II SA/Wa 812/13

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania (spr.), Sędziowie WSA Andrzej Góraj, Sławomir Antoniuk, Protokolant Referent stażysta Małgorzata Ciach, po rozpoznaniu na rozprawie w dniu 18 czerwca 2013 r. sprawy ze skargi R. G. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2010 r. nr [...] w przedmiocie ochrony danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2010 r. nr [...], 2. stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości, 3. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz skarżącego R. G. kwotę 440 zł (czterysta czterdzieści złotych), tytułem zwrotu kosztów postępowania. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] listopada 2010 r. nr [...], na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.), dalej: "K.p.a.", utrzymał w mocy decyzję własną z dnia [...] sierpnia 2010 r. nr [...], którą to decyzją odmówił R. G. uwzględnienia jego wniosku z dnia [...] kwietnia 2010 r. Jako podstawę materialnoprawną organ wskazał art. 12 pkt 2, art. 22 i art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), dalej powoływanej jako: "u.o.d.o.". W uzasadnieniu decyzji organ przedstawił dotychczasowy tok postępowania wskazując, co następuje: W dniu [...] kwietnia 2010 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga R. G. na przetwarzanie jego danych osobowych przez Stowarzyszenie [...] z siedzibą w W. w sposób polegający na udostępnieniu na stronie internetowej Stowarzyszenia [...], dotyczących go danych osobowych w zakresie imienia, nazwiska oraz stanowiska służbowego. Skarżący wniósł o podjęcie przez GIODO działań zmierzających do uniemożliwienia administratorowi danych dalszego naruszania przepisów ustawy o ochronie danych osobowych oraz usunięcie danych osobowych z bazy danych administratora. W postępowaniu wyjaśniającym Generalny Inspektor ustalił, iż: 1. skarżący jest pracownikiem [...] Spółka z o.o. z siedzibą w W., gdzie jest [...], 2. na stronie internetowej Stowarzyszenia [...] zamieszczone zostało imię, nazwisko oraz stanowisko służbowe skarżącego, 3. Stowarzyszenie w wyjaśnieniach złożonych przed Generalnym Inspektorem wyjaśniło, że "Stowarzyszenie [...] umieściło na swojej stronie internetowej – [...] opis sposobu zagospodarowania wypowiedzianej umowy leasingowej przez [...] Spółka z o.o. W materiale R. G. został wymieniony (podano imię, nazwisko i stanowisko służbowe)", 4. Stowarzyszenie, uzasadniając fakt umieszczenia przedmiotowych danych na ww. stronie internetowej, wskazało na treść § 6 i § 7 Statutu Stowarzyszenia. W tym stanie faktycznym Generalny Inspektor wydał w dniu [...] sierpnia 2010 r. decyzję administracyjną nr [...], którą odmówił uwzględnienia wniosku R. G. w sprawie jego skargi na przetwarzanie jego danych osobowych przez ww. Stowarzyszenie. Powyższa decyzja stała się przedmiotem wniosku skarżącego o ponowne rozpatrzenie sprawy, w którym wniósł o uchylenie zaskarżonej decyzji, pomoc w usunięciu skutków naruszenia bezprawnie przetwarzanych danych osobowych skarżącego przez Stowarzyszenie [...] oraz usunięcie ze strony internetowej Stowarzyszenia danych skarżącego oraz załączników z opublikowaną decyzją wydaną przez Generalnego Inspektora w jego sprawie. Skarżący zarzucił naruszenie art. 23 ust. 1 pkt 5 u.o.d.o. poprzez dokonanie błędnej interpretacji ww. przepisu i zastosowanie "luzu decyzyjnego", co pozwoliło organowi na usprawiedliwienie celu przetwarzania jego danych przez Stowarzyszenie. Zwrócił uwagę na konieczność ponownego przeanalizowania sprawy i zbadanie zasadności oraz celu przetwarzania jego danych osobowych na stronie internetowej Stowarzyszenia, które - jak wskazał - zintensyfikowało szykany wobec jego osoby. Podniósł, iż Stowarzyszenie opublikowało na własnej stronie internetowej w formie