Wyrok Naczelnego Sądu Administracyjnegoz 12 listopada 2015 r., sygn. akt I OSK 1311/14

Uzasadnienie

Wyrokiem z dnia 10 stycznia 2015 r., sygn. akt II SA/Wa 1648/13 Wojewódzki Sąd Administracyjny w Warszawie w sprawie ze skargi Komendanta Głównego Policji (powoływanego dalej również jako KGP) uchylił zaskarżoną decyzję Generalnego Inspektora Ochrony Danych Osobowych (powoływanego dalej również jako GIODO) z dnia 13 czerwca 2013 r. nr [...] oraz poprzedzającą ją decyzję tego organu z dnia 24 stycznia 2013 r., nr [...] wydaną w przedmiocie ochrony danych osobowych oraz stwierdził, że zaskarżona decyzja nie podlega wykonaniu w całości. Jednocześnie Sąd I instancji zasądził od Generalnego Inspektora Ochrony Danych Osobowych na rzecz strony skarżącej - Komendanta Głównego Policji kwotę 200 złotych tytułem zwrotu kosztów postępowania.

Wyrok ten zapadł na tle następującego stanu faktycznego i prawnego sprawy. Do Biura GIODO wpłynęła skarga Pana R. Z. na niewypełnienie wobec niego przez KGP obowiązku informacyjnego określonego w art. 32 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926, obecnie tekst jedn. z 2014 r., poz. 1182 ze zm. – powoływanej dalej jako ustawa o ochronie danych osobowych) odnośnie przetwarzania jego danych osobowych w Krajowym Systemie Informacyjnym Policji, zwanym dalej także KSIP.

Skarżący podniósł, iż pismem z dnia 12 sierpnia 2012 r. zwrócił się do KGP o udzielenie informacji odnośnie przetwarzania jego danych osobowych w KSIP, na które pismem z dnia 29 sierpnia 2012 r. udzielono mu niezadowalającej odpowiedzi.

W związku z powyższym skarżący wystosował wobec organu ochrony danych osobowych wniosek o cyt.: "nakazanie przywrócenia stanu zgodnego z prawem, poprzez zobowiązanie KGP (...) do wykonania obowiązku informacyjnego, nałożonego art. 32 ustawy o ochronie danych osobowych, mianowicie udzielenie mu informacji dotyczącej przetwarzania jego danych osobowych w KSIP, wnioskowanej pismem z dnia 12 sierpnia 2012 r.

Decyzją z dnia 13 czerwca 2013 r. GIODO utrzymał w mocy własną decyzję z dnia 24 stycznia 2013 r. nakazującą KGP usunięcie uchybień w procesie przetwarzania danych osobowych R. Z., poprzez spełnienie wobec niego obowiązku informacyjnego w zakresie wskazanym w art. 33 ust. 1 ustawy o ochronie danych osobowych.

W ocenie organu, odmowa udostępnienia danej osobie informacji o fakcie przetwarzania jej danych osobowych powinna mieć charakter wyjątkowy. W niniejszej zaś sprawie, taka wyjątkowość nie występuje, ponieważ Komendant nie wskazał konkretnych powodów uzasadniających odmowę udostępnienia spornej informacji. Nadto organ podniósł, że art. 20 ust. 2a ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz. U. z 2011 r., Nr 287, poz. 1687 ze zm., aktualnie tekst. jedn. Dz. U. z 2015 r., poz. 355 ze zm. – powoływanej dalej jako ustawa o Policji) nie stanowi normy nadrzędnej nad przepisem art. 33 ustawy o ochronie danych osobowych. Uzasadniając swoje stanowisko organ powołał się również na treść obowiązującego w dniu złożenia przez skarżącego wniosku rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 5 września 2007 r. w sprawie przetwarzania przez Policję informacji o osobach (Dz. U. z 2007 r., Nr 170, poz.1203).

Od powyższej decyzji skargę wniósł Komendant Główny Policji, wnosząc o jej uchylenie. Rozstrzygnięciu zarzucił naruszenie art. 20 ust. 1, 2a i 2b ustawy o Policji oraz art. 33 ust. 1 i art. 34 ustawy o ochronie danych osobowych. W uzasadnieniu wskazał, że art. 20 ust. 2a ustawy o Policji stanowi lex specialis w stosunku do ustawy o ochronie danych osobowych, a zwłaszcza jej art. 33.

Organ podniósł też, że z uwagi na cele stawiane przed Policją, musi ona posiadać instrumenty dla skutecznego ich realizowania. Stąd, niekiedy konieczne jest ograniczenie praw jednostki dla ochrony dobra wyższego rzędu, jakim jest bezpieczeństwo wszystkich obywateli. Rozwijając ten wątek powołał się na bogate orzecznictwo Trybunału Konstytucyjnego, a także na sposób zredagowania art. 51 Konstytucji RP.

Skarżący podkreślił także, iż przetwarzanie danych osobowych, na podstawie art. 20 ust. 2a ustawy o Policji, obejmuje cały proces, od etapu gromadzenia danych do ich usuwania.

