Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Małgorzata Jaśkowska Sędziowie: Sędzia NSA Irena Kamińska (spr.) Sędzia del NSA Janusz Furmanek Protokolant asystent sędziego Jan Wasilewski po rozpoznaniu w dniu 31 lipca 2014 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych Generalnego Inspektora Ochrony Danych Osobowych i Szefa Kancelarii Sejmu od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 5 grudnia 2012 r. sygn. akt II SA/Wa 1145/12 w sprawie ze skargi R.M.Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2012 r. nr [...] w przedmiocie ochrony danych osobowych oddala skargi kasacyjne.

Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] z dnia [...] maja 2012 r., wydaną na podstawie art. 138 § 1 pkt 1 k.p.a., utrzymał w mocy swoją wcześniejszą decyzję z dnia 22 lutego 2012 r., którą to decyzją odmówiono uwzględnienia skargi R.Z. na przetwarzanie jego danych osobowych przez Kancelarię Sejmu RP. Jako podstawę materialnoprawną odmowy uwzględnienia skargi GIODO wskazał art. 23 ust. 1 pkt 2, art. 26 ust. 1 pkt 3 i art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w zw. z art. 5 ust. 2 ustawy z dnia 6 sierpnia 2001 r. o dostępie do informacji publicznej.

W motywach uzasadnienia organ podał, że były poseł SLD R.M., wnosząc do GIODO skargę, żądał od organu, aby ten nakazał Kancelarii Sejmu RP zaprzestania przetwarzania na szeroką skalę jego danych osobowych poprzez ich upublicznienie w publikacjach i transmisjach telewizyjnych, radiowych, prasowych, w tym na portalach internetowych publikowanych w sieci przez Kancelarię Sejmu. Kwestionując legalność działań Kancelarii Sejmu R.Z. wskazał adresy internetowe stron, na których Kancelaria Sejmu przetwarzała jego dane osobowe. Twierdził, że jego dane osobowe, w tym dane wrażliwe, zostały utrwalone m.in. w precyzyjnie wskazanych stenogramach, notatkach, biuletynach i innych dokumentach związanych z pracami Komisji Śledczej do zbadania okoliczności tragicznej śmierci byłej posłanki Barbary Blidy.

W uzasadnieniu decyzji, powołując się na wyjaśnienia Kancelarii Sejmu RP, GIODO wskazał, że dane osobowe R.Z. są przetwarzane w Systemie Informacyjnym Sejmu http/www.sejm.gov.pl w zakładkach archiwum, posiedzenia sejmu w zakładce Komisje Sejmowe – Komisje Śledcze. Nazwisko R.Z. jest wymienione w kontekście jego zeznań w tzw. aferze węglowej, w relacjach innych świadków oraz w zeznaniach jakie osobiście złożył – które legły u podstaw postępowania przygotowawczego oraz w jego toku, będącego przedmiotem badań Komisji Śledczej do zbadania okoliczności tragicznej śmierci byłej posłanki Barbary Blidy.

GIODO wskazał też, opierając się na wyjaśnieniach złożonych przez Kancelarię Sejmu RP, iż powyższe dokumenty zawierające dane osobowe skarżącego są publikowane (przetwarzane), zarówno w wersji elektronicznej, jak i papierowej – i zarejestrowane są w Bibliotece Narodowej pod nr [...]. Wersja papierowa wszystkich druków sejmowych jest też dostępna w Bibliotece Sejmowej.

Pomijając ustalenia w zakresie, które fakty i dowody uznał za prawdziwe i wiarygodne, organ stwierdził, że wniesiona przez R.Z. skarga na przetwarzanie jego danych osobowych nie zasługuje na uwzględnienie.

Dokonując oceny legalności działań Kancelarii Sejmu, GIODO uznał, że przetwarzanie danych osobowych R.Z. znajduje uprawnienie w przepisach prawa. Stwierdził, mianowicie że przetwarzanie danych osobowych jest dopuszczalne, gdy jest niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa – art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Wskazał, że upublicznienie danych osobowych R.Z. przez Kancelarię Sejmu nastąpiło z poszanowaniem reguł określonych w art. 27 ust. 1 ustawy o ochronie danych osobowych i art. 5 ust. 2 ustawy o dostępie do informacji publicznej. GIODO stwierdził również, że do przetwarzania danych osobowych przez administratora danych doszło zgodnie z art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych, to jest, że przetwarzanie tych danych było adekwatne w stosunku do celów przetwarzania.

