II SA/Wa 749/14

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej (spr.) Sędziowie WSA Anna Mierzejewska Janusz Walawski Protokolant starszy sekretarz sądowy Dorota Kwiatkowska po rozpoznaniu na rozprawie w dniu 2 lipca 2014 r. sprawy ze skarg W. S. oraz N. [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2012 r. nr [...] w przedmiocie obowiązku informacyjnego odnośnie przetwarzania danych osobowych - oddala skargi - Generalny Inspektor Ochrony Danych Osobowych (dalej: GIODO) decyzją nr [...], z dnia [...] stycznia 2012 r. wydaną na podstawie art. 138 § 1 pkt 1 k.p.a., art. 12 pkt 2, art. 22, art. 18 ust. 1 pkt 1 w związku z art. 33, art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po ponownym rozpatrzeniu sprawy, utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] lipca 2011 r. nr [...] nakazującą spełnienie przez [...] S.A. wobec W. S. obowiązku określonego w art. 33 ustawy o ochronie danych osobowych oraz odmawiającą uwzględnienia wniosku w pozostałym zakresie. Do wydania powyższych decyzji doszło w następującym stanie faktycznym i prawnym: Do Biura GIODO wpłynęła skarga W. S. o nakazanie [...] S.A. z siedzibą w W. udzielenia informacji w sprawie przetwarzania jego danych osobowych. Z treści skargi wynikało, iż W. S. zarzuca Spółce naruszenie przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, poprzez niewypełnienie wobec niego obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy. W skardze sformułowany został wniosek o wydanie decyzji administracyjnej "nakazującej" [...] S.A. (...) udzielenie skarżącemu informacji odnośnie przetwarzania jego danych osobowych zgodnie z jego wnioskiem z dnia [...] listopada 2010 r. skierowanym do [...] S.A". W celu rozpatrzenia przedmiotowego wniosku GIODO przeprowadził postępowanie wyjaśniające, w toku którego ustalił, że pismem z dnia [...] listopada 2010 r. W.S. wystąpił do [...] S.A. na podstawie art. 33 ust. 1-2 ustawy o ochronie danych osobowych o udzielenie informacji na piśmie w następującym zakresie: jakie jego dane osobowe są przetwarzane przez [...] S.A. oraz przez podmioty działające na zlecenie [...] S. A., w jaki sposób zebrano te dane osobowe, w jakim celu są one przetwarzane oraz w jakim zakresie oraz komu zostały udostępnione te dane osobowe. Na powyższe pismo [...] S.A. nie udzieliła odpowiedzi wnioskodawcy. Po wpłynięciu skargi do GIODO Spółka w dniu [...] stycznia 2011 r. skierowała pismo do W. S., w którym zwróciła się o podanie numeru telefonu, na który w dniu [...] października 2010 r. o godz. [...] wykonane zostało połączenie telefoniczne, które zdaniem skarżącego było akcją marketingową w imieniu [...] S.A. Następnie w piśmie z dnia [...] marca 2011 r. skierowanym do skarżącego Spółka poinformowała, iż "nie przetwarza danych osobowych W. S. (...). W chwili obecnej dane W. S. są przetwarzane w związku z prowadzoną korespondencją oraz prowadzonym przez GIODO postępowaniem". Ponadto, Spółka wyjaśniła, iż "podmioty działające na zlecenie Spółki również w chwili obecnej nie przetwarzają danych osobowych W. S. Dane W. S. zostały pozyskane od [...] S.A., jak bowiem każdy inny operator korzystający z usług hurtowych [...] S.A. [...] S.A. ma dostęp do tzw. Informacji Ogólnych, których zakres jest zdefiniowany w Ofercie Ramowej wydanej przez UKE". Ponadto zostało wskazane, iż "Spółka przekazała informację ogólnodostępną (jedynie nr telefonu) podmiotom współpracującym ze Spółką, realizującym wsparcie procesu telesprzedaży usług Spółki". W piśmie z dnia [...] marca 2011 r. skierowanym do GIODO [...] S.A. wyjaśniła natomiast, iż "w chwili obecnej Spółka przetwarza dane W. S. na podstawie art. 23 ust. 1 pkt 5 ustawy, w związku z prowadzonym przez GIODO postępowaniem oraz prowadzoną korespondencją ze skarżącym za pośrednictwem jego pełnomocnika". Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] lipca 2011 r. nr [...] wydaną na podstawie art. 12 pkt 2, art. 22, art. 18 ust. 1 pkt 1 w związku z art. 33 ust. 1-2, art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych nakazał [...] S.A. z siedzibą w W., spełnienie wobec W. S. obowiązku informacyjnego określonego w art. 33 ust. 1-2 ustawy o ochronie danych osobowych, tj. udzielenie informacji jakie jego dane osobowe są przetwarzane przez [...] S.A. oraz przez podmioty działające na zlecenie [...] S.A. oraz w jakim zakresie i komu zostały udostępnione dane osobowe W. S., natomiast w pozostałym zakresie odmówił uwzględnienia wniosku. W uzasadnieniu decyzji GIODO podkreślił, iż w niniejszej sprawie zbadał zarówno