II SA/Wa 776/11

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Olga Żurawska-Matusiak (spr.) Sędziowie WSA Eugeniusz Wasilewski Stanisław Marek Pietras Protokolant asystent sędziego Małgorzata Kędzielewska po rozpoznaniu na rozprawie w dniu 21 września 2011 r. sprawy ze skargi E. R. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2011 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku w sprawie udostępnienia danych osobowych oddala skargę Decyzją z [...] lutego 2011 r. Generalny Inspektor Ochrony Danych Osobowych, na podstawie art. 138 § 1 pkt 1 k.p.a., art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2000 r. Nr 101, poz. 926 ze zm.) w zw. z art. 11 ust. 5 ustawy z 29 sierpnia 2004 r. Prawo zamówień publicznych (Dz. U. z 2007 r. Nr 223, poz. 1655 z późn. zm.), utrzymał w mocy decyzję z [...] sierpnia 2010 r. odmawiającą uwzględnienia wniosku w sprawie skargi na udostępnienie danych osobowych E. R. (dalej jako skarżąca) przez Centrum Integracji Społecznej [...] z siedzibą w [...] , na stronie internetowej Biuletynu Zamówień Publicznych, wydawanego przez Prezesa Urzędu Zamówień Publicznych. Do wydania powyższej decyzji doszło w następujących okolicznościach faktycznych i prawnych sprawy. Skarżąca zwróciła się do Generalnego Inspektora Ochrony Danych Osobowych ze skargą, w której, po jej ostatecznym sprecyzowaniu, podała, że Centrum Integracji Społecznej [...] bezprawnie upubliczniło jej dane osobowe poprzez zamieszczenie ogłoszenia na portalu www.uzp.gov.pl. Wskazała, że nie wyrażała zgody na upublicznienie jej danych osobowych oraz że ustawa Prawo zamówień publicznych nie ma w przedmiotowej sprawie zastosowania, ze względu na niską wartość zamówienia. W związku z powyższym wniosła o wydanie decyzji nakazującej Centrum Integracji Społecznej [...] usunięcie ww. ogłoszenia oraz o przeprowadzenie kontroli pod kątem prawidłowości przetwarzania, w tym udostępniania podmiotom trzecim, jej danych osobowych. Decyzją z [...] sierpnia 2010 r. Generalny Inspektor Ochrony Danych Osobowych odmówił uwzględnienia powyższego wniosku, uznając, że zgoda nie jest jedyną przesłanką legalności przetwarzania danych osobowych. Wskazał, iż w rozpoznawanej sprawie przepisy ustawy Prawo zamówień publicznych znalazły zastosowanie zgodnie z zapisami umowy zawartej przez skarżącą [...] lipca 2009 r. z Centrum Integracji Społecznej na przeprowadzenie szkolenia. Zgodnie z przepisami ustawy zamawiający może zamieścić w Biuletynie Zamówień Publicznych ogłoszenie, którego zamieszczenie ze względu na wartość zamówienia albo konkursu nie jest obowiązkowe. Zamawiający skorzystał z powyższego uprawnienia, w związku z czym organ uznał upublicznienie przez niego danych osobowych skarżącej za zgodne z obowiązującymi przepisami. Ocenił, że wobec wystąpienia przesłanki legalizującej ich udostępnienie, określonej w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, brak jest podstaw do wydania nakazu usunięcia tych danych. We wniosku o ponowne rozpatrzenie sprawy skarżąca podtrzymała swoje stanowisko, zgodnie z którym ustawa Prawo zamówień publicznych nie ma w sprawie zastosowania w całości z powodu zbyt niskiej wartości zamówienia. Dopuszczając jednak hipotetycznie możliwość publikowania na podstawie art. 11 ust. 5 ustawy Prawo zamówień publicznych w Biuletynie Zamówień Publicznych ogłoszeń zawierających dane osobowe wykonawcy w przypadku zamówień i konkursów nieprzekraczających kwoty, o której mowa w art. 4 pkt 8 tej ustawy, skarżąca zwróciła uwagę, że przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla spełnienia obowiązku wynikającego z przepisu prawa. Warunek ten w rozpoznawanej