>Orzecznictwo>WSA>2009 >

Orzeczenie prawomocne

WYROK

W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ

dnia 03 marca 2009 r.

Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu na rozprawie w dniu 24 marca 2009 r. sprawy ze skargi E. S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2008 r. nr [...] w przedmiocie przetwarzania danych osobowych -

oddala skargę

Uzasadnienie:

Decyzją z dnia [...] stycznia 2008 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] listopada 2007 r. nr [...], którą odmówił uwzględnienia skargi E. S. dotyczącej przetwarzania jej danych osobowych przez Akademię M. w Gd. z siedzibą w Gd. w tym niedopełnienie obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych.
Powyższa decyzja została podjęta w następującym stanie faktycznym i prawnym.
Do biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga E. S. dotycząca przetwarzania jej danych osobowych przez Akademię M. w Gd. z siedzibą w Gd. w tym niedopełnienia przez Akademie M. obowiązku informacyjnego, o którym mowa w art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). W przedmiotowej skardze E. S. reprezentowana przez pełnomocnika W. N. podniosła, iż w wyniku działania jej pracodawcy tj. Akademii M. w Gd. doszło do naruszenia zasad przetwarzania danych osobowych określonych w ustawie o ochronie danych osobowych. Wskazała, iż jej bezpośredni przełożony tj. kierownik Zakładu [...], z siedzibą w G. przy ulicy P. - M. C. w dniu 19 września 2006 r. przekazała Skarżącej dokumenty zawierające jej dane osobowe, tj. druk umowy zlecenia z dnia [...] maja 1997 r. wraz z zestawieniem płacowym dotyczącym wykonanych przez E. S. prac zleconych, cyt. : "(...) w formie luźnych niezabezpieczonych kartek (...) przez innego pracownika ww. Zakładu, co spowodowało dostęp do nich osobom trzecim (...)". Ponadto, ww. zestawienie płacowe zostało sporządzone nie przez Dział Księgowości Akademii, lecz przez innego pracownika ww. Zakładu - M. K., która ww. zestawienie wykonała na polecenie M. C. Podniosła również, iż Akademia M. nie dopełniła obowiązku informacyjnego wynikającego z art. 33 ustawy, bowiem pismem z dnia [...] września 2006 r. skierowanym do Działu Spraw Osobowych Akademii oraz Kwestora Akademii zwróciła się z żądaniem wyjaśnienia zaistniałej sytuacji oraz o podanie kto posiada dostęp do danych dotyczących jej osoby, jednakże odpowiedź Kwestora Akademii z dnia [...] września 2006 r. nie wyjaśniła ww. kwestii, natomiast odpowiedzi z Działu Spraw Akademii nigdy nie otrzymała.
E. S. w swej skardze domagała się od Generalnego Inspektora podjęcia wszystkich niezbędnych działań wynikających z przepisów ustawy o ochronie danych osobowych, a także zastosowania wobec winnych tych zdarzeń sankcji prawnych określonych w art. 49, 51, 52, 54 ustawy.
Generalny Inspektor Ochrony Danych Osobowych po przeprowadzeniu postępowania administracyjnego wydał na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego ( Dz. U. 2000 r. Nr 98, poz. 1071 ze zm.), art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 oraz art. 36 ust. 1 i art. 37 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2002 r. Nr 101, poz. 926 ze zm.), decyzję z dnia [...] listopada 2007 r. nr [...], którą odmówił uwzględnienia wniosku. Organ uznał odnosząc się do zarzutu skarżącej, dotyczącego sporządzenia zestawienia płacowego przez osoby nieupoważnione do przetwarzania danych osobowych, iż zarzut ten znalazł potwierdzenie w materiale dowodowym zgromadzonym w toku postępowania administracyjnego. Akademia M. przyznała bowiem, że zarówno M. C. jak i M. K. nie legitymowały się upoważnieniem do przetwarzania danych osobowych w zakresie sporządzania dokumentów płacowych nadanym im przez Akademię. Jednocześnie Akademia potwierdziła, że M. K. sporządziła ww. zestawienie na polecenia M. C.
Stosownie natomiast do art. 37 ustawy o Ochronie Danych Osobowych, do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienia nadane przez administratora danych. Obowiązkiem legitymowania się ww. upoważnieniem zostały objęte wszystkie osoby, które przetwarzają dane, niezależnie od tego, czy przetwarzanie dokonywane jest w sposób tradycyjny czy w systemie informatycznym. Rozwiązanie to ogranicza możliwość przetwarzania danych jedynie do osób, które posiadają nadane w tym celu przez administratora danych indywidualne upoważnienia. Ponadto powinno to być upoważnienie specjalne, odrębne, a nie wywodzone z treści umowy o pracę czy z zakresu obowiązków pracowniczych (por. op. cyt. wyżej strona 675).
