>Decyzje Giodo>2005 >

Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia 24 czerwca 2004 r. nakazująca wypełnienie przez Spółkę obowiązku informacyjnego na podstawie art. 33 ustawy o ochronie danych osobowych oraz nakazująca usunięcie z fotokopii wyroku sądu rejonowego, znajdującej się w posiadaniu Spółki, informacji o karalności Skarżącego.

Warszawa, dnia 24 czerwca 2005 r.

DECYZJA

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 12 pkt 2 oraz art. 18 ust. 1 pkt 1 i 6 w zw. z art. 27 ust. 2, art. 26 ust. 1 pkt 3 i art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana AB, dotyczącej przetwarzania jego danych osobowych przez Spółkę Akcyjną, zwaną również S.A.,

nakazuję S.A. , przywrócenie stanu zgodnego z prawem w procesie przetwarzania danych osobowych Pana AB, poprzez:
usunięcie ze zbioru danych osobowych, których administratorem jest S.A., danych o karalności Pana AB zawartych w fotokopii wyroku Sądu Rejonowego (...) Wydział Karny (...),
wypełnienie wobec Pana AB obowiązku informacyjnego określonego w art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), poprzez poinformowanie go o przysługujących mu prawach oraz udzielenie informacji:
jakie dane osobowe Pana BA zawiera zbiór danych prowadzony przez S.A.,
w jaki sposób zebrano dane,
w jakim celu i zakresie dane są przetwarzane,
w jakim zakresie oraz komu dane zostały udostępnione,
jaki jest sposób przetwarzania danych osobowych Pana AB,
od kiedy przetwarzane są przedmiotowe dane,
jakie jest źródło pochodzenia danych oraz sposób ich udostępniania.

Uzasadnienie

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana AB, zwanego dalej również Skarżącym, dotycząca niezgodnego z przepisami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwanej dalej także ustawą, przetwarzania jego danych osobowych przez Spółkę Akcyjną, zwaną dalej również Spółką lub S.A..
W treści powyższej skargi Pan AB zarzucił S.A., iż Spółka w sposób nieuprawniony przetwarza jego dane osobowe podlegające szczególnej ochronie – tj. dane dotyczące skazań, zawarte w wyroku Sądu Rejonowego (...) Wydział Karny (...). Wyrokiem tym Pan AB został skazany za przywłaszczenie mienia Przedsiębiorstwa Projektowo – Usługowego (...) Sp. z o. o., na szkodę udziałowców ww. Przedsiębiorstwa Projektowo – Usługowego (...) Sp. z o. o. Jak poinformował Skarżący, o fakcie przetwarzania przez S.A. jego danych osobowych zawartych w powyższym wyroku sądowym świadczy okoliczność, iż Spółka powołała się na treść uzasadnienia ww. wyroku w toku postępowania w sprawie S.A. przeciwko Skarżącemu, rozpatrywanej przez Sąd Okręgowy w (...) Wydział Cywilny (...) - w piśmie procesowym z dnia 20 kwietnia 2004 r. (kopia pisma procesowego w aktach sprawy). Skarżący zwrócił przy tym uwagę na brak związku pomiędzy sprawą karną – zakończoną wyrokiem Sądu Rejonowego (...) Wydział Karny z dnia 14 lutego 2003 r. (....) a sprawą cywilną prowadzoną przez Sąd Okręgowy (...) Wydział Cywilny (...), zwłaszcza zaś na brak powiązań organizacyjno – prawnych pomiędzy Przedsiębiorstwem Projektowo – Usługowym (...) Sp. z o. o. (jako stroną postępowania zakończonego wyrokiem karnym z dnia 14 lutego 2003 r. /.../ a S.A. (jak stroną postępowania w sprawie prowadzonej przez sąd cywilny /.../). Pan AB zaakcentował zwłaszcza: „(...)S.A. (...) powołał się na wyrok Sądu Rejonowego (...) Wydział Karny z dnia 14 lutego 2003 r. (...), skazujący mnie za przywłaszczenie mienia Przedsiębiorstwa Projektowo – Usługowego (...) Sp. z o.o. Spółka nie była pokrzywdzonym w tej sprawie, ani nie był udziałowcem PP-U (...) Sp. z o.o. (...)”.
Ponadto, Pan AB zarzucił S.A., że pomimo wysunięcia przez niego pod adresem Spółki wyraźnego, pisemnego żądania udzielenia mu informacji w trybie art. 33 ustawy o ochronie danych osobowych (kopia pisma z dnia 28 maja 2004 r., w którym Skarżący wystąpił do Spółki z rzeczonym wnioskiem, w aktach sprawy), Spółka nie uczyniła zadość powyższemu żądaniu.

