Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Anna Mierzejewska (spr.), Sędzia WSA Iwona Dąbrowska, Sędzia WSA Bronisław Szydło, Protokolant Marek Kozłowski, po rozpoznaniu na rozprawie w dniu 23 czerwca 2009 r. sprawy ze skargi M. M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2006 r. nr [...] w przedmiocie ochrony danych osobowych 1. oddala skargę 2. przyznaje na rzecz adwokata W. J. D. kwotę 240 (dwieście czterdzieści złotych) powiększoną o należny podatek od towarów i usług w kwocie 52,80 – tytułem nieopłaconej pomocy prawnej udzielonej z urzędu

Pismem z dnia 6 stycznia 2005 r. pełnomocnik M. M., jego żona E. M., powiadomiła Starostę Powiatu G. o naruszeniu przez Gminę G., ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), poprzez brak udzielenia informacji o okolicznościach przetwarzania danych osobowych M. M. dotyczących stanu jego zdrowia [...], a także poprzez bezprawne ujawnienie tych danych. Pismo to zostało następnie przekazane do Generalnego Inspektora Ochrony Danych Osobowych (GIODO). Z akt postępowania administracyjnego wynika ponadto, że pismem z dnia 22 września 2004 r., M. M. zwrócił się do Burmistrza Miasta i Gminy G. z zawiadomieniem o naruszeniu prawa dotyczącego ochrony danych osobowych przez Zarząd Koła P. w G. oraz dwie imiennie wskazane osoby. Zarząd i te osoby ujawniły, jak wynika z powyższego pisma, opinię biegłego [...] o stanie zdrowia [...] skarżącego, przy czym skarżący nie wskazał źródła, z którego opinią tą dysponowali.

Pismem z dnia 11 kwietnia 2005 r. burmistrz G., poinformował GIODO, że akta sprawy cywilnej o sygn. [...], w których zawarta jest opinia o stanie zdrowia [...] skarżącego, a która to opinia została sporządzona na potrzeby tej sprawy z powództwa skarżącego przeciwko Gminie, od 2002 r. znajduje się w archiwum zakładowym urzędu gminy. Sprawa [...] została zakończona w 1998 r., a żaden z pracowników urzędu gminy nie miał upoważnienia burmistrza do wypożyczenia lub przeglądania tych akt. Burmistrz wskazał ponadto, że o wszystkich tych okolicznościach skarżący został poinformowany stosownym pismem. Burmistrz ocenił ponadto, że dane skarżącego nie są przetwarzane w Urzędzie Miasta i Gminy G., gdyż nie znajdują się one, jak stanowi art. 2 ust. 2 ustawy o ochronie danych osobowych ("ustawa"), w kartotekach, skorowidzach, księgach, wykazach czy w innych zbiorach ewidencyjnych albo w systemie informatycznym.

Oceniając, że archiwum zakładowe urzędu jest zbiorem danych osobowych, a ich administratorem jest Burmistrz, pismem z dnia 29 kwietnia 2005 r. GIODO wystąpił do Burmistrza o wyjaśnienie, czy skarżący występował o udzielenie mu informacji z art. 33 ustawy, a jeśli tak, jakiej informacji mu udzielono. GIODO zwróciło się też do skarżącego pismem z dnia 29 kwietnia 2005 r., o przesłanie kopii wystąpień do Gminy o udzielenie tych informacji. W odpowiedzi burmistrz ponownie wyraził stanowisko, że dane skarżącego nie są przetwarzane w urzędzie gminy, a także, iż skarżący nie występował o udzielenie mu informacji, o których mowa w art. 32 i 33 ustawy. W aktach sprawy znajdują się ponadto pisma skarżącego z dnia 21 marca 2005 r. oraz 13 maja 2005 r., w których zażądał on od Gminy udzielenia informacji określonych w art. 32 i 33 ustawy. Żądanie przekazania informacji określonych w art. 32 i 33 ustawy skarżący zawarł w piśmie do GIODO z dnia 6 września 2005 r. W piśmie tym zawarł też ocenę, że opinia [...] z dnia [...] kwietnia 1999 r. była niezabezpieczona, a ponadto, iż opinia ta nie została, wbrew prawu, usunięta przez Gminę.

Decyzją z dnia [...] października 2005 r., GIODO odmówił uwzględnienia wniosku skarżącego. Za administratora danych skarżącego zawartych w opinii organ uznał Burmistrza Gminy. Organ uznał też, że skarżący nigdy nie złożył wniosku o udzielenie informacji, o których mowa w art. 33 ustawy. Pisma skarżącego zgromadzone w sprawie zawierają jedynie zarzuty niedopełnienia obowiązku informacyjnego, a nie wniosek o udzielenie informacji. Ponadto Burmistrz udzielił skarżącemu takiej informacji pismem z dnia 14 grudnia 2004 r. Organ ocenił ponadto, że opinia była należycie zabezpieczona, co wynika z wyjaśnień Burmistrza, a skarżący nie przedstawił żadnego dowodu, iż P. pozyskał ją z urzędu gminy. GIODO wskazał też na swoją wiedzę nabytą "z urzędu", iż opinia ta była przez skarżącego przedstawiona jako dowód w innej sprawie z powództwa skarżącego przeciwko P. Związek ten mógł więc uzyskać tę opinię z akt innej sprawy cywilnej. Odnośnie zaś zarzutu nieusunięcia opinii z archiwum urzędu organ wskazał, że podstawą przetwarzania tych danych jest ustawa z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2006 r. Nr 97, poz. 673 ze zm.) i bezpodstawne byłoby żądanie jej usunięcia, a ponadto skarżący nigdy nie zażądał jej usunięcia.

