Uzasadnienie
Wyrokiem z dnia 8 stycznia 2014 r. sygn. akt II SA/Wa 935/13 (dalej wyrok z 8 stycznia 2014 r.) Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę A.S. (dalej skarżąca) na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2013 r. nr [...] w przedmiocie ochrony danych osobowych.
Wyrok ów zapadł w następującym stanie faktycznym i prawnym:
Generalny Inspektor Ochrony Danych Osobowych (dalej Generalny Inspektor bądź GIODO) decyzją z [...] marca 2013 r. nr [...] (dalej decyzja z [...] marca 2013 r.) na podstawie art. 138 § 1 pkt 1 kpa, utrzymał w mocy własną decyzję z dnia [...] listopada 2012 r. [nr [...] (dalej decyzja z [...] listopada 2012 r.), odmawiającą A. S. (dalej skarżąca) uwzględnienia skargi na przetwarzanie jej danych osobowych przez P. Sp. z o.o. z siedzibą w W. (dalej P. Sp. z o.o.) oraz przez CT C. T. S.A. z siedzibą w W. (dalej CT C.).
W uzasadnieniu decyzji podano, że przedmiotem wniesionej do GIODO przez skarżącą skargi jest udostępnienie jej danych osobowych przez P. S.A. innemu podmiotowi, tj. CT C. oraz przetwarzanie przez ten ostatni podmiot jej danych osobowych, w celach marketingowych, przez przesyłanie na jej numer telefonu wiadomości tekstowych (sms).
GIODO ustalił, że faktycznie P.S.A. udostępnił CT C. T. S.A. dane osobowe skarżącej na skutek umowy z dnia 31 marca 2006 r., zawartej między stronami w przedmiocie świadczenia usług klientom P.. Aktualnie P. "S.A." [winno być "Sp. z o.o."; s. 3-4 pkt 5 decyzji z [...] marca 2013 r.] przetwarza dane osobowe skarżącej dla celów archiwalnych. Przekazanie danych osobowych skarżącej przez P. S.A. na rzecz CT C. T. S.A. odbyło się w wyniku ww. umowy i w oparciu o art. 31 [ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - Dz. U. z 2002 r. nr 101, poz. 926 ze zm., dalej uodo.
Udostępnienie tych danych służyło umożliwieniu świadczenia na jej rzecz usług abonenckich przez CT C.. Aktualnie ani P. "S.A." [winno być "Sp. z o.o."; s. 3-4 pkt 5 decyzji z [...] marca 2013 r.], ani CT C. nie przetwarza danych osobowych skarżącej w sposób inny niż dla celów archiwalnych, bowiem nie jest ona aktualnie abonentem w sieci tych spółek. Organ uznał, że wobec treści art. 18 uodo (katalogu rozstrzygnięć) i braku możliwości wydania nakazu, który odnosiłby się do zdarzeń przeszłych, skarga skarżącej nie zasługuje na uwzględnienie.
Na powyższą decyzję skarżąca złożyła skargę do WSA w Warszawie, wnosząc o uchylenie zaskarżonej decyzji oraz decyzji ją poprzedzającej, zarzucając naruszenie:
- 1. art. 18 ust. 1 uodo, przez nieuwzględnienie wniosku strony o przywrócenie stanu zgodnego z prawem, mimo stwierdzenia naruszenia przepisów o ochronie danych osobowych przy przetwarzaniu danych osobowych strony przez P. Sp. z o.o.;
- 2. art. 107 § 1 w zw. z art. 104 § 2 kpa, przez nierozstrzygnięcie zaskarżoną decyzją istoty sprawy w wyniku zaniechania precyzyjnego określenia w utrzymanej decyzją odwoławczą decyzji z 7 listopada 2012 r. wniosku strony, którego uwzględnienia organ odmówił;
- 3. art. 107 § 3 kpa przez wydanie decyzji niepoprzedzonej pozytywnymi ustaleniami faktycznymi;
- 4. art. 138 § 1 pkt 1 kpa, przez jego błędne zastosowanie i utrzymanie w mocy zaskarżonej decyzji, mimo że jest ona wadliwa.
W uzasadnieniu skargi podniosła, że art. 18 ust. 1 uodo nie przewiduje rozstrzygnięcia w przypadku naruszenia przepisów o ochronie danych osobowych o odmowie uwzględnienia skargi.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 ppsa oddalił skargę.
Sąd podał, że w sprawie bezsporne jest, że P. Sp. z o.o., jak i CT C., przetwarzały dane osobowe skarżącej i nadal je przetwarzają dla celów archiwalnych. Zdaniem Sądu bezsporne jest też, że oba podmioty weszły w posiadanie danych osobowych legalnie, bowiem skarżąca była abonentem telefonu o numerze [...]. Umowa w przedmiocie świadczenia usług telekomunikacyjnych została rozwiązana z dniem 4 lutego 2011 r.