W konsekwencji organ uznał, że brak jest podstaw do uwzględnienia wniosku skarżącego i nakazania Kancelarii Sejmu RP zaprzestania przetwarzania danych osobowych R.Z. lub ich zanonimizowania, albowiem przetwarzanie jego danych znajduje oparcie w przepisach obowiązującego prawa.

Odnosząc się do licznych wniosków dowodowych R.Z., GIODO podkreślił, że z uwagi na irrelewantność dowodu z punku widzenia jego znaczenia dla rozpoznania konkretnej sprawy, część z wniosków dowodowych nie zasługiwała na uwzględnienie.

Organ wyjaśnił, że przepis art. 19 w zw. z art. 51 i art. 49 ust. 2 ustawy o ochronie danych osobowych nie daje podstaw do tego by R.Z. na GIODO przerzucił ciężar ewentualnego zawiadomienia właściwej prokuratury o przestępstwie udostępnienia jego danych osobowych osobom nieupoważnionym. Wskazał, że ocena GIODO wyrażona w decyzji nie pozbawia go możliwości samodzielnego zawiadomienia właściwych organów.

Powyższa decyzja stała się przedmiotem skargi R.Z. do Wojewódzkiego Sądu Administracyjnego w Warszawie.

Wnosząc o uchylenie zaskarżonej decyzji i decyzji ją poprzedzającej, R.Z. zarzucił naruszenie:

1. art. 23 ust. 1 pkt 2, art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych, poprzez przyjęcie, że działania Kancelarii Sejmu RP były zgodne z prawem, nadto, że mogła upubliczniać dane sensytywne skarżącego;

2. art. 5 ust. 2 ustawy o dostępie do informacji publicznej, (cyt.) "poprzez rażąco bezprawne przyjęcie, iż ograniczenie prawa do informacji publicznej ze względu na prywatność osoby fizycznej rzekomo dotyczy wszystkich obywateli – tylko nie dotyczy skarżącego – bowiem piętnaście lat wcześniej pełnił mandat posła na Sejm RP, ponadto ośmielił się złożyć zeznania jako świadek w postępowaniu karnym";

3. art. 30 Konstytucji RP w zw. z art. 23 i 24 k.c., art. 7 oraz art. 32 Konstytucji RP, poprzez odmówienie skarżącemu ochrony prawnej jego prywatności;

4. art. 31 ust. 3 i art. 51 ust. 2 Konstytucji RP, poprzez bezprawne przyjęcie, że ograniczenie prawa do prywatności i ochrony danych osobowych, w tym danych sensytywnych, zostało ustanowione w ustawie o sejmowej komisji śledczej, podczas gdy przepis art. 7 ust. 2 zobowiązuje komisję śledczą do ochrony dóbr osobistych, a przepis art. 13 ust. 2 ustawy – Prawo prasowe – zakazuje ujawnienia danych osobowych świadków bez ich zgody;

5. art. 61 Konstytucji, art. 7, art. 18 i art. 19 ustawy o dostępie do informacji publicznej, art. 19a ustawy o sejmowej komisji śledczej, poprzez oczywiście bezprawne przyjęcie, że powołane przepisy mogły stanowić podstawę prawną do publicznego przetwarzania danych osobowych, w tym danych sensytywnych skarżącego, przez Kancelarię Sejmu RP;

6. art. 61 Konstytucji RP, poprzez bezprawne przyjęcie, że dane osobowe skarżącego, w tym dane ze sfery prywatności, intymności oraz dane sensytywne, stanowiły "informację publiczną", do której uzyskania ma prawo każdy obywatel RP; w konsekwencji, że Kancelaria Sejmu RP działała w pełni legalnie upubliczniając ww. dane skarżącego;

7. art. 13 ust. 2 ustawy - Prawo prasowe - w kontekście orzeczeń Trybunału Konstytucyjnego z dnia 20 marca 2006 r., sygn. K 17/05 oraz z dnia 18 lipca 2011 r., sygn. K 25/09, poprzez uchylenie się od dostrzeżenia prawa każdego obywatela, także skarżącego, do tzw. autonomii informacyjnej oraz bezwzględnego, ustawowego zakazu ujawniania danych osobowych świadka bez jego zgody; także poprzez podnoszenie, że przepisy te nie obowiązywały Kancelarii Sejmu RP;

8. art. 7 ust. 2 ustawy o sejmowej komisji śledczej, poprzez pominięcie, iż komisja śledcza jest zobowiązana do ochrony dóbr osobistych, w tym prywatności osób trzecich;

9. art. 166 ust. 1 Regulaminu Sejmu RP, poprzez rażąco bezprawne przyjęcie, że z obowiązku sporządzenia protokołu z posiedzenia komisji śledczej wynikał obowiązek upublicznienia danych osobowych skarżącego, danych ze sfery jego prywatności, a nawet danych tzw. wrażliwych, dotyczących sfery intymności;

