Uzasadnienie
Decyzją z dnia [...] maja 2007 r. Generalny Inspektor Ochrony Danych Osobowych (dalej zwany też "organem" lub "GIODO") nakazał D.- spółce jawnej z siedzibą w W. usunięcie uchybień w procesie przetwarzania danych osobowych poprzez:
- 1) zgłoszenie do rejestracji zbioru danych osobowych klientów, którzy nabyli produkty oferowane do sprzedaży przez spółkę, w terminie 14 dni od dnia, w którym decyzja stanie się ostateczna,
- 2) zapewnienie, aby hasła do systemów operacyjnych Windows XP oraz systemu informatycznego "[...]", składały się z co najmniej 8 znaków, zawierających małe i wielkie litery lub znaki specjalne, w terminie 7 dni od dnia, w którym decyzja stanie się ostateczna,
- 3) opracowanie i wdrożenie polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych, w terminie 30 dni od dnia, w którym decyzja stanie się ostateczna,
- 4) zapewnienie, aby system informatyczny "[...]" zapewniał dla każdej osoby, której dane są przetwarzane w tym systemie informatycznym, sporządzenie i wydrukowanie raportu zawierającego w powszechnie zrozumiałej formie informacje o dacie pierwszego wprowadzenia danych do systemu, oraz o identyfikatorze użytkownika wprowadzającego dane osobowe, w terminie 3 miesięcy od dnia, w którym decyzja stanie się ostateczna.
Decyzja została wydana po przeprowadzeniu kontroli prawidłowości przetwarzania danych osobowych przez spółkę. Podstawą nakazu wymienionego w punkcie 1 decyzji był art. 40 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), zwanej też dalej "ustawą", zaś podstawą pozostałych nakazów - § 3 i § 7 ust. 3 i punkt VIII załącznika do rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024). Organ uznał, że spółka nie dopełniała obowiązków określonych w tych przepisach, w tym nie zgłosiła prowadzonego zbioru klientów do rejestracji, choć nie zaszedł wyjątek od tego obowiązku określony w art. 43 ust. 1 punkt 8 ustawy.
Celem przetwarzania danych w tym zbiorze nie jest bowiem wyłącznie wystawienie rachunku lub faktury, lecz także rozpatrywanie reklamacji nabywców towarów oferowanych przez spółkę. Organ powołał się przy tym na wyrok NSA z 21 kwietnia 2006 r. I OSK 726/05, który potwierdził, że dla zwolnienia z obowiązku zgłoszenia do rejestracji niezbędne jest, aby wystawienie rachunku lub faktury było jedynym celem przetwarzania danych w zbiorze i już sama możliwość jakiegoś innego celu przetwarzania danych wyłącza zwolnienie z obowiązku zgłoszenia zbioru do rejestracji.
We wniosku o ponowne rozpatrzenie sprawy spółka uznała, że prowadzony przez nią zbiór danych osobowych klientów służy wyłącznie do wystawienia faktury lub rachunku, a zatem jest zwolniony z obowiązku rejestracji na podstawie art. 43 ust. 1 punkt 8 ustawy. Spółka nie jest producentem towarów, lecz tylko sprzedającym, a ewentualne reklamacje rozpoznaje producent. Spółka nie jest też właścicielem kwestionowanego programu komputerowego, posiada jedynie licencję. Aby spełnić nałożone obowiązki, konieczne byłoby rozwiązanie umowy z właścicielem programu. Oznaczałoby to z kolei znaczne koszty dla spółki. Do wniosku spółka załączyła ponadto m.in. dokumenty gwarancyjne wystawiane przez producentów oferowanych towarów.
