Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 kwietnia 2014 r., II SA/Wa 125/14

wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 kwietnia 2014 r., II SA/Wa 125/14

Sentencja

1 Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk Sędziowie WSA Janusz Walawski (spr.) Eugeniusz Wasilewski Protokolant starszy referent Marcin Borkowski po rozpoznaniu na rozprawie w dniu 28 kwietnia 2014 r. sprawy ze skargi [...] Sp. z o.o. [...] Sp. j. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2013 r. nr [...] w przedmiocie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję, 2. stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości, 3. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz [...] Sp. z o.o. [...] Sp. j. z siedzibą w W. kwotę 440 (czterysta czterdzieści) złotych tytułem zwrotu kosztów postępowania.

Uzasadnienie

2 Wojewódzki Sąd Administracyjny w Warszawie w dniu 2 czerwca 2011 r. wydał wyrok o sygn. akt II SA/WA 720/11, którym oddalił skargę I. Sp. j. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2011 r. nr [...] w przedmiocie usunięcia uchybień w przetwarzaniu danych osobowych.

3 Sąd w uzasadnieniu wyroku podał, co następuje:

4 |Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 138 § 1 pkt 1 i 2 ustawy z dnia 14 czerwca 1960 r. - |

5 |Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 12 pkt 2, art. 18 ust. 1 pkt 1 i art. 22|

6 |w związku z art. 23 ust. 1 pkt 1, art. 25 ust. 1, art. 36 ust. 2, art. 37, art. 39 i art. 40 ustawy z dnia 29 sierpnia 1997 r. o |

7 |ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), decyzją z dnia [...] stycznia 2011 r. nr [...], po rozpoznaniu |

8 |wniosku powyżej określonej Spółki o ponowne rozpatrzenie sprawy, utrzymał w mocy decyzję poprzedzającą z dnia [...] września 2010 r. |

9 |nr [...], nakazującą usunięcie uchybień w procesie przetwarzania danych osobowych. |

10 |Generalny Inspektor Ochrony Danych Osobowych w decyzji poprzedzającej nakazał Spółce usunięcie uchybień w procesie przetwarzania |

11 |danych osobowych, poprzez: |

12 |1) dopełnienie wobec osób, których dane pochodzące ze źródeł powszechnie dostępnych (Monitor Sądowy i Monitor Gospodarczy) zostały |

13 |zebrane i utrwalone przez ww. administratora danych, obowiązku informacyjnego, o którym mowa w art. 25 ust. 1 ustawy o ochronie |

14 |danych osobowych, w terminie 3 miesięcy od dnia, w którym niniejsza decyzja stanie się ostateczna, |

15 |2) zgłoszenie do rejestracji zbioru danych osobowych klientów (właścicieli adresów poczty elektronicznej) w terminie 30 dni od dnia,|

16 |w którym niniejsza decyzja stanie się ostateczna, |

17 |3) zapewnienie użytkownikom serwisu I. możliwości swobodnego wyrażenia zgody na przetwarzanie ich danych osobowych w celach |

18 |marketingowych w terminie 30 dni od dnia, w którym niniejsza decyzja stanie się ostateczna, |

19 |4) opracowanie dokumentacji stanowiącej politykę bezpieczeństwa oraz instrukcję zarządzania systemem informatycznym służącym do |

20 |przetwarzania danych osobowych, w terminie 30 dni od dnia, w którym niniejsza decyzja stanie się ostateczna, |

21 |5) nadanie upoważnień do przetwarzania danych osobowych osobom dopuszczonym do przetwarzania danych osobowych w terminie 14 dni od |

22 |dnia, w którym niniejsza decyzja stanie się ostateczna, |

23 |6) opracowaniu ewidencji osób upoważnionych do przetwarzania danych osobowych w terminie 14 dni od dnia, w którym niniejsza decyzja|

24 |stanie się ostateczna. |

25 |W pozostałym zakresie postępowanie zostało umorzone. |

26 |W dniu [...] października 2010 r. do Generalnego Inspektora Ochrony Danych Osobowych wpłynął wniosek pełnomocnika Spółki o ponowne |

