Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Pocztarek Sędziowie: sędzia NSA Jolanta Rajewska (spr.) sędzia del. WSA Ewa Kwiecińska Protokolant Anna Krakowiecka po rozpoznaniu w dniu 15 marca 2010 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 3 marca 2009 r. sygn. akt II SA/Wa 1349/08 w sprawie ze skargi T. W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2008 r. [...] w przedmiocie umorzenia postępowania w sprawie ochrony danych osobowych oddala skargę kasacyjną.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 3 marca 2009 r., sygn. akt II SA/Wa 1349/08 uchylił decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2008 r., [...] oraz poprzedzającą ją decyzję z dnia [...] maja 2008 r. w przedmiocie umorzenia postępowania w sprawie ochrony danych osobowych.

Wyrok zapadł w następujących okolicznościach sprawy.

Generalny Inspektor Ochrony Danych Osobowych decyzję z dnia [...] maja 2008 r. [...], wydaną na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm. – dalej w skrócie k.p.a.) oraz art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), umorzył postępowania w sprawie ochrony danych osobowych. Uzasadniając tę decyzję, organ wskazał, iż T. W. zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych o podjęcie stosownych działań, gdyż [...] Sp. z o.o. z siedzibą w W. nie dopełniła wobec niego obowiązku informacyjnego wynikającego z art. 33 cyt. ustawy o ochronie danych osobowych. W toku przeprowadzonego postępowania organ ustalił, iż Spółka przetwarzała dane osobowe skarżącego na podstawie umowy o świadczenie usług telekomunikacyjnych z dnia 30 kwietnia 2001 r. zawartej z [...] System W. T. z siedzibą w W. Pismami z dnia 8 listopada 2007 r. oraz z dnia 16 grudnia 2007 r. skarżący wystąpił do [...] o udostępnienie mu jego danych w celu ich weryfikacji. Spółka wniosku tego nie uwzględniła, argumentując, iż uprawnienia wynikające z ustawy o ochronie danych osobowych, w tym przewidziane w art. 33 ustawy, nie przysługują osobom prowadzącym działalność gospodarczą. Stanowisko to jest zasadne, co oznacza, że w sprawie omawiana ustawa nie ma zastosowania, a zatem postępowanie wszczęte na jej podstawie podlegało umorzeniu. Ponadto organ stwierdził, że brak jest dowodów, iż skarżący poinformował [...] o zaprzestaniu prowadzenia działalności gospodarczej. Powyższego faktu nie potwierdza w szczególności kopia przedstawionego przez T. W. pisma z dnia [...] sierpnia 2007 r., ponieważ Spółka oświadczyła, iż takiego podania od skarżącego nie otrzymała.

W dniu 3 czerwca 2008 r. T. W. wniósł o ponowne rozpatrzenie sprawy, zarzucając, że organ pobieżnie i lakonicznie załatwił jego sprawę, a swe rozstrzygnięcie oparł na nieprawdziwych informacjach uzyskanych tylko od Spółki. Ponadto wyjaśnił, iż w dniu 2 lipca 2007 r. przesłał na nr faksu [...] kopię decyzji o wykreśleniu swej działalności z ewidencji działalności gospodarczej. Konsultanci Biura Obsługi Klienta tego samego dnia i w późniejszych rozmowach telefonicznych wielokrotnie potwierdzali fakt otrzymania takiego zawiadomienia. Niezależnie od tego w dniu 15 kwietnia 2008 r. po raz kolejny złożył w biurze Spółki dokument potwierdzający wyrejestrowanie działalności gospodarczej.

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] sierpnia 2008 r. [...] utrzymał w mocy swą poprzednią decyzję z dnia [...] maja 2008 r. Ponawiając wyrażone tam stanowisko, organ stwierdził, że w dalszym ciągu nie został udowodniony fakt, iż T. W. zawiadomił Spółkę o zaprzestaniu prowadzenia działalności gospodarczej. Wymieniony w dniu 15 kwietnia 2008 r. złożył kopię swego pisma z dnia 1 lipca 2007 r., a tym samym sam przyznał, że Spółka wcześniej nie została o tej okoliczności poinformowana. Oznacza to, że [...] przetwarzała dane osobowe T. W. nie jako osoby fizycznej, lecz jako podmiotu gospodarczego. Należy zatem uznać, że ustawa o ochronie danych osobowych nie miała w niniejszej sprawie zastosowania. Powyższe dane Spółka przetwarzała na podstawie ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej (Dz. U. z 2007 r. Nr 155, poz. 1095 ze zm.) oraz art. 7a ust. 2 ustawy - Prawo działalności gospodarczej, który zachował moc obowiązującą do dnia 30 września 2008 r.

