Uzasadnienie
Wyrokiem z 5 grudnia 2013 r., sygn. akt II SA/Wa 1135/13, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę C. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] kwietnia 2013 r., nr DOLiS/DEC-443/13/23990,23992,23994,23995,23997,23999, którą utrzymano w mocy decyzję tego organu z [...] stycznia 2013 r., nr DOLiS/DEC-15/13/961,962, 964,967,969,971, w przedmiocie ochrony danych osobowych.
Wyrok powyższy zapadł w następujących okolicznościach faktycznych i prawnych:
C. P. wniósł do Generalnego Inspektora Ochrony Danych Osobowych skargę z 27 marca 2012 r. dotyczącą przetwarzania jego danych osobowych przez [...] S.A. z siedzibą w Jeleniej Górze, dalej "[...]", [...] S.A. z siedzibą w Nowej Rudzie, dalej "[...]", [...] z siedzibą w Szczecinie, dalej "[...]", [...] z siedzibą w Wałbrzychu, dalej "[...]" oraz [...] Sp. z o.o. z siedzibą w Warszawie, dalej "[...]", doprecyzowaną pismem z 10 maja 2012 r. Zainteresowany wskazał, że w latach 2005–2006 składał "jako osoba fizyczna lub też osoba prawna" wnioski o udzielenie pożyczek w wyżej wymienionych podmiotach. [...] przekazała zaś do [...] jego imię, nazwisko, adres oraz informacje o nieudzieleniu pożyczki, podobnie analogiczne informacje o nim przekazały do [...]: [...], [...] i [...], z kolei [...] przekazała jego imię, nazwisko i adres do wszystkich wymienionych podmiotów. Zarzucił też niewłaściwe zabezpieczenie danych, polegające na przekazywaniu danych osobowych, pomimo braku zgody na ich przetwarzanie lub też "regulaminowego zakazu ujawniania danych osobom trzecim".
Pismem z 14 listopada 2012 r. C. P. wniósł o przeprowadzenie dowodu z przesłuchania osób reprezentujących uczestników postępowania oraz ich pracowników na okoliczność przekazywania jego danych osobowych.
Decyzją z [...] stycznia 2013 r., Generalny Inspektor Ochrony Danych Osobowych odmówił uwzględnienia wniosku, wskazując w uzasadnieniu: W związku z utratą, z dniem 31 grudnia 2011 r., mocy obowiązującej art. 7a ust. 2 ustawy z dnia 19 listopada 1999 r. – Prawo działalności gospodarczej, który stanowi, iż ewidencja działalności gospodarczej jest jawna i dane osobowe w niej zawarte nie podlegają przepisom ustawy o ochronie danych osobowych, legalność przetwarzania danych C. P., ówcześnie składającego wnioski o pożyczki do wymienionych w jego wniosku podmiotów, należy oceniać na podstawie ustawy o ochronie danych osobowych, organ bowiem wydaje decyzję według stanu prawnego i faktycznego, istniejącego w dacie orzekania. Z materiału dowodowego wynika, że zarzuty wzajemnego udostępniania sobie danych przez wskazane podmioty nie potwierdziły się, zaś obecnie, wg oświadczeń tych podmiotów dane przetwarzane są wyłącznie w celach archiwalnych, ew. roszczeń cywilnoprawnych i postępowań sądowych, zatem na podstawie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych.
Wniosek dowodowy o przesłuchanie świadków nie może zostać uwzględniony, bowiem oświadczenia w imieniu podmiotów wskazanych przez C. P. zostały podpisane przez osoby uprawnione do ich reprezentowania, zaś byli prezesi są obecnie osobami postronnymi. Podkreślenia wymaga, że istotnym dla rozstrzygnięcia sprawy jest fakt, iż aktualny proces przetwarzania danych odbywa się na podstawie art. 23 ust. 1 pkt 5 i nawet stwierdzenie ew. uchybień w procesie pozostaje bez wpływu na rozstrzygnięcie. Obecnie przetwarzanie ma miejsce w zakresie w jakim dane zostały pozyskane, na podstawie wniosków pożyczkowych, zatem legalnie, nie występuje więc stan niezgodny z prawem, a wobec tego nie ma podstaw do zastosowania art. 18 ust. 1 ustawy o ochronie danych, tj. nakazanie przywrócenia stanu zgodnego z prawem.
