II SA/Wa 911/12

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędziowie WSA Janusz Walawski (spr.), Andrzej Kołodziej, Protokolant Referent stażysta Małgorzata Ciach, po rozpoznaniu na rozprawie w dniu 16 maja 2013 r. sprawy ze skargi J. F. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 12 pkt 2, art. 22 w zw. z art. 23 ust. 1 pkt 5, art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi J. F. na przetwarzanie jego danych osobowych przez C. Sp. z o.o. z siedzibą w W. oraz E. S.A. z siedzibą w B., w dniu [...] kwietnia 2011 r. wydał decyzję nr [...], którą odmówił uwzględnienia wniosku. W uzasadnieniu decyzji organ podał, że dokonał na podstawie zebranego w sprawie materiału dowodowego oceny legalności przetwarzania danych osobowych J. F., natomiast nie badał kwestii istnienia lub nieistnienia wierzytelności wobec ww., ani słuszności i zakresu dochodzonych wobec niego roszczeń cywilnoprawnych. Takie sprawy, zgodnie z art. 1 ustawy z dnia 17 listopada 1964 r. – Kodeks postępowania cywilnego (Dz. U. Nr 43, poz. 296 z późn. zm.), są sprawami cywilnymi i rozpatrywanymi przez sądy powszechne. Organ działając w granicach ustawowych kompetencji badał, czy u podstaw przetwarzania przez C. danych osobowych J. F. znajduje się jedna z przesłanek legalizujących przetwarzanie danych osobowych określonych w art. 23 ust. 1 powołanej ustawy. Mając na uwadze ten przepis oraz okoliczności sprawy, należy wskazać, iż C. uzyskał dane osobowe ww. w związku z zawarciem umowy nr [...] z dnia [...] grudnia 2008 r. o abonament i jako firma świadcząca na jej podstawie usługę była administratorem danych osobowych J. F.. W związku z powstaniem zadłużenia widniejącego na jego koncie abonenckim i wypowiedzeniem przez niego umowy, przesłanką uzasadniającą przetwarzanie danych osobowych była przesłanka określona w art. 23 ust. 1 pkt 5 przedmiotowej ustawy. Przepis ten jest ściśle skorelowany z ust. 4 tego przepisu, który precyzuje, co należy rozumieć przez pojęcie usprawiedliwionego celu administratora danych bądź odbiorców danych. Zgodnie z pkt 2 tego artykułu, za prawnie usprawiedliwiony cel uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Odnosząc się do kwestii udostępnienia danych osobowych J. F. przez C. Sp. z o.o. firmie windykacyjnej E. S.A., nastąpiło to na podstawie zawartej pomiędzy nimi umowy z dnia [...] stycznia 2010 r. o obsługę wierzytelności. Znajduje to potwierdzenie w art. 31 powoływanej ustawy. Podkreślić należy, iż administrator danych, działając na podstawie art. 23 ustawy, nie musi sam przetwarzać danych osobowych. Udostępnienie danych osobowych ww. przez C. firmie windykacyjnej oraz ich przetwarzanie przez ten podmiot znajduje uzasadnienie w art. 31 ustawy, a zawarta umowa jest zgodna z jego treścią. Zawarcie umowy nie zmieniło faktu, że administratorem danych osobowych J. F. pozostał C. Reasumując, należy stwierdzić, że organ nie stwierdził podstaw do zakwestionowania legalności przetwarzania danych osobowych ww. w niniejszej sprawie. Generalny Inspektor Ochrony Danych Osobowych, na podstawie art. 138 § 1 pkt 1 i 2 Kpa, art.12 pkt 2, art. 22 w zw. z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, po rozpoznaniu wniosku J. F. o ponowne rozpatrzenie sprawy, w dniu [...] marca 2012 r. wydał decyzję nr [...] którą; 1) uchylił decyzję poprzedzająca w zakresie odmowy uwzględnienia wniosku J. F. w przedmiocie przetwarzania jego danych osobowych przez E.S.A. z siedzibą w B. i w tym zakresie umorzył postępowanie; 2) w pozostałym zakresie utrzymał w mocy decyzję poprzedzającą. Organ w uzasadnieniu decyzji powtórzył argumentację przedstawioną w uzasadnieniu decyzji poprzedzającej, jednocześnie wskazał, że J. F. kwestie związane z udostępnieniem jego danych osobowych firmie windykacyjnej P. podniósł dopiero we wniosku o ponowne rozpatrzenie sprawy. Brak jest zatem podstaw do rozpoznania tego zarzutu w ramach niniejszej sprawy. Ponadto organ podał, że okoliczności faktyczne i prawne tej sprawy nakazują zastosowanie art. 138 pkt 2 Kpa, bowiem decyzja poprzedzająca w zakresie skargi J. F. w zakresie przetwarzania jego danych osobowych przez E. stała się bezzasadna, gdyż w dniu wydania niniejszej decyzji powyżej określony podmiot gospodarczy zaprzestał ich przetwarzania. Zdaniem organu okoliczność ta przesądza o braku uzasadnienia dla pozostawienia w obrocie prawnym, w tym przedmiocie, decyzji poprzedzającej i w tym zakresie postępowanie należało umorzyć. Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2012 r. stała się przedmiotem skargi wniesionej przez J. F. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżący we wniesionej skardze wniósł o uchylenie zaskarżonej decyzji i decyzji ją poprzedzającej, "albowiem są polityczne, a nie merytoryczne, a poza tym mają wiele przekłamań i stronniczych sformułowań". Ponadto skarżący wniósł o "przykładne ukaranie [...]", która naruszyła ustawę o ochronie danych osobowych, poprzez udostępnienie jego danych osobowych firmom windykacyjnym, tj. E.S.A. z siedzibą w B. i P. S.A. z siedzibą w P. Skarżący wniósł również o zwolnienie od kosztów sądowych i przyznanie prawa pomocy. W tym miejscu podać należy, że skarżącemu dwukrotnie zostało przyznane prawo pomocy, jednakże z prawa tego nie skorzystał, bowiem w jego ocenie ustanowieni z urzędu pełnomocnicy nie realizowali swoich obowiązków. Odpowiadając na skargę, Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie i podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji. Podać również należy, że skarżący przed rozpoznaniem niniejszej sprawy kierował do Wojewódzkiego Sądu Administracyjnego w Warszawie liczne pisma procesowe, do których załączał wyroki sądów powszechnych, z których wynikało, że nie jest dłużnikiem. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 i art. 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 z późn. zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta sprawowana jest pod względem zgodności z prawem. Oznacza to, iż przedmiotem sprawy jest ocena przez Sąd prawidłowości prowadzonego przez organ administracji publicznej postępowania administracyjnego oraz wydanego w tym postępowaniu rozstrzygnięcia. Skarga nie może zostać uwzględniona, gdyż zaskarżona decyzja jest zgodna z prawem, obowiązującym w dniu jej wydania. Na wstępie należy podkreślić, że przedmiotem niniejszego postępowania jest wyłącznie kontrola decyzji Generalnego Inspektora Ochrony Danych Osobowych w przedmiocie przetwarzania danych osobowych skarżącego przez C. Sp. z o.o. z siedzibą w W. i E. z siedzibą w B. (firma windykacyjna) Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r., Nr 101, poz. 926 z późn. zm.) reguluje zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych. Powołana ustawa w art. 12 określa kompetencje Generalnego Inspektora Ochrony Danych Osobowych. Zgodnie z tym przepisem do zadań Generalnego Inspektora należy w szczególności: 1) kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych, 2) wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych, 3) prowadzenie rejestru zbiorów danych oraz udzielanie informacji o zarejestrowanych zbiorach, 4) opiniowanie projektów ustaw i rozporządzeń dotyczących ochrony danych osobowych, 5) inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych, 6) uczestniczenie w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych. Przytoczony powyżej przepis statuuje główne zadania i kompetencje Generalnego Inspektora Ochrony Danych Osobowych, który pełni zarówno funkcję organu kontrolującego zgodność przetwarzania danych osobowych stosownie z obowiązującymi przepisami, rzecznika interesów poszczególnych osób i interesów publicznych, jak i organu, który w tym zakresie został wyposażony we władcze kompetencje wydawania decyzji administracyjnych i rozpatrywania skarg w sprawach wykonania przepisów o ochronie danych osobowych. Należy podkreślić, że