Powyższą decyzję Generalnego Inspektora Ochrony Danych Osobowych T. W. zaskarżył do Wojewódzkiego Sądu Administracyjnego w Warszawie. W uzasadnieniu skargi skarżący powtórzył argumenty przedstawione we wniosku o ponowne rozpatrzenie sprawy oraz domagał się wydania decyzji nakazującej Spółce [...] udostępnienie jego danych.

W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji.

Powołanym na wstępie wyrokiem z dnia 3 marca 2009 r., sygn. akt II SA/Wa 1349/08 Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm. – dalej powoływana jako P.p.s.a.) uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję Generalnego Inspektora Ochrony Danych Osobowych.

W uzasadnieniu wyroku Sąd I instancji wskazał, iż z akt sprawy bezspornie wynika, iż [...] Sp. z o.o. przetwarzała dane osobowe skarżącego na podstawie umowy o świadczenie usług telekomunikacyjnych z dnia 30 kwietnia 2001 r. zawartej z [...] System W. T. z siedzibą w W. Prezydent miasta stołecznego Warszawy decyzją z dnia [...] czerwca 2007 r. [...], działając na podstawie art. 7e ust. 1 pkt 1 i art. 7g ust. 1 ustawy z dnia 19 listopada 1999 r. - Prawo działalności gospodarczej (Dz. U. Nr 101, poz. 1178 ze zm.), wykreślił z ewidencji działalności gospodarczej wpis dotyczący T. W. Z tą chwilą skarżący podejmował działania zmierzające do poinformowania Spółki o tym, że nie prowadzi działalności gospodarczej, a informacje dotyczące jego osoby należy traktować jako dane osobowe.

Generalny Inspektor Ochrony Danych Osobowych, kierując się treścią art. 6 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm. - dalej w skrócie uodo), uznał, iż dane dotyczące skarżącego będące w posiadaniu [...] Sp. z o.o. nie są danymi osobowymi, gdyż Spółka przetwarza je jako dane osoby prowadzącej działalność gospodarczą, nie zaś osoby fizycznej, a brak jest dowodów wskazujących na to, że T. W. poinformował spółkę o zaprzestaniu prowadzenia działalności gospodarczej. Wobec tego organ przyjął, że postępowanie jako bezprzedmiotowe podlega, na podstawie art. 105 § 1 k.p.a., umorzeniu. W ocenie Sądu I instancji takie stanowisko organu uznać należało za błędne. Przepis art. 1 ustawy o ochronie danych osobowych statuuje bowiem zasadę autonomii informacyjnej człowieka. Znajduje w nim swój wyraz idea powszechności ochrony danych osobowych (por Komentarz do art. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, [w:] J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, LEX, 2007, wyd. IV). Prawo do takiej ochrony przysługuje każdemu, a jego ograniczenia mogą być wprowadzone przepisem rangi ustawowej. Dane osobowe mają charakter obiektywny. O tym czy mamy do czynienia z danymi osobowymi nie decyduje subiektywne przeświadczenie podmiotu, który takie dane przetwarza, ale sam fakt tego, czy są one informacją dotyczącą możliwej do zidentyfikowania osoby fizycznej. Ustawodawca w art. 6 uodo nie uzasadnia ochrony danych osobowych i ewentualnej interwencji Generalnego Inspektora Ochrony Danych Osobowych od przeświadczenia administratora o tym, czy informacje, które posiada są danymi osobowymi, czy też nie. Jeżeli więc dany podmiot posiada informacje, o których mowa w art. 6 uodo, to są to dane osobowe. Takie dane osobowe zawsze podlegają ocenie uprawnionych organów z punktu widzenia ustawy o ochronie danych osobowych. Natomiast subiektywne podejście do ochrony danych osobowych oznaczałoby, że jeśli podmiot posiadający dane osobowe uważa, że nie są to dane osobowe, wówczas takie dane nie podlegają regulacjom zawartym w cyt. ustawie z dnia 29 sierpnia 1997 r. Takie rozwiązanie podważałoby w ogóle sens ochrony danych osobowych i faktycznie uniemożliwiłoby skuteczną ich ochronę przez Generalnego Inspektora, który nie mógłby skutecznie interweniować na podstawie art. 12 uodo w sytuacji, gdy administrator zastrzegłby, że nie wie o tym, że ma dane osobowe.

