Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Maria Werpachowska, Sędziowie WSA Ewa Kwiecińska (spr.), WSA, Joanna Kube, Protokolant Łukasz Pilip, po rozpoznaniu na rozprawie w dniu 13 stycznia 2006 r. sprawy ze skargi I. Sp. z o.o. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2005 r. nr [...] w przedmiocie odmowy stwierdzenia nieważności decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2005 r. nr [...] - oddala skargę -

W dniu [...] lutego 2005 r. Generalny Inspektor Ochrony Danych Osobowych wydał decyzję nr [...], nakazującą I. Sp. z o.o. z siedzibą w W. przy ul. [...] usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez:

1. Zaprzestanie zbierania danych osobowych klientów - nabywców [...], w zakresie szerszym niż jest to niezbędne dla realizacji celu przetwarzania danych (opracowanie oferty cieszącej się maksymalnym zainteresowaniem), tj.:

a) stanu cywilnego nabywcy [...],

b) zawodu wykonywanego przez osoby podróżujące wraz z nabywcą [...],

c) informacji zawartej w pkt. 1 ankiety zgłoszeniowej ([...]),

d) informacji zawartej w pkt. 5 ankiety zgłoszeniowej ([...]),

e) informacji zawartej w pkt. 12 ankiety zgłoszeniowej ([...]),

f) informacji zawartej w pkt. 16 ankiety zgłoszeniowej ([...]),

od dnia, kiedy niniejsza decyzja stanie się ostateczna.

2. Usunięcie danych osobowych klientów - [...], przetwarzanych bez podstawy prawnej, w celu opracowania oferty cieszącej się maksymalnym zainteresowaniem, tj. informacji zawartych w odpowiedziach na pytania nr 2, nr 3, nr 4, nr 7, nr 8, nr 9, nr 10, nr 13 i nr 15, znajdujące się w ankiecie zgłoszeniowej, w terminie 14 dni od dnia, kiedy niniejsza decyzja stanie się ostateczna.

3. Usunięcie danych osobowych osób podróżujących z nabywcą [...], przetwarzanych bez podstawy prawnej, w celu związanym z realizacją prawa pobytu w [...], tj.: imienia, nazwiska, roku urodzenia, w terminie 14 dni od dnia, kiedy niniejsza decyzja stanie się ostateczna.

4. Dopełnianie obowiązku informacyjnego, o którym mowa w art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r., Nr 101, poz. 926 z póżn. zm.), wobec osób podróżujących wspólnie z nabywcą [...], w zakresie:

a) adresu swojej siedziby i pełnej nazwy,

b) celu i zakresu zbierania danych,

c) źródła danych,

d) prawa dostępu do treści swoich danych oraz ich poprawiania,

od dnia, kiedy niniejsza decyzja stanie się ostateczna.

5. Określenie w umowie współpracy, zawartej przez I. Sp. z o.o. w dniu [...] stycznia 2004 r. z C. Sp. z o.o. z siedzibą w W. przy ul. [...], zakresu przetwarzania danych osobowych przez C. Sp. z o.o., w terminie 14 dni od dnia, kiedy niniejsza decyzja stanie się ostateczna.

6. Zastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych klientów I. Sp. z o.o., pracowników oraz osób świadczących na jej rzecz usługi na podstawie umów cywilnoprawnych, przed ich udostępnieniem osobom nieupoważnionym, odpowiednią do zagrożeń i kategorii danych objętych ochroną, w terminie 14 dni od dnia, kiedy niniejsza decyzja stanie się ostateczna.

7. Zgłoszenie zbioru danych osobowych klientów do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych, od dnia, kiedy niniejsza decyzja stanie się ostateczna.

8. Opracowanie polityki bezpieczeństwa zawierającej:

a) wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych,

b) opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi,

w terminie 30 dni od dnia, kiedy niniejsza decyzja stanie się ostateczna.

W dniu [...] kwietnia 2005 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął wniosek Spółki o stwierdzenie nieważności ww. decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2005 r., na podstawie art. 156 § 1 pkt 2 Kodeksu postępowania administracyjnego, w zakresie nakazującym usunięcie uchybień w procesie przetwarzania danych osobowych poprzez:

” zgłoszenie do rejestracji Generalnemu Inspektorowi zbioru danych osobowych klientów,

” usunięcie danych osobowych osób podróżujących wspólnie z nabywcą [...],

” dopełnianie obowiązku informacyjnego wobec osób podróżujących wspólnie z nabywcą [...].

