Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Janusz Walawski, Sędziowie WSA Maria Werpachowska, Anna Mierzejewska (sprawozdawca), , Protokolant referent stażysta Agnieszka Cudna, po rozpoznaniu na rozprawie w dniu 14 lipca 2016 r. sprawy ze skargi J. O. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

II SA/Wa 2080/15

UZASADNIENIE

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] października 2015 r., na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2013 r. poz. 267 ze zm.) oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 i art. 33 ust. 1 w związku z art. 32 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2014 r. poz. 1182 ze zm.) po rozpoznaniu wniosku J. O. o ponowne rozpatrzenie jego skargi na przetwarzanie danych osobowych przez Dyrektora Centrum Kształcenia Zawodowego i Ustawicznego, z siedzibą w Z. przy ul. [...], w tym ich udostępnienie osobom nieupoważnionym, rozstrzygniętej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2015 r. (znak: [...]), utrzymał w mocy zaskarżoną decyzję.

W uzasadnieniu decyzji organ podał, że do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga J.O. na przetwarzanie jego danych osobowych przez Dyrektora Centrum Kształcenia Zawodowego i Ustawicznego z siedzibą w Z. przy ul. [...], w tym ich udostępnienie osobom nieupoważnionym. Skarżący podniósł, że w dniu [...] maja 2013 r. skierował stosowny wniosek do ww. dyrektora, w sprawie przetwarzania jego danych osobowych, szczegółowo, po rozwiązaniu umowy o pracę. W odpowiedzi otrzymał pismo z datą [...] maja 2013 r., z którego nic nie wynikało. W piśmie z dnia [...] czerwca 2013 r. Skarżący podniósł, że nie pracuje od kilku lat, a pracodawca przetwarza jego dane osobowe bez jego zgody i wiedzy. (...) Ma tu na uwadze np. jego wykształcenie i pismo skierowane w tej sprawie do Poseł J. P. w W. Skarżący wniósł, aby Generalny Inspektor w drodze decyzji administracyjnej nakazał usunięcie uchybień przez dyrektora Centrum oraz kadrową - nie otrzymał od tych osób żądanej informacji dot. jego osoby, zakaz - nieudostępnienie danych osobowych, zabezpieczenie danych i przekazanie ich innym podmiotom - jakim jest Archiwum Państwowe [...], Oddział w M.

Pismem Prorektora ds. Ogólnych Politechniki W. z dnia [...] czerwca 2013 r. Skarżący został poinformowany, że ww. uczelnia nie przetwarza jego danych osobowych. Kopię tego pisma Skarżący załączył do pisma do GIODO z dnia [...] lipca 2013 r., podnosząc: "Chciałem się upewnić, czy pracodawca (były), prowadził korespondencję z Politechniką [...]? (...) a pismo byłego pracodawcy do Politechniki [...]? Było takie pismo czy nie było?".

Generalny Inspektor Ochrony Danych Osobowych przeprowadził w sprawie postępowanie wyjaśniające, w toku którego ustalił, co następuje:

1. Organem prowadzącym Centrum Kształcenia Zawodowego i Ustawicznego w Z. jest powiat z. zgodnie z § 2 ust. 1 statutu Centrum, stanowiącego załącznik nr [...] do Uchwały Nr [...] Rady Powiatu Z. z dnia [...] lipca 2012 r. w sprawie utworzenia Centrum.

2. Skarżący w okresie od dnia [...] września 2008 r. do dnia [...] sierpnia 2009 r. był pracownikiem Centrum. Obecnie jego dane osobowe są przechowywane przez Centrum w postaci jego akt osobowych przez 50 lat.

3. Komenda Powiatowa Policji w M. skierowała do Centrum pismo z dnia [...] stycznia 2012 r. "Wniosek o udostępnienie danych ze zbioru danych osobowych" w sprawie [...]. Zwrócono się o udzielenie informacji, czy Skarżący był zatrudniony w Centrum, na jakim stanowisku i jakie dokumenty dotyczące wykształcenia przedłożył w celu zatrudnienia.

4. W odpowiedzi z dnia [...] stycznia 2012 r. ([...]) Dyrektor Centrum wskazał, że Skarżący był zatrudniony w Centrum od dnia [...] września 2008 r. do dnia [...] sierpnia 2009 r. w wymiarze 0,68 etatu na stanowisku nauczyciela praktycznej nauki zawodu. Dodano, że Skarżący w celu zatrudnienia przedłożył odpis dyplomu ukończenia Studiów Politechniki [...] Wydział [...] Nr [...] oraz wypełnił kwestionariusz osobowy, świadczący o posiadanych kwalifikacjach i przebiegu dotychczasowej pracy". Załączono kserokopie tych dokumentów.

5. Komenda Rejonowa Policji [...] Wydział [...] w piśmie z dnia [...] marca 2012r. (sygn. akt [...]) do Dyrektora Centrum poinformowała, że do Komendy wpłynęło dnia [...] marca 2012 r. doniesienie posła na Sejm Pani J. P., która podniosła, że Skarżący "miał się legitymować fałszywymi świadectwami potwierdzającymi wykształcenie i posiadane kwalifikacje". Zarazem KRP zwróciła się "o dokonanie weryfikacji pod względem autentyczności aktu nadania stopnia awansu zawodowego" nauczyciela kontraktowego jaki J. O. przedłożył w Zespole Szkół Samochodowych i Licealnych nr [...] w W.".

6. W odpowiedzi z dnia [...] kwietnia 2012 r. ([...]) Dyrektor Centrum podał, że Centrum wydało akt nadania stopnia awansu zawodowego nauczyciela kontraktowego z dnia [...] lipca 2009 r. nr [...]. Dodano: "Posiadane przez naszą placówkę dokumenty i odbycie stażu przez J. O., dawały podstawę do nadania w/w stopnia awansu".

7. Pismem z dnia [...] lipca 2012 r. ([...]) poseł na Sejm RP J. P. zwróciła się do Centrum "[w] związku z ustaleniami, ż J. O. posługiwał się fałszywym dyplomem szkoły wyższej i wykonywał zawód nauczyciela na podstawie sfałszowanych dokumentów, działając na podstawie art. 19 i art. 20 ustawy o wykonywaniu mandatu posła i senatora (...) o udostępnienie informacji, czy J.O. otrzymał w dniu [...] lipca 2009 r. akt nadania stopnia nauczyciela kontraktowego".

8. Pismem z dnia [...] lipca 2012 r. ([...]) Dyrektor Centrum udzielił odpowiedzi o treści takiej, jak w ww. piśmie z dnia [...] kwietnia 2012 r.

9. Skarżący skierował do Dyrektora Centrum pismo z dnia [...] maja 2013 r., w którym podnosił "Zgodnie z ustawą o ochronie danych osobowych każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą", zwrócił się do Dyrektora Centrum po rozwiązaniu umowy o pracę w Centrum "o wykaz wszystkich pism dot. ww. sprawy od dnia [...].05.2013 r.". Skarżący dodał: "Szczegółowe pismo ww. sprawy. P.s. np. czy wszystkie czynności były robione za zgodą i wiedzą "wnioskodawcy? - od kiedy? - uzyskania informacji o celu, zakresie i sposobie przetwarzania danych itd.".

10. W odpowiedzi Centrum z dnia [...] maja 2013 r. ([...]) do Skarżącego podano: "Pana dane osobowe nie były nigdzie przekazywane z inicjatywy naszej placówki. Informacje z Pana akt osobowych były udostępniane jedynie uprawnionym do tego organom na ich wniosek".

11. Pismem z dnia [...] października 2013 r. Komenda Powiatowa Policji w Z. zwróciła się do Dyrektora Centrum o udzielenie informacji, w jakim okresie, na jakim stanowisku i w jakim charakterze Skarżący był zatrudniony w Centrum, ,jakie wynagrodzenie otrzymywał w/w w stosunku miesięcznym i w całym okresie zatrudnienia (podstawowe wynagrodzenie, dodatki, premie itp.), czy w okresie zatrudnienia podnosił kwalifikacje zawodowe, jeśli tak to kiedy i przed jakimi komisjami, o ile wzrosło jego wynagrodzenie po podniesieniu kwalifikacji", oraz o "dołączenie kserokopii teczki osobowej" Skarżącego. W ww. piśmie zaznaczono, aby ww. informacje przesłać do Zespołu do walki z Przestępczością Zorganizowaną i Korupcji KPP.

12. Dyrektor Centrum pismem z dnia [...] listopada 2013 r. ([...]) udostępnił na rzecz Policji dane osobowe Skarżącego we wnioskowanym zakresie.

13. W wyjaśnieniach złożonych w sprawie Dyrektor Centrum stwierdził, że Skarżący nie zwracał się o wypełnienie wobec niego obowiązku informacyjnego z art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2014 r. poz. 1182 ze zm.), zwanej dalej ustawą, dlatego nie udzielono mu odpowiedzi zawierającej informacje określone w tym przepisie. Dyrektor Centrum podniósł: "Skarżący nie zwracał się później z żadnymi innymi wnioskami do Centrum. Z uwagi na fakt, że p. O. nie zgłaszał żadnych zastrzeżeń co do udzielonej mu odpowiedzi uznano, iż jest ona wystarczająca"

14. Następnie w dniu [...] maja 2015 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęło kolejne pismo Skarżącego z dnia [...] maja 2015 r., w którym podniósł w szczególności cyt.: "(...) Dyrektor Centrum w Z. nie wykonał decyzji Biura w W., ponieważ ich pismo zwróciłem i prosiłem, aby było przesłane ponownie po podpisaniu przez ich prawnika, którego zatrudnia Centrum. W odpowiedzi otrzymałem pismo, które nic nie wnosi do sprawy. A zatem ta sprawa jest nadal otwarta i budzi wątpliwości samo pismo tegoż dyrektora. W tej sytuacji moja skarga jest wciąż aktualna oraz inne dane, które były kierowane do Biura w W."

Po ponownym rozpatrzeniu całokształtu materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych wskazał, iż zgodnie z art. 23 ust. 1 ustawy przetwarzanie danych jest dopuszczalne nie tylko wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1), ale także gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2). Dlatego zgoda osoby, której dane dotyczą, nie jest jedyną podstawą przetwarzania danych osobowych.

Przedmiotem postępowania administracyjnego w niniejszej sprawie jest przetwarzanie danych osobowych Skarżącego przez jego byłego pracodawcę, Dyrektora Centrum.

Organ wskazał, że z materiału dowodowego sprawy wynika, że Skarżący w okresie od dnia [...] września 2008 r. do dnia [...] sierpnia 2009 r. był pracownikiem Centrum, dlatego obecnie jego dane osobowe są przechowywane przez Centrum w postaci jego akt osobowych przez 50 lat.

W myśl art. 125a ust. 4 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (Dz.U. z 2013 r. poz. 1440 ze zm.) płatnik składek jest zobowiązany przechowywać listy płac, karty wynagrodzeń albo inne dowody, na podstawie których następuje ustalenie podstawy wymiaru emerytury lub renty, przez okres 50 lat od dnia zakończenia przez ubezpieczonego pracy u danego płatnika.

Z materiału dowodowego sprawy wynika, że dane osobowe Skarżącego zostały udostępnione przez Dyrektora Centrum na wniosek posła na Sejm RP oraz na żądania jednostek Policji.

Zgodnie z art. 19 ustawy z dnia 9 maja 1996 r. o wykonywaniu mandatu posła i senatora (Dz.U. z 2011 r. Nr 7, poz. 29 ze zm.) w wykonywaniu mandatu poseł lub senator ma prawo, jeżeli nie narusza dóbr osobistych innych osób, do uzyskiwania informacji i materiałów, wstępu do pomieszczeń, w których znajdują się te informacje i materiały, oraz wglądu w działalność organów administracji rządowej i samorządu terytorialnego, a także spółek z udziałem Skarbu Państwa oraz zakładów i przedsiębiorstw państwowych i samorządowych, z zachowaniem przepisów o tajemnicy prawnie chronione (ust. 1). Zasady i tryb udostępniania posłom i senatorom informacji niejawnych określają przepisy o ochronie informacji niejawnych (ust. 2).

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych w dniu [...] kwietnia 2015 r. wydał decyzję administracyjną (znak: [...]), mocą której nakazał Dyrektorowi Centrum usunięcie uchybień w procesie przetwarzania danych osobowych J.O. poprzez spełnienie wobec niego obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy w związku z art. 32 ust. 1 pkt 2 tej ustawy przez udzielenie mu informacji o celu, zakresie W myśl art. 20 ww. ustawy poseł lub senator ma prawo podjąć - w wykonywaniu swoich obowiązków poselskich lub senatorskich - interwencję w organie administracji rządowej samorządu terytorialnego, zakładzie lub przedsiębiorstwie państwowym oraz organizacji społecznej, a także w jednostkach gospodarki niepaństwowej dla załatwienia sprawy, którą wnosi we własnym imieniu albo w imieniu wyborcy lub wyborców, jak również zaznajamiać się z tokiem jej rozpatrywania (ust. 1). Organy i jednostki, wymienione w ust. 1, wobec których poseł lub senator podjął interwencję, są obowiązane najpóźniej w ciągu czternastu dni powiadomić posła lub senatora o stanie rozpatrywania sprawy i w terminie uzgodnionym z posłem lub senatorem ostatecznie ją załatwić (ust. 2).