legalność przetwarzania danych osobowych skarżącego jak również okoliczność niewypełnienia wobec niego obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy. W ocenie organu nie ma podstaw do stwierdzenia, iż dane osobowe skarżącego zostały pozyskane przez Spółkę w sposób sprzeczny z ustawą o ochronie danych osobowych. Ustalone w sprawie okoliczności faktyczne nakazują bowiem uznać, iż dane osobowe skarżącego Spółka pozyskała od [...] S.A. na zasadzie dostępu "do tzw. Informacji Ogólnych, których zakres zdefiniowany jest w Ofercie Ramowej wydanej przez UKE. Informacje te zawierają między innymi adresy lokali związanych z węzłami LLU (Local loop unbundling) oraz numery telefonów związanych z węzłami LLU". Podstawowym celem oferty ramowej jest zaś rzeczywiste otwarcie rynku dostępu do pętli abonenckiej w Polsce, poprzez obniżenie opłat i ustalenie precyzyjnych zasad współpracy operatorów. Organ powołał się przy tym na treść art. 43 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. Nr 171, poz. 1800 z późn. zm.) w konkluzji stwierdzając, iż Spółka pozyskała dane skarżącego na podstawie art. 23 ust. 1 pkt 5 ustawy, w wyniku wykonywania prowadzonej działalności gospodarczej w celach marketingowych. Spółka jako operator działający na polskim rynku i korzystający z usług hurtowych [...] S.A. miała prawo pozyskać numer telefonu skarżącego w ramach dostępu do węzłów LLU, pod warunkiem, iż nie był to numer zastrzeżony. Odnosząc się zaś do kwestii niewypełnienia wobec skarżącego przez Spółkę w terminie ustawowym obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy organ wskazał, iż do dnia dzisiejszego Spółka nie udzieliła pełnej odpowiedzi w żądanym przez skarżącego zakresie. Spółka poinformowała skarżącego skąd pozyskała jego dane oraz o celu ich pozyskania i przetwarzania. Spółka wypełniając ciążący na niej obowiązek zobowiązana była jednak do udzielenia pełnej odpowiedzi skierowanej bezpośrednio do skarżącego, w której dokładnie ustosunkowałaby się do treści jego pytań. Spółka poza wskazaniem źródła i celu pozyskania oraz przetwarzania danych, powinna była zatem wyjaśnić skarżącemu jakie jego dane osobowe są przetwarzane przez [...] S.A. oraz przez podmioty działające na zlecenie [...] S. A., a także w jakim zakresie oraz komu zostały one udostępnione. Wobec powyższego zasadne jest nakazanie przez GIODO udzielenia przez Spółkę informacji skarżącemu, w zakresie wskazanym w decyzji. Działanie Spółki niewątpliwie naruszyło bowiem przepisy ustawy o ochronie danych osobowych, w zakresie niewypełniania dyspozycji jej art. 33. Powyższa decyzja została zaskarżona przez obie strony postępowania, które wystąpiły do GIODO z wnioskami o ponowne rozpatrzenie sprawy. W. S. we wniosku o ponowne rozpatrzenie sprawy zarzucił organowi nienależyte wyjaśnienie ustalonego stanu faktycznego wskazując, iż jego imię i nazwisko było przetwarzane przez Spółkę "co najmniej od chwili złożenia (...) propozycji o charakterze marketingowym w toku rozmowy telefonicznej, a to ze względu na sposób rozmowy, tj. zwracanie się (...) z wykorzystaniem imienia i nazwiska." Ponadto, skarżący podniósł, iż [...] S.A. nie podała, kiedy pozyskała jego dane, bowiem "(...) oferta ramowa określająca ramowe warunki dostępu telekomunikacyjnego w zakresie rozpoczynania i zakańczania połączeń, hurtowego dostępu do sieci [...] dostępu do łączy abonenckich w sposób zapewniający dostęp pełny lub współdzielony (...)" stanowi, że "udostępnieniu podlegają m.in. adres zakończenia sieci (adres abonenta) oraz dane łącza (numer telefonu), a nie imię i nazwisko abonenta". Jednocześnie, skarżący wskazał, iż celem udostępnienia informacji ogólnych jest umożliwienie podjęcia decyzji o współpracy z [...] S.A., nie zaś ułatwienie działań marketingowych przedsiębiorcy telekomunikacyjnego. W związku z powyższym skarżący podniósł, iż mogło dojść do naruszenia przez Spółkę art. 23 ust. 1 pkt 5 oraz art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych. [...] S.A. we wniosku o ponownego rozpatrzenie sprawy wskazała natomiast, iż spełnienie obowiązku informacyjnego płynącego z art. 33 ust. 1 ustawy o ochronie danych osobowych dotyczy tylko tych administratorów danych, którzy przetwarzają dane w zbiorze a nie w zestawie co ma miejsce w przedmiotowym przypadku. Spółka zaznaczyła, że pisma dotyczące W. S. przechowuje w segregatorze ułożone wg daty wpływu lub wysłania pisma. Ponadto, Spółka podniosła, iż numer telefonu w chwili przekazywania danych nie był połączony z jakimikolwiek innymi danymi, a zatem nie