Uzasadnienie
W dniu 27 października 2004 r. T. Z. wniósł do Generalnego Inspektora Ochrony Danych Osobowych, zwanego dalej również Generalnym Inspektorem, skargę na naruszenie przez Bank A. SA w W. z siedzibą przy ul. [...], ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), poprzez przekazanie jego danych osobowych oraz danych osobowych jego rodziców - bez powiadomienia ich o tym - Kancelarii Prawnej "[...]" Spółka Komandytowa z siedzibą w W. przy ul. [...].
Generalny Inspektor Ochrony Danych Osobowych pismem z dnia [...] listopada 2004 r. nr [...] wskazał T. Z., że pisma kierowane do Generalnego Inspektora powinny dokładnie precyzować żądanie i przytaczać wszelkie okoliczności będące podstawą skargi. Poinformował jednocześnie, że zgodnie z art. 32 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.), zwanej dalej również kpa, w postępowaniu strona może działać przez pełnomocnika lub osobiście. Dlatego też w przypadku, gdy w toku postępowania przed Generalnym Inspektorem, zamierza występować nie tylko w swoim imieniu ale również w imieniu swoich rodziców, to zgodnie z art. 33 § 3 kpa, powinien dołączyć do akt sprawy oryginał lub urzędowo poświadczony odpis pełnomocnictwa. Organ wezwał do usunięcia wyżej wymienionych braków formalnych w terminie 7 dni, wyjaśniając, że w razie nieprzesłania stosownego pełnomocnictwa przedmiotem postępowania przed Generalnym Inspektorem Ochrony Danych Osobowych będzie przetwarzanie wyłącznie danych osobowych T. Z. W wyznaczonym terminie do Generalnego Inspektora wpłynęło pismo ojca skarżącego - F. Z., ze wskazaniem, że dotyczy ono skargi na Kancelarię Prawną "[...]" z W. w sprawie przetwarzania jego danych osobowych oraz danych żony W. Z. w sprawie o numerze [...] z wniosku T. Z..
F. Z. podał, że w tej sprawie syn T. Z. złożył już do Generalnego Inspektora skargę na wymienioną Kancelarię. W związku z wykonywanymi przez Kancelarię Prawną "[...]" licznymi telefonami wniósł o ustalenie na jakiej podstawie prawnej Kancelaria dysponuje danymi osobowymi jego i żony W. Z. oraz w jaki sposób weszła w ich posiadanie. Oświadczył, aby korespondencję w niniejszej sprawie kierować na adres i bezpośrednio do syna T. Z. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] marca 2005 r. nr [...], po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi T. Z. na udostępnienie przez Bank A. SA w W., zwany dalej Bankiem, jego danych osobowych oraz danych osobowych F. Z. Kancelarii Prawnej "[...]", zwaną dalej również Kancelarią, odmówił uwzględnienia wniosku. W toku postępowania wyjaśniającego organ jednoznacznie wskazywał T. Z. i F. Z. jako skarżacych. W uzasadnieniu decyzji podał m.in., że dane osobowe T. Z. Bank pozyskał z dokumentów złożonych przez skarżącego w B. (Poland) SA w W., gdy w 1999 r. ubiegał się o otwarcie konta osobistego i wydanie karty kredytowej.
Dane osobowe F. Z. zostały wówczas podane przez skarżącego w ww. wniosku, jako dane osoby, z którą należy się kontaktować w razie potrzeby. W rubryce: "imię i nazwisko osoby nie mieszkającej z tobą, z którą należy się kontaktować w razie potrzeby" podano imiona i nazwisko rodziców skarżącego, dokładny adres ich zamieszkania oraz numer telefonu stacjonarnego. Bank informował skarżącego, jako dłużnika, iż w przypadku uchylania się od spłaty długu, windykacja należności zostanie powierzona kancelarii prawnej. Na podstawie umowy z dnia 20 lutego 2004 r., zlecono Kancelarii Prawnej "[...]" dochodzenie zapłaty roszczeń pieniężnych Banku. Ustalono, że powołaną umową Bank, jako administrator danych, powierzył Kancelarii Prawnej "[...]", na podstawie art. 31 ustawy o ochronie danych osobowych, przetwarzanie danych osobowych w zakresie i celu ściśle określonym w tej umowie oraz w umowach szczegółowych.
