II SA/Wa 828/10

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Anna Mierzejewska (spr.) Sędziowie WSA Stanisław Marek Pietras WSA Andrzej Kołodziej Protokolant Dorota Kwiatkowska po rozpoznaniu na rozprawie w dniu 26 sierpnia 2010 r. sprawy ze skargi I. G. - Komornika Sądowego przy Sądzie [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2010 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Generalny Inspektor Ochrony Danych Osobowych, decyzją nr [...] z dnia [...] stycznia 2010 r., na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.), art. 12 pkt 2, art. 18 ust. 1 pkt 1, art. 22 w związku z art. 31 ust. 1 i ust. 2, art. 36 ust. 1 i ust. 2 i art. 38 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) oraz § 7 ust. 1 pkt 3 i § 7 ust. 3 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024) oraz częścią A pkt II ust. 2 lit. a, lit. b załącznika do ww. rozporządzenia po przeprowadzeniu postępowania administracyjnego w sprawie przetwarzania danych osobowych przez I. G., Komornika Sądowego przy Sądzie Rejonowym [...], Kancelaria Komornicza w W. przy ulicy [...]: 1. nakazał I. G., Komornikowi Sądowemu przy Sądzie Rejonowym [...], Kancelaria Komornicza w W. przy ul. [...], przywrócenie stanu zgodnego z prawem w procesie przetwarzania danych osobowych przez: a. zapewnienie, aby system informatyczny o nazwie "[...]" (system informatyczny służący do przetwarzania danych dłużników i wierzycieli), dla każdej osoby, której dane są przetwarzane w tym systemie informatycznym, odnotowywał źródło danych w przypadku zbierania danych nie od osoby, której one dotyczą – w terminie jednego miesiąca od dnia, w którym niniejsza decyzja stanie się ostateczna, b. zapewnienie, aby system informatyczny o nazwie "[...]" dla każdej osoby, której dane są przetwarzane w tym systemie, umożliwiał sporządzenie i wydrukowanie raportu zawierającego w powszechnie zrozumiałej formie informacje o źródle danych w przypadku zbierania danych nie od osoby, której one dotyczą – w terminie 1 miesiąca od dnia, w którym niniejsza decyzja stanie się ostateczna. 2. w pozostałym zakresie postępowanie umorzył. W uzasadnieniu decyzji organ podał, że u komornika skontrolowano systemy informatyczne oraz dokonano oględzin pomieszczeń, w których odbywa się przetwarzanie danych i stwierdzono, że I. G. naruszył przepisy o ochronie danych osobowych, a uchybienia polegały na: 1. niezawarciu w treści umowy zawartej z P. Sp. z o. o. z siedzibą w W. przy ulicy [...], w dniu [...] lipca 2009 r. pełnego celu, jak również zakresu przetwarzania danych osobowych (art. 31 ust. 2 ustawy), 2. niezastosowaniu odpowiednich środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności niezabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną (art. 36 ust. 1 ustawy), gdyż jak ustalono w toku kontroli, w pomieszczeniu sekretariatu (nr 6) na otwartym regale w otwartych pudełkach przechowywane są zwrotne potwierdzenia odbioru, które zawierają w swej treści dane osobowe tj. imię i nazwisko, jak również adres odbiorcy, 3. niezapewnienie, aby w systemie informatycznym o nazwie "[...]" (system informatyczny służący do przetwarzania danych dłużników i wierzycieli) rejestrowany był dla każdego odrębny weryfikator, a dostęp do danych był możliwy wyłącznie po wprowadzeniu identyfikatora i dokonaniu uwierzytelnienia (część A pkt II ust. 2 lit. a i lit. b załącznika do rozporządzenia), 4. niezawarciu w dokumencie stanowiącym instrukcję zarządzania systemem informatycznym informacji dotyczących systemu informatycznego o nazwie "[...]" (par. 5 rozporządzenia), 5. niezapewnieniu przez administratora danych, zgodnie z art. 38 ustawy, kontroli nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone, gdyż wymienione systemy nie zapewniają odnotowania źródła danych w przypadku zbierania danych nie od osoby, której one dotyczą (§ 7 ust. 1 pkt 3 rozporządzenia), nie umożliwiają dla każdej osoby, której dane są przetwarzane w tych systemach, sporządzenia i wydrukowania raportu zawierającego w