II SA/Wa 648/13

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Olga Żurawska - Matusiak (spr.) Sędziowie WSA Sławomir Fularski Stanisław Marek Pietras Protokolant starszy referent Marcin Borkowski po rozpoznaniu na rozprawie w dniu 10 października 2013 r. sprawy ze skargi M.K. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2013 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz utrzymaną nią w mocy decyzję z [...] września 2012 r., 2. stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości. Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] stycznia 2013 r., nr [...], wydaną na podstawie art. 138 § 1 pkt 1 K.p.a., art. 12 pkt 2, art. 22 i art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), utrzymał w mocy własną decyzję z [...] września 2012 r., nr [...] odmawiającą uwzględnienia wniosku M. K. (dalej jako skarżąca) w sprawie przetwarzania jej danych osobowych przez [...] Sp. z o.o. z siedzibą w [...]. Do wydania powyższej decyzji doszło w następującym stanie faktycznym i prawnym: M. K. złożyła do Generalnego Inspektora Ochrony Danych Osobowych skargę, dotyczącą przetwarzania jej danych osobowych przez P. M. – Prezesa Zarządu [...] Sp. z o.o. z siedzibą w [...] (dalej jako "Spółka"). Skarżąca podała, że udostępnienie jej danych osobowych polegało na przekazaniu pracownikom Urzędu Miejskiego w [...] umowy zlecenia dotyczącej wykonywania obowiązków kierownika ośrodka wypoczynkowego "[...]" w [...], zawartej między skarżącą a [...] Sp. z o.o. z siedzibą w [...]. Skarżąca zwróciła się o zbadanie legalności przetwarzania jej danych osobowych oraz podjęcie stosownych działań w celu zabezpieczenia jej danych osobowych przed dalszym ich udostępnianiem. Pismem z [...] lutego 2013 r. skarżąca sprecyzowała swoją skargę wskazując, że dotyczy ona przetwarzania jej danych osobowych przez [...] Sp. z o.o. z siedzibą w [...] oraz Urząd Miejski w [...]. W toku postępowania administracyjnego organ Ochrony Danych Osobowych ustalił, iż: 1. [...] marca 2002 r. Spółka zawarła z Gminą Miejską [...] umowę użyczenia Ośrodka Wypoczynkowego "[...]" w [...]. Na podstawie tej umowy oddano Spółce do używania sprzęt i wyposażenie znajdujące się w ww. obiekcie. 2. M. K. zawarła [...] marca 2002 r. ze Spółką umowę zlecenia, w treści, której umocowano ją do pełnienia obowiązków kierownika ww. Ośrodka Wypoczynkowego "[...]". W ramach powyższej umowy zlecono jej m.in. prowadzenie kontroli formalnej i merytorycznej dokumentacji, nadzór nad racjonalną gospodarką na obiekcie, szczególnie w zakresie: zużycia środków trwałych i przedmiotów nietrwałych, racjonalnego zużycia energii, wody oraz innych surowców i materiałów. W przedmiotowej umowie zawarto dane osobowe skarżącej w zakresie jej imienia, nazwiska, adresu zamieszkania i wysokości otrzymywanego wynagrodzenia. Pismem z [...] marca 2006 r. M. K. zwróciła się do Spółki z prośbą o rozwiązanie umowy. 3. Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęły wyjaśnienia Burmistrza, w których wskazał on, że w trakcie trwania umowy Spółka dokonywała inwentaryzacji nieruchomości i przekazywała do tut. urzędu arkusze spisowe wraz z protokołami likwidacji środków trwałych i wyposażenia. Po dokonanym spisie kontrolnym w grudniu 2003 r. Spółka przekazała stosowne dokumenty podpisane przez M. K., jako osobę materialnie odpowiedzialną za użyczony majątek wraz z kopią umowy – zlecenia M. K., w której jako jeden z jej obowiązków wpisane jest nadzorowanie nad racjonalną gospodarką na obiekcie, szczególnie w zakresie: zużycia środków trwałych i przedmiotów nietrwałych. Spółka załączyła wówczas przedmiotowy dokument dobrowolnie, gdyż nie występowano o jego przedłożenie. Kopia umowy wraz z arkuszami spisowymi i protokołami likwidacyjnymi znajduje się w dokumentacji prowadzonej przez tut. urząd dla nieruchomości położonej w [...], na której zlokalizowany jest Ośrodek Wypoczynkowy "[...]". 4. Odnosząc się do stawianych przez skarżącą zarzutów Prezes Spółki wyjaśnił natomiast, iż pełni funkcję Prezesa Zarządu tego podmiotu od [...] marca 2006 r. i nie posiada wiedzy w zakresie zarzucanego udostępnienia, które miało miejsce w 2003 r. Jednocześnie podniósł, iż umowa zlecenia zawarta [...] marca 2002 r. z M. K., jak również pozostała dokumentacja kadrowa jest właściwie zabezpieczona i nikt nie ma do niej dostępu poza kierownikiem działu administracyjno-kadrowego oraz osobami na polecenie Prezesa. Dlatego nie jest możliwe aby osoby trzecie miały dostęp do dokumentacji spółki. Podkreślił, że [...] prawidłowo wykonuje swoje obowiązki związane z ochroną danych osobowych. Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] września 2012 r., odmówił uwzględnienia wniosku. W uzasadnieniu powyższej decyzji organ wskazał, że Spółka, w której skarżąca pełniła funkcję kierownika odpowiedzialnego za nadzorowanie racjonalnej gospodarki w Ośrodku "[...]", udostępniła na rzecz burmistrza dane osobowe skarżącej zawarte w umowie zlecenia wraz z innymi dokumentami dotyczącymi inwentaryzacji nieruchomości. W ocenie organu ochrony danych osobowych działanie to odbyło się w związku z realizowaniem przez Spółkę prawnie usprawiedliwionego celu polegającego na wykazaniu prawidłowości zarządzania powierzonym sobie mieniem gminy. Jednocześnie organ stwierdził, że skoro skarżąca była osobą odpowiedzialną materialnie za powierzone jej mienie to po stronie Spółki istniał uzasadniony interes w udostępnieniu na rzecz gminy informacji o osobie kierującej czynnościami, z dokonywania których spółka rozliczała się przed gminą. W konsekwencji organ stwierdził, że udostępnienie przez Spółkę na rzecz gminy danych osobowych skarżącej zawartych w przedmiotowej umowie zlecenia było niezbędne dla wypełnienia prawnie usprawiedliwionych celów Spółki, a więc spełniało przesłankę legalności, o której mowa w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Organ podkreślił, że przetwarzanie danych osobowych przez administratora nie może naruszać prawa do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz decydowania o swoim życiu osobistym (art. 47 Konstytucji). Skoro dane osobowe skarżącej udostępniane w zakwestionowany sposób dotyczą wyłącznie życia zawodowego skarżącej to, zdaniem organu, nie można uznać, iż doszło do naruszenia jej prawa do ochrony życia prywatnego, rodzinnego czy prawa do decydowania o swoim życiu osobistym. Odnosząc się do wątpliwości skarżącej dotyczących zabezpieczania jej danych osobowych przez Spółkę organ stwierdził, iż w niniejszej sprawie nie dysponuje dowodami na potwierdzenie, iż rzeczywiście doszło do naruszeń ustawy w tym zakresie. Skarżąca oparła skargę jedynie na własnych przypuszczeniach i nie przedstawiła dowodów na ich potwierdzenie. Natomiast z wyjaśnień Spółki wynika, że przetwarza ona dane osobowe skarżącej zawarte w dokumentacji kadrowej w sposób zgodny z ustawą. W związku z powyższym organ stwierdził, że postępowanie dowodowe przeprowadzone w ww. zakresie nie dostarczyło wystarczających dowodów na potwierdzenie przetwarzania danych osobowych skarżącej w sposób sprzeczny z ustawą. Organ podkreślił przy tym, że może uznać stan faktyczny rozpatrywanej sprawy za ustalony jedynie na podstawie nie budzących wątpliwości dowodów i nie może poprzestać w tym zakresie na uprawdopodobnieniu. We wniosku o ponowne rozpatrzenie sprawy zakończonej powyższą decyzją skarżąca zarzuciła dowolność w ocenie zebranych w trakcie postępowania materiałów oraz środków dowodowych, nieznajomość zapisów Kodeksu Spółek Handlowych, na podstawie którego prowadzą działalność spółki z ograniczoną odpowiedzialnością, brak logiki w ocenie zgromadzonego materiału dowodowego, wysuwanie daleko idących wniosków na korzyść osób, które dopuściły się niezgodnie z ustawą przetwarzania i udostępniania danych osobowych, przyjmowanie wyjaśnień strony bez żądania załączenia dokumentów źródłowych jako dowodów w sprawie. Uzasadniając powyższe zarzuty skarżąca wskazała, że Spółkę reprezentuje zarząd, który odpowiada prawnie i materialnie za działalność Spółki, w tym za pracę podległych pracowników, a także za powierzone Spółce mienie i majątek. Skarżąca podkreśliła, że w trakcie zatrudnienia w Spółce nigdy nie była w zarządzie Spółki [...], a więc nie mogła odpowiadać przed innymi podmiotami (w tym wypadku Gminą Miejską [...]) za powierzony Spółce majątek. Skarżąca podniosła, że poza oświadczeniem burmistrza, nie ma żadnych dowodów na to, że jej umowa została dołączona do dokumentów inwentaryzacyjnych w 2003 r., zatem twierdzenie organu, że tak właśnie było jest nieprawidłowe. Ponadto wskazała, że z zebranego materiału dowodowego wynika, iż przetwarzane były dwa dokumenty z jej teczki osobowej, tj. umowa zlecenia z [...] marca 2002 r. i prośba o rozwiązanie tej umowy. Wskazała, że drugi z ww. dokumentów jest datowany na [...] marca 2006 r., znajduje