We wniosku o ponowne rozpatrzenie sprawy skarżący ponowił stanowisko, że jego dane osobowe są przetwarzane przez Gminę jako administratora danych. Wniósł też o przesłuchanie w charakterze świadków m.in. Burmistrza Gminy, przewodniczącego Rady Gminy, radcy prawnego Gminy, jednego z urzędników oraz radnego Gminy, na okoliczność przechowywania tej opinii przez Gminę, a także Generalnego Inspektora Ochrony Danych Osobowych i jego zastępcę. Wskazał, że nigdy nie twierdził, iż Gmina udostępniła przedmiotową opinię P., lecz jedynie zażądał, aby Gmina wyjaśniła, czy udostępniła te dane osobom nieuprawnionym. Ocenił, że ta opinia nie była i nie jest należycie zabezpieczona. Wskazał na swoje pisma kierowane do Gminy, w których żądał udostępnienia mu informacji o okolicznościach przetwarzania jego danych. Ocenił też, że opinia [...] nie powinna być już przechowywana przez Gminę, gdyż skończył się okres jej przydatności dla sprawy sądowej [...]. Ocenił, że informacja zawarta w tej opinii nie odpowiada definicji materiałów archiwalnych zawartej w art. 1 ustawy o narodowym zasobie archiwalnym i archiwach.

Postanowieniem z dnia [...] listopada 2005 r. GIODO odmówił przeprowadzenia zawnioskowanych przez stronę wyżej wymienionych dowodów. W kolejnym piśmie z dnia 9 grudnia 2005 r., jak i 5 stycznia 2006 r., skarżący ponownie wniósł m.in. o zawiadomienie przez GIODO Prokuratury o popełnieniu przestępstwa przez Burmistrza.

Decyzją z dnia [...] lutego 2006 r. GIODO utrzymał w mocy swoją decyzję z dnia [...] października 2005 r. Organ powtórzył, że skarżący nie zwracał się do Burmistrza o udzielenie żadnych informacji, ale niezależnie od tego Burmistrz takich informacji udzielił pismem z dnia 14 grudnia 2004 r. Przetwarzanie danych zawartych w opinii [...] jest uzasadnione – takie uprawnienie wynika z ustawy o narodowym zasobie archiwalnym w zw. z art. 23 ust. 1 pkt 2 ustawy (konieczność realizacji uprawnienia lub obowiązku wynikającego z przepisu prawa). Odnośnie zarzutu braku powiadomienia Prokuratury o przestępstwie organ wskazał, że takie ewentualne powiadomienie nie odbywa się w drodze decyzji administracyjnej. Organ ocenił też, że odmowa przeprowadzenia dowodów zawnioskowanych przez stronę była zasadna, gdyż dowody te nie zmierzały do ustalenia żadnych nowych okoliczności. Organ ustalił bowiem, że Burmistrz jest administratorem danych skarżącego i że skarżący nie występował z wnioskiem o udzielenie informacji, o których mowa w art. 33 ustawy, choć informacje te zostały w końcu udzielone. Organ ustalił też, że dane były właściwie zabezpieczone, więc dowodzenie innej okoliczności byłoby niecelowe.

Powyższa decyzja stała się przedmiotem skargi M. M. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 6 lutego 2008 r. sygn. akt II SA/Wa 830/06, uchylił zaskarżoną decyzję, oraz poprzedzającą ją decyzję z dnia [...] października 2005 r.

W uzasadnieniu wyroku Sąd wskazał, że pomiędzy Burmistrzem Gminy a GIODO doszło do rozbieżności co do rozumienia zakresu stosowania ustawy o ochronie danych osobowych. W kierowanych do organu pismach (z dnia 11 kwietnia 2005 r. i 9 maja 2005 r.) Burmistrz wyjaśniał, że w urzędzie gminy istotnie przechowywana jest opinia lekarska o stanie zdrowia [...] skarżącego, ale nie odbywa się to w formie, o której mowa w art. 2 ust. 2 ustawy (brak zbioru danych lub systemu informatycznego). Z tego względu Burmistrz uznał, że dane osobowe skarżącego zawarte w opinii [...] nie są przetwarzane w Urzędzie Gminy i Miasta w G. w formie, jaka warunkuje zastosowanie ustawy. Generalny Inspektor Ochrony Danych Osobowych uznał natomiast, że archiwizowanie tej dokumentacji w archiwum zakładowym odpowiada definicji przetwarzania danych w zbiorze, dlatego przystąpił do oceny legalności przechowywania tych danych przez administratora danych, a ponadto ocenił, czy administrator ten wykonał obowiązek informacyjny określony w art. 32 i 33 ustawy. Wykonanie tego obowiązku można jednak także oceniać tylko po uprzednim przesądzeniu, że w sprawie w ogóle stosuje się przepisy ustawy.

Powyższej rozbieżności co do zakresu stosowania ustawy GIODO nie wyjaśnił skarżącemu. Tymczasem konsekwentnie wskazywał on na pisma Burmistrza, w których przyznano, że opinia [...] istotnie przechowywana jest w urzędzie Gminy, i uznawał, iż Burmistrz temu faktowi zaprzecza. Sąd podkreślił, że Burmistrz nigdy nie kwestionował faktu przechowywania tej opinii w archiwum urzędu, lecz temu przechowywaniu odmawiał cechy przetwarzania danych w zbiorze danych osobowych w rozumieniu ustawy. W konsekwencji wyprowadzał z tego wniosek, że ustawa nie ma zastosowania do przechowywania opinii w archiwum.

