Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk (spr.), Sędziowie WSA Anna Mierzejewska, WSA Ewa Pisula - Dąbrowska, Protokolant Katarzyna Ciacharowska, po rozpoznaniu na rozprawie w dniu 26 sierpnia 2009 r. sprawy ze skargi S. M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] grudnia 2008 r. nr [...] w przedmiocie przetwarzania danych osobowych - oddala skargę -

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] grudnia 2008 r. nr [...] utrzymał w mocy własną decyzję z dnia [...] sierpnia 2008 r. nr [...] odmawiającą uwzględnienia wniosku S. M. w sprawie ze skargi wymienionego na udostępnienie jego danych osobowych przez P. Sp. z o.o. z siedzibą w W. na rzecz U. Sp. z o.o. z siedzibą we W., E.Sp. z o.o. z siedzibą w W. oraz K.z siedzibą w P., a także na przetwarzanie jego danych osobowych przez E.Sp. z o.o.

W uzasadnieniu powyższej decyzji Generalny Inspektor Ochrony Danych Osobowych podniósł, iż S. M. wniósł do Biura Generalnego Inspektora skargę, w której zarzucił P. Sp. z o.o. w W. bezprawne udostępnienie jego danych osobowych na rzecz U. Sp. z o.o. we W., E. Sp. z o.o. w W. oraz K.z siedzibą w P., a także na bezprawne przetwarzanie jego danych osobowych przez E. Sp. z o.o.

W toku prowadzonego w przedmiotowej sprawie postępowania wyjaśniającego Generalny Inspektor Ochrony Danych Osobowych ustalił, że:

1. W dniu [...] lutego 2004 r. S. M. zawarł ze Spółką C. umowę o świadczenie usług telekomunikacyjnych na warunkach promocji "Zmiennicy II" dla numeru [...]. Pismem z dnia [...] lutego 2006 r. skarżący wypowiedział ww. umowę, która została rozwiązana przez wymienioną Spółkę w dniu [...] marca 2006 r. Spółka uznała skarżącego za swojego dłużnika, stwierdzając, że nie uregulował należności z tytułu korzystania z usług telefonicznych.

2. W dniu 17 maja 2006 r. Spółka C. powierzyła dane osobowe skarżącego K. na podstawie zawartej z tym podmiotem w dniu 9 września 2002 r. umowy, której przedmiotem było zlecenie K. kierowania do dłużników Spółki C. w jej imieniu korespondencji wzywającej do zapłaty należności na rzecz Spółki. W § 2 ust. 1 umowy wskazano, że Spółka C. będzie przekazywać K. zestawienia dłużników zawierające: oznaczenie dłużnika poprzez określenie: numeru konta abonenckiego (numer identyfikacyjny dłużnika), imienia i nazwiska lub nazwy (firmy), danych adresowych; wskazanie salda zadłużenia wobec Spółki; numer rachunku bankowego właściwego do spełnienia świadczenia na rzecz Spółki. Na podstawie tej umowy Spółka C. w dniu 17 maja 2006 r. powierzyła dane osobowe skarżącego K., która pismem z dnia 19 maja 2006 r. skierowała do niego wezwanie do zapłaty należności wobec Spółki. Przetwarzanie powierzonych danych ustało w ciągu 60 dni od ich przekazania, zgodnie z § 5 ww. umowy.

