II SA/Wa 514/14

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Pisula-Dąbrowska, Sędziowie WSA Adam Lipiński (spr.), Janusz Walawski, Protokolant Starszy sekretarz sądowy Sylwia Mikuła, po rozpoznaniu na rozprawie w dniu 27 maja 2014 r. sprawy ze skargi B. M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2011 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...]czerwca 2011 r.; 2. stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości, B. M. wniosła do Biura Generalnego Inspektora Ochrony Danych Osobowych skargę na niezgodne z prawem przetwarzanie jej danych osobowych przez Starostę [...], polegające na udostępnieniu jej danych osobom nieupoważnionym. Wskazała, iż Zarząd Powiatu [...] naruszył przepis art. 27 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) poprzez zlecenie osobom fizycznym W. M., W. K. i K. M. sporządzenia "raportu zbiorczego obejmującego ocenę sytuacji w zakresie przestrzegania standardów wychowania i opieki w D. w K., wskazanie przyczyn zaistniałej sytuacji oraz opracowanie programu naprawczego w przedmiotowym zakresie". Wskazane osoby nie miały pisemnego upoważnienia organu powiatowego do przeprowadzenia nadzoru ww. placówki w dniu jego rozpoczęcia oraz nie były uprawnione do wglądu w dokumentację pracowniczą skarżącej, zawierającą między innymi dane o jej stanie zdrowia. Generalny Inspektor w dniu [...] grudnia 2008 r. wydał decyzję odmawiającą uwzględnienia wniosku skarżącej, uznając działanie Starosty [...] za usankcjonowane przepisem art. 23 ust. 1 pkt 2 i 4 w związku z art. 31 ust. 1 i 2 ustawy o ochronie danych osobowych. Następnie, po rozpoznaniu wniosku B. M. o ponowne rozpatrzenie sprawy, decyzją z [...] marca 2009 r. utrzymał poprzedzającą decyzję z dnia [...] grudnia 2008 r. w mocy. W wyniku rozpoznania skargi B. M. na powyższą decyzję, Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 3 listopada 2009 r. sygn. akt II SA/Wa 725/09 uchylił zaskarżoną oraz poprzedzającą decyzję oraz stwierdził, że zaskarżona decyzja nie podlega wykonaniu w całości. W uzasadnieniu Sąd wskazał, że skarga zasługuje na uwzględnienie, ponieważ Generalny Inspektor Ochrony Danych Osobowych bezzasadnie przyjął, iż przetwarzanie danych osobowych skarżącej przez zespół specjalistów na zlecenie Zarządu Powiatu [...] było uzasadnione przesłankami wskazanymi w art. 23 ust. 1 pkt 2 i 4 ustawy o ochronie danych osobowych. Sąd wyjaśnił, że zgodnie z art. 112 ust. 5 i 8 ustawy o pomocy społecznej, w indywidualnych sprawach z zakresu pomocy społecznej należących do właściwości powiatu decyzje administracyjne wydaje starosta lub z jego upoważnienia kierownik powiatowego centrum pomocy rodzinie i inni pracownicy centrum upoważnieni na wniosek kierownika. Starosta przy pomocy powiatowego centrum pomocy rodzinie sprawuje nadzór nad działalnością rodzinnej opieki zastępczej, ośrodków adopcyjno-opiekuńczych, jednostek specjalistycznego poradnictwa, w tym rodzinnego, oraz ośrodków wsparcia, domów pomocy społecznej, placówek opiekuńczo-wychowawczych i ośrodków interwencji kryzysowej. Analiza powołanych przepisów prowadzi do wniosku, że ustawodawca tylko staroście – jako organowi administracji publicznej – przyznaje uprawnienia do wydawania decyzji administracyjnych w indywidualnych sprawach z zakresu opieki społecznej. Przeniesienie tych uprawnień jest ograniczone podmiotowo i może zostać uczynione na rzecz kierownika centrum pomocy społecznej lub innych pracowników