>Decyzje Giodo>2006 >

Decyzja Generalnego inspektora Ochrony Danych Osobowych dotycząca przetwarzania (usunięcia) danych osobowych Skarżącego przez Biuro obrotu Nieruchomościami oraz spełnienia wobec Skarżącego obowiązku informacyjnego określonego w art. 33 ustawy o ochronie danych osobowych.

Warszawa, dnia 31 marca 2006 r.

DECYZJA

Na podstawie art. 104 § 1, art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 2000 r. Nr 98 poz. 1071 ze zm.) oraz art. 12 pkt 2 w związku z art. 18 ust. 1 pkt 1, art. 23 ust. 1 pkt 2, art. 32 oraz art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2002 r. Nr 101 poz. 926 ze zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana A. K., zam. w (...) przy ul. (...), dotyczącej przetwarzania jego danych osobowych przez P. K., R. G. prowadzących „M” s. c., Biuro Obrotu Nieruchomościami, z siedzibą w W. przy ul. (...), oraz „C.” Biuro Obrotu Nieruchomościami, W. J., z siedzibą w W. przy ul. (...),

1)    odmawiam uwzględnienia wniosku Pana A. K., zam. w (...) przy ul. (...), w zakresie nakazania W. J. prowadzącemu działalność gospodarczą pod nazwą „C.” Biuro Obrotu Nieruchomościami, z siedzibą w W. przy ul. (...), usunięcia jego danych osobowych,
2)    nakazuję W. J. prowadzącemu działalność gospodarczą pod nazwą „C.” Biuro Obrotu Nieruchomościami, z siedzibą w W. przy ul. (...), udzielenie Panu A. K., zam. w (...) przy ul. (...), informacji, których zakres został ustalony w art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2002 r. Nr 101 poz. 926 ze zm.) z zachowaniem wskazanego w tym przepisie 30-dniowego terminu,
3)    w pozostałym zakresie postępowanie umarzam.

Uzasadnienie

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął wniosek Pana A. K., zam. w (...) przy ul (...), zwanego dalej także Skarżącym, w sprawie przetwarzania jego danych osobowych przez P. K., R. G. prowadzących „M.” s. c., Biuro Obrotu Nieruchomościami, z siedzibą w W. przy ul. (...), zwaną dalej Biurem M., oraz „C.” Biuro Obrotu Nieruchomościami, W. J., z siedzibą w W. przy ul. (...), zwane dalej Biurem C. Skarżący wskazał w szczególności, iż wnosi o zbadanie, czy Biuro M. oraz Biuro C. naruszyły przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2002 r. Nr 101 poz. 926 ze zm.), zwanej dalej ustawą, a jeżeli tak to wnosi on o „zobowiązanie uczestników [Biura M. i Biura C.] do usunięcia uchybień i usunięcie moich [Skarżącego] danych (jeżeli uczestnicy przetwarzają moje [Skarżącego] dane, o zastosowanie sankcji karnych przewidzianych w art. 54 ustawy.”