3. W dniu 30 maja 2006 r. Spółka C. zawarła na czas nieokreślony dwie umowy o obsługę wierzytelności: z [...] U. Sp. z o.o. (obecnie U. Sp. z o.o.) oraz z E. Sp. z o.o. w przedmiocie prowadzenia przez te podmioty w imieniu i na rzecz Spółki C. windykacji wierzytelności pieniężnych z tytułu usług telekomunikacyjnych świadczonych przez Spółkę abonentom, z wyjątkiem dochodzenia ww. wierzytelności na drodze sądowej, zgodnie z § 1 ust. 1 umowy oraz § 2 pkt 1 załącznika nr 3 do umowy "Zasady przetwarzania powierzonych Zleceniobiorcy danych osobowych". W § 1 ust. 3 umowy wskazano, że w jej wykonaniu Spółka C. będzie przekazywała zleceniobiorcy wykazy wierzytelności pieniężnych zawierające: oznaczenie dłużnika poprzez określenie: numeru konta abonenckiego (numer identyfikacyjny dłużnika), imienia i nazwiska lub nazwy (firmy), danych adresowych, nr pesel w przypadku osób fizycznych oraz nr telefonu; ponadto daty wystawienia, daty płatności i numery faktur za usługi telekomunikacyjne i kwoty nieuregulowanych należności wynikających z ww. faktur; daty wystawienia, daty płatności i numery not obciążeniowych oraz kwoty nieuregulowanych należności wynikających z ww. not; nominalną wartość wierzytelności wraz z odsetkami wyliczonymi na dzień przekazania wykazu wierzytelności (saldo zadłużenia wobec Spółki). Na podstawie § 1 ust. 9 ww. umów Spółka C. udzieliła zleceniobiorcom pełnomocnictw do reprezentowania Spółki oraz do prowadzenia negocjacji z dłużnikami w zakresie zapłaty należności z tytułu świadczenia usług telekomunikacyjnych.

4. Na podstawie wymienionej w pkt. 3 umowy o obsługę wierzytelności Spółka w dniu 6 lipca 2006 r. udostępniła U. Sp. z o.o. dane osobowe skarżącego. W wykonaniu tej umowy U. Sp. z o.o. przesłała do skarżącego wezwania do zapłaty należności wobec Spółki (pisma z dnia 10 i 31 lipca 2006 r. oraz z dnia 31 sierpnia 2006 r.). Umowa ta wygasła z dniem 4 listopada 2006 r. i z tą datą wszystkie dotyczące jej dokumenty będące w posiadaniu U. Sp. z o.o. zostały zwrócone Spółce C., a dane osobowe skarżącego w całości usunięte.

5. W dniu 22 grudnia 2006 r. Spółka C. dokonała przelewu na rzecz E. Sp. z o.o. przysługującej od skarżącego wierzytelności wraz z prawem naliczania odsetek na podstawie art. 509 k.c. O powyższym Spółka C. poinformowała skarżącego pismem z dnia 22 grudnia 2006 r., wskazując ponadto, na jakie konto należy dokonać wpłaty na poczet powyższej wierzytelności. Informacji tych udzieliła skarżącemu także E. Sp. z o.o. pismami z dnia 15 lutego oraz z dnia 5 kwietnia 2007 r., stanowiącymi wezwania do zapłaty zadłużenia z tytułu nieuregulowanych rachunków wobec Spółki C. Kolejne wezwanie przesłano pismem z dnia 13 września 2007 r.

6. W wyjaśnieniach złożonych w sprawie, E. Sp. z o.o. wskazała, że w ramach działań zmierzających do odzyskania wierzytelności kierowano do skarżącego korespondencję listowną na adres wskazany przez niego w umowie zawartej ze Spółką C. oraz podejmowano próby nawiązania kontaktu telefonicznego pod numerami telefonów wskazanymi przez niego wymienionej Spółce. Podkreślono, że w toku ww. działań dane osobowe skarżącego, w tym informacja o jego zobowiązaniach, nie były przekazywane jego pracodawcy, przełożonym ani bliskim.

W oparciu o dokonane ustalenia Generalny Inspektor Ochrony Danych Osobowych w dniu [...] sierpnia 2008 r. wydał, na podstawie art. 104 § 1 k.p.a. oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 4 pkt 2 oraz art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, decyzję odmawiającą uwzględnienia wniosku S. M.