z tego przepisu nie wynikają uprawnienia dla Generalnego Inspektora Ochrony Danych Osobowych do ingerowania w określone ustawowo kompetencje innych organów (sądów), wkraczania w prowadzone - w zakresie ich właściwości - postępowania i dokonywania merytorycznej oceny poszczególnych czynności, wykonywanych w ramach tych postępowań. Generalny Inspektor Ochrony Danych Osobowych nie dokonuje oceny umów cywilnoprawnych, nie bada także zasadności roszczeń, ani wymagalności wierzytelności. Nie może także oceniać prawidłowości wykonywania umów, wprowadzania do nich zmian, nie ma prawa kontrolować podstaw ich wypowiadania, czy rozwiązywania. Dotyczy to wszelkich umów cywilnoprawnych, w tym także umów przelewu wierzytelności. Problematyka ta podlega bowiem kognicji sądów powszechnych, ze względu na ich aspekt cywilnoprawny. Tym samym wszelkie zarzuty związane z prawem cywilnym, zawarte w skardze i pismach procesowych, należy uznać za bezzasadne, nie mające związku z meritum sprawy administracyjnej. Przedmiotem kontroli Generalnego Inspektora Ochrony Danych Osobowych, w świetle art. 12 pkt 1 ustawy o ochronie danych osobowych, jest zgodność przetwarzania danych z przepisami o ochronie danych osobowych. W niniejszej sprawie kontrola ta powinna polegać na zbadaniu, czy w wyniku zawartej umowy o abonament i umowy o przelew wierzytelności nie doszło do naruszenia ustawy o ochronie danych osobowych. Podkreślić należy, że Generalny Inspektor Ochrony Danych Osobowych nie jest uprawniony do badania zgodności umów cywilnoprawnych z przepisami Kodeksu cywilnego. Nie może więc badać, czy umowa jest ważna i prawnie skuteczna, gdyż w tym przypadku organ administracji publicznej, jakim niewątpliwie jest Generalny Inspektor Ochrony Danych Osobowych, wykraczałby poza swoje ustawowo określone kompetencje. Tym bardziej, organ nie mógł się wypowiadać w kwestii istnienia, bądź nieistnienia długu, jak i obowiązku jego zwrotu. Dla Generalnego Inspektora Ochrony Danych Osobowych zawarta umowa powinna być czynnością prawną nie podlegającą jego ocenie, wywołującą skutki prawne do czasu, dopóki nie zostanie zakwestionowana w formie i trybie przewidzianym przez prawo. Generalny Inspektor Ochrony Danych Osobowych miał więc ocenić legalność przetwarzania danych osobowych skarżącego przez określone powyżej podmioty prawa gospodarczego w zaistniałym stanie faktycznym, co też uczynił. Organ prawidłowo ustalił, że doszło do legalnego przetwarzania danych osobowych. Zgodnie z art. 1 ust. 2 ustawy o ochronie danych osobowych, przysługujące każdemu prawo do ochrony dotyczących jego danych osobowych nie ma charakteru absolutnego, bowiem przetwarzanie danych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. Stosownie zaś do art. 7 pkt 2 powołanej ustawy, przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Przesłanki dopuszczalności przetwarzania danych osobowych zostały określone w art. 23 ust. 1 przedmiotowej ustawy. Przetwarzanie danych osobowych jest więc dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę; 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa; 3) jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą; 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego; 5) jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Powyższe przesłanki mają charakter autonomiczny i niezależny. Wystarczy zatem wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych. W związku z zawartymi przez podmioty gospodarcze umowami mogły one legalnie przetwarzać dane skarżącego, w oparciu o przesłankę z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Jak już zostało wspomniane wcześniej, przesłanki z art. 23 ust. 1 przedmiotowej ustawy mają charakter autonomiczny i niezależny. Stanowią przy tym swoistą gradację podstaw legalnego przetwarzania danych osobowych, poczynając od zgody osoby, której dane dotyczą, kończąc zaś na usprawiedliwionych celach administratorów danych lub odbiorców