II SA/Wa 475/14

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Dąbrowska (spraw.), Sędziowie WSA Eugeniusz Wasilewski, Adam Lipiński, Protokolant specjalista Elwira Sipak, po rozpoznaniu na rozprawie w dniu 12 grudnia 2014 r. sprawy ze skargi R. Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2014 r. nr [...] w przedmiocie umorzenia postępowania w sprawie przetwarzania danych osobowych i niespełnienia obowiązku informacyjnego – oddala skargę – R. Z. wniósł skargę do Biura Generalnego Inspektora Ochrony Danych Osobowych, dotyczącą przetwarzania jego danych osobowych przez [...] "[...]" Sp. z o.o. z siedzibą w S., przy ul. [...], aktualnie – [...] Spółka z o.o., z siedzibą w G., ul. [...], zwana dalej Spółką. W uzasadnieniu skargi R. Z. poinformował GIODO, że w dniu [...] lipca 2012 r. zawarł ze Spółką (Oddział w G.) "Przedwstępną Umowę Pożyczek Gotówkowych" oraz, że "po podpisaniu ww. umowy, zgodnie z przysługującym mu prawem odstąpił od realizacji kolejnych etapów zaciągnięcia pożyczki, co zgodnie z § 9 umowy przedwstępnej powoduje jej rozwiązanie (ust. 1) oraz rozliczenie (ust. 2). Dodatkowo w dniu [...] lipca 2012 r. R. Z. przesłał do Biura Obsługi Klienta Spółki pismo zatytułowane "Rozwiązanie umowy", chociaż nie był do tego zobowiązany. W ocenie R. Z. "wraz z rozwiązaniem i rozliczeniem umowy skończył się prawnie usprawiedliwiony cel przetwarzania jego danych osobowych, a tym samym dalsze przetwarzanie i udostępnianie jego danych osobowych jest w świetle przepisów (...) bezprawne oraz narusza jego prawa i wolności". R. Z. podniósł ponadto, że pomimo powyższego w dniu [...] grudnia 2012 r. otrzymał od Spółki pismo, w którym nakłaniano go do opłacenia kwoty [...] zł mimo tego, że umowa przedwstępna już w lipcu 2012 r. została rozwiązana. Takie działanie Spółki, w opinii R. Z., narusza jego prawa i wolności oraz jest niezgodne z art. 23 ust. 1 pkt 5 i art. 26 ust. 1 pkt 3 i 4 oraz ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.). R. Z. wskazał również, że w dniu [...] października 2012 r. skierował do Biura Obsługi Klienta Spółki, za pośrednictwem faxu, wniosek w trybie art. 33 ustawy. R. Z. wniósł do organu do spraw ochrony danych osobowych o nakazanie Spółce dopełnienia obowiązku informacyjnego, o którym mowa w art. 33 ustawy oraz zaprzestania przetwarzania jego danych osobowych, a także ustalenia czy doszło do naruszenia art. 49 ust. 1 ustawy. Decyzją z dnia [...] października 2013 r. nr [...], wydaną na podstawie art. art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.) oraz art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), Generalny Inspektor Ochrony Danych Osobowych umorzył postępowanie w zakresie przetwarzania danych osobowych R. Z. i niespełnienia wobec niego obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych. W uzasadnieniu tej decyzji organ przytoczył dokonane w sprawie ustalenia, z których wynika, że w trakcie postępowania wyjaśniającego w dniu [...] lutego 2013 r. Generalny Inspektor Ochrony Danych Osobowych zwrócił się do Spółki o pisemne ustosunkowanie się do stawianych w skardze zarzutów. Wobec lakonicznej, niekompletnej i niepopartej dowodami odpowiedzi, w dniu [...] maja 2013 r. podmiot został ponownie wezwany do złożenia wyjaśnień, które również nie wyczerpały zakresu wskazanego w ww. wezwaniu. W związku z powyższym, w celu wydania decyzji administracyjnej, Generalny Inspektor, na podstawie art. 12 pkt 1 i art. 14 ustawy zdecydował o przeprowadzeniu w dniu [...] lipca 2013 r. kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych w Spółce. Zakresem kontroli objęto przetwarzanie przez Spółkę danych osobowych R. Z. w następującym zakresie: ustalenie czy Spółka przetwarzała, przetwarza dane osobowe R. Z. po dniu [...] lipca 2012 r. , a jeżeli tak to w jakich celach, w jakim zakresie i na jakiej podstawie prawnej, czy