umożliwiał określenia tożsamości osoby, której dotyczył, bez ponoszenia nadmiernych kosztów, czasu lub działań po stronie Spółki, co w konsekwencji oznacza, iż numer ten nie był daną osobową. W związku z zarzutami podniesionymi we wniosku W. S. GIODO zwrócił się pisemnie do [...] S.A. o dodatkowe wyjaśnienia. W odpowiedzi na ww. pismo, Spółka w piśmie z dnia [...] listopada 2011 r. wyjaśniła, iż uzyskała w kwietniu 2008 roku jedynie numer telefonu W. S. [...] S.A. pozyskała dwukrotnie dane W. S. Po raz pierwszy dane pozyskał partner na podstawie art. 23 ust. 1 pkt 5 w związku z art. 2 ust. 3 ustawy ze spisu abonentów. Po raz drugi dane W. S. zostały pozyskane na podstawie art. 23 ust. 1 pkt 5 ustawy, w związku z prowadzoną korespondencją pomiędzy [...] S.A., a skarżącym. Ponadto, Spółka wyjaśniła, że powiązanie numeru telefonu z danymi W. S. nastąpiło w pozyskanej od skarżącego informacji dotyczącej przedmiotowego numeru (skarżący podał numer telefonu na jaki kontaktował się partner), a powiązanie to istnieje jedynie w przedmiotowej korespondencji. GIODO, w wyniku ponownego rozpatrzenia sprawy, decyzją nr [...] z dnia [...] stycznia 2012 r. wydaną na podstawie art. 138 § 1 pkt 1 k.p.a., art. 12 pkt 2, art. 22, art. 18 ust. 1 pkt 1 w związku z art. 33, art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] lipca 2011 r. W uzasadnieniu decyzji organ podtrzymał swoją wcześniejszą argumentację. Odnosząc się do zarzutu W. S., że jego imię i nazwisko znane było Spółce co najmniej od chwili złożenia propozycji o charakterze marketingowym w toku rozmowy telefonicznej organ podniósł, iż skarżący nie wskazał na żadne nowe okoliczności w tej kwestii, jak również nie przedłożył dowodów, które potwierdzałyby stawiany zarzut. Organ w ramach uzupełnienia materiału dowodowego uzyskał natomiast od Spółki w piśmie z dnia [...] listopada 2011 r. dodatkowe wyjaśnienia, z których wynika, że Spółka pozyskała jedynie numer telefonu skarżącego w kwietniu 2008 r., zaś powiązanie numeru telefonu z danymi osobowymi skarżącego nastąpiło w wyniku dostępu do spisu abonentów, o czym Spółka informowała skarżącego w piśmie z dnia [...] marca 2011 r. Nie można zatem uznać, iż Spółka składała "propozycję o charakterze marketingowym" z naruszeniem ustawy o ochronie danych osobowych. Nie można też wykluczyć, iż Spółka uzyskała dostęp do tego spisu od [...] S.A. w ramach umowy o korzystanie z pętli abonenckiej, o której właściwościach Spółka wcześniej posiadała informacje jedynie w zakresie wskazanym w ramach dostępu do "Informacji Ogólnych zdefiniowanych w Ofercie Ramowej". W kwestii natomiast zarzutu W. S., dotyczącego możliwości naruszenia przez Spółkę art. 23 ust. 1 pkt 5 oraz art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych organ wskazał, iż brak jest dowodów na to, że Spółka - w ramach dostępu do "Informacji ogólnych (...)" pozyskała dane osobowe skarżącego, w tym także jego imię i nazwisko, a następnie przetwarzała te dane w celu marketingu własnych produktów i usług. Powiązanie numeru telefonu z danymi osobowymi skarżącego nastąpiło w późniejszym okresie ze spisu abonentów, do którego dostęp wymaga hasła i loginu, a zatem nie jest to powszechny, jawny i ogólnodostępny spis abonentów. Może to wskazywać, iż Spółka otrzymała na mocy stosownych porozumień, dostęp do tego spisu od [...] S.A. w ramach zawarcia umowy o korzystanie z pętli, której informacje ogólne są ogłaszane przez Prezesa Urzędu Komunikacji Elektronicznej. Organ zwrócił przy tym uwagę, że nie jest możliwe zwiększenie konkurencyjności na rynku, jeżeli przedsiębiorca telekomunikacyjny nie ma możliwości przedstawienia swojej oferty w trakcie rozmowy telefonicznej z potencjalnym klientem (przyszłym abonentem). Zmiany w ustawie z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne mają natomiast na celu dostosowanie przepisów krajowych do przepisów unijnych, które przewidują m.in. poprawę konkurencyjności, umożliwienie przejścia operatorów pomiędzy operatorami, czy też zapewnienie migracji z usług BSA i WLR do dostępu LLU, zaś brak dostosowania tych przepisów do przepisów unijnych może prowadzić do konieczności stosowania przepisów unijnych wprost, także w zakresie, w jakim aktualne możliwości infrastrukturalne nie umożliwiają ich wdrożenia. Nie jest zatem właściwym stawianie zarzutu naruszenia ustawy o ochronie danych osobowych przez Spółkę w sytuacji, gdy przedsiębiorca telekomunikacyjny realizuje postanowienia przepisów prawa. Odnosząc się natomiast do zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy przez [...] S.A., organ przypomniał, iż zgodnie z brzmieniem art. 7 pkt 1 ustawy o ochronie danych osobowych, zbiorem danych jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Powołując się obszernie na poglądy doktryny oraz orzecznictwo co do rozumienia pojęcia zbioru danych organ stwierdził, iż za bezzasadne należy uznać twierdzenie Spółki, wskazane w jej piśmie z dnia 14 marca 2011 r., iż nie przetwarza danych W. S. w żadnym zbiorze danych osobowych, bowiem analiza przepisów prawa, doktryny i orzecznictwa dowodzi, iż zestaw danych osobowych dotyczący skarżącego, a przetwarzany przez Spółkę w korespondencji w niniejszej sprawie, wypełnia przesłanki ustawowe definicji zbioru danych osobowych. Nie można też uznać za zasadne twierdzenia Spółki, iż przekazując informację ogólnodostępną podmiotom współpracującym ze Spółką w postaci numeru telefonu, nie udostępniono danych W. S. Zarówno W. S., jak i [...] S.A. wnieśli skargi na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie. W. S. w skardze zarzucił GIODO naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, poprzez naruszenie art. 7 w zw. z art. 77 § 1, art. 80 i art. 11 k.p.a. oraz w zw. z art. 14 ustawy o ochronie danych osobowych, a także naruszenie art. 107 § 1 w zw. z art. 9 i art. 11 k.p.a. W uzasadnieniu skargi skarżący podkreślił, iż GIODO prowadzi postępowanie administracyjne w rozstrzyganych przez siebie sprawach zgodnie z przepisami proceduralnymi ustawy o ochronie danych osobowych oraz - stosowanymi subsydiarnie – przepisami Kodeksu postępowania administracyjnego. Zaś jedną z podstawowych zasad postępowania dowodowego na gruncie k.p.a. jest zasada oficjalności postępowania dowodowego, zgodnie z którą organ prowadzący postępowanie jest zobowiązany z urzędu zebrać i przeprowadzić dowody służące wyjaśnieniu sprawy. Skarżący zarzucił, iż organ w toku ponownego rozpoznania sprawy nie wyjaśnił podnoszonych przez niego wątpliwości, co do stanu faktycznego sprawy ograniczając się tylko do lakonicznego stwierdzenia, że to strona nie przytoczyła żadnych dowodów na udokumentowanie jej twierdzeń. Tymczasem obowiązek ustalenia stanu faktycznego sprawy spoczywa nie na stronie, ale na organie prowadzącym postępowanie. Strona powołała w niniejszej sprawie wszystkie okoliczności, jakie powołać mogła - w szczególności, co najmniej dwukrotnie przytoczyła treść rozmowy telefonicznej, w której osoba działająca w imieniu [...] S.A. używała jej imienia i nazwiska. W ocenie skarżącego, w sytuacji gdy GIODO dysponuje sprzecznymi oświadczeniami stron postępowania na temat wykonywania obowiązków w zakresie ochrony danych osobowych, powinien podjąć działania z urzędu celem ustalenia stanu faktycznego sprawy. Skarżący zarzucił ponadto, że organ w zaskarżonej decyzji nie ustosunkował się do podniesionych przez niego wątpliwości dotyczących przestrzegania przez [...] S.A. obowiązków wynikających z art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych. GIODO w arbitralny sposób uznał bowiem, że [...] S.A. działała na podstawie przepisów ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne, a więc jej działania nie naruszają przepisów ustawy o ochronie danych osobowych. Nie sposób tym samym uznać, że uzasadnienie zaskarżonej decyzji spełnia wymagania stawiane mu przez art. 107 § 1 k.p.a. Ponadto, brak odniesienia się do konkretnych wątpliwości podnoszonych przez stronę narusza w sposób oczywisty tzw. zasadę przekonywania wyrażoną w art. 11 k.p.a. [...] S.A. w skardze zarzuciła natomiast GIODO naruszenie: 1. art. 7 pkt 1 ustawy o ochronie danych osobowych - poprzez dokonanie jego błędnej wykładni polegającej na uznaniu, że ze zbiorem danych osobowych mamy do czynienia, nawet wówczas gdy dane osobowe są dostępne w zestawie tylko według jednego kryterium, wbrew literalnemu brzmieniu tego przepisu, w którym mowa jest o "kryteriach" w liczbie mnogiej; 2. art. 33 w zw. z art. 32 ust. 1 pkt 1-5a, art. 18 ust. 1 pkt 1 i art. 22 ww. ustawy w zw. z art. 138 § 1 pkt 1 k.p.a. – poprzez utrzymanie w mocy decyzji zobowiązującej [...] S.A. do spełnienia wobec uczestnika obowiązku informacyjnego określonego w art. 33 ustawy pomimo, że dane osobowe uczestnika nie są zawarte w zbiorze danych osobowych; 3. art. 7 i art. 107 § 3 k.p.a. - poprzez brak wszechstronnego wyjaśnienia podstawy prawnej decyzji, tj. wskazania dlaczego zestawy w których dane osobowe są dostępne tylko według jednego kryterium należy uznać za zbiory danych osobowych w rozumieniu ustawy o ochronie danych osobowych, pomimo, że przepis ustawy