Wskazano jednocześnie, że w wyniku fuzji Banku A. SA i B. (Poland) SA - Bank A. stał się członkiem grupy B. w marcu 2001 r. W ocenie Generalnego Inspektora Ochrony Danych Osobowych podstawę prawną przetwarzania przez Bank danych osobowych T. Z., stanowi art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych. Natomiast przekazanie danych osobowych Kancelarii Prawnej "[...]" nastąpiło na podstawie art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 4 pkt 2 powołanej ustawy, tj. w celu dochodzenia roszczeń z tytułu prowadzonej działalności gospodarczej w związku z umową z dnia 20 lutego 2004 r. Konkludując organ stwierdził, że przetwarzanie przez Bank danych osobowych T. Z., jak i F. Z. znajdowało podstawę prawną w powołanych wyżej przepisach. Organ wskazał przy tym, że dla zgodności z prawem przekazania danych osobowych nie jest wymagana zgoda osoby, której dane dotyczą.
Jednocześnie stwierdził, że wszelkie działania Kancelarii podejmowane w celu ściągnięcia należności przysługującej Bankowi, były dokonywane w imieniu i na rzecz Banku, stąd też zarówno przetwarzanie danych osobowych skarżącego - T. Z., jak i jego ojca - F. Z., przez Bank i Kancelarię, należy uznać za wypełniające dyspozycję powołanych wyżej przepisów ustawy o ochronie danych osobowych.
Po rozpoznaniu wniosku T. Z. o ponowne rozpatrzenie sprawy Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] lipca 2005 r. nr [...] utrzymał w mocy swoją poprzednią decyzję. Wskazał, że Bank nie udostępnił Kancelarii danych osobowych F. Z., co Kancelaria potwierdziła w swoich wyjaśnieniach, wskazując że dane ojca pozyskała z ogólnie dostępnych źródeł informacji. Generalny Inspektor stwierdził, że Kancelaria miała prawo, działając w imieniu i na rzecz Banku, pozyskiwać informacje niezbędne do przeprowadzenia procedury windykacyjnej. Odnosząc się w powołanej decyzji do zażalenia na postanowienie z dnia [...] maja 2005 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku o zwolnienie z opłaty skarbowej, Generalny Inspektor wskazał, że T. Z. nie udokumentował w sposób wystarczający braku możliwości wniesienia opłaty należnej od wniosku o ponowne rozpatrzenie sprawy.
Przedmiotem skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie T. Z. uczynił powołaną wyżej decyzję Generalnego Inspektora z dnia [...] lipca 2005 r. oraz postanowienie o odmowie uwzględnienia wniosku o zwolnienie z opłaty skarbowej, do którego organ odniósł się w przedmiotowej decyzji.
W odpowiedzi na skargę organ wniósł o jej oddalenie, powołując się na dotychczasowe ustalenia faktyczne i prawne. Dodatkowo wskazał, że Bank przed przekazaniem Kancelarii wniosku o otwarcie rachunku zanonimizował dane osób wymienionych w rubryce "imię i nazwisko osoby nie zamieszkującej z tobą, z którą należy kontaktować się w razie potrzeby", a Kancelaria oświadczyła, że dane osobowe F. Z. pozyskała z ogólnie dostępnych źródeł informacji w celu realizacji czynności windykacyjnych wobec skarżącego.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne - o ile przepisy ustawy nie stanowią inaczej - sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej pod względem zgodności z prawem, tj. przepisami prawa obowiązującymi w dniu podjęcia zaskarżonego aktu lub czynności. Stosownie natomiast do art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Z przepisu tego wynika, że sąd obowiązany jest wziąć pod uwagę z urzędu wszystkie naruszenia prawa.
Rozpoznając sprawę w tym zakresie Wojewódzki Sąd Administracyjny w Warszawie uznał, że zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2005 r. oraz poprzedzająca ją decyzja z dnia [...] marca 2005 r. w przedmiocie ochrony danych osobowych, zostały wydane z naruszeniem prawa dającym podstawę do wznowienia postępowania administracyjnego. W konsekwencji Sąd obowiązany był uchylić obie decyzje.
