Centralna Baza Orzeczeń Sądów Administracyjnych

II SA/Wa 830/06 W Y R O K W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ 6 lutego 2008 r. Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Grochowska-Jung, Sędzia WSA Stanisław Marek Pietras, Asesor WSA Jarosław Trelka (spr.), Protokolant Bartosz Piwoński, po rozpoznaniu na rozprawie w dniu 6 lutego 2008 r. sprawy ze skargi M. M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2006 r. Nr [...] w przedmiocie przetwarzania danych osobowych 1) uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...]października 2005 r. nr [...] 2) określa, że zaskarżona decyzja nie podlega wykonaniu w całości, 3) przyznaje ze środków budżetowych Wojewódzkiego Sądu Administracyjnego w Warszawie na rzecz adwokat K. P. kwotę 240 zł (dwieście czterdzieści złotych) powiększoną o należny podatek od towarów i usług w kwocie 52,80 zł (pięćdziesiąt dwa złote osiemdziesiąt groszy) – tytułem kosztów nieopłaconej pomocy prawnej udzielonej z urzędu.

II SA/Wa 830/06

UZASADNIENIE

Pismem z dnia 6 stycznia 2005 r. pełnomocnik M. M., jego żona E. M., powiadomiła Starostę Powiatu G. o naruszeniu przez Gminę G. ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), poprzez brak udzielenia informacji o okolicznościach przetwarzania danych osobowych M. M. dotyczących stanu jego zdrowia psychicznego, a także poprzez bezprawne ujawnienie tych danych. Pismo to zostało następnie przekazane do Generalnego Inspektora Ochrony Danych Osobowych (GIODO). Z akt postępowania administracyjnego wynika ponadto, że pismem z dnia 22 września 2004 r. M. M. zwrócił się do Burmistrza Miasta i Gminy G. z zawiadomieniem o naruszeniu prawa dotyczącego ochrony danych osobowych przez Zarząd Koła Polskiego Związku Niewidomych w G. oraz dwie imiennie wskazane osoby. Zarząd i te osoby ujawniły, jak wynika z powyższego pisma, opinię biegłego psychiatry o stanie zdrowia psychicznego skarżącego, przy czym skarżący nie wskazał źródła, z którego opinią tą dysponowali.

Pismem z dnia 11 kwietnia 2005 r. burmistrz Gminy poinformował GIODO, że akta sprawy cywilnej o sygn. I C 168/97, w których zawarta jest opinia o stanie zdrowia psychicznego skarżącego, a która to opinia została sporządzona na potrzeby tej sprawy z powództwa skarżącego przeciwko Gminie, od 2002 r. znajdują się w archiwum zakładowym urzędu gminy. Sprawa I C 168/97 została zakończona w 1998 r., a żaden z pracowników urzędu gminy nie miał upoważnienia burmistrza do wypożyczenia lub przeglądania tych akt. Każde wypożyczenie lub przeglądanie wymaga zgody burmistrza, a dodatkowo jest ono odnotowywane przez archiwistę. Burmistrz wskazał ponadto, że o wszystkich tych okolicznościach skarżący został poinformowany stosownym pismem. Burmistrz ocenił ponadto, że dane skarżącego nie są przetwarzane w Urzędzie Miasta i Gminy G., gdyż nie znajdują się one, jak stanowi art. 2 ust. 2 ustawy o ochronie danych osobowych ("ustawa"), w kartotekach, skorowidzach, księgach, wykazach czy w innych zbiorach ewidencyjnych albo w systemie informatycznym.

Oceniając, że archiwum zakładowe urzędu jest zbiorem danych osobowych, a ich administratorem jest burmistrz, pismem z dnia 29 kwietnia 2005 r. GIODO wystąpił do burmistrza o wyjaśnienie, czy skarżący występował o udzielenie mu informacji z art. 33 ustawy, a jeśli tak, jakiej informacji mu udzielono. GIODO zwróciło się też do skarżącego, pismem z dnia 29 kwietnia 2005 r., o przesłanie kopii wystąpień do Gminy o udzielenie tych informacji.

W odpowiedzi burmistrz ponownie wyraził stanowisko, że dane skarżącego nie są przetwarzane w urzędzie gminy, a także, że skarżący nie występował o udzielnie mu informacji, o których mowa w art. 32 i 33 ustawy.