Skarżący wniósł o ponowne rozpatrzenie sprawy zakończonej powyższą decyzją, jej uchylenie i wydanie orzeczenia co do istoty sprawy. W uzasadnieniu wniosku skarżący podniósł, iż zaskarżoną decyzję wydano opierając się na niepełnym i jednostronnym uwzględnieniu okoliczności faktycznych sprawy, z naruszeniem prawa procesowego. Ponadto skarżący podniósł, iż wniosek odwoławczy "jest też konieczny z uwagi na ujawnienie się nowych okoliczności w tej sprawie", które zawarł w dowodzie oznaczonym nr 12. Dowodem tym było pismo E. Sp. z o.o. z dnia 17 października 2007 r. skierowane do skarżącego, w którym ww. Spółka prosi skarżącego o przybycie do jej siedziby na spotkanie "w celu omówienia" sprawy zobowiązania skarżącego nabytego przez E. Sp. z o.o. od [...] C. Sp. z o.o. na mocy cesji z dnia 22 grudnia 2006 r. Skarżący podtrzymał wszystkie argumenty przytoczone w skardze i wskazał, że umowa o świadczenie usług telekomunikacyjnych została rozwiązana z winy operatora oraz że wszelkie należności z tytułu świadczonych usług telekomunikacyjnych zostały przez niego uregulowane. Z tych względów niezasadnie został on uznany przez [...] C. Sp. z o.o. za dłużnika. Z chwilą rozwiązania "wykonanej umowy" wygasło bowiem prawo operatora do przetwarzania jego danych osobowych dla celów realizacji zawartej na czas określony umowy. Skarżący przedstawił również dowody w postaci załączonych oświadczeń J. M. z dnia [...] października 2008 r. oraz R. K. z dnia [...] października 2008 r. R. K. oświadczył, że "pełniąc służbę dyżurnego KPP w L. około roku temu telefonowano na dyżurkę w sprawie S. M.", a rozmawiająca z nim kobieta "starała się wypytywać o [...] S. M.". J. M. oświadczyła m.in., że "około roku temu zostałam telefonicznie powiadomiona przez moją teściową", iż telefonicznie została ona poinformowana, że jej syn S. M. ma zadłużenie, w związku z czym zostanie wdrożone postępowania egzekucyjne.

Po powtórnym rozpatrzeniu zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych, na podstawie art. 138 § 1 k.p.a. oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 4 pkt 2 oraz art. 31 ustawy o ochronie danych osobowych, wydał rozstrzygnięcie utrzymując zaskarżoną decyzję w mocy.

W motywach decyzji organ wskazał, iż z materiału dowodowego przedmiotowej sprawy wynika, że Spółka C. uznała skarżącego za swego dłużnika, stwierdzając, że nie uiścił opłat za usługi telefoniczne świadczone przez tę Spółkę w ramach zawartej ze skarżącym umowy i zaczęła przetwarzać jego dane osobowe w celach windykacyjnych, co znajdowało uzasadnienie w art. 23 ust. 1 pkt 5 w związku art. 23 ust. 4 pkt 2 ustawy jako prawnie usprawiedliwiony cel administratora danych. Skarżący w swoim piśmie (uzupełnienie wniosku o ponowne rozpatrzenie sprawy) z dnia 23 października 2008 r. nie przedstawił, pomimo wezwania organu, dowodów potwierdzających okoliczność uregulowania przez niego wszelkich należności z tytułu umowy o świadczenie usług telekomunikacyjnych zawartej z [...] C. Sp. z o.o. W związku z tym organ stwierdził, że w przedmiotowej sprawie wypełniona została przez Spółkę C. przesłanka legalnego przetwarzania danych osobowych. Z tego względu bez znaczenia pozostaje, że Skarżący na takie udostępnienie zgody nie wyrażał. Zgoda osoby, której dane dotyczą, nie jest bowiem jedyną i wyłączną okolicznością czyniącą proces przetwarzania tych danych legalnym, ale również ustawa o ochronie danych osobowych nie daje żadnych podstaw ku temu, by traktować ją w sposób uprzywilejowany, jako przesłankę główną, podstawową. Organ podkreślił, że wyrażony przez skarżącego sprzeciw, o którym mowa w art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych, nie może być skuteczny w przypadku, jeżeli udostępnienie danych było niezbędne dla realizacji uprawnienia wynikającego z powszechnie obowiązujących przepisów prawa (art. 509 Kc).

Generalny Inspektor podkreśla, że nie miało znaczenia dla oceny niniejszej sprawy twierdzenie skarżącego, iż jego dług nie istnieje. Organ ochrony danych osobowych nie jest bowiem upoważniony do oceny okoliczności z zakresu stosunków cywilno - prawnych i nie może wkraczać w kompetencje sądów powszechnych i dokonywać samodzielnej oceny kwestii skuteczności dochodzenia roszczeń z umowy zawierającej dane osobowe skarżącego.