We wniosku o ponowne rozpatrzenie sprawy C. P. zarzucił organowi nierzetelne przeprowadzenie postępowania dowodowego na okoliczność nieuprawnionej wymiany jego danych osobowych pomiędzy wskazanymi podmiotami przez nieodniesienie się do mocy dowodowej przedłożonych przez niego dokumentów i przyjęcie za wiarygodne oświadczeń "osób postronnych".
Decyzją z [...] kwietnia 2013 r., Generalny Inspektor Ochrony Danych Osobowych utrzymał w mocy swoje wcześniejsze rozstrzygnięcie. Organ stwierdził, iż podtrzymuje stanowisko wyrażone w decyzji z [...] stycznia 2013 r., podkreślił, że nie ma powodów do przesłuchania świadków i wyjaśnił: Istotnym w sprawie jest fakt, że aktualny proces przetwarzania danych C. P. odbywa się na podstawie art. 23 ust. 1 pkt 5 ustawy i nawet stwierdzenie ewentualnych uchybień w tym procesie w przeszłości, pozostaje bez wpływu na rozstrzygnięcie, bowiem zgodnie z art. 18 ust. 1 ustawy o ochronie danych, wyłącznie w razie stwierdzenia naruszenia jej przepisów w dacie wydawania decyzji można sformułować ewentualne nakazy wymienione w tym przepisie w celu przywrócenia stanu zgodnego z prawem, a takiego stanu niezgodności nie stwierdzono. Skarżone podmioty przetwarzają dane zainteresowanego w zakresie w jakim je pozyskały od niego na podstawie wniosków pożyczkowych, a zatem w sposób legalny.
W skardze na powyższą decyzję C. P. wniósł o uchylenie wszystkich decyzji Generalnego Inspektora Ochrony Danych Osobowych, następnie zobowiązanie organu do wydania decyzji uwzględniającej żądania wyrażone we wniosku oraz jego uzupełnieniach, przeprowadzenie wnikliwego postępowania dowodowego na okoliczność nieuprawnionej wymiany jego danych osobowych pomiędzy podmiotami oraz usunięcie uchybień.
Rozpoznając skargę, Wojewódzki Sąd Administracyjny w Warszawie wskazał: Zarzut niezgodnego z prawem przetwarzania danych osobowych skarżącego przez podmioty wskazane we wniosku, dotyczy lat 2005–2006, kiedy składał on do tych podmiotów wnioski o pożyczkę, działając pod firmą [...] oraz jako osoba reprezentująca [...] Sp. z o.o. Z obszernego materiału dowodowego, zgromadzonego w toku postępowania, nie wynika, by miało miejsce udostępnianie danych osobowych skarżącego w zakresie imienia, nazwiska, adresu i informacji o nieudzieleniu pożyczek przez wskazane podmioty na rzecz [...] oraz przekazaniu przez ten podmiot imienia, nazwiska i adresu skarżącego pozostałym podmiotom, a zatem niezasadne były zarzuty sformułowane w tym zakresie. Dane osobowe skarżącego, pozyskane przez ww. podmioty w wyniku składanych przez niego wniosków pożyczkowych w latach 2005–2006, są obecnie przetwarzane przez nie wyłącznie w celach archiwalnych, dla celów ewentualnych roszczeń cywilnoprawnych i postępowań sądowych.
Ponadto nawet stwierdzenie ewentualnych uchybień w procesie przetwarzania danych osobowych skarżącego w przeszłości nie miało wpływu na podjęte rozstrzygnięcie. Zgodnie z art. 18 ust. 1 ustawy o ochronie danych organ może formułować nakazy wymienione w tym przepisie wyłącznie w razie stwierdzenia naruszenia przepisów w dacie wydawania decyzji. Taki stan niezgodności zaś w sprawie nie występuje, gdyż wymienione podmioty przetwarzają dane skarżącego w takim zakresie, w jakim pozyskały je od niego legalnie, na podstawie wniosków pożyczkowych. Natomiast postępowanie dowodowe, na okoliczności wskazywane przez skarżącego, zostało przez organ przeprowadzone, a w aktach postępowania administracyjnego znajdują się pisemne oświadczenia osób uprawnionych do składania tych oświadczeń w imieniu podmiotów wskazanych we wniosku.
