Wyrok Naczelnego Sądu Administracyjnegoz 22 stycznia 2015 r., sygn. akt I OSK 1162/13

Uzasadnienie

Zaskarżonym wyrokiem z dnia 13 lutego 2013 r. Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę J. J. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych (sygn. akt II SA/Wa 1843/12).

Sąd I instancji orzekał w następującym stanie sprawy.

J. J. zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych (dalej również jako: GIODO) ze skargą na udostępnienie przez Politechnikę [...] z siedzibą w [...] informacji o jego niepełnosprawności na rzecz M. B. oraz na przetwarzanie przez Politechnikę [...], po ukończeniu przez niego studiów, informacji o jego prywatnym adresie e-mail w celu przesyłania korespondencji za pomocą środków komunikacji elektronicznej. Jednocześnie zażądał usunięcia wszelkich uchybień związanych z powyższą sprawą; sprawdzenia, czy jego dane o niepełnosprawności, które przedstawił w dziekanacie Politechniki [...] były w przeszłości należycie przechowywane i zabezpieczone; zastosowania dodatkowych środków zabezpieczających dane niepełnosprawnych studentów, które nie dopuszczą do ich wycieku oraz wyjaśnienia przyczyny przesłania mu e-maila przez uczelnię, prawie rok po ukończeniu studiów; wyjaśnienia faktycznej przyczyny ujawnienia jego wrażliwych danych osobowych osobie do tego niepowołanej – M. B.; ustalenia, czy stypendium dla osób niepełnosprawnych było przyznawane na okres roku akademickiego oraz czy na jego realizację miało wpływ przedawnienie orzeczenia o stopniu niepełnosprawności w trakcie roku akademickiego.

Ponadto J. J. zasugerował Generalnemu Inspektorowi Ochrony Danych Osobowych, by skierował do Rektora Politechniki [...] pouczenie służące poprawie ochrony wrażliwych danych studentów i zażądał wszczęcia postępowania dyscyplinarnego przeciwko osobom winnym naruszeń w procesie przetwarzania jego danych osobowych, a także skierowania do organów ścigania zawiadomienia o podejrzeniu popełnienia przestępstwa.

W związku z opisanym wnioskiem Generalny Inspektor Ochrony Danych Osobowych ustalił, że skarżący jest absolwentem Wydziału [...] Politechniki [...]. Studia ukończył w lipcu 2008 r. Posiada on orzeczenie o stopniu niepełnosprawności. W dniu 8 maja 2008 r. skarżący został poproszony do pokoju kierownika Dziekanatu [...] Politechniki [...] – M. K., w którym obecna była też koleżanka z grupy studenckiej skarżącego M. B. W jej obecności kierownik Dziekanatu zapytała skarżącego, czy posiada aktualizację orzeczenia o niepełnosprawności, upoważniającego go do dalszego otrzymywania stypendium dla osób niepełnosprawnych. W tymże dniu skarżący ze swojej prywatnej skrzynki elektronicznej [...] wysłał na adres dyrektora Instytutu [...] wiadomość faktycznie adresowaną do M. K., w której zarzucił, iż celowo dopuściła ona do sytuacji, w której świadkiem rozmowy była M. B. W toku dalszej korespondencji ze skarżącym, M. K. wyraziła żal z powodu zaistniałego zdarzenia, a następnie zgodnie z sugestią skarżącego zobowiązała się przeprowadzić rozmowę z M. B. w celu zapewnienia skarżącemu dyskrecji.

W jednej z kolejnych kierowanych do M. K. wiadomości skarżący oznajmił, że sprawę uważa za zamkniętą. W dniu 1 grudnia 2009 r. na adres prywatnej skrzynki mailowej skarżącego, z której uprzednio korespondował w sprawie kwestionowanego zdarzenia z M. K., otrzymał wiadomość zwrotną z adresu [...] o treści "odczytano w dniu 2009-12-01 07:42". Z opisu wynikało, że dotyczyła wiadomości przesłanej przez skarżącego w dniu 8 maja 2008 r. o godz. 12:56.

Rektor Politechniki [...] wyjaśnił organowi, że z notatki sporządzonej przez kierownika Dziekanatu M. K. wynika, iż nie udostępniła ona informacji o niepełnosprawności skarżącego M. B. Osoba ta mogła być świadkiem rozmowy na temat dostarczenia przez skarżącego brakującego orzeczenia do dokumentacji stypendialnej, ale nie była świadoma jej sensu. Zdaniem Rektora, za powyższym miał przemawiać fakt, iż na wniosek skarżącego została w terminie późniejszym przeprowadzona rozmowa ze świadkiem w celu zbadania, czy M. B mogła zostać poinformowana o niepełnosprawności skarżącego. Z rozmowy z M. B. wynikało, że to nie nastąpiło.