W uzasadnieniu ww. wniosku podniesiono, że decyzja Generalnego Inspektora Ochrony Danych Osobowych została wydana z rażącym naruszeniem przepisów art. 23 ust. 1 pkt 3 i pkt 5 w związku z art. 23 ust. 4 oraz art. 43 ust. 1 pkt 4, pkt 8 i pkt 11 ustawy o ochronie danych osobowych.

Po przeprowadzeniu postępowania administracyjnego w sprawie wniosku o stwierdzenie nieważności decyzji Generalny Inspektor Danych Osobowych wydał w dniu [...] czerwca 2005 r. decyzję nr [...], odmawiającą stwierdzenia nieważności decyzji objętej wnioskiem.

W uzasadnieniu decyzji organ wskazał, iż z ustaleń dokonanych w toku kontroli wynika, że dane osób, które nabyły prawo do pobytu w [...] nie są przetwarzane wyłącznie w celu wystawienia faktury, lecz także w celu realizacji umowy oraz w celu dowodowym, na wypadek zgłoszenia roszczeń wobec Spółki. Nie można również zgodzić się z twierdzeniem Spółki, iż przetwarza ona dane ww. osób w zakresie drobnych bieżących spraw życia codziennego, bowiem zawieranie i wykonywanie umów - [...], tj. realizacji podstawowego przedmiotu działalności Spółki, nie można zaliczyć do takiej kategorii spraw.

Ponadto Generalny Inspektor podkreślił, że dane klientów przetwarzane przez I. Sp. z o.o., czy to w systemie informatycznym, czy to w dokumentacji papierowej, tworzą jeden zbiór danych. W ocenie organu, zastosowanie różnych metod przetwarzania danych (informatycznych i tradycyjnych) nie prowadzi do podziału zbioru na wiele zbiorów danych. Spółka jest zatem zobowiązana, stosownie do treści art. 40 ustawy o ochronie danych osobowych, zgłosić zbiór danych osobowych klientów do rejestracji Generalnemu Inspektorowi, gdyż w tym przypadku nie ma zastosowania żadna z okoliczności zwalniających administratora danych z tego obowiązku, wymienionych w art. 43 ust. 1 ustawy.

W uzasadnieniu decyzji wskazano także, iż w odniesieniu do przetwarzania danych osób podróżujących wspólnie z nabywcą [...], nie ma zastosowania przesłanka legalizująca przetwarzanie danych, wskazana w art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych. Przepis ten uprawnia bowiem do przetwarzania danych osobowych strony umowy lub osoby, która kieruje żądanie podjęcia odpowiednich działań przed zawarciem umowy. Stroną umowy - [...] jest nabywca [...] a nie osoba, która podróżuje wspólnie z nabywcą.

W ocenie Generalnego Inspektora Ochrony Danych Osobowych, nie jest również uzasadnione twierdzenie Spółki, iż podstawą przetwarzania danych osób jest przepis art. 23 ust. 1 pkt 2 ustawy w związku z art. 10 ust. 2 ustawy z dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych. Powyższa przesłanka legalności przetwarzania danych osobowych znajduje zastosowanie z chwilą zameldowania danej osoby w [...] Spółka pozyskuje jednak, jak podkreśla organ, dane osób podróżujących z nabywcą [...] znacznie wcześniej, tj. w momencie uzyskania wypełnionej ankiety zgłoszeniowej.

Generalny Inspektor nie podzielił również zarzutów Spółki, iż jest ona zwolniona z obowiązku informacyjnego wobec osób podróżujących wspólnie z nabywcą [...] z uwagi na brak danych umożliwiających identyfikację tych osób. W warunkach realizacji [...] zawarty jest przecież zapis, z którego wynika, że nabyte uprawnienia dotyczą rodziny maksymalnie czteroosobowej, którą stanowią również zstępni i wstępni, prowadzący wspólne gospodarstwo domowe. Świadczy to o tym, zdaniem organu, iż adres wskazany w ankiecie zgłoszeniowej odnosi się także do osób podróżujących wspólnie z nabywcą [...].