Skarżąca nie kwestionuje ustaleń GIODO, że CT C. weszła w posiadanie danych osobowych skarżącej legalnie (art. 31 uodo), na mocy umowy, zawartej z P. "Sp. z. o.o" [winno być "S.A."] dnia 31 marca "2000" [winno być "2006"] r. oraz że żadna ze spółek aktualnie nie przetwarza danych osobowych skarżącej w celach marketingowych, przy czym obie spółki przyznają, że przetwarzają je z uwagi na cel archiwalny.
W ocenie Sądu istota sporu sprowadza się do oceny, czy w oparciu o tak ustalony stan faktyczny, GIODO uprawniony był do wydania rozstrzygnięcia o treści "odmawiam uwzględnienia wniosku", skoro art. 18 ust. 1 uodo takiego rozstrzygnięcia nie przewiduje.
Odnosząc się do podstawowego zarzutu, Sąd stwierdził, że stosownie do art. 12 ust. 2 uodo, do zadań GIODO należy wydawanie decyzji i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Zasadnie skarżąca podniosła, że katalog rozstrzygnięć zawiera art. 18 ust. 1 uodo, uszło jednak jej uwadze, że katalog ten znajduje zastosowanie po zaistnieniu hipotezy tego przepisu. Omawiany przepis stanowi, że "w przypadku naruszenia przepisów o ochronie danych osobowych GIODO z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1. usunięcie uchybień, 2. uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3. zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4. wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5. zabezpieczenie danych lub przekazanie ich innym podmiotom, 6. usunięcie danych osobowych ["].
Użyte przez ustawodawcę sformułowanie "w szczególności" oznacza, że katalog rozstrzygnięć nie jest katalogiem zamkniętym, co w praktyce oznacza, że dopuszczalne są inne rozstrzygnięcia, adekwatne do danego stanu faktycznego i prawnego. Z taką właśnie sytuacją mamy do czynienia w rozpatrywanej sprawie. Żadne z przykładowych, wymienionych w art. 18 ust. 1 uodo rozstrzygnięć, nie koresponduje ze stanem faktycznym, zaistniałym w niniejszej sprawie.
Przedmiotowa sprawa dotyczy bowiem działań operatorów, które już nie mają miejsca i nie mogą mieć, wskutek wygaśnięcia umowy abonenckiej, zatem nie można stwierdzić, że aktualnie zaistniała hipoteza z art. 18 ust. 1 uodo "w przypadku naruszenia przepisów uodo".
Sąd I instancji z ostrożności procesowej wskazał, że przetwarzanie danych osobowych skarżącej przez spółki, dla celów archiwalnych, znajduje przesłankę legalizującą w art. 23 ust. 1 pkt 2 uodo w zw. z art. 71 ust. 1 i art. 74 ust. 1 ustawy o rachunkowości [Dz. U. z 2009 r. nr 152, poz. 1223 ze zm.], określającymi zasady przechowywania dokumentacji.
Skarżąca miała i ma prawo, w oparciu o art. 32 ust. 1 uodo, weryfikować prawidłowość przetwarzania jej danych osobowych, ze skutkiem zobowiązania administratora danych do uzupełnienia, uaktualnienia, sprostowania danych, czasowego lub stałego wstrzymania przetwarzania kwestionowanych danych lub ich usunięcia ze zbioru (art. 35 ust. 1 uodo), a gdy administrator danych stwierdzonych wadliwości nie usunie, osoba zainteresowana może domagać się ochrony od GIODO (art. 35 ust. 2 uodo).
Skargę kasacyjną od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie wywiodła A. S., reprezentowana przez pełnomocnika r.pr. D.S., zaskarżając ów wyrok w całości.