Mając na uwadze powyższe Sąd I instancji stwierdził, iż w sprawie nie ulega wątpliwości, że skarżący wyrejestrował swoją działalność w dniu [...] czerwca 2007 r. Od tej chwili informacje go dotyczące i przechowywane przez [...] Sp. z o.o. stały się danymi osobowymi, bowiem dotyczyły osoby fizycznej nieprowadzącej własnej działalności gospodarczej. Sprawa nie ma więc charakteru bezprzedmiotowego, a Generalny Inspektor Ochrony Danych Osobowych winien rozpatrzyć merytorycznie wniosek skarżącego dotyczący niedopełnienia wobec niego przez [...] Sp. z o.o. obowiązku przewidzianego w art. 33 uodo.

Skargę kasacyjna od powyższego wyroku wniósł Generalny Inspektor Danych Osobowych, reprezentowany przez radcę prawnego, domagając się uchylenia zaskarżonego wyroku w całości i przekazania sprawy do ponownego rozpoznania przez Sąd I instancji.

Zaskarżonemu orzeczeniu zarzucił naruszenie przepisów prawa materialnego, tj art. 7a ust. 2 ustawy z dnia 19 listopada 1999 r. Prawo działalności gospodarczej (Dz. U. Nr 101, poz. 1178 ze zm.) poprzez jego nieuwzględnienie.

Nadto zarzucił naruszenie przepisów postępowania - art. 145 § 1 pkt 1 lit. a i c P.p.s.a. poprzez ich zastosowanie na skutek błędnego przyjęcia, że organ naruszył przepisy prawa materialnego, tj. art. 6 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), co miało istotny wpływ na wynik sprawy, oraz przepisy postępowania, tj. art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.).

W uzasadnieniu skargi kasacyjnej jej autor przedstawił stan faktyczny sprawy i wyjaśnił, iż brak jest dowodów, iż Spółka otrzymała od skarżącego informację o zaprzestaniu prowadzenia przez niego działalności gospodarczej. Generalny Inspektor zasadnie zatem stwierdził w wydanych rozstrzygnięciach, w tym w zaskarżonej decyzji, że w tej sprawie ustawa o ochronie danych osobowych nie znajduje zastosowania. Spółka, zgodnie z umową o świadczenie usług telekomunikacyjnych, nie przetwarza bowiem danych osobowych skarżącego jako osoby fizycznej, lecz posiada informacje o nim jako o osobie prowadzącej działalność gospodarczą pod firmą [...] System W. T. Przetwarzała zatem dane na podstawie ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej (Dz. U. z 2007 r. Nr 155, poz. 1095 ze zm.) oraz art. 7a ust.2 ustawy z dnia 19 listopada 1999 Prawo działalności gospodarczej (Dz. U. Nr 101, poz. 1178 ze zm.). Ten ostatni przepis po ostatniej nowelizacji art. 66 pkt 2 ustawy z dnia 2 lipca 2004 r. Przepisy wprowadzające ustawę o swobodzie działalności gospodarczej (Dz. U. Nr 173, poz. 1808 ze zm.) utraci moc obowiązującą dopiero z dniem 1 lipca 2011 r., czyli w terminie określonym w art. 54 pkt 3 lit. b ustawy z dnia 19 grudnia 2008 r. o zmianie ustawy o swobodzie działalności gospodarczej oraz o zmianie niektórych innych ustaw (Dz. U. Nr 141, poz. 888). Na mocy wskazanego art. 7a ust. 2 ustawy Prawo działalności gospodarczej ewidencja działalności gospodarczej, do której wpisywane są dane dotyczące przedsiębiorców, jest jawna, a dane w niej zawarte nie podlegają przepisom ustawy o ochronie danych osobowych. Z powyższych względów Generalny Inspektor wobec bezprzedmiotowości prowadzonego postępowania administracyjnego zobowiązany był podjąć decyzje o umorzeniu postępowania stosownie do art. 105 § 1 kpa.

