Uzasadnienie
Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] marca 2013 r. [...], na podstawie art. 138 § 1 pkt 1 K.p.a., utrzymał w mocy własną decyzję z dnia [...] listopada 2012 r., którą to decyzją odmówił A.S. uwzględnienia skargi na przetwarzanie jej danych osobowych przez [...] z siedzibą w W. oraz przez [...] z siedzibą w W. W motywach uzasadnienia organ podał, że przedmiotem wniesionej do GIODO przez A.S. skargi jest udostępnienie jej danych osobowych przez [...] innemu podmiotowi, tj. [...] oraz przetwarzanie przez ten ostatni podmiot jej danych osobowych, w celach marketingowych, poprzez przesyłanie na jej numer telefonu wiadomości tekstowych (sms).
W toku postępowania GIODO ustalił, że faktycznie [...] udostępnił [...] dane osobowe A.S. na skutek umowy z dnia [...] marca 2006 r., zawartej między stronami w przedmiocie świadczenia usług klientom [...]. Wskazał, że aktualnie [...] przetwarza dane osobowe skarżącej dla celów archiwalnych.
Stwierdził, iż przekazanie danych osobowych A.S. przez [...] na rzecz[...] odbyło się w wyniku ww. umowy i w oparciu o art. 31 u.o.d.o. Udostępnienie tych danych służyło umożliwieniu świadczenia na jej rzecz usług abonenckich przez [...]. Jednocześnie organ stwierdził, że aktualnie ani [...], ani [...] nie przetwarza danych osobowych skarżącej w sposób inny niż dla celów archiwalnych, albowiem nie jest ona aktualnie abonentem w sieci tych spółek. W konkluzji organ uznał, że wobec treści art. 18 u.o.d.o. (katalogu rozstrzygnięć) i braku możliwości wydania nakazu, który odnosiłby się do zdarzeń przeszłych, skarga A.S. nie zasługuje na uwzględnienie.
Powyższa decyzja stała się przedmiotem skargi A.S. do tutejszego Sądu. Wnosząc o uchylenie zaskarżonej decyzji oraz decyzji ją poprzedzającej, skarżąca zarzuciła naruszenie:
- 1. art. 18 ust. 1 ustawy o ochronie danych osobowych, poprzez nieuwzględnienie wniosku strony o przywrócenie stanu zgodnego z prawem, pomimo stwierdzenia naruszenia przepisów o ochronie danych osobowych przy przetwarzaniu danych osobowych strony przez [...] z siedzibą w W.
- 2. art. 107 § 1 K.p.a. w zw. z art. 104 § 2 K.p.a., poprzez nierozstrzygnięcie zaskarżoną decyzją istoty sprawy w wyniku zaniechania precyzyjnego określenia w utrzymanej decyzją odwoławczą decyzji z dnia [...] listopada 2012 r. wniosku strony, którego uwzględnienia organ odmówił,
- 3. art. 107 § 3 K.p.a., poprzez wydanie decyzji niepoprzedzonej pozytywnymi ustaleniami faktycznymi,
- 4. art. 138 § 1 pkt 1 K.p.a., poprzez jego błędne zastosowanie i utrzymanie w mocy zaskarżonej decyzji, pomimo iż jest ona wadliwa.
W uzasadnieniu skargi podniosła, że przepis art. 18 ust. 1 u.o.d.o. nie przewiduje rozstrzygnięcia w przypadku naruszenia przepisów o ochronie danych osobowych o odmowie uwzględnienia skargi.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje
Skarga nie zasługuje na uwzględnienie.
W sprawie bezsporne jest, że zarówno [...] jak i Spółka [...], przetwarzały dane osobowe skarżącej i nadal je przetwarzają dla celów archiwalnych. Bezsporne też jest, że oba podmioty weszły w posiadanie danych osobowych legalnie, albowiem skarżąca była abonentem numeru telefonu o numerze [...]. Umowa w przedmiocie świadczenia usług telekomunikacyjnych została rozwiązana z dniem [...] lutego 2011 r.
Niekwestionowane przez skarżącą są ustalenia organu, iż [...] weszła w posiadanie danych osobowych skarżącej legalnie – art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 Nr 101, poz. 926 ze zm.) – na mocy umowy, zawartej z [...] w dniu [...] marca 2000 r.
Niekwestionowane też są ustalenia organu, że żadna ze spółek aktualnie nie przetwarza danych osobowych skarżącej w celach marketingowych. Obie spółki przyznają zaś, że przetwarzają je z uwagi na cel archiwalny.
Istota sporu sprowadza się do oceny, czy w oparciu o tak ustalony stan faktyczny, GIODO uprawniony był do wydania rozstrzygnięcia o treści "odmawiam uwzględnienia wniosku", skoro przepis art. 18 ust. 1 u.o.d.o. takiego rozstrzygnięcia nie przewiduje.
Odnosząc się do tego, podstawowego zarzutu, stwierdzić należy, iż stosownie do art. 12 ust. 2 u.o.d.o., do zadań Generalnego Inspektora należy wydawanie decyzji i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych.
Zasadnie podnosi skarżąca, iż katalog rozstrzygnięć zawiera przepis art. 18 ust. 1 u.o.d.o. Uszło jednak uwadze strony skarżącej, iż katalog ten znajduje zastosowanie po zaistnieniu hipotezy z tego przepisu.
Omawiany przepis stanowi, iż "w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności:
- 1. usunięcie uchybień,
- 2. uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych,
- 3. zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe,
- 4. wstrzymanie przekazywania danych osobowych do państwa trzeciego,
- 5. zabezpieczenie danych lub przekazanie ich innym podmiotom,
- 6. usunięcie danych osobowych.
Użyte przez ustawodawcę sformułowanie "w szczególności" oznacza, że katalog rozstrzygnięć nie jest katalogiem zamkniętym, co w praktyce oznacza, że dopuszczalne są inne rozstrzygnięcia, adekwatne do danego stanu faktycznego i prawnego.
Z taką właśnie sytuacją mamy do czynienia w rozpatrywanej sprawie. Żadne z przykładowych, wymienionych w art. 18 ust. 1, rozstrzygnięć nie koresponduje ze stanem faktycznym, zaistniałym w niniejszej sprawie.
Przedmiotowa sprawa dotyczy działań operatorów, które już nie mają miejsca i nie mogą mieć, wskutek wygaśnięcia umowy abonenckiej. A zatem nie można stwierdzić, że aktualnie zaistniała hipoteza z art. 18 ust. 1 u.o.d.o. "w przypadku naruszenia przepisów u.o.d.o.".
Z ostrożności procesowej wskazać też należy, iż przetwarzanie danych osobowych skarżącej przez spółki, dla celów archiwalnych, znajduje przesłankę legalizującą w art. 23 ust. 1 pkt 2 u.o.d.o. w zw. z art. 71 ust. 1 i 74 ust. 1 ustawy o rachunkowości określającymi zasady przechowywania dokumentacji.
Wskazać też należy, iż skarżąca miała i ma prawo, w oparciu o art. 32 ust. 1 u.o.d.o., weryfikować prawidłowość przetwarzania jej danych osobowych, ze skutkiem zobowiązania administratora danych do uzupełnienia, uaktualnienia, sprostowania danych, czasowego lub stałego wstrzymania przetwarzania kwestionowanych danych lub ich usunięcia ze zbioru (art. 35 ust. 1 ustawy). Gdy administrator danych stwierdzonych wadliwości nie usunie, osoba zainteresowana może domagać się ochrony od GIODO (art. 35 ust. 2).
Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), orzekł jak w sentencji.