danych. Wystarczy zatem wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. W rozpoznawanej sprawie istota sporu dotyczy tego, czy art. 23 ust. 1 pkt 5 przedmiotowej ustawy pozwalał uczestnikowi postępowania, jako administratorowi danych osobowych, na ich przetwarzanie przez udostępnienie innemu podmiotowi bez zgody skarżącego, jego danych osobowych. Przesłanka, określona w tym przepisie odnosi się bowiem wprost do administratora lub odbiorcy, którzy - aby zrealizować prawnie dopuszczalny cel - zobowiązani są udostępnić dane osobowe, po spełnieniu warunku, że nie dojdzie do naruszenia praw i wolności osoby, której dane dotyczą. Ocena ta, to wyważenie racji i interesów, z jednej strony tej osoby, której dane dotyczą, a z drugiej strony administratora danych, będącego w niniejszej sprawie wierzycielem. Oznacza to, że w przypadku przetwarzania danych osobowych przez administratora, bez zgody osoby, której dane osobowe dotyczą, należy przede wszystkim ustalić i ocenić, czy spełniona jest ustawowa przesłanka do przetwarzania danych osobowych bez zgody osoby, której dane dotyczą, a następnie dokonać oceny spornych interesów. Zdaniem Sądu, organ dokonał takiej oceny. Interpretując przepisy ustawy o ochronie danych osobowych, należy za każdym razem wyważać dobra, które legły u jej podstaw. Prawo do ochrony danych osobowych, jako jeden z elementów prawa do ochrony własnej prywatności, ma swoje źródło w przepisach art. 47, art. 49, art. 50 i art. 51 Konstytucji RP. W praktyce, prawo do ochrony danych osobowych ulega ograniczeniu z uwagi na interes publiczny lub usprawiedliwiony interes innych osób, czyli nie jest to prawo o charakterze absolutnym, jak większość praw chronionych konstytucyjnie. Nie można też tak rozumieć przepisów ustawy, że udostępnienie danych osobowych dłużnika w celu windykacji należności, narusza dobro tej osoby, gdyż byłoby to niczym nieuzasadnione jej uprzywilejowanie. Zawierając umowę cywilnoprawną, należy liczyć się z jej konsekwencjami, a także z tym, że obowiązek wykonania umowy dotyczy jednej i drugiej strony, nawet jeżeli jedna z nich jest konsumentem. Ochrona dóbr jednych nie może się odbywać kosztem naruszania praw innych, co można pośrednio, bądź bezpośrednio wywieść z wielu przepisów Konstytucji RP (art. 2, art. 22, art. 31 ust. 3, art. 32 ust. 1, art. 83) (por. wyrok WSA w Warszawie z dnia 21 września 2005 r. sygn. akt II SA/Wa 1443/09). W takim stanie sprawy nie można podzielić zarzutów, podniesionych w skardze. Z samego bowiem faktu, że decyzja jest niekorzystna dla strony, nie można wyprowadzać wniosku, że doszło do naruszenia przepisów o ochronie danych osobowych. Niezadowolenie skarżącego z wydanej decyzji wyraża jedynie jego subiektywne odczucia, natomiast poddanie decyzji kontroli instancyjnej oraz sądowej umożliwia weryfikację rozstrzygnięcia nie tylko w aspekcie zastosowanych norm prawa materialnego, ale także przepisów proceduralnych, w tym w szczególności zasad procesowych, których naruszenia Sąd nie stwierdził. Zarówno argumentacja skargi, jak i analiza akt sprawy nie ujawniły wad, które mogłyby mieć istotny wpływ na rozstrzygnięcie. Reasumując, przeprowadzona przez Sąd kontrola legalności wydanych w sprawie decyzji wykazuje, że przetwarzanie danych osobowych skarżącego było zgodne z przepisami ustawy o ochronie danych osobowych, zatem wydane w sprawie decyzje należy uznać za prawidłowe. Należy wyjaśnić również skarżącemu, że czym innym jest naruszenie przepisów o ochronie danych osobowych, a czym innym dochodzenie praw w zakresie zobowiązań powstałych w ramach zawartej umowy cywilnoprawnej. Tymi sprawami zajmują się sądy powszechne, o czym skarżący powinien wiedzieć, w związku z załączonymi do niniejszej sprawie orzeczeniami tych sądów. Z uwagi na powyższe, nie mając podstaw do uwzględnienia skargi, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2012 r., poz. 270 z późn. zm.), orzekł, jak w sentencji.