Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia NSA Małgorzata Pocztarek, Asesor WSA Przemysław Szustakiewicz, Asesor WSA Jacek Fronczyk (spraw.), Protokolant apl. prok. Anna Jednorałek, po rozpoznaniu na rozprawie w dniu 5 sierpnia 2004 r. sprawy ze skargi P.S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2004 r. nr [...] w przedmiocie ochrony danych osobowych 1) uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] grudnia 2003 r. nr [...] 2) zaskarżona decyzja nie podlega wykonaniu w całości; 3) zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz skarżącego P. S. kwotę 200 zł (dwieście złotych) tytułem zwrotu kosztów postępowania. # SWYROK Sentencja - Wyrok

Pismem z dnia 9 czerwca 2003r. P.S. zawiadomił Generalnego Inspektora Ochrony Danych Osobowych w Warszawie, że operator telefonii mobilnej P. S.A. przesłał do niego w miesiącu czerwcu 2003r. dwie krótkie wiadomości tekstowe (SMS) na zlecenie osoby trzeciej, chociaż numer telefonu, którym dysponuje, jest zastrzeżony. W ten sposób, zdaniem P. S., pogwałcona została jego prywatność oraz doszło do przetworzenia jego danych osobowych poprzez ich opracowanie w przygotowywaniu listy wysyłkowej na zlecenie osoby trzeciej. Wniósł o podjęcie stosownych działań, uznanie go za stronę w postępowaniu oraz o pouczenie o prawach i obowiązkach, albowiem występował bez adwokata.

W wyniku przeprowadzonego postępowania administracyjnego Generalny Inspektor Ochrony Danych Osobowych ustalił, że Kancelaria Prezesa Rady Ministrów zwróciła się do Spółki P. S.A. z prośbą o umożliwienie rozpowszechnienia wśród swoich abonentów dwóch krótkich wiadomości tekstowych (SMS) zawierających informacje dotyczące referendum europejskiego. P. S.A. "przekierowała" w dniach 4 lub 5 czerwca 2003r. i 7 lub 8 czerwca 2003r. do abonentów sieci P., którzy w dacie przesyłki nie złożyli sprzeciwu wobec przetwarzania danych osobowych w celach marketingowych, krótkie wiadomości tekstowe (SMS) o następującej treści: "Spotkajmy się na referendum unijnym 7-8 czerwca. Biuro ds. Referendum Europejskiego"; "Głosowanie w referendum unijnym w sobotę i niedzielę do godz. 20.00. Biuro ds. Referendum Europejskiego". Organ ustalił także, że w dniu 15 października 2003r. P. S. złożył sprzeciw wobec przetwarzania danych osobowych w celach marketingowych.

W dniu [...] grudnia 2003r. Generalny Inspektor Ochrony Danych Osobowych, na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960r. - Kodeks postępowania administracyjnego (Dz. U. z 2000r. Nr 98, poz. 1071 z późn. zm.) oraz art. 12 pkt 2, 18 ust. 1 a contrario i art. 23 ust. 1 pkt 4 ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz. U. z 2002r. Nr 101, poz. 926), wydał decyzję (nr [...]), mocą której odmówił uwzględnienia wniosku skarżącego o stwierdzenie niezgodności z przepisami o ochronie danych osobowych przetwarzania jego danych osobowych przez P. S.A.. W uzasadnieniu organ odniósł się do konstytucyjnej i ustawowej regulacji instytucji referendum ogólnokrajowego wyjaśniając motywy, jakimi Kancelaria Prezesa Rady Ministrów kierowała się zlecając P. S.A. "przekierowanie" dwóch krótkich wiadomości tekstowych (SMS) do abonentów sieci P.. Zdaniem organu, zagadnienie referendum w sprawie wyrażenia zgody na ratyfikację umowy międzynarodowej na podstawie art. 90 ust. 3 Konstytucji Rzeczypospolitej Polskiej ma w sprawie podstawowe znaczenie dla oceny zgodności z prawem kwestionowanego przez skarżącego przesłania informacji dotyczących referendum europejskiego.

Dokonując analizy przepisów ustawy zasadniczej GIODO skonstatował, iż brak odpowiedniej frekwencji podczas referendum powoduje, że nie dochodzi do skutecznego rozstrzygnięcia kwestii poddanej pod głosowanie. Również taki wniosek organ wysnuł po analizie przepisów ustawy o referendum ogólnokrajowym. W ocenie GIODO normy konstytucyjne nie ograniczają się jedynie do obowiązku podejmowania przez organy władzy publicznej dodatkowych kroków w sytuacji, gdy referendum ratyfikacyjne nie przyniesie rozstrzygającego wyniku, lecz również zobowiązują do podejmowania stosownych działań wcześniej, jeszcze w toku procedury referendalnej. Chodzi tutaj w szczególności o podjęcie działalności informacyjnej służącej umożliwieniu skutecznego wyrażenia woli w sposób bezpośredni przez Suwerena. Generalny Inspektor Ochrony Danych Osobowych zwraca uwagę, że w tym celu podmioty władzy publicznej mogą w formie niewładczej podejmować działania informacyjne mające na celu wpływanie na opinię publiczną za pośrednictwem szeroko pojętych środków komunikowania. W tym aspekcie analiza treści przesłanych ("przekierowanych") do skarżącego krótkich wiadomości tekstowych (SMS) wskazuje przede wszystkim na ich walor informacyjny. Zawierały one bowiem informacje o terminie i czasie głosowania w referendum europejskim. W ocenie organu należało je traktować wyłącznie jako wypełnienie konstytucyjnego nakazu doprowadzenia do jednoznacznego rozstrzygnięcia w przedmiocie zgody na ratyfikację umowy międzynarodowej, nie zaś jako informacje o charakterze handlowym.

Przenosząc powyższe rozważania na grunt stanu faktycznego przedmiotowej sprawy Generalny Inspektor Ochrony Danych Osobowych stwierdził, że Spółka P. S.A. jako administrator danych osobowych klientów obowiązana jest wykazać odpowiednią przesłankę legalności przetwarzania ich danych osobowych, jak również ponosi pełną odpowiedzialność za przetwarzanie danych nawet wtedy, gdy następuje to na zlecenie innego podmiotu. Dokonując wykładni przepisu art. 23 ust. 1 ustawy o ochronie danych osobowych, wskazującego na przesłanki dopuszczalności przetwarzania danych osobowych, GIODO podkreślił, że Spółka - przesyłając do skarżącego dwie krótkie wiadomości tekstowe (SMS) na zlecenie Kancelarii Prezesa Rady Ministrów - wypełniła przesłankę legalności określoną w art. 23 ust. 1 pkt 4 ustawy, zgodnie z którym przetwarzanie danych osobowych P. S. było niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego. W ocenie organu, nie doszło tym samym do udostępnienia innym podmiotom danych osobowych skarżącego i nielegalnego przetwarzania jego danych.

W dniu 23 grudnia 2003r. P. S. skierował do Generalnego Inspektora Ochrony Danych Osobowych wniosek o ponowne rozpatrzenie sprawy. Zarzucił, że GIODO nie wziął pod uwagę tego, iż żaden przepis prawa nie nakazuje administracji rządowej przypominać obywatelom o terminie i zasadach referendum ogólnokrajowego. Wskazał, że zarówno na podstawie działu VIII Kpa. oraz przepisów ustawy o dostępie do informacji publicznej zasadą jest, że udostępnianie informacji następuje z inicjatywy obywatela. Zdaniem skarżącego, podejmowanie takich działań informacyjnych przez organy władzy publicznej jest sprzeczne z art. 7 Konstytucji RP (organy władzy działają na podstawie i w granicach prawa). Organy władzy wykonawczej nie mogą podejmować działalności informacyjnej mającej na celu wywieranie wpływu na opinię publiczną za pośrednictwem szeroko pojętych środków komunikowania, gdyż tego typu działalność jest cechą charakterystyczną dla państw autorytarnych i totalitarnych, a więc dla państw, w których obywatele nie sprawują władzy. Nadto dodał, że konstytucyjna zasada sprawiedliwości społecznej nie pozwala na to, by środki obywateli zbierane w postaci podatków rząd przeznaczał na wywieranie wpływu na tychże obywateli, a udział w referendum ogólnokrajowym jest prawem obywatela, a nie obowiązkiem. W ocenie skarżącego, konieczność zapewnienia ważności referendum istniała, ale nie była ona natury prawnej, lecz politycznej, a błędem jest utożsamianie celów politycznych z celami publicznymi, czego jednak dokonał GIODO. Organ usprawiedliwił przetworzenie jego danych osobowych interesem publicznym, który na gruncie niniejszej sprawy nie ma odzwierciedlenia w żadnych normach ustrojowych państwa polskiego.

Po ponownym przeanalizowaniu sprawy, Generalny Inspektor Ochrony Danych Osobowych wydał w dniu [...] lutego 2004r. decyzję (nr [...]) utrzymującą w mocy decyzję z dnia [...] grudnia 2003r.. Organ nie przychylił się do zarzutów skarżącego i w uzasadnieniu przytoczył argumentację zaprezentowaną w decyzji pierwszoinstancyjnej.

W dniu 10 marca 2004r. P. S. - za pośrednictwem GIODO - złożył do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję. Skarżący w uzasadnieniu skargi powołał się na te same zarzuty, których użył we wniosku o ponowne rozpoznanie sprawy skierowanym do organu.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie wskazując na te same podstawy faktyczne i prawne, które określił i przywołał w wydanych przez siebie decyzjach.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Kluczowe znaczenie dla oceny legalności przetwarzania danych osobowych ma ustawa z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz. U. z 2002r. Nr 101, poz. 926 z późn. zm.). Stosownie do treści art. 23 ust. 1 przetwarzanie danych jest dopuszczalne tylko wtedy, gdy:

1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych,

1) zezwalają na to przepisy prawa,

2) jest konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia koniecznych działań przed zawarciem umowy,

3) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,

4) jest niezbędne do wypełnienia prawnie usprawiedliwionych celów administratorów danych, o których mowa w art. 3 ust. 2, lub osób trzecich, którym są przekazywane te dane - a przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczą.

Generalny Inspektor Ochrony Danych Osobowych przyjął, że przetwarzanie danych osobowych P. S. przez P. S.A. w sytuacji wysłania do niego dwóch krótkich wiadomości tekstowych (SMS) w sprawie referendum europejskiego było niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (art. 23 ust. 1 pkt 4 ustawy). GIODO w wydanych przez siebie decyzjach zwraca uwagę, że zlecenie P. S.A. "przekierowania" przedmiotowych wiadomości przez Kancelarię Prezesa Rady Ministrów wynikało z zakresu działań Rady Ministrów w dziedzinie kształtowania świadomości społecznej w związku z upowszechnianiem idei integracji europejskiej i przygotowaniami do referendum akcesyjnego, zaś przetwarzanie danych osobowych było niezbędne dla zapewnienia prawidłowej frekwencji.

Zgodnie z art. 32 ust. 1 pkt 8 ustawy, każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych.

P. S.A. "przekierowała" przedmiotowe wiadomości jedynie do tych abonentów sieci P., którzy w dacie przesyłki nie złożyli sprzeciwu wobec przetwarzania danych osobowych w celach marketingowych. P. S. złożył swój sprzeciw dopiero w dniu 15 października 2003r., czyli po przekazaniu wiadomości SMS. Natomiast treści zawarte w przesłanych informacjach - co nie jest kwestionowane - nie miały charakteru marketingowego. Skoro więc przekazane skarżącemu wiadomości nie miały charakteru marketingowego, to czy Spółka mogła w takiej sytuacji przetwarzać jego dane osobowe? Bez znaczenia dla oceny legalności przetwarzania danych skarżącego jest to, że jego numer telefonu był zastrzeżony, albowiem Spółka wykonując umowę zlecania nieudostępniła numeru Kancelarii Prezesa Rady Ministrów. Art. 32 ust. 1 pkt 8 ustawy mówi o sprzeciwie składanym wobec przetwarzania danych osobowych tylko w celach marketingowych. Nie reguluje natomiast sytuacji, kiedy dane osobowe przetwarzane są w innych celach. Nie może to jednak zmieniać faktu, że każdorazowo przesłanki dopuszczalności przetwarzania danych muszą - w przypadku tych innych celów - bezwzględnie uzasadniać przetwarzanie.

Przepis art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych wskazuje na istnienie dwóch przesłanek, których wystąpienie pozwala na legalne przetwarzanie danych osobowych. Po pierwsze: przetwarzanie danych musi być niezbędne do wykonania określonych prawem zadań i po drugie: zadania te muszą być realizowane dla dobra publicznego. Konstrukcja tej regulacji wyraźnie precyzuje, że obie przesłanki muszą wystąpić łącznie, toteż zawsze niezbędność realizacji określonych prawem zadań musi służyć dobru publicznemu. Oznacza to, że niezbędność działań należy rozpatrywać w ścisłej korelacji z dobrem publicznym. Przepis ten jest uregulowaniem usprawiedliwiającym niezbędność działania administratora danych dla dobra publicznego. Jego zastosowanie możliwe jest niejako w warunkach swoistego "stanu wyższej konieczności", tj. wówczas, gdy administrator danych przedkłada dobro publiczne nad interes jednostki, bo jest to niezbędne do wykonania określonych prawem zadań. Norma zawarta w art. 23 ust. 1 pkt 4 nie precyzuje, że mają to być zadania należące tylko do kompetencji administratora danych.

Interpretując pojęcie "niezbędności" przede wszystkim trzeba mieć na względzie konieczność działania, natomiast dobro publiczne należy pojmować jako szeroko rozumiany interes publiczny. Uwzględniając aspekt dobra publicznego, którym w tym przypadku było bez wątpienia referendum europejskie (wyrażenie zgody lub dezaprobata Suwerena na ratyfikowanie umowy międzynarodowej leży niewątpliwie w interesie publicznym), dochodzimy do wniosku, że określone prawem zadania na gruncie przedmiotowej sprawy to zadania z zakresu polityki integracyjnej państwa realizowane przez organy władzy publicznej.

Jakkolwiek możemy mówić o konieczności informowania społeczeństwa przez władzę o terminach referendum dla zapewnienia odpowiedniej frekwencji (w celu urzeczywistnienia woli politycznej), to jednak trudno uznać, by dążenie to w tym konkretnym przypadku tłumaczyło niezbędność przetwarzania danych skarżącego przez P. S.A.. Analiza przepisów ustrojowych wykazuje, że brak jest takiej regulacji, która expressis verbis wprowadzałaby obowiązek uczestniczenia w jakimkolwiek referendum. Wręcz przeciwnie, udział w referendum jest prawem każdego obywatela (art. 62 ust. 1 Konstytucji Rzeczypospolitej Polskiej). Skoro więc udział w referendum nie jest obowiązkiem, to dbałość organów władzy państwowej o zapewnienie odpowiedniej frekwencji w referendum ratyfikacyjnym nie implikuje konieczności przetwarzania danych osobowych przez P. S.A.. W takiej sytuacji bowiem frekwencja ma znaczenie wtórne wobec konstytucyjnego prawa do udziału w referendum.