27 |rozpatrzenie przedmiotowej sprawy, w którym zarzucono zaskarżonej decyzji naruszenie prawa materialnego, tj. art. 25 ust. 1 i ust. 2|

28 |pkt 1 ustawy o ochronie danych osobowych w zw. z art. 8 ust. 1-2 ustawy z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym (Dz.|

29 |U. z 2007 r. Nr 168, poz. 1186 ze zm.) oraz wniesiono o uchylenie zaskarżonej decyzji i umorzenie postępowania. |

30 |Spółka podkreśliła, że przyjęcie przez Generalnego Inspektora Ochrony Danych Osobowych stanowiska, potwierdzającego obowiązek |

31 |zbierającego dane z KRS przekazania osobie fizycznej, ujawnionej w rejestrze, informacji określonych w art. 25 ust. 1 ustawy o |

32 |ochronie danych osobowych, skutkować będzie tym, iż wymóg taki będzie wówczas powszechnie występował w obrocie gospodarczym, w |

33 |związku z szeregiem czynności związanych z pozyskiwaniem danych z KRS, np. w przypadku kancelarii prawnych, sprawdzających |

34 |prawidłową reprezentację stron stosunków umownych. |

35 |W zakresie natomiast pozostałych zarzutów, wymienionych w pkt I.2-6 rozstrzygnięcia zaskarżonej decyzji Spółka wyjaśniła, że |

36 |aktualnie prowadzi działania mające na celu przywrócenie stanu zgodnego z przepisami ustawy o dostępie do informacji publicznej, |

37 |wskazując jakiego rodzaju działania przywracające stan zgodny z prawem zostały podjęte. |

38 |Generalny Inspektor Ochrony Danych Osobowych w uzasadnieniu zaskarżonej decyzji przytoczył treść art. 25 ust. 1 ustawy, zgodnie z |

39 |którym w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę|

40 |osobę, bezpośrednio po utrwaleniu zebranych danych, o: 1) adresie swojej siedziby i pełnej nazwie, a w przypadku, gdy |

41 |administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku, 2) celu i zakresie zbierania |

42 |danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych, 3) źródle danych, 4) prawie dostępu do treści swoich danych|

43 |oraz ich poprawiania, 5) uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8. Natomiast zgodnie z treścią art. 25 ust. 2 pkt 1 |

44 |ustawy, przepisu ust. 1 nie stosuje się, jeżeli: przepis innej ustawy przewiduje lub dopuszcza zbieranie danych osobowych bez wiedzy|

45 |osoby, której dane dotyczą. |

46 |Organ podniósł, że Spółka prowadzi działalność w zakresie świadczenia usług odpłatnego udzielania informacji gospodarczej, |

47 |pochodzącej ze źródeł powszechnie dostępnych (Monitor Sądowy i Monitor Gospodarczy), osobom zainteresowanym. Usługa ta jest |

48 |udostępniana za pośrednictwem publicznej sieci Internet. W związku z powyższym, Spółka przetwarza dane osobowe w zakresie: imię, |

49 |nazwisko, nr PESEL, pełniona funkcja, rok urodzenia, które zostały ujawnione w Krajowym Rejestrze Sądowym (KRS). |

50 |Generalny Inspektor Ochrony Danych Osobowych stwierdził, że przedmiotowa ustawa nie zakazuje tworzenia odrębnych zbiorów na |

51 |podstawie danych pochodzących ze źródeł powszechnie dostępnych, jednakże nie oznacza to, że powstałe w ten sposób zbiory nie |

52 |podlegają przepisom tej ustawy. Przede wszystkim Spółka, jako administrator danych osobowych, powinna legitymować się przesłanką do |

53 |ich przetwarzania. W opisanej sytuacji należałoby uznać, że taką przesłankę może stanowić art. 23 ust. 1 pkt 5 ustawy, zgodnie z |