Jednakże okoliczności niniejszej sprawy wskazują, iż nie jest możliwe sformułowanie nakazu, który doprowadziłby do przywrócenia stanu zgodnego z prawem. Wobec czego Generalny Inspektor sformułował pod adresem Akademii wystąpienie, w którym wskazał na wymogi zabezpieczenia danych określone w art. 36 do 39 ustawy, a w szczególności na obowiązek administratora danych zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, w tym zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem, a co za tym idzie - obowiązek zapewnienia by do przetwarzania danych dopuszczone zostały wyłącznie osoby posiadające upoważnienie, o którym mowa w art. 37 ustawy.
Odnosząc się do zarzutu Skarżącej dotyczącego niedopełnienia obowiązku informacyjnego, o którym mowa w art. 33 ustawy, organ wskazał, iż opisane wyżej pisma Skarżącej z dnia 21 września 2006 r. skierowane zarówno do Kwestora Akademii, jak i Działu Spraw Osobowych, nie mogą zostać uznane za wnioski, o których mowa w tym przepisie. Zgodnie bowiem z art. 33 ust. 1 ustawy, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a ustawy, a w szczególności podać w formie zrozumiałej:
1) jakie dane osobowe zawiera zbiór,
2) w jaki sposób zebrano dane,
3) w jakim celu i zakresie dane są przetwarzane,
4) w jakim zakresie oraz komu zostały udostępnione.
Natomiast treść ww. pism Skarżącej wskazuje, iż domaga się ona wyłącznie wyjaśnienia kwestii sporządzenia ww. zestawienia płacowego, a nie podania informacji odnośnie jej danych osobowych w zakresie o którym mowa w art. 33 ust. 1 ustawy. Stąd też, zarzut Skarżącej odnośnie niedopełnienia ww. obowiązku informacyjnego jest chybiony.
Natomiast obecne przetwarzanie danych osobowych Skarżącej w celach archiwalnych znajduje oparcie w art. 23 ust. 1 pkt 2 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2008 r. Nr 97, poz. 673). Natomiast Generalny Inspektor Ochrony Danych Osobowych nie jest organem uprawnionym do nakładania na określone podmioty, w razie naruszenia przez nie przepisów ustawy - sankcji karnych, o których mowa w art. 49 do 54 ustawy. Kompetencje te bowiem zostały zastrzeżone do wyłącznej właściwości sądów powszechnych.
Nie zgadzając się z powyższą decyzję E. S. złożyła wniosek o ponowne rozpatrzenie sprawy.
Po ponownym rozpatrzeniu sprawy Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2008 r. nr [...] utrzymał w mocy zaskarżoną decyzję, organ podtrzymał swoje stanowisko zawarte w decyzji z dnia [...] listopada 2007 r. odnosząc się do zarzutów skarżącej Generalny Inspektor Danych Osobowych wskazał, iż pismo Generalnego Inspektora z dnia [...] października 2007 r. (znak: [...]) informujące pełnomocnika skarżącej o możliwości realizacji uprawnień, o których mowa w art. 10 § 1 Kpa i art. 73 § 1 Kpa, w terminie siedmiu dni od dnia doręczenia ww. pisma, zostało mu doręczone w dniu 23 października 2007 r. Zakreślony przez organ siedmiodniowy termin do realizacji ww. uprawnień upłynął w dniu 30 października 2007 r., natomiast zaskarżona ww. decyzja Generalnego Inspektora została wydana w dniu [...] listopada 2007 r., zatem nie może być mowy o naruszeniu przepisu art. 10 § 1 Kpa. To, że pełnomocnik skarżącej zapoznał się z aktami niniejszej sprawy dopiero w dniu [...] października 2007 r. nie ma wpływu na bieg ww. terminu, zwłaszcza, że nie poinformował on organu, iż zamierza pisemnie ustosunkować się do zebranego w sprawie materiału dowodowego.
Natomiast ustanowiony w art. 9 Kpa obowiązek dotyczy informacji prawnej tylko dla ochrony przed poniesieniem szkody przez stronę lub innych uczestników postępowania. W odniesieniu do terminu do zapoznania się przez strony z materiałem dowodowym zgromadzonym w sprawie, który jest terminem instrukcyjnym a nie ustawowym, nie jest on terminem, którego uchybienie może wywołać negatywne skutki dla strony.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie E. S. wniosła o uchylenie zaskarżonej decyzji oraz decyzji jej poprzedzającej, stwierdzenie winy organu administracji w zakresie nieudzielania informacji, a także nakazanie udzielenia przez organ administracji pełnej odpowiedzi na wszystkie pytania postawione w trakcie prowadzonego postępowania. W uzasadnieniu przedmiotowej skargi E. S. wskazała na uchybienia przez Generalnego Inspektora przepisom ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.), zwanej dalej Kpa, a w szczególności art. 7, 9, 10, 35 § 3 i art. 36 § 1 Kpa. Ww. uchybienia miałyby w ocenie Skarżącej polegać przede wszystkim na przedłużaniu postępowania w niniejszej sprawie i nie wyznaczeniu terminu jego zakończenia, a także nie udzielaniu odpowiedzi na kierowanie przez nią do Generalnego Inspektora pytania.