wyraźnie wskazuje na wymóg dostępności danych osobowych przynajmniej według dwóch kryteriów. W uzasadnieniu skargi podkreślono, że obowiązki informacyjne, o których mowa w art. 33 w zw. z art. 32 ustawy odnoszą się do danych zawartych w zbiorach danych. W niniejszej sprawie powyższa przesłanka jednak nie zachodzi. Dla zaistnienia zbioru danych osobowych, zgodnie z definicją ustawową zawartą w art. 7 pkt 1 ustawy, konieczne jest bowiem, aby dane w zbiorze dostępne były według określonych kryteriów. Doktryna i orzecznictwo wskazują zaś dość jednoznacznie, że użycie w przepisie słowa "kryteria" w liczbie mnogiej wyklucza z zakresu pojęcia "zbiór danych osobowych" zestawy danych dostępnych według tylko jednego kryterium. W niniejszej sprawie istnieje tymczasem tylko jedno kryterium dostępności, co też zostało wyraźnie potwierdzone przez GIODO w skarżonej decyzji. Dane osobowe W. S. [...] S.A. posiada bowiem zawarte w pismach dotyczących postępowań prowadzonych przez GIODO. Pisma te są ułożone w segregatorze chronologicznie (według daty wpływu/wysłania). Istnienie zatem jednego tylko kryterium dostępności wyklucza możliwość uznania, że [...] S.A. przetwarza dane W. S. w zbiorze danych osobowych. Ponadto, nawet ww. kryterium nie odnosi się bezpośrednio do danych osobowych, jest to bowiem kryterium dostępu do pism, które mogą, ale nie muszą zawierać danych osobowych. Dopiero po wydobyciu konkretnego pisma możliwe jest zaś uzyskanie dostępu do zawartych w nim danych, jednak nie są one tam ułożone według żadnych określonych kryteriów (stanowią po prostu element treści pisma). GIODO w odpowiedzi na powyższe skargi wniósł o ich oddalenie podtrzymując w całości stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Odnosząc się do zarzutów podniesionych w skardze W. S. dotyczących naruszenia art. 7, art. 77, art. 80, art. 11 k.p.a. w związku z art. 14 ustawy, organ podniósł, iż niniejsze postępowanie zostało przeprowadzone poprawnie i rzetelnie, a celem tego postępowania było ustalenie okoliczności przetwarzania danych osobowych skarżącego przez [...] S.A. W ocenie organu zarzut dotyczący naruszenia art. 14 ustawy należy uznać za bezzasadny, bowiem GIODO skorzystał z uprawnień przysługujących mu w tym przepisie i odebrał pisemne wyjaśnienia i dowody od stron postępowania. Trudno zatem ocenić, o jakie dodatkowe czynności chodzi skarżącemu, tudzież, jakie dodatkowe "czynności dowodowe" miałby podjąć Generalny Inspektor, skoro odebrane pisemne wyjaśnienia pozwoliły na ustalenie okoliczności faktycznych, wyczerpały przedmiot postępowania i umożliwiły podjęcie rozstrzygnięcia w sprawie. Odnosząc się zaś do zarzutu dotyczącego naruszenia art. 107 § 1 k.p.a. w zw. z art. 9 i art. 11 k.p.a., poprzez nieodniesienie się przez GIODO do zarzutu, że Spółka naruszyła przepisy art. 23 ust. 1 pkt 5 w zw. z art. 26 ust. 1 pkt 2 ustawy organ wskazał, iż ze zgromadzonego materiału dowodowego nie wynika, aby w trakcie rozmowy telefonicznej, podczas której Spółka prezentowała ofertę marketingową skarżącemu, przetwarzane były jego dane osobowe w zakresie imienia i nazwiska. Trudno zatem było przypisywać Spółce działanie niezgodne z przepisami ustawy, w szczególności art. 23 ust. 1 pkt 5 w zw. z art. 26 ust. 1 pkt 2 ustawy. W ocenie GIODO zaskarżona decyzja została wydana po rzetelnym przeprowadzeniu postępowania administracyjnego i zawiera zarówno analizę zgromadzonego materiału dowodowego, jak również ocenę tego materiału i uzasadnienie rozstrzygnięcia przez pryzmat przepisów powszechnie obowiązującego prawa oraz z uwzględnieniem zarzutów skarżącego. Powyższe działanie wyczerpuje zatem dyspozycję art. 9 i art. 11 k.p.a. Odnosząc się natomiast do zarzutów podniesionych w skardze [...] S.A., GIODO stwierdził, iż przychyla się do stanowiska prezentowanego w doktrynie, według którego wystarcza występowanie jednego kryterium wyszukiwawczego w zestawieniu danych aby zakwalifikować je jako zbiór danych w rozumieniu art. 7 pkt 1 ustawy o ochronie danych osobowych, mimo że stanowisko to nie odpowiada literalnemu brzmieniu definicji sformułowanej w tym przepisie. W ocenie organu, wykładnia językowa powinna w tym przypadku ustąpić pierwszeństwa wykładni celowościowej. Zdaniem organu z analizy art. 7 pkt 1 ustawy oraz zgromadzonego materiału dowodowego w sprawie wynika wprost, iż Spółka przetwarza - w korespondencji w niniejszej sprawie - dane osobowe skarżącego, które stanowią zestaw danych. Zestaw tych danych w ocenie organu stanowi zbiór danych w rozumieniu art. 7 pkt 1 ustawy, bowiem