sprawie – zdaniem skarżącej – nie zaistniał. Wskazaną na wstępie decyzją Główny Inspektor Ochrony Danych Osobowych utrzymał w mocy zaskarżone rozstrzygnięcie, uznając je za prawidłowe. Organ ponownie odwołał się do przepisów ustawy Prawo zamówień publicznych. Zgodnie z art. 154 pkt 3 ustawy prezes urzędu wydaje w formie elektronicznej Biuletyn Zamówień Publicznych, w którym zamieszczane są ogłoszenia przewidziane ustawą. Art. 11 ust. 1 pkt 1 ww. ustawy stanowi, iż ogłoszenia, o których mowa w ustawie zamieszcza się w Biuletynie Zamówień Publicznych udostępnianym na stronach portalu internetowego Urzędu Zamówień Publicznych. Zamawiający może zamieścić w Biuletynie Zamówień Publicznych ogłoszenie, którego zamieszczenie w Biuletynie ze względu na wartość zamówienia albo konkursu nie jest obowiązkowe (art. 11 ust. 5 ww. ustawy). Natomiast zakres danych udostępnianych w ogłoszeniu o udzieleniu zamówienia wynika z przepisów rozporządzenia Prezesa Rady Ministrów z 28 stycznia 2010 r. w sprawie wzorów ogłoszeń zamieszczanych w Biuletynie Zamówień Publicznych (Dz. U. 2010 r. Nr 12, poz. 69) wydanego na podstawie art. 11 ust. 6 ustawy Prawo zamówień publicznych. Załącznik nr 4 do ww. rozporządzenia stanowi wzór ogłoszenia o udzieleniu zamówienia zamieszczanego w Biuletynie Zamówień Publicznych. Punkt IV.4 określa zakres niezbędnych danych wykonawcy, któremu udzielono zamówienia i wymaga wskazania: nazwy, adresu pocztowego, miejscowości, kodu pocztowego oraz województwa wykonawcy. W stanie prawnym adekwatnym dla rozpoznawanej sprawy taki sam zakres danych wskazywał załącznik nr 4 do Rozporządzenia Prezesa Rady Ministrów z 16 października 2008 r. w sprawie wzorów ogłoszeń zamieszczanych w Biuletynie Zamówień Publicznych (Dz. U. z 2008 r. Nr 188, poz. 1153). W dalszej kolejności organ podał, że z zebranego materiału dowodowego wynika, iż skarżąca zawarła [...] lipca 2009 r. umowę z Centrum Integracji Społecznej na przeprowadzenie szkolenia. Ww. umowa poprzedzona była zamówieniem z wolnej ręki, przeprowadzonym na podstawie ustawy Prawo zamówień publicznych. Również w treści umowy znalazło się postanowienie, zgodnie z którym do wszelkich spraw nieuregulowanych w umowie zastosowanie będą miały przepisy Kodeksu Cywilnego oraz ustawy Prawo zamówień publicznych (§ 8 pkt 2 ww. umowy). Na tej podstawie zamawiający zamieścił na stronie Biuletynu Zamówień Publicznych ogłoszenie o udzieleniu zamówień – usługi, w którym znalazły się dane osobowe skarżącej, jako osoby, której udzielono zmówienia. Organ zważył, że zamawiający – działając na podstawie art. 11 ust. 5 ww. ustawy, który stanowi, że zamawiający może zamieścić w Biuletynie Zamówień Publicznych ogłoszenie, którego zamieszczenie w Biuletynie ze względu na wartość zamówienia albo konkursu nie jest obowiązkowe – skorzystał z przysługującego mu uprawnienia i umieścił ogłoszenie na stronie Biuletynu Zamówień Publicznych, upubliczniając tym samym dane osobowe skarżącej w zakresie wymaganym przepisami ww. rozporządzenia Prezesa Rady Ministrów. Z uwagi na powyższe organ uznał za bezzasadny zarzut skarżącej, iż ustawa Prawo zamówień publicznych nie ma w sprawie zastosowania, w konsekwencji czego brak było podstaw do przedmiotowego udostępnienia danych skarżącej. Z zebranego materiału dowodowego w niniejszej sprawie bezspornie wynika, iż w treści umowy znalazło się postanowienie, iż do wszelkich spraw nieuregulowanych w umowie zastosowanie będę miały przepisy Kodeksu cywilnego oraz ustawy Prawo zamówień publicznych i na tej podstawie zamawiający zamieścił na stronie Biuletynu Zamówień Publicznych ogłoszenie o udzieleniu zamówienia, w którym