Na podstawie pisemnych wyjaśnień złożonych w niniejszej sprawie przez S.A., jak również w wyniku przeprowadzonych przez Generalnego Inspektora Ochrony Danych Osobowych czynności kontrolnych w Spółce ustalono, co następuje:
S.A. przetwarza dane osobowe Pana AB  – jako byłego pracownika zlikwidowanego oddziału Spółki w (...) – utrwalone w aktach osobowych. Powyższe dane (w szczególności zawarte w kwestionariuszach osobowych) przetwarzane są przez Spółkę dla celów archiwalnych oraz w związku z postępowaniem sądowym, którego stronami są: Pan AB oraz Spółka (postępowanie prowadzone przez Sąd Okręgowy (...) Wydział Cywilny pod sygn. akt /.../).
Niezależnie od faktu, iż Pan AB był w przeszłości pracownikiem S.A. (oddziału Spółki /.../), pełnił również funkcję dyrektora, a następnie likwidatora Przedsiębiorstwa Projektowo – Usługowego Sp. z o.o. W okresie funkcjonowania Przedsiębiorstwa Projektowo – Usługowego Sp. z o.o., jego pracownicy byli zarazem pracownikami S.A. (oddziału w /.../). Pomimo jednak przedmiotowych powiązań personalnych, nie stwierdzono jakichkolwiek powiązań o charakterze organizacyjno – prawnym pomiędzy wskazanymi podmiotami (Przedsiębiorstwem Projektowo – Usługowym Sp. z o.o. i S.A.).
Pan AB – jako likwidator Przedsiębiorstwa Projektowo – Usługowego (...) Sp. z o.o., został - wyrokiem Sądu Rejonowego /.../ Wydział Karny z dnia 14 lutego 2003 r. (...) - skazany za przywłaszczenie mienia Przedsiębiorstwa Projektowo – Usługowego /.../ Sp. z o. o., na szkodę udziałowców ww. Przedsiębiorstwa Projektowo – Usługowego /.../Sp. z o. o.
S.A. przetwarza dane osobowe Pana AB zawarte w fotokopii wyroku Sądu Rejonowego /.../ Wydział Karny z dnia 14 lutego 2003 r. (....). Przedmiotowa fotokopia została pozyskana przez Spółkę od jej pracownika – będącego w przeszłości udziałowcem Przedsiębiorstwa Projektowo – Usługowego /.../ Sp. z o. o. i uczestnikiem postępowania w sprawie, w której zapadł rzeczony wyrok.
Pan AB, jako były dyrektor Przedsiębiorstwa Projektowo – Usługowego /.../ Sp. z o.o. nie wywiązał się z zobowiązań względem S.A. Wymagalność powyższych zobowiązań potwierdzona została prawomocnym wyrokiem sądowym (wyrok Sądu Okręgowego /.../ Wydział Cywilny z dnia 23 września 2002 r. sygn. akt: /.../). Na podstawie tego wyroku prowadzone jest – przez Komornika Sądowego /.../ przy Sądzie Rejonowym w /.../ - postępowanie egzekucyjne (sygn. akt postępowania egzekucyjnego: /.../). Pismem z dnia 9 lipca 2003 r. (kopia pisma w aktach sprawy) Skarżący zwrócił się do ww. komornika z wnioskiem o zawieszenie wskazanego postępowania egzekucyjnego, argumentując, iż ciążą na nim również inne zobowiązania – wynikające z wyroku Sądu Rejonowego /.../ Wydział Karny z dnia 14 lutego 2003 r. (sygn. akt V K 2259/02). Komornik poinformował S.A. o powyższym wniosku Skarżącego, przesyłając Spółce – jako stronie postępowania egzekucyjnego - jego kopię.
W chwili obecnej, przed Sądem Okręgowym /.../ Wydział Cywilny toczy się (pod sygn. akt /.../) przeciwko Skarżącemu postępowanie z powództwa S.A. o rozszerzenie klauzuli wykonalności orzeczenia sądowego stwierdzającego wymagalność zobowiązań Pana AB wobec S.A. (opisanego w pkt 5). W toku przedmiotowego postępowania, w piśmie procesowym z dnia 20 kwietnia 2004 r. S.A. powołał się na dane osobowe Pana AB zawarte w uzasadnieniu wyroku Sądu Rejonowego /.../ Wydział Karny z dnia 14 lutego 2003 r.; sygn. akt /.../ (obok informacji o fakcie wydania wobec Pana AB rzeczonego wyroku i ciążących na Skarżącym z tego tytułu zobowiązaniach, podniesiono również, iż był on w przeszłości likwidatorem Przedsiębiorstwa Projektowo – Usługowego /.../ Sp. z o.o.).

