II SA/Wa 600/12

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska (spr.) Sędziowie WSA Sławomir Antoniuk Ewa Grochowska – Jung Protokolant starszy referent Marcin Borkowski po rozpoznaniu na rozprawie w dniu 17 października 2012 r. sprawy ze skargi J. F. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę, 2. przyznaje, ze środków budżetowych Wojewódzkiego Sądu Administracyjnego w Warszawie na rzecz radcy prawnego J. B. –kwotę 240 zł (dwieście czterdzieści złotych) oraz kwotę 55,20 zł (pięćdziesiąt pięć złotych dwadzieścia groszy) stanowiącą 23 % podatku VAT, tytułem nieopłaconej pomocy prawnej świadczonej z urzędu. Generalny Inspektor Ochrony Danych Osobowych (dalej: GIODO) decyzją nr [...] z dnia [...] stycznia 2012 r., wydaną na podstawie art. 138 § 1 pkt 1 k.p.a. oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 i art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.), w wyniku ponownego rozpatrzenia sprawy, utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] października 2011 r. nr [...], odmawiającą uwzględnienia wniosku w sprawie skargi J. F., dotyczącej przetwarzania jego danych osobowych przez L. S.A., z siedzibą w W. Do wydania powyższych decyzji doszło w następującym stanie faktycznym i prawnym: Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga J. F., dotycząca przetwarzania jego danych osobowych przez L. S.A., z siedzibą w W. przy ul. [...], w tym ich udostępnienia na rzecz C. Sp. z o.o. z siedzibą we W. W treści ww. skargi skarżący podniósł, iż L. udostępniło jego dane osobowe w zakresie imienia, nazwiska, miejsca zamieszkania i numeru telefonu stacjonarnego na rzecz Spółki C. Wskazał, iż był wcześniej klientem L., lecz w terminie wymówił im współpracę i na tą okoliczność dołączył pismo z dnia 14 lipca 2010 r. Wskazując na powyższe, skarżący wniósł o nakazanie usunięcia jego danych przez oba ww. podmioty oraz o ich przykładne ukaranie. W toku podjętego przez GIODO postępowania wyjaśniającego L. w piśmie z dnia 25 marca 2011 r., skierowanym do organu, wyjaśniło, że skarżący zawarł z nimi umowę ubezpieczenia w zakresie obowiązkowego ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych na okres od dnia 29 lipca 2009 r. do dnia 28 lipca 2010 r. Z uwagi natomiast na to, iż do dnia 27 lipca 2010 r. do L. nie wpłynęło pisemne wypowiedzenie ww. umowy, na zasadzie "automatyzmu", wyrażonej w art. 28 ust. 1 ustawy z dnia 22 maja 2003 r. o ubezpieczeniach obowiązkowych, Ubezpieczeniowym Funduszu Gwarancyjnym i Polskim Biurze Ubezpieczycieli Komunikacyjnych (Dz. U. nr 124, poz. 1152 ze zm.), została zawarta kolejna umowa na okres od dnia 29 lipca 2010 r. do dnia 28 lipca 2011 r. Jednocześnie L. wskazało, że nie może potraktować pisma J. F. z dnia 14 lipca 2010 r. za wypowiedzenie umowy ubezpieczenia, ponieważ pismo to dotyczy odrzucenia oferty cenowej na następny rok ubezpieczenia. Skarżący był zatem zobowiązany do zapłaty składki za ww. okres ubezpieczeniowy, a ponieważ składka nie wpłynęła, L. wszczęło proces windykacyjny. W ww. piśmie L. wyjaśniło ponadto, że przetwarza dane skarżącego w celu wykonania umowy ubezpieczenia, jak również umów wygasłych, w ramach których możliwe jest zgłoszenie roszczeń odszkodowawczych przez ewentualne osoby poszkodowane. Odnośnie natomiast udostępnienia danych osobowych skarżącego Spółce C., podniesiono, że w dniu 6 października 2008 r. L. zawarło z tą Spółką Umowę na obsługę windykacyjną oraz Umowę o powierzeniu przetwarzania danych osobowych. Zgodnie z § 3 tej ostatniej umowy Spółka C. zobowiązała się do przetwarzania danych osobowych klientów L. w zakresie imienia i nazwiska, adresu