Decyzją z dnia [...] lipca 2007 r. GIODO utrzymał w mocy swoją decyzję z [,,,] maja 2007 r. Organ powtórzył ocenę, że z przeprowadzonej kontroli wynika, iż - w jego ocenie - wystawienie faktury lub rachunku nie jest jedynym celem prowadzenia zbioru danych klientów. Klienci ci mają zagwarantowane przepisami Kodeksu cywilnego (art. 556 § 1) prawo dochodzenia roszczeń w przypadku nienależytego wykonania umowy przez spółkę. Poza tym, status spółki jako producenta wynika z odpisu Krajowego Rejestru Sądowego - tak więc, spółka niezależnie od swojej odpowiedzialności jako sprzedawca, odpowiada wobec nabywców produkowanych przez siebie towarów jako ich producent. Organ ponownie ocenił, że spółka nie spełniła wymagań określonych w rozporządzeniu, a powołując się na wyrok NSA z 4 marca 2002 r. II SA 3144/01 uznał, że względy techniczne lub finansowe nie zwalniają z obowiązku dostosowania się do wymogów prawa.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na decyzję z [...] lipca 2007 r. spółka powtórzyła swoje stanowisko zaprezentowane we wniosku o ponowne rozpatrzenie sprawy. Spółka wskazała, że przesłuchiwany w toku kontroli jeden ze wspólników (A. Ł.) nie jest informatykiem i nie zrozumiał pytań kontrolującego. Dlatego wniosła o przesłuchanie przez Sąd drugiego wspólnika (K. J.). Wykonanie nakazów organu nie jest możliwe w określonych przez niego terminach.
W odpowiedzi na skargę organ wniósł o jej oddalenie i powtórzył swoje stanowisko w sprawie. Organ zauważył, że spółka nie wskazała terminów, w których mogłaby wykonać nałożone nakazy, zaś przesłuchany w toku postępowania kontrolnego A. Ł. jest wspólnikiem, zatem posiada wiedze dotyczącą funkcjonowania spółki. Jego wyjaśnienia nie stanowią zresztą jedynego dowodu w sprawie.
Pismem z dnia 2 stycznia 2008 r. spółka uzupełniła swoją skargę wskazując, że nigdy nie produkowała materiałów budowlanych, a w Krajowym Rejestrze Sądowym wpisana jest tylko taka możliwość. Kontrola powinna odnosić się do stanu rzeczywistego, a nie do "wirtualnej rzeczywistości". Producent sprzedawanych przez spółkę towarów wyznaczył okres gwarancji na co najmniej 10 lat, okresy gwarancji są dłuższe, niż odpowiedzialność sprzedawcy z tytułu rękojmi, dlatego spółka nie rozpatruje w ogóle reklamacji. Kontrola takich reklamacji zresztą nie wykazała. Ponadto organ z lekceważeniem, w ocenie spółki, odnosi się do kwestii kosztów wykonania nałożonych nakazów.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej. Sąd analizuje zaskarżoną decyzję pod względem jej zgodności z prawem materialnym i formalnym obowiązującym w dacie wydania tej decyzji. Stosownie natomiast do art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.) sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną.
Skarga analizowana według wymienionych wyżej kryteriów zasługuje na uwzględnienie, choć nie z tych powodów, które w niej podniesiono. Zarzuty spółki względem zaskarżonej decyzji są bowiem w większości niezasadne.
Spór między stronami postępowania dotyczy kilku obowiązków prawnych wynikających z ustawy o ochronie danych osobowych oraz rozporządzenia wykonawczego. Pierwszy z tych obowiązków dotyczy zgłoszenia zbioru danych do rejestracji w Biurze GIODO. Taki obowiązek istnieje, co do zasady, na podstawie art. 40 ust. 1 ustawy. Wyjątki od tego obowiązku wskazane są w art. 43 ust. 1 ustawy. Sąd przypomina przy tym niekwestionowaną zasadę, że wyjątków nie interpretuje się rozszerzająco - muszą one podlegać wykładni ścisłej.
Organ niezasadnie przywołuje przepisy Kodeksu cywilnego dla wykazania, że skarżąca spółka zobowiązana jest do rozpatrywania reklamacji nabywców oferowanych materiałów i produktów budowlanych. Na mocy art. 1 ust. 4 ustawy z dnia 27 lipca 2002 r. o szczególnych warunkach sprzedaży konsumenckiej oraz o zmianie Kodeksu cywilnego (Dz. U. Nr 141, poz. 1176 ze zm.), do sprzedaży konsumenckiej (a z taką mamy do czynienia w działalności spółki oferującej swoje usługi konsumentom) nie stosuje się przepisów art. 556 - 581 Kodeksu cywilnego dotyczących rękojmi i gwarancji.