się na nim stempel dzienny określający datę wpłynięcia do [...] Sp. z o.o., tj. [...] kwietnia 2006 r., został zarejestrowany pod liczbą dziennika [...], a osobą przyjmującą go była B.G. Na dokumencie tym znajduje się podpis obecnego Prezesa Zarządu P. M. wyrażającego zgodę i kierującego dokument do kadr. Skarżąca zwróciła uwagę, że w wyjaśnieniach Prezes Zarządu [...] P. M. stwierdził, że udostępnienie umowy zlecenia miało miejsce w 2003 r. i po tym terminie nikt nie miał dostępu do jej dokumentacji kadrowej bez wyłącznego jego polecenia. Wskazała również, że pracownik Urzędu Miasta radca prawny K. M. potwierdził na obydwu dokumentach, że ich oryginały widział [...] listopada 2010 r. Zdaniem skarżącej powyższe świadczy o tym, że udostępnienie i przetwarzanie jej danych osobowych nastąpiło w 2010 r., a nie w 2003 r. Jednocześnie skarżąca wyraziła wątpliwość co do uznania przez organ wiarygodności oświadczenia Prezesa Zarządu P. M. odnośnie przekazania jej dokumentów w 2003 r. wskazując, że jeden z dokumentów kadrowych przekazanych przez [...] do Gminy Miejskiej [...] datowany jest na 2006 rok, a pracownik Gminy Miejskiej [...] oryginały widział w 2010 r. poświadczając dokumenty za zgodność z oryginałem. W konsekwencji skarżąca stwierdziła, że organ nie przeprowadził postępowania sprawdzającego czy jej akta osobowe są należycie zabezpieczone, pomimo że z przeprowadzonego postępowania i dokumentów jednoznacznie wynika, że co najmniej dwukrotnie na przestrzeni lat kiedy Prezesem Zarządu jest P. M. zostały udostępnione i przetwarzane dokumenty zawierające jej dane osobowe. Uwzględniając wątpliwości skarżącej, [...] października 2012 r. organ wystąpił do Burmistrza z prośbą o przesłanie kopii korespondencji, jaką Spółka skierowała do Urzędu Miasta [...] w grudniu 2003 r., wraz z jej załącznikami. W odpowiedzi na powyższe [...] listopada 2012 r. Burmistrz przesłał kopie arkuszy spisu z natury, sporządzonego po spisie kontrolnym w grudniu 2003 r., wraz z protokołami likwidacyjnymi, do których to dokumentów dołączona była umowa zlecenia zawarta z M. K.. Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] stycznia 2013 r., utrzymał w mocy własną decyzję z [...] września 2012 r. W uzasadnieniu rozstrzygnięcia organ w pierwszej kolejności odniósł się do zarzutu skarżącej odnośnie pominięcia w przeprowadzonym postępowaniu okoliczności udostępnienia przez Spółkę na rzecz Burmistrza jej danych osobowych zawartych w piśmie z [...] marca 2006 r., stanowiącym prośbę o rozwiązanie umowy zlecenia. Wskazał, że okoliczność ta nie była przedmiotem przeprowadzonego w sprawie postępowania administracyjnego, gdyż skarżąca przedmiotem swojej skargi uczyniła zarzut nielegalnego udostępnienia jej danych osobowych w zakresie imienia, nazwiska, miejsca zamieszkania oraz wysokości wynagrodzenia, zawartych w umowie zlecenia łączącej ją ze Spółką, na rzecz Burmistrza Miasta [...]. Organ podniósł, że skarżąca nie wskazywała wówczas na udostępnienie jej danych osobowych zawartych również w innym dokumencie (prośba o rozwiązanie umowy). W treści skargi i uzupełniającego ją pisma z [...] lutego 2012 r. skarżąca wskazała jedynie na okoliczność udostępnienia jej danych osobowych zawartych w łączącej ją ze Spółką umowie zlecenia. Przeprowadzone w sprawie postępowanie wyjaśniające ukierunkowane było zatem na ustalenie podmiotu odpowiedzialnego za przedmiotowe udostępnienie jej danych osobowych oraz podstawy prawnej tego procesu. Wniosek skarżącej wyznaczył zatem granice sprawy administracyjnej, w ramach których organ mógł działać. Odnosząc się do zarzutu, iż Generalny Inspektor Ochrony Danych Osobowych nie mając podstaw i dowodów, a opierając się jedynie na oświadczeniu Burmistrza, uznał, że umowa zlecenia zawarta przez skarżącą ze Spółką przekazana została mu wraz z dokumentami inwentaryzacyjnymi w 2003 r., organ wskazał, iż przeprowadzone w sprawie uzupełniające postępowanie wyjaśniające potwierdziło tę okoliczność. Burmistrz poproszony o przesłanie kopii korespondencji Spółki z 2003 r. wraz z jej załącznikami, do której, jak twierdził, dołączona została umowa zlecenia M. K., uczynił zadość temu zobowiązaniu. [...] listopada 2012 r. do akt niniejszego postępowania wpłynęło pismo Burmistrza, do którego załączył on kopie złożonych przez Spółkę arkuszy spisu z natury sporządzonego po spisie kontrolnym w grudniu 2003 r. wraz z protokołami