W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując argumenty zawarte w zaskarżonej decyzji. Uczestnik postępowania R. Z. również wniósł o oddalenie skargi argumentując, że nie należy do żadnej z kategorii osób wymienionych w art. 20 ust. 2a ustawy o Policji.

Wojewódzki Sąd Administracyjny w Warszawie uwzględniając skargę Komendanta Głównego Policji stwierdził, że istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy art. 20 ust. 2a ustawy o Policji stanowi lex specialis w stosunku do art. 33 ustawy o ochronie danych osobowych.

Odnosząc się do tak ujętego zagadnienia Sąd I instancji wskazał, że prawo do ochrony danych osobowych zostało zagwarantowane w Konstytucji RP, która w art. 51 ust. 1 stanowi, że nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawnienia informacji dotyczących jego osoby. Powyższą generalną zasadę Konstytucja wyjaśnia w sposób rozszerzający, wskazując w ust. 2 omawianego przepisu, że władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym. Pewnego rodzaju doprecyzowanie wspomnianego prawa znalazło wyraz w ust. 3 art. 51 Konstytucji RP, stanowiącym, że każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych a ograniczenie tego prawa może określić ustawa.

W ocenie Sądu I instancji, rozwinięcie wspomnianych zasad ogólnych nastąpiło w ustawie o ochronie danych osobowych, której zadaniem jest nie tylko stanie na straży interesów tych, których przetwarzane dane dotyczą. Naczelną zasadą powołanej ustawy nie jest zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. Wspomniana ustawa w art. 1 stwierdza, że dane osobowe mogą być przetwarzane, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych na podstawie wskazanego aktu normatywnego nie powinna pozostawać w oderwaniu od przepisów służących ochronie innych wartości.

Zgodnie z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Ustawodawca dopuścił więc możliwość odstąpienia od ochrony danych osobowych, jeżeli przemawia za tym przepis prawa. Inaczej rzecz ujmując, prawodawca zgodził się na ograniczenie dobra, jakie stanowi ochrona danych osobowych, jeżeli jest to konieczne dla realizacji dobra wyższego, m.in. dla dobra publicznego.

Zdaniem Sądu I instancji, w świetle powyższych wywodów, jako nieuprawnione jawią się twierdzenia organu, iż przepisy ustawy o ochronie danych osobowych mają charakter wyjątkowy i tylko one powinny stanowić punkt odniesienia przy ocenie poprawności przetwarzania danych osobowych. Zgodnie bowiem z treścią art. 51 Konstytucji RP oraz art. 1 ust. 2 i art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, inne akty prawne, stojąc na straży dobra publicznego, mogą zawierać odstępstwa od generalnej zasady ochrony danych osobowych. Tego rodzaju aktem prawnym jest m.in. ustawa o Policji, która w art. 20 ust. 2a przewiduje, że Policja może pobierać, uzyskiwać, gromadzić, przetwarzać i wykorzystywać w celu realizacji zadań ustawowych informacje, w tym dane osobowe, o osobach podejrzanych o popełnienie przestępstw ściganych z oskarżenia publicznego, nieletnich dopuszczających się czynów zabronionych przez ustawę jako przestępstwa ścigane z oskarżenia publicznego, osobach o nieustalonej tożsamości lub usiłujących ukryć swoją tożsamość oraz o osobach poszukiwanych, także bez ich wiedzy i zgody.

Zdaniem Sądu I instancji, analizując przytoczony przepis należy mieć na względzie cele, które ma realizować formacja zbrojna, jaką jest Policja. Do jej zadań należy bowiem m.in. ochrona życia i zdrowia ludzi, a także ich mienia, przed bezprawnymi atakami naruszającymi te dobra, jak również ochrona bezpieczeństwa i porządku publicznego, inicjowanie i organizowanie działań prewencyjnych, mających na celu zapobieganie popełnianiu przestępstw i wykroczeń oraz wykrywanie przestępstw i wykroczeń i ściganie ich sprawców. Pełna i rzetelna realizacja powyższych celów przez Policję jest zaś możliwa wyłącznie wtedy, gdy będzie ona miała prawo gromadzenia i przetwarzania danych osobowych określonych osób, bez ich zgody, a nawet wiedzy. W przeciwnym razie Policja byłaby pozbawiona jednego z instrumentów, umożliwiających jej realną dbałość o bezpieczeństwo i porządek publiczny. To zaś utrudniałoby, a niekiedy wręcz uniemożliwiałoby Państwu Polskiemu prawidłowe wywiązywanie się wobec obywateli z obowiązków opisanych m.in. w art. 38, 41, 57, 64 Konstytucji RP. Doszłoby więc w efekcie do podporządkowania wartości wyższej, jaką jest dobro ogółu obywateli, wartości niższej wagi, jaką jest prawo jednostki do ochrony jej danych osobowych.