załączników decyzję Generalnego Inspektora z dnia [...] sierpnia 2010 r. Umożliwia to w kontekście zamieszczonych treści, identyfikację osoby skarżącego, co w świetle ustawy o ochronie danych osobowych należy uznać na niedopuszczalne. Po ponownym rozpatrzeniu zgromadzonego w sprawie materiału dowodowego Generalny Inspektor nie znalazł podstaw do zmiany zaskarżonej decyzji. Wskazał, iż Stowarzyszenie przetwarza dane osobowe R. G. na swojej stronie internetowej – [...] w zakresie imienia, nazwiska oraz stanowiska służbowego i uznał, że przetwarzanie to znajduje usprawiedliwienie w przesłance legalizującej - art. 23 ust. 1 pkt 5 u.o.d.o., albowiem jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych, a przetwarzanie to nie narusza praw i wolności osoby, której dane dotyczą. Organ wyjaśnił, że w rozpatrywanej sprawie "usprawiedliwiony cel" zaistniał, albowiem zgodnie z § 7 Statutu, Stowarzyszenie jest uprawnione do prezentowania sposobów prowadzenia działalności przez leasingodawców. Wyjaśnił też, że R. G. jest pracownikiem firmy [...] – [...] Spółka z o.o. z siedzibą w W., a zatem przetwarzanie jego danych osobowych w zakresie imienia, nazwiska i stanowiska służbowego przez Stowarzyszenie nie wymagało zgody R. G. w kontekście "usprawiedliwionego celu", o którym mowa w art. 23 ust. 1 pkt 5 u.o.d.o., nadto nie naruszało jego praw i wolności. Organ podkreślił, że przedmiotowe udostępnienie nastąpiło w kontekście opisania sposobu prowadzenia przez [...] Spółkę z o.o. działalności gospodarczej, w imieniu której R. G. - jako pracownik - występował. Zdaniem Generalnego Inspektora nie można było zatem uznać, że doszło do naruszenia prawa R. G. do ochrony życia prywatnego, rodzinnego, czy też prawa do decydowania o życiu osobistym, albowiem przetwarzane dane dotyczyły wyłącznie sfery zawodowej. Powyższa decyzja stała się przedmiotem skargi R. G., reprezentowanego przez profesjonalnego pełnomocnika, do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżący wniósł o uchylenie zaskarżonej decyzji w całości oraz o zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych, zarzucając naruszenie: 1. art. 7, art. 77 § 1 oraz art. 136 K.p.a., poprzez niepodjęcie wszystkich działań niezbędnych do wyjaśnienia stanu faktycznego sprawy oraz dokonanie ustaleń faktycznych w sprawie niemających odzwierciedlenia w materiale dowodowym zgromadzonym w toku postępowania (pominięcie w opisie stanu faktycznego istotnych dla rozstrzygnięcia sprawy okoliczności), 2. art. 27 ust. 1 u.o.d.o., poprzez jego niezastosowanie, 3. błędną i dowolną interpretację przepisu art. 23 ust. 1 pkt 5 u.o.d.o., sprowadzającą się do przyjęcia, iż w przedmiotowej sprawie daje on podstawę do przetwarzania danych osobowych skarżącego, polegającego na ich umieszczeniu na stronie internetowej przez Stowarzyszenie [...]. W motywach skargi skarżący wskazał, iż po wydaniu przez Generalnego Inspektora decyzji z dnia [...] sierpnia 2010 r. Stowarzyszenie zwiększyło zakres przetwarzania jego danych osobowych, albowiem upubliczniło na swojej stronie internetowej treść ww. decyzji wraz z uzasadnieniem. Okoliczność ta powinna zostać wzięta pod uwagę przez organ rozpoznający sprawę ponownie, albowiem organ odwoławczy posiada uprawnienia reformatoryjne. Nadto skarżący wskazał, iż zastosowanie w sprawie winien znaleźć art. 27 ust. 1 u.o.d.o., dotyczący danych wrażliwych, nawet pomimo tego, że Stowarzyszenie zanonimizowało jego dane dotyczące miejsca zamieszkania. Podniósł również, że przedmiotowa decyzja obarczona jest istotną wadą, polegającą na uznaniu, że w przedmiotowej sprawie istnieją przesłanki legalizujące z art. 23 ust. 1 pkt 5 u.o.d.o. Opublikowanie przez Stowarzyszenie jego danych osobowych na stronie internetowej wykraczało poza cele statutowe Stowarzyszenia, a publikacja danych osobowych jest inną formą ich przetwarzania niż gromadzenie, czy przechowywanie. W odpowiedzi na skargę Generalny Inspektor wniósł o jej oddalenie, podtrzymując stanowisko zawarte w uzasadnieniu zaskarżonej decyzji. Wyrokiem z dnia 17 października 2011 r., sygn. akt II SA/Wa 314/11 Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę R. G. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2010 r. nr [...]. W uzasadnieniu Sąd wskazał, iż u.o.d.o., co wynika z art. 3 ust. 1 pkt 2 i innych, znajduje zastosowanie w rozpatrywanej sprawie, albowiem osoba prawna, jaką jest Stowarzyszenie, przetwarzała dane osobowe skarżącego dla realizacji celów statutowych. Sąd stwierdził, że dane osobowe skarżącego w zakresie nazwiska, imienia i stanowiska służbowego były przetwarzane przez Stowarzyszenie [...] na stronie internetowej Stowarzyszenia wyłącznie w kontekście zawodowo-służbowym i w zakresie, na jaki skarżący wyraził zgodę, decydując się na pracę w [...] Sp. z o.o. na określonym stanowisku służbowym. Sąd zauważył, iż podejmując pracę w [...] Sp. z o.o. skarżący wyraził zgodę, by jego dane w zakresie imienia, nazwiska i stanowiska służbowego były przetwarzane przez pracodawcę oraz w tym kontekście (pracowniczym) - powszechnie dostępne. Jeżeli takiej zgody skarżący nie wyraził, oznacza to, że to jego pracodawca – [...] Sp. z o.o., a nie Stowarzyszenie, przetwarza jego dane osobowe bez podstawy prawnej. Przy braku zgody skarżącego na przetwarzanie jego danych osobowych przez pracodawcę, R. G. powinien kierować żądania zaniechania ich przetwarzania w stosunku do pracodawcy, a nie do Stowarzyszenia. W niniejszej sprawie Stowarzyszenie pozyskało dane osobowe R. G. z oficjalnej strony jego pracodawcy – [...] Sp. z o.o. Przetwarzanie danych, publicznie już przetwarzanych, nie jest prawnie zakazane. Dalej Sąd wskazał, iż zakres przedmiotowej sprawy został wyznaczony i ograniczony pierwotnym żądaniem R. G. Ponownie rozpoznając sprawę (po wniesieniu wniosku o ponowne rozpoznanie sprawy) Generalny Inspektor związany był tożsamością postępowania, dlatego twierdzenie skarżącego, iż na etapie ponownego rozpatrzenia sprawy organ winien rozszerzyć zakres dotychczasowego postępowania, nie zasługuje na uwzględnienie. Sąd zauważył, iż dopiero na rozprawie w dniu 17 października 2011 r. pełnomocnik skarżącego wyjaśnił, że na stronie internetowej Stowarzyszenia ukazała się decyzja Generalnego Inspektora z dnia [...] sierpnia 2010 r. wraz z uzasadnieniem. Mając powyższe na względzie Sąd podzielił stanowisko organu, iż Stowarzyszenie [...] w oparciu o Statut Stowarzyszenia (§ 7 Statutu) posiadało przesłankę legalizującą, określoną w art. 23 ust. 1 pkt 5 u.o.d.o., do przetwarzania powszechnie internetowo dostępnych już danych osobowych skarżącego, takich jak imię, nazwisko i stanowisko służbowe. Statut Stowarzyszenia (§ 6 i § 7) przewiduje szeroki katalog celów i sposobów działania Stowarzyszenia, określa jakimi sposobami i w jakiej formie Stowarzyszenie może realizować swoją działalność gospodarczą. W zakresie statutowym mieści się informowanie na własnej stronie internetowej o formach, sposobach i praktykach prowadzenia działalności gospodarczej przez Spółkę [...] - vide § 7 pkt 5, 6, 10 Statutu. W konkluzji Sąd uznał, iż przetwarzanie przez Stowarzyszenie, a wcześniej przez pracodawcę R. G. jego danych osobowych, niewątpliwie zakwalifikować należy, jako przetwarzanie danych dotyczących wyłącznie życia zawodowego. W żaden sposób nie można uznać, że dane te należą do katalogu danych wrażliwych, sensytywnych, o których mowa w art. 27 u.o.d.o. Tym samym nie zasługiwał na uwzględnienie zarzut naruszenia art. 47 Konstytucji RP, dotyczącego ochrony prywatności. Od powyższego wyroku R. G. wniósł skargę kasacyjną do Naczelnego