W ocenie kasatora stanowisko Sądu I instancji, że dopiero z chwilą wyrejestrowania działalności gospodarczej informacje dotyczące osoby, która prowadziła taką działalność, stają się danymi osobowymi, jest zatem błędne. Omawiane dane są danymi osobowymi, ale do nich - na mocy cytowanego art. 7a ust. 2 ustawy Prawo działalności gospodarczej- nie stosuje się przepisów ustawy o ochronie danych osobowych.

Skarżący kasacyjnie organ po raz kolejny podkreślił, iż w sprawie brak jest dowodów, by Spółka otrzymała od skarżącego informację o zaprzestaniu prowadzenia przez niego działalności gospodarczej. Taką informację powinien Spółce przekazać sam zainteresowany. Dopóki Spółka omawianego zawiadomienia nie uzyska, ma prawo zakładać, że skarżący nadal prowadzi działalność gospodarczą, a w konsekwencji twierdzić, że do posiadanych przez Spółkę informacji o skarżącym nie znajdują zastosowania przepisy ustawy o ochronie danych osobowych.

Kasator wyjaśnił jednocześnie, iż Spółka [...] nie dysponowała żadnymi innymi danymi skarżącego poza informacjami o nim jako o osobie prowadzącej działalność gospodarczą, o czym pismem z dnia 16 grudnia 2008 r. skarżący został poinformowany, uzyskując wówczas wiedzę o tym, jakie jego dane posiada Spółka.

Biorąc pod uwagę wskazane wyżej okoliczności, bezpodstawny, w ocenie organu, jest zarzut Sądu, że Generalny Inspektor Ochrony Danych Osobowych dopuścił się naruszenia przepisów prawa materialnego - art. 6 ustawy o ochronie danych osobowych oraz przepisów postępowania - art. 105 § 1 k.p.a.

W odpowiedzi na skargę kasacyjną, T. W., reprezentowany przez pełnomocnika z urzędu, wniósł o oddalenie skargi kasacyjnej z uwagi na brak usprawiedliwionych podstaw. Domagał się ponadto zasądzenia koszów reprezentacji wg norm przepisanych.

Naczelny Sąd Administracyjny zważył co następuje.

Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153 poz. 1270 ze zm.- dalej w skrócie P.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Jeżeli zatem - tak jak w niniejszej sprawie - nie występuje żadna z enumeratywnie wymienionych w art. 183 § 2 P.p.s.a. przesłanek nieważności postępowania, zakres postępowania kasacyjnego wyznacza strona wnosząca skargę kasacyjną przez przytoczenie podstaw kasacyjnych i ich uzasadnienie.

Rozpatrywana w tym zakresie skarga kasacyjna nie zasługuje na uwzględnienie. Wojewódzki Sąd Administracyjny w Warszawie zasadnie bowiem uznał, że kontrolowane przezeń decyzje Generalnego Inspektora Ochrony Danych Osobowych są wadliwe, chociaż nie można uznać by powody przytoczone w uzasadnieniu zaskarżonego wyroku były wystarczające. Kasator w tym zakresie nie sformułował jednak żadnych zarzutów. Ponadto pewne mankamenty pisemnych motywów nie mogą skutkować uchyleniem zaskarżonego orzeczenia, jeżeli samo rozstrzygnięcie Sądu odpowiada prawu (art.184 P.p.s.a.). Taka zaś sytuacja występuje w niniejszej sprawie.