W ocenie Generalnego Inspektora, nie istnieje zatem podstawa do stwierdzenia nieważności kwestionowanej decyzji z dnia [...] lutego 2005 r.

W dniu [...] czerwca 2005 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął, złożony w terminie, wniosek I. Sp. z o.o. o ponowne rozpatrzenie sprawy. Zdaniem Spółki, powyższa decyzja została wydana z rażącym naruszeniem prawa. Prezes Zarządu Spółki przytoczyła we wniosku te same argumenty, które przedstawiła we wcześniejszym wniosku o stwierdzenie nieważności decyzji.

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] lipca 2005 r. nr [...], utrzymał zaskarżoną decyzję w mocy. Skargę na decyzję tę wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie I. Sp. z o.o. W skardze podniesiono, iż:

1. Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2005 r. została wydana z rażącym naruszeniem przepisów ustawy o ochronie danych osobowych, tj. art. 23 ust. 1 pkt 3 i pkt 5 w związku z art. 23 ust. 4 oraz art. 43 ust. 1 pkt 4, pkt 8 i pkt 11 ustawy o ochronie danych osobowych, w zakresie uchybień w procesie przetwarzania danych osobowych, które obejmują:

” niezgłoszenie do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych zbioru danych osobowych klientów,

” usunięcie danych osób podróżujących wraz z nabywcą [...],

” nierealizowanie obowiązku informacyjnego wobec osób podróżujących wspólnie z nabywcą [...] w zakresie: adresu siedziby i pełnej nazwy administratora danych, celu zbierania danych, źródła danych, prawa dostępu do treści swoich danych oraz ich poprawiania.

2. Spółka nie ma obowiązku zgłoszenia zbioru danych osobowych klientów do rejestracji Generalnemu Inspektorowi. Dane te są przetwarzane w związku z rejestracją sprzedaży i kosztów dla naliczania podatku VAT. Ewidencja sprzedaży zawierająca dane klienta umożliwiające jego identyfikację nie należy do kategorii zbiorów danych podlegających rejestracji, stosownie do treści art. 43 ust. 1 pkt 8 ustawy. Ponadto, pozyskiwanie przez Spółkę danych osobowych klientów dotyczy wykonywania zawartych umów życia codziennego. Oznacza to, że zbiór danych osobowych klientów zawartych w korespondencji prowadzonej pomiędzy Spółką, a klientem nie podlega, stosownie do treści art. 41 ust. 1 pkt 11 ustawy, obowiązkowi zgłoszenia do rejestracji.

3. I. Sp. z o.o. przetwarza dane osób podróżujących z nabywcą [...] na podstawie art. 23 ust. 1 pkt 3 i pkt 5 w zw. z art. 23 ust. 4 ustawy o ochronie danych osobowych oraz art. 10 ust. 2 i art. 11 ustawy z dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych (t.j. Dz. U. z 2001 r. Nr 87 poz. 960 z późn. zm.). Pozyskiwanie danych osób podróżujących wspólnie z nabywcą [...] jest zgodne z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych.

4. Nierealizowanie obowiązku informacyjnego wobec osób podróżujących z nabywcą [...] wynika z braku danych umożliwiających identyfikację tych osób.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie i podtrzymał argumentację zawartą w uzasadnieniu zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Stosownie do treści art. 13 § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), do rozpoznania sprawy właściwy jest wojewódzki sąd administracyjny, na którego obszarze właściwości ma siedzibę organ administracji publicznej, którego działalność została zaskarżona.

Art. 1 § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269) statuuje zasadę kontroli przez sąd administracyjny zaskarżonych decyzji pod względem ich zgodności z prawem.

Jednocześnie, zgodnie z art. 134 § 1 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, sąd rozstrzygając w granicach danej sprawy, nie jest związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną.

Rozpoznając skargę w świetle powołanych powyżej przepisów, należy stwierdzić, że nie zasługuje ona na uwzględnienie.