korespondencyjnego, adresu zameldowania, numeru telefonu, numeru rejestracyjnego pojazdu oraz nr PESEL w celu realizacji postanowień ww. umowy na obsługę windykacyjną, tj. w celu wykonywania czynności zgodnych z przepisami prawa, zmierzających do odzyskania od dłużników L. należności z tytułu zawartych umów ubezpieczenia. Także Spółka C., w piśmie z dnia 24 marca 2011 r., skierowanym do GIODO, wyjaśniła, że pozyskała dane osobowe J. F. na podstawie umowy z dnia 6 października 2008 r., zawartej z L. w celu dochodzenia roszczeń. Jednocześnie Spółka C. oświadczyła, iż wierzytelność będąca przedmiotem skargi była w ich obsłudze od dnia 15 grudnia 2010 r. do dnia 15 marca 2011 r. Tym samym Spółka C. nie przetwarza obecnie żadnych danych osobowych J. F. z uwagi na zakończony okres obsługi wierzytelności. Powyższa okoliczność została potwierdzona przez tę Spółkę w kolejnym piśmie z dnia 23 maja 2011 r., do którego załączony został zrzut z ekranu bazy danych, potwierdzający fakt usunięcia danych. GIODO decyzją nr [...] z dnia [...] października 2011 r., wydaną na podstawie art. 104 § 1 k.p.a. oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 oraz art. 31 ustawy z dnia 29 sierpnia 1997 r. ochronie danych osobowych, odmówił uwzględnienia wniosku J. F., dotyczącego przetwarzania jego danych osobowych przez L. S.A. z siedzibą w W. przy ul. [...], w tym ich udostępnienia na rzecz C. Sp. z o.o., z siedzibą we W. przy ul. [...]. W uzasadnieniu decyzji organ wyjaśnił, że przetwarzanie danych osobowych jest zgodne z prawem, gdy administrator danych legitymuje się posiadaniem co najmniej jednej materialnej przesłanki spośród wymienionych w art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Obok i niezależnie od zgody osoby, której dane dotyczą (art. 23 ust. 1 pkt 1 ustawy), przetwarzanie danych osobowych jest zatem dopuszczalne, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 ustawy), a także gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (art. 23 ust. 1 pkt 3 ustawy). Jednocześnie art. 23 ust. 1 pkt 5 ustawy stanowi, że przetwarzanie danych osobowych jest dopuszczalne, jeżeli jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w art. 23 ust. 1 pkt 5 ustawy, uważa się zaś w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (art. 23 ust. 4 pkt 2 ustawy). Organ zaznaczył jednocześnie, iż jakkolwiek administrator danych może przetwarzać dane samodzielnie, art. 31 ustawy upoważnia go również do powierzenia, w drodze zawartej w formie pisemnej umowy, przetwarzania tych danych innemu podmiotowi. Z tym, że podmiot, któremu administrator powierzył przetwarzanie danych, może je przetwarzać wyłączne w przewidzianym umową zakresie i w określonym w umowie celu (art. 31 ust. 2 ustawy). Powierzenie przetwarzania danych, dokonane przez administratora, nie wymaga natomiast uzyskania zgody osoby, której dane dotyczą. Stosownie zaś do art. 28 ust. 1 ustawy o ubezpieczeniach obowiązkowych, Ubezpieczeniowym Funduszu Gwarancyjnym i Polskim Biurze Ubezpieczycieli Komunikacyjnych, jeżeli posiadacz pojazdu mechanicznego nie później niż na jeden dzień przed upływem okresu 12 miesięcy, na który umowa ubezpieczenia OC posiadaczy pojazdów mechanicznych została zawarta, nie powiadomi na piśmie zakładu ubezpieczeń o jej wypowiedzeniu, uważa się, że została zawarta następna umowa na kolejne 12 miesięcy. Zgodnie natomiast z art. 3 ust. 4 pkt 5 lit. a) ustawy z dnia 22 maja 2003 r. o działalności ubezpieczeniowej, przez działalność ubezpieczeniową rozumie się wykonywanie czynności ubezpieczeniowych, którymi są również prowadzenie postępowań regresowych oraz postępowań windykacyjnych