Uzasadnienie
Zaskarżonym wyrokiem sygn. akt II SA/Wa 1026/15 z dnia 27 stycznia 2016 r., Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę Dyrektora Zakładu Karnego w P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych, dalej jako GIODO, z dnia [...] kwietnia 2015 r., nr [...] w przedmiocie przetwarzania danych osobowych. Rozstrzygnięcie zostało podjęte na tle następującego stanu faktycznego i prawnego sprawy.
Dyrektor Zakładu Karnego w piśmie z dnia 26 lipca 2013 r. wystąpił do Uniwersytetu [...] w [...] o wskazanie czy J.K. będąca pracownikiem Zakładu jest studentem uczelni, wraz z podaniem wydziału, kierunku oraz czy w okresie od [...] r. do [...] r. uczestniczyła w zajęciach lub egzaminach. Powyższe umotywowano faktem, że informacje te są istotne do przeprowadzenia niezbędnych czynności służbowych.
Na skutek powyższego do biura GIODO wpłynęła skarga J.K. dotycząca przetwarzania jej danych osobowych przez Uniwersytet [...] w [...] i Zakład Karny w P. Skarżąca zarzuciła swojemu pracodawcy - Zakładowi Karnemu w P. naruszenie przepisów o ochronie danych osobowych poprzez naruszenie legalności pozyskania i przetwarzania jej danych osobowych.
Decyzją z dnia [...] czerwca 2014 r. GIODO nakazał Zakładowi Karnemu w P. wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych J.K. poprzez usunięcie jej danych osobowych w zakresie informacji, iż w dniu [...] r. została ona skreślona z listy studentów Uniwersytetu [...] w [...] wobec niepodjęcia studiów oraz w pozostałym zakresie odmawiającą uwzględnienia wniosku.
Wskutek złożonego przez Zakład wniosku o ponowne rozpatrzenie sprawy GIODO w dniu [...] kwietnia 2015 r. wydał decyzję nr [...], którą utrzymał w mocy własną decyzję.
W motywach decyzji wskazano, że bezspornym jest, iż Uniwersytet udostępnił Zakładowi Karnemu dane J.K. o tym, że w dniu [...] r. została ona skreślona z listy studentów wobec niepodjęcia studiów. W ocenie organu nie podlega również dyskusji, że powyższe odbyło się bez podstawy prawnej oraz stanowiło działanie sprzeczne z celem przetwarzania danych osobowych skarżącej przez ten podmiot. Uniwersytet stał się administratorem danych osobowych ww. w związku z faktem, iż była ona studentką tej uczelni i tylko w tym celu mógł przetwarzać jej dane osobowe. Poprzez udostępnienie Zakładowi Karnemu informacji o skreśleniu z listy studentów doszło do dalszego przetwarzania przez ten podmiot jej danych osobowych, niezgodnego ze wskazanym celem.
GIODO wskazał, że ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r., poz. 922, zwana dalej "ustawą") zawiera zasady postępowania obowiązujące przy przetwarzaniu danych osobowych oraz określa prawa osób fizycznych, których dane są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1). Art. 7 pkt 2 ustawy wskazuje co należy rozumieć pod pojęciem przetwarzania danych. Każda ze wskazanych w tym przepisie form przetwarzania danych osobowych powinna znaleźć oparcie w jednej z przesłanek warunkujących legalność przetwarzania danych osobowych tzw. zwykłych, enumeratywnie wymienionych w art. 23 ust. 1 ustawy, i danych sensytywnych, wymienionych w art. 27 ust. 1 pkt 1 ustawy.
Organ za chybiony uznał argument, że pozyskane przez Zakład Karny dane osobowe są kategorią danych wrażliwych i ich przetwarzanie mieści się w pkt 5 art. 27 ust. 2 ustawy. Wbrew stanowisku Zakładu Karnego pozyskane dane nie są żadną ze wskazanych kategorii danych wrażliwych wymienionych w art. 27 ust. 1 ustawy.
W związku z tym, że zakres pozyskanych danych osobowych nie jest żadną z kategorii danych z art. 27 ust. 1, to nie mogą one być przedmiotem rozważań pod kątem art. 27 ust. 2 ustawy. Oba ustępy bowiem są ze sobą spójne i ich analiza jest przeprowadzana wspólnie.
