>Decyzje Giodo>2008 >

GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH
Michał Serzycki

Warszawa, dnia 10 kwietnia 2008 r.

DECYZJA

Na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania
administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) oraz art. 12 pkt 2 i art. 22
art. 18 ust. 1 pkt 1 w związku z art. 24 ust. 1 pkt 2, 3 i 4, art. 25 ust. 1 pkt 2, 3, 4 i 5 oraz z art. 23 ust. 1
pkt 5, art. 27 ust. 2 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r.
Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku
Pani X, o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych
Osobowych z dnia 31 października 2007 r. (znak: GI-DEC-DOLiS-237/07/6184,6185,6186,6187).,

utrzymuję w mocy zaskarżoną decyzję.

Uzasadnienie

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pani X
(zwanej dalej Skarżącą) w sprawie dotyczącej przetwarzania jej danych osobowych przez Związek
Zawodowy (zwany dalej Związkiem). Skarżąca podniosła, że ten związek bez podstawy prawnej
przetwarza jej dane osobowe jako członka związku i wniosła o wydanie decyzji administracyjnej
nakazującej Prezesowi Zarządu Związku Panu Y „niezwłoczne dopełnienie obowiązku
sprostowania nieprawdziwych danych dotyczących mojej osoby, zebranych, przetworzonych i
udostępnionych osobom nieuprawnionym, bez mojej wiedzy i zgody, z naruszeniem, przepisów o
ochronie danych osobowych”, a także o zobowiązanie ww. podmiotu do przekazania kopii takiego
sprostowania odpowiednim organom. W uzupełnieniu skargi Skarżąca wskazała, że nieprawdziwe
dane o jej przynależności do Związku są przetwarzane niezgodnie z celem, dla którego zostały
zebrane i z naruszeniem jej prawa do kontroli i poprawiania danych, a także prawa wniesienia
sprzeciwu wobec przekazania tych danych innemu administratorowi. Skarżąca wniosła też o
nakazanie usunięcia jej danych osobowych ze zbiorów Związku. W toku postępowania w niniejszej
sprawie Skarżąca zakwestionowała również legalność przetwarzania jej danych osobowych przez
Związek - Komisję Międzyzakładową (zwaną dalej Komisją), wskazując, że Pani A i Pan B
(członkowie Zarządu ww. Komisji) pozyskali od Pana Y dane o jej „rzekomej przynależność” do
Związku, a następnie „rozpowszechnili” te dane „wewnątrz Komisji oraz udostępnili je „władzom
Regionu Związku, co spowodowało pozbawienie jej wszystkich funkcji związkowych, na które
została wybrana. Skarżąca wskazała też, że przetwarzanie jej danych przez Związek Regionu „(a
nie tylko przez Związek) nastąpiło z ewidentnym i istotnym naruszeniem [jej] praw i wolności
obywatelskich (w tym dóbr osobistych) oraz przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie
danych osobowych (art. 23 ust 1 pkt 1 w zw. z pkt 5, art. 24 ust 1 pkt 2 i 3, art. 25 ust 1 pkt 2-4, art.
26 ust. 1 pkt 1-4, art. 27 ust 1 i 2 a contrario, art. 29 oraz art. 32 ust. 1 pkt 2, 4-6)”, że jej dane są
przetwarzane przez ten Związek niezgodnie z celem, dla którego zostały zebrane, a także bez jej
wiedzy i zgody „w rozumieniu art. 7 pkt 5 ww. ustawy”. Skarżąca podniosła również, że
„deklaracje członkowskie obydwu organizacji związkowych (...) nie spełniają wymogów ustawy z
dnia 29 sierpnia 1997 r. o ochronie danych osobowych”, wskazując, że deklaracja członkowska
Związku „nie zawiera klauzuli o wyrażeniu zgody na przetwarzanie danych osobowych”, natomiast
klauzula zamieszczona w deklaracji członkowskiej Związku jest niezgodna z ww. ustawą, ponieważ
„jest zbyt ogólna, niedostosowana do wymogów tej ustawy i nieaktualna”. Ponadto Skarżąca
wniosła o spowodowanie przekazania [jej] przez Regionalną Komisję Wyborczą Regionu oryginału
dokumentu/ów, na podstawie którego/ch wykreślono [ją] ze wszystkich funkcji, na które [została]
wybrana przez członków Związku i o wydanie decyzji administracyjnej nakazującej ww.
Regionalnej Komisji Wyborczej (zwanej dalej RKW) usunięcie danych dotyczących jej
przynależności do Związku.
W toku postępowania administracyjnego Generalny Inspektor Ochrony Danych
Osobowych ustalił, co następuje:
1. Skarżąca podpisała „Deklarację członkostwa” Związku, w której oświadczyła wolę
przystąpienia do tego Związku.
2. Według oświadczenia Prezesa ww. Związku Skarżąca została przyjęta w poczet jego członków
z dniem 1 grudnia 2004 r., a z dniem 14 kwietnia 2006 r. wykreślona z listy członków.
3. W dniu 13 maja 2005 r. Skarżąca wypełniła deklarację członkowską Związku i uchwałą z dnia 1
czerwca 2005 r. została przyjęta w poczet członków tego Związku.
4. W marcu 2006 r. Skarżąca została wybrana do władz związkowych w organizacji
Międzyzakładowej Związku.
5. Pismem z dnia 9 maja 2006 r. Pan B i Pani A członkowie zarządu Komisji zwrócili się do Pana
Y Prezesa Zarządu Związku z prośbą o „informację odnośnie przynależności Pani X (...)” do
tego związku.
6. Pan Y udzielił odpowiedzi na ww. pismo informując, że „Pani X nie jest członkiem naszej
organizacji”, że „ustnie zawiadomiła Zarząd o chęci wystąpienia ze Zwiazku”, a w zawiązku z
tym Zarząd Związku podjął uchwałę o wykreśleniu jej z listy członków tego Związku z dniem
14 kwietnia 2006 r.
7. Powyższe pismo jest przechowywane przez Komisję „w wyodrębnionym zbiorze dotyczącym
Skarżącej, jako członka n/Związku, prowadzonym dla celów wewnątrzzwiązkowych”.
8. Zgodnie z § 8 pkt 1 i pkt 2 Statutu Zwiazku” „każdy członek Związku może należeć wyłącznie
do jednej organizacji zakładowej lub międzyzakładowej, niezależnie od liczby tytułów
uprawniających do członkostwa w Związku” (pkt 2), „Członek związku nie może należeć do
innego związku zawodowego zarejestrowanego w Polsce (...)” (pkt 3).
9. W dniu 9 maja 2006 r. do RKW wpłynął protest dwóch członków Zarządu Komisji, dotyczący
m.in. członkostwa Skarżącej w Związku.
10. Po dokonaniu weryfikacji okresu przynależności Skarżącej do Związku, RKW podjęła decyzję
„o braku prawa do członkostwa w Związku Pani X do dnia 14 kwietnia 2006 r.”, co zgodnie z
art. 50 Statutu tego związku stanowiło przeszkodę uniemożliwiającą objęcie przez Skarżącą
ww. funkcji, na którą została wybrana.
11. Zgodnie z § 17 Statutu Związku związek ten posiada osobowość prawną. Ponadto osobowość
prawną posiadają: organizacje zakładowe, organizacje międzyzakładowe, organizacje
podzakładowe, regiony, krajowe sekretariaty branżowe, Krajowy Sekretariat Emerytów i
Rencistów i inne.
Po przeprowadzeniu postępowania administracyjnego w przedmiotowej sprawie Generalny
Inspektor Ochrony Danych Osobowych w dniu 31 października 2007 r. wydał decyzję
administracyjną (znak: GI-DEC-DOLiS-237/07/6184,6185,6186,6187), nakazującą Związkowi oraz
Komisji Międzyzakładowej usunięcie uchybień w procesie przetwarzania danych osobowych Pani X
poprzez dopełnienie wobec niej obowiązku informacyjnego określonego w art. 24 ust. 1 pkt 2, pkt 3 i pkt
4 ustawy o ochronie danych osobowych, tj. poinformowanie jej o przewidywanych odbiorcach lub
kategoriach odbiorców danych (pkt 2), prawie dostępu do treści swoich danych oraz ich
poprawiania (pkt 3), dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek
istnieje, o jego podstawie prawnej (pkt 4) oraz nakazującą Związkowi Komisji Międzyzakładowej
usunięcie uchybień w procesie przetwarzania danych osobowych Pani X poprzez dopełnienie wobec niej
obowiązku informacyjnego określonego w art. 25 ust. 1 pkt 2, pkt 3 i pkt 4 i pkt 5 ustawy o ochronie
danych osobowych, tj. poinformowanie jej o odbiorcach lub kategoriach odbiorców danych (pkt 2), o
źródle danych (pkt 3), o prawie dostępu do treści swoich danych oraz ich poprawiania (pkt 4), o
uprawnieniach wynikających z art. 32 ust 1 pkt 7 i 8 (pkt 5), a w pozostałym zakresie odmawiającą
uwzględnienia wniosku.
W dniu 29 października 2007 r., w ustawowym terminie, Skarżąca złożyła wniosek o
ponowne rozpatrzenie sprawy zakończonej ww. decyzją.
W uzasadnieniu wniosku Skarżąca wskazała, że „przedmiotowa decyzja nie zawiera formy
i terminów wykonania nakazów zawartych w pkt 1 i 2 jej osnowy, co rodzi uzasadnioną obawę iż
może nie być wykonana”, zaznaczyła, że jej „oświadczenie woli przystąpienia do NZZ PMF (...)
nie może być uznane za równoznaczne z wyrażeniem przez [nią] zgody na przetwarzanie [jej]
danych osobowych przez ten Związek (...)” i po raz kolejny podkreśliła, że „deklaracja
członkowska i Statut Związku nie zawierają żadnej klauzuli lub wzmianki dotyczącej przetwarzania
danych osobowych przyszłych członków tej organizacji”. W opinii Skarżącej, „oznacza to, iż
Związek powinien uzyskać [jej] pisemną zgodę na przetwarzanie jej danych osobowych przed ich
przetwarzaniem, a tym bardziej przed ich udostępnieniem osobom spoza tego Związku”. Skarżąca
wskazała też, że zawarta w deklaracji członkowskiej Związku klauzula zgody na przetwarzanie
danych osobowych „do celów wewnątrzzwiązkowych” nie obejmowała możliwości przekazania jej
danych osobowych innemu administratorowi „a tym bardziej zgody na zbieranie danych
dotyczących [jej] osoby od innych administratorów (...)”.
W opinii Skarżącej przetwarzanie jej danych osobowych nie może być legalizowane
przesłankami z art. 23 ust. 1 pkt 5 i art. 27 ust. 2 pkt 4 ustawy, ponieważ przesłanki te nie mogą
dotyczyć danych „merytorycznie niepoprawnych, nieprawdziwych, (...) udostępnionych
nieuprawnionym podmiotom zewnętrznym”.
W uzupełnieniu wniosku Skarżąca wskazała, że Związek nie dopełnił wobec niej
obowiązków informacyjnych wynikających z art. 24 ust. 1 pkt 2 pkt 3 i pkt 4 ustawy, ponieważ nie
została poinformowana o aktualnym celu przetwarzania jej danych osobowych przez ten związek.
W związku z ww. zarzutem Skarżącej dotyczącym wykonalności decyzji Generalny Inspektor
zwrócił się do Związku i do Komisji, o wskazanie czy zgodnie z nakazami zawartymi w
zaskarżonej decyzji został wobec Skarżącej dopełniony obowiązek informacyjny. W odpowiedzi
Komisja przesłała kopię skierowanego do Skarżącej pisma, w którym poinformowała ją o celu
zbierania danych, przewidywanych odbiorcach danych, prawie dostępu do treści swoich danych oraz
ich poprawiania, dobrowolności ich podania, a także o uprawnieniach wynikających z art. 32 ust 1
pkt 7 i 8 tj. wniesienia pisemnego umotywowanego żądania zaprzestania przetwarzania danych i
wniesienia sprzeciwu wobec przetwarzania danych lub wobec ich przekazywania innemu
administratorowi. Natomiast Związek, pismem z dnia 10 grudnia 2007 r. poinformował Skarżącą o
celu zbierania danych, o tym, że posiadała ona prawo dostępu do swoich danych i ich poprawiania.
W piśmie tym nie było informacji o aktualnym celu przetwarzania danych Skarżącej przez ten
Związek.
W związku z zaistniałymi wątpliwościami co do aktualnego celu przetwarzania danych
osobowych Skarżącej przez Związek Generalny Inspektor przeprowadził w siedzibie tego związku
czynności kontrolne, w toku których Prezes Zarządu Związku wyjaśnił, że „dane osobowe Pani X w
dniu 14 kwietnia zostały usunięte z listy członków Związku (...)” zaznaczając, że „nie jest [to]
tożsame z tym, iż dane Pani X nie są przetwarzane przez Związek ”. Zarówno deklaracja
członkowska, jak i korespondencja dotycząca Skarżącej „przechowywane są w celach archiwalno -
dowodowych”. W dniu 19 marca 2008 r. Związek skierował do Skarżącej pismo informujące ją, że
„przetwarza aktualnie [jej] dane osobowe w celach dowodowych i archiwalnych”.
Po dokonaniu ponownej analizy materiału dowodowego zgromadzonego w niniejszej sprawie
Generalny Inspektor Ochrony Danych Osobowych stwierdził, co następuje:
Zaskarżoną przez Panią X decyzję z dnia 31 października 2007 r. (znak: GI-DEC-DOLiS-
237/07/6184,6185,6186,6187) należy uznać za zgodną z obowiązującymi przepisami prawa i ustalonym
stanem faktycznym.
Odnosząc się do zarzutu Skarżącej, że „przedmiotowa decyzja nie zawiera formy i terminów
wykonania nakazów zawartych w pkt 1 i 2 jej osnowy, co rodzi uzasadnioną obawę iż może nie być
wykonana”, wskazać należy, że art. 107 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania
administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) – zwanej dalej Kpa., wskazuje jakie
elementy powinna zawierać decyzja administracyjna, jednakże ani ten przepis ani żaden inny, nie nakładają
na organ wydający decyzję obowiązku wyznaczenia terminu jej wykonania. Z kolei art. 130 § 1 stanowi, że
przed upływem terminu do wniesienia odwołania decyzja nie ulega wykonaniu.
W przedmiotowej sprawie Związek wykonał zawarty w zaskarżonej decyzji nakaz usunięcia
uchybień w procesie przetwarzania danych osobowych Skarżącej poprzez dopełnienie wobec niej
obowiązku informacyjnego określonego w art. 25 ust. 1 pkt 2, pkt 3 i pkt 4 i pkt 5 ustawy o
ochronie danych osobowych i pismem z dnia 19 grudnia 2007 r. poinformował ją o celu zbierania
danych Skarżącej, przewidywanym odbiorcy danych, o prawie dostępu do treści swoich danych
oraz ich poprawiania, a także o uprawnieniach wynikających z art. 32 ust 1 pkt 7 i 8 (pkt 5). Zarzut
Skarżącej w powyższym zakresie należy więc uznać za nieuzasadniony.
Z kolei w odniesieniu do zarzutu Skarżącej, że Związek nie dopełnił wobec niej obowiązków
informacyjnych wynikających z art. 24 ust. 1 pkt 2 pkt 3 i pkt 4 ustawy, ponieważ nie została
poinformowana o aktualnym celu przetwarzania jej danych osobowych przez ten związek, wskazać
należy, że w wykonaniu decyzji Generalnego Inspektora Skarżąca została poinformowana (zgodnie
z nakazem zawartym w tym przepisie) o celu zbierania danych, o tym, że posiadała prawo dostępu
do swoich danych i ich poprawiania.
Podkreślić również należy, że zarzut dotyczący niepoinformowania Skarżącej o aktualnym
celu przetwarzania jej danych osobowych przez Związek nie był przez nią podniesiony w toku
dotychczasowego postępowania w niniejszej sprawie, lecz został sformułowany dopiero po otrzymaniu przez
nią pisma stanowiącego wykonanie nakazu, o którym mowa w zaskarżonej decyzji Generalnego Inspektora.
Brak jest zatem podstaw do oceny zasadności ww. zarzutu w ramach decyzji wydanej na skutek
przeprowadzenia postępowania odwoławczego, skoro Skarżąca nie uczyniła go przedmiotem skargi inicjującej
postępowanie przed Generalnym Inspektorem. Jak podkreśla się w literaturze przedmiotu: „(...) zakres
rozstrzygnięcia sprawy administracyjnej decyzją odwoławczą wyznaczony jest zakresem rozstrzygnięcia
sprawy decyzją organu I instancji. Organ odwoławczy nie może zmieniać rodzaju sprawy, a zatem w
postępowaniu odwoławczym może być rozpoznana i rozstrzygnięta wyłącznie tożsama pod względem
podmiotowym i przedmiotowym sprawa. Organ odwoławczy nie może równie z rozszerzać zakresu sprawy
(...)” (B. Adamiak, J. Borkowski „Kodeks postępowania administracyjnego. Komentarz” 7 wydanie,
Wydawnictwo C.H.Beck, Warszawa 2005, str. 600).
Ponadto, wskazać należy, że pismem z dnia 17 sierpnia 2006 r. skierowanym do Związku
Skarżąca (jak sama podkreśliła - na podstawie art. 32 ust. 1 pkt 6 ustawy o ochronie danych
osobowych) wniosła o niezwłoczne sprostowanie jej danych osobowych, nie złożyła natomiast do
administratora danych wniosku o którym mowa w art. 33 ust 1 pkt 3 ustawy, tj. wniosku o
poinformowanie jej w jakim celu i zakresie jej dane są przetwarzane. Po podniesieniu powyższej
kwestii na etapie postępowania odwoławczego prowadzonego przez Generalnego Inspektora,
pismem z dnia 19 marca 2008 r. Związek poinformował Skarżącą, że przetwarza jej dane osobowe
w celach dowodowych i archiwalnych.
Odnosząc się do zarzutu Skarżącej, że jej oświadczenie woli „przystąpienia do Związku i
przestrzegania postanowień statutu powinien złożone na deklaracji członkowskiej (...) w żadnym
razie nie może być uznane za równoznaczne z wyrażeniem [przez nią] zgody na przetwarzanie [jej]
danych osobowych przez ten związek”, ponownie wskazać należy, że przesłanki przetwarzania (w
tym m.in. udostępniania) danych zostały enumeratywnie wymienione w art. 23 ust. 1 ustawy, a
każda z nich legalizując proces przetwarzania danych, ma charakter autonomiczny i niezależny.
Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej
jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Przetwarzanie
danych osobowych jest zatem możliwe m.in. gdy jest to niezbędne do wypełnienia prawnie
usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a
przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (art. 23 ust. 1 pkt 5). W
konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną, podstawą przetwarzania danych
osobowych, bowiem proces przetwarzania danych będzie zgodny z ustawą wówczas, gdy
administrator danych wykaże spełnienie przynajmniej jednej z wyżej wymienionych przesłanek.
Skarżąca wypełniła „Deklarację członkostwa” Związku , w której udostępniła swoje dane
osobowe i oświadczyła iż deklaruje wolę przystąpienia do tego Związku. Dane zostały zatem
pozyskane przez tego administratora bezpośrednio od Skarżącej, a podstawą prawną ich
przetwarzania jest przesłanka prawnie usprawiedliwionego celu administratora danych określona
powyższym przepisie (w tym przypadku - cele statutowe).
Odrębnym zagadnieniem w niniejszej sprawie jest kwestia zasadności przetwarzania danych
osobowych Skarżącej przez Związek w związku z negowaniem przez nią przynależności do tego związku.
Odnosząc się do przedstawionych we wniosku o ponowne rozpatrzenie sprawy zarzutów
Skarżącej, że przetwarzanie jej danych osobowych nie może być legalizowane przesłankami z art.
23 ust. 1 pkt 5 i art. 27 ust. 2 pkt 4 ustawy, ponieważ przesłanki te nie mogą dotyczyć danych
„merytorycznie niepoprawnych, nieprawdziwych, (...) udostępnionych nieuprawnionym podmiotom
zewnętrznym”, ponownie wskazać należy, że Generalny Inspektor nie jest organem powołanym do
ustalania istnienia stosunków cywilnoprawnych, takich jak np. przynależność do określonych
organizacji, gdyż rozstrzygnięcie tego typu kwestii należy wyłącznie do kompetencji sądów
powszechnych. W przedmiotowej sprawie podstawowym zagadnieniem podnoszonym wielokrotnie przez
Skarżącą jest ustalenie jej faktycznego członkostwa w Związku. Kwestionując swoją przynależność do
tego Związku Skarżąca de facto domaga się rozstrzygnięcia przez Generalnego Inspektora istnienia bądź
nieistnienia stosunku prawnego łączącego ją z tym Związkiem, podczas gdy o członkostwie Skarżącej w
Związku może rozstrzygnąć wyłącznie sąd powszechny po rozpatrzeniu sprawy wniesionej w drodze
powództwa cywilnego. O powyższej okoliczności Skarżąca została poinformowana w zaskarżonej decyzji, a
we wniosku o ponowne rozpatrzenie sprawy wskazała, że kwestia jej „domniemanego >członkostwa< w
Związku (...) będzie przedmiotem sądowego ustalenia, ponieważ dotychczas owo domniemane
>członkostwo< nie zostało [jej] udowodnione przez Zarząd tego Związku”.
Generalny Inspektor – zgodnie ze swoimi kompetencjami, dokonał oceny legalności
przetwarzania danych osobowych Skarżącej przez wskazane przez nią podmioty, a w świetle
zebranego w sprawie materiału dowodowego oraz w oparciu o wymienione w ustawie i powołane w
zaskarżonej decyzji przesłanki legalizujące przetwarzanie danych osobowych uznał, że w
powyższym zakresie, wobec Skarżącej nie zostały naruszone przepisy ustawy.
W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych
podtrzymuje swoje stanowisko wyrażone w decyzji z dnia 31 października 2007 r. (znak: GI-DECDOLiS-
237/07/6184,6185,6186,6187), uznając je za zasadne.
Mając powyższe na uwadze, w tym stanie prawnym i faktycznym, Generalny Inspektor
Ochrony Danych Osobowych rozstrzygnął, jak we wstępie.
Decyzja jest ostateczna. Na podstawie art. 21 ust. 2 ustawy o ochronie danych osobowych,
w związku z art. 13 § 2 oraz art. 53 § 1 i 54 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo
o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 z późn. zm.), od
niniejszej decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu
Administracyjnego w Warszawie, w terminie 30 dni od dnia doręczenia niniejszej decyzji,
za pośrednictwem Generalnego Inspektora Ochrony Danych Osobowych (na adres: ul. Stawki 2, 00
– 193 Warszawa).