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:

I. W pierwszej kolejności rozstrzygnięcia wymaga kwestia legalności przetwarzania przez  S.A. danych osobowych Pana AB zawartych w fotokopii zapadłego w stosunku do niego wyroku Sądu Rejonowego /.../ Wydział Karny z dnia 14 lutego 2003 r. (sygn. akt /.../).
Stosownie do definicji przetwarzania danych osobowych zawartej w art. 7 pkt 2 ustawy o ochronie danych osobowych, pod pojęciem tym rozumieć należy jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W kontekście powyższego przepisu nie może zatem budzić wątpliwości, że zarówno pozyskanie przez S.A. danych osobowych Pana AB zawartych w fotokopii wydanego w stosunku do niego wyroku Sądu Rejonowego /.../ Wydział Karny z dnia 14 lutego 2003 r. (...), przechowywanie wskazanych danych, jak i wykorzystanie ich w toku postępowania cywilnego, którego stronami są Spółka oraz Skarżący, stanowiło przetwarzanie przedmiotowych danych. Natomiast wobec okoliczności, iż S.A. od momentu pozyskania tych danych osobowych decydował o celach i środkach ich przetwarzania, należy przypisać mu status ich administratora. W myśl bowiem art. 7 pkt 4 ustawy, administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3 ustawy, decydujące o celach i środkach przetwarzania danych osobowych.
Ustawa o ochronie danych osobowych nałożyła na administratorów danych szereg obowiązków, a ich przestrzeganie zagwarantowała przepisami karnymi, zamieszczonymi w rozdziale 8. Zgodnie z przyjętymi w ustawie zasadami, każda forma przetwarzania danych osobowych powinna znaleźć swoje oparcie w jednej z przesłanek wymienionych w art. 23 ust. 1 ustawy. Podkreślenia wymaga zarazem, że na gruncie przepisów ustawy, dane dotyczące skazań chronione są w sposób szczególny, zgodnie bowiem z brzmieniem art. 27 ust. 1 ustawy zabronione jest – co do zasady - przetwarzanie danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Art. 27 ust. 1 ustawy wprowadza zatem generalny zakaz przetwarzania danych dotyczących skazań. Wyjątki od powyższej zasady wynikają z brzmienia art. 27 ust. 2 pkt 1 - 10 ustawy.
W świetle powyższego stwierdzić należy, iż dane osobowe Pana AB zawarte w fotokopii wyroku karnego o sygn. /.../, których przetwarzanie przez S.A. zakwestionował Skarżący, niewątpliwie należą do kategorii danych objętych szczególną ochroną – przewidzianą w art. 27 ustawy o ochronie danych osobowych. Okoliczności przedmiotowej sprawy wskazują jednocześnie, że zarówno pozyskanie, jak i dalsze przetwarzanie przez S.A. tych danych nie znajdowało prawnego umocowania w którejkolwiek z przesłanek wymienionych w powołanym przepisie. Wbrew twierdzeniom Spółki, nie była ona bowiem uprawniona do pozyskania danych osobowych Pana AB, utrwalonych w wydanym wobec niego wyroku karnym o sygn. /.../, od swego pracownika – będącego również w przeszłości udziałowcem Przedsiębiorstwa Projektowo – Usługowego /.../ Sp. z o.o., a zarazem pokrzywdzonym w sprawie karnej zakończonej wskazanym wyrokiem. W toku przeprowadzonego w niniejszej sprawie postępowania wyjaśniającego ustalono bowiem, iż brak było jakichkolwiek powiązań organizacyjno – prawnych pomiędzy Przedsiębiorstwem Projektowo – Usługowym /.../ Sp. z o.o. a /.../ S.A.