Ww. przepisy stanowiły podstawę prawną do żądania od Dyrektora Centrum udostępnieni danych osobowych Skarżącego i pozyskania ich przez posła na Sejm RP J.P.

Zgodnie z art. 14 ust. 1 ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz.U. z 2015 r. poz. 355 w granicach swych zadań Policja wykonuje czynności: operacyjno-rozpoznawcze, dochodzeniowo – śledcze i administracyjno – porządkowe w m.in. w celu rozpoznawania, zapobiegania i wykrywani przestępstw i wykroczeń (pkt 1). W myśl art. 15 ust. pkt 6) ww. ustawy policjanci wykonują czynności, o których mowa w art. 14, mają prawo żądania niezbędnej pomocy od instytucji państwowych, organów administracji rządowej i samorządu terytorialnego oraz przedsiębiorców prowadzących działalność w zakresie użyteczności publicznej; wymienione instytucje, organ i przedsiębiorcy są obowiązani, w zakresie swojego działania, do udzielenia tej pomocy, w zakresie obowiązujących przepisów prawa.

Ww. przepisy stanowiły podstawę prawną do żądania od Dyrektora Centrum udostępnienia danych osobowych Skarżącego i pozyskania ich przez Komendę Powiatową Policji w M. Komendę Rejonową Policji [...] i Komendę Powiatową Policji w Z. Zaznaczy należy, że Centrum stanowi jednostkę organizacyjną jednostki samorządu terytorialnego - powiat z.

Mając zatem na względzie powołane wyżej przepisy ustawy o wykonywaniu mandatu posła i senatora oraz ustawy o Policji ponownie stwierdzić należy, iż udostępnienie przez Dyrektor Centrum danych osobowych Skarżącego na rzecz posła na Sejm RP oraz jednostek Policji nastąpił zgodnie z przesłanką określoną w art. 23 ust. 1 pkt 2 ustawy.

Odnosząc się z kolei ponownie do zarzutu nieudzielenia Skarżącemu przez Dyrektor Centrum informacji w trybie art. 33 ustawy, organ ponownie stwierdził, że jest on zasadny.

Z materiału dowodowego sprawy wynika, że Skarżący pismem z dnia [...] maja 2013 r. zwrócił się do Dyrektora Centrum o udzielenie informacji o celu, zakresie i sposobie przetwarzania jej danych osobowych przez Dyrektora Centrum po rozwiązaniu ze Skarżącym umowy o pracę.

W myśl art. 32 ust. 1 pkt 2 ustawy każdej osobie przysługuje prawo do kontroli przetwarzani danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do uzyskani informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze.

Ww. uprawnieniom osób, których dane są przetwarzane w zbiorach, odpowiada obowiązek administratorów danych określony w art. 33 ust. 1 ustawy. Według tego przepisu na wniosek osoby której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformowania o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji,

W myśl art. 20 ww. ustawy poseł lub senator ma prawo podjąć - w wykonywaniu swoich obowiązków poselskich lub senatorskich - interwencję w organie administracji rządowej samorządu terytorialnego, zakładzie lub przedsiębiorstwie państwowym oraz organizacji społecznej, a także w jednostkach gospodarki niepaństwowej dla załatwienia sprawy, którą wnos we własnym imieniu albo w imieniu wyborcy lub wyborców, jak również zaznajamiać się z tokier jej rozpatrywania (ust. 1). Organy i jednostki, wymienione w ust. 1, wobec których poseł lu senator podjął interwencję, są obowiązane najpóźniej w ciągu czternastu dni powiadomić posła lu senatora o stanie rozpatrywania sprawy i w terminie uzgodnionym z posłem lub senatorem ostatecznie ją załatwić (ust. 2).