Skarżący sformułował pod adresem Burmistrza Gminy G. trzy zarzuty dotyczące wadliwej ochrony jego danych osobowych. Po pierwsze uznał, że dane te nie były i nadal nie są należycie zabezpieczone, co doprowadziło do ich nieuprawnionego pozyskania przez podmioty i osoby nieuprawnione (np. Zarząd Koła P. w G. oraz dwie imiennie wskazane osoby). Po drugie sformułował jeszcze dalej idący zarzut, że opinia o stanie jego zdrowia [...] nie powinna w ogóle być przechowywana w archiwum urzędu Gminy, gdyż nie istnieją ku temu żadne podstawy prawne, w tym nie ma takich podstaw w ustawie o narodowym zasobie archiwalnym i archiwach (taką tezę skarżący wyraźnie postawił w piśmie z 6 września 2005 r. oraz we wniosku o ponowne rozpatrzenie sprawy). Po trzecie uznał on, że administrator danych nie udzielił mu koniecznych informacji o okolicznościach i podstawach przetwarzania danych osobowych. Udzielenie takich informacji nakazuje art. 32 i 33 ustawy. Oceniając zaskarżoną decyzję oraz decyzję ją poprzedzającą, w których odmówiono uwzględnienia wniosku skarżącego o nakazanie administratorowi przywrócenia stanu zgodnego z prawem (art. 12 pkt 2 i 18 ust. 1 ustawy), Sąd uznał, że odmowa ta, w świetle zgromadzonego materiału dowodowego, była co najmniej przedwczesna. Ponadto uzasadnienie wydanych w sprawie decyzji nie odpowiada wymogom art. 107 § 3 K.p.a.

Sąd nie podzielił oceny organu, że skarżący nigdy nie sformułował żądania wydania nakazu usunięcia swoich danych zawartych w opinii [...]. Takie żądanie zostało wyraźnie sformułowane w piśmie skarżącego do GIODO z dnia 6 września 2005 r. (k. 70 akt adm.), ale nawet brak takiego żądania nie zwalnia organu od dokonania z urzędu oceny legalności przechowywania opinii w archiwum zakładowym po zakończeniu postępowania cywilnego. Skarżący zarzucił administratorowi danych w piśmie z dnia 6 września 2005 r., iż "...nie usunął tej opinii...", choć obowiązek jej usunięcia skarżący niewłaściwie wywiódł z art. 32 ust. 3a ustawy, traktującego o zakazie podejmowania wyłącznie automatycznych rozstrzygnięć sprawy podmiotu danych. Skarżący nie był jednak zobowiązany wskazywać podstawy prawnej swojego żądania. Prawidłowa ocena prawna wniosku i jego kwalifikacja należy do obowiązków organu. Żądanie wydania nakazu usunięcia danych skarżący powtórzył we wniosku o ponowne rozpatrzenie sprawy, gdzie ocenił ponadto, iż opinia o jego zdrowiu [...] nie odpowiada definicji materiałów archiwalnych, zamieszczonej w art. 1 ustawy o narodowym zasobie archiwalnym i archiwach.

Nie przesądzając, że opinia istotnie nie odpowiada definicji materiałów archiwalnych, Sąd zwrócił uwagę, iż obowiązkiem organu było przekonujące uzasadnienie swojego stanowiska, że opinia ta stanowi materiał archiwalny. Ponadto, w świetle jednoznacznego stanowiska skarżącego, że opinia o stanie jego zdrowia [...] nie stanowi materiału archiwalnego, organ powinien skarżącemu wyjaśnić, jaka jest relacja art. 1 ustawy o narodowym zasobie archiwalnym i archiwach, a także jej art. 3 nakazującego wieczyście przechowywać materiał archiwalny stanowiący narodowy zasób archiwalny, do jej art. 5 w związku z przepisami rozporządzenia Ministra Kultury z dnia 16 września 2002 r. w sprawie postępowania z dokumentacją, zasad jej klasyfikowania i kwalifikowania oraz zasad i trybu przekazywania materiałów archiwalnych do archiwów państwowych (Dz. U. Nr 167, poz. 1375). Art. 5 tej ustawy i przywołane przepisy wykonawcze przewidują, jaka dokumentacja, wytwarzana m.in. przez jednostki samorządu terytorialnego, przekazywana jest po określonym czasie do właściwych archiwów państwowych, a jaka może ulec brakowaniu. Organ zobowiązany był więc do jednoznacznego ustalenia i wyjaśnienia tego skarżącemu, z podaniem podstawy prawnej, czy istotnie dane o jego stanie zdrowia [...], jako element narodowego zasobu archiwalnego, muszą być przechowywane w archiwum zakładowym Urzędu Gminy w G., a jeśli tak – to czy będą one przechowywane wieczyście, czy też to przechowywanie jest ograniczone czasowo. W tym ostatnim wypadku konieczne byłoby ustalenie, czy okres legalnego przechowywania tych danych już upłynął, a wówczas zupełnie inaczej należałoby ocenić fakt ciągłego przechowywania tej opinii w archiwum urzędu Gminy (opinia została wytworzona w 1997 r., zdeponowana w archiwum – w 1998 r., zaś organ wydał zaskarżoną decyzję w 2006 r.).