W ocenie Sądu I instancji, uprawniona i uzasadniona jest zatem konkluzja, że art. 20 ust. 2a ustawy o Policji stanowi lex specialis w stosunku do art. 33 ustawy o ochronie danych osobowych. Skoro bowiem ustawodawca zezwolił Policji na gromadzenie i przetwarzanie danych osobowych nawet bez wiedzy osób, których dane te dotyczą, to nieracjonalnym byłoby założenie, że jednocześnie zobowiązuje Policję do informowania tych osób o okolicznościach opisanych w art. 32 ust.1 pkt 1-5a ustawy o ochronie danych osobowych. Pomiędzy wyżej opisanymi unormowaniami występuje bowiem wzajemna sprzeczność.

Sąd I instancji zwrócił również uwagę, że pogląd zbieżny z wyżej zaprezentowanym wyraził już Wojewódzki Sąd Administracyjny w Warszawie w uzasadnieniu wyroku z dnia 10 marca 2011 r., sygn. akt II SA/Wa 1885/10, stwierdzając, że: "przepis art. 20 ust. 2a ustawy o Policji stanowi lex specialis w stosunku do art. 33 ust. 1 ustawy o ochronie danych osobowych. Policja może przetwarzać dane osobowe m.in. osób podejrzanych o popełnienie przestępstw nie tylko bez ich zgody, ale, co istotne w sprawie, bez ich wiedzy. Owo ustawowe ograniczenie prawa obywatelskiego do uzyskania wiedzy na temat informacji posiadanych (...) przez Policję wynika z konieczności ograniczenia dostępu do informacji mogących chociażby pośrednio ujawnić metody operacyjne Policji, tj. źródła informacji o przestępstwach, powiązania środowisk przestępczych, itp. To z kolei usprawiedliwia przetwarzanie danych osobowych osób, o których mowa w art. 20 ust. 2a ustawy o Policji, bez ich wiedzy".

Pogląd ten uzyskał aprobatę Naczelnego Sądu Administracyjnego, rozpoznającego skargę kasacyjną od przytoczonego orzeczenia (patrz I OSK 1100/11), jak również jest w pełni akceptowany przez tutejszy Sąd.

Reasumując Sąd I instancji wskazał, że organ, wydając zaskarżone rozstrzygnięcie, działał wbrew przepisowi art. 20 ust. 2a ustawy o Policji. Z uwagi na fakt, że przepis powyższy stanowi lex specialis w stosunku do art. 33 ustawy o ochronie danych osobowych, brak było podstaw ku temu, aby zobowiązywać Komendanta Głównego Policji do wykonania obowiązku informacyjnego wobec strony postępowania w zakresie oznaczonym w art. 32 ustawy o ochronie danych osobowych. Skoro Policja może przetwarzać dane osobowe określonych osób bez ich wiedzy, to tym samym nie ma obowiązku informowania ich o fakcie takiego przetwarzania.

Skargą kasacyjną z dnia 5 marca 2014 r. Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 173 § 1 i 2 oraz art. 174 pkt 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r. poz. 270 z późn. zm. – powoływanej dalej jako p.p.s.a.) zaskarżył w całości wyrok Wojewódzkiego Sądu Administracyjnego z dnia 10 stycznia 2015 r., sygn. akt II SA/Wa 1648/13, zarzucając mu naruszenie przepisów prawa materialnego w postaci:

1. 1. art. 20 ust. 2a ustawy o Policji, poprzez błędną wykładnię, polegającą na przyjęciu, iż zasady przetwarzania danych osobowych zostały w ustawie o Policji uregulowane w sposób kompleksowy i mają one zastosowanie w kwestii oceny legalności przetwarzania danych osobowych skarżącego, przed przepisami ustawy o ochronie danych osobowych,
2. 2. art. 33 ustawy o ochronie danych osobowych poprzez błędną wykładnię polegającą na przyjęciu, że przepisy te nie mają zastosowania w kwestii spełnienia obowiązku informacyjnego odnośnie do przetwarzania danych osobowych skarżącego w Krajowym Systemie Informacyjnym Policji (KSIP).

W związku z tym na podstawie art. 185 § 1 p.p.s.a. wniesiono o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania przez Wojewódzki Sąd Administracyjny w Warszawie.

W uzasadnieniu skargi kasacyjnej podnoszono, że GIODO nie kwestionuje konieczności gromadzenia przez Policję informacji o popełnieniu przez daną osobę czynu zabronionego, ani nie podważa sensu istnienia policyjnych zbiorów danych do tego służących, do których należy KSIP. Zdaniem skarżącego kasacyjnie organu, istotnym jest jednak nadanie temu procesowi sztywnych ram, które pozwolą na realizację powyższego procesu zarówno w oparciu o przepisy ustawy o Policji, stanowiące podstawę prawną działań tej formacji, ale również z poszanowaniem przysługującego każdej osobie fizycznej prawa do zgodnego z prawem przetwarzania jej danych osobowych.

W dalszej części wywodu przywołano normy prawa krajowego i europejskiego znajdujące zastosowanie w odniesieniu do ochrony danych osobowych, tj. art. 51 Konstytucji RP, art. 25 ust. 1 w związku z art. 32 ust. 1 pkt 7 i 8, art. 1 ust. 1 i art. 32, art. 33 i 34 ustawy o ochronie danych osobowych, a także art. 12 dyrektywy 95/46/WE.