Wyrokowi zarzuciła:
- I. na podstawie art. 174 pkt 2 ppsa naruszenie przepisów o postępowaniu w stopniu mającym wpływ na wynik sprawy, tj:
- 1. art. 141 § 4 ppsa przez niedokonanie ustaleń faktycznych koniecznych do wydania rozstrzygnięcia w niniejszej sprawie oraz niewyjaśnianie w uzasadnieniu zaskarżonego wyroku podstawy prawnej rozstrzygnięcia, zawartego w sentencji wyroku;
- 2. art. 151 w zw. z art. 134 § 1 ppsa w zw. z art. 107 § 1 kpa przez jego niewłaściwe zastosowanie i oddalenie skargi na decyzję organu odwoławczego mimo naruszenia przez organ administracji przepisów postępowania w sposób mający wpływ na prawidłowość poczynionych ustaleń faktycznych, które były podniesione w zarzutach skargi nierozpoznanych przez Sąd I Instancji;
- II. na podstawie art. 174 pkt 1 ppsa naruszenie prawa materialnego, tj.: art. 18 ust. 1 uodo przez jego błędną wykładnię, a właściwie jej brak, i dorozumiane przyjęcie, że użyty w tym przepisie w czasie przeszłym dokonanym zwrot "naruszenia przepisów" oznacza mające miejsce w czasie teraźniejszym, w dacie orzekania przez organ administracji, ["] naruszanie przepisów".
Wniosła o:
- 1) uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania WSA w Warszawie,
- 2) zasądzenie od GIODO na rzecz skarżącej kosztów postępowania sądowoadministracyjnego w II instancji, w tym kosztów zastępstwa procesowego, według norm przepisanych.
W odpowiedzi na skargę kasacyjną Generalnego Inspektora Ochrony Danych Osobowych wniósł o jej oddalenie.
Naczelny Sąd Administracyjny zważył, co następuje
W świetle art. 183 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (j.t. Dz.U. 2012, poz. 270 ze zm., dalej ppsa), Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej i bierze z urzędu pod rozwagę jedynie nieważność postępowania; bada przy tym wszystkie podniesione przez skarżącego zarzuty naruszenia prawa (uchwała pełnego składu Naczelnego Sądu Administracyjnego z dnia 26 października 2009 r. sygn. akt I OPS 10/09, ONSAiWSA 2010, z. 1, poz. 1).
W sprawie nie zachodzą przesłanki nieważności postępowania.
Zarzut naruszenia art. 141 § 4 ppsa okazał się nieusprawiedliwiony. Sąd I instancji trafnie aprobował stan faktyczny, niewadliwie ustalony przez Głównego Inspektora. Wojewódzki Sąd prawidłowo prowadził postępowanie z udziałem P. Sp. z o.o. (s. 3 zd. 2 uzasadnienia wyroku II SA/Wa 935/13 - po słowach "Wojewódzki Sąd Administracyjny zważył, co następuje") i w szczególności zarówno w decyzji z [...] listopada 2012 r. (pkt 1 s. 1 i 2 uzasadnienia decyzji), jak i w decyzji z [...] marca 2013 r. (pkt 1 s. 2 uzasadnienia decyzji), GIODO ustalił, że "P. S.A. (nr KRS [...]) uległa przekształceniu ze spółki akcyjnej w spółkę z ograniczoną odpowiedzialnością – w wyniku czego powstała P. Sp. z o.o., z siedzibą w W. przy ul. P. [...] (wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod nr KRS [...]) w dniu 7 maja 2012 r. P. S.A. została wykreślona z rejestru przedsiębiorców Krajowego Rejestru Sądowego z dniem 23 maja 2012 r. W konsekwencji, P. Sp. z o.o. jest następcą prawnym P. S.A.".
Wbrew stanowisku skarżącej kasacyjnie, nie doszło zatem do "wydania rozstrzygnięcia w sprawie naruszenia przepisów innego podmiotu niż objęty faktycznie wnioskiem strony". Przywołanie "umowy, zawartej z P. Sp. z o.o. w dniu 31 marca 2000 r." (s. 3 zd. ostatnie uzasadnienia zaskarżonego wyroku) jest oczywistą omyłką, podlegającą sprostowaniu (art. 156 § 1 i 2 ppsa) i nie miało istotnego wpływu na wynik sprawy. Na oczywistość omyłki wskazuje prawidłowe przywołanie w części historycznej uzasadnienia ustaleń GIODO, że "faktycznie P. S.A. udostępnił CT C. T. S.A. dane osobowe A.S. na skutek umowy z dnia 31 marca 2006 r." (s. 1 akapit 3 uzasadnienia zaskarżonego wyroku; s. 2 pkt 3 decyzji z [...] listopada 2012 r.; s. 3 pkt 3 decyzji z [...] marca 2013 r.). Na inne oczywiste omyłki, nie mające istotnego wpływu na wynik sprawy, wskazał uprzednio Naczelny Sąd Administracyjny w części historycznej uzasadnienia.