10. art. 14 ust. 1 ustawy o świadczeniu usług drogą elektroniczną, poprzez uchylenie się od subsumcji zebranego w sprawie materiału dowodowego pod wskazaną normę prawną;

11. art. 6 oraz art. 8 ratyfikowanej przez Rzeczypospolitą Polską Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności, poprzez faktyczne odmówienie skarżącemu ochrony prawnej jego fundamentalnego prawa do prywatności, nawet intymności; w tym danych osobowych;

12. art. 17 ratyfikowanego przez Rzeczypospolitą Polską Międzynarodowego Paktu Praw Politycznych i Obywatelskich, poprzez faktyczne odmówienie skarżącemu ochrony prawnej jego prywatności, danych osobowych; także ochrony przed bezprawną ingerencją państwa w sferę prywatną, intymną;

13. art. 8 Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności, poprzez rażąco bezprawne ograniczenie praw obywatelskich skarżącego polegające na bezprawnym odmówieniu skarżącemu prawa do ochrony prywatności i przyjęciu, że prawa i wolności obywatelskie mogą zostać ograniczone uchwałą "Regulamin Sejmu", bądź decyzją komisji śledczej;

14. art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności, art. 47, art. 51 Konstytucji RP, poprzez niezgodne z prawem odmówienie skarżącemu w konsekwencji skarżonej decyzji prawa do ochrony prywatności, intymności, danych osobowych oraz danych sensytywnych;

15. art. 6, art. 7, art. 8 k.p.a. w zw. z art. 7 Konstytucji RP, poprzez oparcie rozstrzygnięcia o wadliwą interpretację prawa, uchylenie się od realizacji ustawowego obowiązku dbania o zgodne z prawem przetwarzanie danych osobowych, prowadzenie niniejszego postępowania w sposób istotnie podważający zaufanie skarżącego, jako obywatela, do władzy publicznej, zwłaszcza GIODO;

16. art. 9 k.p.a., poprzez nienależyte i niewyczerpujące informowanie skarżącego, jako strony, o okolicznościach faktycznych i prawnych mogących mieć wpływ na ustalenie praw skarżącego jako strony niniejszego postępowania;

17. art. 12 oraz art. 35 § 1 k.p.a., poprzez oczywiście przewlekłe rozpoznanie niniejszej sprawy;

18. art. 75 § 1 k.p.a., poprzez uchylenie się od przeprowadzenia dowodu z pisma Rzecznika Praw Obywatelskich z dnia 30 maja 2011 r., znak: RPO - 667660 - 1/10 MO, oraz uchylenie się od jakiejkolwiek analizy stanowiska Rzecznika Praw Obywatelskich wobec stanu faktycznego w sprawie, w tym zwłaszcza analizy jednoznacznego ustalenia RPO, iż w zakresie publicznego przetwarzania danych sensytywnych skarżącego brak "którejkolwiek z przesłanek legalizacyjnych w przypadku opisanym przez Pana Z.";

19. art. 104 k.p.a., poprzez uchylenie się od dokonania rzetelnej, prawidłowej oceny zebranego w sprawie materiału dowodowego oraz od jego subsumcji pod normy prawne; w konsekwencji poprzez wydanie nierzetelnej decyzji.

Uzasadniając skargę, skarżący wskazał gdzie i kiedy zostały przetworzone jego dane osobowe, w tym ze strefy prywatności. Przywołał orzecznictwo Sądu Najwyższego i Trybunału Konstytucyjnego w zakresie ochrony prawa do prywatności oraz pismo Rzecznika Praw Obywatelskich z dnia 30 maja 2011 r., znak: RPO - 667660 - 1/10 MO.

Skarżący podkreślił, że nie zgadza się z kwalifikacją dokonaną przez GIODO, że jego dane osobowe stanowią informację publiczną. Nadto, dokonując takiej kwalifikacji, organ pominął treść art. 5 ust. 2 ustawy o dostępie do informacji publicznej. Wskazał też, że był posłem w latach 1992-1997 i w związku z zaprzestaniem wykonywania mandatu posła przestał być osobą wykonującą funkcje publiczne.

Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 5 grudnia 2012 r. o sygn. akt II SA/Wa 1145/12, uchylił zaskarżoną decyzję oraz decyzję ją poprzedzającą.