dostęp do tych danych jest możliwy poprzez datę wpływu pisma/datę wysłania pisma, co zostało także wyjaśnione przez Spółkę w jej piśmie z dnia 20 lipca 2011 r., a tym samym jest to kryterium dostępu do danych osobowych w zestawie danych tworzących zbiór danych. Z zebranego materiału dowodowego wynika ponadto, iż Spółka nie wypełniła wobec skarżącego obowiązku informacyjnego z art. 32 ust. 1 pkt 1- 5a ustawy w zw. z jej art. 33. W tym stanie faktycznym Generalny Inspektor - stosownie do brzmienia art. 18 ustawy o ochronie danych osobowych - słusznie nakazał zatem Spółce usuniecie uchybień na mocy art. 18 ust. 1 pkt 1 ustawy o ochronie danych osobowych w związku z jej art. 22. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 4 czerwca 2012 r. uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2011 r. i stwierdził, że zaskarżona decyzja nie podlega wykonaniu w całości z uwagi na naruszenie zarówno przepisów postępowania w stopniu mogącym mieć wpływ na wynik sprawy, jak też przepisu prawa materialnego poprzez jego niewłaściwą interpretację. Sąd wskazał, że z art. 33 ust. 1 ustawy o ochronie danych osobowych w zw. z art. 32 ust. 1 tej ustawy wynika, że obowiązki informacyjne określone w tym przepisie dotyczą tylko administratorów zbiorów danych. Sąd podkreślił, że ani z uzasadnienia zaskarżonej decyzji, ani z decyzji ją poprzedzającej nie wynikało jednak, aby organ uznał w następstwie przeprowadzonego postępowania wyjaśniającego, że [...] S.A. przetwarza dane osobowe W. S., w związku ze złożoną mu propozycją marketingową, w zbiorze danych co było istotą jego skargi do GIODO. Organ ten, zdaniem Sądu, uznał jedynie, że zestaw danych osobowych dotyczący skarżącego, a przetwarzany przez Spółkę w korespondencji związanej ze skargą do GIODO wypełnia przesłanki ustawowe definicji zbioru danych. Dalej Sąd podkreślił, że skoro ustawodawca użył w art. 7 pkt 1 uodo sformułowania "kryteria" w liczbie mnogiej, to zgodnie z założeniem racjonalnego ustawodawcy należy przyjąć, że dostępność zestawu danych o charakterze osobowym musi być możliwa w oparciu o co najmniej dwa kryteria (vide: wyrok NSA z dnia 12 stycznia 2007 r. sygn. akt I OSK 218/06, LEX nr 290699). Stanowiska odmienne są sprzeczne z wykładnią językową i podważają świadomy wybór racjonalnego ustawodawcy. Zaznaczył, że cechą konieczną zbioru danych na gruncie przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych jest zatem posłużenie się co najmniej dwoma kryteriami umożliwiającymi dostęp do znajdujących się w nim danych. Wobec powyższego Sąd stwierdził, że z dotychczasowych ustaleń poczynionych przez organ nie wynika, czy [...] S.A. przetwarzała dane osobowe W. S. w zbiorze danych. Niewyjaśnienie tej okoliczności, jako mającej istotne znaczenie dla prawidłowego i pełnego rozstrzygnięcia sprawy, nie daje podstawy do nałożenia na [...] S.A. obowiązku informacyjnego określonego w art. 33 ust. 1 i 2 ustawy o ochronie danych osobowych. Sąd zalecił by organ ponownie rozpoznając sprawę ustalił w sposób nie budzący wątpliwości, czy [...] S.A. przetwarza dane osobowe W. S. w zbiorze danych, a tym samym, czy spełniona została przesłanka niezbędna do nałożenia na Spółkę obowiązku informacyjnego określonego w art. 33 ustawy o ochronie danych osobowych, uwzględniając przy tym dokonaną przez Sąd w niniejszej sprawie wykładnię przepisu art. 7 pkt 1 tej ustawy. W skardze kasacyjnej zaskarżającej powyższy wyrok w całości, Generalny Inspektor Ochrony Danych Osobowych zarzucił Sądowi naruszenie art. 134 P.p.s.a i art. 3 § 1 P.p.s.a w zw. z art. 1 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. 2002 r. Nr 153, poz. 1269 ze zm.) w wyniku niewłaściwej kontroli nad postępowaniem administracyjnym przez błędne przyjęcie, że z ustaleń poczynionych przez organ nie wynika, że [...] S.A. przetwarza dane osobowe Pana W. S. w zbiorze danych, a ponadto poprzez błędne przyjęcie, że GIODO wydał decyzję z dnia [...] stycznia 2012 r. (znak:[...]; z naruszeniem art. 7, art. 77 § 1, art. 80 oraz art. 107 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (tj. Dz. U. 2000 r. Nr 98, poz. 1071 ze zm.) co miało istotny wpływ na wynik sprawy. Wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Naczelny Sąd Administracyjny wyrokiem z dnia 21 lutego 2014 r. syg. akt I OSK 2068/12 uchylił zaskarżony wyrok i przekazał sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. W uzasadnieniu zaś podał, że Sąd I instancji z jednej strony przyjął, iż organ nie poczynił w sprawie istotnych ustaleń, a z drugiej strony wywiódł, że