Sądu Administracyjnego zaskarżając wyrok w całości, wnosząc o uchylenie zaskarżonego orzeczenia i rozpoznanie skargi oraz zasądzenie od Generalnego Inspektora Ochrony Danych Osobowych kosztów postępowania, w tym zwrotu kosztów zastępstwa procesowego. Zaskarżonemu wyrokowi zarzucono naruszenie prawa materialnego, tj. art. 23 u.o.d.o., poprzez jego niewłaściwe zastosowanie oparte na uznaniu, że przetwarzanie danych osobowych skarżącego przez Stowarzyszenie [...] jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez ww. podmiot. W uzasadnieniu skargi kasacyjnej podniesiono, iż kwestią sporną w sprawie niniejszej pozostaje możliwość dalszego wykorzystania (przez Stowarzyszenie) danych osobowych skarżącego, upublicznionych na stronie internetowej pracodawcy skarżącego - Spółki [...], w szczególności poprzez ich umieszczenie na ogólnodostępnej stronie internetowej w określonym kontekście i opatrzonych komentarzem. Wobec istniejących regulacji prawnych przetwarzanie danych osobowych (co obejmuje ich udostępnianie) jest dozwolone w ściśle określonych sytuacjach. W niniejszej sprawie Wojewódzki Sąd Administracyjny w Warszawie wskazał na wypełnienie jednej z przesłanek legalizujących możliwość przetwarzania danych osobowych, wymienionych w art. 23 ust. 1 pkt 5 u.o.d.o., które winny wystąpić łącznie. Nie jest to jednak wystarczające, gdyż jak zauważył Naczelny Sąd Administracyjny w wyroku z dnia 6 czerwca 2005 r. (sygn. akt I OPS 2/05) "ustalenie, że administrator danych osobowych realizuje cel prawnie usprawiedliwiony nie może przesądzać o dopuszczalności przetwarzania danych osobowych (udostępniania tych danych innemu podmiotowi) bez zgody osoby, której dane dotyczą. Konieczne jest dokonanie oceny, czy jest to niezbędne dla realizacji tego celu, a co najważniejsze, dokonanie wyważenia interesów administratora danych i osoby, której dane dotyczą, z uwzględnieniem celu ustawy o ochronie danych osobowych, którym jest ochrona prywatności w rozumieniu art. 47 Konstytucji RP". W tym kontekście, jak wskazał skarżący kasacyjnie, należy przyjrzeć się wszystkim przesłankom określonym w ww. przepisie. Cele działania Stowarzyszenia [...] oraz sposoby i formy ich realizacji określa Statut (przepisy § 6 oraz § 7 pkt 5, 6, 10 Statutu). Każdy z celów wskazanych w ww. przepisach może być realizowany z pominięciem publicznego ujawniania danych osobowych pracowników firm leasingowych. Jednocześnie żaden z ww. przepisów nie wymaga wskazywania i wykorzystywania danych osobowych osób, niebędących członkami Stowarzyszenia. Żaden z ww. przepisów nie umożliwia zamieszczania na stronie internetowej Stowarzyszenia danych identyfikujących konkretną osobę. Oznacza to brak wypełnienia przesłanki niezbędności w realizacji prawnie usprawiedliwionego celu przetwarzania danych osobowych przez administratora danych, tj. Stowarzyszenie. Dalej skarżący kasacyjnie wskazał, iż kolejną przesłanką uprawniającą do przetwarzania danych osobowych, bez zgody osoby, której te dane dotyczą, jest fakt, że przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Każdorazowej oceny w tym zakresie należy dokonywać przez pryzmat art. 47 Konstytucji, który gwarantuje prawo do prywatności, poprzez kontrolę nie tylko rodzaju ujawnionych danych, ale przede wszystkim poprzez kontrolę sposobu ujawniania tych danych, w tym również pełnego znaczenia tekstu, w którym dane zostały przetworzone. W odpowiedzi na skargę kasacyjną Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie. Wyrokiem z dnia 20 lutego 2013 r., sygn. akt I OSK 258/12 Naczelny Sąd Administracyjny uchylił zaskarżony wyrok i przekazał sprawę Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania oraz zasądził zwrot kosztów postępowania kasacyjnego. Sąd II instancji uznał za uzasadniony zarzut skargi