>Decyzje Giodo>2008 >

GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH
Michał Serzycki

DECYZJA

z dnia 20 sierpnia 2008 r.

Na podstawie art. 44 ust. 1 pkt 1 w związku z art. 41 ust. 1 pkt 4 i 4a, art. 44 ust. 2
pkt 1 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r.
Nr 101, poz. 926 z późn. zm.) oraz art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks
postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.),
po przeprowadzeniu postępowania w sprawie rejestracji zbioru danych osobowych o nazwie
„BAZA DANYCH Z”, zgłoszonego do rejestracji Generalnemu Inspektorowi Ochrony Danych
Osobowych w dniu 25 sierpnia 2006 r. przez X prowadzącego działalność gospodarczą

1) odmawiam X prowadzącemu działalność gospodarczą pod firmą rejestracji zbioru
danych osobowych o nazwie „BAZA DANYCH Z”,
2) nakazuję X prowadzącemu działalność gospodarczą pod firmą ograniczenie
przetwarzania danych osobowych zgromadzonych
w zbiorze o nazwie „BAZA DANYCH Z”, wyłącznie do ich przechowywania do czasu
zarejestrowania tego zbioru po jego ponownym zgłoszeniu.

U z a s a d n i e n i e

W dniu 25 sierpnia 2006 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych
wpłynęło zgłoszenie do rejestracji zbioru danych o nazwie „BAZA DANYCH Z” złożone przez X
prowadzącego działalność gospodarczą pod firmą zwanego dalej „Wnioskodawcą”.
Złożone zgłoszenie nie spełniało wymogów niezbędnych do zarejestrowania ww. zbioru
danych. Wnioskodawca nie podał sposobu udostępniania danych ze zbioru oraz informacji
o odbiorcach lub kategorii odbiorców, którym dane mogą być przekazywane. Informacje
te wymagane są zgodnie z art. 41 ust. 1 pkt 4 i 4a ustawy z dnia 29 sierpnia 1997 r. o ochronie
danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwanej dalej „ustawą”.
Po przeanalizowaniu zgromadzonego w sprawie materiału dowodowego Generalny
Inspektor Ochrony Danych Osobowych zważył, co następuje.
Ustawa o ochronie danych osobowych w art. 40 wprowadziła dla administratora danych
obowiązek zgłoszenia Generalnemu Inspektorowi Ochrony Danych Osobowych zbioru danych
do rejestracji, z wyjątkiem przypadków zwalniających go z tego obowiązku, o których mowa
w art. 43 ust. 1 ustawy. Stosownie do treści art. 44 ust. 1 ustawy, Generalny Inspektor Ochrony
Danych Osobowych odmawia, w drodze decyzji administracyjnej, rejestracji zgłoszonego zbioru
danych, jeżeli:
1) nie zostały spełnione wymogi określone w art. 41 ust. 1 ustawy,
2) przetwarzanie naruszałoby zasady określone w art. 23-30 ustawy,
3) urządzenia i systemy informatyczne służące do przetwarzania zbioru danych
zgłoszonego do rejestracji nie spełniają podstawowych warunków technicznych
i organizacyjnych, określonych w przepisach, o których mowa w art. 39a ustawy.
Zgodnie z art. 41 ust. 1 ustawy zgłoszenie zbioru danych do rejestracji powinno m. in.
określać sposób udostępniania danych ze zbioru (pkt 4), jak również zawierać informacje
o odbiorcach lub kategorii odbiorców, którym dane mogą być przekazywane (pkt 4a).
Brak w zgłoszeniu ww. informacji stanowi przesłankę odmowy rejestracji zgłoszonego
zbioru danych, określoną w art. 44 ust. 1 pkt 1 w związku z art. 41 ust. 1 pkt 4 i 4a ustawy.
Mając na uwadze powołane powyżej uregulowania prawne oraz fakt, iż Wnioskodawca nie
uzupełnił zgłoszenia o informacje dotyczące: sposobu udostępniania danych oraz odbiorców lub
kategorii odbiorców, którym dane mogą być przekazywane, Generalny Inspektor Ochrony Danych
Osobowych był zobligowany do wydania decyzji odmawiającej rejestracji zbioru danych
osobowych o nazwie „BAZA DANYCH Z”.
Odmawiając rejestracji zbioru danych, stosownie do treści art. 44 ust. 2 ustawy, Generalny
Inspektor Ochrony Danych Osobowych nakazał Wnioskodawcy ograniczenie przetwarzania danych
osobowych zgromadzonych w ww. zbiorze, wyłącznie do ich przechowywania, do czasu
zarejestrowania tego zbioru po jego ponownym zgłoszeniu.
Należy podkreślić, iż w myśl art. 44 ust. 4 ustawy, Wnioskodawca może ponownie zgłosić
zbiór danych o nazwie „BAZA DANYCH Z” do rejestracji Generalnemu Inspektorowi Ochrony
Danych Osobowych na obowiązującym wzorze zgłoszenia, po usunięciu wad, które były powodem
odmowy rejestracji tego zbioru, tj. po uzupełnieniu ponownego zgłoszenia o informacje dotyczące
sposobu udostępniania danych ze zbioru oraz odbiorców lub kategorii odbiorców, którym dane
mogą być przekazywane.
Informuję ponadto, że Generalnemu Inspektorowi Ochrony Danych Osobowych
na każdym etapie prowadzonego postępowania, a także po jego zakończeniu, przysługuje prawo
i obowiązek realizacji zadań, w które został wyposażony mocą przepisów ustawy o ochronie
danych osobowych i ustawy – Kodeks postępowania administracyjnego, w tym kontrola wykonania
nakazów nałożonych na administratorów danych w decyzji.
W tym stanie prawnym i faktycznym, Generalny Inspektor Ochrony Danych Osobowych
rozstrzygnął, jak w sentencji.
Decyzja jest ostateczna. Stronie, na podstawie art. 21 ust. 1 ustawy oraz art. 127 § 3 Kpa,
przysługuje prawo do złożenia wniosku o ponowne rozpatrzenie sprawy do Generalnego Inspektora
Ochrony Danych Osobowych w terminie 14 dni od daty otrzymania decyzji (adres: Generalny
Inspektor Ochrony Danych Osobowych ulica Stawki 2, 00-193 Warszawa).