Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Jolanta Rudnicka Sędziowie: Sędzia NSA Bożena Popowska Sędzia del. WSA Przemysław Szustakiewicz (spr.) Protokolant starszy asystent sędziego Marta Sikorska po rozpoznaniu w dniu 3 grudnia 2015 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] Sp. z o.o. z siedzibą we W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 listopada 2013 r. sygn. akt II SA/Wa 1241/13 w sprawie ze skargi [...] Sp. z o.o. z siedzibą we W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2013 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną, 2. zasądza od [...] Sp. z o.o. z siedzibą we W. na rzecz Generalnego Inspektora Ochrony Danych Osobowych kwotę 120 (sto dwadzieścia) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

I OSK 1166/14

UZASADNIENIE

Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 19 listopada 2013 r., sygn. akt II SA/Wa 1241/13, oddalił skargę [...] Sp. z o.o. z siedzibą we W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych (dalej: GIODO) z dnia [...] kwietnia 2013 r. w przedmiocie przetwarzania danych osobowych.

Sąd I instancji przedstawił następujący stan sprawy:

GIODO, po rozpatrzeniu wniosku A. S., decyzją z dnia [...] grudnia 2011 r., odmówił uwzględnienia tegoż wniosku, wskazując, że [...] pozyskała jej dane osobowe w sposób legalny, ponieważ dostęp do danych jest możliwy w oparciu o akta znajdujące się w Krajowym Rejestrze Sądowym, dotyczące [...] Zakładów Zielarskich [...] S.A. z siedzibą we W., z których wynika, że wśród założycieli [...] została wymieniona A. S.

GIODO, po rozpoznaniu wniosku A. S. o ponowne rozpatrzenie sprawy, decyzją z dnia [...] marca 2012 r., uchylił decyzję z dnia [...] grudnia 2011 r.

GIODO, decyzją z dnia [...] grudnia 2012 r., nakazał [...] spełnienie wobec A. S. obowiązku informacyjnego, poprzez poinformowanie w jaki sposób i w jakim celu Spółka pozyskała jej dane osobowe oraz w jakim celu i zakresie dane te przetwarza. Wskazano, że Spółka pozyskała dane osobowe A. S. z powszechnie dostępnego źródła – Krajowego Rejestru Sądowego, dla wypełnienia prawnie usprawiedliwionego celu, wynikającego z przedmiotu jej działalności. Kierując do niej ofertę odkupienia akcji [...] Zakładów Zielarskich [...] S.A. z siedzibą we W., nie naruszyła praw i wolności osoby, której dane dotyczą. Uznano więc, że Spółka w sposób legalny i prawnie dopuszczalny pozyskał i przetwarza dane osobowe A.S. Podniesiono, że aktualnie Spółka nie kieruje do A. S. ofert zakupu akcji, co jednak nie zmienia faktu, iż pozyskane dane [...] przechowuje, co świadczy, że je przetwarza. Pozyskując dane i je przetwarzając, Spółka stała się ich administratorem, co obligowało ją do spełnienia względem A.S. obowiązków informacyjnych, wynikających z art. 25 ust. 1, art. 33 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2014 r. poz. 1182 ze zm., dalej: u.o.d.o.).

GIODO, po rozpoznaniu wniosków A. S. i [...] sp. z o.o. o ponowne rozpatrzenie sprawy, decyzją z dnia [...] kwietnia 2013 r., utrzymał w mocy decyzję z dnia [...] grudnia 2012 r.

Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu skargi [...] Sp. z o.o., uznał, że nie zasługuje ona na uwzględnienie. Podniesiono, że badając w sprawie zaistnienie przesłanek określonych w art. 23 ust. 1 pkt 5 u.o.d.o., konieczne jest każdorazowe dokonanie wyważenia interesów administratora danych i interesu osoby, której dane dotyczą, w aspekcie jej praw i wolności, przy uwzględnieniu celu ustawy o ochronie danych osobowych, którym jest ochrona prywatności. Przetwarzanie danych nie może zatem opierać się jedynie na przesłance prawnie usprawiedliwionego celu realizowanego przez administratora danych, wymagane jest bowiem, by było ono podyktowane niezbędnością i nie naruszało praw i wolności osoby, której dane dotyczą. Ocena ta ma służyć wyważeniu racji i interesów, z jednej strony osoby, której dane dotyczą, mającej objęty ochroną prawną interes, aby jej dane osobowe nie były przetwarzane bez jej zgody, a z drugiej strony – administratora danych, który ma także objęty ochroną prawną interes polegający na tym, że ma prawo realizować prawnie usprawiedliwione cele i uprawnienia. Podkreślono, że zasadą jest, iż dane osobowe mogą być przetwarzane za zgodą osoby, której dotyczą, a więc wszelkie wyjątki od niej muszą być interpretowane ściśle. Wskazano, że [...] Sp. z o.o., pozyskując dane i je przetwarzając, stała się ich administratorem, co obligowało ją do spełnienia względem A.S. obowiązków informacyjnych, wynikających z art. 25 ust. 1, art. 33 ust. 1 u.o.d.o., zwłaszcza że Spółka pozyskała dane nie od zainteresowanej i miała obowiązek poinformowania jej o okolicznościach przetwarzania danych, a także o tym, w jaki sposób i w jakim celu pozyskała jej dane osobowe oraz w jakim celu i zakresie dane te przetwarza. Podkreślono, że zasadności i konieczności spełnienia przez [...] Sp. z o.o. zaległego obowiązku informacyjnego względem A. S., nie mogą podważać twierdzenia Spółki o nieprzetwarzaniu w chwili obecnej danych osobowych A. S. Obowiązek informacyjny powinien być wykonany, a spełniając go, [...] Sp. z o.o. powinien usunąć dane osobowe A.S. dla wypełnienia jej woli i zrealizowania własnych twierdzeń o ich nieprzetwarzaniu, o czym także należy ją poinformować w kierowanej do niej informacji w wykonaniu decyzji nakazowej GIODO.

Skargę kasacyjną na powyższy wyrok złożyła [...] Sp. z o.o., żądając uchylenia wyroku WSA w Warszawie i przekazania sprawy do ponownego rozpoznania oraz zasądzenia kosztów postępowania. Zarzucono naruszenie:

• art. 8 K.p.a. oraz art. 7 ust. 4, art. 25 ust. 1, 33 ust. 1 u.o.d.o., ponieważ błędnie przyjęto, że w momencie wydania decyzji przez GIODO [...] przetwarzał dane osobowe A.S. Spółka, czyniąc zadość żądaniu GIODO, wysłała mu pozyskaną jedynie w tym celu s. 194 akt rejestrowych, tj. akt zawiązujący spółkę [...] ZZ [...] S.A., w którym zawarte były dane osobowe A. S. [...] Sp. z o.o. nie decydował o celach i środkach przetwarzania danych osobowych, a jedynie zrealizował żądanie GIODO, a więc nie był, jako administrator danych, zobowiązany na podstawie art. 25 ust. 1, art. 33 ust. 1 u.o.d.o., do realizacji zawartego w tych przepisach obowiązku informacyjnego;

• art. 18 ust. 1 pkt 1, art. 25 ust. 2 pkt 1 u.o.d.o. w zw. z art. 10 ust. 6 ustawy z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym (Dz.U. z 2015 r. poz. 1142), poprzez bezpodstawne niezastosowanie, pomimo że przepisy te dopuszczają zbieranie danych osobowych znajdujących się w aktach rejestrowych bez wiedzy osoby, której dane dotyczą. Tym samym, w świetle art. 25 ust. 2 pkt 1 u.o.d.o., na Spółce nie ciążył obowiązek informacyjny wobec A. S.;

• art. 18 ust. 1 pkt 1, art. 33 ust. 1 u.o.d.o., poprzez bezpodstawne zastosowanie tego przepisu w brzmieniu obowiązującym przed dniem 7 marca 2011 r., pomimo że w przedmiotowej sprawie należało zastosować go w brzmieniu obowiązującym od dnia 7 marca 2011 r. Konsekwencją tego było nałożenie na [...] Sp. z o.o., bez podstawy prawnej, obowiązku informacyjnego;