W ocenie GIODO zakres danych pozyskanych przez Zakład Karny należy do kategorii danych zwykłych, które reguluje art. 23 ust. 1 ustawy, zatem art. 27 ust. 2 pkt 5 ustawy nie może być w tym przypadku uznany za legalizujący proces pozyskanych danych.
Koniecznym (ale niewystarczającym) warunkiem legalności przetwarzania danych osobowych jest uprzednia legalność ich pozyskania. Biorąc pod uwagę art. 26 ust. 1 pkt 1 ustawy, który wyraźnie przewiduje, iż administrator przetwarzający dane jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem, uwzględnić należy również definicję terminu przetwarzania danych. Pozyskanie danych w ustawowej definicji znane jako zbieranie, jest operacją wykonywaną na danych osobowych w ramach ich przetwarzania. Administrator musi zatem zapewnić zgodne z prawem ich pozyskanie.
W niniejszej sprawie Zakład Karny uzyskując od Uniwersytetu przedmiotowe dane osobowe stał się nieuprawnionym podmiotem przetwarzającym te dane. Jeżeli podmiot pozyskał dane osobowe od innego podmiotu, który je zgromadził bez poszanowania przewidzianych ustawą warunków, to wyłącza to możliwość posługiwania się takimi danymi przez nabywcę.
Ponadto Zakład Karny, wnioskując do Uniwersytetu o udostępnienie danych osobowych J.K., powinien był sprecyzować okoliczności mające uzasadniać pozyskanie danych. Samo powołanie się na art. 23 ust. 1 pkt 2 ustawy z jednoczesnym wskazaniem, iż jest to istotne do przeprowadzenia niezbędnych czynności służbowych dla organu jest niewystarczające.
W ocenie organu udostępnienie przez Uniwersytet Zakładowi Karnemu przedmiotowych informacji, nie było niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Zgodnie bowiem z art. 23 ust.1 pkt 2 ustawy przetwarzanie danych osobowych jest dopuszczalne, gdy jest niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.
Organ nie podzielił stanowiska Zakładu Karnego jakoby przetwarzanie pozyskanych danych osobowych było niezbędne z uwagi na usprawiedliwiony cel polegający na dokładnym sprawdzeniu, czy ww. jako funkcjonariusz naruszyła dyscyplinę służbową poprzez niezgodne z przeznaczeniem wykorzystywanie zwolnienia lekarskiego. Stosownie do postanowień Regulaminu Dyrektora Generalnego Służby Więziennej z dnia 18 października 2010 r., przełożony kontrolę prawidłowości wykorzystywania zwolnień lekarskich od pracy z powodu choroby lub konieczności sprawowania osobistej opieki nad chorym członkiem rodziny, przeprowadzić powinien w miarę możliwości w szczególności u funkcjonariusza.
Nie sposób zatem uznać za działanie mieszczące się w granicach tego uprawnienia kontrolnego, wystąpienia do uczelni, której kontrolowany funkcjonariusz jest studentem, z prośbą o udzielenie informacji, czy w konkretnej dacie uczestniczył on w zajęciach akademickich.
Dyrektor Zakładu Karnego wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powołaną wyżej decyzję GIODO, w której zarzucił, że została wydana z naruszeniem następujących przepisów ustawy, tj.: art. 23 ust. 5, art. 26 ust. 1 pkt 2, art. 27 ust. 2 pkt 5.
W uzasadnieniu powołanego na wstępie wyroku Wojewódzki Sąd Administracyjny w Warszawie wskazał, że przetwarzanie może być uznane za zgodne z prawem jedynie wtedy, gdy administrator danych wykaże się spełnieniem choćby jednej z materialnych przesłanek przetwarzania danych. Przesłanki te znajdują się w art. 23 ust. 1 ustawy. Zgodnie z art. 23 ust. 1 pkt 2 przetwarzanie danych jest dopuszczalne, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.