powszechnie rozumianej formie informacje, o których mowa w § 7 ust. 1 pkt 3 rozporządzenia (§ 7 ust. 3 rozporządzenia). W odpowiedzi na zawiadomienie o wszczęciu postępowania administracyjnego komornik wyjaśnił, że: 1. umowa z dnia [...] lipca 2009 r. zawarta z P. Sp. z o. o. została rozwiązana, a w dniu [...] października 2009 r. zawarł umowę z E. Sp. z o. o. na prowadzenie przez ww. księgowości oraz obsługi kadrowo-płacowej. W umowie określono, że zebrane dane osobowe przetwarzane będą tylko w zakresie prowadzenia księgowości i obsługi kadrowo-płacowej, 2. zwrotne potwierdzenia odbioru zostały umieszczone w zamykanym pomieszczeniu, do którego dostęp mają tylko osoby upoważnione, 3. program o nazwie "[...]" został usunięty, 4. system informatyczny o nazwie "[...]" został przekazany komornikowi do stosowania przez firmę "C." Sp. z o. o. i dlatego uwagi, co do jego funkcjonalności zostaną przekazane do tego podmiotu. Dalej organ podał, że po zapoznaniu się z wyjaśnieniami komornika, wskazać należy, że zgodnie z art. 38 ustawy, administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane. Natomiast, zgodnie z § 7 ust. 1 pkt 3 rozporządzenia, dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym – z wyjątkiem systemów służących do przetwarzania danych osobowych ograniczonych wyłącznie do edycji tekstu w celu udostępnienia go na piśmie – system ten zapewnia odnotowanie źródła danych w przypadku zbierania danych nie od osoby, której dane dotyczą. Ponadto zgodnie z § 7 ust. 3 rozporządzenia, dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym system zapewnia sporządzenie i wydrukowanie raportu zawierającego w powszechnie rozumianej formie informacje, o których mowa w ust. 1. W toku kontroli ustalono również, że dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym o nazwie "[...]" system ten nie zapewnia odnotowania źródła danych w przypadku zbierania danych nie od osoby, której one dotyczą, a także dla każdej osoby, której dane osobowe są przetwarzane w ww. systemie informatycznym, system ten nie zapewnia sporządzenia i wydrukowania raportu zawierającego w powszechnie rozumianej formie informacji o źródle danych, w przypadku zbierania danych nie od osoby, której one dotyczą. Dalej organ podkreślił, że administrator danych jest obowiązany zadbać o to, aby proces przetwarzania danych był zgodny z powołanymi przepisami prawa i aby systemy informatyczne służące do przetwarzania danych osobowych posiadały wymagane funkcjonalności. Jeżeli administrator danych zobowiązany jest korzystać z systemów informatycznych dostarczonych przez inny podmiot, powinien wystąpić do tego podmiotu o zapewnienie, aby dostarczone systemy odpowiadały wymogom określonym w przepisach o ochronie danych osobowych. Z wyjaśnienia wynika, że komornik zamierza wystąpić do dostawcy systemu informatycznego. Podkreślił, że sam zamiar jest zdarzeniem przyszłym i niepewnym, a tym samym nie stanowi podstawy do uznania, że został przywrócony stan zgodny z prawem odnośnie systemu informatycznego o nazwie "[...]" - w zakresie, o którym mowa wyżej. Z wyjaśnień komornika wynika również, że pozostałe uchybienia zostały usunięte i dlatego w tym zakresie, na podstawie art. 105 § 1 kpa, umorzył postępowanie. I. G. złożył wniosek o ponowne rozpatrzenie sprawy, w którym wskazał, że decyzja została wydana z naruszeniem prawa, ponieważ z jego strony nie nastąpiło naruszenie prawa w procesie przetwarzania danych osobowych. Podkreślił, że zasady prowadzenia akt komorniczych oraz urządzeń ewidencyjnych prowadzonych przez komorników sądowych regulowane są wyłącznie przez przepisy ustawy z dnia 29 sierpnia 1997 r. o komornikach sądowych i egzekucji (Dz. U. z 2006 r. Nr 167, poz. 1191 ze zm.) oraz przepisy rozporządzenia Ministra Sprawiedliwości z dnia 20 grudnia 2005 r. w sprawie określenia szczegółowych przepisów o biurowości i ewidencji operacji finansowych kancelarii komorniczych (Dz. U. Nr 266, poz. 2242). Wskazał, że brak jest podstaw do uznania przepisów rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024) jako lex specialis w stosunku do przepisów wyżej powołanych, rozporządzenie służy jedynie wykonaniu ustawy. Wyłączne rygory dotyczące zbierania danych osobowych stanowią art. 24 ust. 2 i art. 25 ust. 2 ustawy o ochronie danych osobowych. Wskazał ponadto, że kodeks postępowania cywilnego szczegółowo przewiduje sytuacje usprawiedliwiające zbieranie określonych informacji o dłużniku i wskazuje sposób podejmowania czynności w tym zakresie. Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] z dnia [...] marca 2010 r., na podstawie art. 138 § 1 pkt 1 kpa oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1, art. 22 w związku z art. 38 ustawy o ochronie danych osobowych oraz § 7 ust. 1 pkt 3 i § 7 ust. 3 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, po przeprowadzeniu postępowania administracyjnego w sprawie wniosku ww. o ponowne rozpatrzenie sprawy, utrzymał w mocy zaskarżoną decyzję. Poza argumentami zawartymi w zaskarżonej decyzji podkreślił, że komornik jest funkcjonariuszem publicznym upoważnionym do prowadzenia egzekucji sądowej w sprawach cywilnych i zgodnie z art. 16 ust. 1 ustawy o komornikach sądowych jest obowiązany postępować zgodnie z przepisami prawa. Wszelkie działania władzy publicznej powinny być oparte na wyłącznej normie kompetencyjnej. Jeżeli brak jest normy uprawniającej komornika do wyłączenia go spod działania innych przepisów prawa – jest on bezwzględnie zobowiązany do ich stosowania. Zakres podmiotowy ustawy o ochronie danych osobowych został szczegółowo określony w art. 3. Zgodnie z treścią art. 3 ust. 1 i ust. 2, ustawę stosuje się do organów państwowych, organów samorządu terytorialnego, do państwowych i komunalnych jednostek organizacyjnych oraz jednostek organizacyjnych niebędących osobami prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych – które mają siedzibę albo miejsce zamieszkania na terytorium Rzeczpospolitej Polskiej. Jednocześnie żaden z przepisów ustawy o ochronie danych osobowych nie zwalnia komornika, jako administratora danych, z obowiązku jej stosowania. Przepisy o ochronie danych osobowych należą do przepisów powszechnie obowiązujących. Wyłączenie stosowania tych przepisów może nastąpić jedynie wówczas, gdy przepisy odrębnych ustaw, które odnoszą się do przetwarzania danych, przewidują ochronę dalej idącą, niż wynika to z przepisów ustawy o ochronie danych osobowych (art. 5 ustawy). Nie ulega wątpliwości, że system informatyczny wykorzystywany przez komorników do przetwarzania danych osobowych stron i uczestników postępowań egzekucyjnych musi być wyposażony w mechanizmy uwierzytelniania użytkowników, ochronę antywirusową oraz zapewniać odnotowania informacji o dacie pierwszego wprowadzenia danych osobowych do systemu i identyfikatorze użytkownika wprowadzającego dane osobowe do systemu, czyli dane muszą być zabezpieczone przed udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Używany przez komornika system "[...]" nie spełnia wymogów określonych w § 7 ust. 1 pkt 3 i § 7 ust. 3 rozporządzenia. Z § 7 ust. 3 rozporządzenia wynika wymóg sporządzenia i wydrukowania z informacjami w § 7 ust. 1 ww. rozporządzenia dla każdej osoby, której dane są przetwarzane w systemie, a nie raportu zawierającego wszystkie dane przechowywane w pamięci systemu. Powyższy wymóg jest niezależny od obowiązku wynikającego z art. 25 ust. 1 ustawy o ochronie danych osobowych. Powyższa decyzja stała się przedmiotem skargi I. G. wniesionej do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której wniósł o uchylenie zaskarżonej decyzji, zarzucając naruszenie przepisów prawa materialnego. W uzasadnieniu skargi podniósł, że: - wskazany w § 7 ust. 1 pkt 3 rozporządzenia wymóg, by dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym – system ten zapewniał odnotowanie źródła danych, w przypadku zbierania danych nie od osoby, której dane dotyczą, jak również zawarty w § 7 ust. 3 rozporządzenia wymóg, by dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym, system