centrum. Wskazane kompetencje stanowią lex specialis w stosunku do ogólnych unormowań. Starosta jest również organem nadzoru wobec rodzin zastępczych i powiatowych jednostek organizacyjnych pomocy społecznej. Sąd wskazał, że pojęcie nadzoru jest pojęciem szerszym, nierozerwalnie łączy się z kontrolą. Uprawnienia nadzorcze obejmują prawo ustalenia stanu faktycznego, porównania zaistniałej w toku kontroli sytuacji z normą prawną i stosowania władczych form działania (wydawania decyzji, wystąpień) w celu przywrócenia naruszonego wzorca określonego przepisami prawa. Wymienione formy działania przysługują tylko i wyłącznie organom administracji publicznej, zarówno państwowej, jak i samorządowej. Mogą być zatem dokonywane tylko przez organy do tego ustawowo umocowane, bądź też aparat urzędniczy organu, jeżeli przepisy kompetencyjne na to zezwalają, albowiem organy administracji publicznej działają tylko i wyłącznie na podstawie przepisów prawa powszechnie obowiązującego (ogólna zasada wyrażona w art. 6 Kpa). Tymczasem w rozpoznawanej sprawie z zakresu dokonywanych czynności przez specjalistów (W. M. – [...] w P., [...] rekomendowanego przez Polskie Towarzystwo [...] w W., W. K. – [...], K. M. – [...] w C. w P.), jednoznacznie wynika, że dokonywane były czynności kontrolne, do wykonywania których osoby te, niezależnie od posiadanych kwalifikacji zawodowych, nie były w świetle obowiązujących przepisów uprawnione. Sąd stwierdził, że nie można zgodzić się ze stanowiskiem organu, że ww. osoby na zlecenie Zarządu Powiatu [...] realizowały wobec Dyrektora D. w K. uprawnienia pracodawcy. Naczelny Sąd Administracyjny po rozpoznaniu skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od powyższego wyroku, wyrokiem z 28 stycznia 2011 r. sygn. akt I OSK 242/10 oddalił skargę kasacyjną. Działając w wyniku powyższych wyroków Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] czerwca 2011 r. odmówił uwzględnienia wniosku B. M.. W uzasadnieniu wskazał, że stosownie do wytycznych Sądu, udostępnienie przez Starostę osobom innym niż wymienione w art. 112 ust. 8 w związku z ust. 5 tego przepisu ustawy o pomocy społecznej danych osobowych skarżącej w celu przeprowadzenia czynności nadzorczej w D. w K. było niedopuszczalne z punktu widzenia zasady wyrażonej w art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych. Biorąc jednak pod uwagę fakt, że działania osób, którym Starosta zlecił przeprowadzenie nadzoru w ww. placówce opiekuńczo-wychowawczej, związane także z przetwarzaniem danych osobowych skarżącej, zakończyły się definitywnie i dane te zostały zwrócone do zlecającego te czynności, nie można zatem stwierdzić, aby na dzień wydawania niniejszego rozstrzygnięcia istniał stan naruszenia prawa, o którym mowa w art. 18 ust. 1 ustawy o ochronie danych osobowych i konieczne było wydanie decyzji zobowiązującej administratora do restytucji stanu zgodnego z prawem. Jednakże Generalny Inspektor, korzystając ze swoich uprawnień, zwrócił się do Starosty [...] o podjęcie stosownych działań mających na celu wyeliminowanie podobnych nieprawidłowości w działalności Powiatu [...] w przyszłości. Następnie po rozpatrzeniu wniosku zainteresowanej o ponowne rozpatrzenie sprawy decyzją z dnia [...] września 2011 r. utrzymał w mocy swoją poprzedzającą decyzję i wyjaśnił, że stosownie do art. 18 ust. 1 ustawy o ochronie danych osobowych organ może nakazać w drodze decyzji administracyjnej zmianę stanu niezgodnego z prawem na dzień wydania decyzji. Skoro zatem działania osób, którym Starosta zlecił przeprowadzenie nadzoru w ww. placówce opiekuńczo-wychowawczej, zakończyły się definitywnie i dane zostały zwrócone do zlecającego czynności, nie można stwierdzić, aby na dzień wydawania zaskarżonego rozstrzygnięcia istniał stan naruszenia prawa, o którym mowa w ww. przepisie ustawy i konieczne było wydanie decyzji zobowiązującej administratora do restytucji stanu zgodnego z prawem. Powyższa decyzja stała się przedmiotem skargi B. M. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżąca stwierdziła, że zaskarżona decyzja jest niesprawiedliwa i niezgodna z przepisami prawa, a postępowanie w niniejszej sprawie stronnicze i pobłażliwe w stosunku do osób, które niewątpliwie – w ocenie Naczelnego Sądu Administracyjnego (sygn. akt I OSK 242/10) – naruszyły ustawę o ochronie danych osobowych. Zarzuciła organowi, że nie dostrzega on "stanu naruszenia prawa", o którym mowa w art. 18 ust. 1 ustawy o ochronie danych osobowych, nie widzi także konieczności wszczęcia postępowania dyscyplinarnego, jak również nie dostrzega, że działanie określonych osób wyczerpuje znamiona przestępstwa określonego w ustawie (art. 17 i 19). Skarżąca stwierdziła ponadto, że dane zgromadzone podczas kontroli w 2006 r. nadal są przez osoby te przetwarzane, ponieważ osoby te posługują się nimi, wypowiadając się chociażby przed Sądem Rejonowym w S. w postępowaniu [...] na przestrzeni 2010 i 2011 roku. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując stanowisko przedstawione w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 19 kwietnia 2012 r. sygn. akt II SA/Wa 2590/11 uchylił zaskarżoną decyzję z dnia [...] września 2011 r. oraz poprzedzającą ją decyzję z dnia [...] czerwca 2011 r. W uzasadnieniu Sąd wskazał na treści art. 153 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2012 r., poz. 270 ze zm.) i uznał, iż Generalny Inspektor Ochrony Danych Osobowych nie wziął pod uwagę wytycznych Sądów. Co prawda organ powtórzył za Sądem, że udostępnienie przez Starostę osobom innym niż wymienione w art. 112 ust. 8 w związku z ust. 5 tego przepisu ustawy o pomocy społecznej danych osobowych skarżącej w celu przeprowadzenia czynności nadzorczej w D. w K. było niedopuszczalne z punktu widzenia zasady wyrażonej w art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych, jednak zasady tej nie zastosował, ani też nie skorzystał z uprawnień nadanych przez ustawodawcę. Nie można bowiem podzielić poglądu organu, że z uwagi na fakt, iż działania osób, którym Starosta zlecił przeprowadzenie nadzoru w ww. placówce opiekuńczo-wychowawczej, związane także z przetwarzaniem danych osobowych skarżącej, zakończyły się definitywnie i dane te zostały zwrócone do zlecającego te czynności, to nie można stwierdzić, aby na dzień wydawania niniejszego rozstrzygnięcia istniał stan naruszenia prawa, o którym mowa w art. 18 ust. 1 ustawy o ochronie danych osobowych i konieczne było wydanie decyzji zobowiązującej administratora do restytucji stanu zgodnego z prawem. Okoliczność ta, na którą powołuje się organ, miała już miejsce w czasie wydawania decyzji administracyjnych w 2008 i 2009 roku i była organowi znana. Jednakże w owym czasie organ okoliczności tej nie podnosił, choć w ocenie Sądu miała ona skutki dalej idące niż dokonana ocena legalności przetwarzania danych osobowych. Zgodnie z orzecznictwem sądowym aby mogło dojść do wydania decyzji merytorycznej na podstawie