likwidacyjnymi, do których to dokumentów dołączona była umowa zlecenia zawarta z M. K.. Badając legalność udostępnienia przez Spółkę na rzecz Burmistrza danych osobowych skarżącej zawartych w łączącej ją ze Spółka umowie zlecenia z [...] marca 2002 r., organ stwierdził, iż bez znaczenia dla jest podnoszona przez skarżącą okoliczność, iż to Zarząd Spółki odpowiada prawnie i materialnie za działalność Spółki i powierzone Spółce mienie, a skoro skarżąca nigdy w zarządzie Spółki nie była, to nie mogła odpowiadać przed innymi podmiotami za powierzony Spółce majątek. Argumentując powyższe stanowisko organ wskazał, że poczynione w toku niniejszego postępowania ustalenia faktyczne wskazują, iż Spółka, w której skarżąca pełniła funkcję kierownika odpowiedzialnego za nadzorowanie racjonalnej gospodarki w Ośrodku "[...]", udostępniła na rzecz Burmistrza dane osobowe skarżącej zawarte w przedmiotowej umowie zlecenia wraz z innymi dokumentami dotyczącymi inwentaryzacji rzeczonej nieruchomości. W ocenie organu ochrony danych osobowych działanie to odbyło się w związku z realizowaniem przez Spółkę prawnie usprawiedliwionego celu polegającego na wykazaniu prawidłowości zarządzania powierzonym mieniem Gminy. Organ podkreślił także, że to skarżąca była osobą odpowiedzialną materialnie w myśl postanowień przedmiotowej umowy za powierzone mienie i za wykonanie obowiązków zgodnie z jej treścią. W związku z powyższym, w ocenie organu, po stronie Spółki istniał uzasadniony interes w udostępnieniu na rzecz Gminy informacji o osobie kierującej czynnościami, z dokonywania których Spółka rozliczała się przed Gminą. W konsekwencji organ stwierdził, że udostępnienie przez Spółkę na rzecz Gminy danych osobowych skarżącej zawartych w przedmiotowej umowie zlecenia było niezbędne dla wypełnienia prawnie usprawiedliwionych celów Spółki, a więc spełniało przesłankę legalności, o której mowa w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Organ wskazał ponadto, że ustawa o ochronie danych osobowych, określa obowiązki administratora danych, do których należy w szczególności przetwarzanie danych osobowych z zachowaniem przesłanek warunkujących legalność tego procesu. Przepisem uprawniającym administratorów danych do przetwarzania danych osób fizycznych, w tym ich udostępniania, jest art. 23 ust. 1 ustawy o ochronie danych osobowych, W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z ustawą również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Jednocześnie organ podkreślił, że przetwarzanie danych osobowych przez administratora nie może naruszać prawa do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym Mając zatem na uwadze, iż dane osobowe skarżącej udostępniane w zakwestionowany sposób dotyczą wyłącznie jej życia zawodowego, organ stwierdził, iż nie można uznać, iż doszło do naruszenia prawa do ochrony życia prywatnego, rodzinnego czy też prawa do decydowania o swoim życiu osobistym. Analizując kwestię dotyczącą zabezpieczania danych osobowych skarżącej przez Spółkę Generalny Inspektor Ochrony Danych Osobowych wskazał, że nie dysponuje dowodami na potwierdzenie, iż rzeczywiście doszło do naruszeń ustawy w tym zakresie. Skarżąca oparła skargę jedynie na własnych przypuszczeniach i nie przedstawiła dowodów na ich potwierdzenie. Natomiast z wyjaśnień Spółki wynika, że prawidłowo przetwarza ona dane osobowe. W związku z powyższym organ stwierdził, że postępowanie dowodowe przeprowadzone w ww. zakresie nie dostarczyło wystarczających dowodów na potwierdzenie zarzucanego przez skarżącą przetwarzania danych w sposób sprzeczny z ustawą. Organ podkreślił przy tym, że może uznać stan faktyczny rozpatrywanej sprawy za ustalony jedynie na podstawie nie budzących wątpliwości dowodów i nie może poprzestać w tym zakresie na uprawdopodobnieniu, chyba że ustawy Kodeks postępowania administracyjnego stanowią inaczej. Odnosząc się do zarzutu podniesionego we wniosku o ponowne rozpatrzenie sprawy, iż Spółka niewłaściwe zabezpiecza dane osobowe skarżącej, albowiem ze Spółki wypłynął jeszcze jeden dotyczący jej osoby dokument, tj. pismo z [...] marca 2006 r. stanowiący prośbę o rozwiązanie umowy, organ ponownie stwierdził, że okoliczność ta nie była przedmiotem kontroli organu, gdyż nie była ona objęta zakresem skargi M. K.. M. K. złożyła na powyższą decyzję z [...] stycznia 2013 r. skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, wnosząc o jej uchylenie oraz o uchylenie poprzedzającej ją decyzji. W uzasadnieniu skarżąca podkreśliła, że nie reprezentowała spółki na zewnątrz, zatem nie odpowiadała za jej zobowiązania majątkowe. Dlatego też, w ocenie skarżącej, nie było żadnych podstaw żeby w 2003 roku do jakiejkolwiek korespondencji dołączyć jej umowę zlecenia. Skarżąca podkreśliła również, że do wniosku o ponowne rozpatrzenie sprawy załączyła oświadczenie M. S., który od 1999 do [...] września 2005 r. pełnił obowiązki Prezesa Zarządu Spółki [...]