Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 23 czerwca 2017 r., sygn. akt II SA/Wa 2091/16 po rozpoznaniu sprawy ze skargi L.C. na decyzję Generalnego Inspektora Ochrony Danych Osobowych, z dnia [...] listopada 2016 r., nr [...] w przedmiocie przetwarzania danych osobowych, oddalił skargę. U podstaw rozstrzygnięcia Sądu I instancji legły następujące ustalenia oraz ocena prawna.
L.C. wniósł do organu drogą elektroniczną (e-Puap) skargę na odmowę udostępnienia przez spółkę danych osobowych w zakresie imienia i nazwiska oraz adresu zamieszkania posiadacza pojazdu A. o wskazanym we wniosku numerze. Domagał się on nakazania udostępnienia ww. danych osobowych z uwagi na wpisanie tego pojazdu do rejestru zastawów pod pozycją [...], na mocy umowy zastawu rejestrowego, zawartej pomiędzy nim, a ówczesnym posiadaczem pojazdu, celem wytoczenia pozwu o zapłatę przeciwko dłużnikowi rzeczowemu.
L.C. wskazał, że ówczesny posiadacz pojazdu sprzedał ww. pojazd wbrew zawartemu w umowie zastawu rejestrowego zakazowi i jednocześnie nie przekazał mu personaliów nabywcy. L.C. wyjaśnił też, że nabywca nie przerejestrował samochodu, ale wykupił polisę OC nr [...], która to informacja pochodzi z powszechnie dostępnej bazy danych Ubezpieczeniowego Funduszu Gwarancyjnego.
Ww. umowa zastawnicza została zawarta w dniu 23 czerwca 2014 r. pomiędzy L.C. (zastawnik), a ówczesnym właścicielem samochodu. W dniu 30 czerwca 2014 r. postanowieniem Sądu Rejonowego [...] ww. umowa została wpisana do rejestru zastawów pod pozycją [...].
Pismem z dnia 27 kwietnia 2015 r. L.C. zwrócił się do Ubezpieczeniowego Funduszu Gwarancyjnego z zapytaniem, czy pojazd o podanych numerach rejestracyjnych i VIN posiada ubezpieczenie OC w ruchu krajowym. W odpowiedzi została mu wskazana informacja o zawartej polisie nr [...] ze spółką, stąd też w dniu 27 kwietnia 2015 r. L.C. wystosował wniosek do spółki o udostępnienie mu danych osobowych w zakresie imienia, nazwiska oraz adresu posiadacza pojazdu A., który posiada polisę OC nr [...] zakupioną w spółce.
W odpowiedzi na ww. wniosek spółka pismem z dnia 8 maja 2015 r. odmówiła udostępnienia L.C. ww. danych, informując jednocześnie, że wszelkie dane dotyczące przedmiotowej sprawy zostaną niezwłocznie udostępnione w przypadku otrzymania wniosku od prokuratury.
Natomiast w przesłanych do organu wyjaśnieniach spółka wskazała, że przetwarza dane osobowe, o które wnioskował L.C., w zakresie imienia, nazwiska, adresu zamieszkania i danych pojazdu oraz w zakresie czynności związanych z realizacją umowy ubezpieczenia komunikacyjnego OC. Podmiot, o którego dane wystąpił L.C., jest ubezpieczonym w zrozumieniu ustawy z dnia 22 maja 2003 r. o działalności ubezpieczeniowej (obecnie akt prawny uchylony - przypis GIODO), co oznacza, że wszelkie dane jego dotyczące stanowią tajemnicę ubezpieczeniową i podlegają ochronie. Spółka uzasadniła odmowę udostępnienia L.C. danych osobowych posiadacza pojazdu ze względu na niezidentyfikowanie podstawy prawnej takiego udostępnienia. Wskazano również, że skarżący nie jest stroną umowy ubezpieczenia, a procedury spółki nie przewidują analizowania rejestru zastawów oraz umów zastawniczych i wnioskowania na ich podstawie o prawach i obowiązkach stron tych umów, jak również nie przewidują analizowania wpływu tego typu dokumentów na czynności związane z zawarciem i realizacją umów ubezpieczenia.