Wojewódzki Sąd Administracyjny w Warszawie w zaskarżonym wyroku prawidłowo przypomniał, że art.1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.- dalej w skrócie uodo) statuuje zasadę autonomii informacyjnej człowieka. Stosownie do ust.1 tego artykułu każdy ma prawo do ochrony dotyczących go danych osobowych. Nie ulega przy tym wątpliwości, że sformułowanie "każdy" odnosi się tylko do osób fizycznych, co potwierdza także art.2 ust.1 uodo, z którego wprost wynika, że ustawa określa zasady przetwarzania danych osobowych oraz prawa osób fizycznych w tym zakresie. Powołany przepis nie różnicuje uprawnień osób fizycznych do ochrony ich danych osobowych w zależności od tego czy prowadzą czy nie prowadzą działalności gospodarczej. W tej sytuacji i z uwagi na treść art. 6 uodo oraz brak jakichkolwiek ograniczeń w dalszych przepisach ustawy, uznać należy, iż omawiana ustawa sama nie wyłącza informacji o osobach fizycznych prowadzących działalność gospodarczą spod pojęcia danych osobowych ani spod ochrony gwarantowanej tym aktem prawnym.

Istotne ograniczenia w tym zakresie wprowadziła natomiast ustawa z dnia 19 listopada 1999 r. Prawo działalności gospodarczej (Dz. U. Nr 101, poz. 1178 ze zm), która w obowiązującym jeszcze art. 7a ust. 2 stanowi, że ewidencja działalności gospodarczej jest jawna i dane w niej zawarte nie podlegają przepisom ustawy o ochronie danych osobowych. Przepis ten, wbrew twierdzeniom Generalnego Inspektora Ochrony Danych Osobowych, nie oznacza jednak, że ustawa z dnia 29 sierpnia 1997r. w ogóle nie ma zastosowania do osób fizycznych prowadzących działalność gospodarczą. Intencją ustawodawcy tego aktu prawnego było bowiem nadanie ochronie danych osobowych jak najszerszego zakresu podmiotowego. Regulacja zawarta w art. 7a ust. 2 Prawa działalności gospodarczej, jako stanowiąca wyjątek od tej ogólnej zasady, musi być stosowana ściśle, a jej rozszerzająca interpretacja jest niedopuszczalna. Konieczność dokonywania takiej wykładni potwierdza też art. 51 Konstytucji RP, który przewiduje konstytucyjne prawo do ochrony danych osobowych. Zgodnie z tym przepisem nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby (ust.1) i każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych (ust.3). Oznacza to, że ochroną konstytucyjną objęto wszelkie informacje dotyczące każdej osoby fizycznej, czyli również prowadzącej działalność gospodarczą, a ponadto, że ustrojodawca nakazał chronić te informacje, dopuszczając ograniczenia tylko w ściśle określonych przypadkach wynikających wprost z przepisów ustawy. Skoro zatem w art.7a ust. 2 Prawa działalności gospodarczej mowa jest o danych zawartych w ewidencji działalności gospodarczej, to nie może ulegać wątpliwości, że ustawie o ochronie danych osobowych nie podlegają tylko dane wpisane do ewidencji działalności gospodarczej. Pozostałe zaś informacje o osobie fizycznej prowadzącej działalność gospodarczą takim wyłączeniom już nie podlegają. Dlatego nie można podzielić stanowiska skarżącego kasacyjnie organu, iż złożenie przez taki podmiot wniosku w sprawie nieprzestrzegania wobec niego obowiązku informacyjnego, przewidzianego w art. 33 uodo, skutkuje automatycznie umorzeniem postępowania przed Generalnym Inspektorem Ochrony Danych Osobowych. Osoba fizyczna prowadząca działalność gospodarczą ma prawo do informacji, jakie jej dane są przetwarzane. Dopiero po ustaleniu że zasięg przetwarzanych o niej informacji rzeczywiście nie wykracza poza zakres danych zawartych w ewidencji działalności gospodarczej, organ może umorzyć postępowanie. Natomiast bez przeprowadzenia takich czynności kontrolnych nie można uznać by sprawa była bezprzedmiotowa, a tym samym by dopuszczalne było umorzenie postępowania przez Generalnego Inspektora Ochrony Danych Osobowych.

Z zasady przewidzianej w art. 7a ust. 2 Prawa działalności gospodarczej wynika jeszcze jeden wniosek, a mianowicie, że przewidziane w niej wyłączenie odnosi się tylko do danych o osobie prowadzącej działalność gospodarczą i aktualnie wpisanej do ewidencji działalności gospodarczej. Tylko wówczas można bowiem mówić o danych zawartych w ewidencji i dopuszczalności ich przetwarzania bez zgody zainteresowanego. Po wyrejestrowaniu działalności gospodarczej przedsiębiorca staje się obiektywnie osobą nieprowadzącą działalności gospodarczej. Jego dane osobowe z dniem wykreślenia działalności z ewidencji działalności gospodarczej podlegają zatem pełnej ochronie zagwarantowanej ustawą o ochronie danych osobowych.