Spółka odnotowała wpływ wniosku R. Z. z dnia [...] października 2012 r. i ewentualnie w jaki sposób spełniła wobec niego obowiązek informacyjny wynikający z art. 33 ustawy w zakresie wskazanym w jego piśmie. Organ podał, że w wyniku przeprowadzonej kontroli ustalił, że w dniu [...] lipca 2012 r. została zawarta umowa pomiędzy Spółką a R. Z. przedwstępna umowa pożyczek gotówkowych. Jednakże R. Z. nie wniósł procentowej opłaty liczonej od ogólnej kwoty wnioskowanych pożyczek. W związku z powyższym umowa nie doszła do skutku. Organ podał, że dane osobowe R. Z. były przetwarzane przez Spółkę w zakresie : imię, nazwisko, nr PESEL, nr telefonu, adres zamieszkania, adres korespondencyjny, nr konta bankowego. Jak wynikało z ustaleń organu, dane osobowe były przetwarzane przez Spółkę również po dniu [...] lipca 2012 r., w celu udzielenia odpowiedzi na przesłaną przez ww. korespondencję. Organ podał też, że dane osobowe R. Z. były przetwarzane w systemie informatycznym o nazwie "[...]". Wyszukiwanie danych klientów indywidualnych w tym systemie możliwe jest wg następujących kryteriów: numer umowy, numer umowy papierowej, nazwisko, kod pocztowy. Organ podał, że po wyszukaniu danych wg numeru umowy [...] wyświetlają się informacje pokazane na wydruku (załącznik nr [...] do protokołu kontroli), z którego wynika, że dane osobowe R. Z. przetwarzane w systemie informatycznym [...] zostały wymazane w dniu [...] marca 2013 r. Przed zanonimizowaniem danych został zrobiony "wydruk danych osobowych do wymazania". Organ stwierdził też, że jak wykazano w czasie kontroli ww. wydruk został przesłany niezwłocznie R. Z. w celu potwierdzenia zanonimizowania jego danych w tym systemie. Anonimizacja danych w systemie informatycznym "[...]" polegała na zastąpieniu danych znakami "X". Z kolei w wyniku wyszukania danych osobowych po wpisaniu nazwiska "Z" jak również po wpisaniu kodu pocztowego "[...]" nie znaleziono danych R. Z. Dokonano również wyszukania danych R. Z. w systemach archiwalnych Spółki o nazwach "[...]" oraz "[...]". W wyniku wyszukiwania również nie znaleziono danych R. Z.. Organ podał ponadto, że dane osobowe R. Z. przetwarzane w wersji papierowej zostały przekazane do zniszczenia L. C., prowadzącemu działalność gospodarczą w zakresie archiwizacji, przechowywania i niszczenia dokumentów. Dokumentacja przekazana do zniszczenia ww. podmiotowi została zniszczona dnia [...] kwietnia 2013 r. Potwierdzeniem zniszczenia tej dokumentacji jest certyfikat zniszczenia Nr [...]. Ponadto organ wskazał, że Prezes Spółki wyjaśnił, że nie wie czy Spółka odnotowała wpływ wniosku R. Z. z dnia [...] października 2012 r. i w jaki sposób Spółka spełniła obowiązek informacyjny z art. 33 ustawy, w zakresie wskazanym w piśmie, gdyż cała korespondencja prowadzona z R. Z. została usunięta. Następnie organ podał, że w trakcie oględzin ustalono, iż dokumentacja dotycząca klientów Spółki, na którą składają się wnioski o przyznanie pożyczki, przedwstępne umowy pożyczek gotówkowych wraz z załącznikami, umowy pożyczki przechowywana jest dla każdego klienta oddzielnie w koszulkach, w segregatorach, opisanych numerami umów od – do, w szafach zamykanych na klucz. W toku kontroli dokonano oględzin dokumentacji zawierającej dane osobowe klientów Spółki, w tym segregatora opisanego nr [...], w wyniku których nie znaleziono dokumentacji dotyczącej R. Z.. W tym stanie faktycznym organ w dniu [...] października 2013 r. wydał wskazaną na wstępie decyzję, którą umorzył postępowanie w niniejszej sprawie. W jej uzasadnieniu oprócz przedstawienia stanu sprawy organ stwierdził, że wobec pozyskania informacji, iż Spółka od dnia [...] marca 2013 r. nie przetwarza danych osobowych R. Z., to nakazanie spełnienia obowiązku informacyjnego, o którym mowa w art. 33 pow. ustawy, w dacie wydania decyzji byłoby niecelowe, ponieważ jego spełnienie