kasacyjnej dotyczący naruszenia przepisu prawa materialnego, tj. art. 23 ust. 1 pkt 5 u.o.d.o. Wskazał, iż żaden z celów Stowarzyszenia [...], określonych w przepisach § 6 oraz § 7 pkt 5, 6, 10 Statutu Stowarzyszenia, a uznanych przez Sąd za uprawnione w świetle art. 23 ust. 1 pkt 5 u.o.d.o., nie usprawiedliwiał udostępnienia danych osobowych R. G. na stronie internetowej Stowarzyszenia. W ocenie Sądu kasacyjnego, Sąd I instancji błędnie przyjął, że zgoda R. G. na przetwarzanie jego danych osobowych przez Spółkę [...] Spółka z o.o. upoważniała do przetwarzania jego danych osobowych również przez Stowarzyszenie [...]. Przetwarzanie danych osobowych R. G. przez pracodawcę służyło niewątpliwie innym celom niż udostępnianie ich przez Stowarzyszenie na swej stronie internetowej, zatem tej ostatniej czynności nie można uznać za odpowiadającą prawu, gdyż nie została spełniona przesłanka niezbędności i celowości przy przetwarzaniu danych osobowych. Naczelny Sąd Administracyjny wskazał, iż uznając skargę za usprawiedliwioną nie mógł skorzystać z art. 188 p.p.s.a. z uwagi na istniejące naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy. Podkreślił, iż rozpoznając ponownie sprawę Sąd I instancji winien zwrócić uwagę, że przepis art. 127 § 3 k.p.a. odsyła do odpowiedniego stosowania przepisów dotyczących odwołania. Rozpatrując wniosek o ponowne rozpatrzenie sprawy, w którym skarżący, oprócz zarzutów dotyczących decyzji z dnia [...] sierpnia 2010 r., zarzucił Stowarzyszeniu udostępnienie na stronie internetowej decyzji Generalnego Inspektora z dnia [...] sierpnia 2010 r. - organ tę okoliczność pominął. Stanowi to naruszenie prawa, bowiem przy ponownym rozpatrzeniu sprawy organ nie ocenia legalności swego poprzedniego rozstrzygnięcia, lecz rozpoznaje sprawę na nowo w jej całokształcie. W analizowanym przypadku, gdy przedmiotem postępowania administracyjnego było naruszenie przepisów przy przetwarzaniu danych osobowych R. G., a po wydaniu decyzji przez Generalnego Inspektora Stowarzyszenie upubliczniło na swej stronie internetowej treść rozstrzygnięcia wraz z danymi osobowymi wymienionego, co podnosił skarżący już we wniosku o ponowne rozpatrzenie sprawy, to nie można uznać, iż stanowiło to rozszerzenie zakresu sprawy, uniemożliwiające organowi rozpoznanie także tego zarzutu, mieszczącego się w tej samej podstawie materialnoprawnej. Odniesienie się do faktu przedstawionego we wniosku, jeśli organ nie wyłączył tej sprawy do odrębnego postępowania, wymagało natomiast uchylenia pierwotnej decyzji i ponownego rozpoznanie sprawy. Obecny na rozprawie przed Wojewódzkim Sądem Administracyjnym w Warszawie pełnomocnik skarżącego wniósł o uchylenie zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2010 r. oraz poprzedzającej ją decyzji z dnia [...] sierpnia 2010 r. oraz o zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych. Rozpoznając ponownie sprawę Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Uprawnienia wojewódzkich sądów administracyjnych, określone przepisami m.in. art. 1 § 1 i § 2 ustawy z 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.) oraz art. 3 § 1 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2012 r., poz. 270 ze zm.), dalej powoływanej jako: "P.p.s.a.", sprowadzają się do kontroli działalności administracji publicznej pod względem zgodności z prawem, tj. kontroli zgodności zaskarżonego aktu z przepisami prawa procesowego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Stosownie do treści art. 190 P.p.s.a. sąd, któremu sprawa została przekazana, związany jest wykładnią prawa dokonaną w tej sprawie przez Naczelny Sąd Administracyjny. Nie można oprzeć skargi kasacyjnej od orzeczenia wydanego po ponownym rozpoznaniu sprawy na podstawach sprzecznych z wykładnią prawa ustaloną w tej