związanych z wykonywaniem umów ubezpieczenia i umów gwarancji ubezpieczeniowych. Ponadto, stosownie do art. 3 ust. 6 ustawy o działalności ubezpieczeniowej, zakład ubezpieczeń może zlecać wykonanie czynności windykacyjnych innym podmiotom. Organ wskazał, iż w świetle powołanych wyżej przepisów, przetwarzanie danych skarżącego przez L. zarówno w wykonaniu ww. umowy ubezpieczenia, jak i windykacji nieopłaconej składki z niej wynikającej, należy uznać za uprawnione. W szczególności uprawnione było udostępnienie przez L. danych skarżącego na rzecz Spółki C. w celach windykacyjnych. Uprawnienie to wynika wprost z art. 3 ust. 6 ustawy o działalności ubezpieczeniowej. Zatem z takiej możliwości L. skorzystało, zawierając ze Spółką C. w dniu 6 października 2008 r. umowę na obsługę windykacyjną oraz umowę o powierzeniu przetwarzania danych osobowych z dnia 6 października 2008 r. Jednocześnie GIODO zaznaczył, że jako organ do spraw ochrony danych osobowych nie jest władny oceniać ważności umowy ubezpieczenia OC, a tym samym prawa dochodzenia przez L. roszczeń wobec skarżącego, na podstawie ww. umowy, gdyż w tych kwestiach pozostają wyłącznie właściwe sądy powszechne. Jeżeli zatem skarżący uważa, iż nie wiąże go z L. żadna umowa cywilnoprawna i tym samym w jego ocenie L. nie jest władne dochodzić od niego jakichkolwiek roszczeń, to może wystąpić do właściwego miejscowo sądu powszechnego ze stosownym powództwem, jak w szczególności z pozwem o ustalenie nieistnienia stosunku prawnego, o którym mowa w art. 189 k.p.c. Przetwarzanie danych skarżącego przez L. w celu dochodzenia ewentualnych roszczeń, wynikających z umowy, znajduje natomiast swe oparcie w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. W świetle przepisu art. 3 ust. 6 ustawy o działalności ubezpieczeniowej oraz art. 31 ustawy o ochronie danych osobowych, przetwarzanie danych skarżącego przez Spółkę C. należy również uznać za uprawnione. Umowa o powierzeniu przetwarzania danych osobowych z dnia 6 października 2008 r., zawarta pomiędzy L., a tą Spółką spełniała zaś wymogi przewidziane w art. 31 ust. 1 i 2 ustawy, bowiem została zawarta na piśmie i określono w niej zakres i cel przetwarzania danych osobowych. Ponadto Spółka C. aktualnie już nie przetwarza danych skarżącego, bowiem z uwagi na zakończony okres obsługi wierzytelności przysługującej L. wobec skarżącego, dane skarżącego zostały przez Spółkę usunięte, co zostało potwierdzone wydrukiem z systemu operacyjnego Spółki. W złożonym do GIODO wniosku o ponowne rozpatrzenie sprawy J. F. wyraził niezadowolenie z wydanej decyzji i zażądał jej uchylenia. Zarzucił, że kwestionowana decyzja w wielu akapitach zawiera nieprawdę. Podniósł też, że sprawa nie jest zakończona, gdyż L. udostępnił jego dane osobowe kolejnej firmie windykacyjnej. Zwrócił ponadto uwagę na potrzebę uwzględnienia przy rozpoznawaniu tej sprawy jego pisma z dnia 20 sierpnia 2009 r., adresowanego do Prezesa Zarządu L., w treści którego wymówił umowę ubezpieczenia na okres 2010 — 2011. Skarżący załączył do wniosku kopię ww. pisma, opatrzonego dopiskiem "wysłałem listem zwykłym". W toku ponownego rozpatrzenia sprawy GIODO zwrócił się do L. o dodatkowe wyjaśnienia odnośnie zarzutu skarżącego, iż dokonał on pisemnego, terminowego wypowiedzenia umowy obowiązkowego ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych, zawartej na okres od dnia 29 lipca 2009 r. do dnia 28 lipca 2010 r. W odpowiedzi na powyższe wystąpienie organu L. w piśmie dnia 16 listopada 2011 r. podtrzymało swoje wcześniejsze stanowisko w sprawie, podkreślając, że dla skuteczności wypowiedzenia umowy ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych niezbędne jest doręczenie zakładowi ubezpieczeń pisemnego wypowiedzenia najpóźniej przed upływem okresu 12 miesięcy, na jaki umowa ubezpieczenia została zawarta. W przedmiotowej sprawie takie wypowiedzenie nie wpłynęło do L., a pismo skarżącego z dnia 20 sierpnia 2009 roku nie trafiło w ogóle do L., a zatem nie może ono mieć wpływu na istnienie zobowiązania skarżącego. L. wskazało jednoznacznie, że zawarta ze skarżącym umowa ubezpieczenia w zakresie obowiązkowego ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych, przedłużona na okres od dnia 29 lipca 2010 r. do dnia 28 lipca 2011 r., po upływie tego okresu wygasła i aktualnie nie obowiązuje. L. potwierdziło zarazem, że w dalszym ciągu przetwarza dane osobowe skarżącego dla celu dochodzenia w stosunku do niego roszczeń z tytułu nieopłaconej składki ubezpieczeniowej, a także w związku z ewentualną koniecznością podjęcia stosownych działań w przypadku zgłoszenia pod adresem L. roszczeń przez osoby, wobec których na skarżącym ciążyć może obowiązek naprawienia szkody wyrządzonej w związku z ruchem jego pojazdu, w okresie obowiązywania ubezpieczenia. GIODO decyzją z dnia [...] stycznia 2012 r., wydaną na podstawie art. 138 § 1 pkt 1 k.p.a. oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 i art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, po ponownym rozpatrzeniu sprawy, utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] października 2011 r., odmawiającą uwzględnienia wniosku J. F. W uzasadnieniu decyzji organ podtrzymał w całości swoje wcześniejsze stanowisko, ponownie podkreślając, że przetwarzanie danych osobowych skarżącego przez L. - zarówno dla celów związanych z możliwością zgłoszenia pod adresem wskazanego ubezpieczyciela roszczeń wynikających z zawartej w przeszłości ze skarżącym umowy ubezpieczenia, jak i w celu dochodzenia w stosunku do niego roszczeń L. o zapłatę składki należnej z tytułu ww. umowy - należy uznać za uprawnione (realizowane na zasadach określonych w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych). Organ zaznaczył przy tym, iż zarzuty skarżącego w niniejszej sprawie sprowadzają się w istocie do twierdzenia, że — wbrew stanowisku L. - nie doszło do przedłużenia łączącej strony umowy ubezpieczenia odpowiedzialności cywilnej posiadacza pojazdu mechanicznego na okres od dnia 29 lipca 2010 r. do dnia 28 lipca 2011 r. Sformułowany przez skarżącego zarzut nieprawidłowej oceny korespondencji, skierowanej przez niego do L., a w konsekwencji nieprawidłowej oceny kwestii dalszego istnienia bądź nieistnienia pomiędzy stronami określonego stosunku prawnego (wynikającego z umowy ubezpieczenia), nie podlega jednak weryfikacji GIODO. Kwestię tę może rozstrzygnąć jedynie właściwy sąd powszechny. W sytuacji natomiast braku prawomocnego rozstrzygnięcia sądu w podanym zakresie, GIODO nie znajduje podstaw, aby zakwestionować istnienie ww. stosunku prawnego (w okresie od dnia 29 lipca 2010 r. do dnia 28 lipca 2011 r.) i wynikających stąd roszczeń L. Powyższe wynika zaś z faktu, że okoliczność zawarcia pomiędzy ww. podmiotami umowy ubezpieczenia jest niesporna, natomiast spór dotyczy wyłącznie jej dalszych losów. W świetle powyższego, a zarazem powołanych uprzednio przepisów prawa, brak jest podstaw dla zakwestionowania legalności przetwarzania przez L. danych osobowych skarżącego dla celów związanych z możliwością zgłoszenia pod adresem wskazanego ubezpieczyciela roszczeń wynikających z zawartej w przeszłości ze skarżącym umowy ubezpieczenia, jak i w celu dochodzenia roszczeń L. wobec skarżącego wynikających z łączącej te strony (w