>Orzecznictwo>WSA>2007 >

Orzeczenie prawomocne

W Y R O K

W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ

Dnia 5 lipca 2007 r.

Wojewódzki Sąd Administracyjny w Warszawie po rozpoznaniu na rozprawie w dniu 5 lipca 2007 r. sprawy ze skargi Prokuratora Okręgowego w O. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...]. nr [...] w przedmiocie usunięcia uchybień w procesie przetwarzania danych osobowych

1.    uchyla zaskarżoną decyzję w zakresie pkt II
2.    zaskarżona decyzja nie podlega wykonaniu

UZASADNIENIE

W dniu […] Generalny Inspektor Ochrony Danych Osobowych wydał decyzję nr […] nakazującą Prokuratorowi Okręgowemu w O. usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez:
1.    uzupełnienie ewidencji osób upoważnionych do przetwarzania danych osobowych o zapisy dotyczące: daty nadania i ustania upoważnienia do przetwarzania danych osobowych oraz identyfikatora osób upoważnionych do przetwarzania danych osobowych w systemie informatycznym, a w przypadku prokuratorów również zakresu upoważnienia do przetwarzania danych,
2.    dopełnienie obowiązku zgłoszenia do rejestracji zbioru danych, w którym są przetwarzane dane osób składających skargi i wnioski dotyczące działalności Prokuratury Okręgowej w O. oraz Prokuratur Rejonowych Okręgu O. ,
3.    uzupełnienie polityki bezpieczeństwa o wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych oraz
o opis struktury zbiorów danych, wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi, zgodnie z § 4 pkt 2 i pkt 3 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia
2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024).
    Po ponownym rozpatrzeniu sprawy Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] z dnia [...]. uchylił zaskarżoną decyzję w punkcie pierwszym i umorzył postępowanie w tym zakresie, a w pozostałym zakresie utrzymał zaskarżoną decyzję w mocy.
    W uzasadnieniu decyzji organ wskazał, że Prokurator Okręgowy w O. rozpatruje skargi i wnioski dotyczące działalności Prokuratury Okręgowej w O. oraz Prokuratur Rejonowych Okręgu O. . Skargi i wnioski są rejestrowane w rzeczowym wykazie akt pod symbolem klasyfikacyjnym III SO51 w formularzu o nazwie „Spis spraw”, zgodnie z kolejnym numerem i datą wpływu. Znajdują się w nich dane osobowe skarżących oraz wnioskodawców.
    Zdaniem organu, skargi i wnioski tworzą zbiór danych osobowych, o którym mowa w art. 7 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), gdyż zawarte w skargach i wnioskach oraz w wykazie akt informacje tworzą uporządkowany zestaw danych osobowych, dostępnych według kryteriów – kolejnego numeru i daty wpływu. Generalny Inspektor Ochrony Danych Osobowych wskazał ponadto, że nie należy utożsamiać skarg
i wniosków z pismami procesowymi, inny jest również tryb ich rozpatrywania. Organ nie podzielił opinii Prokuratora Okręgowego w O. , wyrażonej we wniosku o ponowne rozpatrzenie sprawy, iż skargi i wnioski są immanentną częścią akt postępowań karnych.
    W ocenie organu nie utworzono wykazu zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych oraz nie stworzono opisu struktury zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązań między nimi, czego wymaga § 3 ust. 1 w zw. z § 4 pkt 2 i 3 powołanego wyżej rozporządzenia. Przedstawione przez Prokuratora Okręgowego dokumenty o nazwach „Opis Systemu SIP Biurowość” i „Opis Systemu Informatycznego LIBRA” zawierają jedynie wykaz sprzętu eksploatowanego w ww. systemach, wykazy stosowanego oprogramowania, wykazy pomieszczeń.
    Generalny Inspektor wskazał nadto, iż Prokurator Okręgowy w O. przedstawił dowody potwierdzające uzupełnienie ewidencji osób upoważnionych do przetwarzania danych osobowych o zapisy dotyczące: daty nadania i ustania upoważnienia do przetwarzania danych osobowych w systemie informatycznym, a w przypadku prokuratorów również zakresu upoważnienia do przetwarzania danych.
Z tego też powodu organ uchylił punkt pierwszy zaskarżonej decyzji i umorzył w tym zakresie postępowanie, jako bezprzedmiotowe, w rozumieniu art. 105 § 1 kpa.