przez Spółkę byłoby niemożliwe, gdyż aktualnie nie dysponuje już ona dokumentami zawierającymi dane osobowe R. Z.. Odwołując się zaś do art. 18 ust. 1 ustawy organ zaznaczył, że GIODO w przypadku naruszenia przepisów o ochronie danych osobowych nakazuje z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, przywrócenie stanu zgodnego z prawem. Organ stwierdził, że w rozpatrywanej sprawie stan niezgodności z prawem, w dacie wydania decyzji nie istniał i dlatego, powołując się zaś na art. 105 § 1 kpa umorzył postępowania w sprawie, uznając je za bezprzedmiotowe. R. Z. wniósł o ponowne rozpatrzenie sprawy wskazując, że działania [...] Sp. z o.o. są niewątpliwie skutkiem przewlekłości postępowania jakie zaistniały w postępowaniu przed GIODO. Podał też, że po dniu [...] lipca 2012 r. Spółka wielokrotnie używała jego danych osobowych do marketingu, reklamy i składania ofert. Ponadto R. Z. podał, że nigdy nie otrzymał od administratora danych potwierdzenia zanonimizowania jego danych osobowych w systemie informatycznym. Nigdy też nie otrzymał odpowiedzi na wnioski stawiane w trybie art. 32 – 33 ustawy o dostępie do informacji publicznej Decyzją z dnia [...] stycznia 2014 r., nr [...], wydaną na podstawie art. 138 § 1 pkt 1 kpa, Generalny Inspektor Ochrony Danych Osobowych, utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] października 2013 r. Przedstawiając motywy rozstrzygnięcia organ przypomniał brzmienie art. 18 ust. 1 pow. ustawy i wskazał, że z brzmienia tego przepisu i definicji decyzji administracyjnej wynika, że organ ochrony danych osobowych nie dokonuje oceny zdarzeń przeszłych, nie kontynuowanych w chwili orzekania. Decyzja Generalnego Inspektora nie jest zatem instrumentem represji, służącym wyciąganiu konsekwencji w związku z przeszłymi nieprawidłowościami w procesie przetwarzania danych osobowych, lecz instrumentem służącym przywróceniu stanu zgodnego z prawem, w procesie przetwarzania danych, realizowanym w chwili wydawania decyzji. W tej sytuacji oczywistym było, zdaniem organu, pozostawienie poza obszarem zainteresowania organu ochrony danych zdarzeń przeszłych w obszarze przetwarzania danych. Organ podał, że wobec tego, bez znaczenia dla rozstrzygnięcia zawartego w ww. decyzji z dnia [...] października 2013 r., pozostają zarzuty R. Z. dotyczące tego, że nigdy nie udzielał on zgody na przetwarzanie danych przez Spółkę jak również, że umowa ze Spółką nie została sfinalizowana i przetwarzała ona jego dane od [...] lipca 2012 r. do dnia [...] marca 2013 r. czy też, że nie otrzymał on od Spółki informacji o usunięciu jego danych osobowych czy odpowiedzi na wniosek, o którym mowa w art. 33 ustawy, bowiem w dacie wydawania decyzji kwestionowany przez niego proces przetwarzania jego danych osobowych przez Spółkę już nie zachodził, a zatem w tej dacie nie można było stwierdzić stanu niezgodności z prawem. Tym samym organ stwierdził, że nakazanie spełnienia obowiązku informacyjnego, o którym mowa w art. 33 ustawy, w dacie wydawania decyzji byłoby niecelowe, ponieważ jego spełnienie przez Spółkę nie byłoby możliwe, gdyż aktualnie nie dysponuje już ona dokumentami zawierającymi dane osobowe R. Z.. Wskazana wyżej decyzja stała się przedmiotem skargi R. Z. do Wojewódzkiego Sądu Administracyjnego w Warszawie, uzupełnionej następnie pismem z dnia [...] kwietnia 2014 r. Skarżący wniósł o jej uchylenie oraz o uchylenie decyzji ją poprzedzającej, w części dotyczącej obowiązku informacyjnego, o którym mowa w art. 32 ust. 1 pkt 1-5 i art. 33 ustawy, ewentualnie o rozstrzygnięcie jej co do istoty sprawy. Wniósł też o zasądzenie od GIODO kosztów według norm przepisanych. Decyzji zarzucił naruszenie prawa procesowego tj. art. 7 w związku z art. 77 kpa, poprzez pominięcie części materiału dowodowego, dobrowolną i pobieżną jego ocenę oraz prowadzenie sprawy z pominięciem słusznego