sprawie przez Naczelny Sąd Administracyjny. Rozpoznając ponownie niniejszą sprawę, Wojewódzki Sąd Administracyjny w Warszawie związany jest zatem wykładnią prawa zawartą w wyroku Naczelnego Sądu Administracyjnego z dnia 20 lutego 2013 r., sygn. akt I OSK 258/12. Oceniana w świetle powyższych kryteriów skarga na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2010 r. zasługuje na uwzględnienie. Podstawę materialnoprawną zaskarżonej decyzji oraz decyzji ją poprzedzającej z dnia [...] sierpnia 2010 r. stanowił przepis art. 23 ust. 1 pkt 5 u.o.d.o., zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Wskazany przepis ustanawia tzw. klauzulę usprawiedliwiającą. W świetle ustaleń poczynionych przez Generalnego Inspektora nie budzi wątpliwości, że Stowarzyszenie [...] jest administratorem danych zarówno w rozumieniu art. 7 pkt 4 w zw. z art. 3, jak i art. 23 ust. 1 pkt 5 u.o.d.o. i przetwarzało dane osobowe R. G., uzyskane w związku z wiążącą to Stowarzyszenie umową z [...] Spółka z o.o. z siedzibą w W., której pracownikiem jest R. G. Przepis art. 23 ust. 1 pkt 5 u.o.d.o. na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne do wykonania zadań. Warunek niezbędności zachodzi wówczas, gdy rezygnacja z przetwarzania danych osobowych uniemożliwia lub w znacznym stopniu utrudnia wykonanie zadań. Niedopuszczalne jest więc przetwarzanie danych osobowych (tj. zbieranie lub udostępnianie) "na zapas" i w zakresie szerszym, niż jest to usprawiedliwione celami realizowanymi przez administratora danych. Próbę zdefiniowania przesłanki prawnie usprawiedliwionych celów realizowanych przez administratora danych ustawodawca podjął w art. 23 ust. 4 u.o.d.o. W myśl tego przepisu za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Powyższe wyliczenie ma charakter przykładowy, zatem ustalając tę przesłankę należy sięgnąć do indywidualnych aktów prawnych określających rodzaj działalności gospodarczej prowadzonej przez administratora danych i w tym kontekście ocenić, czy realizowane cele uprawniają do przetwarzania danych osobowych oraz ustalić ich zakres z uwagi na ustawowy zakaz naruszania praw i wolności osoby, której dane dotyczą. W niniejszej sprawie przesłanki legalizującej w kontekście "prawnie usprawiedliwionych celów" organ orzekający dopatrzył się w przepisach § 6 i § 7 Statutu Stowarzyszenia. Przepis § 6 wymienia jako cele działania Stowarzyszenia: (1) ochronę leasingobiorców, ich praw i majątku w sytuacjach kryzysowych, (2) stwarzanie warunków do bezpiecznego rozwoju małych i średnich przedsiębiorstw, (3) stworzenie członkom stowarzyszenia warunków do zdobywania wiedzy i nabywania doświadczenia w sprawach zawodowych, (4) pomoc w rozwiązywaniu problemów zawodowych i prawnych członkom Stowarzyszenia będącym w potrzebie, (5) wspieranie działań na rzecz uczciwej działalności gospodarczej, (7) wspieranie Zrzeszenia Studentów Polskich. Natomiast zgodnie z § 7 Statutu, Stowarzyszenie realizuje swoje cele poprzez: (1) współpracę z organizacjami społecznymi, organizacjami przedsiębiorców, środowiskami naukowymi, (2) promowanie członków Stowarzyszenia i wspieranie ich w sporach z przedsiębiorstwami leasingowymi, (3) inspirowanie i koordynację inicjatyw związanych z prowadzeniem profilaktyki zapobiegającej zawieraniu niekorzystnych umów, (4) prowadzenie mediacji w sytuacjach konfliktowych, (5) inspirowanie inicjatyw legislacyjnych, związanych z ochroną leasingobiorcy i tworzeniem procedur zabezpieczających interesy leasingobiorców, (6) prezentowanie sytuacji patologicznych w środkach masowego przekazu, (7) organizowanie konferencji i sympozjów, (8) organizowanie spotkań ludzi podejmujących inwestycje, (9) inspirowanie i prowadzenie działalności wydawniczo-badawczej, (10) tworzenie form wymiany myśli, poglądów i doświadczeń na sprawy gospodarcze. W ocenie Sądu, żaden z przedstawionych wyżej celów, wymienionych w § 6 oraz w § 7 Statutu, a uznanych przez organ za uprawnione w świetle art. 23 ust. 1 pkt 5 u.o.d.o., nie usprawiedliwiał udostępnienia na stronie internetowej Stowarzyszenia danych osobowych R. G., będącego pracownikiem podmiotu gospodarczego, z którym Stowarzyszenie związane było umową. Zaznaczenia wymaga, że osoba, której dane udostępniono na stronie internetowej Stowarzyszenia, nie była uprawniona do reprezentowania Spółki [...]