Sąd I instancji podniósł, że nawet wykazanie przez administratora danych, że legitymuje się przynajmniej jedną z przesłanek przewidzianych w art. 23 ust. 1 ustawy, nie wyłącza oceny adekwatności danych osoby w stosunku do celów, w jakich są one przetwarzane. Podkreślił, że zasada adekwatności ma charakter bezwzględnie obowiązujący oraz, że powinna być rozumiana jako równowaga pomiędzy uprawnieniem osoby do dysponowania swoimi danymi a interesem administratora danych. Administrator danych nie może w żaden sposób stawiać swego interesu ponad dobro osoby, której dane przetwarza.
W ślad za organem Sąd I instancji stwierdził, że udostępnienie danych osobowych J.K. innemu podmiotowi - Dyrektorowi Zakładu Karnego nastąpiło z naruszeniem art. 26 ust. 1 pkt 1 ustawy, bowiem administrator danych przedłożył w tym wypadku swój interes nad interesem osoby, której dane przetwarza. Dane osobowe w zakresie, w którym zostały udostępnione podmiotowi do tego nieupoważnionemu powinny zostać usunięte zgodnie z nakazem Generalnego Inspektora wydanym na podstawie art. 18 ust. 1 pkt 6 ustawy.
W ocenie Wojewódzkiego Sądu Administracyjnego decyzja GIODO jest zgodna z prawem i wydana została w wyniku właściwie przeprowadzonego postępowania administracyjnego, w trakcie którego organ zgromadził w sprawie niezbędny materiał dowodowy, a następnie wnikliwie go rozpatrzył.
Odnosząc się do zarzutów podniesionych w skardze, związanych z naruszeniem podanych w niej przepisów, Sąd stwierdził, że są one niezasadne.
Udostępnienie stronie skarżącej przedmiotowych danych osobowych przez Uniwersytet nastąpiło bez podstawy prawnej, bowiem nie legitymowała się ona jakąkolwiek z przesłanek wymienionych w art. 23 ust. 1 ustawy. Aby przetwarzanie danych osobowych było dopuszczalne, to podmiot je udostępniający musi stosować się do postanowień art. 26 ustawy. Jeżeli tego nie czyni, to przetwarzanie danych osobowych przez podmiot, który wszedł w ich posiadanie jest niedopuszczalne.
Za chybiony Sąd I instancji uznał zarzut naruszenia art. 27 ust. 2 pkt 5, gdyż przepis ten w sprawie nie miał zastosowania, bowiem odnosi się do szczególnych kategorii danych osobowych tzw. danych wrażliwych, sensytywnych, które zostały objęte zakazem przetwarzania.
Skargę kasacyjną od powołanego wyroku wywiódł Dyrektor Zakładu Karnego w P. zaskarżając ten wyrok w całości.
W skardze zarzucono naruszenie:
- 1) art. 23 ust. 1 pkt 5 ustawy, poprzez niewłaściwą wykładnię, która skutkowała uznaniem, że skarżący żądając udostępnienia przez uczestnika postępowania, Uniwersytet [...] w [...], danych osobowych uczestniczki J.K. nie wykazał istnienia prawnie usprawiedliwionego celu, o którym mowa w tym przepisie,
- 2) art. 26 ust. 1 pkt 2 ustawy, poprzez niewłaściwą wykładnię, która skutkowała uznaniem, że skarżący uzyskał w sposób sprzeczny z obowiązującymi przepisami dane osobowe uczestniczki postępowania J.K., a w konsekwencji jego działanie polegające na dalszym ich przetwarzaniu było sprzeczne z obowiązującymi przepisami,
- 3) art. 27 ust. 2 pkt 5 ustawy, poprzez niewłaściwą wykładnię, która skutkowała uznaniem, że skarżący nie był uprawniony do zastosowania tego przepisu w celu przetwarzania danych osobowych tzw. zwykłych (niewrażliwych).
Skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku i rozpoznanie skargi oraz zasądzenie kosztów postępowania, w tym kosztów zastępstwa według norm przepisanych, ewentualnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania sądowi I instancji.
W uzasadnieniu skargi kasacyjnej wskazano, że według ugruntowanego w piśmiennictwie stanowiska przesłanki wymienione w art. 27 ust. 2 ustawy uchylają nie tylko zakaz przetwarzania wrażliwych danych osobowych, lecz również zakaz przetwarzania danych innych niż wrażliwe.