Rektor wskazał ponadto, że dnia 8 maja 2008 r. skarżący zainicjował korespondencję z prywatnego konta mailowego, ponieważ domagał się wyjaśnienia wspomnianej sprawy. W korespondencji tej po przeprosinach ze strony kierownika Dziekanatu, sprawę uznał za zamkniętą. Wyjaśnieniem przesłania korespondencji z adresu [...] w dniu 1 grudnia 2009 r. jest odebranie jedynie zwrotnego potwierdzenia otrzymania ostatniego listu wysłanego przez skarżącego.

Do akt sprawy dołączono pismo Pełnomocnika Rektora Politechniki [...] ds. Osób Niepełnosprawnych, w których wskazano, że "na Politechnice [...] od 1 lipca 2008 r. funkcjonuje Biuro ds. Osób Niepełnosprawnych, które zajmuje się sprawami studentów niepełnosprawnych".

Z opisanych względów GIODO decyzją z dnia 11 maja 2012 r. odmówił uwzględnienia wniosku J. J. w sprawie udostępnienia przez Politechnikę [...] informacji o jego niepełnosprawności na rzecz M. B., a w pozostałym zakresie umorzył postępowanie.

W wyniku wniesionego odwołania decyzją z dnia [...] września 2012 r. (nr [...]) GIODO utrzymał w mocy swoje wcześniejsze rozstrzygnięcie. W uzasadnieniu decyzji organ wskazał, że z materiału dowodowego wynika, iż M. B. była obecna w trakcie rozmowy M. K. ze skarżącym, podczas której padło pytanie o zaświadczenie o stopniu niepełnosprawności skarżącego. Organ uznał jednak, że brak jest dowodów, że informacja ta dotarła do M. B. O tym, że nie pozyskała ona informacji o stanie zdrowia skarżącego świadczy m. in. rozmowa przeprowadzona ze świadkiem rozmowy przez M. K. GIODO przyznał, że w niniejszej sprawie wskutek niezastosowania przez pracownika Politechniki [...] odpowiednich środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych doszło do niekontrolowanego przetwarzania danych osobowych skarżącego i zaistniała sytuacja, w której osoba nieupoważniona do przetwarzania jego danych wrażliwych miała możliwość zapoznania się z nimi.

Jednakże brak jest podstaw do zastosowania art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (obecnie tekst jedn. Dz. U. z 2014 r., poz. 1182). Organ uznał, że nakaz taki byłby niemożliwy do wykonania ze względu na nieodwracalny charakter kwestionowanego zachowania.

GIODO wskazał, że badanie okoliczności związanych z organizacją Biura ds. Osób Niepełnosprawnych Politechniki [...], a także dotyczących powodów nieistnienia tej komórki w okresie studiów skarżącego, pozostaje poza właściwością organu.

Uzasadniając umorzenie postępowania w sprawie przetwarzania przez Politechnikę [...] adresu e-mail [...] po ukończeniu przez skarżącego studiów organ stwierdził, że z materiału dowodowego wynika, że Politechnika nie przetwarzała tego adresu. Natomiast odnosząc się do zarzutu skarżącego, dotyczącego przetwarzania w związku z tą sprawą przez Politechnikę jego drugiego prywatnego adresu e-mail, organ zauważył, że zarzut taki został podniesiony dopiero we wniosku o ponowne rozpatrzenie sprawy. Wobec powyższego brak było podstaw do oceny jego zasadności.

GIODO podał ponadto, że nie formułuje na żądanie stron postępowania wniosków o wszczęcie postępowania dyscyplinarnego ani karnego oraz zawiadomień o podejrzeniu popełnienia przestępstwa. Wymienione działania są bowiem przedmiotem autonomicznych decyzji organu.

Od opisanej decyzji J. J. złożył skargę wnosząc o jej uchylenie, a także o uchylenie poprzedzającej ją decyzji z dnia 11 maja 2012 r.

W odpowiedzi na skargę GIODO wniósł o jej oddalenie.

Wspomnianym na wstępie wyrokiem Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę J. J. Sąd I instancji uznał za słuszne stanowisko organu, że w niniejszej sprawie wskutek niezastosowania odpowiednich środków technicznych i organizacyjnych, zapewniających ochronę przetwarzanych danych, doszło do niekontrolowanego przetwarzania wrażliwych danych osobowych skarżącego i zaistniała sytuacja, w której osoba nieupoważniona do ich przetwarzania miała możliwość zapoznania się z nimi. Tym samym został naruszony art. 26 ust. 1 pkt 1 i art. 36 ust. 1 ustawy o ochronie danych osobowych. Mimo to, zdaniem Sądu M. B. nie była zainteresowana rozmową skarżącego z kierownikiem Dziekanatu i dlatego danych wrażliwych skarżącego faktycznie nie pozyskała. WSA w Warszawie uznał, że właściwe było ograniczenie się organu jedynie do wytknięcia tej nieprawidłowości i zaniechanie stosowania środków przewidzianych w art. 18 ustawy.