. Dodać należy, że jeżeli nawet w wyniku zawartej umowy Stowarzyszenie uzyskało dane osobowe niektórych pracowników Spółki, to nie mogło tych danych - bez ich zgody - udostępniać innym podmiotom, co także w rozumieniu art. 7 pkt 2 u.o.d.o. dotyczy udostępnienia danych w systemach informatycznych. Podkreślenia wymaga, że zgoda R. G. na przetwarzanie jego danych osobowych przez [...] Spółkę z o.o. nie upoważniała do przetwarzania jego danych osobowych również przez Stowarzyszenie [...]. Taka interpretacja naruszałaby obowiązującą przy przetwarzaniu danych osobowych zasadę celowości, o której mowa m.in. w przepisach art. 26 ust. 1 pkt 2 i 5 u.o.d.o. W myśl tej zasady, przetwarzanie i wykorzystanie danych powinno następować tylko w tym celu, dla którego dane te zostały pozyskane (zgromadzone). Nie mogą być więc wykorzystane dla innych celów, a tym bardziej udostępnione innym podmiotom. Przetwarzanie danych osobowych R. G. przez pracodawcę służyło niewątpliwie innym celom, niż udostępnianie ich przez Stowarzyszenie na swej stronie internetowej, zatem tej ostatniej czynności nie można uznać za odpowiadającą prawu, gdyż nie została spełniona przesłanka niezbędności i celowości przy przetwarzaniu danych osobowych. Uznając za prawidłowe przetwarzanie danych osobowych R. G. przez Stowarzyszenie, organ nie podjął się dokonania wnikliwej oceny, czy przetwarzanie danych osobowych wymienionego, pozyskanych od jego pracodawcy, nie naruszało praw i wolności osoby skarżącego zwłaszcza w kontekście pełnego znaczenia tekstu opublikowanego na stronie internetowej Stowarzyszenia, w którym dane zostały udostępnione. Dokonanie takiej oceny jest niezbędne przy przyjęciu przesłanki legalizującej z art. 23 ust. 1 pkt 5 u.o.d.o. Mając na względzie, iż w sprawie doszło do naruszenia wskazanych powyżej przepisów prawa materialnego, Sąd uznał za zasadne uchylenie obu wydanych w sprawie decyzji, kierując się dyspozycją art. 135 P.p.s.a. Zgodnie z powołanym przepisem, sąd stosuje przewidziane ustawą środki w celu usunięcia naruszenia prawa w stosunku do wszystkich aktów lub czynności wydanych lub podjętych we wszystkich postępowaniach prowadzonych w granicach sprawy, której dotyczy skarga, jeżeli jest to niezbędne dla końcowego jej załatwienia. Rozpatrując sprawę ponownie Generalny Inspektor uwzględni powyższą ocenę prawną. Orzekając w sprawie organ weźmie również pod uwagę podnoszoną przez skarżącego w toku postępowania administracyjnego kwestię udostępnienia na stronie internetowej Stowarzyszenia - wyeliminowanej z obrotu prawnego - decyzji Generalnego Inspektora z dnia [...] sierpnia 2010 r. Zważy, iż zarzut dotyczący upublicznienia treści ww. rozstrzygnięcia wraz z danymi osobowymi skarżącego, nie wykracza poza zakres przedmiotowy sprawy zainicjowanej wnioskiem z dnia [...] kwietnia 2010 r. i mieści się w tej samej podstawie materialnoprawnej. Mając na względzie wszystko powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. a i art. 135 w związku z art. 190 P.p.s.a., orzekł jak w pkt 1 sentencji wyroku. O wykonalności zaskarżonej decyzji orzeczono na podstawie art. 152 P.p.s.a. - jak w pkt 2 sentencji. O kosztach postępowania orzeczono na podstawie art. 200 i art. 205 § 2 p.p.s.a - jak w pkt 3 sentencji wyroku.