Odnosząc się natomiast do zarzutu dotyczącego udostępnienia przez [...] C. Sp. z o.o. danych osobowych skarżącego na rzecz E. Sp. z o.o. organ stwierdził, że udostępnienie danych osobowych skarżącego na rzecz E. Sp. z o.o. bez jego zgody znajduje uzasadnienie w art. 23 ust. 1 pkt 5 ustawy. Zawarcie umowy przelewu, skutkujące zmianą podmiotu po stronie wierzyciela, należało zatem uznać za realizację przez administratora danych ([...] C. Sp. z o.o.), jak i odbiorcę danych (E.Sp. z o.o.) prawnie usprawiedliwionego celu, który obejmuje prawo do uzyskania należnego świadczenia od dłużnika. Dokonanie przelewu wierzytelności - nierozerwalnie związane z udostępnieniem danych osobowych dłużnika - nie może być traktowane jako naruszenie jego praw i wolności w rozumieniu art. 23 ust. 1 pkt 5 ustawy, gdyż nie uszczupla ani nie zmienia niczego w zakresie jego uprawnień jako dłużnika. Dłużnik może przeciwko nabywcy podnieść te same zarzuty, co wobec zbywcy wierzytelności (art. 513 k.c.), zaś nabywca nie może domagać się od dłużnika więcej niż domagałby się pierwotny wierzyciel.

W związku z zarzutem dotyczącym udostępnienia danych osobowych skarżącego przez E. Sp. z o.o. jego bliskim oraz przełożonym i współpracownikom, organ stwierdził, iż z oświadczenia R. K. z dnia [...] października 2008 r. załączonego przez skarżącego jako "uzupełnienie wniosku o ponowne rozpatrzenie sprawy" - nie wynika, aby w jej trakcie doszło do ujawnienia przez pracownika E. Sp. z o.o. jakichkolwiek jego danych osobowych. Z oświadczenia J. M. wynika natomiast, że numer, z którym dokonano połączenia w celu powiadomienia o istnieniu zadłużenia skarżącego oraz o wdrożeniu postępowania egzekucyjnego, jest numerem, który sam skarżący udostępnił [...] C. Sp. z o.o. jako numer domowy - ujawniony do kontaktu. Potwierdziły to również wyjaśnienia E. Sp. z o.o. z których wynika, iż próby nawiązania telefonicznego kontaktu ze skarżącym odbywały się pod numerami telefonów wskazanymi [...] C. Sp. z o.o. zaś same dane osobowe skarżącego - jak stwierdził ww. podmiot - "nie były udostępniane pracodawcy, przełożonym lub bliskim S. M".

Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] grudnia 2008 r. stała się przedmiotem skargi wniesionej do Wojewódzkiego Sądu Administracyjnego przez S. M., w której skarżący wystąpił o jej uchylenie i przekazanie sprawy do ponownego rozpatrzenia w celu wydania decyzji adekwatnej do stanu tej sprawy i zgromadzonych dowodów potwierdzających sprzeczne z prawem udostępnienia danych osobowych i w konsekwencji ich bezprawne przetwarzanie.