znalazły się dane osobowe skarżącej jako osoby, której udzielono zamówienia. Jednocześnie organ wskazał, że tryb zawarcia przedmiotowej umowy może zostać zakwestionowany przed właściwym organem, którym nie jest organ ochrony danych osobowych. W konkluzji organ powtórzył, że nie może wydać decyzji nakazującej usunięcie danych osobowych skarżącej, gdyż ich udostępnienie znajduje uzasadnienie w obowiązujących przepisach prawa. W skardze na powyższą decyzję, która wpłynęła do Wojewódzkiego Sądu Administracyjnego w Warszawie, skarżąca wnioskowała o uchylenie zaskarżonej decyzji jako naruszającej prawo oraz o zasądzenie kosztów postępowania. W jej uzasadnieniu skarżąca stwierdziła, że wydając zaskarżoną decyzję, GIODO naruszył jej prawo do ochrony prawnej życia prywatnego (art. 47 Konstytucji RP) oraz nie dopełnił swoich obowiązków wynikających z art. 12 pkt 1 ustawy o ochronie danych osobowych. Podkreśliła, że przetwarzanie jej danych osobowych nie było uzasadnione żadną z okoliczności wymienionych w art. 23 ust. 1 ustawy o ochronie danych. Skarżąca podtrzymała swoje dotychczasowe stanowisko o braku zastosowania w przedmiotowej sprawie ustawy Prawo zamówień publicznych z uwagi na niską wartość zamówienia. Uznała, że interpretacja zawartej przez nią umowy, jaką zastosował organ, stanowi naruszenie zasad współżycia społecznego, a tym samym czyni ją nieważną zgodnie z art. 58 § 2 kc. Gdyby bowiem wiedziała, że konsekwencją zawarcia takiej umowy będzie zamieszczenie jej danych osobowych w Internecie, nie zawarłaby jej, gdyż tak niska kwota wynagrodzenia nie rekompensowałaby tak dalece idącego naruszenia prywatności. W ocenie skarżącej nie było podstawy prawnej do zamieszczenia zaskarżonego ogłoszenia w Biuletynie Zamówień Publicznych i upublicznienia jej danych osobowych. W odpowiedzi na skargę organ, wnosząc o jej oddalenie, podtrzymał w całości swoje dotychczasowe stanowisko. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Sąd administracyjny bada legalność zaskarżonej decyzji pod kątem jej zgodności z prawem materialnym, określającym prawa i obowiązki stron oraz z prawem procesowym, regulującym postępowanie przed organami administracji publicznej. Sąd jest władny wzruszyć zaskarżoną decyzję tylko w przypadku stwierdzenia naruszenia prawa. Dokonując oceny zasadności wniesionej przez E. R. skargi od decyzji Generalnego Inspektora Ochrony Danych Osobowych, Sąd doszedł do przekonania, że skarga ta nie ma usprawiedliwionych podstaw. W rozpoznawanej sprawie okolicznością niesporną jest, że [...] lipca 2009 r. skarżąca zawarła z Centrum Integracji Społecznej [...] z siedzibą w [...] umowę na przeprowadzenie szkolenia. Umowa została zawarta, po przeprowadzeniu postępowania o udzielenie zamówienia publicznego w trybie zamówienia z wolnej ręki. W treści umowy, w § 8 pkt 2 zawarto klauzulę, zgodnie z którą do wszelkich spraw nieuregulowanych w umowie zastosowanie będą miały przepisy Kodeksu cywilnego oraz ustawy Prawo zamówień publicznych. W oparciu o powyższe zapisy Centrum Integracji Społecznej [...] , jako zamawiający zamieściło na stronie Biuletynu Zamówień Publicznych ogłoszenie o udzieleniu zamówienia. W ogłoszeniu tym znalazły się dane osobowe skarżącej, jako wykonawcy, któremu udzielono zamówienia. W ocenie skarżącej interpretacja umowy legalizująca udostępnienie jej danych osobowych poprzez zastosowanie ustawy Prawo zamówień publicznych stanowi naruszenie zasad współżycia społecznego, co czyni tę umowę nieważną zgodnie z art. 58 § 2 kc. W związku z tym skarżąca uważa, że do upublicznienia jej danych osobowych doszło z naruszeniem prawa, w tym przepisów ustawy Prawo zamówień