Wskazano również, że odmowa udostępnienia danej osobie informacji o przetwarzaniu jej danych osobowych powinna mieć charakter wyjątkowy. W niniejszej sprawie Komendant Główny Policji jako administrator danych, zarówno w wyjaśnieniach złożonych przed Generalnym Inspektorem, jak i w odpowiedzi na wniosek skarżącego, nie wskazał konkretnych powodów przemawiających za nieudostępnianiem skarżącemu żądanych przez niego informacji, wobec czego brak jest podstaw do pozbawienia go prawa do ich pozyskania. Akcentowano, że dane przetwarzane w KSIP nie są chronione żadną tajemnicą ustanowioną w przepisach ustawy o ochronie informacji niejawnych. Wątpliwym wydaje się również, aby odmowa wypełnienia wobec skarżącego obowiązku informacyjnego mogła choćby pośrednio ujawnić metody operacyjne Policji, źródła informacji o przestępcach, czy też o powiązaniach środowisk przestępczych. Pozbawienie skarżącego informacji, czy i jakie jego dane są przetwarzane w KSIP, uniemożliwia mu również skorzystanie z pozostałych uprawnień, w tym możliwości żądania usunięcia jego danych z tego zbioru.

Ponadto wobec braku regulacji, które wprost określałyby termin przetwarzania w KSIP pozyskanych przez Policję danych i ogólnego wskazania w treści art. 20 ust. 17 ustawy o Policji, iż przechowuje się je przez okres niezbędny do realizacji ustawowych zadań Policji, skorzystanie przez osobę, której dane przetwarzane są w tym zbiorze, z uprawnienia przyznanego jej w art. 33 ust. 1 ustawy, pozwala Policji na weryfikację tych danych pod kątem niezbędności dalszego ich przetwarzania w KSIP i ewentualne usunięcie danych zbędnych, tym bardziej, że dokonuje się jej nie rzadziej niż co 10 lat od dnia uzyskania lub pobrania informacji.

Na marginesie wskazano, że § 15 pkt 7 obowiązującego w dniu złożenia przez skarżącego wniosku o wypełnienie wobec niego obowiązku informacyjnego rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 5 września 2007 roku w sprawie przetwarzania przez Policje informacji o osobach (Dz. U. z 2007 r., Nr 170, poz. 1203) przewidywał możliwość składania wniosków w związku z realizacją praw określonych w art. 32 ust. 1 pkt 6-8 ustawy o ochronie danych osobowych. Okoliczność ta dodatkowo wskazuje, że przyjęcie, iż niedopuszczalne jest udzielenie osobie, której dane dotyczą, informacji na temat jej danych osobowych przetwarzanych w KSIP prowadziłoby do sytuacji, w której osoba ta mogłaby domagać się usunięcia jej danych z KSIP, natomiast pozbawiona byłaby możliwości dowiedzenia się, czy są one rzeczywiście w tym zbiorze przetwarzane, co jest sprzeczne z ratio legis przepisów o ochronie danych osobowych.

W konkluzji wskazano, że wbrew twierdzeniom Sądu I instancji, art. 20 ust. 2a ustawy o Policji nie stanowi lex specialis w stosunku do art. 33 ustawy o ochronie danych osobowych. Co prawda wspomniany przepis ustawy o Policji uprawnia tę formację do przetwarzania danych osobowych m. in. osób podejrzanych o popełnienie przestępstw bez ich zgody i wiedzy, ale w ocenie Generalnego Inspektora może zwalniać Komendanta Głównego Policji jedynie z obowiązku wypełnienia wobec osób, których dane dotyczą, obowiązku informacyjnego w momencie pozyskania ich danych, co wynika wprost z brzmienia ust. 2 pkt 1 tej normy prawnej, stanowiącego, że ust. 1 nie stosuje się, jeżeli przepis innej ustawy przewiduje lub dopuszcza zbieranie danych osobowych bez wiedzy osoby, której dane dotyczą. Powyższa norma prawna dotyczy jednak obowiązku informacyjnego o odmiennym charakterze aniżeli obowiązek z art. 33 ustawy, bowiem odnosi się do samego momentu zbierania danych nie od osoby zainteresowanej, bez jej bezpośredniego udziału i ma na uwadze tę okoliczność, że w wielu przypadkach przetwarzanie danych odbywa się bez wiedzy i udziału osób, których dane te dotyczą.

W związku z powyższym zgodzić należy się, że art. 20 ust. 2a ustawy o Policji stanowi lex specialis w stosunku do art. 25 ust. 1 ustawy, ale nie sposób uznać, że sytuacja taka zachodzi również w stosunku do art. 33 ustawy.

W obszernej odpowiedzi na skargę kasacyjną z dnia 7 kwietnia 2014 r. Komendant Główny Policji wniósł o jej oddalenie wskazując, że podstawowe znaczenie w rozpatrywanej sprawie ma szczególny charakter przepisów ustawy o Policji względem ustawy o ochronie danych osobowych.

W piśmie z dnia 7 kwietnia 2014 r. (strony nr 121-123 akt sądowych) działający na podstawie substytucji pełnomocnik uczestnika postępowania R. Z. sporządził opinię o braku podstaw do wniesienia skargi kasacyjnej w niniejszej sprawie.

