>Orzecznictwo>WSA>2010 >

Bank powinien wiedzieć, że emituje swoją reklamę wprost do osoby, która wniosła sprzeciw na przetwarzanie jej danych osobowych w celach marketingowych, a zatem nadal mimo wyraźnego sprzeciwu takiej osoby łączy ją ze swoją reklamą, ze swoim materiałem marketingowym, czym narusza art. 32 ust. 3 ustawy o ochronie danych osobowych.

Osoba fizyczna nie może domagać się ochrony jej danych osobowych, prezentując własnościową koncepcję jej danych osobowych w taki sposób, jak to czyni właściciel rzeczy. Nie może korzystać z tych danych z wyłączeniem osób trzecich. Treść art. 1 ust. 2 ustawy wyraźnie stanowi, że przetwarzanie danych osobowych może mieć miejsce z uwagi na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich w zakresie i trybie określonym ustawą. A zatem celem ustawy nie jest bezwzględne zakazanie przetwarzania danych osobowych. Racjonalny ustawodawca w treści ustawy o ochronie danych osobowych określił przesłanki uchylające zakaz przetwarzania danych osobowych - inaczej - przesłanki legalizujące takie przetwarzanie (art. 23 i 27 ustawy).

Zgodnie z art. 19 ustawy o ochronie danych osobowych w razie stwierdzenia, że działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem danych wyczerpuje znamiona przestępstwa określonego w ustawie, Generalny Inspektor kieruje do organu powołanego do ścigania przestępstw, zawiadomienie o popełnieniu przestępstwa, dołączając dowody dokumentujące podejrzenie.

Zdaniem Sądu zaniechanie zastosowania art. 52 k.p.a., przekładające się na niemożność zapoznania się skarżącego z zebranym w sprawie materiałem dowodowym, narusza podstawowe zasady prowadzenia postępowania administracyjnego. Stosownie do art. 7 k.p.a. organ powinien podjąć wszelkie kroki niezbędne do załatwienia sprawy, mając na względzie m.in. słuszny interes obywatela. Stosownie zaś do art. 10 § 1 k.p.a. organy administracji publicznej obowiązane są zapewnić stronom czynny udział w każdym stadium postępowania.

Każda z przesłanek przetwarzania danych osobowych ustanowionych w art. 23 ust. 1 ustawy ma charakter autonomiczny i niezależny, a zatem przesłanki te co do zasady są równoprawne. Dlatego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Jednocześnie zgoda osoby, której dane dotyczą jest jednym z możliwych, a nie jedynym warunkiem legalizującym proces przetwarzania danych osobowych. Zdaniem Sądu, słusznie organ wskazał, że zgromadzony materiał dowodowy pozwolił na uznanie, że zakwestionowane przez E. L. udostępnienie jej danych osobowych było niezbędne dla wypełnienia prawnie usprawiedliwionych celów R. P. przez W. P. na podstawie udzielonego mu pełnomocnictwa.  

Sąd kierując doszedł do przekonania o konieczności uwzględnienia skargi, z przyczyn, które wziął pod uwagę z urzędu niezależnie od jej treści, poprzez stwierdzenie nieważności skarżonego aktu prawnego w związku z wydaniem go z rażącym naruszeniem prawa, o którym mowa w art. 156 § 1 pkt 2 k.p.a. Merytoryczne rozpatrzenie wniosku o ponowne rozpatrzenie sprawy, rozstrzygniętej uprzednio decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2009 r., nastąpiło bowiem pomimo jego wniesienia z uchybieniem 14-dniowego terminu określonego w art. 129 § 2 k.p.a.

W rozpoznawanej sprawie, wniosek skarżącego o ujawnienie danych osobowych w zakresie miejsca zamieszkania dziennikarzy, którym zamierza wytoczyć powództwo o naruszenie dóbr osobistych, został prawidłowo uzasadniony, jest wiarygodny, a udzielenie żądanych danych nie sprzeciwia się dyspozycji art. 27 ustawy o ochronie danych osobowych i administrator powinien je udostępnić.

Z powyżej przytoczonego stanu faktycznego wynika, iż konieczną przesłanką wydania nakazu jest stwierdzenie, iż doszło do naruszenia przepisów o ochronie danych osobowych. Zdaniem Sądu, w rozpoznawanej sprawie przesłanka ta nie zaistniała, co oznacza, że Generalny Inspektor Ochrony Danych Osobowych w sposób niezasadny wydał, na podstawie art. 18 ust. 1 powołanej ustawy, nakaz usunięcia przez Spółkę uchybień, których nie było. Nie doszło bowiem do przekazania Spółce żądanych danych osobowych, a tym samym Spółka nie przetwarzała danych osobowych z naruszeniem przepisów o ochronie danych osobowych.

Prawem wnioskodawcy jest konstytucyjnie chronione prawo do sądu. Brak danych adresowych dziennikarzy de facto to prawo eliminuje, gdyż powoduje, że pozew na skutek braku adresów pozwanych nie może zostać skutecznie wniesiony. Odmienna wykładnia art. 3a ust. 2 uodo prowadziłaby de facto do zaakceptowania poglądu, iż dziennikarze mogą bezkarnie, bez obawy pociągnięcia do odpowiedzialności cywilnej, publikować nierzetelne informacje, sygnując je własnym nazwiskiem, zasłaniając się klauzulą prasową, określoną w art. 3a ust. 2 uodo.