54 |którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów |

55 |realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane |

56 |dotyczą. Kolejnym obowiązkiem, który ciąży na administratorze danych, jest zgłoszenie zbioru do rejestracji Generalnemu Inspektorowi|

57 |Ochrony Danych Osobowych, z wyjątkiem przypadków, o których mowa w art. 43 ust. 1 (art. 40 ustawy). W opisanym przypadku mamy do |

58 |czynienia z wyjątkiem, o którym mowa w art. 43 ust. 1 pkt 9 ustawy, tj. z obowiązku rejestracji zbioru danych zwolnieni są |

59 |administratorzy danych powszechnie dostępnych. Brak jest natomiast podstaw do zwolnienia Spółki z obowiązku przekazania osobom, |

60 |których dane dotyczą, informacji, o których mowa w art. 25 ust. 1 ustawy o ochronie danych osobowych. |

61 |Organ podkreślił, że Spółka pozyskuje dane z KRS w celu utworzenia odrębnego zbioru danych, który wykorzystuje dla własnych celów |

62 |zarobkowych. W ten sposób Spółka staje się administratorem zebranych w opisany sposób danych, zatem, jako na administratorze danych,|

63 |ciąży na niej obowiązek informacyjny (bezpośrednio po utrwaleniu zebranych danych), o którym mowa w art. 25 ust. 1 przedmiotowej |

64 |ustawy. |

65 |Przesłanki, o których mowa w art. 25 ust. 2 pkt 1 ustawy, dotyczą zaś sytuacji, gdy przepis innej ustawy przewiduje lub dopuszcza |

66 |zbieranie danych osobowych bez wiedzy osoby, której dane dotyczą. Zwolnienie to dotyczy zatem podmiotów, których działalność, |

67 |polegająca na przetwarzaniu danych osobowych, została uregulowana szczegółowymi przepisami prawa. Spółka nie jest podmiotem |

68 |(administratorem danych) prowadzącym rejestry publiczne na podstawie przepisów prawa, a jedynie administratorem danych, który |

69 |pozyskał dane z takiego rejestru. Zasady dotyczące jawności danych z KRS nie zobowiązują Spółki do upowszechnienia posiadanych |

70 |informacji, świadczy ona swoje usługi odpłatnie. Co więcej mogłaby ona utajnić posiadane dane i nikt nie mógłby żądać od niej |

71 |ujawnienia zebranych informacji, powołując się na przepisy o Krajowym Rejestrze Sądowym. |

72 |Organ wskazał również, że dane osobowe zostały umieszczone w Krajowym Rejestrze Sądowym m.in. w celu zapewnienia jawności obrotu |

73 |gospodarczego. W tym też celu powinny być przetwarzane przez podmioty je pozyskujące. Natomiast Spółka stworzyła swoją bazę na |

74 |podstawie informacji z KRS i świadczy usługi w zakresie udostępniania informacji, wśród których znajdują się dane osobowe, dla |

75 |realizacji swoich celów zarobkowych. |

76 |Konstytucyjnie zagwarantowane prawa osób do nieujawniania dotyczących ich informacji mogą ograniczać wyłącznie przepisy rangi |

77 |ustawowej. Ustawa o Krajowym Rejestrze Sądowym jest właśnie takim aktem, bowiem zgodnie z treścią art. 35 pkt 1 tej ustawy, ilekroć |

78 |do Rejestru wpisuje się: osobę fizyczną - zamieszcza się nazwisko i imiona oraz identyfikator nadany w systemie ewidencji ludności, |

79 |zwany dalej "numerem PESEL". Przy tym rejestr ten jest jawny, bowiem powstał m.in. dla zapewnienia jawności danych podmiotów |

80 |uczestniczących w życiu gospodarczym. Osoby, o których mowa w przepisach ustawy o KRS, mają zatem obowiązek podania swoich danych w |

81 |celu ich zamieszczenia w tym rejestrze, muszą też liczyć się z ich ujawnieniem. Nie oznacza to jednak, że muszą one godzić się na |