W celu ustalenia okoliczności przedmiotowej sprawy Generalny Inspektor Ochrony Danych Osobowych wszczął postępowanie wyjaśniające. Na podstawie zebranego materiału dowodowego dokonano następujących ustaleń:
1.    Skarżący zawarł w dniu 7 sierpnia 2002 r. z Biurem C. umowę pośrednictwa sprzedaży nieruchomości, natomiast w dniu 8 sierpnia 2002 r. Skarżący zawarł taką umowę z Biurem M. W dniu 5 kwietnia 2005 r. Skarżący skierował do Biura C. oraz do Biura M. dwa odrębne pisma, w których poinformował ww. podmioty o wypowiedzeniu przedmiotowych umów (kopie pism w aktach sprawy).
2.    We wspomnianych w punkcie 1 pismach z dnia 5 kwietnia 2005 r. skierowanych do Biura C. oraz do Biura M. Skarżący wystąpił także o udzielenie mu szczegółowych informacji o przetwarzaniu jego danych osobowych w zakresie wskazanym w art. 32 ust. 1 pkt 1-5 ustawy, a także, jeżeli Biuro C. oraz Biuro M. nadal przetwarzają jego dane, Skarżący powołując się na art. 32 ust. 1 pkt 6 ustawy o ochronie danych osobowych zażądał usunięcia wszelkich jego danych oraz przesłania mu stosownej informacji w tym zakresie. Biuro C. otrzymało pismo Skarżącego w dniu 7 kwietnia 2005 r., natomiast Biuro M. w dniu 8 kwietnia 2005 r.
3.    Wezwane do złożenia wyjaśnień Biuro C. wskazało, iż usunęło dane Skarżącego ze zbioru, wskazując jednocześnie, że: „w chwili obecnej w posiadaniu Biura znajduje się umowa pośrednictwa przechowywana w celu zabezpieczenia się przed ew. roszczeniami Skarżącego w zamykanej na klucz szafie.” Biuro C. poinformowało Skarżącego pisemnie (Skarżący pismo odebrał w dniu 15 czerwca 2005 r.), iż zbiór KLIENCI CENTRUM BIURA OBROTU NIERUCHOMOŚCIAMI zawiera następujące dane osobowe: imię nazwisko, adres zamieszkania, nr dowodu osobistego, telefon kontaktowy, adres zgłoszonej nieruchomości. Ponadto w tym samym piśmie Biuro C. poinformowało Skarżącego, iż: „Obecnie w zbiorze nie są przetwarzane Pańskie dane osobowe, gdyż zgodnie z pańskim żądaniem zostały usunięte. (...) Ponieważ wypowiedział Pan umowę, nie doszło do udostępnienia pańskich danych.”
4.    Natomiast Biuro M. w przedstawionych wyjaśnieniach wskazało, iż: „M”. s. c. otrzymała pismo Skarżącego z dnia 5 kwietnia 2005 r. informujące o wypowiedzeniu umowy pośrednictwa i od momentu otrzymania tego pisma „M”. s. c. wycofała ofertę sprzedaży nieruchomości Pana A. K. z bazy ofert naszej Agencji, zgodnie z par. 8 Umowy pośrednictwa przy sprzedaży nieruchomości.” Ponadto Biuro M. wyjaśniło, iż zaprzestało „całkowicie przetwarzania danych byłego klienta Pana A. K.”. Pismem z dnia 28 października 2005 r. Biuro M. poinformowało Skarżącego, iż zbiór „Klienci Biura M.” zawiera dane osobowe obejmujące imię i nazwisko, adres nieruchomości oraz telefon kontaktowy, a tym samym przekazało Skarżącemu informacje wskazane w art. 32 ust. 1 pkt 1-5a ustawy o ochronie danych osobowych. W tym samym piśmie Biuro M. poinformowało także Skarżącego, iż: „Obecnie w zbiorze (...) nie są przetwarzane Pańskie dane osobowe, gdyż zgodnie z Pańskim żądaniem zostały usunięte. (...) ponieważ wypowiedział Pan Umowę nie doszło do udostępnienia Pańskich danych.”

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:

I. Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2002 r. Nr 101 poz. 926 ze zm.), zwana dalej ustawą, określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane są lub mogą być przetwarzane w zbiorach danych osobowych, zgodnie z art. 2 ust. 1 ustawy. Przetwarzanie danych osobowych jest zgodne z prawem jedynie wówczas, gdy administrator danych legitymuje się posiadaniem co najmniej jednej spośród wymienionych w art. 23 ust. 1 ustawy przesłanek dopuszczalności przetwarzania. Stosownie do tego przepisu, przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, 2) gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
W świetle stanu faktycznego niniejszej sprawy oraz obowiązujących przepisów prawa brak jest podstaw do uwzględnienia wniosku Skarżącego w zakresie usunięcia jego danych przetwarzanych przez Biuro C. W niniejszej sprawie bezsporne jest, iż Biuro C. nie przetwarza przedmiotowych danych w celu realizacji umowy pośrednictwa w obrocie nieruchomościami, jednakże jak wskazało Biuro C. zachowało ono sobie zawartą ze Skarżącym umowę pośrednictwa w celu zabezpieczenia się przed ewentualnymi jego roszczeniami cywilnoprawnymi. Zgodnie z art. 7 pkt 2 ustawy przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W związku z powyższym przyjąć należy, iż wbrew stanowisku Biura C., nadal przetwarza ono dane osobowe Skarżącego we wskazanym powyżej celu. Obrót gospodarczy obejmujący m.in. dochodzenie roszczeń, którym towarzyszą często spory uczestników tego obrotu uregulowany został w licznych przepisach prawa, w szczególności w przepisach ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz.U.1964 r. Nr 16 poz. 93 ze zm.). Art. 117 § 1 Kodeksu Cywilnego stanowi, iż z zastrzeżeniem wyjątków w ustawie przewidzianych, roszczenia majątkowe ulegają przedawnieniu. Zgodnie z art. 118 Kodeksu cywilnego, jeżeli przepis szczególny nie stanowi inaczej, termin przedawnienia wynosi lat dziesięć, a dla roszczeń o świadczenia okresowe oraz roszczeń związanych z prowadzeniem działalności gospodarczej – trzy lata. Uznać zatem należy, iż Biuro C., przetwarzając dane osobowe Skarżącego w celu zabezpieczenia się przed potencjalnymi roszczeniami z jego strony, czyni to na podstawie art. 23 ust. 1 pkt 2 ustawy.

II. W tym miejscu podkreślenia wymaga, iż skoro Biuro C. zachowało sobie egzemplarz umowy zawartej ze Skarżącym w celu zabezpieczenia się przed jego ewentualnymi roszczeniami, i w konsekwencji przetwarza dane osobowe Skarżącego w tym celu, za uzasadnione należy uznać także nakazanie Biuru C. spełnienia obowiązku informacyjnego z art. 33 ustawy. W myśl tego przepisu, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1 – 5a, a w szczególności podać w formie zrozumiałej: 1) jakie dane osobowe zawiera zbiór, 2) w jaki sposób zebrano dane, 3) w jakim celu i zakresie dane są przetwarzane, 4) w jakim zakresie oraz komu dane zostały udostępnione. Na wniosek osoby, której dane dotyczą, informacji, o których mowa powyżej, udziela się na piśmie – art. 33 ust. 2 ustawy. Zgodnie z art. 32 ust. 1 ustawy, każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do: 1) uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska, 2) uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze, 3) uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych, 4) uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie tajemnicy państwowej, służbowej lub zawodowej, 5) uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane, 5a) uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2.
Mając na uwadze powyższe, podkreślić należy, iż osoba, której dane dotyczą jest uprawniona do wystąpienia do administratora danych o udzielenie informacji dotyczących jej danych osobowych. Odpowiedź jaką w terminie 30 dni administrator danych zobowiązany jest przekazać osobie, której dane dotyczą, może być natomiast udzielona w dowolnej formie. Jednakże, jeśli wnioskodawca wyrazi takie życzenie, odpowiedź ta powinna być sporządzona w formie pisemnej. Podkreślenia przy tym wymaga, że jak słusznie zauważono w literaturze przedmiotu, posłużenie się formą pisemną, nawet przy braku wspomnianego życzenia, jest wskazane ze względów dowodowych. W razie sporu obowiązek udzielenia informacji spoczywa bowiem na administratorze danych (J. Barta, R. Markiewicz, „Ochrona danych osobowych. Komentarz”, Zakamycze 2001, s. 534).
W świetle ustalonych okoliczności faktycznych niniejszej sprawy wskazać należy,
iż Biuro C. nie spełniło tego obowiązku. Kierując bowiem do Skarżącego pismo z czerwca 2005 r., Biuro C. błędnie poinformowało go o zaprzestaniu przetwarzania jego danych osobowych, podczas gdy Biuro C. nadal przetwarza dane Skarżącego w celu zabezpieczenia się przed ewentualnymi jego roszczeniami. Zauważyć w tym miejscu należy, że mianem zbioru danych osobowych nie określa się tylko danych przetwarzanych w systemie informatycznym ale tworzą go również dane przechowywane (przetwarzane) w formie papierowej a dostęp do zbioru następuje nie tylko na podstawie zastosowania kryterium osobowego ale także np. kryterium numerycznego. W myśl art. 7 pkt 1 ustawy, za zbiór danych należy rozumieć bowiem każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Zatem, skoro Biuro C. nadal przetwarza dane osobowe Skarżącego w zbiorze zasadne jest nakazanie mu spełnienie wobec Skarżącego obowiązku z art. 33 ustawy. Niewątpliwie bowiem poinformowanie Skarżącego, iż aktualnie jego dane osobowe są przetwarzane (przechowywane) w zakresie wynikającym z zawartej umowy i dla celów wynikających przepisów Kodeksu cywilnego mieści się w dyspozycji wspomnianego art. 33 ustawy o ochronie danych osobowych.