Zdaniem WSA, uzasadnienie zaskarżonej decyzji oraz decyzji ją poprzedzającej naruszało treść art. 107 k.p.a. Sporządzone przez Generalnego Inspektora Ochrony Danych Osobowych uzasadnienie zaskarżonej decyzji koncentruje się na przytoczeniu stanowiska R.Z. i stanowiska Kancelarii Sejmu RP. Sąd pierwszej instancji zaznaczył w tym kontekście, iż opisanie żądań skarżącego i przytoczenie stanowiska Kancelarii Sejmu RP w przedmiotowej sprawie nie może zastąpić organu w zakresie ustalenia stanu faktycznego.

WSA przypomniał, iż obowiązkiem organu było samodzielne ustalenie stanu faktycznego na podstawie zgromadzonego materiału dowodowego. Organ w toku prowadzonego postępowania winien był ustalić i wskazać, jakie fakty uznał za udowodnione i na podstawie których dokumentów (dowodów). Dopiero kolejną czynnością, następującą po ustaleniu stanu faktycznego, powinna być ocena prawna.

Zaskarżona decyzja, wbrew wymogom art. 107 k.p.a., zdaniem Sądu pierwszej instancji, w ogóle nie zawiera ustaleń faktycznych. Nie wskazuje ona (oprócz przytoczenia stanowiska stron) tego, gdzie i kiedy, w jakim zakresie i przez kogo doszło do przetworzenia danych osobowych skarżącego. Uzasadnienie decyzji nie zawiera też ustaleń, czy doszło do przetwarzania danych tzw. zwykłych, czy też danych wrażliwych. Nie zawiera ustaleń, jakie dane, o jakiej treści, przez kogo i w jakim zakresie i gdzie zostały przetworzone. Nie zawiera też ustaleń, czy skarżący R.Z., były poseł, był w dacie ich przetwarzania osobą publiczną, co miało – zdaniem WSA – zasadnicze i podstawowe znaczenie dla oceny legalności przetwarzania jego danych osobowych. Uszło uwadze organu, iż całkowicie odmienne są przesłanki legalizujące przetwarzanie danych osobowych osoby fizycznej i publicznej.

Jak wskazał WSA w Warszawie, niezależnie od tego, iż uzasadnienie organu (pomimo jego objętości) nie spełnia podstawowych wymogów formalnych z art. 107 § 3 k.p.a., uzasadnienie zaskarżonej decyzji dotknięte jest istotnymi błędami merytorycznymi. Mianowicie, organ de facto upatruje przesłanki legalizującej przetwarzanie danych osobowych R.Z. przez Kancelarię Sejmu RP w aktach tzw. prawa wewnętrznego pomijając, że materia ochrony danych osobowych objęta jest ustawą zasadniczą – Konstytucją RP – art. 47, art. 51 oraz aktem rangi ustawy, tj. ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.) i Konwencją o Ochronie praw człowieka i podstawowych wolności (art. 8).

Jak przytoczył Sąd pierwszej instancji, stosownie do art. 47 Konstytucji, każdy ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. Stosownie zaś do art. 51, nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby. Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym. Każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych. Ograniczenie tego prawa może określić ustawa. Każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą. Zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa.

Rozwinięcie tych konstytucyjnych praw zawiera cytowana wyżej ustawa o ochronie danych osobowych, która w art. 27 ust. 1 określa i precyzuje prawo do przetwarzania tzw. danych wrażliwych.

Zdaniem WSA, w rozpatrywanej sprawie GIODO, pomijając treść art. 27 ustawy o ochronie danych osobowych, dopatrzył się przesłanek legalizujących przetwarzanie danych osobowych w oparciu o art. 23 ust. 1 pkt 2 ustawy, uznając, że przetwarzanie danych osobowych skarżącego było "niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa". W istocie GIODO, jako przesłanki legalizujące z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych potraktował, jako "przepis prawa" akty prawne niższego rzędu, które nie posiadają waloru prawa powszechnie obowiązującego, tj.: uchwałę z dnia 30 lipca 1992 r. – Regulamin Sejmu RP (MP z 2012 r., poz. 32) i uchwałę z dnia 19 grudnia 2007 r. w sprawie powołania Komisji Śledczej do zbadania okoliczności tragicznej śmierci byłej posłanki Barbary Blidy (MP 2007 r., Nr 100, poz. 1080).

W konsekwencji GIODO uznał więc, że akty niższego rzędu, niemające charakteru aktów powszechnie obowiązujących, tzw. akty prawa wewnętrznego, wyprzedzają konstytucyjnie i ustawowo gwarantowane prawa do ochrony danych osobowych i prawa do prywatności. Powyższa okoliczność przesądzić musiała, zdaniem WSA, o konieczności uchylenia zaskarżonej decyzji.