Pismem z dnia 9 maja 2016 r. GIODO wniósł odpowiedź na skargę kasacyjną wnosząc o jej oddalenie.
Naczelny Sąd Administracyjny zważył, co następuje
W świetle art. 174 P.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach:
- 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,
- 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.
Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, ponieważ w świetle art 183 § 1 P.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Jeżeli zatem nie wystąpiły przesłanki nieważności postępowania wymienione w art. 183 § 2 P.p.s.a., a w rozpoznawanej sprawie przesłanek tych brak, to Sąd związany jest granicami skargi kasacyjnej. Oznacza to, że Sąd nie jest uprawniony do samodzielnego dokonywania konkretyzacji zarzutów skargi kasacyjnej, a upoważniony jest do oceny zaskarżonego orzeczenia wyłącznie w granicach przedstawionych we wniesionej skardze kasacyjnej.
Skarga kasacyjna nie zawiera usprawiedliwionych podstaw.
Chybiony jest zarzut naruszenia art. 26 ust. 1 pkt 2 ustawy poprzez jego błędną wykładnię, które to naruszenie należy rozumieć jako nieprawidłowe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu. Błędna wykładnia polega na nadaniu innego znaczenia treści zastosowanego przepisu, czyli mylnym rozumieniu jego znaczenia. W uzasadnieniu podnoszącym taki zarzut należy przeprowadzić wywód prawny dotyczący naruszenia danego przepisu ze wskazaniem jak należy ten przepis wykładać i dlaczego dokonana w uzasadnieniu zaskarżonego wyroku wykładnia jest błędna.
Zatem do uznania zarzutu błędnej wykładni za skuteczny może dojść w sytuacji, gdy sąd I instancji dokonał wykładni kwestionowanego przepisu. Art. 26 ust. 1 pkt 2 ustawy stanowi, że "Administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane były zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2". W rozpoznawanej sprawie Wojewódzki Sąd Administracyjny w Warszawie nie dokonywał wykładni przepisu art. 26 ust. 1 pkt 2 ustawy.
Sąd I instancji odwoływał się ogólnie do postanowień art. 26, ponadto wskazywał na art. 26 ust. 1 pkt 3 i art. 26 ust. 1 pkt 1 ustawy, natomiast treść przepisu art. 26 ust. 1 pkt 2 ustawy nie została nawet powołana w argumentacji prawnej Sądu I instancji. Czyniło to stawiany zarzut w aspekcie jego błędnej wykładni chybionym.
Zarzut naruszenia art. 23 ust. 1 pkt 5 ustawy podnosi błąd wykładni, poprzez uznanie, że skarżący żądając udostępnienia danych J.K. nie wykazał istnienia prawnie usprawiedliwionego celu. Według powołanego art. 23 ust. 1 pkt 5 przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów, realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Zastosowanie ww. przepisu wymaga wykazania, że chodzi o realizowanie prawnie usprawiedliwionego celu, a następnie dokonanie oceny czy dla realizacji tego celu niezbędne jest przetwarzanie danych. Ocena ta sprowadza się do wyważania racji i interesów "właściciela" danych, objętego ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia.
Ważenie wymienionych interesów wymaga jednak uprzedniego ustalenia i rozważenia, czy spełniona jest ustawowa przesłanka szczegółowa uzasadniająca przetwarzanie danych bez zgody osoby, której dane dotyczą. W sytuacji gdy przesłanka ta jest spełniona należy następnie ustalić i rozważyć wszystkie okoliczności konieczne do wyważenia niezbędnej ochrony interesów osoby, której dane dotyczą oraz interesów administratora danych. Tak też rozumiane są postanowienia dyrektywy 95/46 WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. Przepis art. 7 lit. f dyrektywy dopuszcza przetwarzanie danych osobowych przez administratora, gdy jest to konieczne z punktu widzenia potrzeb wynikających z uzasadnionych interesów administratora lub osoby trzeciej, chyba że interesy te są podporządkowane interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą.