82 |wykorzystanie ich danych w celach innych, niż (ogólnie rzecz ujmując) "jawność obrotu gospodarczego". W myśl art. 26 ust. 1 pkt 2 |

83 |ustawy o dostępie do informacji publicznej, administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu|

84 |ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były: zbierane dla |

85 |oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu, niezgodnemu z tymi celami, z zastrzeżeniem ust. 2. |

86 |Niedopełnienie przez Spółkę obowiązku informacyjnego wobec osób, których dane dotyczą, pozbawia te osoby podstawowego prawa do |

87 |informacji o przetwarzaniu ich danych, a tym samym ogranicza możliwość skorzystania z uprawnień, o których mowa w art. 32 ust. 1 pkt|

88 |7 i 8 ustawy o ochronie danych osobowych, tj. wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, |

89 |umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację; wniesienia sprzeciwu wobec |

90 |przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w |

91 |celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych. |

92 |Organ podkreślił również, że katalog przypadków, pozwalających odstąpić od przekazania informacji, o którym mowa w art. 25 ust. 1 |

93 |ustawy, uległ zmianie w wyniku nowelizacji ustawy, dokonanej w 2004 r. (uchylony został m.in. przepis ust. 2 pkt 2 powołanego |

94 |artykułu, który zwalniał z dopełnienia tego obowiązku w sytuacji, gdy "dane przewidziane do zebrania są ogólnie dostępne"). Z tych |

95 |względów należy uznać, iż intencją ustawodawcy było zobowiązanie administratorów danych, którzy zbierają dane "ogólnie dostępne", do|

96 |dopełniania obowiązków wynikających z powołanego przepisu. |

97 |Odnosząc się do wniosku o uchylenie decyzji i umorzenie postępowania w zakresie pkt I ppkt 2-6 zaskarżonej decyzji, organ wskazał, |

98 |że rozstrzygnięcie zawarte w zaskarżonej decyzji jest prawidłowe zarówno z punktu widzenia zgodności z prawem, jak i pod względem |

99 |celowości. Z uwagi na to, że zaskarżona decyzja została wydana na podstawie właściwie zastosowanych przepisów prawa oraz na |

100 |podstawie prawidłowo ustalonego stanu faktycznego, należało utrzymać ją w mocy. |

101 |Natomiast na podstawie przedstawionych przez Spółkę dowodów, zawartych we wniosku o ponowne rozpatrzenie sprawy z dnia [...] |

102 |października 2010 r. oraz w piśmie z dnia [...] grudnia 2010 r., organ uznał, że wykonała ona pozostałe nakazy decyzji Generalnego |

103 |Inspektora Ochrony Danych Osobowych z dnia [...] września 2010 r. |

104 |W dniu 28 lutego 2011 r. skargę na powyższą decyzję oraz na decyzję ją poprzedzającą złożyła Spółka, reprezentowana przez |

105 |profesjonalnego pełnomocnika, wnosząc o stwierdzenie ich nieważności, ewentualnie o ich uchylenie, ponadto Spółka wniosła o |

106 |wstrzymanie wykonalności zaskarżonych decyzji i o zasądzenie na jej rzecz zwrotu kosztów postępowania. |

107 |Pełnomocnik Spółki zarzucił zaskarżonym decyzjom spełnienie przesłanki, o której mowa w art. 156 § 1 pkt 5 Kpa, powodującej ich |

108 |nieważność ze względu na trwałą niewykonalność (istniejącą już w dniu wydania aktów administracyjnych) nałożonego w decyzji |

109 |obowiązku przekazania informacji osobie, której dane dotyczą, a także naruszenie przepisów ustawy o ochronie danych osobowych, tj. |

110 |art. 25 ust. 2 pkt 1 w zw. z ust. 1 tej ustawy oraz art. 8 ust. 1-2 ustawy o Krajowym Rejestrze Sądowym, poprzez błędną wykładnię |

111 |wspomnianego przepisu, polegającą na stwierdzeniu przez organ administracji publicznej, że w przedmiotowej sprawie nie zachodzi |