Niezależnie jednak od tego uchybienia zauważyć należy, że analogiczne obowiązki dla spółki, w zakresie odpowiedzialności za wady fizyczne i prawne sprzedanych materiałów i produktów, wynikają z tejże właśnie ustawy z 27 lipca 2002 r. Dlatego organ zasadnie wskazuje na utrwalone już orzecznictwo sądów administracyjnych, wyłączające zwolnienie z obowiązku rejestracji już wtedy, gdy istnieje jedynie możliwość wykorzystywania danych na cele inne, niż wystawienie faktury lub rachunku. Ponadto w toku postępowania wspólnik sam wyjaśnił, że zgromadzone w zbiorze dane osobowe służą choćby do tego celu, aby skierować niezadowolonego klienta do producenta wadliwego towaru. Nie zaszedł więc wyjątek od obowiązku zgłoszenia Generalnemu Inspektorowi zbioru danych do rejestracji, określony w art. 43 ust. 1 punkt 8 ustawy.
Na marginesie Sąd zauważa, że znaczną część swojej polemiki z organem spółka poświęciła kwestii obowiązku rejestracji zbioru. Tymczasem obowiązek ten można wykonać poprzez prostą, krótkotrwałą i wolną od opłat czynność faktyczną, polegającą na wypełnieniu stosownego formularza i przesłaniu go do organu rejestrowego.
Także pozostałe zarzuty wobec zaskarżonej decyzji są niezasadne. Organ przekonująco i prawidłowo wykazał, że z przepisów rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, wynikają określone obowiązki wobec każdego administratora danych. Przepisy te nie różnicują zatem sytuacji administratorów w zależności od kryterium liczebności danych w zbiorze, przedmiotu ich działania, formy prawnej, prawa do stosowanego programu komputerowego, stanu finansowego, czy też innych kryteriów. Spółka nie zakwestionowała przy tym legalności wydanych wobec niej nakazów, podała jedynie w wątpliwość celowość przepisów, na podstawie których je wydano. Nie jest jednak kompetencją organu uzależniać stosowanie przepisów od ich oceny przez strony.
W obydwu wydanych w sprawie decyzjach prawidłowo wskazano podstawy prawne nałożenia obowiązków z punktów 2 - 4 decyzji z dnia [...] maja 2007 r., a spółka - należy powtórzyć - nie zaprzeczyła, że dotychczas tych obowiązków nie wykonała. Zasadnie przy tym zauważa spółka, że obowiązkom określonym w przepisach o ochronie danych osobowych rzeczywiście podlega "...każdy przedsiębiorca w tym kraju", o ile przetwarza dane osobowe w formie przewidzianej ustawą.
Wobec powyższego wyjaśnić należy przyczynę, dla której Sąd uchylił zaskarżoną decyzję z [...] lipca 2007 r. Otóż wydane przez organ, w decyzji z [...]maja 2007 r., nakazy powinny być wykonane - jak wynika z jej treści - w stosownych terminach. Sąd pozytywnie ocenił uwzględnienie słusznego interesu strony w takim ukształtowaniu tych terminów, aby nałożone obowiązki mogły być faktycznie wykonane. Uwzględnienia tego słusznego interesu strony wymaga art. 7 Kpa. Z decyzji z [...] maja 2007 r. wynika jednak, że początkiem terminów na wykonanie poszczególnych obowiązków jest data, kiedy ta decyzja stanie się ostateczna. Jednakże decyzja z [...] maja 2007 r. była ostateczna już w chwili jej wydania - wynika to ze specyfiki tego organu, wobec którego nie istnieje organ wyższego stopnia w rozumieniu art. 17 Kpa. Od decyzji GIODO odwołanie nie przysługuje, natomiast zamiast niego złożyć można wniosek o ponowne rozpatrzenie sprawy (art. 21 ust. 1 ustawy).