W ocenie Sądu brak klarownych, jednoznacznych ustaleń organu w tym względzie doprowadził w konsekwencji do wadliwie sporządzonego uzasadnienia wydanych w sprawie decyzji. Organ ograniczył się jedynie do krótkiej konstatacji, że przedmiotowe dane są przechowywane w celach archiwalnych, do czego Burmistrz jest zobowiązany przepisami ustawy o narodowym zasobie archiwalnym i archiwach, tj. jej art. 15. Takie uzasadnienie nie odpowiada wymogom art. 107 § 3 K.p.a. Organ nie może ponadto oczekiwać, że Sąd zastąpi go w wyjaśnieniu skarżącemu prawnych okoliczności przetwarzania jego danych osobowych (vide wyrok NSA z dnia 11 lipca 2001 r., sygn. IV SA 703/99, LEX 51234).

Po ewentualnym ustaleniu i wyjaśnieniu skarżącemu, że administrator danych jest uprawniony co do zasady do przetwarzania danych skarżącego zawartych w przedmiotowej opinii [...], organ zobowiązany był do ustalenia, czy dane te są należycie zabezpieczone. Jak wynika z akt postępowania administracyjnego – opinia [...] o stanie zdrowia skarżącego została sporządzona w 1997 r. na potrzeby postępowania cywilnego z powództwa skarżącego przeciwko Gminie. Przedmiotowe postępowanie cywilne zostało zakończone w 1998 r. Skarżący konsekwentnie twierdził, że opinia [...] nie była w przeszłości i nadal nie jest zabezpieczona przed dostępem osób nieuprawnionych, wskazywał podmioty i osoby, które – w jego ocenie – nielegalnie pozyskały tę opinię z archiwum urzędu, a wcześniej, przed jej zdeponowaniem w archiwum – z miejsc powszechnie dostępnych w tym urzędzie, niezabezpieczonych przed nieuprawnionym dostępem. W skardze do Sądu zauważył dodatkowo, że administrator danych nie prowadzi dokumentacji, o której mowa w art. 36 ust. 2 ustawy, a poza tym, iż osoby dopuszczone do danych zawartych w archiwum urzędu nie mają upoważnienia, o którym mowa w art. 37 ustawy. W celu oceny zasadności tych zarzutów Generalny Inspektor wystąpił jedynie do Burmistrza z pytaniem m.in., czy dane skarżącego udostępniono osobom nieuprawnionym, a jeśli tak, to czy wobec osób winnych tego udostępnienia wyciągnięto "konsekwencje służbowe" (pismo GIODO do Burmistrza z 30 marca 2005 r.). Burmistrz odpowiedział, że każde udostępnienie akt jest odnotowywane przez archiwistę i wymaga zgody Burmistrza. Żaden z pracowników nie otrzymał od niego takiej zgody (pismo Burmistrza z 11 kwietnia 2005 r.). Burmistrz wyjaśnił ponadto, że dostęp do archiwum mają tylko pracownicy posiadający jego upoważnienie (pismo z 9 maja 2005 r.).

W ocenie Sądu GIODO nie podjął wszystkich możliwych środków dowodowych w celu ustalenia, czy przedmiotowa opinia [...] rzeczywiście była odpowiednio zabezpieczona przed dostępem osób nieuprawnionych. Właściwemu zabezpieczeniu danych służą środki określone w rozdziale 5 ustawy, tj. rozdziale "Zabezpieczenie danych osobowych". Obowiązkiem organu było zweryfikowanie, czy administrator właściwie zabezpieczył dane przed fizycznym, nieuprawnionym dostępem, mając zwłaszcza na uwadze, że w sprawie chodzi o sensytywne dane osobowe dotyczące stanu zdrowia [...], czy został wyznaczony administrator bezpieczeństwa informacji (art. 36 ust. 3), czy istotnie dostęp do tych danych mają wyłącznie osoby posiadające upoważnienie administratora, wymagane przez art. 37 ust. 2 ustawy, na czym polega kontrola przekazywania danych (art. 38 ustawy), czy prowadzona jest ewidencja osób upoważnionych do przetwarzania danych (art. 39), a nadto – czy administrator prowadzi dokumentację opisującą sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę tych danych stosownie do zagrożeń i kategorii danych objętych ochroną (art. 36 ust. 2 ustawy w związku z § 4 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024). Dokumentacja ta, tj. polityka bezpieczeństwa, powinna być przecież prowadzona nie tylko przy zbiorach informatycznych. Ewentualny brak powyższych wymagań prawnych świadczyłby o niewłaściwym zabezpieczeniu danych skarżącego, a z kolei takie ewentualnie niewłaściwe zabezpieczenie stanowić mogło przyczynę pozyskania danych przez osoby nieuprawnione. Organ mógł więc i powinien co najmniej zapytać administratora danych, czy te wymagania spełnia, a także zażądać przesłania odpisu stosownej dokumentacji, upoważnień i ewidencji. W razie dalszych wątpliwości organ mógł zastosować wszystkie inne środki dowodowe określone w Kodeksie postępowania administracyjnego, a także w samej ustawie – włącznie z kontrolą prawidłowości przetwarzania danych dokonaną w siedzibie administratora (art. 14 punkt 1-3 ustawy). Poprzestanie na samym zapytaniu Burmistrza o zgodność procesu przetwarzania danych z prawem i bezkrytyczne uznanie, że twierdząca odpowiedź jest wystarczająca dla ustalenia rzeczywistego stanu faktycznego, nie mogą być uznane za prawidłowe. Poza tym organ w najmniejszym stopniu nie wyjaśnił, dlaczego pisemne stanowisko Burmistrza uznaje za przekonujące, a zarzuty skarżącego traktuje jako nieprzekonujące, i dlaczego stawia wobec niego wymaganie udowodnienia, że Koło P. w G. pozyskało jego dane z Urzędu Gminy w G. (decyzja z dnia [...] października 2005 r.). Sąd podkreślił, że w postępowaniu administracyjnym ciężar ustalenia okoliczności faktycznych spoczywa na organie. Organ nie może przy tym odmawiać przeprowadzenia danego dowodu tylko dlatego, że dotychczasowe jego ustalenia wskazują, iż dana okoliczność jest już udowodniona w sposób przeciwny. Nie przesądzając więc, czy wnioski dowodowe skarżącego złożone w postępowaniu administracyjnym są zasadne (np. wniosek o przesłuchanie Burmistrza i jednego z pracowników urzędu Gminy), Sąd negatywnie ocenił odmowę przeprowadzenia tych dowodów spowodowaną wyłącznie przekonaniem organu, że dane skarżącego są należycie zabezpieczone.