publicznych. Ocena legalności wydanych w sprawie decyzji wymaga wyraźnego rozgraniczenia dwóch aspektów sprawy, wynikających z różnych regulacji prawnych. Przedmiotem kontroli Generalnego Inspektora Ochrony Danych Osobowych w świetle art. 12 pkt 1 ustawy o ochronie danych osobowych jest zgodność przetwarzania danych z przepisami o ochronie danych osobowych. W tym konkretnym przypadku kontrola ta powinna polegać jedynie na zbadaniu, czy Centrum Integracji Społecznej [...] , w wyniku zawartej ze skarżącą umowy na przeprowadzenie szkolenia, mogło przetwarzać dane osobowe skarżącej poprzez ujawnienie ich w ogłoszeniu o udzieleniu zamówienia, umieszczonym na stronie internetowej Biuletynu Zamówień Publicznych. Generalny Inspektor Ochrony Danych Osobowych nie jest bowiem uprawniony do badania zgodności umów cywilnoprawnych z przepisami Kodeksu cywilnego. Nie może badać, czy umowa jest ważna i prawnie skuteczna, gdyż w takim przypadku organ administracji publicznej, jakim jest niewątpliwie GIODO, wykraczałby poza swoje ustawowo określone kompetencje. Dla Generalnego Inspektora Ochrony Danych Osobowych zawarta umowa powinna być czynnością prawną niepodlegającą jego ocenie, wywołującą skutki prawne do czasu, dopóki nie zostanie zakwestionowana w formie i trybie przewidzianym przez prawo. Mając powyższe na uwadze, uznać należy, że GIODO zasadnie przyjął, że nie jest właściwym organem, przed którym skarżąca może kwestionować tryb zawarcia umowy z [...] lipca 2009 r. i zapisy tej umowy. Dokonał natomiast oceny tej umowy pod kątem sprawdzenia, czy w oparciu o jej uregulowania Centrum Integracji Społecznej [...] mogło legalnie przetwarzać dane osobowe skarżącej w świetle ustawy o ochronie danych osobowych. Z art. 1 ust. 2 ustawy o ochronie danych osobowych wynika, iż przysługujące każdemu prawo do ochrony dotyczących go danych osobowych nie ma charakteru absolutnego, bowiem przetwarzanie danych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. W myśl art. 7 pkt 2 ustawy o ochronie danych osobowych przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Przesłanki dopuszczalności przetwarzania danych osobowych zostały określone w art. 23 ust. 1 ustawy o ochronie danych osobowych. Przetwarzanie danych osobowych jest więc dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę; 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa; 3) jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą 4) jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego; 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Powyższe przesłanki mają charakter autonomiczny i niezależny. Wystarczy zatem wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych. W rozpoznawanej sprawie organ zasadnie przyjął, że przesłanką legalizującą przetwarzanie danych osobowych skarżącej jest przepis art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. W umowie z [...] lipca 2009 r., zawartej pomiędzy skarżącą a Centrum Integracji Społecznej, kwestia przetwarzania danych osobowych nie została uregulowana, co oznacza, że zgodnie z § 8 pkt 2 umowy w tym zakresie zastosowanie będą miały przepisy ustawy Prawo zamówień publicznych. Umowa ta ma w sprawie niniejszej pełne zastosowanie, skoro nie została wyeliminowana z obrotu prawnego. Oznacza to, że nie obowiązuje wyłączenie przewidziane w art. 4 pkt 8 ustawy Prawo zamówień publicznych, zgodnie z którym ustawy nie stosuje się do zamówień i konkursów, których wartość nie przekracza wyrażonej w złotych równowartości kwoty 14000 euro. Zasada swobody umów pozwala bowiem stronom na ułożenie stosunku prawnego według swego uznania, byleby jego treść lub cel nie sprzeciwiały się