Organ sam zresztą zamieścił w pouczeniu decyzji z [...] maja 2007 r. informację, że decyzja ta jest ostateczna. W związku z tym, z chwilą otrzymania decyzji z [...] maja 2007 r. zaczęły biec wskazane w niej terminy na wykonanie poszczególnych obowiązków. Obowiązek z punktu 1 (zgłoszenie zbioru do rejestracji) wykonany miał zostać w terminie 14 dni - takim samym, w jakim możliwie było złożenie wniosku o ponowne rozpatrzenie sprawy. Co więcej - obowiązek z punktu 2 (prawidłowe skonstruowanie haseł systemu informatycznego) miał został wykonany w terminie 7 dni, zatem jeszcze przed upływem terminu na złożenie wniosku o ponowne rozpatrzenie sprawy. Wskutek rozpatrywania środka odwoławczego spółki i wydania decyzji "odwoławczej" dopiero w dniu 13 lipca 2007 r. efektywnie zostały też skrócone terminy na wykonanie obowiązków określonych w punktach 3 i 4 decyzji z [...] maja 2007 r. Decyzja "odwoławcza" utrzymywała przecież w całości w mocy decyzję pierwotną, w tym terminy na wykonanie poszczególnych obowiązków.
Tymczasem, w ocenie Sądu, kierując się dyrektywą art. 7 Kpa i uwzględniając fakt, że wniesienie odwołania wstrzymuje wykonanie zaskarżonej decyzji (art. 130 § 2 Kpa), organ powinien zmienić terminy na wykonanie tych obowiązków i zagwarantować spółce możliwość terminowego, faktycznego ich wykonania. Zaniechanie tej zmiany spowodowało, że takiej możliwości spółka nie posiada. Skoro organ ocenił, że wskazane w decyzji z [...] maja 2007 r. terminy są optymalne, to te same efektywne terminy powinny być wskazane w decyzji wydanej w wyniku wniosku o ponowne rozpatrzenie sprawy.
Nie ma znaczenia, że spółka nie wskazała terminów, w jakich mogłaby wykonać nałożone obowiązki. Organ powinien z urzędu wystąpić o wskazanie przez spółkę tych terminów, skoro we wniosku o ponowne rozpatrzenie sprawy strona skarżąca zakwestionowała możliwość ich wykonania w terminach określonych przez GIODO. Co więcej - nawet w razie milczenia spółki w tej kwestii organ powinien respektować jej słuszny interes i z urzędu dostosować te terminy do nowej sytuacji faktycznej, jaką było wydanie decyzji "odwoławczej" dopiero [...] lipca 2007 r. Ponadto Sąd zauważa, iż w innych sprawach zawisłych przed sądami administracyjnymi, w przypadkach analogicznych, jak w niniejszej sprawie, organ zmieniał terminy wykonania nałożonych obowiązków (vide np. wyrok NSA z dnia 4 marca 2002 r., sygn. II SA 3144/01, dostępny pod adresem www.: cbois.nsa.gov.pl,). Niezrozumiałe są więc powody, dla których w niniejszej sprawie organ postąpił inaczej.
W dalszym postępowaniu organ prawidłowo określi więc powyższe terminy, co umożliwi skarżącej wykonanie nałożonych obowiązków.
Złożony przez spółkę wniosek o przesłuchanie przez Sąd wspólnika K. J. nie mógł zostać uwzględniony, po pierwsze dlatego, że na rozprawę nie stawił się żaden ze wspólników, a ponadto dlatego, że stosownie do art. 106 § 3 Prawa o postępowaniu przed sądami administracyjnymi, postępowanie dowodowe przed sądem administracyjnym polegać może wyłącznie na przeprowadzeniu dowodów z dokumentów.
Mając powyższe na uwadze, na podstawie art. 145 § 1 punkt 1 lit. "c" Prawa o postępowaniu przed sądami administracyjnymi, Sąd orzekł, jak w punkcie 1 sentencji wyroku. Odnośnie wstrzymania wykonania zaskarżonej decyzji, Sąd orzekł na podstawie art. 152 tej ustawy. Z uwagi na fakt, że - pomimo prawidłowego pouczenia w tym względzie - spółka nie wniosła o zasądzenie na jej rzecz kosztów postępowania, Sąd kosztów tych nie zasądził.