W myśl art. 40 ustawy o ochronie danych osobowych, zwanej dalej "u.o.d.o.", administrator danych jest obowiązany zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi, z wyjątkiem przypadków, o których mowa w art. 43 ust. 1 ustawy. Omawianemu obowiązkowi podlega każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie (art. 7 pkt 1 u.o.d.o.). Wymagowi rejestracji poddane są zarówno zbiory zautomatyzowane, jak i zbiory tradycyjne (normalne, kartotekowe). Jak się zaznacza w komentarzu do dyrektywy 95/46/EC, która zawiera podobną jak polska ustawa definicję zbioru danych (personal data filing system: "filing system"), zbiorami takimi mogą być również ręczne zbiory ewidencyjne, zgromadzone akta (teczki, kartoteki) osobowe, a nawet zgromadzone, znormalizowane materiały, na przykład formularze, kwestionariusze (jednakowe karty o takiej samej strukturze), uporządkowane i ułożone w odpowiedni sposób (Janusz Barta, Paweł Fajgielski, Ryszard Markiewicz "Ochrona danych osobowych - Komentarz", Wydanie III, Zakamycze 2004, s. 390, teza 2 do art. 7).

Z akt administracyjnych sprawy wynika, iż skarżąca przetwarza dane osób fizycznych, które nabyły prawo do pobytu w [...] w Z.. Zakres przetwarzania danych obejmuje miedzy innymi: imię, nazwisko, rok urodzenia, wykonywany zawód, numer telefonu, adres. Dane te przetwarzane są w formie dokumentacji papierowej oraz w systemie informatycznym. Dokumenty zawierające dane osób, jak wskazuje Generalny Inspektor, przechowywane są w tekturowych teczkach oznaczonych nazwą [...] i w segregatorach oznaczonych "I". i "I. reklamacje 2004". W teczkach dokumenty ułożono oddzielnie dla każdego klienta, według daty potwierdzenia rezerwacji. W segregatorach dokumenty przechowywane są oddzielnie dla każdego klienta i ułożone w kolejności alfabetycznej według nazwiska klienta. Ponadto, Spółka prowadzi w [...] w Z. książkę zameldowań, do której wpisywane są dane osób realizujących prawo pobytu w tym Ośrodku na podstawie wykupionego [...]. Zawarte w ww. książce dane osobowe, wpisywane według daty przybycia obejmują: imię i nazwisko, datę urodzenia, adres miejsca pobytu stałego, oznaczenie dokumentu stwierdzającego tożsamość.

Opisane dane osobowe klientów tworzą zbiór danych, o którym mowa w art. 7 pkt 1 u.o.d.o. Podkreślić należy, iż wbrew twierdzeniom skarżącej, nie zachodzi żadna z okoliczności wskazanych w art. 43 ust. 1 ustawy, zwalniających Spółkę z obowiązku zgłoszenia do rejestracji powyższego zbioru danych, a w szczególności nie zachodzi okoliczność wymieniona w pkt. 8 i pkt. 11 przywołanego przepisu.

Wskazane dane osobowe nie są bowiem przetwarzane wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej (art. 43 ust. 1 pkt 8 ustawy). Dane te przetwarzane są także w celu realizacji umowy oraz w celu dowodowym, na wypadek zgłoszenia wobec Spółki roszczeń.

Nie można również podzielić poglądu Spółki, iż przetwarza ona dane ww. osób w zakresie drobnych bieżących spraw życia codziennego (art. 43 ust. 1 pkt 11 u.o.d.o.). Dane te przetwarzane są przede wszystkim w celu zawarcia i wykonania umowy nabycia [...], a zatem w celu realizacji podstawowego przedmiotu działalności Spółki.

Słusznie zatem Generalny Inspektor Ochrony Danych Osobowych uznał, iż skarżąca ma obowiązek zgłoszenia mu do rejestracji zbioru danych osobowych klientów, niezależnie od tego, czy dane te przetwarzane są w systemie informatycznym, czy też w dokumentacji papierowej. Wobec powyższego, nie zasługuje na uwzględnienie zarzut Spółki, iż nałożenie na nią, mocą kwestionowanej w trybie postępowania nadzorczego decyzji Generalnego Inspektora z dnia [...] lutego 2005 r., obowiązku zgłoszenia do rejestracji opisanego zbioru danych osobowych klientów, nastąpiło z rażącym naruszeniem prawa, w rozumieniu art. 156 § 1 pkt 2 k.p.a., a w szczególności z rażącym naruszeniem art. 43 pkt 4, 8 i 11 ustawy.