Sąd podkreślił, że jego intencją nie jest stanowcze przesądzenie, iż dane skarżącego były nienależycie zabezpieczone. Wydane w sprawie decyzje są wadliwe dlatego, że organ nie zebrał koniecznego materiału dowodowego do ustalenia rzeczywistego stanu faktycznego, czym naruszył art. 7 i 77 § 1 K.p.a., choć dysponował środkami prawnymi umożliwiającymi zebranie tego materiału. Ponadto nawet ten niepełny materiał dowodowy, który w sprawie zgromadzono, nie został poddany należytej, obiektywnej ocenie. Organ nie wyjaśnił przyczyn, dla których bezkrytycznie dał wiarę pisemnym zapewnieniom administratora danych, że przestrzega przepisów, natomiast pisemnym zarzutom skarżącego takiej wiary odmówił. Jest to tym bardziej niezrozumiałe, że – jak Burmistrz sam przyznaje – akta sprawy cywilnej, zawierające opinię o stanie zdrowia [...] skarżącego, zostały zdeponowane w archiwum zakładowym dopiero w 2002 r., choć sprawa ta została zakończona już w 1998 r. Burmistrz nie podaje przy tym powodów tej zwłoki, a organ o te powody go nie zapytał. Taka ocena pism Burmistrza nie może być uznana za dopuszczalną, swobodną ocenę dowodów (art. 80 K.p.a.), lecz stanowi przykład oceny dowolnej.

Sąd podniósł, że zasadniczą rolą organu ochrony danych osobowych nie jest ustalenie w kategoryczny, wiążący sposób, czy dane osobowe zostały nielegalnie udostępnione przez określonego administratora danych, gdyż taką rolę prawo przewiduje raczej dla organów ścigania karnego. Nielegalne udostępnienie danych, zwłaszcza kwalifikowanych danych o stanie zdrowia, w tym zdrowia [...], stanowi bowiem przestępstwo określone w art. 51 ustawy. Rolą organu ochrony danych jest przede wszystkim podejmowanie działań o charakterze prewencyjnym, w tym wydawanie decyzji administracyjnych w celu przywrócenia stanu zgodnego z prawem (art. 18 ustawy) i w celu zapewnienia, że w przyszłości dane te, m.in. poprzez właściwe zabezpieczenie, będą efektywnie chronione. Dla wydania takiej prawidłowej decyzji restytucyjnej organ powinien ustalić, czy przestrzegane są przepisy o ochronie danych osobowych, gdyż przestrzeganie tych przepisów stanowi jedyną gwarancję rzeczywistego bezpieczeństwa danych. W tym kontekście jako niewłaściwe Sąd ocenił skoncentrowanie się organu na ustaleniu, czy dane skarżącego zostały udostępnione osobom i podmiotom nieupoważnionym. Po pierwsze bowiem kwestia ta stanowi raczej domenę postępowania karnego, po drugie natomiast – pytanie administratora danych o nielegalne udostępnianie danych nie mogło przynieść oczekiwanego skutku, gdyż odnotowywanie udostępniania danych oraz upoważnienie do dostępu do nich dotyczy przetwarzania legalnego. Jeśli dochodzi do nielegalnego udostępnienia danych, to z definicji nie jest ono zazwyczaj odnotowywane w żadnej formie i w żadnym dokumencie, nie może też być ono objęte upoważnieniem administratora. W tej sytuacji jedyną możliwością prawnej reakcji GIODO jest wyegzekwowanie przestrzegania przepisów o ochronie danych, skierowane na przyszłość, w celu prewencyjnym. Ustalenie, że do nielegalnego udostępnienia danych już doszło, skutkuje co najwyżej obowiązkiem GIODO zawiadomienia organów ścigania karnego, chyba, że z okoliczności faktycznych sprawy wynika, iż administrator danych w sposób ciągły, permanentny zamierza te dane nielegalnie udostępniać w przyszłości – czy to dlatego, że błędnie uznaje taką praktykę za legalną, czy też dlatego, że kieruje się jakimiś innymi motywami, mając pełną świadomość bezprawności swojego działania. Tylko w takim wypadku celowe i zasadne byłoby wydanie decyzji administracyjnej zakazującej udostępniania danych w przyszłości (art. 18 ust. 1 pkt 2 in fine ustawy).

Niezasadnie jednak skarżący zarzuca organowi, że nie powiadomił organów Prokuratury o przestępstwie bezprawnego ujawnienia danych osobowych. Abstrahując od oceny, czy do takiego przestępstwa istotnie doszło (nie może w tej kwestii wypowiadać się organ, ani nawet sąd administracyjny), ewentualne zawiadomienie o podejrzeniu popełnienia przestępstwa nie przybiera formy decyzji administracyjnej. Poza tym nic nie stoi na przeszkodzie, aby takiego powiadomienia dokonał sam skarżący.

Odnośnie trzeciej kwestii będącej przedmiotem postępowania organu, tj. wykonania wobec skarżącego obowiązku informacyjnego wynikającego z art. 32 i 33 ustawy, Sąd także nie podzielił oceny Generalnego Inspektora Ochrony Danych Osobowych, że skarżący nie sformułował pod adresem administratora żądania wykonania takiego obowiązku. Z akt sprawy wynika w sposób jednoznaczny, że skarżący zwracał się o udzielenie mu żądanych informacji kilkakrotnie. Przesłał też do organu kopie swoich wystąpień, w których zawarł takie żądanie (np. pismo skarżącego do Burmistrza Gminy z 10 stycznia 2005 r., k. 66 akt administracyjnych, oraz odpowiedź Burmistrza na to pismo wskazująca, że pismo z 10 stycznia 2005 r. dotarło do adresata, k. 48 akt administracyjnych). Skarżący nie tylko więc sformułował żądanie udzielenia mu określonych informacji o przetwarzaniu jego danych osobowych, ale nawet wyraźnie podał prawidłową podstawę prawną swojego żądania. Generalny Inspektor Ochrony Danych Osobowych wadliwie ocenił zatem, że takie żądanie nie padło. Niemniej Sąd podzielił ocenę organu, że Burmistrz Gminy udzielił skarżącemu informacji, o których mowa w art. 33 ust. 1 ustawy. Istotnie – pismo z 14 grudnia 2004 r. zawarte w aktach administracyjnych sprawy, a skierowane do skarżącego, wyjaśnia mu, że przedmiotowa opinia [...] jest zdeponowana w archiwum Gminy, że została ona sporządzona w związku z zainicjowanym przez skarżącego postępowaniem sądowym, że dostęp do niej mają wyłącznie upoważnieni pracownicy urzędu gminy. Udzielenie tych informacji stanowiło prawidłowe wykonanie obowiązku, o którym mowa w art. 33 ust. 1 ustawy. Odrębną kwestią jest natomiast to, czy informacja, że dostęp do tej opinii miały wyłącznie osoby uprawnione, była informacją prawdziwą. O ewentualnym udostępnieniu tych danych osobom i podmiotom nieuprawnionym administrator danych mógł nie wiedzieć, a poza tym obowiązek poinformowania o udostępnianiu danych dotyczy udostępniania legalnego. Nie dotyczy on, jak należy przyjąć, nielegalnego przekazywania danych, gdyż takie przekazywanie w ogóle nie może mieć miejsca. Trudno oczekiwać zatem, aby ustawa nakazywała udzielania informacji o nielegalnym udostępnianiu danych.

W dalszym postępowaniu organ wyczerpująco uzasadni swoje stanowisko co do możliwości archiwizowania danych o stanie zdrowia skarżącego, wyjaśni, jak długo te dane mogą być przechowywane i skąd wynika uprawnienie administratora do czasowego lub wieczystego przetwarzania tych danych, następnie ustali wszystkimi możliwymi środkami, czy dane te są właściwie zabezpieczone i czy administrator zachowuje formalne wymagania ustawy w tym zakresie, po czym ponownie orzeknie co do zasadności żądań skarżącego.

Od powyższego wyroku skargę kasacyjną do Naczelnego Sądu Administracyjnego wniósł Generalny Inspektor Ochrony Danych Osobowych, zaskarżając go w całości. Organ na podstawie art. 174 pkt 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm., zwanej dalej p.p.s.a.), zaskarżonemu wyrokowi zarzucił naruszenie art. 145 § 1 pkt 1 lit. c p.p.s.a., poprzez jego niewłaściwe zastosowanie skutkujące niezasadnym uchyleniem zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2006 r. oraz poprzedzającej ją decyzji z dnia [...] października 2005 r., wobec błędnego przyjęcia, że organ wydając ww. decyzję naruszył art. 7 i 77 § 1 K.p.a., bowiem nie zebrał koniecznego materiału dowodowego do ustalenia rzeczywistego stanu faktycznego sprawy, a nadto art. 107 § 3 K.p.a., nie uzasadniając dostatecznie ww. decyzji.

W uzasadnieniu skargi kasacyjnej organ wskazał, że żądanie skarżącego sprecyzowane pod adresem Generalnego Inspektora Ochrony Danych Osobowych nie budziło żadnych wątpliwości organu. Pełnomocnik skarżącego w piśmie z dnia 6 stycznia 2005 r., które zainicjowało postępowanie zarzucił Burmistrzowi – po pierwsze, brak udzielenia skarżącemu informacji na temat przetwarzanych przez Burmistrza danych osobowych zawartych w opinii [...], a po drugie – ujawnienie danych dotyczących jego zdrowia [...] osobom nieupoważnionym. Podkreślił, że treść żądania wyznacza przedmiot postępowania. Organ administracji publicznej nie jest władny do zmiany kwalifikacji prawnej żądania strony.