Takie działanie organu jest tym bardziej uzasadnione, iż Politechnika [...] powołała komórki organizacyjne, które zajmują się sprawami studentów niepełnosprawnych. Sytuacja skarżącego była incydentalna i nie doprowadziła do faktycznego wycieku jego danych wrażliwych, a nadto obecnie wobec powyższych zmian organizacyjnych nie ma możliwości załatwiania spraw studentów niepełnosprawnych w taki sposób, jak to miało miejsce w dniu 8 maja 2008 r. w stosunku do J. J. Działania organu były, w ocenie WSA w Warszawie, proporcjonalne do skali i rozmiaru naruszenia ustawy o ochronie danych osobowych.

Odnosząc się do zarzutów związanych z ustaleniami faktycznymi Sąd I instancji stwierdził, że nie są one uzasadnione i stanowią jedynie zespół subiektywnych odczuć i przekonań skarżącego. W uzasadnieniu zaskarżonej decyzji organ bardzo szczegółowo odniósł się do wszystkich zarzutów zawartych we wniosku o ponowne rozpatrzenie sprawy i wykazał ich niezasadność. Brak jest dowodów na potwierdzenie zarzutu dalszego (po zakończeniu studiów) przetwarzania danych osobowych skarżącego, w szczególności jego adresu elektronicznego przez Politechnikę [...], poza danymi związanymi bezpośrednio z korespondencją w niniejszej sprawie.

Zdaniem Sądu I instancji nie mogą stanowić przedmiotu rozpoznania przez organ w trybie wniosku o ponowne rozpatrzenie sprawy nowe zarzuty dotyczące przetwarzania danych osobowych skarżącego, podniesione po wydaniu decyzji z dnia 8 maja 2012 r. Trafne jest stanowisko organu, iż takie zarzuty powinny być zgłoszone we wniosku inicjującym postępowanie, bądź najpóźniej w czasie rozpatrywania sprawy na etapie gromadzenia materiału przed wydaniem decyzji pierwszoinstancyjnej, a nie we wniosku o ponowne rozpatrzenie sprawy.

WSA w Warszawie wskazał ponadto, że zarzuty dotyczące przewlekłości postępowania nie mogły stanowić przedmiotu zaskarżenia w tej sprawie. Skoro skarżący twierdzi, iż organ w sposób przewlekły prowadził jego sprawę, mógł złożyć skargę na bezczynność organu przy rozpatrywaniu jego wniosku, czego nie uczynił.

Od opisanego wyroku J. J. złożył skargę kasacyjną wnosząc uchylenie zaskarżonego orzeczenia w całości i przekazanie sprawy do ponownego rozpoznania Sądowi I instancji oraz o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych.

Zaskarżonemu wyrokowi zarzucono naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy tj:

1. 1. art. 141 § 4 w związku z art. 3 § 1 i 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2012 r., poz. 270 ze zm., dalej także jako: p.p.s.a.), art. 1 § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.) oraz art. 151 p.p.s.a, skutkujące:
2. - rozstrzygnięciem sprawy przez Sąd I instancji bez wszechstronnego rozważenia całokształtu materiału dowodowego oraz przyjęciem przez Sąd I instancji stanu faktycznego ustalonego przez organy administracyjne niezgodnie z obowiązującą procedurą administracyjną, a więc niedokonaniem przez Sąd I instancji prawidłowej kontroli decyzji organu administracyjnego, a przez to zaakceptowaniem naruszenia przez ten organ przepisów art. 7, 8, 77 § 1, 78 § 1, 80, i 84 § 1 k.p.a. w stopniu mogącym mieć istotny wpływ na wynik sprawy, tj.
3. - przyjęciem, że wrażliwe dane osobowe dotyczące skarżącego nie zostały pozyskane przez osobę nieuprawnioną tj. Panią M. B., bez przeprowadzenia dowodu z przesłuchania jej w charakterze świadka;
4. - nieustaleniem, jakie adresy e-mail skarżącego były przetwarzane przez Politechnikę [...], w jakich datach oraz w jaki sposób, co doprowadziło do umorzenia postępowania w tym zakresie, bez wyjaśnienia istoty sprawy oraz oparcie się w tym zakresie wyłącznie na oświadczeniu Politechniki, iż nie przetwarza żadnych danych osobowych skarżącego;
5. - przyjęciem, iż w chwili obecnej dziekanaty Politechniki [...] zapewniają swoim studentom należytą dyskrecję, a ich obsługa stosuje zasadę poufności między innymi w trakcie załatwiania spraw socjalnych, na które to okoliczności organ nie przeprowadził żadnego postępowania dowodowego;
6. - ustalenie, iż sytuacja skarżącego miała charakter incydentalny, chociaż nie było prowadzone w tej sprawie żadne postępowanie wyjaśniające, w szczególności, że nieprawidłowe działanie dziekanatów Politechniki [...] jest powszechnie i wśród studentów znane;
7. - pominięcie przez organ zasadniczej części skargi dotyczącej wadliwości w działaniu dziekanatów Politechniki [...], która polega na takiej organizacji ich pracy, iż studenci zmuszeni są do ujawniania często wrażliwych danych osobowych w obecności innych studentów; co w konsekwencji doprowadziło do odrzucenia skargi, pomimo iż podlegała uwzględnieniu (wyrok NSA z 9 marca 2006 r., I OSK 569105, LEX nr 198165; z 24 lutego 2006 r., II OSK 555/05, LEX nr 194340).
8. 2. art. 3 § 1 i § 2 p.p.s.a, art. 1 § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych poprzez wadliwe wykonanie swego ustrojowego obowiązku kontroli zaskarżonej decyzji pod względem zgodności z prawem oraz art. 151 p.p.s.a. poprzez oddalenie skargi pomimo stwierdzenia naruszenia art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych w związku z czym organ powinien dopełnić swoich ustawowych obowiązków wynikających z Konstytucji RP oraz z art. 1 ust. 1, art. 12 ust. 6, art. 17 ust. 1, 2, art. 18 i art. 23 ust. 1 ustawy o ochronie danych osobowych.
9. 3. art. 106 § 3 i § 5 p.p.s.a. w zw. z art. 233 Kodeksu postępowania cywilnego polegające na zastosowaniu przez Sąd oczywiście błędnych kryteriów oceny dowodów oraz przekroczenia granicy swobodnej oceny dowodów przejawiające się w naruszeniu obowiązku wyprowadzenia z materiału dowodowego wniosków logicznych i spójnych (wyrok NSA z 8 marca 2005 r., OSK 1448/04, LEX nr 277375; z 7 lipca 2005 r., FSK 1967/04, LEX nr 189852).
10. 4. art. 133 § 1 p.p.s.a. poprzez ustalenie:
11. - iż "Pani M. B. nie była zainteresowana rozmową skarżącego z kierowniczką Dziekanatu i dlatego danych wrażliwych skarżącego faktycznie nie pozyskała", co nie ma odzwierciedlenia w aktach sprawy oraz stoi w sprzeczności z logicznym rozumowaniem;
12. - iż Pani M. K. "wyraziła żal z powodu zaistniałej sytuacji", gdy ze zgromadzonego materiału dowodowego wynika, iż Pani K. wyraziła żal, że skarżący źle odebrał jej postępowanie, a nie, że taka sytuacja miała miejsce.;
13. - iż skarżący dopiero w postępowaniu odwoławczym przed organem administracji podniósł zarzut przetwarzania przez Politechnikę [...] jego drugiego prywatnego adresu e-mail, gdy z akt sprawy wynika, iż zarzut ten został przez skarżącego podniesiony w piśmie z dnia 9 listopada 2011 r. zatytułowanym "uzupełnienie do skargi na nieprawidłowości w procesie przetwarzania danych osobowych", które zostało doręczone organowi przed wydaniem w dniu 11 maja 2012 r. pierwszej decyzji w sprawie;
14. - iż przyczyną wysłania wiadomości e-mail na adres poczty elektronicznej skarżącego dniu 1 grudnia 2009 r. było automatyczne wysłanie potwierdzenia korespondencji w związku z przenoszeniem danych z jednego komputera na inny, co zgodnie z ponoszonymi przez skarżącego argumentami, jest technicznie niemożliwe.
15. 5. art. 141 § 4 p.p.s.a. poprzez brak odniesienia się przez WSA w uzasadnieniu zaskarżonego wyroku do stanowiska skarżącego wyrażonego w pismach procesowych w tym do zarzutów przedstawionych w skardze dotyczących celowego działania Pani M. K. nakierowanego na szykanę skarżącego, tak w chwili udostępniania wrażliwych danych osobowych jak i po tym fakcie, w celu zastraszenia skarżącego i odwiedzenia go od wnoszenia skargi do Generalnego Inspektora Danych Osobowych oraz nie przedstawienia ich oceny.

Ponadto zaskarżonemu orzeczeniu zarzucono naruszenie przepisów prawa materialnego tj.: art. 12 ust. 6 i art. 18 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych poprzez ich niezastosowanie, przyjmując za organem, iż brak jest do tego podstaw z uwagi na charakter kwestionowanego zachowania, tj. jego nieodwracalność w sytuacji, gdy obowiązkiem organu administracji jest dbanie o to, żeby podobne naruszenia nie miały miejsca w przyszłości. Brzmienie art. 12 ust. 6 "Do zadań Generalnego Inspektora w szczególności należy: (...) inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych" i art. 18 ust. 1 pkt 3 "zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe" świadczy o tym, iż Generalny Inspektor Ochrony Danych Osobowych" powinien przeanalizować każdą sytuację naruszenia danych osobowych i tak dobrać środki zabezpieczające te dane, aby w pełni zrealizować cele ustawy i zagwarantować jej przestrzeganie. W niniejszej sprawie organ oparł się jedynie na zapewnieniach Politechniki [...], co później powtórzył Sąd I instancji.