Jak ustalono w toku kontroli, przetwarzanie danych osobowych klientów Spółki następuje nie tylko w celu wykonania umowy - [...]. Spółka pozyskuje dane osobowe nabywców [...] i osób wspólnie z nabywcą [...] podróżujących, także w celu opracowania optymalnej oferty, tj. oferty cieszącej się maksymalnym zainteresowaniem. Świadczą o tym zarówno wyjaśnienia Prezesa Spółki - K. S., złożone w dniu [...] sierpnia 2004 r. w toku postępowania kontrolnego ([...]), jak i treść gromadzonych danych. W takiej zaś sytuacji przepis art. 23 ust. 1 pkt 3 u.o.d.o. nie stanowi podstawy prawnej przetwarzania danych ww. osób, bowiem przepis ten dotyczy przetwarzania danych, gdy jest to konieczne dla realizacji umowy, w tym wypadku umowy - [...]. Słusznie zatem Generalny Inspektor w badanej w postępowaniu nadzorczym decyzji stwierdza, iż należy uzyskać zgodę od osób, których dane dotyczą, na przetwarzanie tych danych w celu opracowana optymalnej oferty, mając na względzie fakt, iż forma wyrażenia oświadczenia woli, którego treścią jest zgoda na przetwarzanie danych osobowych, musi być zgodna z przepisem art. 7 pkt 5 ustawy.

Wskazać należy, iż prawnej podstawy przetwarzania danych osób podróżujących wspólnie z nabywcą [...], nie stanowi przepis art. 23 ust. 1 pkt 3 u.o.d.o. Powołany przepis uprawnia do przetwarzania danych osobowych strony umowy lub osoby, która kieruje żądanie podjęcia odpowiednich działań przed zawarciem umowy. Słusznie zatem, Generalny Inspektor podkreśla, że stroną umowy [...] jest nabywca [...], a nie osoba, która podróżuje wspólnie z nabywcą.

Nie jest również uzasadnione twierdzenie skarżącej, że prawną podstawą przetwarzania danych osób podróżujących z nabywcą [...] jest przepis art. 23 ust. 1 pkt 2 u.o.d.o. w związku z art. 10 ust. 2 ustawy z dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych.

Przesłanka ta, jak zasadnie wskazuje organ, znajduje zastosowanie z chwilą zameldowania danej osoby w [...]. Spółka pozyskuje jednakże wskazane dane znacznie wcześniej, tj. w chwili uzyskania wypełnionej ankiety zgłoszeniowej.

Generalny Inspektor podkreślił, iż Spółka nie uzyskuje od wskazanych wyżej osób zgody na przetwarzanie danych. Skoro zatem skarżąca nie pozyskuje od osób podróżujących z nabywcą [...] zgody na przetwarzanie danych, a jednocześnie nie zachodzi żadna z przesłanek określonych w art. 23 ust. 1 pkt 2-5 u.o.d.o., usprawiedliwiających przetwarzanie danych, to zasadnie Generalny Inspektor mocą kwestionowanej decyzji z dnia [...] lutego 2005 r., nakazał skarżącej usunięcie danych osobowych osób podróżujących wspólnie z nabywcą [...], przetwarzanych zarówno w celu opracowania optymalnej oferty, jak i w celu związanym z realizacją prawa pobytu w [...]. Nie zasługuje zatem, na uwzględnienie zarzut wydania kwestionowanej, w toku postępowania o stwierdzenie nieważności, decyzji Generalnego Inspektora z dnia [...] lutego 2005 r. z rażącym naruszeniem art. 23 ust. 1 pkt 2, pkt 3 i pkt 5 w związku z art. 23 ust. 4 u.o.d.o., a także art. 10 ust. 2 cyt. ustawy o ewidencji ludności i dowodach osobistych.

Przepis art. 25 ust. 1 u.o.d.o. stanowi, iż w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o:

1) adresie swojej siedziby i pełnej nazwie, a w przypadku, gdy administratorem jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku,

2) celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych,

3) źródle danych,

4) prawie dostępu do treści swoich danych oraz ich poprawiania,

5) o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8 ustawy.

Wskazać należy, iż art. 25 ustawy odnosi się do przypadków zbierania danych w inny niż bezpośrednio od osoby, której dane dotyczą, sposób i z innych źródeł. Dla stosowania art. 25 nie ma znaczenia ani to, w jaki sposób następuje zapisywanie zbieranych danych, ani też jak długo takie zapisy mają być lub będą zachowane.