takie ustalenia poczyniono poprzez przyjęcie braku przetwarzania danych osobowych w związku z propozycją marketingową i ich przetwarzanie odnoszące się do danych osobowych skarżącego związanych z korespondencją w niniejszej sprawie. Wskazana rozbieżność wyklucza dokonanie kontroli sądowo-administracyjnej, która w okolicznościach niniejszej sprawy winna doprowadzić do zbadania legalności działania Generalnego Inspektora Ochrony Danych Osobowych w trybie przepisów ustawy o ochronie danych osobowych. Konstrukcja uzasadnienia wyroku, na którą składają się wskazane rozbieżności, nie pozwala na odtworzenie toku myślowego Sądu I instancji. W ocenie Naczelnego Sądu Administracyjnego analiza obu decyzji organu prowadzi do wręcz przeciwnych wniosków. Wynika z niej, że Generalny Inspektor Ochrony Danych Osobowych poczynił rozważania i ustalenia co do przetwarzania danych osobowych skarżącego zarówno odnosząc się do tych, które Spółka pozyskała w celach marketingowych, jak i związanych z korespondencją w niniejszej sprawie. Jednocześnie Naczelny Sąd Administracyjny zalecił, by Sąd I instancji ocenił ich zgodność z mającymi zastosowanie w sprawie przepisami prawa materialnego zawartymi w ustawie o ochronie danych osobowych, jak i z normami prawa procesowego stanowiącymi o konieczności zgromadzenia wyczerpującego materiału dowodowego, zgodnie z art. 7 i 77 § 1 Kpa oraz jego oceny zgodnie z art. 80 Kpa. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1§ i §2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. nr 153, poz.1269 ze zm.) sądy administracyjne sprawują wymiar sprawiedliwości m.in. przez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Jednocześnie w myśl art. 190 zd. 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), sąd, któremu sprawa została przekazana, związany jest wykładnią prawa dokonaną w tej sprawie przez Naczelny Sąd Administracyjny. Skargi oceniane w świetle powyższych kryteriów nie zasługują na uwzględnienie. Stosownie do treści art. 33 ust. 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (j.t. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), dalej "uodo" na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a. Na wniosek osoby, której dane dotyczą, informacji o których mowa w ust. 1, udziela się na piśmie. Natomiast zgodnie z przepisem art. 32 ust. 1 uodo, każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do: 1) uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna – jej miejsca zamieszkania oraz imienia i nazwiska, 2) uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze, 3) uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych, 4) uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie w tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej, 5) uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane, 5a) uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2. (...). Należy zwrócić uwagę, iż zamieszczone w pierwszej części art. 32 uodo zastrzeżenie, że chodzi o "dane zgromadzone w zbiorze", ogranicza zakres prawa do informacji, stawiając poza nim zarówno wszelkie mające osobowy charakter dane (informacje) luźne, jak i dane znajdujące się w rozmaitych zestawieniach niewykazujących cech zbioru danych w rozumieniu art. 7 pkt 1 uodo. W myśl ww. przepisu, ilekroć w ustawie jest mowa o zbiorze danych – rozumie się przez to każdy posiadający strukturę, zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Użycie w art. 7 pkt 1 uodo liczby mnogiej – "określonych kryteriów" – może wskazywać, że konieczne jest spełnienie co najmniej dwóch kryteriów umożliwiających dostęp do zawartości zestawu danych i korzystanie z nich, aby można było go traktować jako zbiór danych w rozumieniu ustawy. Jednakże mając na względzie poglądy doktryny oraz cel i funkcje przepisów o ochronie danych osobowych, uzasadniona jest teza w świetle której wystarcza występowanie jednego kryterium wyszukiwawczego w zestawieniach danych, aby zakwalifikować je jako zbiór danych w rozumieniu art. 7 pkt 1 uodo, mimo iż nie odpowiada to literalnemu brzmieniu definicji sformułowanej we wskazanym przepisie. Wykładnia językowa musi w tym przypadku ustąpić pierwszeństwa wykładni celowościowej, bowiem skrupulatne przestrzeganie wymogu co najmniej dwóch kryteriów mogłoby umożliwić obchodzenie ustawy i tym samym uniemożliwić osiągnięcie celów, którym ma ona służyć. Mówienie o "kryteriach" należy traktować jako zwrócenie uwagi na dopuszczalną różnorodność kryteriów, a nie stawianie wymogu występowania więcej niż jednego kryterium w każdym