112 |wyłączenie obowiązku informacyjnego oraz art. 18 ust. 1 ustawy o dostępie do informacji publicznej poprzez zawarcie w decyzji |

113 |administracyjnej wadliwego rozstrzygnięcia, w którym nie określa się przedmiotu nakazu, tj. czynności służących przywróceniu stanu |

114 |zgodnego z prawem. |

115 |W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał argumenty zawarte w zaskarżonej decyzji. |

116 |Sąd, oddalając skargę, podał, że ustawa o ochronie danych osobowych statuuje zasadę ochrony danych osobowych. Zgodnie z art. 1 tej |

117 |ustawy, każdy ma prawo do ochrony dotyczących go danych osobowych, a samo przetwarzanie danych osobowych może mieć miejsce ze |

118 |względu na dobro publiczne lub dobro osoby, której te dane dotyczą. |

119 |Ochrona danych osobowych jest jednym z podstawowych praw obywatelskich w demokratycznym państwie prawa. Ochrona danych osobowych |

120 |wiąże się bowiem z ochroną życia prywatnego, a zatem stanowi o wolności obywatela. Prawo do ochrony danych osobowych nie jest jednak|

121 |prawem absolutnym i podlega ograniczeniu ze względu na interes publiczny lub usprawiedliwiony interes innych osób. Niemniej jednak, |

122 |skoro jest to prawo obywatelskie, decydujące o poczuciu wolności danej osoby, to wyjątki dopuszczające zbieranie i wykorzystywanie |

123 |danych osobowych powinny być poddane ścisłej wykładni. Ustawodawca, kierując się wartościami ochrony praw konstytucyjnych, nie może |

124 |dopuścić do sytuacji, w której to prawo, poprzez rozszerzającą interpretację przepisów dotyczących przetwarzania i udostępnienia |

125 |danych osobowych, jest naruszane. |

126 |Za błędny należy uznać pogląd, przedstawiony przez pełnomocnika Spółki, iż podstawa prawna zaniechania przez niego obowiązku |

127 |informacyjnego, określonego w art. 25 ust. 1 ustawy, istnieje w jej art. 25 ust. 2 pkt 1 w zw. z art. 8 ust. 1-2 ustawy z dnia 27 |

128 |sierpnia 1997 r. o Krajowym Rejestrze Sądowym (Dz. U. z roku 2007 Nr 168, poz.1186 ze zm.). Przepis art. 25 ust. 2 pkt 1 statuuje, |

129 |iż nie ma obowiązku powiadamiania osoby, której dane dotyczą, w sytuacji, gdy przepis innej ustawy przewiduje lub dopuszcza |

130 |zbieranie danych osobowych bez wiedzy osoby, której te dane dotyczą. |

131 |Przepisy ustawy o Krajowym Rejestrze Sądowym określają zasady wpisu do rejestru oraz zasady jego udostępnienia. Wspomniany w skardze|

132 |art. 8 ust. 1-2 ustawy o Krajowym Rejestrze Sądowym statuuje zasadę jawności danych zawartych w rejestrze. Należy jednak zauważyć, |

133 |że ww. ustawa z dnia 27 sierpnia 1997 r. reguluje sposób udostępnienia danych osobowych osób, których dane znajdują się w KRS w |

134 |sposób całkowity. Dane te udostępniane są w drodze elektronicznej przez Centralną Informację KRS lub w drodze przeglądania akt |

135 |rejestru we właściwych wydziałach sądów. Dane te są udostępniane każdemu zainteresowanemu, dla jego potrzeb związanych z pewnością |

136 |obrotu gospodarczego. Osoba, która podejmuje działalność, która ma być wpisana do KRS, wie, że jej dane są w prowadzonym przez |

137 |Państwo rejestrze i tylko na podstawie przepisów dotyczących funkcjonowania tego rejestru te dane będą wykorzystane. |

138 |Tymczasem Spółka pobiera dane osobowe osób znajdujących się w KRS, takie jak imię, nazwisko, numer PESEL, do własnej bazy danych, w |