• art. 23 ust. 1 pkt 5, 25 ust. 1 u.o.d.o. w zw. z art. 104 K.p.a., ponieważ niewłaściwie uznano, że spełnienie obowiązku informacyjnego wobec A.S. warunkuje legalność pozyskania jej danych osobowych, w sytuacji gdy GIODO w sentencji decyzji odwoławczej rozstrzygnął sprawę co do istoty i potwierdził legalność pozyskania danych osobowych A. S. przez Spółkę. Ustawodawca nie uzależnia wypełnienia dyspozycji art. 23 ust. 1 pkt 5 u.o.d.o. od realizacji obowiązku informacyjnego, a więc niewykonanie obowiązku informacyjnego nie może prowadzić do konstatacji o braku podstawy prawnej pozyskania danych osobowych;

• art. 134, art. 145 § 1 pkt 1 lit. c P.p.s.a, w zw. z art. 7, art. 77 K.p.a., ponieważ nie uchylono decyzji GIODO. Brak było podstaw do nałożenia obowiązku informacyjnego, gdyż zaniechano ustalenia, czy [...] Sp. z o.o. przechowuje kopię s. 194 aktu założycielskiego Spółki [...] ZZ [...] S.A. oraz zaniechano przesłuchania Spółki w tym zakresie.

W odpowiedzi na skargę GIODO oraz A. S. wnieśli o jej oddalenie podkreślając, że zaskarżone orzeczenie jest zgodne z prawem.

Naczelny Sąd Administracyjny zważył, co następuje:

Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2012 r. poz. 270 ze zm., dalej: P.p.s.a.) NSA rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania, której przesłanki, określone w art. 183 § 2 P.p.s.a., w rozpoznawanej sprawie nie wystąpiły.

Związanie podstawami skargi kasacyjnej wymaga prawidłowego ich określenia w samej skardze. Wskazać zatem należy konkretne przepisy prawa, którym – zdaniem skarżącego – uchybił sąd i uzasadnić swoje twierdzenia. Uzasadnienie podstaw kasacyjnych polega na wykazaniu, że stawiane zarzuty mają usprawiedliwioną podstawę i zasługują na uwzględnienie. Uzasadniając zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, że sąd stosując przepis popełnił błąd w subsumcji, czyli niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa. W obu tych przypadkach autor skargi kasacyjnej wykazać musi jaka powinna być prawidłowa wykładnia zastosowanego przepis prawa, bądź jak powinien być stosowany konkretny przepis prawa ze względu na stan faktyczny sprawy, a w przypadku zarzutu niezastosowania przepisu – dlaczego powinien być zastosowany. Uzasadniając zaś naruszenie przepisów postępowania wykazać należy, że uchybienie to mogło mieć istotny wpływ na wynik sprawy. Skarga kasacyjna nieodpowiadająca powyższym wymaganiom uniemożliwia sądowi ocenę jej zasadności.

Wskazać należy, że zgodnie z art. 145 § 1 pkt 1 lit. c P.p.s.a., decyzja podlega uchyleniu, gdy sąd stwierdzi naruszenie prawa, jeżeli mogło mieć istotny wpływ na wynik sprawy. Naruszenie tego przepisu będzie miało miejsce wówczas, gdy, kontrolując legalność zaskarżonej decyzji, sąd nie dostrzeże, że rozstrzygnięcie to narusza przepisy postępowania, bądź, odnajdując błędy prawne, niewłaściwie oceni ich wpływ na wynik sprawy administracyjnej, przy czym w obu wypadkach ta wadliwość w rozumowaniu sądu musi mieć istotny wpływ na wynik sprawy sądowoadministracyjnej. Oznacza to, że gdyby organ nie naruszył prawa, to najprawdopodobniej zapadłaby decyzja o innej treści i tylko takie naruszenia przepisów mogłyby uzasadniać zastosowanie przez wojewódzki sąd administracyjny środka przewidzianego w art. 145 § 1 pkt 1 lit. c P.p.s.a.