art. 18 ust. 1 ustawy o ochronie danych osobowych, dane osobowe osoby zainteresowanej, która złożyła do GIODO wniosek dotyczący przetwarzania jej danych osobowych, muszą znajdować się w posiadaniu podmiotu, którego wniosek ten dotyczy. Decyzja nakazująca przywrócenie stanu zgodnego z prawem nie może bowiem zostać wydana w sytuacji, gdy organ stwierdzi dokonanie w przeszłości naruszeń ustawy o ochronie danych osobowych, jeśli dane te zostały następnie usunięte. W takiej sytuacji mamy do czynienia z bezprzedmiotowością postępowania, co z kolei rodzi obowiązek wydania decyzji o umorzeniu postępowania na podstawie art. 105 Kpa. W niniejszej sprawie dane skarżącej nie zostały usunięte i w dalszym ciągu są wykorzystywane, choćby w formie "Raportu zbiorczego obejmującego ocenę sytuacji w zakresie przestrzegania standardów wychowania i opieki w D. w K., wskazanie przyczyn zaistniałej sytuacji oraz opracowanie programu naprawczego w przedmiotowym zakresie", a także poprzez posługiwanie się tymi danymi na potrzeby postępowań sądowych. Ponadto przepis art. 18 ust. 1 ustawy wskazuje na kilka możliwości nakazania przywrócenia stanu zgodnego z prawem od usunięcia uchybień po najbardziej restrykcyjne usunięcie danych osobowych. Skarżąca natomiast w skardze do organu wniosła o zastosowanie art. 18 ust. 1 pkt 2 cytowanej ustawy, tj. wydanie decyzji administracyjnej, nakazującej przywrócenie stanu zgodnego z prawem poprzez uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych (k-28 akt administracyjnych). Generalny Inspektor Ochrony Danych Osobowych wniósł skargę kasacyjną, zaskarżając powyższy wyrok w całości. Naczelny Sąd Administracyjny wyrokiem z dnia 13 lutego 2014 r. sygn. akt I OSK 1771/12 uchylił zaskarżony wyrok i przekazał sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. W uzasadnieniu wyroku wskazał, iż skarga kasacyjna została oparta na usprawiedliwionej podstawie. Zasadnie zarzucono naruszenie art. 153 ustawy – Prawo o postępowaniu przed sądami administracyjnymi. Artykuł ten nie daje podstaw do jego abstrakcyjnego stosowania bez uwzględnienia aktualnych okoliczności sprawy. Nie ma zatem uzasadnionych racji przyjęcie bez uwzględnienia okoliczności sprawy, że organ przy ponownym rozpoznaniu sprawy nie wykonał oceny prawnej. Artykuł 18 reguluje zakres nakazów, które może wydać Generalny Inspektor Ochrony Danych Osobowych. Sąd przyjmuje ogólnikowo, że dane są wykorzystywane, nie wiąże jednak z okolicznościami faktycznymi sprawy. W zaskarżonym wyroku brak przeprowadzenia pełnej kontroli zgodności z prawem zaskarżonej decyzji. Brak pełnej kontroli związanej z okolicznościami faktycznymi sprawy, dopuszczalność stosowania przez Generalnego Inspektora Danych środków wobec świadków w postępowaniu sądowym, w tym pozbawienia zdolności do występowania w pozycji świadka dla osób, które znają fakty a z uwagi na ochronę danych osobowych można ich zdolności pozbawić. Sąd nie przeprowadził analizy czy przepisy innych ustaw nie zamykają możliwości zastosowania wyliczonych w art. 18 ust. 1 ustawy o ochronie danych osobowych w okolicznościach faktycznych sprawy. Postępowanie sądowe przed Sądem Rejonowym Sądem Pracy, w tym sporządzony protokół nie jest objęty właściwością Generalnego Inspektora Ochrony Danych Osobowych. Do niezawisłego sądu należy ocena zgodności z prawem przedstawionych dowodów. W procedurze sądowej jest zagwarantowana pełna ochrona jednostki, co oznacza, że do tego celu nie może służyć