spornym okresie od dnia 29 lipca 2010 r. do dnia 28 lipca 2011 r.) umowy ubezpieczenia. Powyższe działania są przez L. realizowane na warunkach określonych w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Brak zarazem podstaw by przyjąć, że kwestionowany proces przetwarzania przez L. danych osobowych skarżącego wiąże się z naruszeniem jakichkolwiek jego praw, czy wolności. W szczególności niezasadnym byłoby twierdzenie, że dochodzenie przez L. jego roszczeń w stosunku do skarżącego stanowi nieuprawnioną ingerencję w sferę jego praw i wolności. Przyjęcie przeciwnego stanowiska oznaczałoby w istocie nieuzasadnioną ochronę tego, kto odmawia spełnienia określonych świadczeń przed dopuszczonymi przepisami obowiązującego prawa działaniami podmiotu uprawnionego do ich dochodzenia. Z tych samych względów nie ma również podstaw, aby za nielegalne uznać działania L. w zakresie przekazania danych osobowych skarżącego na rzecz Spółki C. W świetle przepisu art. 3 ust. 6 ustawy o działalności ubezpieczeniowej i art. 31 ustawy o ochronie danych osobowych, skorzystanie przez L. z pośrednictwa Spółki w procesie przetwarzania danych osobowych skarżącego (dla celów związanych z dochodzeniem od niego roszczeń wynikających z łączącej go z L. umowy ubezpieczenia) stanowiło działanie uprawnione. Odnosząc się natomiast do zarzutu podniesionego przez skarżącego we wniosku o ponowne rozpatrzenie sprawy odnośnie udostępnienia przez L. jego danych na rzecz innej firmy windykacyjnej (K.. ul. [...]), GIODO podniósł, iż na tym etapie postępowania rozszerzenie jego zakresu podmiotowego i przedmiotowego jest niedopuszczalne. Respektując bowiem zasadę dwuinstancyjności postępowania administracyjnego, na skutek wniosku o ponowne rozpatrzenie sprawy, GIODO zobligowany jest do powtórnego rozpoznania tej samej sprawy (zarówno w aspekcie podmiotowym, jak i przedmiotowym), która była przedmiotem jego rozpoznania w ramach postępowania w pierwszej instancji. Zatem, w związku z zarzutem nieuprawnionego udostępnienia przez L. danych osobowych skarżącego na rzecz firmy windykacyjnej K., wszczęte zostało odrębne od niniejszego postępowanie administracyjne - prowadzone przez GIODO pod sygn. akt: [...]. W skardze na powyższą decyzję, skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie, J. F. wniósł o uchylenie zaskarżonej decyzji oraz nakazanie GIODO przykładnego ukarania L., która to firma naruszyła prawo, udostępniając jego dane osobowe firmom windykacyjnym C. oraz K., a także nakazanie GIODO dokończenia rozpoznania jego skargi w kwestii wyjaśnienia udziału firmy windykacyjnej K. W uzasadnieniu skargi zarzucił, że GIODO oszukał go, iż kwestia istnienia lub nieistnienia jego zadłużenia względem L. nie będzie przedmiotem analizy organu. Tymczasem tej kwestii została poświęcona prawie cała decyzja. Skarżący, powołując się na swoje pisma z dnia 20 sierpnia 2009 r. oraz z dnia 14 lipca 2010 r., skierowane do L., ponownie podkreślił, że dokonał skutecznego wypowiedzenia umowy ubezpieczenia OC, a zatem nie doszło do przedłużenia umowy na kolejny okres ubezpieczeniowy 2010 - 2011, a tym samym L. nie przysługują w stosunku do niego żadne roszenia. GIODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując w całości argumentację przedstawioną w uzasadnieniu zaskarżonej decyzji. Pełnomocnik skarżącego w piśmie procesowym z dnia 4 lipca 2012 r., w uzupełnieniu skargi, zarzucił dodatkowo organowi naruszenie: 1. art. 28 ust. 1 ustawy z dnia 22 maja 2003 r. o ubezpieczeniach obowiązkowych, Ubezpieczeniowym Funduszu Gwarancyjnym i Polskim Biurze Ubezpieczycieli Komunikacyjnych w zw. z art. 65 k.c. poprzez