Oznacza to, że dyrektywa nakazuje ważyć interesy obu stron w konkretnym przypadku i - co do zasady - dopuszcza przetwarzanie danych, które jest konieczne do realizacji prawnie usprawiedliwionych celów administratora (por. wyrok NSA z dnia 13 lutego 2014 r., sygn. akt I OSK 1641/12, LEX nr 1497276).
Przenosząc powyższe rozważania na grunt rozpoznawanej sprawy stwierdzić należy, że dokonana przez Sąd I instancji wykładnia art. 23 ust. 1 pkt 5 ustawy nie narusza prawa. Podzielić należy bowiem pogląd, że podnoszona okoliczność prowadzenia procesu w sprawie pomiędzy J.K. a Zakładem Karnym w P. nie jest niezbędną dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych, w rozumieniu art. 23 ust. 1 pkt 5 ustawy. W przepisach regulujących działalność Zakładu Karnego w P. brak jest normy, która dawałby Zakładowi uprawnienie do pozyskania i dalszego przetwarzania danych osobowych J.K. w zakwestionowanym przez nią zakresie. Nie jest takim przepisem Regulamin Dyrektora Generalnego Służby Więziennej z dnia 18 października 2010 r., w sprawie sposobu pełnienia służby przez funkcjonariuszy Służby Więziennej. Powołany w uzasadnieniu skargi kasacyjnej § 24 ust. 1 tego Regulaminu stanowi, że funkcjonariusz obowiązany jest wykorzystywać zwolnienie lekarskie od pracy z powodu choroby lub konieczności sprawowania osobistej opieki nad chorym członkiem rodziny, zgodnie z jego celem i przeznaczeniem.
Z powyższej normy, wydanej na podstawie upoważnienia ustawowego, nie można wywieść prawa do pozyskania i przetwarzania danych. Informacja, którą uzyskał Zakład Karny od Uniwersytetu nie może być uznana za niezbędną dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych. Ustalenie, czy J.K. podjęła studia, nie uzasadniało stosowania instrumentów prawnych przewidzianych w ustawie. Zatem uzyskanie informacji o podjęciu studiów nie może być uznane za przetwarzanie danych niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych. Okoliczność zbierania danych nie przesądza o legalności ich przetwarzania. Jak już wspomniano, legalne przetwarzania danych mogłoby mieć miejsce gdyby została usunięta wadliwość samego ich zbierania.
Chybiony jest także zarzut błędnej wykładni art. 27 ust. 2 pkt 5 ustawy. Przepis ten stanowi, że przetwarzanie tzw. danych wrażliwych jest dopuszczalne, jeżeli przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem. Przede wszystkim dane te nie są danymi wrażliwymi, bowiem nie mieszczą się w katalogu wymienionym w art. 27 ust. 1 ustawy. Zatem art. 27 ust. 2 jako konsekwencja art. 27 ust. 1 ustawy nie mógł być zastosowany w sprawie. W uzasadnieniu skargi kasacyjnej zauważono, powołując się na literaturę przedmiotu (m.in. A. Drozd, Ustawa o ochronie danych osobowych. Komentarz, Warszawa, Wydanie VI, s.172) że przesłanki wymienione w art. 27 ust. 2 ustawy uchylają nie tylko zakaz przetwarzania wrażliwych danych osobowych, lecz również zakaz przetwarzania danych innych niż wrażliwe. A zatem, wskazano że art. 27 stanowi lex specialis względem art. 23 ustawy.
Odnosząc się do tego argumentu zauważyć należy, że dane dotyczące podjęcia studiów przez J.K. zostały uzyskane w sposób niezgodny z prawem. Tym samym przepis art. 27 ust 2 ustawy określający przypadki przetwarzania danych wrażliwych nie mógł mieć w sprawie zastosowania. Punktem wyjścia do rozważań nad dopuszczalnością przetwarzania danych, w tym także danych wrażliwych, jest bowiem legalność ich uzyskania.
Z tych względów i na podstawie art. 184 P.p.s.a. Naczelny Sąd Administracyjny orzekł jak w sentencji wyroku. O kosztach postepowania kasacyjnego rozstrzygnięto na podstawie art. 204 pkt 1 P.p.s.a.