    W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na wymienioną wyżej decyzję w części utrzymującej w mocy decyzję GIODO z dnia […] Prokurator Okręgowy w O. zarzucił naruszenie art. 7 pkt 1 i art. 40 ustawy o ochronie danych osobowych, poprzez błędną wykładnię i niewłaściwe zastosowanie w sprawie oraz naruszenie prawa procesowego, tj. art. 7, art. 77 § 1 i art. 80 kpa. Podnosząc zarzut naruszenia prawa materialnego Prokurator Okręgowy w O. stwierdził, że nie ma obowiązku zgłoszenia do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych rejestru skarg i wniosków, gdyż nie stanowi on zbioru danych osobowych. Skarżący podkreślił, iż zasadniczym elementem zbioru danych jest zestaw danych o charakterze osobowym, w którym zapewnia się dostęp do tych danych, według określonych kryteriów osobowych. Skoro ustawodawca posługuje się pojęciem kryteria w liczbie mnogiej, to oznacza to konieczność zaistnienia przynajmniej dwóch takich kryteriów, przy czym wymóg dwóch równocześnie występujących kryteriów dostępu wyklucza proste alfabetyczne, czy też numeryczne lub według daty wpływu uporządkowanie zestawu danych w celu przekształcenia go w zbiór danych.
    Skarżący wskazał nadto, że Prokuratura Okręgowa w O. w dacie kontroli prowadziła i nadal prowadzi wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych informacyjnych, opisem struktury zbiorów danych informacyjnych, zawartością poszczególnych pól informacyjnych i powiązania między nimi. Do wniosku o ponowne rozpatrzenie sprawy dołączono kserokopię opisu systemu SIP, która spełnia wymagania ustawy o ochronie danych osobowych i przepisów wykonawczych oraz kserokopię instrukcji z dnia 1 lipca 2004 r. dotyczącej zasad bezpieczeństwa przy przetwarzaniu danych w systemie informatycznym użytkowanym w prokuraturach. W przekazanej dokumentacji – opisie systemu określono dane systemu (wykaz zbiorów), z użyciem terminów informatycznych.
    Zdaniem skarżącego, w ramach systemu SIP-LIBRA w Prokuraturze Okręgowej
w O. użytkowany jest jeden zbiór danych (Lokalna Baza Danych systemu SIP-LIBRA) oraz jeden program przetwarzający te dane. Szczegółowy opis struktury zbiorów danych Lokalnej Bazy Danych z zawartością poszczególnych pól informacyjnych i powiązania między nimi zawiera dokumentacja techniczna systemu SIP opracowana przez wykonawcę oprogramowania.
    W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie i podtrzymał argumentację zawartą w uzasadnieniu zaskarżonej decyzji.
    Wojewódzki Sąd Administracyjny w Warszawie oddalając wyrokiem z dnia
[…] sygn. akt […] skargę Prokuratora Okręgowego
w O. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia
[...]. w uzasadnieniu stwierdził, że zestaw danych osobowych skarżących i wnioskodawców ma charakter uporządkowany, bo posiada własną strukturę, a dane osobowe dostępne są według określonych kryteriów, którymi są: data wpływu pisma oraz numer sprawy. Powyższe przemawia za uznaniem wpływających do Prokuratury Okręgowej w O. skarg i wniosków za zbiór danych osobowych. Sąd wskazał też, że nie można uznać, iż przetwarzanie przez prokuraturę danych osobowych w związku z rozpatrywaniem skarg i wniosków następuje dla potrzeb postępowania sądowego oraz na podstawie przepisów o Krajowym Rejestrze Karnym, w rozumieniu art. 43 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Istnieje więc obowiązek zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi (art. 40 ustawy
o ochronie danych osobowych).
Sąd wskazał, iż zgodnie z treścią § 4 pkt 2 i pkt 3 cyt. rozporządzenia, polityka bezpieczeństwa, o której mowa w § 3 ust. 1 powinna zawierać wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych oraz opis struktury zbiorów danych, wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi. Podkreślił, że polityka bezpieczeństwa to dokument, który powinien być dostosowany do konkretnych warunków przetwarzania danych osobowych u określonego administratora danych. Konieczne jest zatem nadanie nazw poszczególnym zbiorom danych osobowych oraz wskazanie nazw używanych do ich przetwarzania programów komputerowych. Niezbędne jest też sporządzenie opisu struktury zbioru wskazującego zawartość informacji w nim gromadzonych. Opis pola danych powinien umożliwiać jednoznaczną interpretację jego zawartości.
Naczelny Sąd Administracyjny uchylając wyrokiem z dnia […] sygn. akt […] wymieniony wyżej wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie i przekazując sprawę do ponownego rozpoznania nie podzielił stanowiska Sądu, co do uznania „Spisu spraw” za zbiór danych osobowych. NSA stwierdził, że skoro ustawodawca użył w art. 7 pkt 1 ustawy o ochronie danych osobowych sformułowania „kryteria” w liczbie mnogiej, to zgodnie z założeniem racjonalnego ustawodawcy należy przyjąć, że dostępność zestawu danych
o charakterze osobowym musi być możliwa w oparciu o co najmniej dwa kryteria. Sąd wskazał, że pogląd taki znajduje oparcie również w piśmiennictwie (A. Drozd, Ustawa
o ochronie danych osobowych, Komentarz, Wzory pism i przepisy, LexisNexis, Warszawa 2005, str. 53). Podkreśla się tam, iż zgodnie z punktem 15 i 27 dyrektywy Parlamentu Europejskiego i Rady (Dz. Urz. UE Nr 281 z dnia 23 listopada 1995 r.), dostęp do tych danych w oparciu o stosowne kryteria powinien być łatwy. Tymczasem
w prowadzonym ręcznie rejestrze skarg i wniosków Prokuratury Okręgowej w O. skargi i wnioski są rejestrowane w rzeczowym wykazie akt pod symbolem III SO51
w formularzu „Spis spraw”, zgodnie z kolejnym numerem i datą. Jest rzeczą oczywistą jak wskazał NSA, że w tej sytuacji kolejny numer jest powiązany z datą wpływu skargi lub wniosku. Trudno więc uznać, że numer wpływu i data wpływu stanowią dwa odrębne kryteria dostępu do danych osobowych.
NSA wskazał, że skoro Prokuratura posługuje się Ogólnopolskim Systemem Informatycznym Prokuratury SIP „Libra”, który służy do prowadzenia w formie zapisu elektronicznego repertoriów i rejestrów oraz innych urządzeń ewidencyjnych określonych w zarządzeniu Ministra Sprawiedliwości z dnia 11 października 2005 r.
w sprawie organizacji i działania sekretariatów oraz innych działów administracji powszechnych jednostek organizacyjnych prokuratury (Dz. Urz. Min. Spr. Nr 6, poz. 25), a jedynym zbiorem przetwarzanym w prokuraturze jest lokalna baza tego systemu (rejestr skarg i wniosków nie stanowi takiego zbioru), a program zastosowany do przetwarzania tych danych to System Informatyczny Prokuratury (SIP) „Libra”, to uznać należało, że przepis § 4 pkt 2 rozporządzenia nie został naruszony przez Prokuratora Okręgowego w O. Stwierdził jednocześnie, że opis struktury zbioru danych osobowych, o którym mowa w § 4 pkt 3 powołanego wyżej rozporządzenia MSWiA, zawarty jest w dokumentacji technicznej programu SIP.
Sąd II instancji podkreślił, iż bezsporne jest, że organ administracji nie zawiadomił Prokuratora o zakończeniu postępowania dowodowego, a tym samym uniemożliwił mu wypowiedzenie się co do zebranych dowodów, co w kontekście posiadania przez niego dodatkowych materiałów składających się na politykę bezpieczeństwa, mogło mieć istotny wpływ na wynik sprawy.
Rozpatrując sprawę ponownie Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Sąd, stosownie do art. 134 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Stosownie do art. 190 ustawy Prawo o postępowaniu przed sądami administracyjnymi, sąd, któremu sprawa została przekazana, związany jest wykładnią prawa dokonaną w tej sprawie przez Naczelny Sąd Administracyjny.
Mając powyższe na uwadze należało stwierdzić, że decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...]. w zaskarżonej części (pkt II tej decyzji) wydana została z naruszeniem prawa materialnego, które miało wpływ na wynik sprawy oraz z naruszeniem prawa procesowego, które mogło mieć istotny wpływ na wynik sprawy.
Generalny Inspektor Ochrony Danych Osobowych dokonując błędnej wykładni art. 7 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) w konsekwencji nieprawidłowo zastosował art. 40 tej ustawy, stanowiący o obowiązku zgłoszenia zbioru danych osobowych do rejestracji Generalnemu Inspektorowi i utrzymując w mocy swoją poprzednią decyzję w tym zakresie naruszył art. 138 § 1 pkt 1 kpa w zw. z powołanymi przepisami ustawy o ochronie danych osobowych. Brak było bowiem w niniejszej sprawie podstawy do nakazania Prokuratorowi Okręgowemu w O. dopełnienia obowiązku zgłoszenia zbioru danych osobowych do rejestracji.
Zgodnie z art. 7 pkt 1 ustawy o ochronie danych osobowych, przez zbiór danych osobowych rozumie się każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie.
Skoro ustawodawca użył w tym przepisie sformułowania kryteria w liczbie mnogiej, to zgodnie z założeniem racjonalnego ustawodawcy należy przyjąć, że dostępność do tych danych musi być możliwa w oparciu o co najmniej dwa kryteria. Z uwagi na to, że skargi i wnioski rejestrowane są w prowadzonym ręcznie rzeczowym wykazie akt pod symbolem III SO51 w formularzu „Spis spraw” zgodnie z kolejnym numerem i datą (numer ten powiązany jest z datą), brak było podstaw aby uznać, że numer i data wpływu stanowią dwa odrębne kryteria dostępu do danych osobowych.
Wojewódzki Sąd Administracyjny w Warszawie nadmienia przy tym, że motyw
15 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995
w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych (Dz. Urz. UE L.1995.281.31), jednoznacznie stanowi, że kryterium to ma dotyczyć osoby fizycznej. Trudno przyjąć, że numer porządkowy i data wpływu odnoszą się bezpośrednio do podmiotu danych, a z całą pewnością nie jest to kryterium umożliwiające łatwy dostęp do danych osobowych, jak wymaga tego powołana wyżej dyrektywa (motyw 27 dyrektywy).
Sąd rozpoznający niniejszą sprawę stwierdza jednocześnie, że Generalny Inspektor Ochrony Danych Osobowych w postępowaniu z wniosku o ponowne rozpatrzenie sprawy naruszył jedną z podstawowych zasad postępowania administracyjnego, tj. zasadę czynnego udziału strony w postępowaniu (art. 10 kpa). Zgodnie z tą zasadą organy administracji publicznej obowiązane są zapewnić stronom czynny udział w każdym stadium postępowania, a przed wydaniem decyzji umożliwić im wypowiedzenie się co do zebranych dowodów i materiałów oraz zgłoszonych żądań.
W sprawie bezsporne jest, że przed wydaniem decyzji ostatecznej organ nie umożliwił Prokuratorowi Okręgowemu w O. wypowiedzenie się, co do zebranych dowodów i materiałów, co w kontekście posiadania przez stronę dodatkowych dokumentów, należało uznać za naruszenie mogące mieć istotny wpływ na wynik sprawy. Podkreślić należy bowiem, że prawidłowa ocena, czy dana okoliczność została udowodniona możliwa jest wyłącznie na podstawie całokształtu materiału dowodowego zebranego w sposób wyczerpujący.
Z tego też względu stwierdzenie organu, iż materiał dowodowy sprawy nie pozwala przyjąć, że dokumentacja składająca się na politykę bezpieczeństwa spełnia wymogi z § 4 pkt 2 i pkt 3 rozporządzenia MSWiA z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych (…), nie mogło zostać uznane za udowodnione. Organ nie uwzględnił bowiem całości polityki bezpieczeństwa SIP „Libra”. Generalny Inspektor Ochrony Danych Osobowych utrzymując w mocy swoją poprzednią decyzję w części nakazującej uzupełnienie polityki bezpieczeństwa o wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych oraz o opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi, zgodnie z § 4 pkt 2 i pkt 3 powołanego wyżej rozporządzenia, naruszył zatem przepis art. 138 § 1 pkt 1 kpa w zw. z art. 7 kpa, art.
10 kpa, art. 77 § 1 kpa i art. 80 kpa.
Ponownie rozpoznając sprawę organ w sposób wyczerpujący zbierze i rozpatrzy cały materiał dowodowy, a przed wydaniem decyzji umożliwi stronie wypowiedzenie się co do zebranych dowodów i materiałów.
Dokonując zaś oceny całości polityki bezpieczeństwa SIP „Libra” Generalny Inspektor weźmie pod uwagę, na co wskazał Naczelny Sąd Administracyjny,
że Prokuratura posługuje się Ogólnopolskim Systemem Informatycznym Prokuratury SIP „Libra”, który służy do prowadzenia w formie zapisu elektronicznego repertoriów
i rejestrów oraz innych urządzeń ewidencyjnych określonych w zarządzeniu Ministra Sprawiedliwości z dnia 11 października 2005 r. w sprawie organizacji i zakresu działania sekretariatów oraz innych działów administracji powszechnych jednostek organizacyjnych prokuratury (Dz. Urz. Min. Spr. Nr 6, poz. 25), a jedynym zbiorem danych osobowych przetwarzanych w Prokuraturze jest lokalna baza tego systemu (rejestr skarg i wniosków nie stanowi takiego zbioru), a program zastosowany do przetwarzania tych danych to System Informacyjny Prokuratury SIP „Libra”.
Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w punkcie 1 wyroku. Rozstrzygnięcie zawarte w pkt.
2 wyroku uzasadnione jest treścią art. 152 powołanej ustawy.