W piśmie z dnia 6 października 2014 r., pełnomocnik wyznaczony z urzędu w miejsce poprzedniego przez Okręgową Radę Adwokacką w Warszawie dla uczestnika postępowania R. Z. (strona nr 160 akt sądowych) przedstawił do wiadomości Naczelnego Sądu Administracyjnego opinię o braku podstaw do wniesienia skargi kasacyjnej w niniejszej sprawie.

Naczelny Sąd Administracyjny zważył, co następuje.

Skarga kasacyjna nie zasługuje na uwzględnienie.

W postępowaniu kasacyjnym obowiązuje wynikająca z art. 183 § 1 p.p.s.a. zasada związania Naczelnego Sądu Administracyjnego podstawami i granicami zaskarżenia, wskazanymi w skardze kasacyjnej. Przytoczone w tym środku prawnym przyczyny wadliwości kwestionowanego orzeczenia determinują zakres kontroli dokonywanej w ramach nadzoru judykacyjnego. Do podjęcia działań z urzędu Naczelny Sąd Administracyjny zobowiązany jest jedynie w sytuacjach określonych w art. 183 § 2 p.p.s.a., które w tej sprawie nie występują.

W skardze kasacyjnej wniesionej w rozpatrywanej sprawie podniesiono zarzuty naruszenia przepisów prawa materialnego, a więc art. 20 ust. 2a ustawy o Policji i art. 33 ustawy o ochronie danych osobowych poprzez błędną ich wykładnię polegającą na przyjęciu, że przepis art. 20 ust. 2a ustawy o Policji stanowi przepis szczególny (lex specialis) o charakterze wyłączającym w stosunku do obowiązku informacyjnego przewidzianego na gruncie art. 33 ustawy o ochronie danych osobowych odnośnie do danych osobowych uczestnika postępowania przetwarzanych w Krajowym Systemie Informacji Policji.

W uzasadnieniu skargi kasacyjnej przytoczono natomiast szereg innych przepisów, tj. art. 51 Konstytucji RP, art. 25 ust. 1 w związku z art. 32 ust. 1 pkt 7 i 8, art. 1 ust. 1 i art. 32, art. 33 i 34 ustawy o ochronie danych osobowych oraz § 15 pkt 7 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 5 września 2007 r. w sprawie przetwarzania przez Policję informacji o osobach (Dz. U. z 2007 r., Nr 170, poz. 1203), a także art. 12 dyrektywy 95/46/WE.

W związku z tym, w pierwszej kolejności należy wskazać, że w świetle art. 51 ust. 1-3 Konstytucji RP, nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby. Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym. Każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych. Ograniczenie tego prawa może określić ustawa. Stąd ustawa o ochronie danych osobowych w art. 1 ust. 1 wskazuje, że "Każdy ma prawo do ochrony dotyczących go danych osobowych".

Rozwinięcie wspomnianej normy konstytucyjnej przewidziano m. in. w art. 32 ust. 1 pkt 1-5a ustawy o ochronie danych osobowych, zgodnie z którym każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do:

1. 1. uzyskania wyczerpującej informacji, czy taki zbiór istnieje oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska,
2. 2. uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze,
3. 3. uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych,
4. 4. uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie w tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej,
5. 5. uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane, 5a. uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2.

Zgodnie zaś z treścią art. 25 ust. 1 ustawy o ochronie danych osobowych w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o:

1. 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku,
2. 2) celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych,
3. 3) źródle danych,
4. 4) prawie dostępu do treści swoich danych oraz ich poprawiania,
5. 5) o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8.

Przepisu art. 25 ust. 1 ustawy o ochronie danych osobowych nie stosuje się, jeżeli:

1. 1) przepis innej ustawy przewiduje lub dopuszcza zbieranie danych osobowych bez wiedzy osoby, której dane dotyczą,
2. 2) dane te są niezbędne do badań naukowych, dydaktycznych, historycznych, statystycznych lub badania opinii publicznej, ich przetwarzanie nie narusza praw lub wolności osoby, której dane dotyczą, a spełnienie wymagań określonych w ust. 1 wymagałoby nadmiernych nakładów lub zagrażałoby realizacji celu badania,
3. 3) dane są przetwarzane przez administratora, o którym mowa w art. 3 ust. 1 i ust. 2 pkt 1, na podstawie przepisów prawa,
4. 4) osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1.

Stosownie zaś do treści art. 33 ustawy o ochronie danych osobowych na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a. Na wniosek osoby, której dane dotyczą, tego rodzaju informacji udziela się na piśmie.

Wspomniana w ramach powołanej regulacji prawnej generalna zasada dotycząca ustanowienia w polskim porządku prawnym tzw. obowiązku informacyjnego nie ma jednak charakteru bezwzględnego i może podlegać pewnym ograniczeniom z uwagi na ochronę innych przewidzianych prawem i istotnych z punktu widzenia funkcjonowania demokratycznego państwa wartości.