III. Odnosząc się do przetwarzania danych osobowych Skarżącego przez Biuro M., wskazać należy na postanowienia art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 2000 r. Nr 98 poz. 1071 ze zm.), zwanej dalej Kpa. Stosownie do tego przepisu, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje decyzję o umorzeniu postępowania. Z powołanego przepisu wynika zatem, iż postępowanie administracyjne nie może toczyć się w sytuacji, gdy w jego toku przestał istnieć jego przedmiot, bądź też przedmiot ten nie istniał już przed wszczęciem tego postępowania. W doktrynie podkreśla się, że przedmiot postępowania wiąże się ze stosowaniem przez organ publiczny przepisów materialnego prawa administracyjnego i przyjmuje się, że bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa, ma miejsce, gdy brak jest któregoś z elementów materialnego stosunku prawnego (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C. H. Beck Warszawa 2000, s. 428). W konsekwencji, jeśli nie zaistniałaby tego typu przeszkoda w sprawie, podjęta byłaby decyzja merytoryczna, tj. decyzja rozstrzygająca sprawę administracyjną co do jej istoty i zarazem kończąca ją w danej instancji. Jednocześnie, ustalenie przez organ publiczny istnienia przesłanki, o której mowa w art. 105 § 1 Kpa zobowiązuje go, jak podkreśla się w doktrynie i orzecznictwie, do umorzenia postępowania, nie ma bowiem wówczas podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.
Mając na uwadze ww. przepis, powyższe uwagi oraz ustalone okoliczności sprawy, stwierdzić należy, że przedmiotem postępowania prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych było m.in. nakazanie Biuru M. usunięcia danych osobowych Skarżącego oraz nakazanie ww. podmiotowi spełnienie wobec Skarżącego obowiązku informacyjnego z art. 33 ustawy o ochronie danych osobowych. W sytuacji, gdy Biuro M. na żądanie Skarżącego przedmiotowe dane usunęła ze swojego zbioru, przestał istnieć przedmiot postępowania prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych.
Wskazana powyżej argumentacja znalazła także potwierdzenie w orzecznictwie. Naczelny Sąd Administracyjny w uzasadnieniu do wyroku z dnia 19 listopada 2001 r. (sygn. II SA 2702/00) stwierdził, że „skoro w toku prowadzonego (…) postępowania administracyjnego zniesiony został stan naruszenia prawa, którego miało dotyczyć rozstrzygnięcie, to postępowanie stało się bezprzedmiotowe. W świetle przepisu art. 18 ust.1 ustawy, wszczęte przez GIODO z urzędu lub na wniosek osoby zainteresowanej postępowanie dotyczące naruszenia przepisów o ochronie danych osobowych może zakończyć się tylko wydaniem decyzji administracyjnej nakazującej administratorowi danych przywrócenie stanu zgodnego z prawem, a w szczególności: usunięcie uchybień, uzupełnienie, uaktualnienie, sprostowanie udostępnienie lub nieudostępnienie danych osobowych, zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, wstrzymanie przekazywania danych osobowych za granicę, zabezpieczenie danych lub przekazanie ich innym podmiotom, usunięcie danych osobowych. W stanie faktycznym rozpatrywanej sprawy żadna taka decyzja wydana być nie mogła, gdyż stan naruszenia został wcześniej przywrócony do stanu zgodnego z prawem”.