W uzasadnieniu skargi skarżący podniósł, iż wobec rozwiązania umowy z [...] C. z winy operatora, ten uznał za zasadne obciążenie skarżącego kwotą 232,26 zł. Skarżący odwołał się od wezwania do zapłaty oświadczając, iż wskazana kwota jest nienależna i jako taka nie zostanie uiszczona. Jego decyzję mogłoby zmienić wyłącznie prawomocne orzeczenie. Tym samym nie jest możliwe dokonanie przelewu wierzytelności nieistniejącej. Istniejące w tej mierze orzecznictwo wskazuje na możliwość dokonania przelewu wierzytelności, ale określa to ją jako wierzytelność istniejącą, ewentualnie przyszłą. W tej jednak sprawie występuje wierzytelność nieistniejąca, której byt skarżący neguje powołując się na gwarancje konstytucyjnej ochrony obywatela poprzez prawo do sądu - art. 45 Konstytucji RP. W konsekwencji dokonanie przez Spółkę C. cesji rzekomych wierzytelności na rzecz Spółki E. (rzekomego z uwagi na brak zaległości, które należałoby egzekwować w ramach "usprawiedliwionego celu"), spowodowało podjęcie przez nabywcę działań godzących w dobra skarżącego poddane bezwzględnej ochronie prawnej. Skarżący zwrócił uwagę, iż Generalny Inspektor Ochrony Danych Osobowych błędnie nie dopatrzył się nieprawidłowości w zakresie przetwarzania jego danych osobowych przez pracowników Spółki E. informujących telefonicznie najbliższe skarżącemu osoby i współpracowników o prowadzonym wobec niego postępowaniu egzekucyjnym. Skarżący podniósł ponadto, że ile, co do zasady, zasadna jest teza postawiona przez organ, że nie może on badać zasadności roszczeń, to nie posiada usprawiedliwionych podstaw pogląd o braku naruszenia prawa i wolności skarżącego, z uwagi na zakres udzielanych informacji o skarżącym osobom postronnym.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie oraz podtrzymał argumentację przedstawioną w uzasadnieniu zaskarżonej decyzji.

W piśmie procesowym z dnia 3 kwietnia 2009 r. S. M. podtrzymał zarzuty zawarte w skardze oraz podniósł dodatkowo, iż Generalny Inspektor Ochrony Danych Osobowych wszczął i prowadził przez okres 2 miesięcy w oparciu o wniosek strony obarczony wadą braku podpisu, czym naruszył przepis art. 46 § 1 k.p.a., a także skierował do Sądu skargę z dnia 5 stycznia 2009 r. obarczoną ta samą wadą procesową, bez poddania skargi kontroli merytorycznej i prawnej. Ponadto organ nie ustalił, czy podmioty, wobec których skarżący podnosi zarzuty przetwarzania jego danych osobowych z naruszeniem prawa, posiadają zgłoszone organowi zbiory danych osobowych i czy administrowanie nimi odbywa się zgodnie z prawem.

W odpowiedzi na skargę zawartej w piśmie procesowym z dnia 22 czerwca 2009 r. pełnomocnik E. Sp. z o.o. wniósł o jej oddalenie podzielając stanowisko prezentowane w sprawie przez Generalnego Inspektora Ochrony Danych Osobowych.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

W świetle art. 1 § 1 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym stosownie do § 2 ust. 1 powołanej ustawy, kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Dokonując kontroli legalności zaskarżonej decyzji, Sąd nie stwierdził, aby organ podejmujący w badanej sprawie rozstrzygnięcie, dopuścił się naruszenia prawa materialnego, czy przepisów postępowania administracyjnego w stopniu, w jakim mogłoby to mieć istotny wpływ na wynik sprawy.

W ocenie Sądu nie zasługują na uwzględnienie zarzuty skarżącego dotyczące niezgodnego z prawem przetwarzania jego danych osobowych przez [...] C. Sp. z o.o. w W. oraz E. Sp. z o.o.

Zgodnie z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r., Nr 101. poz. 926 ze zm.) w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności:

1) usunięcie uchybień,

2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych,

3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe,

4) wstrzymanie przekazywania danych osobowych do państwa trzeciego,

5) zabezpieczenie danych lub przekazanie ich innym podmiotom,

6) usunięcie danych osobowych.

W sprawie niniejszej Generalny Inspektor Ochrony Danych Osobowych, jako podstawę materialnoprawną wydania decyzji o odmowie uwzględnienia wniosku skarżącego, wskazał art. 23 ust. 1 pkt 5 w związku z art. 23 ust. 4 pkt 2 oraz art. 31 powołanej ustawy. W świetle art. 23 ust. 1 pkt 5 ww. ustawy, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (ust. 4 pkt 2 powołanego artykułu). Zgodnie zaś z art. 31 ust. 1 i 2 tej ustawy, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot taki (zleceniobiorca) może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie.