Decyzją z dnia [...] maja 2016 r. znak: [...], Generalny Inspektor Ochrony Danych Osobowych, dalej również jako "GIODO" oraz "Inspektor", na podstawie art. 104 § 1 ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. 1960 nr 30 poz. 168 ze zm), dalej jako "k.p.a." oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 ustawy o ochronie danych osobowych (Dz.U. z 2015 r. poz. 2135, ze zm.), dalej jako "u.o.d.o" odmówił uwzględnienia wniosku L.C., w sprawie odmowy udostępnienia przez B. S.A. Oddział w Polsce (zwanej dalej również "spółką"), danych osobowych w zakresie imienia i nazwiska oraz adresu zamieszkania posiadacza pojazdu A. GIODO wyjaśnił, że przedmiotem działalności spółki, zgodnie z zapisem w Krajowym Rejestrze Sądowym, są m.in. ubezpieczenia osobowe oraz ubezpieczenia majątkowa, a także wszelkie operacje ubezpieczeniowe i reasekuracyjne wszelkiego rodzaju, zwłaszcza odnośnie wszelkich szkód lub strat, którymi mogą być dotknięte osoby i rzeczy w następstwie dowolnych zdarzeń i od wszelkiej odpowiedzialności z nich wynikającej.
Organ uznał więc, że w sprawie kluczowe znaczenie mają przepisy ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (Dz. U. poz. 1844), dalej jako "u.d.u.r." która zastąpiła ustawę z dnia 22 maja 2013 r. o działalności ubezpieczeniowej (Dz. U. Z 2015 r., poz. 1206 z późn. zm.), dalej jako "u.d.u.".
Organ uznał, że zakład ubezpieczeń i osoby w nim zatrudnione, a także osoby i podmioty, za pomocą których zakład ubezpieczeń wykonuje czynności ubezpieczeniowe, są obowiązane do zachowania tajemnicy dotyczącej poszczególnych umów ubezpieczenia. Od zachowania ww. tajemnicy ustawodawca przewidział wyjątki. Zgodnie z wolą ustawodawcy zakłady ubezpieczeń są zobowiązane do zachowania w tajemnicy informacji dotyczących umów ubezpieczeniowych, chyba że z wnioskiem o udostępnienie stosownych danych występuje podmiot określony w art. 35 ust. 2 u.d.u.r. Organ ustalił, że skarżący nie jest żadnym ze wskazanych enumeratywnie podmiotów uprawnionych do uzyskania danych osobowych posiadacza pojazdu od ubezpieczyciela, będących jednocześnie tajemnicą ubezpieczeniową spółki. Organ stwierdził dodatkowo, że art. 19 ust. 2 pkt 25 u.d.u. stanowi odzwierciedlenie w art. 35 ust. 2 pkt 27 u.d.u.r.
W związku z powyższym, organ uznał, że L.C. nie jest uprawniony do uzyskania danych osobowych posiadacza pojazdu A., który wykupił polisę OC o podanym we wniosku numerze, na zasadach i warunkach wskazanych w u.d.u.r., tym samym nie jest spełniona przesłanka z art. 23 ust. 1 pkt 2 u.o.d.o. - udostępnienie tych danych nie jest bowiem niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisów ww. u.d.u.r.
Generalny Inspektor nie zgodził się nadto z L.C., iż udostępnienie przez spółkę wnioskowanych danych, konieczne skarżącemu do wniesienia przeciwko dłużnikowi rzeczowemu pozwu o zapłatę, spełnia dyspozycję art. 23 ust. 1 pkt 5 u.d.u.r. Przepis ten nie uchyla bowiem wcześniej przywołanej tajemnicy ubezpieczeniowej. Przepisy odnoszące się do informacji objętych tajemnicą ubezpieczeniową (a więc także do imienia i nazwiska oraz adresu zamieszkania podmiotu, który zawarł umowę ubezpieczenia ze spółką), należy uznać za szczególne (lex specialis) w stosunku do ogólnej normy z art. 23 ust. 1 u.o.d.o. (lex generalis). Wobec powyższego przepisy przewidujące ochronę dalej idącą wyłączają stosowanie u.o.d.o. w zakresie, w jakim ta ochrona jest szersza na zasadzie lex specialis derogat legi generali.