Skargi kasacyjne od powyższego wyroku złożyli Generalny Inspektor Ochrony Danych Osobowych oraz Szef Kancelarii Sejmu – wnosząc o jego uchylenie w całości i przekazanie sprawy WSA w Warszawie do ponownego rozpoznania.

GIODO zarzucił wyrokowi następujące naruszenia przepisów:

1. art. 3 § 2 pkt 1 i art. 145 § 1 pkt 1 lit. "c" p.p.s.a. w związku z art. 7 i art. 77 § 1 k.p.a. oraz art. 1 ustawy o ustroju sądów administracyjnych poprzez sprawowanie niewłaściwej kontroli administracji przez przyjęcie, że organ wydając decyzję nie wyjaśnił okoliczności faktycznych sprawy;

2. art. 3 § 2 pkt 1 i art. 145 § 1 pkt 1 lit. "c" p.p.s.a. w związku z art. 107 k.p.a. przez przyjęcie, iż uzasadnienie zaskarżonej decyzji nie spełnia wymogów określonych w k.p.a.;

3. art. 3 § 2 pkt 1 i art. 145 § 1 pkt 1 lit. "a" p.p.s.a. przez przyjęcie, iż organ pominął art. 27 ustawy o ochronie danych osobowych oraz miał jako przesłanki legalizujące z art. 23 ust. 1 pkt 2 tej ustawy potraktować akty prawne niższego rzędu, która nie posiadają waloru powszechnie obowiązującego.

Z kolei Szef Kancelarii Sejmu zarzucił wyrokowi naruszenie:

1. art. 145 § 1 pkt 1 lit. "c" p.p.s.a. w zw. z art. 107 § 3 k.p.a. poprzez błędne przyjęcie, że ta norma postępowania administracyjnego została naruszona;

2. art. 145 § 4 p.p.s.a. poprzez przyjęcie błędnego ustalenia, że organ administracji pominął przy rozstrzyganiu sprawy art. 27 ustawy o ochronie danych osobowych;

3. art. 145 § 4 w związku z art. 153 p.p.s.a. przez nienależyte wykonanie obowiązku dokonania oceny rozstrzygnięcia administracyjnego;

4. naruszenie prawa materialnego poprzez nieuwzględnienie przy orzekaniu w sprawie przepisów art. 112 i art. 61 ust. 4 Konstytucji RP, które przesadzają o statusie aktu prawnego, jakim jest uchwała Sejmu RP z dnia 30 lipca 1992 r. – Regulamin Sejmu RP (M. P. z 2012 r., poz. 32 ze zm.) i w wyniku tego uznanie, że ów Regulamin stanowi akt prawa wewnętrznego.

W uzasadnieniach skarg kasacyjnych przedstawiono argumentację, mającą przemawiać za ich uwzględnieniem.

Na rozprawie w dniu 31 lipca 2014 r. pełnomocnik Szefa Kancelarii Sejmu złożył do akt wyrok Sądu Apelacyjnego w Warszawie z dnia 21 listopada 2012 r. o sygn. akt I ACa 561/12 oddalający apelację od wyroku Sądu Okręgowego w Warszawie (również złożony do akt) z dnia 15 grudnia 2011 r. o sygn. akt II C 12/11 oddalający powództwo R.Z. o naruszenie dóbr osobistych. Zdaniem ww. pełnomocnika, orzeczenia te świadczą, że przetwarzanie danych osobowych przez Kancelarie Sejmu było zgodne z prawem.

Naczelny Sąd Administracyjny zważył, co następuje:

Analizowane skargi kasacyjne nie zasługują na uwzględnienie.

Istota niniejszej sprawy – i podniesionych w skargach kasacyjnych zarzutów – sprowadza się – w pierwszej kolejności – do tego, czy Regulamin Sejmu RP (tekst jedn. Monitor Prawniczy z 2012 r., poz. 32 ze zm.) może być podstawą przetwarzania danych osobowych. Kolejno zarzuty skarg kasacyjnych odnoszą się do wadliwości oceny przez Sąd pierwszej instancji postępowania wyjaśniającego i – w konsekwencji – uzasadnienia wydanej w sprawie decyzji. Kwestią wymagającą wyjaśnienia, w świetle uzasadnień skarg kasacyjnych i całokształtu sprawy, jest wreszcie dopuszczalność upublicznienia informacji o skarżącym na podstawie art. 5 ust. 2 ustawy o dostępie do informacji publicznej (aktualny tekst jedn. Dz. U. z 2014 r., poz. 782 ze zm.) w związku z art. 23 ust. 1 pkt 2 i art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r., Nr 101, poz. 926 ze zm.).