zapewniał sporządzenie i wydrukowanie raportu zawierającego w powszechnie zrozumiałej formie informacje, o których mowa w ust. 1, zdaniem skarżącego pozostają w ścisłym związku z przepisem art. 25 ust. 2 pkt 5 ustawy o ochronie danych osobowych, zgodnie z którym komornik jako organ państwowy, o którym mowa w art. 3 ust. 1 ustawy o ochronie danych osobowych, przetwarza dane na podstawie przepisów prawa i dlatego w przypadku zbierania danych osobowych nie od osoby, której one dotyczą nie ma obowiązku jej informować o źródle danych (art. 25 ust. 1 pkt 3 ustawy o ochronie danych osobowych). - nie zgadza się, że system informatyczny "[...]" musi spełniać wymogi wynikające z § 7 ust. 1 pkt 3 rozporządzenia oraz wymogi wynikające z § 7 ust. 3 rozporządzenia, ponieważ zasady prowadzenia akt komorniczych oraz urządzeń ewidencyjnych prowadzonych przez komorników sądowych regulowane są wyłącznie przez przepisy ustawy z dnia 29 sierpnia 1997 r. o komornikach sądowych i egzekucji oraz rozporządzenia Ministra Sprawiedliwości z dnia 20 grudnia 2005 r. w sprawie określenia szczegółowych przepisów o biurowości i ewidencji operacji finansowych kancelarii komorniczych (Dz. U. z 2006 r. Nr 167, poz. 1191 ze zm.), - przepisy ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego, przepisy rozporządzenia Ministra Sprawiedliwości z dnia 20 grudnia 2005 r. w sprawie określenia szczegółowych przepisów o biurowości i ewidencji operacji finansowych kancelarii komorniczych (Dz. U. Nr 266, poz. 2242) mają charakter przepisów lex specialis w stosunku do przepisów ustawy o ochronie danych osobowych oraz w stosunku do rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, gdyż zdaniem skarżącego, przepisy Kodeksu postępowania cywilnego oraz rozporządzenia Ministra Sprawiedliwości z dnia 20 grudnia 2005 r. w sprawie określenia szczegółowych przepisów o biurowości i ewidencji operacji finansowych kancelarii komorniczych (Dz. U. Nr 266, poz. 2242) regulują ochronę danych osobowych w sposób odmienny i zapewniają dalej idącą ochronę niż przepisy ustawy o ochronie danych osobowych. W odpowiedzi na skargę organ wniósł o jej oddalenie, powołując argumenty jak w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Stosownie do treści art. 13 § 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), do rozpoznawania sprawy właściwy jest wojewódzki sąd administracyjny, na którego obszarze właściwości ma siedzibę organ administracji publicznej, którego działalność została zaskarżona. Natomiast, zgodnie z treścią art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. –Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości przez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Skarga analizowana pod tym kątem nie zasługuje na uwzględnienie. Na wstępie należy przypomnieć, że w art. 1 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), zwanej dalej ustawą o.d.o., została zawarta podstawowa zasada, że "każdy ma prawo do ochrony dotyczących go danych osobowych". Natomiast art. 3 ustawy określa zakres podmiotowy jej stosowania i z § 1 wynika, że ustawę stosuje się do organów państwowych, organów samorządu terytorialnego oraz do państwowych i komunalnych jednostek organizacyjnych. Z powyższego zapisu wynika, że stosuje się ją również do komorników sądowych. Wyłączenie dla stosowania niniejszej ustawy wynika z treści art. 5 ustawy "jeżeli przepisy odrębnych ustaw, które odnoszą się przetwarzania danych, przewidują dalej idącą ich ochronę, niż wynika to z niniejszej ustawy, stosuje się przepisy tych ustaw". Działanie komornika jako funkcjonariusza państwowego regulują: 1. ustawa z dnia 29 sierpnia 1997 r. o komornikach sądowych i egzekucji (Dz. U. z 2006 r. Nr 167, poz. 1191 ze zm.), 2. ustawa z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. Nr 43 , poz. 296 ze zm.), 3. rozporządzenie Ministra Sprawiedliwości z dnia 20 grudnia 2005 r. w sprawie określenia szczegółowych przepisów o biurowości i ewidencji operacji finansowych kancelarii komorniczych (Dz. U. Nr 266, poz. 2242). W ocenie Sądu wymienione wyżej przepisy nie regulują kwestii środków technicznych i organizacyjnych, jakie komornik ma podjąć w celu zabezpieczenia danych osobowych, gromadzonych w toku postępowania egzekucyjnego. Dokonując oceny relacji występującej między przepisami Kodeksu postępowania cywilnego, dotyczącymi zbierania i innych form przetwarzania danych osobowych a ustawą o ochronie danych osobowych, wskazać należy, że ustawa o.d.o. nie zawiera postanowień, które by stawiały komornika sądowego poza zakresem jej działania. Ograniczenie jej stosowania w odniesieniu do działania komornika związanego ze zbieraniem, przechowywaniem i udostępnianiem danych osobowych mogą być wyprowadzone, co podkreślono już wyżej, tylko z art. 5 u.o.d.o., jeżeli można wykazać, iż przepisy innych ustaw dotyczące działań komorników gwarantują dalej idącą ochronę takich danych, niż ustawa u.o.d.o. Regulacja zawarta w art. 761 § 1 kpc i w art. 2 ust. 5 ustawy o komornikach kształtuje uprawnienia komornika sądowego w sytuacji, w której udzielenie informacji nie zostało uregulowane w przepisach szczególnych. W stosunku do szeregu informacji i danych ustawodawca zdecydował się przyjąć odrębne zasady dysponowania nimi. Wiele z nich np. reguluje udostępnianie danych będących w posiadaniu organów administracji publicznej. Poddanie ich regulacji szczególnej decyduje o wyłączeniu stosowania wobec nich art. 761 § 1 kpc i art. 2 ust. 5 ustawy o komornikach. Jako przykład przepisów regulujących w sposób odrębny udostępnianie danych pozostających w posiadaniu organów administracji publicznej wskazać można ustawę z dnia 22 stycznia 1999 r. o ochronie informacji niejawnych (Dz. U. z 2005 r. Nr 196, poz. 1631 ze zm.) i ustawę z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. Nr 112, poz. 1198 ze zm.). Przepisy te stanowią lex specialis w stosunku do art. 761 kpc i art. 2 ust. 5 ustawy o komornikach. Natomiast zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. jedną z przesłanek legalności przetwarzania danych osobowych (a zatem również udzielania informacji zawierających dane osobowe) jest zezwolenie udzielone przez art. 761 § 1 kpc. W razie odmowy udzielenia informacji dopuszczalna jest skarga do Generalnego Inspektora Ochrony Danych Osobowych (art. 12 pkt 2 u.o.d.o.). Z art. 37a ust. 1 ustawy o komornikach sądowych i egzekucji wynika jedynie obowiązek utworzenia akt dla każdej sprawy z zakresu wskazanego w art. 2 ust. 1 ww. ustawy, zaś z § 4 ust. 1 i § 5 rozporządzenia Ministra Sprawiedliwości w sprawie określenia szczegółowych przepisów o biurowości i ewidencji operacji finansowych kancelarii komorniczych, wynikają obowiązki dotyczące prowadzenia urządzeń ewidencyjnych przy użyciu systemu informatycznego w zakresie zapewnienia wydruku danych i sporządzenia kopii zbiorów. Przepisy te nie regulują obowiązku wyposażenia systemu w mechanizmy uwierzytelnienia użytkowników, ochrony antywirusowej oraz zapewnienia odnotowania informacji o dacie pierwszego wprowadzenia danych osobowych do systemu i identyfikatorze użytkownika wprowadzającego dane osobowe do systemu, a w konsekwencji zabezpieczenia danych przed udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieupoważnioną oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. W toku postępowania administracyjnego organ ustalił, że system informatyczny "[...]" spełnia wymagania wynikające z przepisów rozporządzenia Ministra Spraw Wewnętrznych i Administracji w sprawie przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, z wyjątkiem wymogów określonych w § 7 ust. 1 pkt 3 i § 7 ust. 3 rozporządzenia. Podstawą dla wydania ww. rozporządzenia jest art. 39a ustawy u.o.d.o. Rozporządzanie zatem służy realizacji ustawy, której przepisy mają zastosowanie do komorników sądowych. Należy zgodzić się z organem, że nie ma sprzeczności postanowień rozporządzenia Ministra Spraw Wewnętrznych i Administracji w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych z przepisami kodeksu postępowania