elektroniczny T. B., to po jego usunięciu przez administratora I. S.A. w dniu [...] stycznia 2010 r., przestał obowiązywać – zdaniem Sądu – obowiązek informacyjny, o którym mowa w art. 33 ustawy. Z tego mianowicie powodu, że obowiązek ów dotyczy w myśl wskazanego już wyżej art. 32 ust. 1 danych "zawartych w zbiorach danych", zaś w stosunku do wymienionego zbiór ten już nie istniał. W tym miejscu należy wskazać, że stosownie do brzmienia art. 22 ustawy, postępowanie w sprawach uregulowanych w niniejszej ustawie prowadzi się według przepisów Kodeksu postępowania administracyjnego, o ile przepisy ustawy nie stanowią inaczej. Zatem Generalny Inspektor Ochrony Danych Osobowych musi przestrzegać zasady dochodzenia do prawdy obiektywnej (art. 7 k.p.a.), której realizacja wymaga, aby dopuścić jako dowód w sprawie wszystko, co może przyczynić się do wyjaśnienia stanu faktycznego, a nie jest sprzeczne z prawem (art. 75 k.p.a.). Ponadto jest zobowiązany do należytego i wyczerpującego informowania stron o okolicznościach faktycznych i prawnych, które mogą mieć wpływ na ustalenie ich praw i obowiązków będących przedmiotem postępowania administracyjnego (art. 9 k.p.a.). Musi wreszcie w sposób wyczerpujący zebrać, rozpatrzyć i ocenić cały materiał dowodowy (art. 77 § 1 k.p.a. i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie zgodnie z wymaganiami art. 107 § 3 k.p.a. Tymczasem w rozpoznawanej sprawie organ nie uczynił zadość powyższym powinnościom, a w szczególności naruszył przepisy art. 80 i 107 § 3 k.p.a., bowiem nie dając wiary wyjaśnieniom I. S.A. w podanym już wyżej piśmie z dnia [...] lipca 2011 r. kierowanym do organu, jak również w pismach z dnia [...] lipca 2010 r. i z dnia [...] sierpnia 2010 r. kierowanych do T. B. co do usunięcia przez nią adresu elektronicznego wymienionego stwierdził jedynie, że "Brak jest dowodów wskazujących, iż przedmiotowe usunięcie adresu e-mail dokonała także I.", czy też: "W sytuacji zaś, gdyby I. usunęła wszystkie dane skarżącego – co rzekomo ma miejsce (...)". Natomiast w myśl art. 80 k.p.a., organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona, zaś według brzmienia art. 107 § 3 k.p.a. uzasadnienie faktyczne decyzji powinno w szczególności zawierać m.in. wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodów których innym dowodom odmówił wiarygodności i mocy dowodowej. Ustosunkowując się z kolei do argumentu Generalnego Inspektora Ochrony Danych Osobowych przedstawionego przez pełnomocnika na rozprawie, że I. S.A. przetwarza dane osobowe (adres do korespondencji) tym razem w związku z prowadzoną z T. B. korespondencją, to stwierdzić należy, iż przedmiot postępowania w niniejszej sprawie zakreślił wymieniony w skardze z dnia [...] stycznia 2011 r. skierowanej do organu, tj. wykorzystanie adresu jego poczty elektronicznej do przekazania niezamówionej informacji handlowej w postaci reklamy o tytule "[...]" i jedynie w obrębie tej skargi organ prowadził postępowanie. Zatem rozpoznając na nowo sprawę, organ jest zobowiązany kierować się zawartymi już wyżej rozważaniami w zakresie obowiązku informacyjnego wynikającego z treści art. 33 w zw. z art. 32 ust. 1 ustawy, a po dokładnym ustaleniu – kierując się wskazówkami, co do oceny dowodów – czy faktycznie I. S.A. usunęła dane osobowe T. B. w postaci adresu poczty elektronicznej, dokonać ponownie subsumcji stanu faktycznego sprawy pod wskazane już wyżej przepisy prawa materialnego. W tym stanie rzeczy, na mocy art. 145 § 1 pkt 1) lit. a) i lit. c) w zw. z art. 152 i art. 132, a w sprawie kosztów na podstawie art. 200 i art. 205 § 1 i 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2012 r., poz. 270), należało orzec jak w sentencji wyroku.