>Orzecznictwo>NSA>2003 >

Orzeczenie prawomocne

WYROK

W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ

dnia 11 kwietnia 2003 r.

Naczelny Sąd Administracyjny w Warszawie po rozpoznaniu w dniu 11 kwietnia 2003 r. sprawy ze skargi Pana X na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 12 kwietnia 2002 r.  nr GI-DEC-DS-66/02/256, 257 w przedmiocie udostępnienia danych osobowych

oddala skargę

UZASADNIENIE

Stan faktyczny przedstawiał się następująco. Do Biura GIODO wpłynęła 27 sierpnia 2001 r. skarga Pana X, zwanego dalej Skarżącym, w sprawie przetwarzania jego danych osobowych przez Bank. Skarżący podniósł, że Bank bez jego zgody przetwarzał jego dane osobowe i udostępnił je Spółce. Wskazał także na niedopełnienie względem niego, jako klienta i pracownika banku, obowiązku informacyjnego z art. 24 ust. l ustawy o ochronie danych osobowych oraz na brak odpowiedzi na wniosek o udzielenie informacji dotyczących przetwarzania jego danych, co narusza art. 33 ust. l ustawy.
GIODO zawiadomił go, że Bank nie otrzymał wniosku z 22 marca 2001 r. o udzielenie informacji i zwrócił się o nadesłanie w tej sprawie dowodu w ciągu 7 dni.
W wyniku przeprowadzonego postępowania Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia 5 lutego 2002 r. nr GI-DEC-DS-23/02/87,88 odmówił uwzględnienia wniosku Skarżącego. Wskazał, że dane osobowe Skarżącego przechowywane były jako pracownika i klienta. Po wygaśnięciu umowy mogą być przechowywane dla celów archiwalnych. Pan X był pracownikiem do dnia 31 stycznia
2001 r., a klientem do 4 października 2001 r. Podstawą przetwarzania był więc art. 23 ust. l pkt 2 i 3 ustawy. Powierzenie innemu podmiotowi nastąpiło na podstawie umowy.
Pan X złożył wówczas wniosek o ponowne rozpatrzenie sprawy. Podniósł przy tym kwestię niewypełnienia wobec niego przez Bank obowiązku z art. 24 ustawy, wskazał też,
że wniosek o udzielenie informacji z art. 33 przekazano wewnętrzną pocztą Banku. Kwestionował tezę, że art. 24 ust. l ustawy dotyczy tylko zbierania danych, a nie ich przetwarzania. Podkreślił, że nieprawdą jest przekazanie danych pracowników 19 stycznia 2001 r. , gdyż na umowach przedwstępnych była data 8 stycznia 2001 r.
W dniu 12 kwietnia 2002 r. Generalny Inspektor Ochrony Danych Osobowych decyzją
nr GI-DEC-DS-66/02/256,257 utrzymał w mocy swoje poprzednie orzeczenie. Wskazał,
że dane Skarżącego zawarte w zbiorze danych pracowników oraz w zbiorze klientów przetwarzane były na podstawie umowy o pracę oraz umowy prowadzenia rachunku bankowego, a także odpowiednio na podstawie ustawy Kodeks pracy, ustawy Prawo bankowe i przepisów wykonawczych. Po rozwiązaniu ww. umów Bank może przetwarzać te dane na podstawie ustawy z 29 września 1994 r. o rachunkowości (Dz. U. z 2002 r.
Nr 76, póz. 694), ustawy z 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. Nr 38, póz. 173 ze zm.) oraz ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. Nr 16, póz. 93 ze zm.).
Co do obowiązków z art. 24 ustawy, GIODO stwierdził, że należy je oceniać według prawa, jakie obowiązywało, gdy zbieranie miało miejsce (Barta, Markiewicz, Ochrona danych osobowych, Zamykacze 2001 r. s. 400). Skarżący w roku 1993 został zatrudniony w Banku. Jego dane zostały więc zebrane przed wejściem w życie ustawy. Bank nie był wówczas zobowiązany do informowania o zbieraniu danych osobowych.
Natomiast obywatel ma, niezależnie od tego, prawa z art. 33 ustawy. Skarżący nie przedstawił jednak wiarygodnego dowodu, iż złożył wniosek w tej sprawie.