W toku postępowania wyjaśniającego prowadzonego przez Generalnego Inspektora w przedmiotowej sprawie Spółka podnosiła, iż przetwarzanie danych osobowych Pana AB zawartych w fotokopii kwestionowanego wyroku karnego „zostało zrealizowane w warunkach określonych w art. 27 ust. 2 pkt 5 i 10 ustawy”. Stosownie do brzmienia art. 27 ust. 2 pkt 5 ustawy, przetwarzanie danych objętych szczególną ochroną – w tym danych dotyczących skazań – jest – na zasadzie wyjątku od reguły – dozwolone, jeżeli dotyczy danych, które są niezbędne do dochodzenia praw przed sądem. Jak podkreśla się w literaturze przedmiotu (por. J. Barta, P. Fajgielski, R. Markiewicz „Ochrona danych osobowych. Komentarz” wydanie III Zakamycze 2004, str. 580 i nast.), wynikająca z omawianego przepisu reguła oznacza, że generalny zakaz przetwarzania danych szczególnie chronionych nie może być przeszkodą utrudniającą prawidłowe rozstrzygnięcie sprawy przez sąd. W kontekście powyższego, prawo Spółki do podejmowania działań ukierunkowanych na uzyskanie prawidłowego rozstrzygnięcia dotyczącej jej sprawy przez sąd cywilny (postępowanie sądowe opisane w pkt 6 niniejszego uzasadnienia) może stanowić usprawiedliwienie dla przetwarzania danych Skarżącego dotyczących faktu skazania go wyrokiem karnym, wysokości jego zobowiązań finansowych wynikających z tego orzeczenia, jak również podejmowanych przez niego w przeszłości działań zarobkowych.
Podkreślenia wymaga jednak, że dane osobowe Skarżącego w ww. zakresie bądź to znajdowały się już w posiadaniu Spółki (jak informacja o fakcie skazania Pana AB wyrokiem karnym i ciążących na Skarżącym z tego tytułu zobowiązaniach finansowych), bądź też mogły być pozyskane z powszechnie dostępnego źródła (informacja świadcząca, iż Pan AB pełnił funkcję likwidatora Przedsiębiorstwa Projektowo - Usługowego /.../ Sp. z o.o. była dostępna w Krajowym Rejestrze Sądowym, albowiem fakt otwarcia i zakończenia likwidacji a także dane o osobie likwidatora wraz ze sposobem reprezentacji ujawniane są w dziale 6 rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego na podstawie przepisów ustawy z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym; Dz. U. z 2001 r. Nr 17, poz. 209 z późn. zm.). W ocenie organu do spraw ochrony danych osobowych art. 27 ust. 2 pkt 5 ustawy nie może natomiast stanowić prawnej podstawy przetwarzania przez S.A. pozostałych danych osobowych Skarżącego zawartych w fotokopii kwestionowanego wyroku karnego. Mając bowiem na uwadze, że przedmiotowy dokument zawiera dane osobowe Pana AB w stosunkowo szerokim zakresie (np. dane o pokrzywdzonych wskutek popełnionego przez niego czynu, kwalifikacji prawnej czynu, innych niż finansowe środkach karnych orzeczonych wobec Pana AB), ich wykorzystanie przez S.A. z całą pewnością nie było niezbędne dla dochodzenia przez Spółkę jej praw przed sądem. Podkreślenia wymaga także, że wobec faktu nielegalnego pozyskania danych osobowych Skarżącego zawartych w omawianej fotokopii wyroku karnego, żadna z przesłanek wymienionych w art. 27 ust. 2 nie może usprawiedliwiać kontynuowania procesu przetwarzania tych danych. Warunkiem koniecznym legalności przetwarzania danych osobowych jest bowiem uprzednia legalność ich pozyskania.
Z ww. względów również wskazywana przez Spółkę przesłanka określona w art. 27 ust. 2 pkt 10 ustawy, nie znajduje zastosowania w przedmiotowej sprawie. Stosownie do brzmienia powołanego przepisu, przetwarzanie danych osobowych, o których mowa w art. 27 ust. 1 (danych szczególnie chronionych) jest dopuszczalne, gdy jest prowadzone przez stronę w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym. Na marginesie zaznaczenia wymaga, że przetwarzanie danych osobowych w oparciu o art. 27 ust. 2 pkt 10 musi odbywać się z poszanowaniem zasady adekwatności, ukonstytuowanej w art. 26 ust. 1 pkt 3 ustawy. Zgodnie z powołanym przepisem, administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności obowiązany jest zapewnić, aby dane te były merytorycznie poprawne i adekwatne do celów w jakich są przetwarzane. Tymczasem, jak wykazano już powyżej, przetwarzanie przez