W aktach sprawy znajdują się ponadto pisma skarżącego z dnia 21 marca 2005 r. oraz 13 maja 2005 r., w których zażądał on od Gminy udzielenia mu informacji określonych w art. 32 i 33 ustawy. Pisma te zostały dołączone do odpowiedzi skarżącego na pismo GIODO z dnia 29 kwietnia 2005 r.

Żądanie przekazania informacji określonych w art. 32 i 33 ustawy skarżący zawarł w piśmie do GIODO z dnia 6 września 2005 r. W piśmie tym zawarł też ocenę, że opinia psychiatryczna z dnia 30 kwietnia 1999 r. była niezabezpieczona, a ponadto, że opinia ta nie została, wbrew prawu, usunięta przez Gminę.

Decyzją z dnia [...] października 2005 r. GIODO odmówił uwzględnienia wniosku skarżącego. Za administratora danych skarżącego zawartych w przedmiotowej opinii organ uznał burmistrza Gminy. Organ uznał też, że skarżący nigdy nie złożył wniosku o udzielenie informacji, o których mowa w art. 33 ustawy. Pisma skarżącego zgromadzone w sprawie zawierają jedynie zarzuty niedopełnienia tego obowiązku informacyjnego, a nie wniosek o udzielenie informacji. Ponadto, niezależnie od powyższego, burmistrz udzielił skarżącemu takiej informacji pismem z dnia 14 grudnia 2004 r. Organ ocenił ponadto, że przedmiotowa opinia była należycie zabezpieczona, co wynika z wyjaśnień burmistrza, a skarżący nie przedstawił żadnego dowodu, iż Polski Związek Niewidomych pozyskał ją z urzędu gminy. GIODO wskazał też na swoją wiedzę nabytą "z urzędu", iż opinia ta była przez skarżącego przedstawiona jako dowód w innej sprawie z powództwa skarżącego przeciwko Polskiemu Związkowi Niewidomych. Związek ten mógł więc uzyskać tę opinię z akt tej innej sprawy cywilnej. Odnośnie zaś zarzutu nieusunięcia opinii z archiwum urzędu organ wskazał, że podstawą przetwarzania tych danych jest ustawa z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2006 r. Nr 97, poz. 673 ze zm.) i bezpodstawne byłoby żądanie jej usunięcia, a ponadto skarżący nigdy nie zażądał jej usunięcia.

We wniosku o ponowne rozpatrzenie sprawy skarżący ponowił stanowisko, że jego dane osobowe są przetwarzane przez Gminę jako administratora danych. Wniósł też o przesłuchanie w charakterze świadków min. burmistrza Gminy, przewodniczącego Rady Gminy, radcy prawnego Gminy, jednego z urzędników oraz radnego Gminy, na okoliczność przechowywania tej opinii przez Gminę, a także Generalnego Inspektora Ochrony danych Osobowych i jego zastępcę. Wskazał, że nigdy nie twierdził, iż Gmina udostępniła przedmiotową opinię Polskiemu Związkowi Niewidomych, lecz jedynie zażądał, aby Gmina wyjaśniła, czy udostępniła te dane osobom nieuprawnionym. Ocenił, że ta opinia nie była i nie jest należycie zabezpieczona. Wskazał na swoje pisma kierowane do Gminy, w których żądał udostępnienia mu informacji o okolicznościach przetwarzania jego danych. Ocenił też, że opinia psychiatryczna nie powinna być już przechowywana przez Gminę, gdyż skończył się okres jej przydatności dla sprawy sądowej I C 168/97. Ocenił, że informacja zawarta w tej opinii nie odpowiada definicji materiałów archiwalnych zawartej w art. 1 ustawy o narodowym zasobie archiwalnym i archiwach.

Postanowieniem z dnia [...] listopada 2005 r. GIODO odmówił przeprowadzenia zawnioskowanych przez stronę wyżej wymienionych dowodów.

W kolejnym piśmie z dnia 9 grudnia 2005 r., jak i 5 stycznia 2006 r., skarżący ponownie wniósł m.in. o zawiadomienie przez GIODO Prokuratury o popełnieniu przestępstwa przez burmistrza.