W uzasadnieniu skargi kasacyjnej jej autor powtórzył argumenty przedstawione w obszernie sformułowanych zarzutach kasacyjnych. Dodał, że nie jest uprawnione stanowisko Sądu I instancji, iż M. B. mogła nie usłyszeć słów M. K. znajdując się w pomieszczeniu dziekanatu z uwagi chociażby na jego wielkość. Ponadto zdaniem wnoszącego skargę kasacyjną, jej zainteresowanie odebranym komunikatem nie ma wpływu na fakt pozyskania informacji. W ocenie skarżącego kasacyjnie GIODO nie skorzystał ze swoich uprawnień ustawowych i pomimo stwierdzenia naruszenia przepisów ustawy o ochronie danych osobowych przez Politechnikę [...] nie przeprowadził w tym zakresie żadnego postępowania dowodowego. W szczególności, nie wezwał celem przesłuchania w charakterze świadka M. B., opierając się w zakresie okoliczności jej dotyczących, na informacjach uzyskanych od Rektora Politechniki [...]. Nie skorzystał także ze swoich uprawnień inspektorskich, dotyczących prawidłowości przetwarzania danych osobowych przez Politechnikę [...], którymi organ może posługiwać się przy realizacji swoich uprawnień wynikających z treści art. 14 ustawy o ochronie danych osobowych.

Ponadto strona skarżąca podkreśliła, że zarówno organ, jak i uczestnik - Politechnika [...] nie wykazały żadnej wrażliwości i zrozumienia dla poczucia krzywdy skarżącego, która została wyraźnie zasygnalizowana w jego pismach. Nie bez przyczyny ustawodawca poddał szczególnym zasadom warunki przetwarzania wrażliwych danych osobowych, w tym informacji o zdrowiu. Przedmiotem ochrony na gruncie ustawy jest w istocie pewien emocjonalny (osobisty) stosunek występujący między osobą fizyczną a dotyczącymi jej danymi. W przypadku skarżącego te emocje związane z ujawnieniem jego stanu zdrowia były bardzo silne.

W odpowiedzi na skargę kasacyjną Generalny Inspektor Ochrony Danych Osobowych wniósł o oddalenie skargi kasacyjnej. Jednocześnie powtórzył argumentację zaprezentowaną w zaskarżonej decyzji oraz decyzji ją poprzedzającej. Odnosząc się do zarzutów skargi kasacyjnej podkreślił, że postępowanie dowodowe było ukierunkowane na ustalenie czy doszło do naruszenia przepisów w sytuacji wskazanej w skardze, a nie na ocenę zabezpieczenia danych osobowych skarżącego w przeszłości. Organ podał ponadto, że czynności kontrolne mogą zostać podjęte z urzędu, po otrzymaniu informacji o niezgodnych z prawem działaniach podmiotów przetwarzających dane osobowe oraz dokonaniu wstępnej oceny zasadności stawianych im zarzutów, ale decyzję o przeprowadzeniu tych czynności GIODO podejmuje samodzielnie w oparciu o uzasadnione podejrzenie uporczywego naruszania przepisów ustawy.

Z prawa złożenia odpowiedzi na skargę kasacyjną skorzystała również Politechnika [...]. Uczestnik postępowania wniósł o oddalenie skargi kasacyjnej w całości. Podzielił on stanowisko Sądu I instancji, który przyjął, że działania podjęte przez organ w przedmiotowej sprawie były proporcjonalne do skali stwierdzonych naruszeń.

Naczelny Sąd Administracyjny zważył, co następuje.

Skarga kasacyjna nie zasługuje na uwzględnienie.

Na wstępie należy wskazać, że postępowanie kasacyjne oparte jest na zasadzie związania Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej i podstawami zaskarżenia wskazanymi w tej skardze. Sąd ten, w odróżnieniu od Sądu I instancji, nie bada całokształtu sprawy z punktu widzenia stanu prawnego, który legł u 0podstaw zaskarżonego orzeczenia. Bada natomiast zasadność przedstawionych w skardze kasacyjnej zarzutów. Zakres kontroli jest zatem określony i ograniczony wskazanymi w skardze kasacyjnej przyczynami wadliwości prawnej zaskarżonego wyroku wojewódzkiego sądu administracyjnego. Jedynie w przypadku, gdyby zachodziły przesłanki, powodujące nieważność postępowania sądowoadministracyjnego określone w art. 183 § 2 p.p.s.a., NSA mógłby podjąć działania z urzędu, niezależnie od zarzutów wskazanych w skardze. Takie przesłanki w niniejszej sprawie nie występują.

Autor skargi kasacyjnej zarzucił zaskarżonemu orzeczeniu naruszenie zarówno przepisów prawa materialnego, jak też przepisów postępowania. W takiej sytuacji, co do zasady, jako pierwsze podlegają rozpatrzeniu zarzuty naruszenia przepisów postępowania, gdyż weryfikacja prawidłowości wykładni przepisów prawa materialnego i prawidłowego zastosowania tych przepisów, przez Sąd I instancji, jest możliwa jedynie w przypadku stwierdzenia braku uchybień natury procesowej, mogących mieć istotny wpływ na treść rozstrzygnięcia.