S.A. wszystkich danych osobowych Pana AB zawartych w fotokopii wydanego wobec niego wyroku karnego (...), nie było adekwatne w stosunku do deklarowanego przez Spółkę celu ich przetwarzania – tj. realizacji praw i obowiązków wynikających z orzeczenia sądowego (wyroku Sądu Okręgowego /.../ Wydział Cywilny z dnia 23 września 2002 r. sygn. akt: /..../, opisanego w pkt 5 niniejszego uzasadnienia). Oprócz informacji o fakcie skazania Pana AB wyrokiem karnym z dnia 14 lutego 2003 r. (sygn. akt: V K 2259/02) za popełnione przestępstwo i ciążących na Skarżącym z tego tytułu zobowiązaniach pieniężnych, jak również, informacji o tym, że był on w przeszłości likwidatorem Przedsiębiorstwa Projektowo – Usługowego /.../ Sp. z o.o. – wykorzystanych przez Spółkę celem realizacji jej praw i obowiązków wynikających z orzeczenia sądowego - przedmiotowa fotokopia zawierała bowiem szereg innych danych osobowych Pana AB.
Zaakcentowania wymaga, że nie budzi wątpliwości Generalnego Inspektora legalność pozyskania i dalszego przetwarzania przez S.A. danych o karalności Pana AB przekazanych Spółce przez Komornika Sądowego /.../ przy Sądzie Rejonowym /.../. Wskazany organ udostępnił Spółce dane osobowe Skarżącego w zakresie obejmującym: informację o fakcie skazania Pana AB wyrokiem karnym wraz z podaniem jego daty, sygnatury akt postępowania, pełnej nazwy sądu, który wydał to orzeczenie, kwoty wynikających z niego zobowiązań finansowych Skarżącego i terminu ich spłaty. Powyższe informacje zawarte zostały bowiem w skierowanym przez Pana /.../ do ww. komornika sądowego wniosku o zawieszenie postępowania egzekucyjnego prowadzonego wobec niego na rzecz Spółki, w związku z wyrokiem Sądu Okręgowego /.../ Wydział Cywilny z dnia 23 września 2002 r. (...). Rzeczony wniosek został natomiast przekazany przez prowadzącego postępowanie egzekucyjne komornika sądowego wierzycielowi – tj. S.A. Mając na uwadze przepisy ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. Nr 43, poz. 296 z późn. zm.), prawo Spółki – jako strony postępowania egzekucyjnego - do zapoznania się z treścią akt tego postępowania, w tym z treścią wniosku Skarżącego o jego zawieszenie, jest niezaprzeczalne. W myśl bowiem art. 9 Kodeksu postępowania cywilnego, rozpoznawanie spraw odbywa się jawnie, chyba że przepis szczególny stanowi inaczej. Strony i uczestnicy postępowania mają prawo przeglądać akta sprawy i otrzymywać wyciągi lub odpisy z tych akt. Ukonstytuowana we wskazanym przepisie zasada jawności stwarza zatem uczestnikom postępowania gwarancje dostępności jego akt. W konsekwencji uznać należy, że pozyskanie przez S.A. danych osobowych Skarżącego zawartych w jego wniosku o zawieszenie postępowania egzekucyjnego zostało zrealizowane na warunkach określonych w art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych. Wyrażona w powołanym przepisie norma wskazuje iż dopuszczalne jest przetwarzanie danych podlegających szczególnej ochronie, jeżeli przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony. Również legalność dalszego przetwarzania przez S.A. danych o karalności Pana AB pozyskanych przez Spółkę od komornika sądowego nie budzi wątpliwości Generalnego Inspektora. Prawne uzasadnienie dla wskazanego procesu mogą bowiem stanowić – oprócz przesłanki z art. 27 ust. 2 pkt 2 ustawy – także okoliczności, o których mowa w art. 27 ust. 2 pkt 5 i 10 ustawy. W ocenie organu do spraw ochrony danych osobowych – z opisanych wcześniej względów - nie znajduje natomiast oparcia w przepisach ustawy o ochronie danych osobowych przetwarzanie przez Spółkę danych osobowych Skarżącego zawartych w fotokopii wyroku karnego z dnia 14 lutego 2003 r., (...).