właściwościom (naturze) stosunku, ustawie ani zasadom współżycia społecznego. Jak już podano powyżej, naruszenie powyższych reguł nie może być przedmiotem badania przez Głównego Inspektora Ochrony Danych Osobowych. Zgodnie z art. 139 ust. 3 ww. ustawy umowy w sprawach zamówień publicznych są jawne i podlegają udostępnieniu na zasadach określonych w przepisach od dostępie do informacji publicznej. Stosownie do art. 154 pkt 3 tej ustawy Prezes Urzędu wydaje w formie elektronicznej Biuletyn Zamówień Publicznych, w którym zamieszczane są ogłoszenia przewidziane ustawą, natomiast art. 11 ust. 1 pkt 1 ustawy stanowi, że ogłoszenie, o których mowa w ustawie zamieszcza się w Biuletynie Zamówień Publicznych. Zamawiający może zamieścić w Biuletynie Zamówień Publicznych ogłoszenie, którego zamieszczenie w Biuletynie ze względu na wartość zamówienia lub konkursu nie jest obowiązkowe (art. 11 ust. 5 ustawy). Zakres danych udostępnianych w ogłoszeniu określony jest w rozporządzeniu Prezesa Rady Ministrów, wydanym w oparciu o delegację zawartą w art. 11 ust. 6 ustawy. Zgodnie z przepisami rozporządzenia obowiązującego w dacie udostępnienia danych skarżącej w ogłoszeniu (rozporządzenie Prezesa Rady Ministrów z 16 października 2008 r. w sprawie wzorów ogłoszeń zamieszczanych w Biuletynie Zamówień Publicznych – Dz. U. Nr 188, poz. 1153), jak również z przepisami rozporządzenia obowiązującego obecnie (rozporządzenie Prezesa Rady Ministrów z 28 stycznia 2010 r. w sprawie wzorów ogłoszeń zamieszczanych w Biuletynie Zamówień Publicznych – Dz. U. Nr 12, poz. 69) dane te: nazwa, adres pocztowy, miejscowość, kod pocztowy oraz kraj/województwo. Analiza powyższych przepisów oraz zapisów umowy prowadzi do wniosku, że Centrum Integracji Społecznej [...] było uprawnione do umieszczenia w Biuletynie Zamówień Publicznych ogłoszenia o udzieleniu skarżącej zamówienia. Wobec uregulowanej przepisami ww. rozporządzenia treści takiego ogłoszenia udostępnienie danych skarżącej, czyli ich przetworzenie było niezbędne do zrealizowania uprawnienia wynikającego z art. 11 ust. 5 ustawy. Innymi słowy realizacja tego uprawnienia nie byłaby możliwa bez przetwarzania danych osobowych skarżącej. W tych okolicznościach uznać należy, że GIODO zasadnie uznał, że w rozpoznawanym przypadku wystąpiła, określona w art. 23 ust. 1 pkt 2 ustawy, przesłanka legalizująca przetwarzanie danych osobowych skarżącej. Wbrew zarzutom skargi organ nie przyjął, że skarżąca wyraziła zgodę na przetwarzanie jej danych osobowych, czyli przesłanki legalizującej ujętej w art. 23 ust. 1 pkt 1 ustawy. Organ nie mógł zatem wydać decyzji nakazującej usunięcie danych osobowych skarżącej, skoro ich udostępnienie znajduje uzasadnienie we wskazanych przepisach prawa. Przetwarzanie danych osobowych skarżącej odbywało się zatem prawidłowo, co czyni zarzuty o niedopełnieniu przez Generalnego Inspektora Ochrony Danych Osobowych obowiązków wynikających z art. 12 pkt 1 ustawy o ochronie danych osobowych a polegających na kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych, niezasadnymi. Za nieuprawniony należy także uznać sformułowany w skardze zarzut naruszenia art. 47 Konstytucji. Skarżąca nie została pozbawiona prawa do prywatności. Zawierając umowę cywilnoprawną o określonej treści, skarżąca winna liczyć się z jej konsekwencjami. Tą konsekwencją w rozpoznawanej sprawie jest zastosowanie, zgodnie z § 8 pkt 2 umowy przepisów ustawy Prawo zamówień publicznych i udostępnienie danych osobowych skarżącej w ogłoszeniu o udzieleniu zamówienia na przeprowadzenie. Mając wszystkie powyższe względy na uwadze, Sąd na zasadzie art. 151 p.p.s.a. skargę oddalił.