przypadku (por. M Sakowska, pojęcie "zbiór danych" na gruncie ustawy o ochronie danych osobowych, Radca Prawny 2005 nr 2, s. 62, G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 47, P. Barta, P. Litwiński, ustawa o ochronie danych osobowych, Komentarz, Warszawa 2009, s.109). Przenosząc powyższe rozważania na grunt rozpoznawanej sprawy należy stwierdzić, że dane osobowe skarżącego przechowywane przez [...] S.A. w korespondencji w niniejszej sprawie, w zakresie imienia, nazwiska, danych pełnomocnika, adresu i numeru telefonu, wbrew stanowisku Spółki, stanowią zestaw danych, do których dostęp jest możliwy poprzez wskazanie jednego kryterium, tj. daty wpływu lub daty wysłania pisma. Tym samym stanowią zbiór danych osobowych w rozumieniu uodo, zatem w sprawie znajduje zastosowanie przepis art. 33 ust. 1 i 2 uodo. Sąd w pełni akceptuje ustalenia faktyczne poczynione przez Generalnego Inspektora Ochrony Danych Osobowych wskazujące, iż dane osobowe skarżącego zostały pozyskane przez Spółkę zgodnie z prawem, tj. na zasadzie dostępu do tzw. "Informacji Ogólnych", których zakres zdefiniowany jest w Ofercie Ramowej wydanej przez UKE. Informacje te zawierają m.in. adresy lokali związanych z węzłami LLU (Local loop unbundling) oraz numery telefonów związanych z węzłami LLU. Podstawowym celem oferty ramowej jest bowiem rzeczywiste otwarcie rynku dostępu do pętli abonenckiej w Polsce poprzez obniżenie opłat i ustalenie precyzyjnych zasad współpracy operatorów. Uprawnione jest zatem stwierdzenie, że przetwarzanie danych osobowych skarżącego opiera się na podstawie prawnie określonej w art. 23 ust. 1 pkt 5 uodo (prawnie usprawiedliwiony cel), za który uważa się marketing bezpośredni własnych produktów lub usług administratora danych (art. 23 ust. 4 pkt 1 uodo). [...] S.A. jako jeden z operatorów telekomunikacyjnych działających na polskim rynku i korzystający z usług [...] S.A. (obecnie [...] S.A.) miał prawo pozyskać numer telefonu skarżącego w ramach dostępu do węzłów LLU, jeśli numer ten nie był zastrzeżony. Wskazać ponadto należy, że skarżący nie przedstawił żadnych dowodów na okoliczność, że Spółka pozyskała jego dane osobowe w zakresie imienia i nazwiska w sposób bezprawny. Wiarygodne są wyjaśnienia Spółki, że pozyskała ona jedynie numer telefonu skarżącego w kwietniu 2008 r, zaś powiązanie numerem telefonu skarżącego z jego danymi osobowymi nastąpiło w wyniku dostępu do spisu abonentów. W ocenie Sądu zarówno zaskarżona decyzja, jak i decyzja poprzedzająca, zostały podjęte po przeprowadzeniu postępowania administracyjnego spełniającego wymagania przewidziane w przepisach ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (j.t. Dz. U. z 2013 r. poz. 267), dalej "Kpa". W szczególności organ podjął wszelkie kroki niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy (art. 7 Kpa), w sposób wyczerpujący zebrał i rozpatrzył cały materiał dowodowy (art. 77 § 1 Kpa) oraz dokonał oceny dowodów na zasadzie art. 80 Kpa. W oparciu o przepis art. 14 pkt 2 uodo zażądał od stron postępowania pisemnych wyjaśnień w zakresie niezbędnym do ustalenia stanu faktycznego i takie wyjaśnienia uzyskał, zaś zarzut naruszenia tego przepisu podniesiony przez skarżącego jest chybiony. Także zarzut naruszenia art. 107 § 1 w zw. z art. 9 i art. 11 Kpa poprzez nieodniesienie się zarzutu, że [...] S.A. naruszyła przepisy art. 23 ust. 1 pkt 5 w zw. z art. 26 ust. 1 pkt 2 uodo, nie znajduje uzasadnienia. Po pierwsze zaskarżona decyzja zawiera wszystkie elementy, o jakich mowa w przepisie art. 107 § 1 Kpa, po drugie zaś organ w sposób logiczny uzasadnił swoje rozstrzygnięcie ze wskazaniem przepisów prawa, które miały zastosowanie w sprawie, jak i okoliczności uwzględnionych przy podjętych rozstrzygnięciach. Nie jest także trafny zarzut skarżącej Spółki naruszenia art. 107 § 3 Kpa, poprzez brak wszechstronnego wyjaśnienia podstawy prawnej decyzji tj. brak wskazania, dlaczego zestawy, w których dane osobowe są dostępne tylko według jednego kryterium, należy uznać za zbiory danych w rozumieniu uodo. W tym zakresie Generalny Inspektor przedstawił bowiem obszerny wywód poparty poglądami doktryny, zaaprobowany przez Sąd. Pozostałe zarzuty skarżącej Spółki naruszenia prawa procesowego i materialnego, będące konsekwencją przyjęcia przez organ, iż w niniejszej sprawie mamy do czynienia z danymi osobowymi skarżącego zawartymi w zbiorze danych, w tej sytuacji również są chybione. Mając powyższe na względzie, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 P.p.s.a orzekł jak w sentencji wyroku.