W związku z zarzutem nielegalnego przekazania danych Spółce, GIODO wskazał, że na podstawie art. 31 ustawy administrator danych może powierzyć innemu podmiotowi
w drodze umowy zawartej na piśmie, przetwarzanie danych. Wspomniane dane Spółka otrzymała po podpisaniu umowy w sprawie powierzenia ochrony z dnia 28 grudnia 2000 r. jako załącznik do porozumienia zawartego między tymi podmiotami w toku procesu restrukturyzacji Banku. Podmiot, któremu powierzono w drodze umowy przetwarzanie danych, może je przetwarzać zgodnie z art. 31 ust. 2 ustawy -wyłącznie w zakresie i w celu przewidzianym w umowie. Strony umowy ustaliły w § 2, że dane pracowników zatrudnionych w strukturach Banku będą przetwarzane wyłącznie w zakresie stosunków pracowniczych, w celach związanych z planowaną restrukturyzacją Straży Bankowej. Skarżący został zatrudniony przez Spółkę l lutego 2001 r. na podstawie umowy o pracę. Spółka stała się więc samodzielnym administratorem danych, przetwarzającym dane na podstawie umowy. Stąd GIODO uznał, że bank nie naruszył wobec Skarżącego ustawy
o ochronie danych osobowych (mimo że nie mógł ustalić dokładnej daty przekazania danych).
W dniu 8 maja 2002 r. Pan X złożył do Naczelnego Sądu Administracyjnego skargę na
tę decyzję, żądając jej uchylenia, wytknięcia administratorowi, tj. Bankowi niestosowności działania i zobowiązania go do naprawienia szkody. Zarzucał decyzji obrazę społecznego przeznaczenia prawa przez odmowę objęcia ochroną jego danych, naruszenia litery prawa przez wybiórcze i rozłączne traktowanie przesłanek warunkujących zbieranie
i przekształcanie danych. Wskazał, że administrator danych, tj. Bank przekazał jego dane Spółce bez wiedzy i zgody skarżącego, a nawet przy jego proteście, co narusza art. 32 pkt 7 i 8 w ust. l. W całym postępowaniu nie został udowodniony fakt rzekomego niedotarcia tego protestu do administratora, a odrzucono dowody pośrednie wskazujące na wysłanie
i dostarczenie przesyłki. Przekazanie danych osobowych pracowników Banku nastąpiło do Spółki przedwcześnie, bez zgody zainteresowanych i gwarancji, że kolejny administrator zatrudni osoby, których dotyczyły, co narusza art. 23 ust. l pkt l, art. 26 a. Bezzasadnie zastosowano zaś art. 27 ust. 2 pkt 6.
W odpowiedzi na skargę GIODO wniósł o jej oddalenie. Wskazał, że działał na podstawie prawa, a nie dopatrzył się w działaniu Banku naruszenia prawa. Nie traktuje, wbrew twierdzeniom Skarżącego, wybiórczo przesłanek przetwarzania danych z art. 23 ust. l pkt l
- 5, gdyż każda z tych przesłanek ma charakter autonomiczny i jest równoprawna. GIODO uznał, że podstawą przetwarzania danych przez bank był art. 23 ust. l pkt 2 i 3 ustawy.
W związku ze spełnieniem tych przesłanek brak było konieczności uzyskiwania zgody Skarżącego. Bank przetwarzał dane jako pracodawca i strona umowy - prowadząc rachunek bankowy. Ponadto 28 grudnia 2000 r. przekazał w drodze umowy zlecenia ze Spółką administrowanie danymi związanymi ze stosunkami zatrudnienia pracowników zatrudnionych w Straży Bankowej. W przypadku takiego przekazania ustawa przewiduje dokonanie powierzenia zgodnie z art. 31 ust. 1-4 ustawy. Nie wymaga zaś obowiązku uzyskiwania zgody osób, których dane dotyczą. Prawa do wniesienia pisemnego żądania zaprzestania przetwarzania, wynikające z art. 32 ust. 7 i 8 ustawy, przysługują natomiast
w przypadkach wymienionych w art. 23 ust. l pkt 4 i 5 ustawy. Dane osobowe Skarżącego nie były zaś na tej podstawie przetwarzane.
Fakt dotarcia protestu winien był udowodnić Skarżący. Obowiązek udowodnienia faktu spoczywa na osobie, która wywodzi z tego skutki prawne.