Skargę kasacyjną od powyższego wyroku wniósł C. P., prawidłowo reprezentowany, domagając się uchylenia zaskarżonego orzeczenia i przekazania sprawy Sądowi I instancji do ponownego rozpoznania. Skarga kasacyjna oparta została o obie podstawy z art. 174 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2012 r. poz. 270 ze zm.), dalej jako "p.p.s.a.", a wyrokowi zarzucono:
- 1) niewłaściwe zastosowanie art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.) (u.o.d.o.) w zw. z art. 18 ust. 1 u.o.d.o. oraz art. 7 pkt 2 u.o.d.o. w zw. z art. 7a ust. 2 ustawy z dnia 19 listopada 1999 r. – Prawo działalności gospodarczej (Dz.U. Nr 101, poz. 1178) przez błędne ustalenie, iż wymiana danych osobowych pomiędzy uczestnikami postępowania w latach 2005–2006 dotycząca nieudzielenia pożyczek skarżącemu i w tym pejoratywnych stwierdzeń o skarżącym, nawet gdyby miała miejsce, nie ma wpływu na rozstrzygnięcie, gdyż dane zostały pozyskane w sposób legalny,
- 2) niewłaściwe zastosowanie art. 106 p.p.s.a., art. 233 k.p.c., art. 227 k.p.c., art. 232 k.p.c. w zw. z art. 75 k.p.a., art. 77 k.p.a., art. 78 k.p.a., art. 80 k.p.a. przez brak rzetelnej oceny materiału dowodowego załączonego do akt (rozbieżności pomiędzy oświadczeniami uczestników postępowania) oraz zgłoszonego podczas rozprawy (przeprowadzenie dowodu z zabezpieczenia systemów informatycznych i telekomunikacyjnych uczestników postępowania), które miał istotne znaczenie w sprawie, gdyż implikowały konieczność przeprowadzenia przez GIODO rzetelnego postępowania dowodowego i w tym przesłuchania osób wymieniających w przeszłości pomiędzy uczestnikami postępowania dane osobowe skarżącego,
- 3) niewłaściwe zastosowanie art. 133 § 1 p.p.s.a. w zw. z art. 141 § 4 p.p.s.a. oraz przez odstąpienie w wyrokowaniu od ocen materiału dowodowego zgromadzonego w aktach sprawy – dwóch oświadczeń [...] S.A. w Jeleniej Górze, regulaminu [...], wzorców – wniosków pożyczkowych uczestników postępowania, co dało wyraz w uzasadnieniu wyroku, niesłusznie uznającym, iż nie doszło do nieuprawnionego przekazywania danych osobowych pomiędzy uczestnikami postępowania.
Generalny Inspektor Ochrony Danych Osobowych i Fundusz Regionu Wałbrzyskiego z siedzibą w Wałbrzychu wnieśli o oddalenie skargi kasacyjnej, a Fundusz także o zwrot kosztów.
Naczelny Sąd Administracyjny zważył, co następuje
Skarga kasacyjna nie zasługiwała na uwzględnienie, jako nieposiadająca usprawiedliwionych podstaw.
Na wstępie podkreślenia wymaga, że zarówno we wniosku C. P., złożonego do Generalnego Inspektora Ochrony Danych Osobowych, w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie, jak i w skardze kasacyjnej podnosi on, iż podmioty wskazane we wniosku – w skrócie – [...], [...], [...], [...] i [...] przetworzyły jego dane osobowe bezprawnie w latach 2005–2006. Wniosek C. P. nie zawierał natomiast zarzutu wobec tych podmiotów co do aktualnego przetwarzania jego danych. Należy zatem stwierdzić, iż wniosek dotyczył zaszłości, czynności dokonanych w przeszłości, zatem zakończonych, a nie trwających obecnie.