nieprawidłowe przyjęcie przez organ, iż skarżący zawarł umowę ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych na okres od dnia 29 lipca 2010 r. do dnia 28 lipca 2011 r., podczas gdy skarżący dokonał prawnie skutecznego i wiążącego strony jej wypowiedzenia - pismem z dnia 20 sierpnia 2009 r. oraz pismem z dnia 14 lipca 2010 r., co miało bezpośredni wpływ na niezgodne z prawem przetwarzanie jego danych osobowych przez uczestnika postępowania – L. S.A. z siedzibą w W.; 2. art. 8 i art. 9 k.p.a. w związku z art. 7, 77, 80 i 107 § 1 k.p.a., polegające na: - niedostatecznym wyjaśnieniu stanu faktycznego sprawy przejawiające się, między innymi, w oparciu kluczowych ustaleń faktycznych na informacjach uzyskanych wyłącznie od uczestników postępowania oraz ograniczeniu swojej roli w postępowaniu wyjaśniającym do powtarzania i cytowania fragmentów pism otrzymywanych od tych podmiotów; - nieprawidłowym przyjęciu, iż wypowiedzenie przez skarżącego umowy ubezpieczenia pismem z dnia 14 lipca 2010 r. stanowiło odrzucenie oferty cenowej na następny rok ubezpieczenia, a tym samym na błędnym ustaleniu, iż przekazanie danych osobowych skarżącego C. Sp. z o. o. z siedzibą we W. odbyło się zgodnie z wymogami prawa; - ograniczeniu się przez organ przy podejmowaniu decyzji z dnia [...] stycznia 2012 r. do powtórzenia argumentacji faktycznej i prawnej zaprezentowanej w decyzji z dnia [...] października 2011 r. bez wnikliwej analizy zarówno stanu prawnego jak i faktycznego przedmiotowej sprawy, a nadto braku przeprowadzenia gruntownej analizy i wskazania całości materiału dowodowego, na którym organ oparł swe rozważania. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. nr 153, poz. 1269), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym w świetle paragrafu drugiego powołanego wyżej artykułu kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Innymi słowy, wchodzi tutaj w grę kontrola aktów lub czynności z zakresu administracji publicznej, dokonywana pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów odnoszących się do słuszności rozstrzygnięcia. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy – Prawo o postępowaniu przed sądami administracyjnymi). Oceniając zaskarżoną decyzję w świetle wskazanych wyżej kryteriów, Sąd stwierdził, iż skarga J. F. nie zasługuje na uwzględnienie, gdyż zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych oraz utrzymana nią w mocy decyzja tego organu z dnia [...] października 2011 r. nie naruszają prawa. Odnosząc się w pierwszej kolejności do podniesionych przez pełnomocnika skarżącego w uzupełnieniu skargi zarzutów naruszenia przez organ przepisów postępowania, należy podkreślić, iż zgodnie z art. 145 § 1 pkt 1 lit. c ustawy - Prawo o postępowaniu przed sądami administracyjnymi, sąd uwzględniając skargę na decyzję, uchyla decyzję w całości lub części, jeżeli stwierdzi inne naruszenie przepisów postępowania, jeśli mogło mieć istotny wpływ na wynik sprawy. Zatem warunkiem uwzględnienia skargi z tego powodu przez sąd jest ustalenie, że gdyby nie było stwierdzonego w postępowaniu sądowym naruszenia przepisów postępowania, to rozstrzygniecie sprawy najprawdopodobniej byłoby inne. W ocenie Sądu, w stanie faktycznym niniejszej sprawy nie doszło do naruszenia przepisów postępowania w stopniu mogącym mieć istotny wpływ na wynik sprawy. Organ wyczerpująco ustalił bowiem istotne okoliczności faktyczne związane z niniejszą sprawą, przeprowadził dowody służące ustaleniu stanu faktycznego (art. 7, art. 77 § 1 k.p.a.), ocenił zebrany w toku postępowania materiał dowodowy (art. 80 k.p.a.), a także uzasadnił swoje rozstrzygnięcie zgodnie z wymaganiami art. 107 § 3 k.p.a. Przechodząc do meritum sprawy, zaznaczyć należy, iż zadaniem ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.) nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest bezwzględny zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. Przepis art. 1 ust. 2 ww. ustawy stwierdza, że przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. Zgodnie natomiast z treścią art. 7 pkt 2 ww. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Przetwarzanie danych osobowych w powyższym rozumieniu może być zatem uznane za zgodne z prawem wówczas, gdy administrator danych wykaże spełnienie co najmniej jednej z materialnych przesłanek przetwarzania danych. Przesłanki te odnośnie zwykłych danych osobowych określone zostały art. 23 ust. 1, a odnośnie tzw. wrażliwych danych osobowych w art. 27 ust. 2 powołanej ustawy o ochronie danych osobowych. W niniejszej sprawie powodem odmowy uwzględnienia wniosku J. F., skierowanego do GIODO w sprawie niezgodnego z prawem przetwarza jego danych osobowych przez L., w tym ich udostępnienia firmie windykacyjnej C. Sp. z o.o., było stwierdzenie przez organ, że w sprawie wystąpiła przesłanka legalizująca przetwarzanie danych osobowych, wymieniona w art. 23 ust. 1 pkt 5 ww. ustawy. Zgodnie z przepisem art. 23 ust. 1 pkt 5, przetwarzanie danych osobowych jest dopuszczalne, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Przepis art. 23 ust. 4 pkt 2 ww. ustawy stanowi z kolei, że za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. W sprawie niniejszej jest okolicznością niesporną, że skarżący miał zawartą z L. S.A. umowę ubezpieczenia w zakresie obowiązkowego ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych na okres od dnia 29 lipca 2009 r. do dnia 28 lipca 2010 r. Według twierdzeń L., w oparciu o art. 28 ust. 1 ustawy z dnia 22 maja 2003 r. o ubezpieczeniach obowiązkowych, Ubezpieczeniowym Funduszu Gwarancyjnym i Polskim Biurze Ubezpieczycieli Komunikacyjnych (Dz. U. nr 124, poz. 1152 ze zm.), doszło do zawarcia między stronami z mocy prawa kolejnej umowy obowiązkowego ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych na okres od dnia 29 lipca 2010 r. do dnia 28 lipca 2011 r., gdyż skarżący do dnia 27 lipca 2010 r. nie powiadomił na piśmie zakładu ubezpieczeń o jej wypowiedzeniu. Skarżący był zatem zobowiązany do zapłaty składki za ww. okres ubezpieczeniowy, a ponieważ składka za ten okres nie wpłynęła, L. wszczęło proces windykacyjny za pośrednictwem Spółki C., z którą ma zawartą umowę na obsługę windykacyjną. Skarżący zaprzeczał powyższym twierdzeniom, że doszło do zawarcia między nim, a L. z mocy prawa umowy obowiązkowego ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych na okres od dnia 29 lipca 2010 r. do dnia 28 lipca 2011 r., podnosząc przy tym, iż dokonał prawnie skutecznego i wiążącego strony wypowiedzenia umowy ubezpieczenia w pismach z dnia 20 sierpnia 2009 r. oraz z dnia 14 lipca 2010 r., skierowanych do L. GIODO, jako organ do spraw ochrony danych osobowych, nie był władny do rozstrzygnięcia powyższego sporu, czy doszło między skarżącym, a L. do zawarcia umowy obowiązkowego ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych na okres od dnia 29 lipca 2010 r. do dnia 28 lipca 2011 r., a tym samym czy L. przysługują roszczenia wobec skarżącego z tytułu nieopłaconej składki na podstawie ww. umowy oraz oceniać w tym kontekście pism skarżącego z dnia 20 sierpnia 2009 r. oraz z dnia 14 lipca 2010 r., skierowanych do L., gdyż w tych kwestiach rozstrzygać mogą wyłącznie właściwe sądy powszechne. W świetle ustaleń poczynionych w toku postępowania