Skarżąca zarzuciła Generalnemu Inspektorowi, iż decyzja z dnia [...] listopada 2007 r. została wydana bez zapoznania się przez organ z jej uwagami co do zebranego w sprawie materiału dowodowego, gdyż pismo zawierające ww. uwagi dotarło do Biura Generalnego Inspektora w dniu 7 listopada 2007 r., a więc po terminie wydania decyzji, co w jej ocenie narusza art. 9 i 10 Kpa, a także zasadę prawdy obiektywnej. Skarżąca zakwestionowała również dokonaną przez organ ocenę jej pism kierowanych do Akademii M. w Gd., wskazując, iż pismo skierowane do Działu Spraw Osobowych jej zdaniem stanowi wniosek, o którym mowa w art. 33 ustawy, zaś organ nie zajął jednoznacznego stanowiska co do powodów nie uznania ww. pisma za taki wniosek. Ponadto zarzuciła, iż organ w zaskarżonych decyzjach nie wyjaśnił w jaki sposób jej dane osobowe znalazły się w posiadaniu M. K. i M. C., a to jest właściwie istotą tej sprawy.
W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie podtrzymując swoje dotychczasowe argumenty faktyczne i prawne.
Wojewódzki Sąd Administracyjny w Warszawie w Warszawie zważył, co następuje:
Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sadów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania.
Skarga analizowana pod tym kątem nie zasługuje na uwzględnienie.
Przepis art. 33 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r., Nr 101, poz. 926 ze zm.) zobowiązuje administratora danych osobowych, na wniosek osoby, której dane dotyczą, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji o których mowa w art. 32 ust. 1 pkt 1-5a, a w szczególności podać w formie zrozumiałej:
1. jakie dane osobowe zawiera zbiór,
2. w jaki sposób zebrano dane,
3. w jakim celu i zakresie dane są przetwarzane,
4. w jakim zakresie oraz komu dane zostały udostępnione.
Ponadto, na wniosek osoby, której dane dotyczą, informacji, o których mowa w ust. 1, udziela się na piśmie (art. 33 ust. 2 powołanej ustawy o ochronie danych osobowych).
W pierwszej kolejności rozważyć zatem należy, czy pismo E. S. z dnia 21 września 2006 r. skierowane do Działu Spraw Osobowych Akademii M. w Gd. oraz Kwestora Akademii M. w Gd. jest wnioskiem o którym mowa w przepisie art. 31 ust. 1 ustawy. O obowiązku informacyjnym wynikającym z przepisu art. 33 można mówić gdy do administratora danych skierowane zostanie jednoznaczne oświadczenie woli osoby żądającej informacji o okolicznościach wskazanych w art. 33. Tymczasem jak wynika z akt postępowania Skarżąca w dniu 21 września skierowała do Kwestora Akademii M. oraz Działu Spraw Osobowych Akademii M. wnioski (o jednakowej treści), w których informowała, iż w dniu 19 września 2006 r. jej bezpośredni przełożony przekazał Skarżącej dokumenty zawierające jej dane osobowe w formie luźnych niezabezpieczonych kartek, nadto dokumenty te zostały jej przekazane nie bezpośrednio przez jej przełożonego lecz przez innego pracownika zakładu co spowodowało dostęp do jej danych osobowych osobom trzecim.
W związku z tym faktem zwróciła się z żądaniem wyjaśnienia w jaki sposób realizowane są zapisy ustawy o ochronie danych osobowych, jakie dokumenty zawierające jej dane osobowe oraz dane o dochodach znajdują się w posiadaniu osób trzecich, dlaczego zestawienie jej dochodów wykonywane jest nie przez dział księgowości ale przez inne osoby i dlaczego Akademia M. udostępnia jej dane osobowe innym osobom. Prawidłowo więc zdaniem sądu organ uznał, iż treść pisma skarżącej wskazuje, że domaga się ona wyłącznie wyjaśnienia kwestii dotyczących sporządzenia zestawienia płacowego, oraz udostępniania jej danych osobowych innym pracownikom a nie podania informacji odnośnie jej danych osobowych w zakresie którym mowa w art. 33 ust. 1 ustawy. Jednocześnie wskazać należy, iż pisma skierowane do Kwestora Akademii M. jak również do Działu Spraw Osobowych Akademii M. nie są skierowane do administratora danych osobowych bowiem administratorem danych osobowych Akademii M. w Gd. jest Rektor Akademii M.