Z powyższych względów zarzut naruszenia zaskarżonym wyrokiem art.6 uodo i art.7a ust.2 Prawa działalności gospodarczej jest niezasadny. W niniejszej sprawie nie budzi wątpliwości, że T. W., zwracając się do Generalnego Inspektora Ochrony Danych Osobowych o podjęcie działań przewidzianych w art.18 ust.1 w zw. z art. 33 i art.32 uodo, występował jako osoba fizyczna nieprowadząca już działalności gospodarczej. Chodziło mu przy tym o zobowiązanie Spółki [...] do spełnienia obowiązku informacyjnego wobec niego jako osoby fizycznej a nie podmiotu gospodarczego, na co trafnie zwrócił uwagę WSA w Warszawie. Sąd ten bezbłędnie też stwierdził, że dane osobowe mają charakter obiektywny. O tym, czy mamy do czynienia z takimi danymi oraz czy dane osobowe podlegają pełnej ochronie zagwarantowanej ustawą z dnia 29 sierpnia 1997r decydują obiektywne czynniki, a mianowicie to czy są to informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej oraz czy w grę nie wchodzą przepisy szczególne ograniczające stosowanie powołanej ustawy. Taka kwalifikacja informacji i zakres ochrony danych osobowych nie zależą natomiast od subiektywnego przekonania administratora danych osobowych, a więc od dysponowania przez nią wiedzą, czy są to informacje dotyczące osoby fizycznej czy przedsiębiorcy.

W niniejszej sprawie faktem jest, iż do pewnego momentu dane T. W. jako osoby fizycznej pokrywały się (w całości lub przynajmniej w części) z jego danymi jako przedsiębiorcy. Skoro jednak z dniem [...] czerwca 2007r. wymieniony wyrejestrował swą działalność gospodarczą, to powyższe informacje przestały dotyczyć T. W. jako przedsiębiorcy, gdyż taki podmiot już nie istnieje. Od wskazanej daty były one już tylko danymi osoby fizycznej nieprowadzacej działalności gospodarczej, niezależnie od subiektywnej oceny Spółki [...] w tym zakresie. W tej sytuacji zadaniem Generalnego Inspektora Ochrony Danych Osobowych, po otrzymaniu zawiadomienia T. W., było sprawdzenie czy [...] po dniu [...] czerwca 2007r przetwarzała dane osoby fizycznej czy nie. Organ takich ustaleń jednak nie poczynił, co oznacza, że umorzenie przez niego postępowania nastąpiło z oczywistym naruszeniem art. 105 § 1 kpa. Umorzenie postępowania byłoby bowiem możliwe tylko wówczas, gdyby wymieniony występował jako przedsiębiorca a organ ustalił, że zasięg przetwarzanych o takim podmiocie gospodarczym danych nie wykraczał poza zakres wynikający z art.7a ust.2 Prawa działalności gospodarczej, a nadto gdyby wnioskowany obowiązek informacyjny został wykonany przed dniem wydania decyzji lub przynajmniej przed zakończeniem postępowania prowadzonego w trybie art.127 § 3 kpa.

Dodać również należy, że Generalny Inspektor Ochrony Danych Osobowych, błędnie traktując dane osobowe w znaczeniu subiektywnym, nadmierną wagę przywiązywał do faktu i daty zawiadomienia Spółki przez T. W. o wykreśleniu jego działalności z ewidencji działalności gospodarczej. Tymczasem skuteczność takiego zawiadomienia i związana z nimi kwestia ewentualnych zawinionych działań administratora danych osobowych mogłaby mieć znaczenie tylko wówczas, gdyby organ zamierzał z urzędu podjąć inne działania dopuszczone art. 18 uodo. Okoliczności te nie były natomiast istotne dla realizacji samego obowiązku informacyjnego przewidzianego w art. 33 uodo.