wyjaśniającego, GIODO nie miał jednocześnie podstaw do kwestionowania legalności przetwarzania przez L. danych osobowych skarżącego. L. było bowiem uprawnione do przetwarzania danych osobowych skarżącego zarówno z tytułu umowy ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych, jaka łączyła strony w okresie od 29 lipca 2009 r. do 28 lipca 2010 r. i związanych z możliwością zgłoszenia pod adresem ubezpieczyciela roszczeń wynikających z tej umowy ubezpieczenia, jak i w celu dochodzenia roszczeń wobec skarżącego wynikających z tytułu zawarcia (jak twierdzi zakład ubezpieczeń) umowy ubezpieczenia na okres od 29 lipca 2010 r. do 28 lipca 2011 r. w oparciu o art. 28 ust. 1 ustawy z dnia 22 maja 2003 r. o ubezpieczeniach obowiązkowych, Ubezpieczeniowym Funduszu Gwarancyjnym i Polskim Biurze Ubezpieczycieli Komunikacyjnych. Uprawnione było też udostępnienie przez L. danych skarżącego na rzecz Spółki C. w celu windykacji nieopłaconej składki ubezpieczeniowej. Uprawnienie to wynika wprost z art. 3 ust. 6 ustawy z dnia 22 maja 2003 r. o działalności ubezpieczeniowej (Dz. U. z 2010 r. nr 11, poz. 66 ze zm.) oraz art. 31 ustawy o ochronie danych osobowych, które dopuszczają możliwość powierzenia przez zakład ubezpieczeń społecznych innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzania danych osobowych w celu wykonania czynności windykacyjnych. Należy przy tym zaznaczyć, że z ustaleń poczynionych przez organ w toku postępowania wyjaśniającego wynika, iż umowa o powierzeniu przetwarzania danych osobowych z dnia 6 października 2008 r., zawarta pomiędzy L. a Spółką C., spełniała wymogi przewidziane w art. 31 ust. 1 i 2 ustawy o ochronie danych osobowych. Należy tym samym zgodzić się z GIODO, że przetwarzanie danych osobowych skarżącego przez L. w celu dochodzenia ewentualnych roszczeń wynikających z umowy ubezpieczenia miało swoje oparcie w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Brak jednocześnie podstaw by przyjąć, że proces przetwarzania przez L. danych osobowych J. F. wiązał się z naruszeniem jakichkolwiek praw, czy wolności skarżącego. GIODO nie był uprawniony rozstrzygać w kwestii zasadności roszczeń L. wobec skarżącego. W sytuacji natomiast braku prawomocnego rozstrzygnięcia sądu w tym zakresie, GIODO nie miał też podstaw, aby kwestionować istnienie stosunku umownego między stronami w okresie od 29 lipca 2010 r. do 28 lipca 2011 r. i wynikających stąd roszczeń L. Reasumując, stwierdzić należy, iż w świetle zebranego w sprawie materiału dowodowego organ prawidłowo ustalił, że w niniejszej sprawie wystąpiła przesłanka legalizująca przetwarzanie danych osobowych skarżącego przez L. S.A., określona w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Należy jednocześnie zgodzić się z GIODO, że na etapie wniosku o ponowne rozpatrzenie sprawy nie mógł rozszerzyć zakresu podmiotowego i przedmiotowego prowadzonego postępowania, a tym samym nie mógł rozpoznać podniesionych w tym wniosku zarzutów, dotyczących udostępnienia przez L. danych osobowych skarżącego na rzecz firmy windykacyjnej K., ul. [...]. Jak wynika z wyjaśnień organu, w związku z zarzutem nieuprawnionego udostępnienia przez L. danych osobowych skarżącego na rzecz firmy windykacyjnej K., podniesionym we wniosku o ponowne rozpatrzenie sprawy, wszczęte zostało odrębne postępowanie administracyjne, prowadzone przez GIODO pod sygn. akt:. Powyższe rozważania prowadzą do wniosku, że zarówno zaskarżona decyzja GIODO, jak również poprzedzająca ją decyzja z dnia [...] października 2011 r. odpowiadają prawu. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi, orzekł, jak w sentencji wyroku.