Rozpoznanie sprawy, wszczętej wnioskiem, odbywa się na podstawie przepisów obowiązujących w dacie orzekania, jak to podkreślił Generalny Inspektor Danych Osobowych w decyzjach, zaskarżonych przez C. P. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Jednak ocena działań podmiotów, których wniosek dotyczył, powinna być dokonana w świetle przepisów obowiązujących w czasie, kiedy miały one miejsce. Skoro wniosek C. P. dotyczył nieprawidłowości w przetwarzaniu jego danych osobowych w latach 2005–2006 to przepisy wówczas obowiązujące powinny być brane pod uwagę. Artykuł 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych daje uprawnienie Generalnemu Inspektorowi Ochrony Danych Osobowych do wydania decyzji nakazującej przywrócenie stanu zgodnego z prawem, ale w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych. Stwierdzenie zatem czy podmioty, wskazane we wniosku C. P., naruszyły przepisy o ochronie danych osobowych w latach 2005–2006 możliwe będzie gdy ich działanie zostanie ocenione w świetle wówczas obowiązujących przepisów.
Generalny Inspektor Ochrony Danych Osobowych wskazał na art. 7a ustawy z dnia 19 listopada 1999 r. – Prawo działalności gospodarczej. Stosownie do ust. 2 tego artykułu ewidencja działalności gospodarczej jest jawna i dane osobowe w niej zawarte nie podlegają przepisom ustawy o ochronie danych osobowych. Z akt sprawy wynika, co podkreślił Wojewódzki Sąd, że C. P. wnioski o pożyczki do podmiotów przez niego wskazanych, w latach 2005–2006, składał jako podmiot gospodarczy. Miał zatem zastosowanie wówczas obowiązujący ww. art. 7 ust. 2 Prawa działalności gospodarczej. W takiej sytuacji rozważania, że przepis ten stracił moc i w związku z tym ma zastosowanie art. 23 ust. 1 pkt 5 ustawy o ochronie danych, jest bez znaczenia. Artykuł 23 ust. 1 pkt 5 miałby zastosowanie do rozstrzygania wniosku C. P., gdyby wniosek ten dotyczył stanu obecnego, tj. przetwarzania jego danych osobowych w dacie składania wniosku i orzekania, zatem bieżących działań podmiotów.
Generalny Dyrektor Ochrony Danych Osobowych nie miał zatem podstaw do zastosowania art. 18 ust. 1 ustawy o ochronie danych, bowiem w latach 2005–2006 przepisy ustawy o ochronie danych osobowych w stosunku do podmiotów gospodarczych nie miały zastosowania, zatem ew. przetwarzanie danych skarżącego nie naruszało prawa. Natomiast jeśli idzie o obecny stan rzeczy, tj. przetwarzania danych w celach archiwalnych, na potrzeby zabezpieczenia ew. roszczeń cywilnoprawnych i postępowań sądowych, to przetwarzanie to odbywa się na podstawie art. 23 ust. 1 pkt 5 ustawy o ochronie danych, zatem także bez naruszenia przepisów. Jednak nie ma to w sprawie o tyle znaczenia, gdyż jak powiedziano wyżej, wniosek C. P. dotyczył czynności, które miały miejsce w przeszłości, zakończonych, a nie obecnych.
Skoro latach 2005–2006 dane podmiotu gospodarczego nie podlegały ochronie przewidzianej w ustawie o ochronie danych naruszenie dóbr podmiotu może być dochodzone przed sądem powszechnym. Z akt sprawy wynika, iż skarżący z tej drogi skorzystał.
Odmowa zatem przez Generalnego Inspektora Ochrony Danych Osobowych uwzględnienia wniosku C. P. jest zgodna z prawem i zasadnie Wojewódzki Sąd Administracyjny w Warszawie zaskarżone rozstrzygnięcie uznał za nienaruszające prawa.
Wobec powyższego orzeczono jak w sentencji, na podstawie art. 184 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2012 r. poz. 270 ze zm.).
Wniosek Funduszu Regionu Wałbrzyskiego z siedzibą w Wałbrzychu o zasądzenie kosztów postępowania nie mógł być uwzględniony, bowiem ani art. 203, ani art. 204 p.p.s.a. nie dają ku temu podstaw.