Dokonując wykładni przepisów ustawy o ochronie danych osobowych, należałoby również wziąć pod uwagę cele i podstawowe założenia tej ustawy, określone w jej art. 1 ust. 2, gdzie podano, że przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich i że należy za każdym razem wyważyć dobra, które legły u jej podstaw. Prawo do ochrony danych osobowych jako jeden z elementów prawa do ochrony własnej prywatności ulega ograniczeniu z uwagi na interes publiczny lub usprawiedliwiony interes innych osób, czyli nie jest to prawo o charakterze absolutnym, jak większość praw chronionych konstytucyjnie. Zasadą wypracowaną przy stosowaniu ustawy o ochronie danych osobowych stało się przetwarzanie danych osobowych za zgodą osoby zainteresowanej, której dane te dotyczą (art. 23 ust. 1 pkt 1 ustawy). Nie oznacza to jednak, iż przesłanka uzyskania zgody na przetwarzanie danych osobowych ma pierwszeństwo stosowania przed innymi przesłankami dopuszczającymi przetwarzanie danych osobowych, wg. określonych ustawowo zawężonych kryteriów, bez zgody osoby zainteresowanej. Przesłanki zawarte w przepisie art. 23 ust. 1 pkt 1-5 ustawy o ochronie danych osobowych są równorzędne, niezależne od siebie i dla przesądzenia o tym, że przetwarzanie danych jest dopuszczalne wystarczy wykazanie zaistnienia jednej z nich.

Jak wynika z ustaleń organu i akt sprawy, skarżący zawarł w dniu [...] lutego 2004 r. ze Spółką C. umowę o świadczenie usług telekomunikacyjnych na warunkach promocji "Zmiennicy II". Bezspornym jest, iż strony tej umowy łączył stosunek zobowiązaniowy na warunkach określonych przez strony w tej umowie i regulaminie, do którego stosowania umowa odsyłała. Posiadanie i przetwarzanie danych osobowych skarżącego przez operatora telekomunikacyjnego było zatem możliwe na skutek udzielenia zgody zainteresowanego wyrażonej w treści umowy oraz zostało usankcjonowane przepisem art. 23 ust. 1 pkt 3 ww. ustawy. Następnie przedmiotowa umowa została rozwiązana w dniu [...] marca 2006 r. W związku z tym skarżący uznał, iż postanowienia umowy zostały wypełnione i cofnął zgodę na dalsze przetwarzanie jego danych osobowych przez ten podmiot. Spółka C. uznała jednak, iż skarżący nie uregulował należności z tytułu korzystania z usług telefonicznych, wystawiła w dniu 26 lutego 2006 r. fakturę VAT nr [...] i wystąpiła do wymienionego jako dłużnika o uregulowanie zobowiązania. Z powstałym zadłużeniem skarżący się nie zgodził i uznał żądaną kwotę 232,26 zł za nienależną. Wskazał, iż powstały spór powinien zostać rozstrzygnięty na drodze sądowej i tylko prawomocny wyrok sądu będzie uprawniał Spółkę C. do wymagania od skarżącego, wówczas już, należnej kwoty pieniężnej i podejmowania nie naruszających prawa działań (w tym przetwarzania jego danych osobowych) w celu odzyskania długu.

Wskazać trzeba, co też sam skarżący przyznał w skardze, że Generalny Inspektor Ochrony Danych Osobowych nie jest władny do dokonywania oceny prawidłowości umów cywilnoprawnych i powstałych na jej gruncie sporów, gdyż właściwość rzeczową w podanych zakresie posiadają jedynie sądy powszechne. Organ nie może badać, czy umowa jest ważna i prawnie skuteczna, gdyż w tym przypadku organ administracji publicznej, jakim niewątpliwie jest GIODO, wykraczałby poza swoje ustawowo określone kompetencje. Dla Generalnego Inspektora Ochrony Danych Osobowych zawarta umowa jest czynnością prawną nie podlegającą jego ocenie, wywołującą skutki prawne do czasu, dopóki nie zostanie zakwestionowana w formie i trybie przewidzianym przez prawo. Rolą organu ochrony danych osobowych w niniejszym postępowaniu było ustalenie, czy istnieją podstawy do przetwarzania danych osobowych skarżącego bez jego zgody w zaistniałym stanie faktycznym i prawnym. Organ zasadnie przyjął, iż w tym przypadku wierzyciel - Spółka C. wykazała powstanie zadłużenia po stronie skarżącego wynikające z realizacji umowy o świadczenie usług telekomunikacyjnych, wystawiła fakturę VAT za wykonane usługi telefoniczne, a więc wprowadziła do obrotu dokument stwierdzający zobowiązanie sankcjonujące skierowane do skarżącego żądania zapłaty.