Wobec powyższego, stosownie do art. 105 § 1 Kpa, Generalny Inspektor zobligowany jest do wydania decyzji o umorzeniu postępowania w sprawie nakazania Biuru M. usunięcia danych osobowych Pana A. K. ze swojego zbioru oraz w sprawie nakazania spełnienia wobec niego obowiązku z art. 33 ustawy.
Odnosząc się do złożonego przez Pana A. K. wniosku o zastosowanie sankcji karnych przewidzianych w art. 54 ustawy, wskazać należy, że strona postępowania administracyjnego może domagać się od Generalnego Inspektora Ochrony Danych Osobowych wyłącznie wydania decyzji administracyjnej, a nie zawiadomienia o popełnieniu przestępstwa, o konieczności złożenia którego Generalny Inspektor Ochrony Danych Osobowych decyduje z urzędu.
Powyższe stanowisko Generalnego Inspektora Ochrony Danych Osobowych potwierdził Naczelny Sąd Administracyjny, który w wyroku z dnia 21 listopada 2002 r. (sygn. akt II S.A. 1682/01) stwierdził, że „w świetle ustawy naruszenie jej przepisów staje się więc źródłem odpowiedzialności administracyjnej, prowadzącej w istocie jedynie do obowiązku przywrócenia stanu zgodnego z prawem (art.18) oraz odpowiedzialności karnej (art.19, 49-54). Przy czym jedynie ten pierwszy rodzaj odpowiedzialności realizowany jest w formie decyzji administracyjnej”. NSA stwierdził także, iż „w przypadku gdy wyniki działania kontrolnego będą wskazywać, iż działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem danych nosi znamiona przestępstwa, GIODO ma obowiązek skierowania zawiadomienia o popełnieniu przestępstwa do organu powołanego do ścigania przestępstw (...). Nie dokonuje tego jednak, jak w przypadku art. 18 w drodze decyzji administracyjnej, lecz w drodze wystąpienia, które stanowi realizację jego kompetencji w tej sprawie. Wskazuje na to zarówno wyraźne określenie formy decyzji w art. 18 ustawy, a brak tego określenia w art. 19, jak i istota i znaczenie decyzji administracyjnej. Nakłada ona bowiem na stronę pewne uprawnienia lub obowiązek lub odmawia jego przyznania. Tymczasem wystąpienie do prokuratury z informacją o podejrzeniu przestępstwa nie ma takiego charakteru. Co do zasady nie nadaje się więc do rozstrzygnięcia w formie decyzyjnej.”
Również w wyroku z dnia 19 listopada 2001 r. (sygn. akt II SA 2702/00) Naczelny Sąd Administracyjny w Warszawie wskazał, że „osoba dochodząca ochrony swych spraw w trybie w/w ustawy o ochronie danych osobowych nie jest podmiotem postępowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych i nie może się tego domagać od GIODO w administracyjno-prawnych formach tego postępowania. (...) GIODO może podejmować czynności tylko na zasadzie i w formach przewidzianych ustawą. Sposób załatwienia sprawy co do meritum reguluje w/w art. 18 ustawy, przyznając GIODO uprawnienia w zakresie nakazania administratorowi winnemu naruszeń przywrócenia stanu zgodnego z prawem”.

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.


Decyzja jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych i art. 129 § 2 w zw. z art. 127 § 3 Kodeksu postępowania administracyjnego strona niezadowolona z niniejszej decyzji może zwrócić się do Generalnego Inspektora Ochrony Danych Osobowych (adres: 00-193 Warszawa, ul. Stawki 2) z wnioskiem o ponowne rozpatrzenie sprawy, w terminie 14 dni od daty doręczenia niniejszej decyzji.