We wniosku o ponowne rozpatrzenie sprawy L.C. wniósł o uwzględnienie jego skargi.
Jego skutkiem było wydanie przez GIODO decyzji z dnia [...] listopada 2016 r. znak: [...], którą organ utrzymał w mocy własną decyzję z dnia [...] maja 2016 r. znak: [...]. W uzasadnieniu decyzji organ przytoczył te same argumenty, które legły u podstaw decyzji z dnia [...] maja 2016 r.
Zaskarżając decyzję z dnia [...] listopada 2016 r. w całości, skarżący wniósł jednocześnie o jej uchylenie i zasądzenie na jego rzecz kosztów postępowania.
W ocenie skarżącego niezależnie od tego czy do rozpoznawanej sprawy należy zastosować ustawę w brzmieniu obecnym czy też obowiązującym w chwili wniesienia wniosku o udostępnienie danych osobowych do ubezpieczyciela, to w obu przypadkach przepis, na który powołuje się organ, zawiera otwarty katalog podmiotów uprawionych, co wynika wprost z ostatniego podpunktu obecnego bądź poprzedniego przepisu.
Skarżący zarzucił nadto, że organ abstrahuje od własnego orzecznictwa wydawanego w odniesieniu do przepisów bardziej restrykcyjnych, np. art. 18 ust. 6 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. 2002 nr 144 poz. 1204 ze zm.), a nawet art. 105 ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz.U. 1997 nr 140 poz. 939 zez m.), który w dosłownym brzmieniu operuje zamkniętym katalogiem podmiotów uprawnionych i dodatkowo katalog ten ograniczony jest określeniem "wyłącznie" (np. decyzja GI-DEC-DS-20/06).
Skarżący podniósł, że nie widzi podstaw do różnicowania jego położenia względem innych podmiotów, które uzyskiwały dane osobowe potencjalnych pozwanych na podstawie przepisów, które już na pierwszy rzut oka wydawały się bardziej ograniczać taki dostęp (np. kogoś, kto stara się uzyskać informację o numerze IP osoby, która zamieściła przez Internet zniesławiający komentarz). W obu przypadkach chodzi o zidentyfikowanie potencjalnego pozwanego i gwarantowane Konstytucją RP prawo do sądu. Skarżący podkreślił, że posiadanie samochodu jest czymś z natury jawnym i informacja o tym nie wymaga większej ochrony niż swoboda wypowiedzi czy prawo do prywatności.
Ponadto nabywca pojazdu zobowiązany jest zarejestrować ten fakt w Urzędzie Gminy, i gdyby tak się w sprawie stało, to skarżący za 30 zł i 40 gr uzyskałby informację o nowym właścicielu z CEPiK w trybie z art. 80c ust. 4 ustawy z dnia 20 czerwca 1997 r. Prawo o ruchu drogowym.
W uzasadnieniu powołanego na wstępie wyroku Wojewódzki Sąd Administracyjny wskazał, że zaskarżona decyzja nie narusza prawa.
Sąd I instancji zauważył, że istota sprawy w niniejszym postępowaniu sprowadzała się do analizy stanu faktycznego sprawy przez pryzmat przepisu art. 23 ust. 1 pkt 2 w zw. z art. 27 ust. 2 pkt 2 u.o.d.o. W realiach niniejszej sprawy aktem prawnym zawierającym przepisy szczególne będzie u.d.u.r.