Konkludując, podejmowane za pośrednictwem środków bezpośredniego porozumiewania się na odległość działania informacyjne państwa dotyczące referendum ratyfikacyjnego - choć dopuszczalne - nie mogą uzasadniać niezbędności przetwarzania danych osobowych w interesie publicznym przez administratora tych danych, albowiem nie istnieje prawna podstawa uzasadniająca ową niezbędność. Działanie administratora danych dopiero wówczas wyczerpuje dyspozycję wynikającą z art. 23 ust. 1 pkt 4, gdy wykonanie określonych prawem zadań wskazuje na prawną niezbędność (potrzebę, konieczność) przetwarzania danych osobowych dla dobra publicznego. Innymi słowy, możliwość przetwarzania danych osobowych istniałaby i mogłaby być oceniana w kategoriach niezbędności, gdyby rzeczona informacja "przypominała" np. o obywatelskim obowiązku czy groźbie ataku terrorystycznego.

Sąd nie neguje faktu, że organy władzy publicznej realizują politykę państwa, także w wymiarze informacyjnym, i mogą podejmować stosowne działania wcześniej, jeszcze w toku procedury referendalnej. Sąd nie podzielił jednak stanowiska organu, zgodnie z którym przetwarzanie danych osobowych skarżącego było "niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego" i dlatego uchylił obie decyzje. GIODO w uzasadnieniach decyzji bardziej skupił uwagę na usprawiedliwianiu działań podjętych przez Kancelarię Prezesa Rady Ministrów, natomiast nie skupił się na ocenie prawidłowości czy też legalności działań P.S.A. jako administratora danych. Zupełnie zbędne było w uzasadnieniach obu decyzji ocenianie prawidłowości działań Kancelarii Prezesa Rady Ministrów, która bez wątpienia miała prawo zawrzeć z P. S.A. umowę zlecenia na przesłanie tychże informacji. Jednakże to na Spółce, jako administratorze danych, ciążył obowiązek oceny, czy "przekierowanie" dwóch krótkich wiadomości tekstowych (SMS), zawierających informacje o referendum europejskim, jest zgodne z prawem? W ocenie Sądu przetwarzanie danych P. S. nie było niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego. W sytuacji gdy udział w referendum jest prawem nie ma podstaw, by przyjąć, że niezbędność (informowania, "przypominania") wymusza na administratorze danych przetwarzanie danych osobowych.

Warto również dodać, że referenda mają swoją cechę specyficzną, dotyczą na ogół jednostkowej, ważnej sprawy. Jest mało prawdopodobne, aby taka sprawa mogła zaskakiwać obywatela w tym sensie, bowiem z istoty - jako przedmiot referendum ogólnokrajowego -sprawa tego rodzaju nie może być zaskakująca, czy też nieoczekiwana. Społeczeństwo obywatelskie, kształtujące się od 1989r. to społeczeństwo wolnych, świadomych, aktywnych i zaangażowanych w sprawy publiczne obywateli. Obywatele nie mają żadnych przeszkód prawnych organizowania się w sposób odpowiadający ich potrzebom, celom i interesom. Trudno jest wyobrazić sobie sprawę o ogólnokrajowym znaczeniu, która nie byłaby przedmiotem uprzedniego zainteresowania obywateli (społeczeństwa). Prawdopodobieństwo, by przedmiot referendum dotyczył zagadnienia na tyle nieistotnego, by nie był przedmiotem uprzedniego zainteresowania podmiotów życia publicznego jest zbyt małe, ażeby można było wysnuwać wniosek o zaskakiwaniu pojedynczego obywatela skutkami absencji wyborczej.

Z tych powodów, uznając skargę za uzasadnioną, Wojewódzki Sąd Administracyjny w Warszawie w oparciu o art. 145 § 1 pkt 1 a ustawy z dnia 30 sierpnia 2002r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. nr 153, poz. 1270) orzekł, jak w sentencji wyroku. W oparciu o art. 152 w/w ustawy, Sąd wstrzymał wykonanie zaskarżonej decyzji w całości.

O kosztach orzeczono na podstawie art. 200 i art. 209 cytowanej ustawy - Prawo o postępowaniu przed sądami administracyjnymi.