W konsekwencji powyższych ustaleń organ zasadnie stwierdził, iż przetwarzanie danych osobowych przez Spółkę C., jak i w dalszym czasie przez inne podmioty: U. Sp. z o.o. z siedzibą we W., E. Sp. z o.o. z siedzibą w W. oraz K. z siedzibą w P., na podstawie stosownych umów (szczegółowo opisanych na str. 1 i 2 uzasadnienia) w zakresie podejmowania czynności obejmujących pozyskanie długu, było podyktowane prawnie uzasadnionym celem - dochodzeniem roszczeń z tytułu prowadzonej dzielności gospodarczej. W zaistniałej sytuacji przetwarzanie danych osobowych skarżącego bez jego zgody posiada oparcie w przepisie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Natomiast zawarcie przez Spółkę C. stosownych umów z ww. podmiotami do przetwarzania danych skarżącego, w celu polubownego dochodzenia roszczeń pieniężnych oraz prowadzenia windykacji, w zakresie obejmującym: nr konta abonenckiego, imię i nazwisko dłużnika, PESEL, dane adresowe, nr telefonu, datę wystawienia płatności i nr faktury oraz kwotę nieuregulowanych należności i noty obciążeniowe, zostało zalegalizowane granicami wyznaczonymi przepisem art. 31 ust. 1 i 2 powołanej ustawy. Podkreślić należy, że administrator danych, którym w myśl art. 7 pkt 4 ustawy o ochronie danych osobowych jest podmiot decydujący o celach i środkach przetwarzania danych osobowych, może przetwarzać przedmiotowe dane sam albo powierzyć to innemu podmiotowi. Powierzenie przetwarzania danych dokonane przez administratora na podstawie umowy powierzenia, o której mowa w art. 31 ustawy, nie wymaga uzyskania zgody osoby, której dane dotyczą.

Spółka C. S.A. zawarła także ze Spółką E. umowę o przelew wierzytelności, na podstawie art. 509 § 1 k.c., z jednoczesnym udostępnieniem danych osobowych skarżącego, co było niezbędne dla realizacji tej umowy.

Wskazania wymaga, iż ustawa o ochronie danych osobowych nie ogranicza swobody prowadzenia działalności gospodarczej przez przedsiębiorców. Zawarcie umowy przelewu wierzytelności wywołuje skutki prawne regulowane zarówno przepisami Kodeksu cywilnego, jak i przepisami ustawy o ochronie danych osobowych. Ocena dopuszczalności, skuteczności, czy też ważności umowy przelewu należy do sądów powszechnych, ewentualnie w niektórych jej aspektach, może być również przedmiotem zainteresowania Prezesa Urzędu Ochrony Konkurencji i Konsumentów. Jest to aspekt cywilnoprawny tej sprawy, który nie może być przedmiotem zainteresowań organu administracji publicznej. Zadanie organu ograniczało się zatem do zbadania w toku postępowania, czy w wyniku zawartej umowy cywilnoprawnej Spółka C. mogła udostępnić dane osobowe skarżącego, zgodnie z przepisami ustawy o ochronie danych osobowych. Generalny Inspektor Ochrony Danych Osobowych wykazał w toku prowadzonego postępowania, iż podjęte przez Spółkę C. działania, w zakresie dokonania cesji wierzytelności, nie pozostawały w sprzeczności z postanowieniami ustawy o ochronie danych osobowych. Słusznie organ stwierdził, iż dokonanie przelewu wierzytelności nierozerwalnie związane jest z przekazaniem danych osobowych dłużnika. Zgodnie z art. 509 § 2 k.c. wraz z wierzytelnością przechodzą na nabywcę wszelkie związane z nią prawa, a wiec i prawo do dysponowania danymi osobowymi dłużnika w celu realizacji długu. Nabywca wierzytelności, poprzez dokonaną czynność cywilnoprawną, staje się samoistnym posiadaczem danych osobowych dłużnika. Staje się zatem administratorem danych osobowych i przetwarza dane osobowe na własny rachunek i ryzyko. Korzysta z takich samych praw i obowiązków w zakresie przetwarzania danych osobowych jakie przysługiwało poprzedniemu administratorowi danych.