interesu skarżącego, niedokładne wyjaśnienie stanu faktycznego, naruszenie art. 8 kpa w zw. z art. 36 kpa poprzez dobrowolne prowadzenie postępowania, pozostawanie w bezczynności, co zniweczyło zasadę zaufania obywatela do władzy publicznej oraz do wydania błędnej decyzji i uznania postępowania za zbędne, gdy Spółka usunęła wszelkie dokumenty, art. 12 kpa poprzez pominięcie obowiązku wnikliwego działania i szybkiego załatwienia sprawy. Zarzucił też naruszenie art. 77 § 1 i § 4 kpa poprzez błędną, pobieżną i dobrowolną ocenę materiału dowodowego i informacji znanych organowi, które nie wymagały dowodu. Zarzucił też naruszenie art. 105 § 1 kpa poprzez jego błędną wykładnię, zastosowanie i uznanie, że całe postępowanie skargowe stało się bezprzedmiotowe, gdy Spółka w dalszym ciągu przetwarza dane osobowe skarżącego. Zarzucił również naruszenie przepisów prawa materialnego tj. art. 1 uodo poprzez ograniczenie skarżącemu prawa do ochrony danych osobowych, wynikającej z błędnej decyzji organu, art. 18 ust. 1 pkt 1 ustawy poprzez przyjęcie, że organ nie może nakazać "[...] Sp. z o.o." wykonania obowiązku informacyjnego, gdy ta faktycznie w dalszym ciągu przetwarza dane skarżącego, co wynika z błędnej oceny materiału dowodowego, zgromadzonego w sprawie, art. 32 ust. 1 pkt 1 – 5 ustawy w zw. z art. 33 ustawy, poprzez jego błędną wykładnię i ograniczenie skarżącemu prawa do informacji, co wynikało z błędnej oceny materiału dowodowego i błędnej decyzji w tym zakresie oraz przyjęcie, że w obecnym stanie rzeczy "[...] Sp. z o.o." nie może udzielić informacji, o których mowa w tych artykułach dotyczących danych skarżącego i zbioru danych, których administratorem jest Spółka. W uzasadnieniu skargi R. Z. wskazał, że wprawdzie kontrola GIODO w siedzibie Spółki wykazała, że jego dane w dniu [...] marca 2013 r. zostały wymazane z Systemu [...], a dokumenty dotyczące umowy przedwstępnej zostały zniszczone w dniu [...] kwietnia 2013 r., to jednak umknęło organowi, że Spółka w dalszym ciągu przetwarza jego dane osobowe w związku z toczącym się obecnie postępowaniem administracyjnym i cywilnym, które toczy się z powództwa skarżącego przeciwko [...] Sp. z o.o. przed Sądem Okręgowym w G., sygn. akt [...], o czym skarżący informował GIODO. W ocenie skarżącego, istotnie GIODO nie może nakazać usunięcia danych skarżącego jednak w trybie art. 18 ust. 1 pkt 1 ustawy jest zobowiązany wydać decyzję nakazującą usunięcie uchybień wobec wielomiesięcznego niespełniania przez Spółkę obowiązku informacyjnego, o którym mowa w art. 32 ust. 1 pkt 1 – 5a i art. 33 ustawy. W piśmie z dnia [...] kwietnia 2014 r. skarżący podtrzymał zarzuty skargi i wskazał, że pobieżna kontrola GIODO z dnia [...] lipca 2013 r. ograniczyła się jedynie do sprawdzenia systemu komputerowego oraz segregatora z umowami klientów. Podczas kontroli pominięto zaś całkowicie segregatory i półki z pismami dotyczącymi postępowań sądowych i egzekucyjnych Spółki. Skarżący zarzucił ponadto, że Spółka w dalszym ciągu przetwarza dane skarżącego, udostępniła je bowiem Kancelarii Radców Prawnych, reprezentujących Spółkę przed Sądem w sprawie o sygn. akt [...]. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując stanowisko zawarte w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji i to z przepisami obowiązującymi w dacie jej wydania. Innymi słowy, sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga analizowana pod tym kątem nie zasługuje na uwzględnienie. Wskazać należy, że zgodnie z art. 32 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U z 2002 r. Nr 101, poz. 926 ze zm.) każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych. A zatem kluczowe znaczenie ma wskazanie co oznacza zbiór danych. Zgodnie z art. 7 pow. ustawy ilekroć w ustawie jest mowa o zbiorze danych – rozumie się przez to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Przystępując