II. Pismem z dnia 28 maja 2004 r. (kopia pisma w aktach sprawy), Pan AB zwrócił się do S.A. z wnioskiem o udzielenie mu, w formie pisemnej, informacji w trybie art. 33 ustawy o ochronie danych osobowych. Wobec powzięcia przez Pana AB wiadomości, iż Spółka przetwarza jego dane osobowe zawarte w wyroku karnym o sygn. akt /.../, Skarżący wyraźnie zażądał udzielenia mu szczegółowych informacji na temat przetwarzania przez Spółkę dotyczących go danych. Podkreślenia wymaga jednak, że omawiany wniosek Skarżącego nie dotyczył wyłącznie kwestii przetwarzania przez Spółkę danych osobowych Skarżącego zawartych w kwestionowanym wyroku karnym, lecz wszelkich dotyczących jego osoby danych przetwarzanych przez Spółkę. Skarżący sformułował swoje żądanie w sposób wyraźny i jednoznaczny, wnioskując w szczególności o: poinformowanie go o tym, jakie jego dane osobowe zawiera zbiór prowadzony przez Spółkę, w jaki sposób zebrano te dane, w jakim celu i zakresie są one przetwarzane, w jakim zakresie oraz komu dane zostały udostępnione, a ponadto: jaki jest sposób przetwarzania jego danych osobowych, od kiedy przetwarzane są przez Spółkę przedmiotowe dane, jakie jest źródło ich pochodzenia, jaki jest sposób udostępniania danych. Pan AB wniósł o udzielenie mu żądanych informacji w formie pisemnej.
Jakkolwiek powyższy wniosek Pana AB niewątpliwie doręczony został S.A. w dniu 4 czerwca 2004 r. (Skarżący przedstawił kopię zwrotnego potwierdzenia odbioru rzeczonego pisma, natomiast Spółka przyznała w toku prowadzonego w niniejszej sprawie postępowania, że przedmiotowe pismo odebrała), Spółka udzieliła Skarżącemu odpowiedzi dopiero pismem z dnia 8 listopada 2004 r. (kopia pisma w aktach sprawy). Ponadto, analiza treści wskazanego pisma prowadzi do wniosku, że nie zawiera ono wszystkich informacji, o których mowa w art. 33 ustawy o ochronie danych osobowych.
Zgodnie z brzmieniem art. 33 ust. 1 ustawy, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1 – 5a, a w szczególności podać w formie zrozumiałej: 1) jakie dane osobowe zawiera zbiór, 2) w jaki sposób zebrano dane, 3) w jakim celu i zakresie dane są przetwarzane, 4) w jakim zakresie oraz komu dane zostały udostępnione. Na wniosek osoby, której dane dotyczą, informacji powyższych udziela się na piśmie (art. 33 ust. 2 ustawy). Podkreślenia wymaga, że przepis art. 33 ustawy zobowiązuje administratora do informowania osób, których dane dotyczą, przede wszystkim o przysługujących im prawach. Chodzi tu o prawa zagwarantowane przepisami ustawy o ochronie danych osobowych – w tym uprawnienia wynikające z art. 32 (szeroko rozumiane prawo osoby, której dane dotyczą, do kontroli przetwarzania jej danych zawartych w zbiorach administratora) i 35 tego aktu prawnego (prawo osoby, której dane dotyczą domagania się, aby gromadzone i udostępnione na jej temat dane były zgodne z prawdą, aktualne i kompletne). Wraz z powyższymi informacjami o przysługujących prawach, administrator danych obowiązany jest przekazać osobie, której dane dotyczą, informacje co najmniej w zakresie wskazanym w pkt 1 - 4 art. 33 ust. 1 ustawy. Ponadto, wniosek składany przez uprawnionego może – jak miało to miejsce w rozpatrywanej sprawie – dotyczyć dalszych, bardziej szczegółowych informacji i zgodnie z art. 32 zawierać np. pytania: od kiedy administrator przetwarza dane osobowe wnioskodawcy, dotyczące sposobu przetwarzania danych w zbiorze, źródła z którego administrator pozyskał dane, sposobu udostępniania danych.
Zgromadzony w przedmiotowej sprawie materiał dowodowy wskazuje, iż S.A. udzielił Panu AB tylko części z informacji, o które Skarżący zwrócił się we wniosku z dnia 28 maja 2004 r. Dotyczyły one wyłącznie niektórych aspektów przetwarzania przez Spółkę tych danych osobowych Skarżącego, które zawarte zostały w wyroku sądu karnego z dnia 14 lutego 2003 r. (sygn. akt /.../). Podkreślenia wymaga, że S.A. nie tylko ograniczył się do przekazania Panu AB informacji odnośnie niektórych tylko spośród przetwarzanych przez ten podmiot danych osobowych Skarżącego, lecz dodatkowo informacje te były niepełne. Przykładowo, Spółka nie odpowiedziała Skarżącemu na jego pytania dotyczące źródła pozyskania danych oraz sposobu ich przetwarzania. S.A. całkowicie pominął ponadto informacje dotyczące pozostałych przetwarzanych przez ten podmiot danych osobowych Pana AB, a także nie poinformował go o przysługujących mu na gruncie przepisów ustawy o ochronie danych osobowych uprawnieniach.
Wobec oczywiście niepełnej informacji udzielonej Panu AB przez S.A. w trybie art. 33 ustawy, Generalny Inspektor władny jest, działając na podstawie art. 18 ust. 1 pkt 1 ustawy, nakazać Spółce prawidłowe dopełnienie względem Skarżącego obowiązku informacyjnego określonego w powołanym przepisie.

Mając na uwadze powyższe, Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak we wstępie.


    Decyzja niniejsza jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych i art. 129 § 2 w zw. z art. 127 § 3 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), stronie niezadowolonej z niniejszej decyzji przysługuje, w terminie 14 dni od dnia jej doręczenia, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa).