>Orzecznictwo>WSA>2011 >

II SA/Wa 1232/10
Orzeczenie nieprawomocne

WYROK

W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ

dnia 11 stycznia 2011 r.

Wojewódzki Sąd Administracyjny w Warszawie po rozpoznaniu na rozprawie w dniu 11 stycznia 2011 r. sprawy ze skargi P. S.A. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2010 r. nr [...] w przedmiocie uchylenia decyzji w części dotyczącej uzasadnienia i w zakresie tej części umorzenia postępowania

oddala skargę

Uzasadnienie
Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] maja 2010 r. nr [...], na podstawie art. 138 § 1 pkt 1 i 2 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.) oraz art. 12 pkt 2, art. 22, art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku P. S.A. z siedzibą w W. o ponowne rozpatrzenie sprawy skargi A. D., dotyczącej udostępnienia jego danych osobowych przez P. S.A., na rzecz Banku [...] w W. S.A. z siedzibą w W. oraz niedopełnienia przez P. S.A. wobec A. D. obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych, rozstrzygniętej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2008 r., mocą której GIODO nakazał Bankowi [...] w W. S.A. usunięcie danych osobowych A. D., pozyskanych od P. S.A., a w pozostałym zakresie odmówił uwzględnienia wniosku A. D.:
- uchylił decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2008 r. w części dotyczącej jej pkt 1 i w tym zakresie postępowanie umorzył,
- w pozostałym zakresie decyzję utrzymał w mocy.
W uzasadnieniu decyzji organ podał, że do Biura GIODO, wpłynęła skarga A. D. dotycząca udostępnienia jego danych osobowych przez P. S.A. na rzecz Banku [...] oraz niedopełnienia wobec niego przez P. S.A. obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych. A. D. zarzucił spółce nielegalne udostępnienie jego danych na rzecz Banku, w szczególności wskazując, iż nie wyraził zgody na powyższe udostępnienie, ponadto podniósł, że spółka nie udzieliła odpowiedzi na jego wniosek dotyczący jego danych osobowych w terminie 30 dni, przewidzianym w ustawie. Ponadto ww. poinformował, że Przedsiębiorstwo Wielobranżowe "M." Sp. z o.o., w którym jest zatrudniony, jest abonentem spółki, a on użytkownikiem jednego z telefonów komórkowych zarejestrowanych na Przedsiębiorstwo.
Organ dokonał następujących ustaleń:
1. A. D. jest użytkownikiem telefonu komórkowego o numerze [...] zarejestrowanego na Przedsiębiorstwo Wielobranżowe "M." Sp. z o.o., które jest abonentem spółki,
2. na podstawie "Formularza zgłoszeniowego chęci udziału w Programie 5 Plus" wydrukowanego ze strony internetowej, opatrzonego datą 7 maja 2002 r. ww. udostępnił spółce swoje dane osobowe w zakresie imienia i nazwiska, daty urodzenia oraz adresu zamieszkania. Formularz został podpisany przez A. D., który sam wydrukował formularz, podpisał i odesłał na adres spółki,
3. P. S.A., w piśmie z dnia 19 marca 2008 r., skierowanym do GIODO wskazał, iż w związku ze zgłoszeniem się A. D. do Programu 5 Plus, na podstawie ww. formularza, P. przetwarza jego dane w zakresie imienia i nazwiska, daty urodzenia, adresu korespondencyjnego i kodu pocztowego, numeru telefonu komórkowego w sieci [...], numeru telefonu kontaktowego (stacjonarnego), numeru faksu, adresu e-mail, numeru lojalnościowego, numeru konta abonenckiego, średniej APRU i historii uczestnictwa w Programie,
4. ww. formularz zawiera m.in. oświadczenie: "oświadczam, że akceptuję zasady i warunki określone w Regulaminie Programu 5 Plus. Wyrażam zgodę na gromadzenie i przetwarzanie moich danych osobowych zawartych w niniejszym formularzu dla celów realizacji Programu 5 Plus",
5. w piśmie z dnia 25 czerwca 2008 r. skierowanym do GIODO, spółka wyjaśniła, iż w chwili obecnej, nie jest w stanie w sposób jednoznaczny wskazać, w jaki sposób A. D. w momencie wypełnienia formularza zgłoszeniowego mógł się zapoznać z Regulaminem Programu 5 Plus,
6. zgodnie z § 23 pkt 4 ww. Regulaminu, dane osobowe uczestników programu mogą zostać przekazane innym administratorom danych w przypadku, gdy jest to niezbędne dla dostarczenia nagrody lub gdy wymaga tego rodzaj zamówionej nagrody lub udział w organizowanej wspólnie z partnerem akcji marketingowej. W przypadku, gdy przekazanie danych jest niezbędne ze względu na rodzaj zamówionej nagrody lub gdy wynika to z udziału w organizowanej wspólnie z partnerem akcji marketingowej, informacja o przekazaniu danych innemu administratorowi danych zostanie umieszczona w opisie nagrody,
7. z pisma z dnia 28 marca 2008 r., skierowanego do GIODO przez Bank, wynika, że pozyskał on od P. S.A. dane A. D. na podstawie zawartej w dniu [...] marca 2007 r. z P. umowy o współpracy w zakresie wydania karty kredytowej [...], której przedmiotem jest współpraca stron umowy w zakresie wspólnego opracowania i prowadzenia oferty zawarcia umowy karty [...] dla klientów Spółki i uczestników Programu 5 Plus oraz na podstawie umowy powierzenia przetwarzania danych osobowych z dnia [...] czerwca 2007 r.,
8. na podstawie umowy powierzenia z dnia [...] czerwca 2007 r. P. S.A. powierzył Bankowi przetwarzanie danych ww. w zakresie imienia i nazwiska, numeru uczestnictwa Programu, numeru telefonu, numeru PESEL, adresu zameldowania oraz daty urodzenia, w celu realizacji ww. umowy współpracy, tj. przedstawienia mu oferty karty kredytowej [...], o której mowa w ww. umowie o współpracy,
9. Bank wskazał, iż w dniu 21 września 2007 r. skierował do A. D. ofertę marketingową. W związku z otrzymaną od ww. informacją, iż nie jest zainteresowany ofertą karty kredytowej, Bank nie przetwarza jego danych w celach marketingowych. Dane w zakresie imienia, nazwiska, numeru telefonu, adresu korespondencyjnego, numeru lojalnościowego przetwarzane są w celach archiwalnych.
A. D. pismem z dnia 21 września 2007 r. wystąpił do spółki o przedstawienie na piśmie podstawy prawnej i regulaminowej, na podstawie której przekazano jego dane podmiotowi trzeciemu i pokazanie oryginalnego dokumentu, w którym swoim podpisem wyraził zgodę na przekazywanie swoich danych osobowych osobom (podmiotom trzecim), w terminie 30 dni.
W piśmie z dnia 19 marca 2008 r. P. S.A. wyjaśnił, że art. 33 ustawy nie znajduje zastosowania, a twierdzenie ww., że spółka nie spełniła wobec niego obowiązku informacyjnego jest bezpodstawne, ponieważ spółka "M." nie jest podmiotem uprawnionym do żądania udzielenia wyjaśnień w trybie art. 33 ustawy.
Na podstawie powyższych ustaleń Generalny Inspektor Ochrony Danych Osobowych, decyzją z dnia [...] września 2008 r. nakazał Bankowi [...] w W. S.A., usunięcie danych osobowych A. D., pozyskanych od P. S.A., a w pozostałym zakresie odmówił uwzględnienia wniosku A. D..
W dniu 31 marca 2009 r. do GIODO wpłynęło pismo P. S.A., stanowiące wniosek o ponowne rozpatrzenie sprawy wraz z wnioskiem o przywrócenie terminu do jego wniesienia.
Postanowieniem z dnia [...] lutego 2010 r. GIODO przywrócił P. S.A. termin do wniesienia ww. wniosku o ponowne rozpatrzenie sprawy.
We wniosku o ponowne rozpatrzenie sprawy P. S.A. wniosła o uchylenie zaskarżonej decyzji w pkt 1. W uzasadnieniu wniosku wskazała, że kwestionuje dokonane przez organ ustalenia stanu faktycznego w zakresie udzielenia (nieudzielenia) przez A. D. zgody na przetwarzanie jego danych osobowych w ramach czynności związanych z realizacją Programu 5 Plus, a także co do charakteru działań marketingowych realizowanych przez P. S.A. we współpracy z Bankiem w ramach powyższego programu. Wbrew twierdzeniom organu, zdaniem P. S.A., A. D. miał możliwość zapoznania się z Regulaminem Programu 5 Plus. Sam bowiem wydrukował formularz zgłoszeniowy, co byłoby niemożliwe bez zapoznania się z regulaminem, nie są więc prawdziwe ustalenia organu, że A. D. nie wyraził zgody na przetwarzanie danych.
Dalej organ wskazał, że w doktrynie i orzecznictwie, przeważa pogląd, że organ wydający decyzję administracyjną jest obowiązany uwzględnić stan faktyczny ustalony w chwili wydania decyzji. Odnosi się to nie tylko do organu orzekającego w I instancji, ale również do organu wydającego decyzję w postępowaniu odwoławczym. Organ odwoławczy jest zatem obowiązany uwzględnić zmiany stanu faktycznego, jakie zaszły w sprawie w okresie między wydaniem decyzji I instancji i II instancji.
Dalej organ wskazał, że w piśmie z dnia 14 stycznia 2009 r. skierowanym do GIODO, Bank oświadczył, że w związku z decyzją z dnia [...] września 2008 r., nie przetwarza danych A. D. pozyskanych od P. S.A. w żadnym z administrowanych przez siebie systemów informatycznych, dodał ponadto, iż w żadnym z innych celów poza marketingowym dane skarżącego nie były przetwarzane dlatego też nie zostały utrwalone w jakichkolwiek systemach informatycznych.
Organ stwierdził, że w tej sytuacji sformułowany przez GIODO w pkt 1 zaskarżonej decyzji z dnia [...] września 2008 r. nakaz został przez Bank wykonany i w tym znaczeniu jest już bezprzedmiotowy, a więc konieczne jest uchylenie pkt 1 zaskarżonej decyzji z dnia [...] września 2008 r. i umorzenie postępowania w tym zakresie. Zgodnie z orzecznictwem NSA, organ odwoławczy może umorzyć postępowanie co do istoty tylko wówczas, gdy w wyniku rozpoznania odwołania uchylił decyzję I instancji i stwierdził, że postępowanie przed tym organem jest bezprzedmiotowe (art. 138 § 1 pkt 2 kpa). Zgodnie z art. 105 § 1 kpa, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje decyzję o umorzeniu postępowania. Postępowanie administracyjne nie może się toczyć w sytuacji, gdy w jego toku przestał istnieć jego przedmiot, bądź przedmiot nie istniał już przed wszczęciem postępowania.
Umorzenie postępowania przesądza o bezpodstawności zarzutów P. S.A. sformułowanych we wniosku o ponowne rozpatrzenie sprawy. Nakaz sformułowany w pkt 1 decyzji skierowany był do Banku i Bank go wykonał.
Odnosząc się do pozostałych zarzutów, organ wskazał, że nie można uznać za zgodę, zgody wyrażonej przez ww. na formularzu zgłoszeniowym do Programu 5 Plus. Formularz przewiduje bowiem wyrażenie zgody na przetwarzanie danych osobowych zawartych w niniejszym formularzu dla realizacji celów Programu 5 Plus oraz oświadczenie o akceptacji Regulaminu Programu 5 Plus. Z kolei Regulamin przewidywał możliwość udostępnienia danych osobowych na rzecz innych podmiotów w sytuacji, gdy byłoby to niezbędne dla dostarczenia nagrody lub gdy wymagałby tego rodzaj zamówionej nagrody lub udział w organizowanej wspólnie z partnerem akcji marketingowej. Z powyższego wynika, iż zgoda wyrażona na formularzu mogłaby zostać uznana za zgodę na udostępnienie danych innym podmiotom w ww. celu jedynie w sytuacji, gdyby w momencie jej wyrażania ww. mógł zapoznać się z Regulaminem przewidującym możliwość przedmiotowego udostępnienia.
W toku postępowania spółka nie wykazała, iż skarżący mógł zapoznać się z Regulaminem. Wobec nieprzedstawienia dowodu przez P. S.A., organ przychylił się do twierdzeń A. D., iż w momencie wyrażania zgody na ww. formularzu, Regulamin nie był mu znany, a zgodnie z art. 7 pkt 5 ustawy, zgoda osoby, której dane dotyczą, nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Zgoda na przetwarzanie danych musi mieć charakter wyraźny, a jej wszystkie aspekty muszą być jasne dla podpisującego w momencie jej wyrażania.
Organ podkreślił, że A. D., wyrażając zgodę na przetwarzanie jego danych osobowych na ww. formularzu, nie wiedział jak będą przetwarzane jego dane, w szczególności, że będą one w ogóle udostępniane na rzecz innych podmiotów. Zatem zgoda wyrażona na ww. formularzu nie odpowiada wymogom ustawy o ochronie danych osobowych. Ponadto udostępnienie danych strony na rzecz Banku nie było niezbędne do wypełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 ustawy), jak też nie było konieczne do realizacji umowy. Również nie występują przesłanki z art. 23 ust. 1 pkt 3, pkt 4, pkt 5.
Organ podkreślił również, iż w niniejszej sprawie nie można mówić o legalności powierzenia danych A. D. na podstawie umowy powierzenia zawartej pomiędzy Bankiem a P. S.A. w dniu [...] czerwca 2007 r. Powierzenie danych przez administratora danych na rzecz innego podmiotu, o którym mowa w art. 31 ustawy byłoby wyłącznie możliwe w celu marketingu produktów i usług administratora danych czyli P. S.A. Natomiast w niniejszej sprawie w grę wchodzi marketing produktu Banku, a dla takiego przetwarzania niezbędne jest spełnienie którejś z przesłanek z art. 23 ust. 1 ustawy, co jednak nie miało miejsca.
Odnośnie pkt 2 decyzja została utrzymana w mocy, bowiem pismo ww. z dnia 21 września 2007 r., skierowane do spółki nie mogło zostać uznane za wniosek, o którym mowa w art. 33 ust. 1 cyt. ustawy.
Powyższa decyzja stała się przedmiotem skargi wniesionej do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której skarżąca spółka, zaskarżyła decyzję w części dotyczącej rozstrzygnięcia zawartego w pkt 1 sentencji decyzji z powodu jego uzasadnienia, tzn. tej części uzasadnienia, w której organ, pomimo zakończenia sprawy orzeczeniem formalnym (umorzenie postępowania) zawarł merytoryczne twierdzenia rozstrzygające o prawach i obowiązkach P. w zakresie przetwarzania danych A. D..
Skarżąca spółka wniosła o uchylenie decyzji w zaskarżonej części i zasądzenie kosztów, ewentualnie o uchylenie decyzji wyłącznie w zakresie części uzasadnienia rozstrzygnięcia, bez uchylania decyzji.
Rozstrzygnięciu zarzuciła naruszenie art. 107 § 3 ustawy – Kodeks postępowania administracyjnego w zw. z art. 104 § 2 kpa oraz art. 105 § 1 kpa i art. 138 § 1 pkt 2 kpa w zw. z art. 8 kpa, poprzez zawarcie w uzasadnieniu decyzji merytorycznych, nieprawidłowych rozważań w przedmiocie praw i obowiązków P. w zakresie przetwarzania danych osobowych A. D., które nie mają znaczenia dla treści rozstrzygnięcia zawartego w sentencji decyzji, a ponadto naruszenie art. 80 kpa w zw. z art. 7 kpa, art. 77 kpa, art. 104 § 2 kpa, art. 105 § 1 kpa w zw. z art. 138 § 1 pkt 2 kpa i art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, poprzez dokonanie prawnej oceny zachowania P. przez pryzmat błędnych ustaleń faktycznych, w szczególności w zakresie twierdzenia o bezprawności przetwarzania danych przez P. pomimo, że osoba, której dane dotyczą wyraziła zgodę na ich przetwarzanie w spornym zakresie.
W odpowiedzi na skargę organ wniósł o jej oddalenie, powołując argumenty jak w uzasadnieniu zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Stosownie do treści art. 13 § 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), do rozpoznania sprawy właściwy jest wojewódzki sąd administracyjny, na którego obszarze właściwości ma siedzibę organ administracji publicznej, którego działalność została zaskarżona.
Natomiast zgodnie z treścią art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. –Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania.
Dokonując kontroli zgodności z prawem zaskarżonej decyzji, stwierdzić należy, że skarga nie zasługuje na uwzględnienie.
Na wstępie podnieść należy, iż organ wydający decyzję administracyjną jest obowiązany uwzględnić stan faktyczny, ustalony w chwili wydania decyzji. Ponadto organ odwoławczy jest obowiązany uwzględnić zmiany stanu faktycznego, jakie zaszły w sprawie w okresie między wydaniem decyzji I i II instancji.
Prawidłowo sformułowane uzasadnienie decyzji powinno odzwierciedlać poszczególne etapy prowadzonego postępowania administracyjnego w tym postępowania dowodowego. Powinno wskazywać, jakie fakty ustalono oraz zawierać opis dokonanej subsumcji.
To na organie ciąży obowiązek określenia w decyzji rodzaju i zakresu obowiązków nakładanych na podmiot, gdyż w innym wypadku decyzja będzie niemożliwa do wyegzekwowania. Decyzja administracyjna jako władcze działanie prawne organu administracji publicznej powinna być skierowana na wywołanie konkretnych, indywidualnie oznaczonych skutków prawnych. Stanowi ona źródło praw i obowiązków dla stron postępowania.
Przechodząc na grunt sprawy niniejszej, stwierdzić trzeba, że uzasadnienie decyzji pierwszoinstancyjnej zostało prawidłowo zredagowane pod względem merytorycznym i prawnym. Organ wyjaśnił zasadność przesłanek, którymi kierował się przy załatwieniu sprawy. Elementem decydującym o przekonaniu strony co do trafności podjętego rozstrzygnięcia jest właśnie uzasadnienie. Jest oczywistym, że zasada przekonywania nie zostanie zrealizowana, gdy organ pominie milczeniem niektóre aspekty sprawy lub nie odniesie się do okoliczności istotnych dla danej sprawy.
Generalny Inspektor Ochrony Danych Osobowych w decyzji z dnia [...] września 2008 r., w pkt 1 nakazał Bankowi [...] w W., usunięcie danych osobowych A. D. zamieszkałego w P., pozyskanych od P. z siedzibą w W., na rzecz Banku [...] w W..
W piśmie z dnia 14 stycznia 2009 r. skierowanym do GIODO, Bank oświadczył, iż nie przetwarza danych A. D. pozyskanych od P. S.A., w żadnym z administrowanych przez siebie systemów informatycznych, oraz że obecnie dane skarżącego w zakresie imienia, nazwiska oraz adresu przetwarzane są dla celów dowodowych związanych z niniejszym postępowaniem i dla celów archiwalnych, czyli sformułowany w decyzji nakaz został przez Bank wykonany i w tym znaczeniu jest bezprzedmiotowy.
W tej sytuacji konieczne było uchylenie pkt 1 decyzji z dnia [...] września 2008 r. i umorzenie postępowania w tym zakresie (art. 105 § 1 kpa).
Utrzymanie w mocy nakazu sformułowanego w pkt 1 decyzji z dnia [...] września 2008 r. byłoby bezprzedmiotowe, ponieważ został on wykonany, a więc nie istnieje już w tym zakresie stan naruszenia prawa, jaki istniał wskutek udostępnienia przez P. S.A. danych osobowych A. D. na rzecz Banku bez podstawy prawnej.
W ocenie Sądu, wywody o charakterze merytorycznym, obok argumentów o charakterze formalnym, znalazły się w uzasadnieniu zaskarżonej decyzji dla wskazania, że zrealizowanie nałożonego na Bank obowiązku określonego w pkt 1 decyzji z dnia [...] września 2008 r. doprowadziło do umorzenia postępowania.
Podkreślić należy, że to na Bank [...] S.A., został nałożony obowiązek usunięcia danych A. D. i Bank nałożony obowiązek wykonał.
Wobec powyższego, w ocenie Sądu, zaskarżona decyzja nie narusza prawa, a prawidłowo sformułowane uzasadnienie odzwierciedla etapy prowadzonego postępowania administracyjnego.
Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy – Prawo o postępowaniu przed sądami administracyjnymi orzekł, jak w sentencji.