Odnosząc się do zarzutu skargi, dotyczącego istniejącego po stronie Spółki E. obowiązku zgłoszenia zbioru danych do Generalnego Inspektora Danych Osobowych i odpowiedniego administrowania tym zbiorem, stwierdzić należy, iż żądnie to wykracza poza zakres postępowania prowadzonego przez organ z wniosku skarżącego i może być przedmiotem odrębnego postępowania administracyjnego.

Nawiązując do zarzutów skargi, dotyczących naruszenia przez Generalnego Inspektora przepisów postępowania administracyjnego stwierdzić należy, iż uchybienia w tym zakresie choć wystąpiły nie miały istotnego wpływu na końcowy wynik sprawy. Rację ma skarżący twierdząc, iż narusza przepis art. 63 § 3 k.p.a. wszczęcie postępowania administracyjnego na wniosek strony w oparciu o podanie nieopatrzone podpisem wnioskodawcy i prowadzenie tego postępowania. Jednakże przedmiotowy brak formalny podania został przez organ usunięty w trybie przepisu art. 64 § 2 k.p.a., co nie powoduje wady istotnej postępowania mogącej mieć wpływ na końcowy wynik sprawy.

Nie zasługuje także na uwzględnienie zarzut skargi mówiący o braku należytego wyjawienia wszystkich istotnych okoliczności sprawy z powodu, nie uwzględnienia przez organ pisemnych oświadczeń współpracownika i żony skarżącego. Z treści oświadczenia R. K. z dnia [...] października 2008 r. wynika, iż przedstawiciel E. Sp. z o.o. podejmował próby pozyskania informacji na temat skarżącego, nie zaś udostępniał jego dane osobowe. Z oświadczenia J. M. natomiast wynika, iż poinformowanie jej teściowej o zadłużeniu syna S. M. i możliwości wdrożenia postępowania egzekucyjnego zostało dokonane telefonicznie, jak ustalił organ, na numer telefonu podany przez skarżącego do kontaktowania się z nim w sprawach wynikających z umowy o świadczenie usług telekomunikacyjnych. Mając na uwadze, że to skarżący wskazał taką z nim formę kontaktu i z upływem czasu nie zastrzegł, iż podany numer telefonu utracił aktualność, a dysponentem tego numeru telefonu nie była osoba postronna, lecz najbliższy członek rodziny skarżącego, to organ miał podstawy przyjąć, że wymieniona w ww. oświadczeniu informacja nie została podana osobie przypadkowej, lecz osobie zwyczajowo upoważnionej do odbioru korespondencji, przekazywania informacji, itp. Nie można zatem organowi czynić zarzutu, iż wadliwie ocenił wartość dowodową dokumentów przedłożonych przez skarżącego, skoro zapoznał się z ich treścią, skonfrontował ze stanowiskiem Spółki E. i nie stwierdził uchybień w procesie przetwarzania danych osobowych skarżącego.

Chybiony jest także zarzut nadania skardze biegu procesowego bez wezwania skarżącego przez organ do uzupełnienia jej braków formalnych (braku podpisu skarżącego). Zgodnie z art. 54 § 1 i 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), skargę do sądu administracyjnego wnosi się za pośrednictwem organu, którego działanie lub bezczynność są przedmiotem skargi. Organ przekazuje skargę sądowi wraz z aktami sprawy i odpowiedzią na skargę w terminie trzydziestu dni od dnia jej wniesienia. Z powyższego uregulowania wynika obowiązek przekazania przez organ skargi do sądu, bez względu na jej poprawność formalną. To na sądzie, a nie na organie administracji publicznej, ciąży obowiązek zbadania dopuszczalności skargi i wzywania do usunięcia jej braków formalnych w zakreślonym terminie - art. 57 § 1 w zw. z art. 49 § 1 tej ustawy.

Mając na uwadze powyższe, na podstawie art. 151 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, należało orzec jak w sentencji.