Przed przystąpieniem do szczegółowego omówienia zarzutów kasacyjnych w pierwszej kolejności przypomnieć należy, że niniejsze postępowanie zostało wszczęte na skutek skargi J. J. na niezgodne z prawem przetwarzanie jego wrażliwych danych osobowych (dotyczących stanu zdrowia) przez pracownika Politechniki [...]. Naczelny Sąd Administracyjny podkreśla, że zarówno Generalny Inspektor Ochrony Danych Osobowych, jak też Sąd I instancji przyznały, że w rozpoznawanej sprawie doszło do naruszenia przez Politechnikę [...] przepisów ustawy o ochronie danych osobowych tj. art. 26 ust. 1 pkt 1 i art. 36 ust.

1. Tym samym podzielono zarzuty skarżącego o niewłaściwym przetwarzaniu jego wrażliwych danych osobowych przez osobę kierującą Dziekanatem [...] Politechniki, która umożliwiała zapoznanie się z danymi o niepełnosprawności skarżącego osobie trzeciej (M. B.). Taka sytuacja związana była z niezastosowaniem odpowiednich środków organizacyjnych zapewniających ochronę tychże danych. Niemniej jednak, zdaniem Naczelnego Sądu Administracyjnego, Sąd I instancji prawidłowo ocenił postępowanie organu, jako adekwatne i proporcjonalne do stwierdzonych uchybień. GIODO nie zlekceważył skargi J. J. i podjął działania w ramach swoich kompetencji. Natomiast zadaniem sądu administracyjnego była ocena działań organu pod kątem celowości ewentualnego zastosowania sankcji administracyjnych.

Przechodząc do analizy obszernych zarzutów naruszenia przepisów postępowania należy stwierdzić, że koncentrują się one w istocie na nieuwzględnieniu przez Sąd I instancji całokształtu materiału dowodowego, a także na niezwróceniu uwagi przez Sąd I instancji na mankamenty postępowania dowodowego przeprowadzonego przez GIODO.

W ocenie Naczelnego Sądu Administracyjnego zarzuty te nie znajdują usprawiedliwionych podstaw.

Postępowanie dowodowe prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych na skutek skargi J. J., z uwagi na swoją specyfikę, opierało się przede wszystkim na oświadczeniach stron. J. J. zarzucił Politechnice [...] nieuprawnione udostępnienie informacji o jego niepełnosprawności na rzecz M. B. W związku z tym organ pismem z dnia 13 stycznia 2012 r. zwrócił się do Rektora Politechniki [...] o zajęcie stanowiska w tym przedmiocie. W piśmie z dnia 20 stycznia 2012 r. Rektor odniósł się do przedstawionych zarzutów. Do tego pisma dołączona została ponadto notatka służbowa Pani M. K., z której wynika, że opisane w skardze do GIODO zdarzenie polegające na ujawnieniu informacji o niepełnosprawności skarżącego w obecności osoby trzeciej rzeczywiście miało miejsce. Z pisma Rektora wynika również, że zostały podjęte działania mające na celu poprawę obsługi studentów niepełnosprawnych, poprzez wyznaczenie specjalnego pomieszczenia zapewniającego dyskrecję oraz osoby pomagającej w załatwianiu spraw przez studentów niepełnosprawnych. Ponadto z korespondencji Rektora wynika, że przeprowadził on stosowne rozmowy z pracownikami kierowanej przez niego uczelni wyższej.

Z powyższego wynika, że oświadczenie Rektora pokrywało się co do faktów z zarzutami skarżącego i nie budziło wątpliwości. Stąd też nie było potrzeby prowadzenia postępowania dowodowego w szerszym zakresie. Postępowanie dowodowe służy wyjaśnieniu okoliczności faktycznych sprawy. W tym przypadku wystarczające do ustalenia stanu faktycznego było odebranie oświadczenia od Rektora Politechniki [...].

Nie miało zatem znaczenia dla ustalenia istotnych dla rozstrzygnięcia sprawy faktów przesłuchanie w charakterze świadka M. B. Okoliczność, że była ona obecna w dziekanacie podczas rozmowy skarżącego z kierownikiem Dziekanatu i mogła usłyszeć informacje dotyczące niepełnosprawności skarżącego, została przyznana przez Rektora.

Wnoszący skargę kasacyjną zarzucił również, że organ nie przeprowadził stosownych ustaleń na okoliczność rzeczywistego sposobu obsługi niepełnosprawnych studentów na Politechnice [...] oraz bezpodstawnie przyjął, że opisane zdarzenie miało charakter incydentalny. Naczelny Sąd Administracyjny podkreśla jeszcze raz, że przedmiotem postępowania w niniejszej sprawie jest skarga J. J. na nieuprawnione przetworzenie jego danych osobowych w kontekście określonej sytuacji faktycznej, a nie generalnych rozwiązań organizacyjnych Politechniki dotyczących ochrony danych osobowych niepełnosprawnych studentów. Stąd też ustalenia w tym zakresie nie były niezbędne dla rozstrzygnięcia tej konkretnej sprawy administracyjnej, a służyły jedynie jako dodatkowy argument.