Odnosząc się do zarzutu Skarżącej dotyczącego sporządzenia zestawienia płacowego przez osoby nieuprawnione do przetwarzania danych osobowych prawidłowo uznał organ, iż zarzut ten znalazł potwierdzenie w materiale dowodowym w toku postępowania administracyjnego. Akademia M. w Gd. przyznała bowiem, iż zarówno M. C. jak i M. K. nie legitymowały się upoważnieniem do przetwarzania danych osobowych w zakresie sporządzania dokumentów płacowych nadanych im przez Akademie M. Jednocześnie Akademia potwierdziła, iż zestawienie płacowe sporządzone zostało przez M. K. na polecenie M. C.
Nie budzi wątpliwości, iż w niniejszej sprawie doszło do naruszenia przepisów ustawy, poprzez dopuszczenie do przetwarzania danych osobowych osób nie legitymujących się upoważnieniem, o którym mowa w art. 37 ustawy.
Wobec powyższego, wskazać należy, iż Generalny Inspektor zgodnie z art. 18 tej ustawy, w razie stwierdzenia naruszenia przepisów ustawy, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, poprzez wydanie określonych nakazów, wymienionych enumeratywnie w tym przepisie. Wbrew twierdzeniom Skarżącej, w zaskarżonej decyzji zostało zajęte stanowisko w sprawie odpowiedzialności Akademii za naruszenie zasad przetwarzania danych osobowych Skarżącej. W ww. decyzji Generalnego Inspektora wskazano bowiem, iż wobec dopuszczenia przez Akademię do przetwarzania danych osobowych osób nie legitymujących się upoważnieniem, o którym mowa w art. 37 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), zwanej dalej ustawą, Generalny Inspektor Ochrony Danych Osobowych skierował w dniu [...] listopada 2007 r. do Rektora Akademii M. w Gd. wystąpienie, w którym wskazał na wymogi zabezpieczenia danych określone w art. 36 do 39 ustawy, a w szczególności na obowiązek administratora danych do zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, w tym zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawniona, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem, a co za tym idzie - obowiązek zapewnienia by do przetwarzania danych dopuszczone zostały wyłącznie osoby posiadające upoważnienie, o którym mowa w art. 37 ustawy.
Natomiast nie jest rolą Generalnego Inspektora Danych Osobowych prowadzenia postępowania celem ustalenia, jak tego domaga się Skarżąca, w jaki sposób jej dane osobowe znalazły się w posiadaniu innych osób. Rolą organu ochrony danych jest przede wszystkim podejmowanie działań o charakterze prewencyjnym, w tym wydawanie decyzji administracyjnych w celu przywrócenia stanu zgodnego z prawem (art. 18 ustawy) i w celu zapewnienia, że w przyszłości dane te, m.in. poprzez właściwe zabezpieczenie, będą efektywnie chronione.
Za niezasadne należy uznać zarzuty Skarżącej naruszenia art. 9, 10 Kpa trafnie wskazuje organ, iż ustanowiony w art. 9 Kpa obowiązek dotyczy informacji prawnej i to udzielanej tylko dla ochrony przed poniesieniem szkody przez stronę lub innych uczestników postępowania. Natomiast w niniejszej sprawie z taką sytuacją organ do czynienia nie miał. W odniesieniu do terminu wyznaczonego przez organ ww. przepisu pismem z dnia [...] października 2007 r., do zapoznania się przez stronę z materiałem dowodowym zgromadzonym w niniejszej sprawie, wskazać należy, iż ww. termin nie jest terminem, którego uchybienie może wywoływać negatywne skutki dla strony, jak to jest w przypadku terminów ustawowych, których uchybienie powoduje bezskuteczność czynności dokonanej przez stronę.
Natomiast pismo Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2007 r. informujące pełnomocnika Skarżącej o możliwości realizacji uprawnień, o których mowa w art. 10 § 1 Kpa i art. 73 § 1 Kpa, w terminie siedmiu dni od dnia doręczenia ww. pisma, zostało doręczone w dniu 23 października 2007 r. Zakreślony przez organ siedmiodniowy termin do realizacji ww. uprawnień upłynął w dniu 30 października 2007 r., natomiast zaskarżona ww. decyzja Generalnego Inspektora została w dniu [...] listopada 2007 r., zatem nie może być mowy o naruszeniu przepisu art. 10 § 1 Kpa.
Pozostałe zarzuty skarżącej dotyczące przewlekłości postępowania nie mają znaczenia w sprawie, bowiem gdyby nawet uznać, je za zasadne nie mają one żadnego wpływu na treść wydanych przez organ decyzji.
Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie na postawie art. 151 ppsa orzekł jak w sentencji wyroku.