Stwierdzić należy, że w postępowaniu administracyjnym zgromadzono materiał dowodowy w zakresie wystarczającym dla oceny zaistnienia przesłanek określonych w art. 25 ust. 1, art. 33 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2014 r. poz. 1182 ze zm., dalej: u.o.d.o.). Wyrażona z kolei w art. 7 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz.U. z 2013 r. poz. 267 ze zm., dalej: K.p.a.) zasada prawdy obiektywnej odnosi się w równym stopniu do zakresu i wnikliwości postępowania wyjaśniającego i dowodowego, jak i do stosowania norm prawa materialnego. Organy administracji publicznej mają obowiązek działać wnikliwie i szybko, posługując się możliwie najprostszymi środkami prowadzącymi do załatwienia sprawy, a także mają obowiązek podejmowania wszelkich kroków niezbędnych do jej wyjaśnienia i załatwienia. Na podstawie całokształtu materiału dowodowego organy mają następnie obowiązek ocenić, czy dana okoliczność została udowodniona. Natomiast art. 77 K.p.a. określa reguły zbierania materiału dowodowego. Podnieść trzeba, że w przedmiotowej sprawie nie można Sądowi I instancji skutecznie postawić zarzutu naruszenia powołanych przepisów, ponieważ nie dopuszczono się naruszeń, które miałyby wpływ na podjęte rozstrzygniecie. WSA w Warszawie prawidłowo ocenił zebrane w toku postępowania administracyjnego dowody, a sposób ich zebrania i ich jakość nie budzą wątpliwości. Tym samym zarzut naruszenia art. 134, art. 145 § 1 pkt 1 lit. c P.p.s.a. należy uznać za nieusprawiedliwiony.

Zauważyć trzeba, że istotą przedmiotowej sprawy jest możliwość wykorzystania danych osobowych pozyskanych z publicznego rejestru. Ustawa o ochronie danych osobowych nie wprowadza specjalnych obowiązków w zakresie pozyskiwania danych z publicznych rejestrów (tu: z Krajowego Rejestru Sądowego). Celem rejestrów publicznie dostępnych jest bowiem udostępnienia informacji na potrzeby obrotu prawnego. Zapoznawanie się z takim danymi jest legalnie, co wynika wprost z art. 8 ust. 1 ustawy z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym (Dz.U. z 2015 r. poz. 1142, dalej: u.K.R.S.) statuującego zasadę jawności rejestru oraz art. 10 ust. 1 u.K.R.S. określającego prawo każdego zainteresowanego do przeglądania akt. Wbrew zarzutom skargi kasacyjnej zarówno Generalny Inspektor Ochrony Danych Osobowych (dalej: GIODO), jak i Sąd I instancji, nie wskazują, że pozyskanie danych A. S. przez [...] Sp. z o.o. było nielegalne, a więc zarzut obrazy art. 18 ust. 1 pkt 1, art. 25 ust. 2 pkt 1 u.o.d.o. w zw. z art. 10 ust. 6 u. K.R.S. jest niezrozumiały. Wprost przeciwnie – w uzasadnieniu wyroku WSA w Warszawie podkreślił, że [...] Sp. z o.o. , realizując swój cel wynikający ze statutowych założeń i dążeń, posiadał uprawnienie do pozyskania danych A. S. z Krajowego Rejestru Sądowego oraz ich przetwarzania. Podkreślić jednak należy, że nawet zgodne z prawem pozyskanie danych nie zwalania podmiotu, który je pozyskał od obowiązków wobec osoby, której dane te dotyczą. Nie budzi wątpliwości, że Spółka pozyskała dane A. S. i wykorzystywała je, kierując do niej propozycję odkupu posiadanych przez na akacji. Przypomnieć w tym miejscu trzeba, że zgodnie z art. 7 pkt 2 u.o.d.o., ilekroć w ustawie jest mowa o przetwarzaniu danych, rozumie się przez to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Definicja pojęcia "przetwarzanie danych osobowych" jest zatem bardzo szeroka – każdy rodzaj czynności na danych osobowych jest już ich przetwarzaniem, co rodzi obowiązki administratora danych wobec osoby, której dane są przetwarzane. W tym rodzaju czynności mieści się również przechowywanie kopii akt Krajowego Rejestru Sądowego z danymi osobowymi A. S. Nie budzi również wątpliwości, że [...] Sp. z o.o. z chwilą pozyskania danych osobowych A. S. z akt rejestrowych, stał się w świetle art. 7 pkt 4 u.o.d.o., administratorem danych, ponieważ decydował o celach i środkach ich przetwarzania. Dodać należy, że przetwarzanie danych obejmuje zarówno przetwarzanie ich w zbiorach, jaki poza nimi, jak bowiem uznał Sąd Najwyższy w postanowieniu z dnia 11 grudnia 2000 r., sygn. akt II KNN 438/00 "dane osobowe korzystają z ochrony przewidzianej ustawą o ochronie danych osobowych już wówczas, jeżeli tylko mogą znaleźć się w zbiorze danych osobowych, bez względu na to, czy się w nim znalazły wstecznie". Oznacza to, że nawet jednorazowe pozyskanie danych osobowych, tylko w jednym celu przez podmiot, który spełnia warunki, aby zostać uznanym za administratora, w rozumieniu art. 7 pkt 4 u.o.d.o., nakłada na niego obowiązki wobec osoby, której dane są przetwarzane. Wyjątki w tym zakresie są określone w art. 3a u.o.d.o., nie budzi jednak wątpliwości, że [...], jako spółka prawa handlowego, tym zwolnieniom nie podlega. Dlatego też słusznie, zarówno w postępowaniu administracyjnym jak i sądowoadministracyjnym, wskazano, że Spółka, co najmniej w chwili, gdy wystąpiła do A. S. z propozycją odkupienia akcji, powinna zrealizować wobec niej obowiązek informacyjny wynikający z art. 25 ust. 1, art. 33 ust. 1 u.o.d.o. Obowiązek informacyjny jest bowiem niezależny od tego skąd administrator pozyskał dane osobowe, czy dane są umieszczone w zbiorze oraz jak długo administrator ma zamiar je przechowywać.