W myśl przepisu art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), skarżący mógłby przetwarzać dane tylko wtedy, gdyby było to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Obowiązek, o jakim mowa w wyżej powołanym przepisie, wynikałby dla skarżącego, wykonującego zawód lekarza, z art. 41 ust. 1 ustawy o zawodach lekarza i lekarza dentysty z dnia 5 grudnia 1996 r. (t. j.: Dz. U. z 2008 r. Nr 136, poz. 857 ze zm.), który stanowi, iż lekarz ma obowiązek prowadzenia indywidualnej dokumentacji medycznej pacjenta.

W niniejszej sprawie problem nie sprowadzał się zatem do tego, jak przedstawił to organ w uzasadnieniu decyzji, czy K. S. prowadzi stronę internetową [...] w celach zarobkowych lub zawodowych, lecz czy przetwarzanie przez nią danych osobowych na tej stronie internetowej pozostaje w związku z jej działalnością zarobkową lub zawodową. Ustawa o ochronie danych osobowych, w świetle sformułowania zawartego w jej art. 3 ust. 2 pkt 2, obejmuje swoim zastosowaniem wszelką działalność zarobkową. W tym kontekście nie bez znaczenia była zatem podnoszona przez skarżącego okoliczność, że K. S. prowadzi hodowlę psów rasowych, gdyż może wiązać się ze sprzedażą wyhodowanych psów rasowych, a zatem z odpłatnością.

Wykładnia przepisów Ordynacji skarbowej oraz ustawy o kontroli skarbowej prowadzi do jednoznacznego wniosku, iż zarówno pozyskanie danych osobowych skarżącej, jak i przetwarzanie danych osobowych w postępowaniach kontrolnych było dozwolone na podstawie art. 23 ust. 1 pkt 2 uodo w zw. z art. 20 ust. 3 ustawy z dnia 26 lipca 1991 r. o podatku dochodowym od osób fizycznych oraz w zw. z art. 7 ust. 1 ustawy o kontroli skarbowej.

Należy przyjąć, iż Generalny Inspektor Ochrony Danych Osobowych słusznie uznał w zaskarżonej decyzji, że ww. art. 82 § 1 pkt 1 w związku z art. 23 ust. 1 pkt 2 uodo stanowi przesłankę legalizacyjną przetwarzania danych osobowych skarżącego w toku postępowania prowadzonego przez organy podatkowe. Przepis art. 82 § 1 pkt 1 Ordynacji podatkowej w sposób jednoznaczny nakazuje podmiotom spoza administracji publicznej udzielenia na pisemny wniosek organu podatkowego informacji o zdarzeniach wynikających ze stosunków cywilnoprawnych albo z prawa pracy, mogących mieć wpływ na powstanie obowiązku podatkowego lub wysokość zobowiązania podatkowego osób lub jednostek, z którymi zawarto umowę.

W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, organ prawidłowo rozpatrzył wniosek skarżącej, albowiem zasadnie przyjął, że ww. przepisy k.p.a. dawały pełnomocnikowi strony postępowania - J. P. możliwość zapoznania się z aktami postępowania Komisji. Zatem legitymacji do takiego działania należy upatrywać w treści art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych

Należy podkreślić, iż adres IP stanowi dane osobowe, gdy jest na stałe przypisany do określonego urządzenia, użytkowanego przez określony podmiot. Ta zależność powoduje, iż w określonych sytuacjach istnieje możliwość identyfikacji tego podmiotu, a taka sytuacja ma miejsce w rozpoznawanej sprawie. Co prawda sam adres IP komputera nie wystarcza do wskazania osoby, która z niego korzystała, ale w zestawieniu z innymi informacjami pozwala przypuszczać, że jej tożsamość można ustalić.

Naczelny Sąd Administracyjny nie zgodził się ze stanowiskiem zajętym przez Sąd I instancji, że przesłanie akt do siedziby organu administracyjnego w miejscu zamieszkania strony narusza zasady postępowania administracyjnego przewidziane przepisem art. 12 § 1 kpa.

Konsekwencją uznania przez Sąd, że żądane przez skarżącą dokumenty nie stanowiły informacji przetworzonej, jest stwierdzenie, iż żądanie od skarżącej wykazania interesu publicznego było zbędne i wynikało z nieprawidłowej ich kwalifikacji (jako informacji przetworzonych).

Skoro strona skarżąca swoje żądanie skierowane do administratora danych osobowych oparła na przepisie art. 29 ust. 2 ustawy, to rolą Generalnego Inspektora było dokonanie oceny, czy odmowa udostępnienia tych danych przez administratora danych - A. była uzasadniona. Innymi słowy organ powinien ocenić, czy strona składając pisemny wniosek o udzielenie informacji o charakterze danych osobowych wiarygodnie umotywowała potrzebę posiadania tych danych, zawarła informacje umożliwiające wyszukanie w zbiorze żądanych danych oraz wskazała zakres i przeznaczenie danych, a także czy udostępnienie żądanych danych nie narusza praw i wolności osoby, której dane dotyczą.  

Podniesiony w skardze zarzut, iż organ kontroli skarbowej prowadzący postępowanie kontrolne bezzasadnie przetwarzał dane osobowe skarżącego i członków jego rodziny, gdyż potrzeba taka nie wynikała z konieczności wykonania obowiązku zakreślonego przepisem art. 20 ust. 3 ustawy o podatku dochodowym (skarżący błędnie podaje art. 30 ust. 3), nie jest trafny.

Podniesiony w skardze zarzut, iż organ kontroli skarbowej prowadzący postępowanie kontrolne bezzasadnie przetwarzał dane osobowe skarżącego i członków jego rodziny, gdyż potrzeba taka nie wynikała z konieczności wykonania obowiązku zakreślonego przepisem art. 20 ust. 3 ustawy o podatku dochodowym (skarżący błędnie podaje art. 30 ust. 3), nie jest trafny.