Decyzją z dnia [...] lutego 2006 r. GIODO utrzymał w mocy swoją decyzję z [...] października 2005 r. Organ powtórzył, że skarżący nie zwracał się do burmistrza o udzielenie żadnych informacji, ale niezależnie od tego burmistrz takich informacji udzielił pismem z dnia 14 grudnia 2004 r. Przetwarzanie danych zawartych w opinii psychiatrycznej jest uzasadnione - takie uprawnienie wynika z ustawy o narodowym zasobie archiwalnym w zw. z art. 23 ust. 1 pkt 2 ustawy (konieczność realizacji uprawnienia lub obowiązku wynikającego z przepisu prawa). Odnośnie zarzutu braku powiadomienia Prokuratury o przestępstwie organ wskazał, że takie ewentualne powiadomienie nie odbywa się w drodze decyzji administracyjnej. Organ ocenił też, że odmowa przeprowadzenia dowodów zawnioskowanych przez stronę była zasadna, gdyż dowody te nie zmierzały do ustalenia żadnych nowych okoliczności. Organ ustalił bowiem, że burmistrz jest administratorem danych skarżącego i że skarżący nie występował z wnioskiem o udzielenie informacji, o których mowa w art. 33 ustawy, choć informacje te zostały w końcu udzielone. Organ ustalił też, że dane były właściwie zabezpieczone, więc dowodzenie innej okoliczności byłoby niecelowe.

W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na decyzję z [...] lutego 2006 r. skarżący powtórzył, że żądał udostępnienia mu informacji, o których mowa w art. 33 ustawy, wskazał na zły stan swojego zdrowia, stwierdził, że GIODO łamie ustawę, kodeks karny, ustawę o ochronie zdrowia psychicznego oraz zaniechał zawiadomienia organów ścigania o przestępstwie popełnionym, w jego ocenie, przez burmistrza. W piśmie z dnia 27 maja 2006 r. zawarł natomiast wnioski dowodowe o przeprowadzenie dowodu z pism złożonych do akt, a także z akt znajdujących się w Gminie. W piśmie tym wskazał ponadto, że akta sprawy zawierające opinię psychiatryczną o nim, po zdeponowaniu w archiwum, były następnie, po kilku latach, powszechnie dostępne w urzędzie gminy, czym naruszono art. 36 ustawy. Organ nie sprawdził też, czy Gmina prowadzi dokumentację nakazaną art. 36 ust. 2 ustawy, czy osoby dopuszczone do przetwarzania danych miały upoważnienie wymagane przez jej art. 37. Skarżący zawnioskował też o przeprowadzenie dowodów z przesłuchania wskazanych świadków na okoliczność przyczyn, dla których opinia nie została usunięta z akt we właściwym czasie oraz dlaczego nie była zabezpieczona, dowodu z akt Prokuratury Rejonowej w G. na okoliczność popełnienia przestępstwa, a także m.in. pisma burmistrza do GIODO z 9 maja 2005 r., w którym, w ocenie skarżącego, burmistrz przyznał, że od 1998 r. do 2002 r. akta te nie były zdeponowane w archiwum i że były powszechnie dostępne. Ocenił w końcu, że GIODO powinno nakazać usunięcie ze zbioru powyższych danych zawartych w opinii.

W odpowiedzi na skargę organ wniósł o jej oddalenie i powtórzył stanowisko zawarte w zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej. Sąd analizuje zaskarżoną decyzję pod względem jej zgodności z prawem materialnym i formalnym obowiązującym w dacie jej wydania. Stosownie natomiast do art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.) sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną.

Skarga analizowana według wymienionych wyżej kryteriów zasługuje na uwzględnienie, choć nie wszystkie sformułowane w niej zarzuty są trafne.

W pierwszej kolejności zauważyć należy, że pomiędzy burmistrzem Gminy, a Generalnym Inspektorem Ochrony Danych Osobowych, doszło do rozbieżności co do rozumienia zakresu stosowania ustawy o ochronie danych osobowych w niniejszej sprawie. W kierowanych do organu pismach (z dnia 11 kwietnia 2005 r. i 9 maja 2005 r.) burmistrz wyjaśniał, że w urzędzie gminy istotnie przechowywana jest opinia lekarska o stanie zdrowia psychicznego skarżącego, ale nie odbywa się to w formie, o której mowa w art. 2 ust. 2 ustawy (brak zbioru danych lub systemu informatycznego). Z tego względu burmistrz uznał, że dane osobowe skarżącego zawarte w opinii sądowo – psychiatrycznej nie są przetwarzane w Urzędzie Gminy i Miasta w G. w formie, jaka warunkuje zastosowanie ustawy. Generalny Inspektor uznał natomiast, że archiwizowanie tej dokumentacji w archiwum zakładowym odpowiada definicji przetwarzania danych w zbiorze, dlatego przystąpił do oceny legalności przechowywania tych danych przez administratora danych, a ponadto ocenił, czy administrator ten wykonał obowiązek informacyjny określony w art. 32 i 33 ustawy. Wykonanie tego obowiązku można jednak także oceniać tylko po uprzednim przesądzeniu, że w sprawie w ogóle stosuje się przepisy ustawy.