Naczelny Sąd Administracyjny zważył, że:

Skarga nie jest zasadna. Podstawą jej były trzy zarzuty. Po pierwsze Skarżący kwestionował zbieranie przez bank jego danych osobowych, bez poinformowania go o tym fakcie, co narusza dyspozycję art. 24 ust. l ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 133, póz. 883 ze zm. - na dzień orzekania). Tymczasem, jak wskazał GIODO, art. 24 wyraźnie statuuje ten obowiązek „w przypadku zbierania danych osobowych od osoby, której one dotyczą". Nie odnosi się więc do każdej formy przetwarzania danych, lecz tylko do ich zbierania. W momencie zbierania danych przez bank, tzn. l stycznia 1993 r. dla celów umowy o pracę i 26 stycznia 1993 r. dla celów rachunku bankowego, nie obowiązywała jeszcze przedmiotowa ustawa, w tym jej art. 24 ust. l. Bank nie miał więc obowiązku informowania Skarżącego o zbieraniu jego danych.
Drugi zarzut Skarżącego odnosił się do braku reakcji Banku na jego wniosek z 22 marca 2001 r. o udzielenie informacji. Narusza to, jego zdaniem, art. 33 ust. l ustawy i art. 32 ust. l pkt 7 i 8 ustawy. Zgodnie z art. 33 ust. l administrator danych jest zobowiązany w terminie 30 dni poinformować osobę o przysługujących jej prawach, a zwłaszcza wskazać w formie zrozumiałej określone w tym artykule informacje. Na podstawie art. 32 ust. l pkt 7 każdej osobie przysługuje prawo do wniesienia w przypadkach określonych w art. 23 ust. l pkt 4
i 5 pisemnego umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na szczególną sytuację. W świetle zaś art. 32 ust. l pkt 8 osobie takiej przysługuje prawo wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych
w art. 23 ust. l pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych innemu administratorowi. Zarzut naruszenia prawa do protestu i sprzeciwu nie jest zasadny. Przetwarzanie danych Skarżącego odbywało się na innej podstawie niż przewidziano w art. 23 ust. l pkt 4 i 5,
a mianowicie - art. 23 ust. l pkt 2 i 3, tj. na podstawie przepisów prawa; kodeksu pracy, rozdziału 8, a w szczególności art. 74 i 76 ustawy z dnia 29 września 1994 r.
o rachunkowości (Dz. U. z 2002 r. Nr 76, póz. 694), czy rozdziału IV ustawy z 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. Nr 38, póz. 173 ze zm.) oraz, gdy jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to konieczne do podjęcia koniecznych działań przed zawarciem umowy.
Odnośnie zarzutu naruszenia przez Bank obowiązku informacyjnego z art. 33 ust. l ustawy, GIODO słusznie stwierdził, iż nie dysponował dowodami potwierdzającymi złożenie przez stronę wniosku o udzielenie takiej informacji. Dowodem takim nie jest ani fakt nadawania korespondencji przez wewnętrzną pocztę przez inne osoby niż Skarżący, ani nagranie
z taśmy magnetofonowej, przedstawione przez Skarżącego. Na tym nagraniu oznajmia on bowiem, że nadał taką przesyłkę, brak jest natomiast potwierdzenia tego faktu przez drugą stronę rozmowy. Nie jest też wiadome, kiedy owo nagranie zostało przez Skarżącego sporządzone. W świetle przedstawionych dowodów, nie można więc zarzucić GIODO naruszenia zasad postępowania dowodowego i dowolnej oceny stanu faktycznego.
Niesłuszny jest również zarzut Skarżącego o naruszeniu przepisów ustawy wskutek przekazania jego danych Spółce. Podstawą przekazania tych danych był bowiem art. 31 ust. l ustawy, zezwalający administratorowi danych na powierzenie innemu podmiotowi,
w drodze umowy zawartej na piśmie, przetwarzania danych. Podstawą była w tym przypadku umowa z 28 grudnia 2000 r., mająca na celu administrowanie danymi osobowymi w związku z zatrudnieniem byłych pracowników Banku w Spółce. Spełniało to również przesłanki z art. 23 ust. l pkt 3, było bowiem niezbędne do podjęcia koniecznych działań przed zawarciem umowy ze Skarżącym przez nową firmę. GIODO nie był co prawda w stanie ustalić dokładnej daty przekazania danych, ale z istniejącego materiału dowodowego wynika, że nastąpiło to po dniu 28 grudnia 2000 r., tj. po zawarciu umowy. Nie przeczy temu informacja Skarżącego o dysponowaniu jego danymi przez Spółkę
8 stycznia 2001 r.
Ponieważ Naczelny Sąd Administracyjny nie dopatrzył się w działaniu Generalnego Inspektora Ochrony Danych Osobowych naruszenia prawa, orzekł na podstawie art. 27 ust. l
i 53 ust. 2 ustawy z dnia 11 maja 1995 r. o Naczelnym Sądzie Administracyjnym (Dz. U.
Nr 74, póz. 368 ze zm.) i art. 24, 33 ust. l i 31 ust. l ustawy o ochronie danych osobowych, jak w sentencji.