Złożenie wniosku, zależnie od jego treści, zobowiązuje administratora danych do udzielenia pełnych informacji o procesie przetwarzania danych w zakresie nie węższym niż przewiduje ustawa. W odpowiedzi na ww. wniosek Skarżącego Dyrektor Centrum z piśmie dnia [...] maja 2013 r. wskazał jedynie: "Pana dane osobowe nie były nigdzie przekazywane z inicjatywy naszej placówki. Informacje z Pana akt osobowych były udostępniane jedynie uprawnionym do tego organom na ich wniosek". Skarżący podniósł w korespondencji do GIODO, że w odpowiedzi na swój wniosek otrzymał ww. pismo Centrum, "z którego nic nie wynika".

W świetle powyższego organ stwierdził, że pismo Dyrektora Centrum z dnia [...] maja 2013 r. nie zawiera informacji o celu, sposobie i zakresie przetwarzania danych osobowych Skarżącego, o których udzielenie zwrócił się on wnioskiem z dnia [...] maja 2013 r. Uznać należy, że w tym zakresie doszło do naruszenia przez Dyrektora Centrum art. 33 ust. 1 ustawy.

Stosownie do art. 18 ust. 1 pkt 1 ustawy w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie uchybień. Celowe zatem było nakazanie Dyrektorowi Centrum usunięcia uchybień w procesie przetwarzania danych osobowych Skarżącego przez wypełnienie wobec niego obowiązku informacyjnego, o którym mowa w art. 33 ustawy, w zakresie wskazanym w art. 32 ust. 1 pkt 2 ustawy.

Organ odnosząc się do ww. pisma Dyrektora Centrum z dnia [...] kwietnia 2015 r. skierowanego do Skarżącego i doręczonego mu, wbrew jego twierdzeniem, w dniu [...] maja 2015 r., stwierdził, iż ww. pisma również nie można uznać za wypełnienie przez Dyrektora Centrum wobec Skarżącego obowiązku informacyjnego, o którym mowa w art. 33 ust. 1 ustawy, na jego ww. wniosek z dnia [...] maja 2013 r. Pismo to nie zawiera bowiem wnioskowanych informacji o celu, zakresie i sposobie przetwarzania danych osobowych Skarżącego. Jakkolwiek Dyrektor Centrum poinformował Skarżącego, że jego dane osobowe są przechowywane w postaci akt osobowych przez 50 lat i w aktach tych znajdują się dokumenty związane z zatrudnieniem Skarżącego "w tutejszej jednostce", to jednak nie można uznać, by Skarżący został poinformowany przez Dyrektora Centrum w sposób jasny, czytelny i nie budzący żadnych wątpliwości o celu, zakresie i sposobie jego przetwarzania danych. Zauważyć bowiem należy, iż administrator danych osobowych w odpowiedzi na wniosek osoby, której dane dotyczą, o którym mowa w art. 33 ust. 1 ustawy, powinien udzielić informacji w sposób prosty, zrozumiały, a nie w sposób nakazujący takiej osobie domyślać się intencji administratora danych, czy dokonywać jakiejś dodatkowej interpretacji, czy wnioskowania z udzielonej mu odpowiedzi. Z ww. pisma z dnia [...] kwietnia 2015 r. co prawda wynika sposób przetwarzania danych Skarżącego, tj. ich przechowywanie, jednakże cel i zakres tego przetwarzania danych, nie został wprost wyartykułowany.

Wobec powyższego, w ocenie organu, konieczne jest utrzymanie zaskarżonej decyzji z dnia [...] kwietnia 2015 r. w mocy.

Na koniec odnosząc do zarzutów Skarżącego dotyczących wadliwego przeprowadzenia przez organ postępowania dowodowego, w szczególności nieuwzględnienia jego wniosków o przesłuchanie świadków i kontrolę, organ wskazał, iż są one chybione. Generalny Inspektor Ochrony Danych Osobowych ustalił w niniejszej sprawie stan faktyczny, kierując się zasadą pisemności wyrażoną w art. 14 kpa, na podstawie wyjaśnień skarżonego podmiotu i dokumentów zgromadzonych w aktach sprawy, a o wszystkich czynnościach w sprawie informował Skarżącego. Natomiast korzystanie z innych środków, jak np. przeprowadzenia kontroli, o której mowa w art. 12 pkt 1 ustawy, byłoby uzasadnione co najwyżej w sytuacji nie ustalenia stanu faktycznego sprawy w sposób wskazany powyżej. Generalny Inspektor Ochrony Danych Osobowych kieruje się bowiem zasadą prostoty postępowania, o której mowa w art. 12 § 1 Kpa.