zatem do rozpoznania niniejszej sprawy istotne jest udzielenie odpowiedzi na pytanie czy zasadnie organ umorzył postępowanie w zakresie przetwarzania danych osobowych skarżącego, przez Spółkę [...] "[...]" Sp. z o.o. z siedzibą w S. przy ul. [...], aktualnie [...] Sp. z o.o. z siedzibą w G. przy ulicy [...], uznając, że w momencie wydawania decyzji dane osobowe skarżącego nie były już przetwarzane i że zostały one usunięte ze wszystkich zbiorów danych. Zdaniem Sądu, rozpoznającego niniejszą sprawę zaskarżona decyzja oraz decyzja ją poprzedzająca są prawidłowe w stopniu w jakim nie powodują konieczności ich uchylenia. Jak wynika bowiem z akt administracyjnych sprawy i z dokonanych w toku postępowania ustaleń organu, w tym kontroli przeprowadzonej przez organ w siedzibie Spółki, w dniu [...] lipca 2013 r. dane osobowe skarżącego zostały przez Spółkę usunięte. Przedmiotem tej kontroli było zbadanie zgodności przetwarzania danych skarżącego z przepisami o ochronie danych osobowych w Spółce. Zakresem jej objęto przetwarzanie przez Spółkę danych osobowych R. Z. w następującym zakresie: ustalenie czy Spółka przetwarzała, przetwarza dane osobowe R. Z. po dniu [...] lipca 2012 r., a jeżeli tak to w jakich celach, w jakim zakresie i na jakiej podstawie prawnej, czy Spółka odnotowała wpływ wniosku R. Z. z dnia [...] października 2012 r. i ewentualnie w jaki sposób spełniła wobec niego obowiązek informacyjny wynikający z art. 33 ustawy w zakresie wskazanym w jego piśmie. Jak wynika z przeprowadzonej kontroli, w dniu [...] lipca 2012 r. została zawarta pomiędzy Spółką a R. Z. przedwstępna umowa pożyczek gotówkowych. Ponieważ R. .Z. nie wniósł procentowej opłaty liczonej od ogólnej kwoty wnioskowanych pożyczek, co spowodowało, że umowa nie doszła do skutku. Jak wynika z akt sprawy dane osobowe skarżącego przetwarzane były przez Spółkę w zakresie : imię, nazwisko, nr PESEL, nr telefonu, adres zamieszkania, adres korespondencyjny, nr konta bankowego. Wyszukiwanie danych klientów indywidualnych w tym systemie możliwe było wg następujących kryteriów: numer umowy, numer umowy papierowej, nazwisko, kod pocztowy. Po wyszukaniu danych wg numeru umowy [...] wyświetlają się informacje pokazane na wydruku (załącznik nr [...] do protokołu kontroli), z którego wynika, że dane osobowe R. Z. przetwarzane w systemie informatycznym [...] zostały wymazane w dniu [...] marca 2013 r. Przed zanonimizowaniem danych został zrobiony "wydruk danych osobowych do wymazania". Organ stwierdził, że jak wykazano w czasie kontroli ww. wydruk został przesłany niezwłocznie R. Z. w celu potwierdzenia zanonimizowania jego danych w tym systemie. Anonimizacja danych w systemie informatycznym "[...]" polegała na zastąpieniu danych znakami "X". Jak wynika z wyników kontroli, w wyniku wyszukania danych osobowych po wpisaniu nazwiska "Z.", jak również po wpisaniu kodu pocztowego "[...]" nie znaleziono danych dotyczących skarżącego. Również wyszukanie danych skarżącego w systemach archiwalnych Spółki o nazwach "[...]" oraz "[...]" nie dało rezultatu. Nie znaleziono bowiem danych R. Z.. Jak wynika z akt sprawy również dane osobowe R. Z. przetwarzane w wersji papierowej nie są dalej przetwarzane przez Spółkę bowiem zostały one przekazane do zniszczenia L. C., prowadzącemu działalność gospodarczą, w zakresie archiwizacji, przechowywania i niszczenia dokumentów. Dokumentacja ta przekazana do zniszczenia ww. podmiotowi została zniszczona dnia [...] kwietnia 2013 r. a potwierdzeniem zniszczenia tej dokumentacji jest certyfikat zniszczenia nr Nr [...]