Zarzut naruszenia art. 18 ust. 1 pkt 1, art. 33 ust. 1 u.o.d.o. poprzez ich zastosowanie w brzmieniu sprzed wejścia w życie przepisów ustawy z dnia 29 października 2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw (Dz.U. nr 229 poz. 1497) również nie znajduje uzasadnienia. Błędny jest pogląd, że uchylenie przez GIODO decyzją z dnia 20 marca 2012 r. swojej poprzedniej decyzji i ponowne rozpoznanie sprawy wskazywało, iż należałby zastosować w sprawie art. 18 ust. 1, art. 33 ust. 1 u.o.d.o. w nowym brzmieniu. Przypomnieć należy, że zgodnie z art. 5 powołanej noweli do postępowań wszczętych i niezakończonych przed dniem wejścia w życie przepisów nowelizujących (tj. 7 marca 2011 r.) należy stosować przepisy w brzmieniu dotychczas obowiązującym. Postępowanie administracyjne z wniosku A. S. zostało wszczęte w dniu 30 września 2010 r., gdy wystąpiła ona z wnioskiem do GIODO, a zatem, zgodnie z powołanym art. 5, powinno się w toku całego postępowania stosować przepisy w brzmieniu sprzed dnia 7 marca 2011 r. Uchylenie decyzji przez GIODO i przekazanie sprawy do ponownego rozpatrzenia nie oznacza, że postępowanie zostało niejako wszczęte na nowo, nadal bowiem dotyczy tej samej sprawy wszczętej wnioskiem z dnia 30 września 2010 r.

Naczelny Sąd Administracyjny, z uwagi na powyższe, na podstawie art. 184 P.p.s.a., orzekł jak w sentencji. O kosztach postępowania kasacyjnego rozstrzygnięto zgodnie z art. 209 w zw. z art. 204 pkt 1, art. 205 § 2 P.p.s.a.