. W oświadczeniu tym, M. S. podał, że w firmie obowiązywała instrukcja inwentaryzacyjna, która ściśle określała jakie dokumenty są obowiązujące podczas inwentaryzacji w formie załączników. Z zapisów ww. instrukcji wynika, że na żadnym etapie nie ma możliwości załączania umów o pracę lub umów zleceń pracowników odpowiedzialnych materialnie. W arkuszach spisów z natury oraz załączniku nr [...] (Sprawozdanie opisowe z przebiegu spisu z natury) znajduje się rubryka, cyt: "podpis osoby materialnie odpowiedzilanej". Jest to jedyne miejsce, gdzie z imienia, nazwiska, bądź z funkcji podpisuje się osoba odpowiedzialna materialnie. Dodatkowo Prezes Zarządu podał, że w Spółce w latach 1999-2005 obowiązywała Instrukcja kancelaryjna zatwierdzona przez Walne Zgromadzenie Współników, która określała jak przebiega obieg dokumentów w Spółce. Zgodnie z tą instrukcją każde pismo wychodzące na zewnątrz rejestrowane było w dzienniku podawczym w rubryce pisma wychodzące, miało nadane sygnaturę i numer. Jeżeli do pisma dołączane były załączniki to każdorazowo były w nim wymieniane. Skarżąca przedstawiła również oświadczenie E. P., prowadzącej w ww. okresie sekretariat i kadry w [...] Sp. z o.o., która potwierdziła, że umowa zlecenie jako dokument zawierający dane osobowe nie mógł być w żadnym przypadku przesyłany na zewnątrz i udostępniany osobom trzecim. Tym bardziej umowa zlecenie nie mogła być "przyczepiona" do arkuszu spisów z natury. Dodatkowo E. P., a także M. S. potwierdzili, że przekazanie inwentaryzacji [...] "[...]" nastąpiło na podstawie pisma przewodniego i zgodnie z instrukcją kacelaryjną w piśmie tym zostały wymienione wszystkie przekazane dokumenty i załączniki. Skarżaca podniosła, że pomimo tej wiedzy Główny Inspektor Ochrony Danych Oosbowych nie wystąpił do Urzędu Miasta [...], ani do [...] Sp. z o.o., aby przedstawili pismo przewodnie z 2003 roku, na podstawie którego została przekazana do urzędu miasta inwentaryzacja. Stwierdziła, ze organ zadowolił się tylko oświadczeniem Burmistrza, że umowa zlecenie została cyt: "przypięta pod arkusze spisu z natury". Skarżaca wskazała również, że do wniosku o ponowne rozpatrzenie sprawy zostało też dołączone oświadczenie G. S., w którym szczegółowo opisał w jakich okolicznościach wszedł w posiadanie umowy zlecenia skarżącej i pisma z [...] marca 2006 r. stanowiącego prośbę o rozwiązanie tej umowy. Ponadto skarżaca zarzuciła organowi, że nie odniósł się do okoliczności dotyczących udostępnienia jej danych osobowych zawartych w pismie z [...] marca 2006 r., gdyż dokument ten został wytworzony w 2006 r. kiedy M. S. nie był już prezesem Spółki. Stwierdziła, że dokument ten pominięto w postępowaniu, gdyż nie pasował do wcześniejszych wyjaśnień Burmistrza Miasta [...] oraz obecnego Prezesa [...] Sp. z o.o. W konsekwencji skarżąca stwierdziła, że jej skarga zasługuje na uwzględnienie, gdyż postępowanie organu I i II instancji zostało przeprowadzone nieprawidłowo, co skutkowało wydaniem decyzji z rażącym naruszeniem prawa. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o oddalenie skargi, podtrzymując argumentację zawartą w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Uprawnienia wojewódzkich sądów administracyjnych, określone przepisami m.in. art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm., dalej jako P.p.s.a.), sprowadzają się do kontroli działalności administracji publicznej pod względem zgodności z prawem, tj. kontroli zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Sąd, badając legalność zaskarżonej decyzji w oparciu o powołane wyżej przepisy i w granicach sprawy, nie będąc jednak związany – stosownie do art. 134 P.p.s.a. – zarzutami i wnioskami skargi, uznał, że zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych, jak również decyzja ją poprzedzająca naruszają przepisy prawa, co czyni skargę zasadną. Jedną z podstawowych zasad postępowania