Powyższa decyzja stała się przedmiotem skargi J. O. wniesionej do Wojewódzkiego Sądu Administracyjnego, w której skarżący wniósł o uchylenie zaskarżonej decyzji.

W uzasadnieniu skargi podał między innymi, że decyzja została wydana bez odpowiedniego przeprowadzenia postępowania wyjaśniającego, jest płytka i bez znaczenia dla sprawy.

W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał argumenty jak w uzasadnieniu zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Stosownie do treści art. 13 § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), do rozpoznawania sprawy właściwy jest wojewódzki sąd administracyjny, na którego obszarze właściwości ma siedzibę organ administracji publicznej, którego działalność została zaskarżona.

Natomiast zgodnie z treścią art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. -Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2014 r., poz. 1647), sąd administracyjny sprawuje wymiar sprawiedliwości przez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania.

Skarga analizowana pod tym kątem nie zasługuje na uwzględnienie.

Podstawę prawną rozstrzygnięcia wydanego w tej sprawie niniejszej stanowi ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2014 r. poz. 1182 ze zm.), która określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1). Przetwarzanie danych osobowych (przez które w myśl z art. 7 pkt 2 ustawy rozumie się jakiekolwiek operacje wykonywane na tych danych, w tym ich udostępnianie) jest zgodne z prawem wówczas gdy administrator legitymuje się jedną z materialnych przesłanek dopuszczalności przetwarzania wymienionych w art. 23 ust 1 ustawy m.in. gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2).

Z art. 23 ust 1 pkt 2 ustawy wynika zatem, że jeżeli istnieją przepisy prawa, które w sposób szczególny regulują kwestie przetwarzania danych osobowych, to stanowią one samodzielną przesłankę przetwarzania danych.

Zatem zgodnie z art. 23 ust 1 ustawy przetwarzanie danych jest dopuszczalne nie tylko wtedy, gdy osoba której dane dotyczą wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących ją danych (pkt 1), ale także gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2). Dlatego zgoda osoby której dane dotyczą, nie jest jedyną podstawą przetwarzania danych osobowych.

W sprawie niniejszej, przedmiotem postępowania jest przetwarzanie danych osobowych skarżącego przez jego byłego pracodawcę.

Jak ustalił Generalny Inspektor Ochrony Danych Osobowych, skarżący w okresie od [...] września 2008 r do [...] sierpnia 2009 r był pracownikiem Centrum i w związku z tym jego dane osobowe są przechowywane przez 50 lat.

W myśl art. 125a ust. 4 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (Dz.U. z 2013 r. poz. 1440 ze zm.) płatnik składek jest zobowiązany przechowywać listy płac, karty wynagrodzeń albo inne dowody, na podstawie których następuje ustalenie podstawy wymiaru emerytury lub renty, przez okres 50 lat od .dnia zakończenia przez ubezpieczonego pracy u danego płatnika.

Z materiału dowodowego sprawy wynika, że dane osobowe Skarżącego zostały udostępnione przez Dyrektora Centrum na wniosek posła na Sejm RP oraz na żądania jednostek Policji.

Zgodnie z art. 19 ustawy z dnia 9 maja 1996 r. o wykonywaniu mandatu posła i senatora (Dz.U. z 2011 r. Nr 7, poz. 29 ze zm.) w wykonywaniu mandatu poseł lub senator ma prawo, jeżeli nie narusza dóbr osobistych innych osób, do uzyskiwania informacji i materiałów, wstępu do pomieszczeń, w których znajdują się te informacje i materiały, oraz wglądu w działalność organów administracji rządowej i samorządu terytorialnego, a także spółek z udziałem Skarbu Państwa oraz Zakładów i przedsiębiorstw państwowych i samorządowych, z zachowaniem przepisów o tajemnicy prawnie chronione (ust. 1). Zasady i tryb udostępniania posłom i senatorom informacji niejawnych określają przepisy o ochronie informacji niejawnych (ust. 2).

W myśl art. 20 ww. ustawy poseł lub senator ma prawo podjąć - w wykonywaniu swoich obowiązków poselskich lub senatorskich - interwencję w organie administracji rządowej i samorządu terytorialnego, zakładzie lub przedsiębiorstwie państwowym oraz organizacji społecznej, a także w jednostkach gospodarki niepaństwowej dla załatwienia sprawy, którą wnosi we własnym imieniu albo w imieniu wyborcy lub wyborców, jak również zaznajamiać się z tokiem jej rozpatrywania (ust. 1). Organy i jednostki, wymienione w ust. 1, wobec których poseł lub senator podjął interwencję, są obowiązane najpóźniej w ciągu czternastu dni powiadomić posła lub senatora o stanie rozpatrywania sprawy i w terminie uzgodnionym z posłem lub senatorem ostatecznie ją załatwić (ust. 2).

Ww. przepisy stanowiły podstawę prawną do żądania od Dyrektora Centrum udostępnienia danych osobowych Skarżącego i pozyskania ich przez posła na Sejm RP J. P.

Zgodnie z art. 14 ust. 1 ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz. U. z 2015 r. poz. 355) w granicach swych zadań Policja wykonuje czynności: operacyjno-rozpoznawcze, dochodzeniowo- śledcze i administracyjno-porządkowe w m.in. w celu rozpoznawania, zapobiegania i wykrywania przestępstw i wykroczeń (pkt 1). W myśl art. 15 ust. pkt 6) ww. ustawy policjanci wykonując czynności, o których mowa w art. 14, mają prawo żądania niezbędnej pomocy od instytucji państwowych, organów administracji rządowej i samorządu terytorialnego oraz przedsiębiorców prowadzących działalność w zakresie użyteczności publicznej; wymienione instytucje, organy i przedsiębiorcy są obowiązani, w zakresie swojego działania, do udzielenia tej pomocy, w zakresie Obowiązujących przepisów prawa.

Ww. przepisy stanowiły podstawę prawną do żądania od Dyrektora Centrum udostępnienia danych osobowych Skarżącego i pozyskania ich przez Komendę Powiatową Policji w M., Komendę Rejonową Policji [...] i Komendę Powiatową Policji w Z. Zaznaczyć należy, że Centrum stanowi jednostkę organizacyjną jednostki samorządu terytorialnego – powiatu [...].

Mając zatem na względzie powołane wyżej przepisy ustawy o wykonywaniu mandatu posła i senatora oraz ustawy o Policji stwierdzić należy, iż udostępnienie przez Dyrektora Centrum danych osobowych Skarżącego na rzecz posła na Sejm RP oraz jednostek Policji nastąpi zgodnie z przesłanką określoną w art. 23 ust. 1 pkt 2 ustawy.

Organ w zaskarżonej decyzji stwierdził, iż zarzut nieudzielenia Skarżącemu przez Dyrektora Centrum informacji w trybie art. 33 ustawy jest zasadny i z twierdzeniem tym należy się zgodzić. Z materiału dowodowego sprawy wynika, że Skarżący pismem z dnia [...] maja 2013 r. zwrócił się do Dyrektora Centrum o udzielenie informacji o celu, zakresie i sposobie przetwarzania jej danych osobowych przez Dyrektora Centrum po rozwiązaniu ze Skarżącym umowy o pracę.

W myśl art. 32 ust. 1 pkt 2 ustawy każdej osobie przysługuje prawo do kontroli przetwarzań danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze.

Ww. uprawnieniom osób, których dane są przetwarzane w zbiorach, odpowiada obowiązek administratorów danych określony w art. 33 ust. 1 ustawy. Według tego przepisu na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o który mowa w art. 32 ust. 1 pkt 1-5. W myśl ust. 2 tego przepisu na wniosek osoby, której dane dotyczą, informacji, o których mowa w ust. 1, udziela się na piśmie.

Złożenie wniosku, zależnie od jego treści, zobowiązuje administratora danych do udzielenia pełnych informacji o procesie przetwarzania danych w zakresie nie węższym niż przewiduje ustawa. W doktrynie podnosi się: że art. 33 określa minimalną treść udzielanej zainteresowanemu przez administratora informacji (chyba że wniosek wyraźnie dotyczyć będzie węższego zakresu) dla uzyskania pełniejszych informacji, których maksymalne granice wyznacza art. 32 ust. 1 pkt 1-5a, konieczne jest wyraźne zamieszczenie w jednostkowym wniosku konkretnych pytań" (J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowy Komentarz", Zakamycze 2004, s. 658).