Wbrew twierdzeniom skarżącego jego adres e-mail [...] nie był przetwarzany przez Politechnikę w sposób niezgodny w prawem. Prawidłowe są ustalenia organu, że pismo w formie e-mail wysłane z adresu [...] w dniu 1 grudnia 2009 r. do skarżącego stanowi wyłącznie potwierdzenie odczytania jego wiadomości. Okoliczność ta nie stanowi nielegalnego przetwarzania adresu e-mail.

Biorąc pod uwagę powyższe zarzut naruszenia przez Sąd I instancji art. 141 § 4 p.p.s.a w powiązaniu z przepisami Kodeksu postępowania administracyjnego określającymi zasady prowadzenia postępowania dowodowego w postępowaniu administracyjnym (art. 7, art. 77 § 1, 78 § 1, art. 80 i art. 84 § 1) nie jest uzasadniony. Wskazać należy, że naruszenie art. 141 § 4 p.p.s.a. może stanowić skuteczny zarzut kasacyjny wówczas, gdy uzasadnienie wyroku jest sporządzone w taki sposób, że niemożliwa jest kontrola instancyjna zaskarżonego wyroku. W takim bowiem przypadku wadliwość uzasadnienia wyroku może być uznana za naruszenie przepisów postępowania mogące mieć istotny wpływ na wynik sprawy.

W ocenie Naczelnego Sądu Administracyjnego uzasadnienie zaskarżonego wyroku zawiera wszystkie elementy konstrukcyjne przewidziane w art. 141 § 4 p.p.s.a. W uzasadnieniu Sąd I instancji przedstawił bowiem opis tego, co działo się w sprawie w postępowaniu administracyjnym oraz przedstawił stan faktyczny przyjęty za podstawę wyroku, wskazując z jakich przyczyn i na podstawie jakich przepisów zarzuty skargi nie zasługują na uwzględnienie, co umożliwia przeprowadzenie kontroli instancyjnej ustaleń Sądu w kwestionowanym zakresie. Odnoszenie się do subiektywnych odczuć skarżącego, co do intencji jakimi kierowała się Pani M. K. ujawniając dane o niepełnosprawności skarżącego, nie miało natomiast znaczenia dla rozstrzygnięcia rozpoznawanej sprawy.

Nie jest także uzasadniony zarzut naruszenia art. 133 § 1 p.p.s.a. zgodnie z którym sąd wydaje wyrok po zamknięciu rozprawy na podstawie akt sprawy. Naruszenie przez Sąd I instancji obowiązku określonego w tym przepisie następuje przede wszystkim w sytuacji pominięcia istotnej części materiału zgromadzonego w aktach sprawy, gdy kontrola legalności zaskarżonej decyzji doprowadzi do przedstawienia przez sąd administracyjny stanu sprawy w sposób oderwany od ustaleń dokonanych w zaskarżonym akcie administracyjnym. W niniejszej sprawie Sąd I instancji oparł swoje rozstrzygnięcie na materiale dowodowym zgromadzonym w aktach sprawy. Wynika z niego, że Pani M. K. przyznała, że doszło do ujawnienia danych osobowych skarżącego w dziekanacie w obecności M. B. Natomiast okoliczność, czy informacja o niepełnosprawności skarżącego dotarła do świadomości świadka, nie miała znaczenia z uwagi na nieodwracalny charakter zdarzenia.

Nie jest również prawdziwe twierdzenie skarżącego, że nie było podstaw do uznania, że skarżący dopiero w postępowaniu odwoławczym podniósł zarzut przetwarzania przez Politechnikę [...] jego drugiego prywatnego adresu e-mail. Z akt sprawy wynika, że we wskazanym przez skarżącego piśmie z dnia 9 listopada 2011 r. zatytułowanym "uzupełnienie do skargi na nieprawidłowości w procesie przetwarzania danych osobowych" (k. 59 akt administracyjnych), skarżący nie wskazał na przetwarzanie adresu e-mail innego niż [...]. Zarzut przetworzenia przez Politechnikę adresu [...] pojawił się dopiero we wniosku o ponowne rozpatrzenie sprawy. W związku z tym ustalenia Sądu I instancji w tym zakresie należy uznać za prawidłowe.

Na uwzględnienie nie zasługuje także zarzut naruszenia art. 106 § 3 i § 5 p.p.s.a. w związku z art. 233 § 1 k.p.c. Należy zauważyć, że w postępowaniu sądowoadministracyjnym, co do zasady nie prowadzi się postępowania dowodowego. Wyjątek od zasady został przewidziany w art. 106 § 3 p.p.s.a., zgodnie z którym sąd może z urzędu lub na wniosek stron przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. W niniejszym przypadku skarżący nie składał żadnych wniosków o dopuszczenie dodatkowego dowodu z dokumentu. Nie było także podstaw do dopuszczenia takiego dowodu przez WSA w Warszawie z urzędu.