Wprawdzie w aktach sprawy znajdują się pisma skarżącego, w których formułowane są również i inne zarzuty pod adresem Burmistrza, niemniej jednak są to pisma skierowane do Burmistrza, a nie do Generalnego Inspektora Ochrony Danych Osobowych. W tej sytuacji zatem zadaniem Generalnego Inspektora było ustalenie po pierwsze, czy skarżący wystąpił do Burmistrza z wnioskiem z art. 33 ustawy, a po wtóre, czy Burmistrz na ww. wniosek odpowiedział. Natomiast, to po stronie Burmistrza leżał obowiązek wyjaśnienia skarżącemu podstaw prawnych aktualnego przetwarzania jego danych zawartych w przedmiotowej opinii, a nie po stronie Generalnego Inspektora.

Organ nie podzielił stanowiska Sądu, że skarżący występował do Burmistrza z przedmiotowym wnioskiem kilkakrotnie, bowiem za taki wniosek może być uznane wyłącznie pismo, w którym zawarte jest żądanie udzielenia informacji, o których mowa w art. 33 i 32 ustawy, zaś pisma skarżącego znajdujące się w aktach sprawy nie spełniają ww. kryterium.

W konkluzji skargi kasacyjnej organ wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania.

Naczelny Sąd Administracyjny, wyrokiem z dnia 26 lutego 2009 r. sygn. akt I OSK 554/08, uchylił zaskarżony wyrok i przekazał sprawę do ponownego rozpoznania.

W uzasadnieniu wyroku Sąd wskazał, że w niniejszej sprawie postępowanie przed Generalnym Inspektorem Ochrony Danych Osobowych zostało zainicjowane na wniosek, o jakim mowa w art. 18 ust. 1 ustawy. W myśl art. 22 ustawy o ochronie danych osobowych postępowanie w sprawach uregulowanych w niniejszej ustawie prowadzi się według przepisów K.p.a., o ile przepisy ustawy nie stanowią inaczej.

Organ administracji publicznej nie jest uprawniony do swobodnego interpretowania żądania strony. O tym jaka jest treść żądania, która wyznacza przedmiot postępowania decyduje strona. Niedopuszczalne jest mieszanie trybów postępowania, tj. traktowanie postępowania wszczętego na wniosek, tak jak postępowania wszczętego z urzędu. W razie wszczęcia postępowania na wniosek, obowiązkiem organu administracji jest dokładne ustalenie treści żądania strony, która wyznacza rodzaj sprawy będącej przedmiotem postępowania. Organ związany jest tym żądaniem.

W rozpoznawanej sprawie wnioskodawca zarzucił administratorowi danych – Burmistrzowi Gminy G. niedopełnienie obowiązku informacyjnego określonego w art. 33 ustawy o ochronie danych osobowych odnośnie danych dotyczących zdrowia [...] M. M. (k. 2, 44, 45, 47, 50, 70 akt administracyjnych) oraz udostępnienie tych danych osobom nieuprawnionym (k. 15, 18, 49, 70).

Przy tak określonym żądaniu strony obowiązkiem Generalnego Inspektora Ochrony Danych Osobowych było wyłącznie ustalenie, czy w zakresie wyznaczonym przez wnioskodawcę doszło do naruszenia przepisów o ochronie danych osobowych.

Wobec stwierdzenia przez Sąd I instancji, iż administrator danych osobowych M. M. w sposób prawidłowy dopełnił obowiązku informacyjnego określonego w art. 33 ustawy, oceniając skargę kasacyjną należało odnieść się do tego, czy organ administracji uczynił wszystko w celu wyjaśnienia kwestii związanej ze sposobem zabezpieczenia danych osobowych M. M. przed ich nieuprawnionym udostępnieniem.

W ocenie Naczelnego Sądu Administracyjnego uzyskana przez Generalnego Inspektora Ochrony Danych Osobowych od administratora danych informacja, że dane osobowe M. M. nie zostały nikomu udostępnione oraz informacja dotycząca sposobu ich zabezpieczenia, pozwalały organowi na ustalenie, że nie doszło do naruszenia przepisów ustawy

Pismo Burmistrza Gminy G. z dnia 11 kwietnia 2005 r., w którym informuje on Generalnego Inspektora Ochrony Danych Osobowych o sposobie zabezpieczenia danych osobowych M. M. i o tym, że dane te nie były nikomu udostępnione (załącznik do ww. pisma k-20 akt administracyjnych) stanowi dowód tego, co zostało w nim urzędowo stwierdzone.

Przeprowadzanie sugerowanych przez Sąd I instancji innych dowodów na potwierdzenie prawdziwości danych zawartych w piśmie nie znajduje prawnego uzasadnienia.

Skoro określona okoliczność została udowodniona w przepisanej formie, to zbędne jest zdaniem Naczelnego Sądu Administracyjnego wyjaśnianie czy został wyznaczony administrator bezpieczeństwa informacji, czy istotnie dostęp do tych danych mają wyłącznie osoby posiadające upoważnienie, o którym mowa w art. 37 ustawy, na czym polega kontrola przekazywania danych (art. 38 ustawy), czy prowadzona jest ewidencja osób upoważnionych do przetwarzania danych (art. 39 ustawy), a nadto czy administrator prowadzi dokumentację opisującą sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę tych danych.