administracyjnego jest zasada prawdy obiektywnej, z której to zasady wynika obowiązek organu administracji publicznej wyczerpującującego zbadania wszystkich okoliczności faktycznych związanych z określoną sprawą, aby w ten sposób uzyskać podstawę do trafnego zastosowania przepisu prawa. Ustalenie stanu faktycznego w sprawie jest zawsze zagadnieniem kardynalnym i pierwszoplanowym, pod warunkiem wszak, że zmierza do poznania okoliczności mogących mieć znaczenie z punktu widzenia podstawy materialnoprawnej sprawy. Prawidłowe i pełne ustalenie stanu faktycznego sprawy, istniejącego w dacie wydania decyzji, jest niezbędnym elementem prawidłowego zastosowania normy prawa materialnego. Wyczerpujące rozpatrzenie materiału dowodowego (art. 77 § 1 K.p.a.) polega na takim ustosunkowaniu się do każdego ze zgromadzonych dowodów, z uwzględnieniem wzajemnych powiązań miedzy nimi tak, aby uzyskać jednoznaczność ustaleń faktycznych. A zatem dopiero pełne ustalenie stanu faktycznego daje podstawę do przyjęcia, że wynikająca z art. 80 K.p.a. zasada swobodnej oceny dowodów nie została przekroczona. Zaniechanie przez organ podjęcia czynności procesowych zmierzających do zebrania i rozpatrzenia pełnego materiału dowodowego, zwłaszcza gdy strona powołuje się na określone i ważne dla niej okoliczności, jest uchybieniem przepisom postępowania administracyjnego. W rozpoznawanej sprawie omówione powyżej zasady nie zostały zachowane. Organ nie dokonał bowiem oceny całego zgromadzonego w sprawie materiału dowodowego, co mogło mieć wpływ na prawidłowość ustaleń faktycznych dokonanych przez organ. Organ, jako przesłankę legalizującą przetwarzania danych osobowych skarżącej, przyjął przesłankę, o której mowa w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Uznał, że udostępnienie przez [...] Sp. z o.o. z siedzibą w [...] Burmistrzowi Miasta [...] danych osobowych skarżącej, zawartych w umowie zlecenia z [...] marca 2002 r., było niezbędne dla wypełnienia prawnie usprawiedliwionego celu spółki polegającego na wykazaniu prawidłowości zarządzania powierzonym mieniem Gminy. Ww. umowa została bowiem udostępniona Burmistrzowi wraz z dokumentami dotyczącymi inwentaryzacji ośrodka "[...]", a skarżąca była osobą odpowiedzialną materialnie za powierzone mienie, a zatem uzasadnione było udostępnienie Gminie informacji o osobie kierującej czynnościami, z dokonania których Spółka rozliczała się przed Gminą. Ustalenia, że umowa zlecenie została przekazana Burmistrzowi w 2003 r. wraz z dokumentami inwentaryzacyjnymi organ dokonał zasadniczo opierając się na oświadczeniu Burmistrza oraz na przekazanych przez niego kopiach arkuszy spisu z ustawy sporządzonego po spisie kontrolnym w grudniu 2003 r. wraz z protokołami likwidacyjnymi. W ocenie Sądu ustaleń tych, w oparciu o uwzględniony przez organ materiał dowodowy, nie można uznać za prawidłowe co najmniej do czasu odniesienia się przez organ do pozostałych dowodów znajdujących się w aktach sprawy. Zwrócić bowiem należy uwagę, że dokumentacja związana ze spisem kontrolnym dokonanym w grudniu 2003 r. została przekazana organowi bez pisma przewodniego. Nie wynika z niej, że w momencie przekazywania tych dokumentów Burmistrzowi, doręczona została wraz z nimi umowa zlecenia z [...] marca 2002 r. Że taka sytuacja miała mieć miejsce wynika jedynie z oświadczenia Burmistrza, który, co w sprawie nie jest bez znaczenia, jest także stroną, której skarżąca zarzuca nieprawidłowe przetwarzanie jej danych osobowych. Tymczasem w aktach sprawy znajduje się, przedłożone przez skarżącą, oświadczenie M. S., będącego w latach 2000-2005 Prezesem [...] w [...]. Z oświadczenia tego wynika m.in., że wszystkie dokumenty wychodzące na zewnątrz podpisywane były w tamtym okresie tylko przez Prezesa Zarządu Spółki, zaś każde pismo wychodzące było rejestrowane w dzienniku podawczym, a treść wskazywała jakie ewentualnie dokumenty są załączone. Nadto M. S. oświadczył, że ani w 2003 r., ani w latach następnych, nie przekazywał do Urzędu Miasta [...] umowy zlecenia M. K. wraz z materiałami inwentaryzacyjnymi. Skarżąca złożyła również wyjaśnienia E. P., która od 2000 r. do września 2008 r. w [...] Sp. z o.o. pracowała jako kierownik ds. administracyjno-kadrowych. Potwierdzają one oświadczenie M. S. w powyższym zakresie. Wskazują, że w przypadku wysyłania korespondencji zawierającej większą ilość dokumentów, w piśmie przewodnim zawsze był zamieszczony katalog załączników. E. P. podała również, że umowa zlecenie zawarta ze skarżącą nie była przez nią nikomu udostępniona poza organami kontrolnymi i że nie było żadnych podstaw prawnych, aby umowa zlecenia była załącznikiem do dokumentów inwentaryzacyjnych przekazanych do Urzędu Miasta. Analiza treści powyższych oświadczeń jednoznacznie wskazuje, że pozostają one w opozycji do oświadczenia Burmistrza Miasta [...]