W świetle art. 34 ustawy o ochronie danych osobowych administrator danych odmawia osobie, której dane dotyczą, udzielenia informacji, o których mowa w art. 32 ust. 1 pkt 1-5a, jeżeli spowodowałoby to:

1. 1. ujawnienie wiadomości zawierających informacje niejawne,
2. 2. zagrożenie dla obronności lub bezpieczeństwa państwa, życia i zdrowia ludzi lub bezpieczeństwa i porządku publicznego,
3. 3. zagrożenie dla podstawowego interesu gospodarczego lub finansowego państwa,
4. 4. istotne naruszenie dóbr osobistych osób, których dane dotyczą, lub innych osób.

Tego rodzaju odstępstwo w zakresie obowiązku informacyjnego zawiera także – w ocenie Naczelnego Sądu Administracyjnego – przepis art. 20 ust. 2a ustawy o Policji, zgodnie z którym Policja może pobierać, uzyskiwać, gromadzić, przetwarzać i wykorzystywać w celu realizacji zadań ustawowych informacje, w tym dane osobowe, o następujących osobach, także bez ich wiedzy i zgody:

1. 1) osobach podejrzanych o popełnienie przestępstw ściganych z oskarżenia publicznego;
2. 2) nieletnich dopuszczających się czynów zabronionych przez ustawę jako przestępstwa ścigane z oskarżenia publicznego;
3. 3) osobach o nieustalonej tożsamości lub usiłujących ukryć swoją tożsamość;
4. 4) osobach stwarzających zagrożenie, o których mowa w ustawie z dnia 22 listopada 2013 r. o postępowaniu wobec osób z zaburzeniami psychicznymi stwarzających zagrożenie życia, zdrowia lub wolności seksualnej innych osób;
5. 5) osobach poszukiwanych;
6. 6) osobach zaginionych.

Naczelny Sąd Administracyjny stwierdza, że istniejące w rozpatrywanej sprawie zagadnienie prawne było już wcześniej rozstrzygane przez sądy administracyjne. Należy jednak zauważyć, że pomimo istnienia w tego typu sprawach określonej linii orzeczniczej każda sprawa wymaga indywidualnej oceny i wydania orzeczenia uwzględniającego wszystkie okoliczności faktyczne i prawne sprawy.

W związku z tym należy uznać, że pomimo generalnego przyjęcia, iż wspomniany przepis art. 20 ust. 2a ustawy o Policji stanowi w istocie normę szczególną w stosunku do treści art. 33 ustawy o ochronie danych osobowych, nie oznacza to jednak, że w każdej sytuacji wyłączone jest stosowanie przepisów ustawy o ochronie danych osobowych. Nie odnosi się to m.in. do zasady adekwatności i szczególnej staranności wynikającej z art. 26 ustawy o ochronie danych osobowych, a także zasady proporcjonalności przewidzianej w art. 31 ust. 3 Konstytucji RP. W tej jednak konkretnej sprawie należy przyjąć, że zachodzi tego rodzaju przypadek, w którym art. 20 ust. 2a ustawy o Policji zawiera normę kompleksowo regulującą sytuację prawą uczestnika postępowania, co w oczywisty sposób wpływa na powinności i obowiązki spierających się na gruncie rozpatrywanej sprawy organów (tj. Komendanta Głównego Policji i Generalnego Inspektora Ochrony Danych Osobowych), a nie narusza jednocześnie wspomnianych zasad generalnych.

W ocenie Naczelnego Sądu Administracyjnego, zasadnicze znaczenie z punktu widzenia rozstrzygnięcia niniejszej sprawy ma treść art. 20 ust. 2a ustawy o Policji, zgodnie z którym Policja może pobierać, uzyskiwać, gromadzić, przetwarzać i wykorzystywać w celu realizacji zadań ustawowych informacje, w tym dane osobowe, o określonych osobach, także bez ich wiedzy i zgody. Oznacza to, że dane określonych podmiotów wymienionych w dalszej części tego przepisu (w tym także podejrzanych o popełnienie przestępstw ściganych z oskarżenia publicznego) mogą podlegać gromadzeniu, przetwarzaniu i wykorzystywaniu za zgodą lub wiedzą tych podmiotów lub też bez niej. Zasadą powinno być zatem przetwarzanie danych w KSIP za wiedzą osób, o ile jednak wymagają tego zadania Policji może być to również dokonywane bez ich wiedzy.

Zdaniem NSA w tej konkretnej sprawie przepis art. 20 ust. 2a ustawy o Policji stanowił samoistną podstawę prawną, co wyłącza - w tej indywidualnie ocenianej sytuacji - istnienie po stronie Komendanta Głównego Policji obowiązku informacyjnego przewidzianego na gruncie art. 33 ustawy o ochronie danych osobowych. Nie naruszono tym samym zasady proporcjonalności i adekwatności ograniczenia prawa do ochrony danych osobowych.