Informacje, o których mowa w przepisie art. 25 ust. 1 ustawy, powinny być skierowane do osoby, której dotyczą zbierane dane. Przekazanie informacji może nastąpić wraz z przesłaniem innych materiałów przez administratora danych, na przykład innych materiałów informacyjnych lub reklamowych katalogów, ofert itp. (J. Barta, P. Fajgielski, R. Markiewcz op. cit., s. 543).

Jak wynika z akt administracyjnych sprawy, skarżąca pozyskuje w ankiecie zgłoszeniowej, wypełnianej przez nabywcę [...], dane osób podróżujących wspólnie z nabywcą [...], w zakresie imienia i nazwiska, roku urodzenia oraz wykonywanego zawodu. Ponadto w ankiecie podaje się jeden adres. W części [...] zatytułowanej "Warunki realizacji" zawarte jest postanowienie, iż "nabyte uprawnienia dotyczą rodziny maksymalnie czteroosobowej, którą stanowią również wstępni i zstępni, prowadzący wspólne gospodarstwo domowe". Z przywołanego zapisu wynika, iż osoby podróżujące wspólnie z nabywcą [...] prowadzą z nabywcą [...] wspólne gospodarstwo domowe, to zaś wskazuje, iż adres podany przez nabywcę [...] jest adresem, pod który może nastąpić przekazanie informacji, o których mowa w art. 25 ust. 1 ustawy.

Podkreślić również należy, iż jak to wynika z protokołu kontroli, na podstawie dokumentów przesłanych przez nabywcę [...] do Spółki, w tym również na podstawie ankiety zgłoszeniowej, dokonywana jest rezerwacja w ośrodku wypoczynkowym. O dokonanej rezerwacji nabywca jest informowany na piśmie ([...] akt administracyjnych).

W tym stanie rzeczy, zarzuty Spółki, iż jest ona zwolniona z obowiązku informacyjnego wobec osób podróżujących wspólnie z nabywcą [...], z uwagi na brak danych umożliwiających identyfikację tych osób, ocenić należy jako bezzasadne. Nałożenie zatem, mocą kwestionowanej w postępowaniu nadzorczym decyzji, na skarżącą obowiązku informacyjnego, o którym mowa w art. 25 ust. 1 ustawy, nie stanowi rażącego naruszenia prawa.

Nałożenie mocą decyzji z dnia [...] lutego 2005 r. pozostałych obowiązków wymienionych w punktach: 1, 5, 6 i 8 decyzji, również nie nastąpiło z rażącym naruszeniem prawa. Nałożenie tych obowiązków nie było zresztą kwestionowane przez Spółkę w toku postępowania nadzorczego. Skarżąca wyjaśnia w skardze, iż stwierdzone przez Generalnego Inspektora uchybienia w pozostałym zakresie zostały przez nią usunięte.

Podkreślić należy, iż zarzuty skarżącej zawarte we wniosku o stwierdzenie nieważności decyzji oraz we wniosku o ponowne rozpatrzenie sprawy z dnia [...] czerwca 2005 r. w istocie zmierzają do weryfikacji ostatecznej decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2005 r. w takim zakresie, w jakim to jest właściwe dla postępowania odwoławczego, prowadzonego w trybie zwykłym. Weryfikacja kwestionowanej decyzji w tym zakresie jest jednakże niedopuszczalna z uwagi na zasadę trwałości ostatecznych decyzji administracyjnych (art. 16 § 1 k.p.a.).

Naruszenie prawa ma charakter rażący w takim przypadku, gdy czynności zmierzające do wydania decyzji administracyjnej oraz treść załatwienia sprawy w niej wyrażona stanowią zaprzeczenie stanu prawnego w całości lub w części. W ocenie Sądu, kwestionowana w trybie postępowania nadzorczego decyzja Generalnego Inspektora nie jest dotknięta wadą kwalifikowaną, o której mowa w przepisie art. 156 § 1 pkt 2 k.p.a. Słusznie zatem GIODO odmówił mocą zaskarżonej decyzji oraz poprzedzającej ją decyzji z dnia [...] czerwca 2005 r., na podstawie art.156 § 1 pkt 2 k.p.a., stwierdzenia nieważności swej decyzji z dnia [...] lutego 2005 r..

Mając powyższe na względzie, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w sentencji wyroku.