. Organ oświadczenie to całkowicie pominął, nie wyjaśniając przy tym dlaczego tak czyni. Nie wiadomo zatem czy nie dał im wiary, a jeżeli tak to dlaczego, czy uznał też za niemające znaczenia z punktu widzenia podstawy materialnoprawnej sprawy. Nie jest w związku z tym wiadome dlaczego, ustalając okoliczności faktyczne sprawy, organ oparł się de facto jedynie na wyjaśnieniach Burmistrza, gdyż dokumentacja nadesłana przez Burmistrza w rzeczywistości ich nie potwierdza w żadnym zakresie. Istotne jest przy tym, że w toku całego postępowania skarżąca kwestionowała wiarygodność wyjaśnień odebranych przez organ od Burmistrza, podejmując przy tym działania mające na celu potwierdzenie jej twierdzeń. Uwzględniając powyższe Sąd uznał, że organ naruszając przepisy art. 7, 77 § 1 i 80 K.p.a. dokonał zarówno dowolnych ustaleń faktycznych, jak i dowolnej oceny materiału dowodowego i już tylko z tej przyczyny zaskarżoną decyzję i decyzję ją poprzedzającą należało wyeliminować z obrotu prawnego. Nie można bowiem przyjąć, że uzyskał jednoznaczność ustaleń faktycznych, a tylko wówczas mógł przystąpić do stosowania przepisów prawa materialnego. Oceniając legalność zaskarżonej decyzji zwrócić trzeba też uwagę na przedmiot postępowania zakreślony skargą M. K. skierowaną do Generalnego Inspektora Ochrony Danych Osobowych. Po sprecyzowaniu skargi, co nastąpiło w piśmie z [...] lutego 2012 r., skarżąca określiła, że jej skarga dotyczy przetwarzania danych osobowych przez [...] Spółkę z o.o. w [...] i przez Urząd Miejski w [...]. Tak też został określony przedmiot sprawy w zaskarżonej decyzji. W ramach zarzutu przetwarzania danych osobowych przez Burmistrza Miasta [...] skarżąca powołała się na okoliczność bezprawnego przedstawienia w sądzie przez radcę prawnego Gminy Miejskiej [...] jako dowodu w sprawie, m.in. kopii umowy zlecenia z [...] marca 2002 r. poświadczonej za zgodność z oryginałem. Przedłożyła przy tym oświadczenie G. S., z którego wynika, że umowę zlecenie z [...] marca 2002 r. i prośbę o jej rozwiązanie z 2006 r. otrzymał od radcy prawnego Urzędu Miasta [...] K. M. w trakcie rozprawy sądowej, jako dowody w sprawie, które jednak w tym charakterze nie zostały dopuszczone przez Sąd. Organ w powyższym zakresie uzyskał wyjaśnienie od Burmistrza Miasta [...] w piśmie z [...] marca 2012 r., lecz do okoliczności tych w zaskarżonej decyzji nie odniósł się. Nie ocenił, czy skarga M. K. w tym przedmiocie jest zasadna, a jeżeli uznać, że rozstrzygnięcie organu obejmuje także tę kwestię, to brak uzasadnienia w tej materii stanowi niewątpliwie naruszenie art. 107 § 3 K.p.a. Organ w uzasadnieniu decyzji obowiązany jest bowiem odnieść się do wszystkich istotnych kwestii, których dotyczy wydany akt, tak w sferze ustaleń faktycznych, jak i argumentacji prawnej. W zaskarżonej decyzji tego elementu brak. W skardze skierowanej do organu skarżąca wnosiła nadto o przeprowadzenie kontroli prawidłowości przechowywania i przetwarzania jej danych osobowych znajdujących się w aktach osobowych. Organ uznał, że nie dysponuje dowodami na potwierdzenie, iż rzeczywiście doszło do naruszenia ustawy w tym zakresie. W ocenie GIODO skarżąca oparła skargę jedynie na własnych przypuszczeniach i nie przedstawiła dowodów na ich potwierdzenie. Tymczasem z wyjaśnień Spółki wynika, że przetwarza ona dane osobowe skarżącej, zawarte w dokumentacji kadrowej, w sposób zgodny z ustawą. Odnosząc się zaś do dowodu mającego potwierdzić niewłaściwe zabezpieczenie danych osobowych, wskazanego we wniosku o ponowne rozpatrzenie sprawy, tj. do pisma z [...] marca 2006 r. stanowiącego prośbę o rozwiązanie umowy, które miało wypłynąć ze Spółki, organ wskazał, że okoliczność ta nie była przedmiotem kontroli organu, albowiem nie była ona objęta zakresem skargi M. K.. Tak sformułowanego stanowiska organu w omawianym zakresie nie można uznać za prawidłowe. Wprawdzie skarżąca, wyrażając zastrzeżenie co do prawidłowości przechowywania jej danych osobowych i wnosząc o przeprowadzenie