Powyższy akt prawny reguluje m.in. obowiązki spoczywające na Zakładzie Ubezpieczeń, i tryb jego funkcjonowania. Natomiast w art. 35 ust. 2 u.d.u.r. została wymieniona wyczerpująca lista podmiotów, których nie dotyczy obowiązek zachowania tajemnicy, o której mowa w ust. 1 tego przepisu.
W ocenie WSA, wbrew twierdzeniom skarżącego, w realiach prawnych niniejszej sprawy nie zachodziła możliwość skutecznego powoływania się na orzecznictwo sądowo-administracyjne wypracowane na kanwie ustawy o świadczeniu usług drogą elektroniczną. W u.d.u.r. - odmiennie niż w ustawie o świadczeniu usług drogą elektroniczną ustawodawca nie zawarł odesłania do u.o.d.o. Należało uznać, że w realiach niniejszej sprawy katalog podmiotów wymieniony w art. 35 ustawy o działalności ubezpieczeniowej i reasekuracyjnej, którym zakład ubezpieczeń może udostępniać gromadzone dane, jest katalogiem zamkniętym. Wobec powyższego wniosek skarżącego nie mógł zostać uwzględniony.
Sąd I instancji podkreślił również, że brak ustosunkowania się przez organ do podnoszonych przez stronę twierdzeń o udostępnianiu przez zakład ubezpieczeń danych innym podmiotom niż wymienione w art. 35 omawianej ustawy, nie rzutowało na poprawność skarżonego rozstrzygnięcia, pozostawało bowiem bez wpływu na rozstrzygnięcie.
Skargę kasacyjną od powyższego wyroku złożył L.C., zaskarżając go w całości i zarzucając naruszenie:
- - "art. 35 ust. 2 Ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej przez jego błędną wykładnię względnie art. 35 ust.
- 2. pkt 27 Ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej przez jego niezastosowanie",
- - art. 27 ust. 2 pkt 2 u.o.d.o., przez jego niewłaściwe zastosowanie,
- - art. 23 ust. 1 pkt 5 w zw. z art.
- 23. ust 4 pkt 2 w zw. z art. 7 pkt. 2 u.d.u.r., przez jego niezastosowanie.
Skarżący kasacyjnie wniósł o zmianę zaskarżonego wyroku w całości i uwzględnienie w całości skargi.
Naczelny Sąd Administracyjny zważył, co następuje
W świetle art. 174 P.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach:
- 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,
- 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.
Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, ponieważ w świetle art 183 § 1 P.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Jeżeli zatem nie wystąpiły przesłanki nieważności postępowania wymienione w art. 183 § 2 P.p.s.a., a w rozpoznawanej sprawie przesłanek tych brak, to Sąd związany jest granicami skargi kasacyjnej. Oznacza to, że Sąd nie jest uprawniony do samodzielnego dokonywania konkretyzacji zarzutów skargi kasacyjnej, a upoważniony jest do oceny zaskarżonego orzeczenia wyłącznie w granicach przedstawionych we wniesionej skardze kasacyjnej.
Skarga kasacyjna nie zawiera usprawiedliwionych podstaw.
Wskazany w zarzucie skargi art. 35 ust. 2 u.d.u.r. stanowi: "Obowiązek zachowania tajemnicy, o którym mowa w ust. 1, nie dotyczy informacji udzielanych na wniosek:" Z kolei art. 35 ust. 2 pkt 27 u.d.u.r. stanowi, że obowiązek zachowania tajemnicy, o którym mowa w ust. 1, nie dotyczy informacji udzielanych na wniosek innego podmiotu, którego uprawnienie do żądania informacji wynika z przepisów odrębnej ustawy. W ocenie skarżącego kasacyjnie takim przepisem odrębnej ustawy jest art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 4 pkt 2 w zw. z art. 7 pkt 2 u.o.d.o. Istota zarzutów sprowadza się zatem do twierdzenia, że prawo skarżącego do uzyskania informacji o danych osobowych wynika z powołanych przepisów u.o.d.o. do których odsyła art. 35 ust. 2 pkt 27 u.d.u.r.