Dowody zgromadzone w postępowaniu nie prowadziły do ustalenia, że doszło do "wielokrotnego naruszenia przez Spółki CT C. T. i P. przepisów o ochronie danych osobowych" bądź do funkcjonowania w sieci tego telefonu po rozwiązaniu umowy abonenckiej ze "Spółką P." czy przetwarzania danych osobowych skarżącej w celach marketingowych, jak to błędnie postrzega skarżąca kasacyjnie. Prawidłowo akceptowany przez Sąd I instancji, ustalony przez GIODO stan faktyczny wskazuje, że użytkownik numeru [...] zapisał się dnia 19.8.2010 r. do quizu, wysławszy zgłoszenie pod numer 7363, w związku czym otrzymywał informacje związane z quizem (s. 2 pkt 3 decyzji z [...] listopada 2012 r.; s. 3 pkt 3 decyzji z [...] marca 2013 r.). Trafnie Sąd I instancji akceptował ustalenia organu o aktualnym przetwarzaniu danych skarżącej dla celów archiwalnych. Wszystkie te pozytywne ustalenia zostały przez Generalnego Inspektora dokonane przed wydaniem decyzji.
Skarżąca kasacyjnie nie precyzuje, jaki związek z kontrolowaną sprawą ma zagadnienie "czy możliwym jest ustalenie przez prowadzący postępowanie organ... okoliczności negatywnej". Uzasadnienie wyroku, mimo skromnych rozmiarów, zawierało wszystkie istotne elementy, o których mowa w art. 141 § 4 ppsa i poddawało się kontroli instancyjnej.
Nie jest usprawiedliwiony zarzut naruszenia art. 151 w zw. z art. 134 § 1 ppsa w zw. z art. 107 § 1 kpa. Sąd I instancji odniósł się do tych zagadnień, które w świetle norm prawa materialnego, były istotne dla rozstrzygnięcia sprawy. W orzecznictwie Naczelnego Sądu Administracyjnego utrwalony jest pogląd, że brak szczegółowego odniesienia się przez wojewódzki sąd administracyjny do wszystkich zarzutów zawartych w skardze, czy skoncentrowanie się tylko na kwestiach, które mają znaczenie dla rozstrzygnięcia, a pominięcie wątków, które mają charakter uboczny i na rozstrzygnięcie nie rzutują, nie stanowi uchybień, które miałyby istotny wpływ na wynik sprawy.
Sąd nie musi, aczkolwiek jest to pożądane z uwagi na potrzebę wszechstronnego informowania strony o jej sytuacji procesowej, odnosić się do wszystkich zagadnień podniesionych w skardze, jeśli nie mają one istotnego znaczenia dla końcowego wyniku kontroli zgodności z prawem zaskarżonej decyzji (wyrok NSA z: 24.6.2005 r., FSK 2633/04, Lex 173345; 11.10.2005 r., FSK 2326/04, akceptowane przez J. P. Tarno, Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, LexisNexis 2012, s. 347, uw. 3).
Za pomocą zarzutu naruszenia art. 141 § 4 ppsa nie można skutecznie zwalczać prawidłowości przyjętego przez Sąd stanu faktycznego, czy też stanowiska Sądu co do wykładni bądź zastosowania prawa materialnego (wyrok NSA z 9.1.2015 r., I OSK 230/14, Lex 1624285). Zaskarżony wyrok nie narusza wskazywanej jako norma dopełnienia art. 107 § 1 kpa ani normy wynikowej z art. 151 ppsa.
Zarzut naruszenia art. 18 ust. 1 uodo nie zasługuje na uwzględnienie. W doktrynie jednoznacznie przyjmuje się, że stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych winien istnieć w dacie wydania decyzji (prawomocny wyrok WSA w Warszawie z: 13.3.2014 r., II SA/Wa 1988/13, Lex 1467956; 12.2.2015 r., II SA/Wa 1502/14, Lex 1730236; G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 151; J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Wolters Kluwer 2015, s. 384, uw. 1). Wykładnia art. 18 ust. 1 uodo, dokonana w zaskarżonym wyroku, jest prawidłowa a argumenty podniesione w uzasadnieniu skargi kasacyjnej nie prowadzą do odmiennego rezultatu.
Sąd I instancji trafnie uznał, że do zastosowania jednego ze środków – wymienionych przykładowo w punktach 1-6 ustępu 1 art. 18 uodo – może dojść wyłącznie "w przypadku naruszenia przepisów o ochronie danych osobowych" (art. 18 ust. 1 in princ. uodo). "Przywrócenie stanu zgodnego z prawem" (verba legis) w drodze decyzji administracyjnej może nastąpić wyłącznie wówczas, gdy organ ustali, że stan jest niezgodny z prawem, co w kontrolowanej sprawie nie miało miejsca.
Na podstawie art. 184 ppsa skargę kasacyjną należało oddalić. O kosztach postępowania kasacyjnego orzeczono na podstawie art. 204 pkt 1 ppsa.