W odpowiedzi na ww. wniosek Skarżącego Dyrektor Centrum z piśmie dnia [...] maja 2013 r. wskazał jedynie: "Pana dane osobowe nie były nigdzie przekazywane z inicjatywy naszej placów Informacje z Pana akt osobowych były udostępniane jedynie uprawnionym do tego organom na wniosek". Skarżący podniósł w korespondencji do GIODO, że w odpowiedzi na swój wniosek otrzymał ww. pismo Centrum, "z którego nic nie wynika".

W świetle powyższego, w ocenie Sądu, Generalny Inspektor Ochrony Danych Osobowych słusznie uznał, iż pismo Dyrektora Centrum z dnia [...] maja 2013 r. nie zawiera informacji o celu, sposobie i zakresie przetwarzania danych osobowych Skarżącego, o których udzielenie zwrócił się on wnioskiem z [...] maja 2013 r. Uznać należy, że w tym zakresie doszło do naruszenia przez Dyrektora Centrum art. 33 ust. 1 ustawy.

W związku z powyższym, stosownie do art. 18 ust. 1 pkt 1 ustawy, Generalny Inspektor prawidłowo nakazał Dyrektorowi Centrum usunięcie uchybień w procesie przetwarzania danych osobowych Skarżącego przez wypełnienie wobec niego obowiązku informacyjnego, o którym mowa w art. ustawy, w zakresie wskazanym w art. 32 ust. 1 pkt 2 ustawy.

Odnosząc się do ww. pisma Dyrektora Centrum z dnia [...] kwietnia 2015 r. skierowanego do Skarżącego i doręczonego mu, wbrew jego twierdzeniem, w dniu [...] maja 2015 r. stwierdzić należy, iż również w tej kwestii organ ma rację wskazując, że także tego pisma nie można uznać za wypełnienie przez Dyrektora Centrum wobec Skarżącego obowiązku informacyjnego, o którym mowa w art. 33 ust. 1 ustawy, na jego wniosku z dnia [...] maja 2013 r. Pismo to nie zawierało bowiem wnioskowanych informacji o celu, zakresie i sposobie przetwarzania danych osobowych Skarżącego. Jakkolwiek Dyrektor Centrum poinformował Skarżącego, że jego dane osobowe są przechowywane w postaci akt osobowych przez 50 lat i w aktach tych znajdują się dokumenty związane z zatrudnieniem Skarżącego "w tutejszej jednostce", to jednak nie można uznać, by Skarżący został poinformowany przez Dyrektora Centrum w sposób jasny, czytelny i nie budzący żadnych wątpliwości o celu, zakresie i sposobie jego przetwarzania danych. Zauważyć bowiem należy, iż administrator danych osobowych w odpowiedzi na wniosek osoby, której dane dotyczą, o którym mowa w art. 33 ust. 1 ustawy, powinien udzielić informacji w sposób prosty, zrozumiały, a nie w sposób nakazujący takiej osobie domyślać się intencji administratora danych, czy dokonywać jakiejś dodatkowej interpretacji, czy wnioskowania z udzielonej mu odpowiedzi. Z ww. pisma z dnia [...] kwietnia 2015 r. co prawda wynika sposób przetwarzania danych Skarżącego, tj. ich przechowywanie, jednakże cel i zakres tego przetwarzania danych, nie został wprost wyartykułowany.

Odnosząc się natomiast do zarzutów Skarżącego dotyczących wadliwego przeprowadzenia przez Organ postępowania dowodowego, w szczególności nieuwzględnienia jego wniosków o przesłuchanie świadków i kontrolę, wskazać należy, iż są one chybione. W ocenie Sądu, Generalny Inspektor Ochrony Danych Osobowych prawidłowo ustalił w niniejszej sprawie stan faktyczny, kierując się zasadą pisemności wyrażoną w art. 14 kpa, na podstawie wyjaśnień skarżonego podmiotu i dokumentów zgromadzonych w aktach sprawy, a o wszystkich czynnościach w sprawie informował Skarżącego. Słusznie organ uznał też, że korzystanie z innych środków, jak np. przeprowadzenia kontroli, o której mowa w art. 12 pkt 1 ustawy, byłoby uzasadnione co najwyżej w sytuacji nie ustalenia stanu faktycznego sprawy w sposób wskazany powyżej. Generalny Inspektor Ochrony Danych Osobowych kieruje się bowiem zasadą prostoty postępowania, o której mowa w art. 12 § 1 Kpa.

Mając powyższe na uwadze na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity Dz. U. z 2012 r., poz. 270 ze zm.) Wojewódzki Sąd Administracyjny w Warszawie orzekł w sentencji.