Powyższej rozbieżności co do zakresu stosowania ustawy GIODO nie wyjaśnił skarżącemu. Tymczasem konsekwentnie wskazywał on na pisma burmistrza, w których przyznano, iż opinia sądowo – psychiatryczna istotnie przechowywania jest w urzędzie gminy, i uznawał, że burmistrz temu faktowi zaprzecza. Sąd podkreśla zatem, że burmistrz nigdy nie kwestionował faktu przechowywania tej opinii w archiwum urzędu, lecz temu przechowywaniu odmawiał cechy przetwarzania danych w zbiorze danych osobowych w rozumieniu ustawy. W konsekwencji wyprowadzał z tego wniosek, że ustawa nie ma zastosowania do przechowywania opinii w archiwum.

Skarżący sformułował pod adresem Burmistrza Gminy G. trzy zarzuty dotyczące wadliwej ochrony jego danych osobowych. Po pierwsze uznał, że dane te nie były i nadal nie są należycie zabezpieczone, co doprowadziło do ich nieuprawnionego pozyskania przez podmioty i osoby nieuprawnione (np. Zarząd Koła Polskiego Związku Niewidomych w G. oraz dwie imiennie wskazane osoby). Po drugie sformułował jeszcze dalej idący zarzut, że opinia o stanie jego zdrowia psychicznego nie powinna w ogóle być przechowywana w archiwum urzędu gminy, gdyż nie istnieją ku temu żadne podstawy prawne, w tym nie ma takich podstaw w ustawie o narodowym zasobie archiwalnym i archiwach (taką tezę skarżący wyraźnie postawił w piśmie z 6 września 2005 r. oraz we wniosku o ponowne rozpatrzenie sprawy). Po trzecie uznał on, że administrator danych nie udzielił mu koniecznych informacji o okolicznościach i podstawach przetwarzania danych osobowych. Udzielenie takich informacji nakazuje art. 32 i 33 ustawy. Oceniając zaskarżoną decyzję oraz decyzję ją poprzedzającą, w których odmówiono uwzględnienia wniosku skarżącego o nakazanie administratorowi przywrócenia stanu zgodnego z prawem (art. 12 punkt 2 i 18 ust. 1 ustawy), Sąd uznał, że odmowa ta, w świetle zgromadzonego materiału dowodowego, była co najmniej przedwczesna. Ponadto uzasadnienie wydanych w sprawie decyzji nie odpowiada wymogom art. 107 § 3 Kodeksu postępowania administracyjnego.

Nie można podzielić oceny organu, że skarżący nigdy nie sformułował żądania wydania nakazu usunięcia swoich danych zawartych w opinii sądowo - psychiatrycznej. Takie żądanie zostało wyraźnie sformułowane w piśmie skarżącego do GIODO z dnia 6 września 2005 r. (k. 70 akt administracyjnych), ale nawet brak takiego żądania nie zwalniał organu od dokonania z urzędu oceny legalności przechowywania przedmiotowej opinii w archiwum zakładowym po zakończeniu postępowania cywilnego. Skarżący zarzucił administratorowi danych w piśmie z 6 września 2005 r., iż "...nie usnął tej opinii...", choć obowiązek jej usunięcia skarżący niewłaściwie wywiódł z art. 32 ust. 3a ustawy, traktującego o zakazie podejmowania wyłącznie automatycznych rozstrzygnięć sprawy podmiotu danych. Skarżący nie był jednak zobowiązany wskazywać podstawy prawnej swojego żądania. Prawidłowa ocena prawna wniosku i jego kwalifikacja należy do obowiązków organu. Żądanie wydania nakazu usunięcia danych skarżący powtórzył we wniosku o ponowne rozpatrzenie sprawy, gdzie ocenił ponadto, iż opinia o jego zdrowiu psychicznym nie odpowiada definicji materiałów archiwalnych, zamieszczonej w art. 1 ustawy o narodowym zasobie archiwalnym i archiwach.

Nie przesądzając, że przedmiotowa opinia istotnie nie odpowiada definicji materiałów archiwalnych, Sąd zwraca uwagę, że obowiązkiem organu było przekonujące uzasadnienie swojego stanowiska, iż opinia ta stanowi materiał archiwalny. Ponadto, w świetle jednoznacznego stanowiska skarżącego, iż opinia o stanie jego zdrowia psychicznego nie stanowi materiału archiwalnego, organ powinien skarżącemu wyjaśnić, jaka jest relacja art. 1 ustawy o narodowym zasobie archiwalnym i archiwach, a także jej art. 3 nakazującego wieczyście przechowywać materiał archiwalny stanowiący narodowy zasób archiwalny, do jej art. 5 w związku z przepisami rozporządzenia Ministra Kultury z 16 września 2002 r. w sprawie postępowania z dokumentacją, zasad jej klasyfikowania i kwalifikowania oraz zasad i trybu przekazywania materiałów archiwalnych do archiwów państwowych (Dz. U. Nr 167, poz. 1375). Art. 5 tej ustawy i przywołane przepisy wykonawcze przewidują, jaka dokumentacja, wytwarzana m.in. przez jednostki samorządu terytorialnego, przekazywana jest po określonym czasie do właściwych archiwów państwowych, a jaka może ulec brakowaniu. Organ zobowiązany był więc do jednoznacznego ustalenia i wyjaśnienia tego skarżącemu, z podaniem podstawy prawnej, czy istotnie dane o jego stanie zdrowia psychicznego, jako element narodowego zasobu archiwalnego, muszą być przechowywane w archiwum zakładowym Urzędu Gminy w G., a jeśli tak – to czy będą one przechowywanie wieczyście, czy też to przechowywanie jest ograniczone czasowo. W tym ostatnim wypadku konieczne byłoby ustalenie, czy okres legalnego przechowywania tych danych już upłynął, a wówczas zupełnie inaczej należałoby ocenić fakt ciągłego przechowywania tej opinii w archiwum urzędu gminy (opinia została wytworzona w 1997 r., zdeponowana w archiwum – w 1998 r., zaś organ wydał zaskarżoną decyzję w roku 2006).

Brak klarownych, jednoznacznych ustaleń organu w tym względzie doprowadził w konsekwencji do wadliwie sporządzonego uzasadnienia wydanych w sprawie decyzji. Organ ograniczył się jedynie do krótkiej konstatacji, że przedmiotowe dane są przechowywane w celach archiwalnych, do czego burmistrz jest zobowiązany przepisami ustawy o narodowym zasobie archiwalnym i archiwach, tj. jej art. 15. Takie uzasadnienie nie odpowiada wymogom art. 107 § 3 Kpa. Organ nie może ponadto oczekiwać, że Sąd zastąpi go w wyjaśnieniu skarżącemu prawnych okoliczności przetwarzania jego danych osobowych (vide wyrok NSA z dnia 11 lipca 2001 r., sygn. IV SA 703/99, LEX 51234).

Po ewentualnym ustaleniu i wyjaśnieniu skarżącemu, że administrator danych jest uprawniony co do zasady do przetwarzania danych skarżącego zawartych w przedmiotowej opinii psychiatrycznej, organ zobowiązany był do ustalenia, czy dane te są należycie zabezpieczone. Powtórzyć należy, że - jak wynika z akt postępowania administracyjnego - opinia psychiatryczna o stanie zdrowia skarżącego została sporządzona w 1997 r. na potrzeby postępowania cywilnego z powództwa skarżącego przeciwko Gminie. Przedmiotowe postępowanie cywilne zostało zakończone w 1998 r. Skarżący konsekwentnie twierdził, że opinia sądowo – psychiatryczna nie była w przeszłości i nadal nie jest zabezpieczona przed dostępem osób nieuprawnionych, wskazywał podmioty i osoby, które – w jego ocenie – nielegalnie pozyskały tę opinię z archiwum urzędu, a wcześniej, przed jej zdeponowaniem w archiwum – z miejsc powszechnie dostępnych w tym urzędzie, niezabezpieczonych przed nieuprawnionym dostępem. W skardze do Sądu zauważył dodatkowo, że administrator danych nie prowadzi dokumentacji, o której mowa w art. 36 ust. 2 ustawy, a poza tym, że osoby dopuszczone do danych zawartych w archiwum urzędu nie mają upoważnienia, o którym mowa w art. 37 ustawy. W celu oceny zasadności tych zarzutów Generalny Inspektor wystąpił jedynie do burmistrza z pytaniem m.in., czy dane skarżącego udostępniono osobom nieuprawnionym, a jeśli tak, to czy wobec osób winnych tego udostępnienia wyciągnięto "konsekwencje służbowe" (pismo GIODO do burmistrza z 30 marca 2005 r.). Burmistrz odpowiedział, że każde udostępnienie akt jest odnotowywane przez archiwistę i wymaga zgody burmistrza. Żaden z pracowników nie otrzymał od niego takiej zgody (pismo burmistrza z 11 kwietnia 2005 r.). Burmistrz wyjaśnił ponadto, że dostęp do archiwum mają tylko pracownicy posiadający jego upoważnienie (pismo z 9 maja 2005 r.).

W ocenie Sądu GIODO nie podjął wszystkich możliwych środków dowodowych w celu ustalenia, czy przedmiotowa opinia psychiatryczna rzeczywiście była odpowiednio zabezpieczona przed dostępem osób nieuprawnionych. Właściwemu zabezpieczeniu danych służą środki określone w rozdziale 5 ustawy, tj. rozdziale "Zabezpieczenie danych osobowych". Obowiązkiem organu było zweryfikowanie, czy administrator właściwie zabezpieczył dane przed fizycznym, nieuprawnionym dostępem, mając zwłaszcza na uwadze, że w sprawie chodzi o sensytywne dane osobowe dotyczące stanu zdrowia psychicznego, czy został wyznaczony administrator bezpieczeństwa informacji (art. 36 ust. 3), czy istotnie dostęp do tych danych mają wyłącznie osoby posiadające upoważnienie administratora, wymagane przez art. 37 ust. 2 ustawy, na czym polega kontrola przekazywania danych (art. 38 ustawy), czy prowadzona jest ewidencja osób upoważnionych do przetwarzania danych (art. 39), a nadto – czy administrator prowadzi dokumentację opisującą sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę tych danych stosownie do zagrożeń i kategorii danych objętych ochroną (art. 36 ust. 2 ustawy w związku z § 4 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024). Dokumentacja ta, tj. polityka bezpieczeństwa, powinna być przecież prowadzona nie tylko przy zbiorach informatycznych. Ewentualny brak powyższych wymagań prawnych świadczyłby o niewłaściwym zabezpieczeniu danych skarżącego, a z kolei takie ewentualnie niewłaściwe zabezpieczenie stanowić mogło przyczynę pozyskania danych przez osoby nieuprawnione. Organ mógł więc i powinien co najmniej zapytać administratora danych, czy te wymagania spełnia, a także zażądać przesłania odpisu stosownej dokumentacji, upoważnień i ewidencji. W razie dalszych wątpliwości organ mógł zastosować wszystkie inne środki dowodowe określone w Kodeksie postępowania administracyjnego, a także w samej ustawie – włącznie z kontrolą prawidłowości przetwarzania danych dokonaną w siedzibie administratora (art. 14 punkt 1 – 3 ustawy). Poprzestanie na samym zapytaniu burmistrza o zgodność procesu przetwarzania danych z prawem i bezkrytyczne uznanie, że twierdząca odpowiedź jest wystarczająca dla ustalenia rzeczywistego stanu faktycznego, nie mogą być uznane za prawidłowe. Poza tym organ w najmniejszym stopniu nie wyjaśnił, dlaczego pisemne stanowisko burmistrza uznaje za przekonujące, a zarzuty skarżącego traktuje jako nieprzekonujące, i dlaczego stawia wobec niego wymaganie udowodnienia, że Koło Polskiego Związku Niewidomych w G. pozyskało jego dane z Urzędu Gminy w G. (decyzja z [...] października 2005 r.). Przypomnieć należy, że w postępowaniu administracyjnym ciężar ustalenia okoliczności faktycznych spoczywa na organie. Organ nie może przy tym odmawiać przeprowadzenia danego dowodu tylko dlatego, że dotychczasowe jego ustalenia wskazują, iż dana okoliczność jest już udowodniona w sposób przeciwny. Nie przesądzając więc, czy wnioski dowodowe skarżącego złożone w postępowaniu administracyjnym są zasadne (np. wniosek o przesłuchanie burmistrza i jednego z pracowników urzędu gminy), negatywnie należy ocenić odmowę przeprowadzenia tych dowodów spowodowaną wyłącznie przekonaniem organu, że dane skarżącego są należycie zabezpieczone.

Sąd podkreśla, że jego intencją nie jest stanowcze przesądzenie, iż dane skarżącego były nienależycie zabezpieczone. Wydane w sprawie decyzje są wadliwe dlatego, że organ nie zebrał koniecznego materiału dowodowego do ustalenia rzeczywistego stanu faktycznego, czym naruszył art. 7 i 77 § 1 Kpa, choć dysponował środkami prawnymi umożliwiającymi zebranie tego materiału. Ponadto nawet ten niepełny materiał dowodowy, który w sprawie zgromadzono, nie został poddany należytej, obiektywnej ocenie. Organ nie wyjaśnił przyczyn, dla których bezkrytycznie dał wiarę pisemnym zapewnieniom administratora danych, iż przestrzega przepisów, natomiast pisemnym zarzutom skarżącego takiej wiary odmówił. Jest to tym bardziej niezrozumiałe, że – jak burmistrz sam przyznaje – akta sprawy cywilnej, zawierające opinię o stanie zdrowia psychicznego skarżącego, zostały zdeponowane w archiwum zakładowym dopiero w 2002 r., choć sprawa ta została zakończona już w 1998 r. Burmistrz nie podaje przy tym powodów tej zwłoki, a organ o te powody go nie zapytał. Taka ocena pism burmistrza nie może być uznana za dopuszczalną, swobodną ocenę dowodów (art. 80 Kpa), lecz stanowi przykład oceny dowolnej.

W tym miejscu zauważyć należy, że zasadniczą rolą organu ochrony danych osobowych nie jest ustalenie w kategoryczny, wiążący sposób, czy dane osobowe zostały nielegalnie udostępnione przez określonego administratora danych, gdyż taką rolę prawo przewiduje raczej dla organów ścigania karnego. Nielegalne udostępnienie danych, zwłaszcza kwalifikowanych danych o stanie zdrowia, w tym zdrowia psychicznego, stanowi bowiem przestępstwo określone w art. 51 ustawy. Rolą organu ochrony danych jest przede wszystkim podejmowanie działań o charakterze prewencyjnym, w tym wydawanie decyzji administracyjnych w celu przywrócenia stanu zgodnego z prawem (art. 18 ustawy) i w celu zapewnienia, że w przyszłości dane te, m.in. poprzez właściwe zabezpieczenie, będą efektywnie chronione. Dla wydania takiej prawidłowej decyzji restytucyjnej organ powinien ustalić, czy przestrzegane są przepisy o ochronie danych osobowych, gdyż przestrzeganie tych przepisów stanowi jedyną gwarancję rzeczywistego bezpieczeństwa danych. W tym kontekście jako niewłaściwe należy ocenić skoncentrowanie się organu na ustaleniu, czy dane skarżącego zostały udostępnione osobom i podmiotom nieupoważnionym. Po pierwsze bowiem, jak wyżej wyjaśniono, kwestia ta stanowi raczej domenę postępowania karnego, po drugie natomiast – pytanie administratora danych o nielegalne udostępnianie danych nie mogło przynieść oczekiwanego skutku, gdyż odnotowywanie udostępniania danych oraz upoważnienie do dostępu do nich dotyczy przetwarzania legalnego. Jeśli dochodzi do nielegalnego udostępnienia danych, to z definicji nie jest ono zazwyczaj odnotowywane w żadnej formie i w żadnym dokumencie, nie może też być ono objęte upoważnieniem administratora. W tej sytuacji jedyną możliwością prawnej reakcji GIODO jest wyegzekwowanie przestrzegania przepisów o ochronie danych, skierowane na przyszłość, w celu prewencyjnym. Ustalenie, że do nielegalnego udostępnienia danych już doszło, skutkuje co najwyżej obowiązkiem GIODO zawiadomienia organów ścigania karnego, chyba że z okoliczności faktycznych sprawy wynika, iż administrator danych w sposób ciągły, permanentny zamierza te dane nielegalnie udostępniać w przyszłości - czy to dlatego, że błędnie uznaje taką praktykę za legalną, czy też dlatego, że kieruje się jakimiś innymi motywami, mając pełną świadomość bezprawności swojego działania. Tylko w takim wypadku celowe i zasadne byłoby wydanie decyzji administracyjnej zakazującej udostępniania danych w przyszłości (art. 18 ust. 1 punkt 2 in fine ustawy).

Niezasadnie jednak skarżący zarzuca organowi, że nie powiadomił organów Prokuratury o przestępstwie bezprawnego ujawnienia danych osobowych. Abstrahując od oceny, czy do takiego przestępstwa istotnie doszło (nie może w tej kwestii wypowiadać się organ, ani nawet sąd administracyjny), ewentualne zawiadomienie o podejrzeniu popełnienia przestępstwa nie przybiera formy decyzji administracyjnej. Poza tym nic nie stoi na przeszkodzie, aby takiego powiadomienia dokonał sam skarżący.

Odnośnie trzeciej kwestii będącej przedmiotem postępowania organu, tj. wykonania wobec skarżącego obowiązku informacyjnego wynikającego z art. 32 i 33 ustawy, Sąd także nie podzielił oceny Generalnego Inspektora, że skarżący nie sformułował pod adresem administratora żądania wykonania takiego obowiązku. Z akt sprawy wynika w sposób jednoznaczny, że skarżący zwracał się o udzielenie mu żądanych informacji kilkakrotnie. Przesłał też do organu kopie swoich wystąpień, w których zawarł takie żądanie (np. pismo skarżącego do burmistrza Gminy z 10 stycznia 2005 r., k. 66 akt administracyjnych, oraz odpowiedź burmistrza na to pismo wskazująca, że pismo z 10 stycznia 2005 r. dotarło do adresata, k. 48 akt administracyjnych). Skarżący nie tylko więc sformułował żądanie udzielenia mu określonych informacji o przetwarzaniu jego danych osobowych, ale nawet wyraźnie podał prawidłową podstawę prawną swojego żądania. Generalny Inspektor wadliwie ocenił zatem, że takie żądanie nie padło. Niemniej Sąd podzielił ocenę organu, że burmistrz Gminy udzielił skarżącemu informacji, o których mowa w art. 33 ust. 1 ustawy. Istotnie – pismo z 14 grudnia 2004 r. zawarte w aktach administracyjnych sprawy, a skierowane do skarżącego, wyjaśnia mu, że przedmiotowa opinia psychiatryczna jest zdeponowana w archiwum Gminy, że została ona sporządzona w związku z zainicjowanym przez skarżącego postępowaniem sądowym, że dostęp do niej mają wyłącznie upoważnieni pracownicy urzędu gminy. Udzielenie tych informacji stanowiło prawidłowe wykonanie obowiązku, o którym mowa w art. 33 ust. 1 ustawy. Odrębną kwestią jest natomiast to, czy informacja, że dostęp do tej opinii miały wyłącznie osoby uprawnione, była informacją prawdziwą. O ewentualnym udostępnieniu tych danych osobom i podmiotom nieuprawnionym administrator danych mógł nie wiedzieć, a poza tym obowiązek poinformowania o udostępnianiu danych dotyczy udostępniania legalnego. Nie dotyczy on, jak należy przyjąć, nielegalnego przekazywania danych, gdyż takie przekazywanie w ogóle nie może mieć miejsca. Trudno oczekiwać zatem, aby ustawa nakazywała udzielania informacji o nielegalnym udostępnianiu danych.

W dalszym postępowaniu organ wyczerpująco uzasadni swoje stanowisko co do możliwości archiwizowania danych o stanie zdrowia skarżącego, wyjaśni, jak długo te dane mogą być przechowywane i skąd wynika uprawnienie administratora do czasowego lub wieczystego przetwarzania tych danych, następnie ustali wszystkimi możliwymi środkami, czy dane te są właściwie zabezpieczone i czy administrator zachowuje formalne wymagania ustawy w tym zakresie, po czym ponownie orzeknie co do zasadności żądań skarżącego.

Mając powyższe na uwadze, na podstawie art. 145 § 1 punkt 1 lit. "c" Prawa o postępowaniu przed sądami administracyjnymi Sąd orzekł, jak w punkcie 1 sentencji wyroku. Odnośnie wstrzymania wykonania zaskarżonej decyzji podstawą wyroku był art. 152 tej ustawy, a odnośnie wynagrodzenia pełnomocnika skarżącego – jej art. 250 w związku z § 18 ust. 1 punkt 1 lit. "c" rozporządzenia Ministra Sprawiedliwości z dnia 28 września 2002 r. w sprawie opłat za czynności adwokackie oraz ponoszenia przez Skarb Państwa kosztów nieopłaconej pomocy prawnej udzielonej z urzędu (Dz. U. Nr 163, poz. 1348 ze zm.).