cywilnego oraz ustawy o komornikach sądowych i egzekucji oraz rozporządzenia Ministra Sprawiedliwości w sprawie określenia szczegółowych przepisów o biurowości i ewidencji operacji finansowych kancelarii komorniczych. Wyżej wymienione przepisy nie regulują kwestii środków technicznych i organizacyjnych, które powinny być zastosowane w celu ochrony danych osobowych. W tym właśnie zakresie komornicy są zobowiązani stosować wymogi wynikające z przepisów o ochronie danych osobowych. Nie można zgodzić się ze stanowiskiem komornika, że regulacja zawarta w § 7 ust. 3 rozporządzenia Ministra Spraw Wewnętrznych i Administracji w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych jest bezprzedmiotowa z uwagi na treść § 5 rozporządzenia Ministra Sprawiedliwości w sprawie określenia szczegółowych przepisów o biurowości i ewidencji operacji finansowych kancelarii komorniczych, z którego wynika wymóg, aby system informatyczny obsługujący urządzenia ewidencyjne zapewniał wydruk wszystkich zapisów przechowywanych w pamięci trwałej systemu. Z przepisu § 7 ust. 3 rozporządzenia Ministra Spraw Wewnętrznych i Administracji wynika bowiem wymóg sporządzenia i wydrukowania raportu z informacjami wymienionymi w § 7 ust. 1 ww. rozporządzenia dla każdej osoby, której dane są przetwarzane w systemie, a nie raportu zawierającego wszystkie dane przechowywane w pamięci systemu. W toku czynności kontrolnych ustalono, że dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym o nazwie "[...]" system ten nie zapewnia odnotowywania źródła danych w przypadku zbierania danych nie od osoby, której one dotyczą. Ponadto ustalono również, że dla każdej osoby, której dane osobowe są przetwarzane w ww. systemie informatycznym, system ten nie zapewnia sporządzania i wydrukowania raportu zawierającego w powszechnie zrozumiałej formie informacji o źródle danych w przypadku zbierania danych nie od osoby, której one dotyczą. Na marginesie można wspomnieć, że na etapie kontroli i protokołu pokontrolnego okoliczności te przez komornika nie były kwestionowane. I. G. poinformował, iż system informatyczny o nazwie "[...]" został mu przekazany do stosowania przez "C." Sp. z o. o. z siedzibą w S. i dlatego wskazane uwagi przekaże do tego podmiotu. Wobec tego, że komornik zasygnalizował zamiar podjęcia działań w celu usunięcia uchybień, co jest zdarzeniem przyszłym i niepewnym, a tym samym nie może stanowić podstawy do uznania, że zostanie przywrócony stan zgodny z prawem odnośnie systemu informatycznego organ wydał zaskarżoną decyzję. Na poparcie swoich argumentów I. G. powoływał się również na stanowisko wyrażone przez Ministerstwo Sprawiedliwości w piśmie z dnia 31 grudnia 2009 r. skierowanym do Prezesa Krajowej Rady Komorniczej. Sąd rozpoznający sprawę niniejszą nie podziela zawartego w piśmie stanowiska i nie zgadza się z przedstawionymi w nim argumentami, co znalazło wyraz w niniejszym uzasadnieniu. Nie można również zgodzić się z poglądem prezentowanym przez komornika sądowego, że za wyłączeniem stosowania ustawy o ochronie danych osobowych przemawia też poddanie komorników nadzorowi judykacyjnemu sądu, kontroli prezesów sądów rejonowych oraz nadzorowi zwierzchniemu Ministra Sprawiedliwości. Nadzór, o jakim mówi komornik, dotyczy kontroli nad przestrzeganiem prawa materialnego i procesowego, natomiast nie dotyczy kontroli przestrzegania przepisów o ochronie danych osobowych. W tym zakresie komornik podlega przepisom ustawy o ochronie danych osobowych. Zgodnie z art. 38 u.o.d.o., administrator danych jest obowiązany zapewnić kontrolę nad tym jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są one przekazywane. Wobec stwierdzenia naruszenia § 7 ust. 1 pkt 3 i § 7 ust. 3 cytowanego rozporządzenia Ministra Spraw Wewnętrznych i Administracji, decyzja nakazująca przywrócenie stanu zgodnego z prawem i zabezpieczająca przed takimi naruszeniami w przyszłości, w ocenie Sądu jest decyzją prawidłową. Z uwagi na powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w sentencji.