Generalny Inspektor Ochrony Danych Osobowych przedwcześnie zresztą, opierając się wyłącznie na twierdzeniach [...], przyjął, że T. W. w lipcu 2007r. w ogóle nie powiadomił Spółki o wykreśleniu swej działalności z ewidencji działalności gospodarczej. Mimo iż organ dysponował numerem faksu, z którego takie zawiadomienie miało być przesłane, nie poczynił w tym zakresie żadnych samodzielnych ustaleń. Takie postępowanie nie zasługuje na aprobatę. Zgodnie z zasadą prawdy obiektywnej, wyrażoną w art. 7 kpa organ ma obowiązek dokładnie zbadać sprawę, tak, aby w sposób prawidłowy ustalić jej stan faktyczny. Wzmocnieniem tej zasady jest nałożony na organ obowiązek wyczerpującego zebrania i rozpatrzenia całości materiału dowodowego, wynikający z art. 77 § 1 kpa. Dopiero dysponując całokształtem materiału dowodowego, organ może ocenić daną okoliczność i uznać ja za udowodnioną bądź nie, do czego zobowiązuje go art. 80 kpa.

Organ z niezrozumiałych powodów przyjął też, że skoro w kwietniu 2008 r., czyli w trakcie toczącego się postępowania, T. W. złożył kopie swego pisma z dnia 2 lipca 2007r, to tym samym przyznał, że wcześniej takiego podania adresatowi nie przekazał. Takie założenie jest zaś całkowicie nieuprawnione. Przedmiotowe działanie nie jest wcale dowodem na to, że w lipcu 2007r. wymieniony nie zawiadomił [...] o wyrejestrowaniu swej działalności. Może bowiem dowodzić jedynie tego, że co najmniej od kwietnia 2008 r. Spółka wiedziała już, iż wnioskodawca nie prowadzi działalności gospodarczej. Należy jednak jeszcze raz podkreślić, że kwestia winy Spółki w tym zakresie może być rozważana tylko w przypadku podejmowania przez organ innych działań. Nie ma natomiast znaczenia dla oceny przedmiotowości postępowania dotyczącego omawianego obowiązku informacyjnego. Podobnie chybione jest powoływanie się w skardze kasacyjnej na pismo [...] z dnia 16 grudnia 2008r, skoro mogło być ono doręczone T. W. już po wydaniu kontrolowanej przez Sąd I instancji decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia 11 sierpnia 2008 r., a tym samym w żaden sposób nie mogło mieć wpływu na ocenę legalności tego rozstrzygnięcia.

Reasumując, uznać należy, że skarga kasacyjna nie zawiera usprawiedliwionych podstaw. Wbrew wywodom Generalnego Inspektora Ochrony Danych Osobowych Wojewódzki Sąd Administracyjny w Warszawie w istotny sposób nie złamał bowiem ani powołanych przepisów prawa materialnego ani art. 105 § 1 kpa. Chybiony jest zatem także zarzut naruszenia zaskarżonym wyrokiem art.145 § 1 pkt.1 lit. a i c P.p.s.a.

Na zakończenie zauważyć należy, że Wojewódzki Sąd Administracyjny w Warszawie, uchylając decyzje Generalnego Inspektora Ochrony Danych Osobowych, w swych pisemnych motywach nie zawarł dostatecznych wskazań, o jakich mowa w art. 141 § 4 P.p.s.a. Wskazania takie wynikają jednak z uzasadnienia niniejszego wyroku Naczelnego Sądu Administracyjnego i muszą być one uwzględnione przez organ przy ponownym rozpatrzeniu sprawy.

W tym stanie rzeczy Naczelny Sąd Administracyjny orzekł jak w sentencji wyroku na podstawie art.184 Prawa o postępowaniu przed sądami administracyjnymi.

Naczelny Sąd Administracyjny nie orzekł w wyroku o przyznaniu pełnomocnikowi skarżącego wynagrodzenia na zasadzie prawa pomocy, gdyż przepisy art. 209 i 210 P.p.s.a. mają zastosowanie tylko do kosztów postępowania między stronami. Natomiast wynagrodzenie dla pełnomocnika ustanowionego z urzędu za wykonaną pomoc prawną należne od Skarbu Państwa (art. 250 P.p.s.a.) przyznawane jest przez wojewódzki sąd administracyjny w postępowaniu określonym w przepisach art. 258-261 P.p.s.a.