Analizując kwestię charakteru prawnego Regulaminu Sejmu RP, wskazać należy, że nie może być mowy o prostej podrzędności regulaminu ustawie (zob. B. Banaszak, Konstytucja Rzeczypospolitej Polskiej. Komentarz, Warszawa 2009, s. 569). Uznaje się jednak, że ów Regulamin jest usytuowany na niższym szczeblu hierarchii źródeł prawa niż ustawa (zob. W. Sokolewicz, Artykuł 112, w: Konstytucja Rzeczypospolitej Polskiej. Komentarz, red. L. Garlicki, Warszawa 1999, s. 17). Nie można go zatem traktować jako źródła prawa powszechnie obowiązującego, w rozumieniu art. 87 Konstytucji (por. W. Sokolewicz, jw., s. 22).

Oznacza to, że uchwalony na podstawie art. 112 Konstytucji Regulamin Sejmu RP nie może normować sytuacji prawnej osób fizycznych czy prawnych, a zwłaszcza ich obowiązków wobec Sejmu, Senatu czy organów parlamentu (zob. L. Garlicki, Polskie prawo konstytucyjne. Zarys wykładu, Warszawa 2009, s. 186). Zapatrywanie to jest zbieżne z aktualnymi tendencjami panującymi w demokratycznym konstytucjonalizmie, zgodnie z którymi regulaminy parlamentarne należy traktować – jeżeli nie wyłącznie, to przede wszystkim – jako regulacje o charakterze wewnętrznym, odnoszące się do sfery wyłączonej z regulacji ustawowej (W. Sokolewicz, jw., s. 19).

Powyższe spostrzeżenia doktryny potwierdza wykładnia art. 112 Konstytucji RP. Zgodnie z jego treścią, organizację wewnętrzną i porządek prac Sejmu oraz tryb powoływania i działalności jego organów, jak też sposób wykonywania konstytucyjnych i ustawowych obowiązków organów państwowych wobec Sejmu określa regulamin Sejmu uchwalony przez Sejm. Przepis ten określa tzw. materię regulaminową. Przetwarzanie danych osobowych osób fizycznych, zewnętrznych względem Sejmu, nie mieści się ani w jego organizacji wewnętrznej, ani w porządku prac, ani w trybie powołania i działalności jego organów, ani też w sposobie wykonywania obowiązków organów państwowych wobec Sejmu. Z tych względów należy przyjąć, że problematyka ta nie należy do wspomnianej materii regulaminowej mogącej podlegać regulacji w Regulaminie Sejmu. Gdyby zatem ów Regulamin te treści zawierał, wykraczałby poza swoją delegację konstytucyjną i pozostawałby w sprzeczności z art. 51 Konstytucji, zgodnie z którym to ustawa powinna być podstawą przetwarzania danych osobowych – a nie akt regulaminowy. W konkluzji należy zatem stwierdzić, że przepisy Regulaminu Sejmu RP nie mogą zasadniczo stanowić jedynej podstawy do przetwarzania danych osobowych w postaci imion i nazwisk, adresów itd. osób fizycznych, które nie mają lub przestały mieć związek z funkcjonowaniem Sejmu RP.

Należy jednak spostrzec, że stosownie do art. 61 ust. 4 Konstytucji RP, tryb:

- udzielania informacji o działalności organów władzy publicznej i osób pełniących funkcje publiczne;

- udzielania informacji o działalności organów samorządu gospodarczego i zawodowego, a także innych osób oraz jednostek organizacyjnych w zakresie, w jakim wykonują one zadania władzy publicznej i gospodarują mieniem komunalnym lub majątkiem Skarbu Państwa;

- dostępu do dokumentów;

- wstępu na posiedzenia kolegialnych organów władzy publicznej pochodzących z powszechnych wyborów, z możliwością rejestracji dźwięku lub obrazu;