ustawa o ochronie danych osobowych. Abstrakcyjność rozważań w zaskarżonym wyroku nie pozwala na ocenę, czy zdaniem Sądu, Generalny Inspektor Ochrony Danych Osobowych jest właściwy do nakazania usuwania danych osobowych z akt sądowych i wynikającej z tego ingerencji w prowadzone postępowanie sądowe. Szeroka analiza oceny prawnej Wojewódzkiego Sądu Administracyjnego i Naczelnego Sądu Administracyjnego, zacytowanie art. 18 ust. 1 ustawy o ochronie danych osobowych jest wyrazem uchylenia się od kontroli decyzji. Sąd dopuszczając zakończenie sprawy na drodze postępowania administracyjnego decyzją o umorzeniu postępowania nie wiąże, pozostawiając bez oceny zasadność odmowy uwzględnienia wniosku. Nie jest zrozumiałe powołanie w uzasadnieniu treści żądania wniosku, z uwagą, że działanie organu było niewystarczające. W postępowaniu administracyjnym obowiązuje reguła, że treść żądania wyznacza przedmiot postępowania, a nie treść rozstrzygnięcia, a to z tego względu, że jednostka ma interes prawny, a nie roszczenie prawne. Interes prawny otwiera jej drogę do postępowania administracyjnego, a nie do wydania decyzji określonej treści. Zasadnie zatem w skardze kasacyjnej zarzucono naruszenie art. 153 w związku z art. 134 i art. 3 § 1 ustawy – Prawo o postępowaniu przed sądami administracyjnymi. Tym samym zasadny jest zarzut naruszenia art. 141 § 4 ustawy – Prawo o postępowaniu przed sądami administracyjnymi. Wojewódzki Sąd Administracyjny w Warszawie po ponownym rozpoznaniu sprawy zważył, co następuje. Zgodnie z art. 190 zdanie pierwsze ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi: "Sąd, któremu sprawa została przekazana, związany jest wykładnią prawa dokonaną w tej sprawie przez Naczelny Sąd Administracyjny". Analizując niniejszą sprawę we wskazanym przez Naczelny Sąd Administracyjny kierunku, Wojewódzki Sąd Administracyjny w Warszawie uznał skargę za uzasadnioną. W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie załatwienie niniejszej sprawy przez organ nie było prawidłowe. Zakres rozpoznania przez Generalnego Inspektora Ochrony Danych Osobowych skargi B. M. na niezgodne z prawem przetwarzanie jej danych osobowych jest wyznaczony z żądaniem skargi i możliwościami prawnymi działania organu, wskazanymi w art. 18 ustawy o ochronie danych osobowych oraz wytycznymi zawartymi w wyroku Naczelnego Sądu Administracyjnego z dnia 13 lutego 2014 r. Wykonując zatem wytyczne Naczelnego Sądu Administracyjnego należało dokładnie wskazać jakie czynności i ustalenia winien w niniejszej sprawie dokonać Generalny Inspektor Ochrony Danych Osobowych (których to czynności i ustaleń wykonać zaniechał), aby móc uznać niniejszą sprawę za prawidłowo załatwioną. Organ dopiero w wyniku realizacji wytycznych sądów administracyjnych (wyrok WSA z dnia 3 listopada 2009 r. sygn. akt II SA/Wa 725/09 oraz wyrok NSA z dnia 28 stycznia 2011 r., sygn. akt I OSK 242/10) uznał, iż udostępnienie przez Starostę osobom innym niż wymienione w art. 112 ust. 8 w związku z ust. 5 tego przepisu ustawy o pomocy społecznej danych osobowych skarżącej w celu przeprowadzenia czynności nadzorczej w D. w K. było niedopuszczalne z punktu widzenia zasady wyrażonej w art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych. Na tym stwierdzeniu organ poprzestał nie badając sprawy dogłębniej, zgodnie z żądaniem B. M. Niniejsza sprawa nie sprowadza się wyłącznie do oceny czy udostępnienie danych osobowych skarżącej W. M., W. K. i K. M. - to