. Również kontrola dokumentacji zawierającej dane osobowe klientów Spółki, w tym segregatora opisanego nr [...], nie dała pozytywnych rezultatów bowiem tam również organ nie natrafił na dokumentację dotyczącą R. Z.. Dlatego też zgodzić się należy z organem, że w rozpatrywanej sprawie stan niezgodności z prawem, w dacie wydania decyzji nie istniał i dlatego zasadnym było umorzenie postępowania w sprawie, uznając je za bezprzedmiotowe. Sąd podziela stanowisko organu, iż zachodziła przesłanka do zastosowania art. 105 § 1 kpa i umorzenia postępowania administracyjnego. Zgodnie bowiem z tym przepisem organ administracji publicznej wydaje decyzję o umorzeniu postępowania, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe. Rozstrzygnięcie organu w tej części należy więc uznać za prawidłowe. Zgodzić się należy również z organem, że bez znaczenia dla rozstrzygnięcia zawartego w zaskarżonej decyzji pozostają zarzuty skarżącego dotyczące tego, że nie otrzymał on od Spółki informacji o usunięciu jego danych, czy odpowiedź na wniosek, o którym mowa w art. 33 ustawy, bowiem w dacie wydawania zaskarżonej decyzji kwestionowany przez skarżącego proces przetwarzania jego danych osobowych przez Spółkę już nie zachodził, a zatem w tej dacie nie można było stwierdzić stanu niezgodności z prawem. Stąd też umowa ta wywołuje skutki prawne, które jak słusznie organ zauważa, podlegają ocenie w świetle ustawy o ochronie danych osobowych. Generalny Inspektor Ochrony Danych Osobowych prawidłowo ocenił, że podstawą przetwarzania danych osobowych skarżącego przez Bank jest art. 23 ust. 1 pkt 2 ustawy. Jak już zaznaczono na wstępie, dane osobowe skarżącego zostały usunięte ze zbioru [...], a także ze zbioru danych prowadzonego w formie papierowej przez Spółkę. Nie można więc czynić organowi zarzutu, iż w tej sytuacji nie wydał decyzji nakazującej usunięcie danych skarżącego ze zbioru prowadzonego przez ten podmiot. Podkreślenia bowiem wymaga, że katalog środków, które może zastosować Generalny Inspektor Ochrony Danych Osobowych w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych jest ograniczony do wymienionych w art. 18 ust. 1 powołanej ustawy o ochronie danych osobowych. Organ ten może z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazać przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Organ ten może również w trybie art. 19 ustawy o ochronie danych osobowych skierować do organu powołanego do ścigania przestępstw zawiadomienie o popełnieniu przestępstwa, jeżeli stwierdzi, że działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem danych wyczerpuje znamiona przestępstwa określonego w ustawie. Jednakże przedmiotem kontroli sądu administracyjnego mogą być wyłącznie decyzje administracyjne wydawane w oparciu o przepisy ustawy o ochronie danych osobowych, a więc działania organu określone w art. 18 ust. 1 tej ustawy. Do dochodzenia roszczeń związanych z naruszeniem dóbr osobistych bądź roszczeń o odszkodowanie właściwy jest natomiast sąd powszechny, z której to drogi skarżący jak wynika z akt, korzysta. Jeśli zaś chodzi o podnoszony przez skarżącego zarzut przetwarzania jego danych na okoliczność postępowania cywilnego, które toczy się z powództwa skarżącego przeciwko Spółce przed Sadem Okręgowym w G. o sygn. akt [...] to wskazać należy, że to skarżący sam zainicjował to postępowanie przed sądem, a zatem strona przeciwna musi być o tym fakcie informowana, a skarżący godzi się, że jego dane mogą być udostępniane. Należy bowiem odróżnić dwie sytuacje. Żądanie skarżącego, które zainicjowało postępowanie w sprawie, dotyczyło niezgodnego z prawem przetwarzania jego danych jako zbioru, o którym mowa w art. 7 i art. 32 pow. ustawy o ochronie danych osobowych. Natomiast obecnie, jeżeli nawet Spółka dysponuje danymi skarżącego, to jedynie w zakresie niezbędnym i na potrzeby toczącego się postępowania przed sądem cywilnym (art. 23 ust. 1 pkt 5 ustawy), które to postępowanie zostało zainicjowane działaniem skarżącego. . Reasumując stwierdzić należy, że zaskarżona decyzja nie narusza prawa. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), orzekł jak w sentencji.