Sąd I instancji nie ma obowiązku przeprowadzenia z urzędu postępowania zmierzającego do poszukiwania dowodów z dokumentu. W ocenie Naczelnego Sądu Administracyjnego materiał dowodowy zebrany przez organ został oceniony przez WSA w Warszawie w sposób rzetelny, czego konsekwencją było wyciągnięcie logicznych wniosków, zgodnie z dyrektywą określoną w art. 233 k.p.c.

WSA w Warszawie nie naruszył również art. 3 § 1 i § 2 p.p.s.a oraz art. 1 § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2014 r., poz. 1647). Przepisy te są w istocie przepisami ustrojowymi, określającymi zakres działania sądów administracyjnych. Sąd I instancji nie naruszył wskazanych przepisów, ponieważ skontrolował, czy organy administracji w toku rozpoznawania sprawy nie naruszyły prawa w stopniu mogącym mieć wpływ na wynik sprawy i władczo rozstrzygnął spór co do treści stosunku publicznoprawnego, a tym samym wymierzył sprawiedliwość w zakresie wyznaczonym sądom administracyjnym. Dlatego zarzut naruszenia omawianych przepisów ustrojowych nie może być uznany za uzasadniony.

W świetle prawidłowo ustalonego stanu faktycznego Naczelny Sąd Administracyjny za nieuzasadniony uznał zarzut naruszenia przepisów prawa materialnego.

Powołany w skardze kasacyjnej art. 12 pkt 6 ustawy o ochronie danych osobowych wskazuje na jedno z podstawowych zadań Generalnego Inspektora Ochrony Danych Osobowych tj. inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych. Uprawnienie to przejawia się m.in. w postaci wystąpień GIODO do parlamentu i do centralnych organów administracji państwowej z wnioskami o zmianę prawa w razie sprzeczności obowiązujących przepisów z art. 51 Konstytucji RP oraz z przepisami o ochronie danych osobowych (por. E. Kulesza, Pozycja i uprawnienia Generalnego Inspektora Ochrony Danych Osobowych w świetle ustawy o ochronie danych osobowych. Uwagi de lege lata i de lege ferenda, Prz. Sejm. 1999, nr 6, s. 20). Zadanie określone w art. 12 pkt 6 cyt. ustawy obejmuje propagowanie idei ochrony danych osobowych, np. przez organizowanie konferencji na temat ochrony danych osobowych lub publikowanie informacji z zakresu ochrony danych osobowych na stronie internetowej GIODO.

Jednakże zadania określone w art. 12 pkt 6 wymagają przede wszystkim podejmowania inicjatyw w zakresie tworzenia i wdrażania kodeksów etycznych w dziedzinie ochrony danych osobowych przez administratorów danych albo ich organizacje (por. A. Drozd, Ustawa o ochronie danych osobowych. Komentarz. Wzory pism i przepisy, Warszawa 2006, str. 94). W niniejszej sprawie przepis ten nie został naruszony, ponieważ zaskarżona decyzja została wydana na skutek skargi złożonej przez J. J., o której stanowi art. 12 pkt 2 ustawy o ochronie danych osobowych. Celem postępowania GIODO było więc ustalenie, czy doszło do naruszenia przepisów ustawy wskazanych przez skarżącego, a także ich wyeliminowanie w ramach środków prawnych przysługujących organowi.

W ocenie Naczelnego Sądu Administracyjnego Sąd I instancji nie naruszył art. 18 ust. 1 ustawy o ochronie danych osobowych, który stanowi, że w przypadku naruszenia przepisów o ochronie danych osobowych GIODO z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem. GIODO ma do wyboru, w zależności od sytuacji, katalog środków prawnych określonych w art. 18 ust. 1 pkt 1-6 ustawy. Generalny Inspektor powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatne (współmierne) do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą. Zauważyć należy, że wymienione w tym przepisie sankcje odnoszą się do naruszeń istniejących w chwili wydawania decyzji, a nie do naruszeń mających miejsce w przeszłości i już usuniętych.

Rację miał Sąd I instancji twierdząc, że w niniejszej sprawie nie było podstaw do zastosowania art. 18 ustawy o ochronie danych osobowych, gdyż opisany przypadek miał charakter incydentalny (brak jest skarg innych niepełnosprawnych studentów Politechniki [...]), a ponadto w chwili wydania zaskarżonej decyzji na Politechnice zostały wdrożone procedury mające na celu zapobieżenie podobnym sytuacjom w przyszłości. Brak było podstaw do wydania decyzji nakazującej przywrócenie stanu zgodnego z prawem również z tego powodu, że sytuacja związana z naruszeniem danych osobowych skarżącego miała charakter nieodwracalny. Stąd też ograniczenie się GIODO do wytknięcia nieprawidłowości było środkiem proporcjonalnym do stwierdzonych nieprawidłowości.

Biorąc pod uwagę powyższe Naczelny Sąd Administracyjny działając na podstawie art. 184 p.p.s.a. oddalił skargę kasacyjną.