określają w odniesieniu do Sejmu i Senatu ich regulaminy. Oznaczać to mogłoby pozornie, że na mocy art. 61 ust. 4 zakres materii regulaminowej z art. 112 Konstytucji został rozszerzony także o regulację dotyczącą trybu udostępniania informacji o osobach pełniących funkcje publiczne, jednak taka wykładnia byłaby błędna. Jak bowiem wskazano, Regulamin Sejmu nie może regulować kwestii dotyczących osób fizycznych – praw i wolności jednostek – niezwiązanych z zakresem wymienionym w art. 112 Konstytucji. Zarazem art. 51 Konstytucji wymaga regulacji ustawowej dla udostępniania informacji o dowolnej osobie. Na tym tle uznać należy, że art. 61 ust. 4 Konstytucji – stwierdzający, iż tryb udzielenia informacji wymienionych w art. 61 ust. 1 i 2 Konstytucji określają w odniesieniu do Sejmu i Senatu regulaminy – odnosi się do informacji o organach Sejmu czy Senatu, dostępu w ramach parlamentu do dokumentów czy wstępu na posiedzenia tych ciał oraz ich komisji. Tryb zaś dostępu do informacji publicznej o osobach pełniących funkcje publiczne w całości pozostaje w zakresie materii ustawowej, nie może być zatem regulowany regulaminem Sejmu czy Senatu. Optyka ta znajduje potwierdzenie w założeniu, że to ustawy powinny regulować prawa i wolności jednostek (zasada zastrzeżenia ustawowego), w tym prawo do prywatności. Zarazem odmienne unormowanie dostępu do informacji o osobach publicznych w zależności od wykonywania przez nie funkcji publicznej w Sejmie i Senacie albo poza parlamentem naruszałoby zasadę równości (art. 32 Konstytucji PR).

Mając na uwadze powyższe, przetworzenie i udostępnienie informacji o skarżącym mogło nastąpić w sprawie wyłącznie na podstawie ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej. Nie budzi wątpliwości ani orzecznictwa, ani doktryny prawa, że ustawa ta uzasadnia przetwarzanie danych osobowych na podstawie art. 23 ust. 1 pkt 2 i 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.

Stosownie zaś do art. 5 ust. 2 ww. ustawy o dostępie do informacji publicznej, prawo do informacji publicznej podlega ograniczeniu ze względu na prywatność osoby fizycznej lub tajemnicę przedsiębiorcy. Ograniczenie to nie dotyczy informacji o osobach pełniących funkcje publiczne, mających związek z pełnieniem tych funkcji, w tym o warunkach powierzenia i wykonywania funkcji, oraz przypadku, gdy osoba fizyczna lub przedsiębiorca rezygnują z przysługującego im prawa.

W świetle powyższego przepisu kluczowe jest ustalenie przez organ, czy dana informacja ze sfery prywatności dotyczy osoby pełniącej funkcje publiczne i ma związek z pełnieniem tych funkcji. Pojęcie osoby pełniącej funkcje publiczne jest ujmowane szeroko i nie ogranicza się tylko do funkcjonariuszy publicznych, lecz obejmuje każdą osobę mającą związek z realizacją zadań publicznych, a nawet dopiero ubiegającą się do ich wypełniania. Należy też spostrzec, że dana osoba może w pewnym okresie być ujmowana jako pełniąca funkcję publiczną – i dla tego okresu informacja związana z pełnieniem tej funkcji będzie podlegać udostępnieniu – zaś w późniejszym czasie może być pozbawiona tego przymiotu. Zaprzestanie pełnienia funkcji publicznej nie oznacza jednak, że informacje z okresu, gdy ta funkcja była pełniona, przestają podlegać udostępnieniu z ograniczeniem prywatności jednostki. Przeciwnie, wciąż będą one udostępniane osobom zainteresowanym, jednak tylko w tym relewantnym zakresie czasowym.

Z powyższych względów organ winien był ustalić w sprawie, czy dane udostępnione przez Kancelarię Sejmu dotyczyły okresu pełnienia przez R.Z. funkcji publicznej i mają związek z pełnieniem tej funkcji. Uchybienie w tym zakresie, jak trafnie podniósł WSA w zaskarżonym wyroku, godzi w przepisy określające postępowanie wyjaśniające (art. 7 i art. 77 § 1 k.p.a.) Wbrew twierdzeniom GIODO, analiza uzewnętrzniona na stronach 12 i 13 zaskarżonej decyzji nie odpowiada wskazanemu wymaganiu, gdyż organ – poza przytoczeniem przepisów obowiązującego prawa w tej materii – nie przedstawił procesu ich subsumpcji i ważenia wartości, a priori zakładając priorytet upublicznienia informacji o skarżącym, bez wykazania, że ograniczenie z art. 5 ust. 2 zdania pierwszego ustawy o dostępie do informacji publicznej w niniejszej sprawie nie występuje, a zatem, iż informacje te dotyczą R.Z. jako osoby pełniącej funkcje publiczną i mają one związek z pełnieniem tej funkcji. Trafnie Sąd pierwszej instancji ocenił to jako uchybienie art. 107 § 3 Kodeksu postępowania administracyjnego, gdyż wskazany brak czyni uzasadnienie prawne decyzji niezupełnym.