Innymi słowy, Naczelny Sąd Administracyjny stwierdza, że w rozpatrywanej sprawie kontrola legalności przetwarzania danych powinna uwzględniać przede wszystkim zasady wynikające z treści art. 20 ust. 2a ustawy o Policji. Nie można bowiem tracić z pola widzenia, że informacje gromadzone przez Policję, w tym dane osobowe uczestnika postępowania, służą realizacji bardzo istotnych z punktu widzenia funkcjonowania państwa, a w szczególności bezpieczeństwa obywateli, ustawowych zadań nałożonych na tę formację. Zalicza się do nich m. in. wykrywanie i ściganie sprawców przestępstw oraz inne działania o charakterze operacyjnym. Z uwagi na szczególny charakter zbioru jakim jest KSIP, jak również z uwagi na zapewnienie bezpieczeństwa państwa i obywateli, przy ocenie legalności przetwarzania danych osobowych w KSIP nie można stosować wyłącznie ustawy o ochronie danych osobowych, nie uwzględniając szczególnych uregulowań tej materii zawartych w ustawie o Policji, które mają stanowić gwarancję dla realizacji zadań ustawowych przez Policję (por. wyrok NSA z dnia 17 lipca 2015 r., sygn. akt I OSK 182/14, opublikowany na stronie: www.orzeczenia.nsa.gov.pl).

W ocenie Naczelnego Sądu Administracyjnego potwierdzeniem wspomnianych twierdzeń są tezy zawarte w orzecznictwie Trybunału Konstytucyjnego, odnoszące się do brzmienia przepisu art. 20 ust. 17 ustawy o Policji, zgodnie z którym dane osobowe zebrane w celu wykrycia przestępstwa przechowuje się przez okres niezbędny do realizacji ustawowych zadań Policji. Organy Policji dokonują weryfikacji tych danych po zakończeniu sprawy, w ramach której dane te zostały wprowadzone do zbioru, a ponadto nie rzadziej niż co 10 lat od dnia uzyskania lub pobrania informacji, usuwając zbędne dane.

W związku z tym Trybunał zwracał uwagę, że nie przewiduje się automatycznie usuwania ze zbiorów danych zebranych o osobach podejrzanych o popełnienie przestępstw ściganych z oskarżenia publicznego, które zostały prawomocnie uniewinnione bądź wobec których postępowanie karne zostało prawomocnie bezwarunkowo umorzone niezwłocznie po uprawomocnieniu się stosownego orzeczenia. W ocenie Trybunału, prawomocne uniewinnienie konkretnej osoby lub bezwarunkowe umorzenie postępowania karnego wobec konkretnej osoby nie przesądza o tym, czy zgromadzone dane mogą zawierać informacje przydatne dla realizacji ustawowych zadań Policji wobec innych osób. Chodzi bowiem o dane, których zebranie nastąpiło w sposób legalny, za zgodą sądu. Możliwość zachowania wspomnianych informacji nie dotyczy tzw. danych wrażliwych czyli ujawniających pochodzenie rasowe, etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, dane o stanie zdrowia, nałogach, życiu seksualnym.

Gromadzenie i przechowywanie tego rodzaju danych, nie może więc szkodzić osobie prawomocnie uniewinnionej. Dane wrażliwe i tak nie mogą być zachowane, z racji unormowania zawartego w art. 20 ust. 18 ustawy o Policji. Dostrzegając zatem niebezpieczeństwo płynące zarówno z samego faktu zachowania zbioru dla celów potencjalnych postępowań, trudności kontroli prawidłowego postępowania ze zbiorami, jak również możliwości ekscesywnego ich wykorzystania, mimo wszystko należy uznać, że w demokratycznym państwie prawa, we współczesnych warunkach zagrożenia bezpieczeństwa przez przestępczość zorganizowaną i terroryzm, norma art. 20 ust. 17 ustawy o Policji (przewidująca obowiązek usuwania zbędnych danych co najmniej raz na 10 lat) mieści się w granicach swobody regulacyjnej określonej m.in. zasadą proporcjonalności (zob. wyrok Trybunału Konstytucyjnego z dnia 12 grudnia 2005 r., sygn. akt K 32/04, publ. OTK–A 2005/11/132).

Poza tym w ocenie Trybunału Konstytucyjnego, pierwszą przyczyną dla której prawa jednostki mogą być ograniczane, jest ochrona dobra wspólnego, a w szczególności - wzgląd na potrzeby bezpieczeństwa i obronności kraju. Ochrona bezpieczeństwa państwa jest zatem szczególną wartością, w zderzeniu z którą prawa jednostki, nawet prawa podstawowe, mogą być - w niezbędnym zakresie - ograniczane. Dopuszczalność ograniczeń podyktowanych takimi względami jest zaś powszechnie przyjęta w państwach demokratycznych (por. wyrok TK z 16 lutego 1999 r. w sprawie SK 11/98, OTK z 1999 r., cz. I, poz. 5).