jest osobom sporządzającym raport - było prawidłowe ale do zbadania przez Generalnego Inspektora Danych Osobowych czy w dokumentach wytworzonych przez powyższe osoby, w wyniku ich działań kontrolnych, zostały zamieszczone dane osobowe skarżącej i jakiego rodzaju były to dane (w szczególności czy należały one do kategorii danych wrażliwych). Następnie w przypadku potwierdzenia powyższego faktu organ powinien rozważyć, czy zamieszczenie w dokumentach kontrolnych przez W. M., W. K. i K. M. danych osobowych skarżącej w takim zakresie w jakim zostały one w tych dokumentach udostępnione było niezbędne i celowe z uwagi na treść sporządzonych dokumentów, czy też stanowiło nieuprawnione posłużenie się tymi danymi, zwłaszcza dotyczącymi stanu zdrowia skarżącej. Inaczej mówiąc, organ powinien odpowiedzieć na pytanie: czy gdyby kontrola przestrzegania standardów wychowania i opieki w D. w K. była wykonywana zgodnie z przesłankami art. 112 ust. 5 i 8 ustawy o pomocy społecznej, przy zachowaniu zasad odpowiedniego umocowania i przeszkolenia osób przeprowadzających tą kontrolę, to miałoby to wpływ na zamieszczenie w przedmiotowym raporcie danych osobowych skarżącej i w jakim zakresie (dane wrażliwe), czy też stan tych danych nie uległby zmianie. Dopiero dokonanie tego ustalenia stanowiłoby ewentualną przesłankę do zastosowania przez organ rozwiązań wskazanych w art. 18 ustawy o ochronie danych osobowych, czego domaga się skarżąca, albo w zależności od treści tych ustaleń – do oddalenia wniosku w tym zakresie. Bez powyższego ustalenia nie sposób Wojewódzkiemu Sądowi Administracyjnemu ocenić podjętego przez organ stanowiska w przedmiocie braku dalszego trwania stanu naruszenia prawa co do przetwarzania danych osobowych skarżącej, zawartego w decyzji organu z dnia [...] czerwca 2011 r. oraz w decyzji z dnia [...] września 2011 r. utrzymującej tą decyzję w mocy. Nie można podzielić poglądu organu, że z uwagi na fakt, iż działania osób, którym Starosta zlecił przeprowadzenie nadzoru w ww. placówce opiekuńczo-wychowawczej, związane z przetwarzaniem danych osobowych skarżącej, zakończyły się definitywnie i dane te zostały zwrócone do zlecającego te czynności, to nie można stwierdzić, aby na dzień wydawania niniejszego rozstrzygnięcia istniał stan naruszenia prawa, o którym mowa w art. 18 ust. 1 ustawy o ochronie danych osobowych i konieczne było wydanie decyzji zobowiązującej administratora do restytucji stanu zgodnego z prawem. Nie można także nie dostrzegać, iż skarżąca wnosiła o nakazanie przywrócenia stanu zgodnego z prawem, co do przetwarzania jej danych osobowych. Natomiast dalsze żądania skarżącej kierowane do Generalnego Inspektora Ochrony Danych Osobowych, co do ewentualnej kontroli przetwarzania danych osobowych B. M. przez Sąd Pracy, wymykają się spod kontroli organu, natomiast sama skarżąca za pomocą stosownych instytucji postępowania cywilnego może (lub mogła) wnosić o stosowne ograniczenie jawności rozprawy przed sądem pracy. Powyższe zagadnienie zostało wyjaśnione przez Naczelny Sąd Administracyjny w uzasadnieniu wskazanego wyżej wyroku, zatem jego dalsze rozwijanie jest w niniejszej sprawie zbyteczne. Mając powyższe na uwadze, na podstawie art. 132 i 145 § 1 pkt 1 lit. c) przepisów ustawy - Prawo o postępowaniu przed sądami administracyjnymi, Wojewódzki Sąd Administracyjny w Warszawie orzekł, jak w sentencji wyroku. O wykonalności zaskarżonej decyzji Sąd orzekł na podstawie art. 152 ww. ustawy.