Warto zaznaczyć, że przywołane przez GIODO funkcje komisji śledczej, mające uzasadniać upublicznienie informacji o skarżącym, są zasadniczo irrelewantne dla okoliczności, czy dana osoba – stająca przed komisją śledczą jako świadek bądź wspominana w zeznaniach innych świadków – pełni lub pełniła w danym czasie funkcje publiczne i czy informacje mają związek z pełnieniem tych funkcji przez nią, a zatem dla zastosowania art. 5 ust. 2 ustawy o dostępie do informacji publicznej. Także jawność działania tej komisji nie przekłada się automatycznie na jawność i publiczną dostępność wszelkich informacji o osobach trzecich pozyskanych przez nią w toku jej prac.

Na gruncie analizowanej sprawy należy także zwrócić uwagę na art. 27 ustawy o ochronie danych osobowych. Stosownie do jego ust. 1, zabrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Część z upublicznionych danych skarżącego należy do przedstawionej grupy. Niemniej Generalny Inspektor Ochrony Danych Osobowych wskazał w uzasadnieniu decyzji (s. 15), że podstawą do przetworzenie ww. danych jest art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych, zgodnie z którym przetwarzanie ww. danych sensytywnych jest jednak dopuszczalne, jeżeli przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony. Zdaniem GIODO takim przepisem szczególnym jest art. 5 ust. 2 ustawy o dostępie do informacji publicznej. Zważyć jednak należy, że – jak wcześniej wskazano – organ nie tylko nie przeanalizował wszechstronnie, czy w stosunku do R.Z. przepis ten może mieć zastosowanie, ale ponadto nie rozważył w decyzji kompletnie tego, czy art. 5 ust. 2 ustawy o dostępie do informacji publicznej jest przepisem, który – jak wymaga tego art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych – stwarza w sprawie gwarancje ochrony danych sensytywnych R.Z. także po ich przetworzeniu przez Kancelarię Sejmu. Naczelny Sąd Administracyjny podkreśla przy tym, że przepis szczególny zezwalający na przetwarzanie danych wrażliwych osoby bez jej zgody, o którym mowa w ww. art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych – musi jednoznacznie, literalnie wskazywać dopuszczalność przetwarzania takich danych, aby można je było przetwarzać, a przy tym powinien zawierać rzeczywiste gwarancje prawne ich ochrony. Standard z tym związany powinien być analizowany z uwzględnieniem art. 51 ust. 2 Konstytucji RP.

Warto wreszcie zaznaczyć, że stosownie do art. 36 ust. 1 ustawy o ochronie danych osobowych, administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Przepis ten stanowi wyraz zasady adekwatności przetwarzania danych osobowych, a regulacje Regulaminu Sejmu – jako aktu niższego rangą od ustawy i niemogącego normować praw i obowiązków obywateli – nie mogły jej wyłączać lub modyfikować. W kontekście analizowanej sprawy, zabiegiem realizującym zasadę adekwatności przetwarzania danych osobowych mogłaby być anonimizacja imienia i nazwiska skarżącego, dokonana w tych materiałach, które podlegały publicznemu udostępnieniu (zob. też J. Barta, P. Fajgielski, R. Markiewicz, Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2011, uwaga 3 do art. 36). Dodać również wypada, że takie działanie w przypadku R.Z. stanowiłoby urzeczywistnienie art. 7 ust. 2 ustawy z dnia 21 stycznia 1999 r. o sejmowej komisji śledczej (tekst jedn. Dz. U. z 2009 r. Nr 151, poz. 1218 ze zm.), w myśl którego z uprawnień wynikających z przepisów tej ustawy komisja śledcza korzysta tylko w zakresie niezbędnym do wyjaśnienia sprawy będącej przedmiotem jej działania oraz w taki sposób, aby nie naruszyć dóbr osobistych osób trzecich. Przepis ten akcentuje zatem konieczność proporcjonalnego działania m.in. na danych osobowych w ramach prac komisji śledczej.

Przedstawionego zapatrywania nie mogą zmienić złożone do akt, zapadłe w sprawie skarżącego, orzeczenia sądów powszechnych z powództwa o naruszenie dóbr osobistych. Sądy te bowiem stwierdziły jedynie, że w sprawie doszło do naruszenia dóbr osobistych, które nie było bezprawne, nie orzekały zaś o dopuszczalności przetwarzania danych osobowych skarżącego w świetle ustawy o dostępie do informacji publicznej i ustawy o ochronie danych osobowych, co było przedmiotem zaskarżonych w niniejszej sprawie decyzji.

Mając na uwadze powyższe, w oparciu o art. 184 p.p.s.a., Naczelny Sąd Administracyjny oddalił obie skargi kasacyjne, jako niezasługujące na uwzględnienie.