Z powyższych względów za uprawnione należy uznać stanowisko Sądu I instancji zawarte w uzasadnieniu zaskarżonego wyroku, zgodnie z którym Generalny Inspektor Ochrony Danych Osobowych nie miał uzasadnionych podstaw ku temu, aby zobowiązać Komendanta Głównego Policji do wykonania obowiązku informacyjnego wobec uczestnika postępowania. Policja posiada bowiem na podstawie art. 20 ust 2a ustawy o Policji prawo do gromadzenia i przetwarzania danych bez wiedzy i zgody m.in. osób podejrzanych o popełnienie przestępstw ściganych z oskarżenia publicznego. Poza tym należy podkreślić, że uczestnik postępowania w swoim wniosku z dnia 12 sierpnia 2012 r. (strona nr 2 akt administracyjnych) dotyczącym wykonania przez Komendanta Głównego Policji obowiązku informacyjnego, o którym mowa w art. 32 ust. 1 pkt 1-5a ustawy o ochronie danych osobowych, wystąpił o podanie bardzo szczegółowych informacji. Żądał on w szczególności dokładnego wskazania danych dotyczących administratora danych, ich treści, a także celu, zakresu i sposobu ich przetwarzania.

Ponadto wnioskował o ujawnienie informacji dotyczących daty rozpoczęcia przetwarzania danych, źródeł ich pochodzenia, sposobu udostępniania oraz odbiorców danych. W ocenie Naczelnego Sądu Administracyjnego sposób sformułowania wniosku uczestnika postępowania oraz szczegółowość żądanych przez niego informacji niweczyłaby całkowicie - w przypadku nakazania Komendantowi Głównemu Policji udzielenia tych informacji - wspomniane cele regulacji szczegółowej wynikającej z ustawy o Policji, które są konieczne z punktu widzenia podstawowych funkcji państwa, takich jak zapewnienie jego bezpieczeństwa.

Odnosząc się z kolei, do podniesionej w uzasadnieniu skargi kasacyjnej (strona 93 verte) kwestii zastosowania - obwiązującego w dniu złożenia przez skarżącego wniosku - § 15 pkt 7 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 5 września 2007 r. w sprawie przetwarzania przez Policję informacji o osobach (Dz. U. z 2007 r., Nr 170, poz. 1203), zgodnie z którym administrator zbioru jest obowiązany zapewnić rejestrację, w formie odpowiedniej do właściwości danego zbioru, każdej operacji przetwarzania informacji w zakresie wniosków składanych w związku z realizacją praw określonych w art. 32 ust. 1 pkt 6-8 ustawy o ochronie danych osobowych, Naczelny Sąd Administracyjny wskazuje, że regulacja ta nie stoi w sprzeczności z wyłączeniem obowiązku informacyjnego na podstawie art. 20 ust. 2a ustawy o Policji.

Należy bowiem mieć na uwadze, że powołany przepis przewidywał m.in. możliwość wystąpienia o usunięcie, uzupełnienie, uaktualnienie, czy też sprostowanie danych osobowych np. w związku z uzyskaniem przez wnioskodawcę informacji, że organ dysponuje jego danymi. Tego rodzaju żądanie należy jednak odróżnić od zadawania pytań mających na celu realizację obowiązku informacyjnego, o którym mowa w art. 32 i 33 ustawy o ochronie danych osobowych, a więc uzyskiwaniu informacji dotyczących administratora danych, ich treści, celu, zakresu, sposobu przetwarzania, daty rozpoczęcia przetwarzania danych, źródeł ich pochodzenia, sposobu udostępniania oraz odbiorców danych. Tego rodzaju obowiązek informacyjny – jak już wcześniej wspomniano – zostaje w rozpatrywanej sprawie wyłączony na podstawie art. 20 ust. 2a ustawy o Policji.

Odnośnie do zawartego w uzasadnieniu skargi kasacyjnej (strona 94 akt sądowych) argumentu powołującego się na orzecznictwo dotyczące naruszenia art. 8 Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności (Dz. U. z 1993 r., Nr 61, poz. 284), zgodnie z którym bezterminowe przechowywanie przez władze szczególnie wrażliwych danych osób, wobec których zakończono postępowanie karne bez skazania, jest niedopuszczalne w demokratycznym społeczeństwie, należy wskazać, że ustawa o Policji nie przewiduje bezterminowego przetwarzania znajdujących się w systemie policyjnym (KSIP) danych. Zgodnie bowiem z treścią art. 20 ust. 17 ustawy o Policji dane osobowe zebrane w celu wykrycia przestępstwa przechowuje się przez okres niezbędny do realizacji ustawowych zadań Policji. Organy Policji dokonują weryfikacji danych po zakończeniu sprawy, w ramach której zostały one wprowadzone do zbioru, a ponadto nie rzadziej niż co 10 lat od dnia uzyskania lub pobrania informacji, usuwając zbędne dane.

Stąd też nie może być mowy o bezterminowym przetwarzaniu danych przez organy Policji w systemie KSIP, organy te są bowiem obowiązane do systematycznego przeglądania i usuwania zbędnych danych z systemu.

W tym stanie rzeczy za nieuzasadniony należy uznać zarzut naruszenia przez Sąd I instancji art. 20 ust. 2a ustawy o Policji i art. 33 ustawy o ochronie danych osobowych.

Z tych wszystkich względów, Naczelny Sąd Administracyjny na podstawie art. 184 p.p.s.a. orzekł jak w sentencji wyroku.