Przede wszystkim wskazania wymaga, że stroną postępowania administracyjnego jest, zgodnie z art. 28 Kodeksu postępowania administracyjnego, każdy, czyjego interesu prawnego lub obowiązku dotyczy postępowanie albo kto żąda czynności organu ze względu na swój interes prawny lub obowiązek. Naczelny Sąd Administracyjny w wyroku z dnia 28 czerwca 2001 r. sygn. akt II SA/Gd 2188/99 stwierdził, że interes prawny wyraża się w możliwości zastosowania normy prawa administracyjnego materialnego w konkretnej sytuacji konkretnego podmiotu prawa. Stwierdzenie istnienia interesu prawnego sprowadza się do ustalenia prawdopodobnego związku o charakterze materialnoprawnym między obowiązującą normą prawa administracyjnego materialnego a sytuacją prawną konkretnego podmiotu prawa, polegającą na tym, że akt stosowania tej normy może mieć wpływ na sytuację tego podmiotu w zakresie prawa administracyjnego. W orzecznictwie przyjęto, że interes prawny, którego istnienie warunkuje przyznanie osobie przymiotu strony w określonej sprawie, musi bezpośrednio dotyczyć sfery prawnej podmiotu (postanowienie Naczelnego Sądu Administracyjnego z dnia 30 maja 1984 r. II SA 789/84 nie publ.).
Artykuł 1 ustawy o ochronie danych osobowych stanowi, że każdy ma prawo do ochrony dotyczących go danych osobowych. Powołana ustawa, stanowiąca realizację art. 51 ust. 5 Konstytucji Rzeczypospolitej Polskiej, szczegółowo określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych. Postępowanie toczące się przed Generalnym Inspektorem Ochrony Danych Osobowych może być prowadzone z urzędu lub na wniosek. Nie budzi wątpliwości, że stroną postępowania administracyjnego prowadzonego przez Generalnego Inspektora w sprawie wszczętej na wniosek, jest z jednej strony, każdy kto domaga się ochrony dotyczących go danych osobowych (poprzez zbadanie zgodności ich przetwarzania z przepisami ustawy), z drugiej zaś podmiot, lub podmioty, które te dane przetwarzają i którym zarzucono niezgodne z ustawą działanie w tym zakresie.
Podkreślić należy, że stroną w rozumieniu art. 28 kpa, w tego rodzaju postępowaniu, będzie również podmiot danych (osoba fizyczna), który wprawdzie nie zgłosił żądania, jednakże Generalny Inspektor w decyzji administracyjnej rozstrzygnął o jego prawach na gruncie ustawy o ochronie danych osobowych, poprzez orzeczenie o zgodności ich przetwarzania z przepisami powołanej ustawy.
W świetle przytoczonych wyżej przepisów bezsporne jest, że stroną postępowania w sprawie z [...] lipca 2005 r., jest - poza Bankiem i Kancelarią - nie tylko T. Z., ale również jego ojciec. F. Z.. Generalny Inspektor Ochrony Danych Osobowych działając w granicach swojej właściwości i kompetencji rozstrzygnął bowiem o prawidłowości, tj. zgodności z ustawą o ochronie danych osobowych, przetwarzania przez Bank i Kancelarię, danych osobowych obu podmiotów danych, tj. ojca i syna. Nie ma przy tym znaczenia dla ustalenia dokonanego w tym zakresie fakt, że dane osobowe F. Z. (imię, nazwisko, adres zamieszkania i numer telefonu domowego) przetwarzane były przez Bank jedynie w związku z koniecznością ewentualnego skontaktowania się.
W komparycji decyzji organ wskazał, że została ona wydana po przeprowadzeniu postępowania z wniosku T. Z., dotyczącego jednakże - co wymaga podkreślenia - zgodności z prawem przetwarzania (udostępnienia) danych osobowych nie tylko jego, ale i ojca - F. Z. Także treść decyzji nie budzi wątpliwości, że organ rozstrzygnął również w zakresie przetwarzania danych osobowych F. Z. Z akt postępowania administracyjnego jednoznacznie wynika, że F. Z. nie brał udziału w postępowaniu administracyjnym prowadzonym przed Generalnym Inspektorem Ochrony Danych Osobowych, w tym w szczególności nie doręczono mu decyzji wydanej w trybie art. 104 kpa, nie został zawiadomiony o złożeniu wniosku o ponowne rozpatrzenie sprawy i nie została mu doręczona decyzja wydana po rozpatrzeniu tego wniosku.
W aktach sprawy znajduje się pismo F. Z., w którym wskazuje, aby korespondencję w sprawie dotyczącej badania zgodności z prawem przetwarzania jego danych osobowych kierować na adres syna - T. Z. Treść tego pisma wskazuje jednoznacznie na upoważnienie T. Z. do odbioru korespondencji kierowanej do F. Z. Z akt sprawy nie wynika jednak, aby organ kierował do F. Z. jakiekolwiek pisma w postępowaniu, w tym również na wskazany adres.
Stwierdzić należy w świetle powyższego, że w postępowaniu przed Generalnym Inspektorem Ochrony Danych Osobowych, strona nie brała bez własnej winy udziału w sprawie. Poprzez pominięcie F. Z. w postępowaniu dotyczącym zgodności z prawem przetwarzania jego danych osobowych, naruszono zasadę czynnego udziału w postępowania oraz umożliwienia przed wydaniem decyzji wypowiedzenia się co do zebranych dowodów i materiałów (art. 10 kpa).
To uchybienie przepisom procedury administracyjnej stanowiące podstawę wznowienia postępowania (art. 145 § 1 pkt 4 kpa) obligowało Wojewódzki Sąd Administracyjny w Warszawie do uchylenia zaskarżonej i poprzedzającej ją decyzji Generalnego Inspektora Ochrony Danych Osobowych. Podkreślić przy tym należy, że uchylenie przez Sąd decyzji jest w takim przypadku obligatoryjne, bez względu na to czy naruszenie zasady czynnego udziału w postępowaniu miało, czy też nie miało wpływu na wynik sprawy (por. wyrok NSA z dnia 26 stycznia 1999 r. III SA 979/98, wyrok SN - Izba Administracyjna, Pracy i Ubezpieczeń Społecznych z dnia 4 grudnia 2002 r. III RN 200/2001 - OSNP 2003/24 poz. 582).
Dodatkowego wskazania wymaga, że Wojewódzki Sąd Administracyjny w Warszawie mając na uwadze art. 33 § 2 ustawy Prawo o postępowaniu przed sądami administracyjnymi, zgodnie z którym, udział w charakterze uczestnika może zgłosić osoba, która nie brał udziału w postępowaniu administracyjnym, jeżeli wynik tego postępowania dotyczy jej interesu prawnego, wezwał F. Z. do udzielenia w terminie 7 dni informacji, czy zgłasza udział w charakterze uczestnika postępowania w niniejszej sprawie. Wezwanie doręczono Z. G. w dniu 30 stycznia 2006 r. (zwrotne potwierdzenie odbioru znajduje się w aktach sprawy), jednakże do dnia rozpoznania sprawy nie zgłosił on udziału w postępowaniu.
Z powyższych względów Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit b ustawy Prawo o postępowaniu przed sądami administracyjnymi w zw. z art. 10 Kodeksu postępowania administracyjnego, uchylił zaskarżoną i poprzedzającą ją decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2005 r. Dla zastosowania przez Sąd art. 145 § 1 pkt 1 lit. b ustawy Prawo o postępowaniu przed sądami administracyjnymi nie ma przy tym znaczenia, że zgodnie z art. 147 kpa wznowienie postępowania z przyczyny określonej w art. 145 § 1 pkt 4 kpa, następuje tylko na żądanie strony.
O wstrzymaniu wykonania zaskarżonej decyzji w całości Sąd orzekł na podstawie art. 152 powołanej ustawy.
Postanowienie o przyznaniu wynagrodzenia z tytułu zastępstwa procesowego oparto na przepisie art. 250 ustawy Prawo o postępowaniu przed sądami administracyjnymi w związku z § 18 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 28 września 2002 r. w sprawie opłat za czynności adwokackie oraz ponoszenia przez Skarb Państwa kosztów nieopłaconej pomocy prawnej udzielonej z urzędu (Dz. U. Nr 163, poz. 1348 ze zm.).