Takie dowody miałyby znaczenie tylko w sytuacji, gdyby potwierdzony został zarzut niewłaściwego zabezpieczenia danych osobowych M. M., wskutek czego doszło do udostępnienia tych danych z naruszeniem przepisów ustawy.

Sytuacja taka nie miała jednak miejsca w rozpoznawanej sprawie, bowiem według uzyskanego dowodu, dane osobowe M. M. dotyczące stanu jego zdrowia [...] nigdy nie zostały udostępnione.

Nie można też podzielić poglądu Sądu I instancji w kwestii obowiązku Generalnego Inspektora Ochrony Danych Osobowych wyjaśnienia w uzasadnieniu zaskarżonej decyzji charakteru opinii o stanie zdrowia [...] M. M. i związanych z tym zasad jej przechowywania, ponieważ nie było to przedmiotem wniosku inicjującego postępowanie w sprawie.

Tym samym Generalny Inspektor Ochrony Danych Osobowych nie musiał wyjaśniać wnioskodawcy jaka jest relacja art. 1 ustawy o narodowym zasobie archiwalnym i archiwach, a także jej art. 3 nakazującego wieczyście przechowywać materiał archiwalny stanowiący narodowy zasób archiwalny, do jej art. 5 w związku z przepisami rozporządzenia Ministra Kultury z 16 września 2002 r. w sprawie postępowania z dokumentacją, zasad jej klasyfikowania i kwalifikowania oraz zasad i trybu przekazywania materiałów archiwalnych do archiwów państwowych (Dz. U. Nr 167, poz. 1375).

Wbrew wywodom Sądu I instancji, Generalny Inspektor Ochrony Danych Osobowych działając w granicach wyznaczonych wnioskiem M. M., zwolniony był od obowiązku ustalania okresu przechowywania danych o stanie zdrowia wnioskodawcy w archiwum zakładowym Urzędu Gminy w G. oraz oceny legalności przechowywania w tym zakresie.

Zdaniem Naczelnego Sądu Administracyjnego, w toku przeprowadzonego postępowania Generalny Inspektor Ochrony Danych Osobowych poczynił dostateczne ustalenia faktyczne pozwalające na prawidłową ocenę procesu przetwarzania danych osobowych wnioskodawcy, którą to ocenę uzasadnił zgodnie z art. 107 § 3 K.p.a.

Ponownie rozpoznając skargę Wojewódzki Sąd Administracyjny w Warszawie zważył co następuje:

Zgodnie z art. 190 p.p.s.a. ,Sąd któremu sprawa została przekazana związany jest wykładnią prawa dokonaną przez Naczelny Sad Administracyjny. W przedmiotowej sprawie Naczelny Sąd Administracyjny wskazał, że administrator danych osobowych M. M. w sposób prawidłowy dopełnił obowiązku informacyjnego określonego w art. 33 ustawy, a ponadto uzyskana przez Generalnego Inspektora Ochrony Danych Osobowych od administratora danych informacja, że dane osobowe M. M. nie zostały nikomu udostępnione, oraz informacja dotycząca sposobu ich zabezpieczania, pozwalały organowi na ustalenie, że doszło do naruszenia przepisów ustawy.

NSA podkreślił, że wobec udowodnienia okoliczności w przepisanej formie, zbędne jest wyjaśnianie czy został wyznaczony administrator bezpieczeństwa informacji oraz czy dostęp do tych informacji mają osoby posiadające upoważnienie o którym mowa w art. 37 ustawy.

W ocenie NSA według uzyskanego dowodu, dane osobowe M. M. dotyczące stanu jego zdrowia [...] nigdy nie zostały udostępnione.

Biorąc pod uwagę treść wniosku inicjującego postępowanie w sprawie niniejszej, GIODO nie musiał wyjaśniać wnioskodawcy, jakla jest relacja art. 1 ustawy o narodowym zasobie archiwalnym i archiwach, a także jej art. 3 nakazującego wieczyście przechowywać materiał archiwalny stanowiący narodowy zasób archiwalny, do jej art. 5 w związku z przepisami rozporządzenia Ministra Kultury z dnia 16 września 2002 r. w sprawie postępowania z dokumentacją, zasad jej kwalifikowania i kwalifikowania oraz zasad i trybu przekazywania materiałów archiwalnych do archiwów państwowych (Dz. U. Nr 167, poz. 1375).

Zdaniem Sądu GIODO, działając w granicach wyznaczonych wnioskiem M. M., zwolniony był od obowiązku ustalania okresu przechowywania danych o stanie zdrowia wnioskodawcy w archiwum zakładowym Urzędu Gminy w G. oraz oceny legalności przechowywania w tym zakresie.

Biorąc po uwagę powyższe wytyczne zawarte przez NSA w uzasadnieniu orzeczenia, stwierdzić należy, że Generalny Inspektor Ochrony Danych Osobowych poczynił dostateczne ustalenia faktyczne, pozwalające na prawidłową ocenę procesu przetwarzania danych osobowych wnioskodawcy, oraz ocenę tę prawidłowo uzasadnił.

Wobec powyższego w ocenie Sądu, skarga nie zasługuje na uwzględnienie ponieważ zaskarżona decyzja nie narusza prawa.

Z uwagi na powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 z późn. zm.), orzekł jak w sentencji.