Przepisy u.d.u.r. regulują m.in. obowiązki spoczywające na zakładzie ubezpieczeń i tryb jego funkcjonowania. Powołany przepis reguluje materię dostępu do danych przetwarzanych przez zakład ubezpieczeń w związku ze zdarzeniami dotyczącymi ubezpieczenia odpowiedzialności cywilnej. W art. 35 ust. 2 u.d.u.r. została zawarta wyczerpująca lista podmiotów, którym dane osobowe mogą być udostępnione. Żaden z powołanych w art. 35 ust. 2 u.d.u.r. przypadków nie odnosi się do sytuacji skarżącego kasacyjnie. Podstawy do udostępnienia danych nie może stanowić także art. 35 ust. 2 pkt 27 u.d.u.r. upoważniający do udzielenia informacji na wniosek innego podmiotu, którego uprawnienie do żądania informacji wynika z przepisów odrębnej ustawy, z następujących powodów.
W art. 23 u.o.d.o. zostały określone przesłanki legalizujące przetwarzanie danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Zgodnie z art. 23 ust. 1 pkt 5 u.o.d.o. przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Dokonując wykładni tego przepisu należy zatem zwrócić uwagę, że jego stosowanie wymaga nie tylko wykazania, iż chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów "właściciela" danych, objętego ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia.
Przy istniejącym konflikcie interesów stosowanie art. 23 ust. 1 pkt 5 u.o.d.o. wymaga uwzględnienia rangi tych interesów w okolicznościach konkretnej sprawy. Oznacza to, że w przypadku przetwarzania danych osobowych przez administratora danych, bez zgody osoby, której te dane dotyczą, w pierwszej kolejności konieczne jest ustalenie i rozważenie, czy spełniona jest ustawowa przesłanka szczegółowa uzasadniająca przetwarzanie danych bez zgody osoby, której dane dotyczą. W sytuacji gdy przesłanka ta jest spełniona należy następnie ustalić i rozważyć wszystkie okoliczności konieczne do wyważenia niezbędnej ochrony interesów osoby, której dane dotyczą oraz interesów administratora danych. W wyroku z dnia 14 września 2000 r. - The Queen przeciwko Ministrowi Rolnictwa Wielkiej Brytanii (Zb. Orz. 2000 r., s. I - 6751, załącznik A.1) Europejski Trybunał Sprawiedliwości podkreślił, że celem przepisów o ochronie danych osobowych jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności.
W ocenie Europejskiego Trybunału Sprawiedliwości przetwarzanie danych osobowych bez zgody osoby, której dane dotyczą jest dopuszczalne, jeżeli: a/ ma podstawę w przepisie prawa, który wyraźnie na takie przetwarzanie zezwala, b/ przetwarzanie (udostępnianie) danych jest niezbędne do realizowania uprawnienia lub spełnienia obowiązku określonego ustawą, c/ dane są przetwarzane tylko w takim zakresie, w jakim jest to niezbędne do osiągnięcia tych celów. Za prawnie usprawiedliwiony cel u.o.d.o. uznaje dochodzenie roszczeń z tytułu prowadzenia działalności gospodarczej (art. 23 ust. 4 pkt 2). W rozpoznawanej sprawie nie zostało skutecznie wykazane, że dochodzenie roszczeń w procesie cywilnym wynika z prowadzonej działalności gospodarczej. Wskazywana w trakcie postępowania okoliczność wpisania pojazdu do rejestru zastawów tego nie dowodzi.
Ponadto skarżący nie przedstawił innych racji przemawiających za uznaniem niezbędności żądania uzyskania danych osobowych. W konsekwencji w rozpoznawanej sprawie nie było podstaw do uznania, że klauzula z art. 35 ust. 2 pkt 27 u.d.u.r. może mieć zastosowanie w stosunku do skarżącego.
Z tych względów i na podstawie art. 184 P.p.s.a. Naczelny Sąd Administracyjny orzekł jak w sentencji wyroku.