kontroli w tym aspekcie, nawiązywała do przekazania przez [...] Sp. z o.o. Burmistrzowi Miasta [...] umowy zlecenia z [...] marca 2002 r., lecz jeszcze w toku postępowania przed wydaniem pierwszej decyzji przedłożyła organowi pismo z [...] marca 2006 r. zawierające prośbę o rozwiązanie umowy zlecenia. Zostało ono załączone do pisma skarżącej z [...] marca 2012 r., skierowanego do organu, w którym skarżąca podtrzymała żądanie przeprowadzenia kontroli przechowywania i przetwarzania jej danych osobowych. Pismo z [...] marca 2006 r. zostało poświadczone za zgodność z oryginałem [...] listopada 2010 r. przez radcę prawnego K. M., czyli tak samo jak ww. umowa zlecenie. Uwzględnienie daty pisma zawierającego prośbę o rozwiązanie umowy zlecenia prowadzi do oczywistego wniosku, że pismo to nie znalazło się w Urzędzie Miejskim w [...] razem z dokumentacją inwentaryzacyjną. Słusznie zatem skarżąca stawia pytanie o okoliczności w jakich do tego doszło, zasadnie podnosząc, że udostępnienie tego pisma może świadczyć o nieprawidłowościach w zakresie zabezpieczenia jej akt osobowych będących w posiadaniu [...] Sp. z o.o. w [...]. Jeżeli organ miał wątpliwości, w jakim celu skarżąca składa powyższe pismo z [...] marca 2006 r. jako załącznik do pisma kierowanego do organu z [...] marca 2012 r., to powinien w tej kwestii odebrać od skarżącej wyjaśnienia. Pominięcie tego dowodu stanowi niewątpliwie naruszenie art. 77 § 1 K.p.a. Podnoszenie przez skarżącą okoliczności związanych z nielegalnym przetwarzaniem jej danych osobowych poprzez udostępnienie Burmistrzowi Miasta [...] pisma z [...] marca 2006 r., czyni koniecznym odniesienie się do tego dokumentu także w innym aspekcie. W zaskarżonej decyzji organ wyraził stanowisko, że okoliczność udostępnienia przez Spółkę na rzecz Burmistrza danych osobowych skarżącej, zawartych w piśmie z [...] marca 2006 r., stanowiącym prośbę o rozwiązanie umowy zlecenia, nie była przedmiotem prowadzonego w sprawie postępowania administracyjnego. Wynikało to ze wskazania w treści skargi jedynie na udostępnienie danych osobowych zawartych w umowie zlecenie, a nie na udostępnienie tych danych także w innym dokumencie. Również i to stanowisko organu uznać należy za błędne. Przedmiotem postępowania w przedmiotowej sprawie było naruszenie przepisów przy przetwarzaniu danych osobowych M. K.. We wniosku o ponowne rozpatrzenie sprawy skarżąca powołała się na dalsze nieprawidłowości w tym zakresie, wskazując na bezprawne udostępnienie pisma z [...] marca 2006 r., zawierającego jej dane osobowe. Nie można uznać, że stanowiło to rozszerzenie zakresu sprawy, uniemożliwiające Generalnemu Inspektorowi Ochrony Danych Osobowych rozpoznanie także tego zarzutu, mieszczącego się w tej samej podstawie materialnoprawnej (por. wyrok NSA z 20 lutego 2013 r., I OSK 258/12, publ.http://cbois.nsa.gov.pl). Organ nie wyłączając tej sprawy do odrębnego postępowania, powinien rozważyć konieczność uchylenia pierwotnej decyzji i ponownego rozpoznania sprawy. Zasadnym jest przy tym jednakże zwrócenie uwagi, iż przy ponownym rozpatrzeniu sprawy organ nie ocenia legalności swego poprzedniego rozstrzygnięcia, lecz rozpoznaje sprawę na nowo w jej całokształcie. Rozpoznając ponownie sprawę w zakresie wyznaczonym przez skarżącą, obowiązany jest dokonać ponownych ustaleń faktycznych przy uwzględnieniu wszystkich powyższych uwag. Winien ocenić cały materiał dowodowy zgromadzony w sprawie, ewentualnie uzupełnić go, gdy uzna, że jest to konieczne, a wyniki tej oceny przedstawić w uzasadnieniu decyzji. Dopiero po ustaleniu niewątpliwego stanu faktycznego organ powinien dokonać subsumcji tego stanu faktycznego pod określoną normę prawną. Warunkiem wstępnym formułowania wniosków na tle prawa materialnego jest – co do zasady – brak uchybień w stosowaniu prawa procesowego. Warunek ten w niniejszej sprawie nie został spełniony, co czyni rozważania odnośnie naruszenia przepisów ustawy o ochronie danych osobowych przedwczesnymi. Dopiero bowiem pewność, że ustalenia faktyczne zostały poczynione niewadliwie, zezwoli na formułowanie przesądzających ocen co do zaistnienia w konkretnym przypadku przesłanek uregulowanych przez prawo materialne. Mając wszystkie powyższe względy na uwadze Sąd, na zasadzie art. 145 § 1 pkt 1 lit. c P.p.s.a., orzekł jak w sentencji wyroku. Rozstrzygnięcie w kwestii wykonalności zostało oparte na przepisie art. 152 P.p.s.a.