139 |której te dane są przetwarzane. Dane z KRS nie mają służyć do takiego celu, a osoby, które udostępniają swoje dane osobowe nie |

140 |wyrażają zgody na to, aby ich dane osobowe były umieszczane w innej, prywatnej bazie danych. Decydując się na umieszczenie swoich |

141 |danych w KRS, przedsiębiorcy mają zaufanie, że ich dane będą ujawniane i wykorzystywane tylko w taki sposób, na jaki zezwala ustawa |

142 |o Krajowym Rejestrze Sądowym. Takie rozumienie przepisu art. 25 ust. 2 pkt 1 przedmiotowej ustawy w zw. z art. 8 ust. 1-2 ustawy o |

143 |Krajowym Rejestrze Sądowym wynika ze ściślej interpretacji tych przepisów. Ustawodawca nie może bowiem dopuścić do tego, że ochrona |

144 |danych osobowych, znajdujących się w KRS, nie będzie ograniczona wobec podmiotów, które będą chciały wykorzystać te dane w innych |

145 |celach i na innych zasadach niż dopuszcza to ustawa o Krajowym Rejestrze Sądowym. Wówczas dopuszczonoby także do sytuacji, w której |

146 |dane z KRS mogłyby być w nieograniczony sposób wykorzystywane, bez woli osób w nich ujętych, w celu utworzenia bazy danych dla |

147 |prowadzenia kampanii marketingowych. |

148 |Powyższa interpretacja art. 25 ust. 2 pkt 1 ustawy o ochronie danych osobowych ma uzasadnienie także w wykładni historycznej art. 25|

149 |ust. 2 tej ustawy, który obowiązywał do dnia 1 maja 2004 r. Przepis ten przewidywał, że administrator nie informował danej osoby o |

150 |tym, że jej dane znajdują się w bazie danych w sytuacji, gdy dane te pochodziły ze zbiorów powszechnie dostępnych. Wejście w dniu 1 |

151 |maja 2004 r., a więc w dniu przystąpienia Polski do Unii Europejskiej, przepisów ustawy z dnia 22 stycznia 2004 r. o zmianie ustawy |

152 |o ochronie danych osobowych oraz ustawy o wynagrodzeniu osób zajmujących kierownicze stanowiska państwowe (Dz. U. Nr 33, poz. 285) |

153 |spowodowało, iż uchylone zostały wyłączenia obowiązku informacyjnego. Tym samym w przypadku pozyskiwania danych ze źródeł ogólnie |

154 |dostępnych (pkt 2), czyli np. opublikowanych we wszelkich wykazach, spisach, rejestrach, książkach telefonicznych, almanachach(...).|

155 |Istnieje również obowiązek poinformowania osoby, której dane dotyczą o ich przetwarzaniu (P. Barta, P. Litwiński, Ustawa o ochronie |

156 |danych osobowych. Komentarz, Warszawa 2009, s. 257). Ustawodawca, implementując przepisy europejskie do polskiego prawa ochrony |

157 |danych osobowych, wykreślił możliwości nieinformowania osoby o jej uprawnieniach związanych z przetwarzaniem danych osobowych w |

158 |sytuacji, gdy jej dane są zawarte w powszechnie dostępnych i jawnych rejestrach. Tak więc w sytuacji, gdy Spółka pozyskuje dane |

159 |osobowe z KRS w celu ich przetwarzania jest zobowiązana do wypełnienia obowiązku informacyjnego, określonego w art. 25 ust. 1 ustawy|

160 |o ochronie danych osobowych. |

161 |Za nieuzasadniony należy uznać zarzut skarżącego, że zaskarżona decyzja stoi w sprzeczności z postanowieniami Dyrektywy 2003/98/WE |

162 |Rady i Parlamentu Europejskiego z dnia 17 listopada 2003 r. w sprawie ponownego wykorzystywania informacji sektora publicznego. |

163 |Powyższy akt prawny nie ma zastosowania wprost do polskiego porządku prawnego, bowiem dyrektywy unijne są implementowane do porządku|

164 |prawnego państwa członkowskiego i dopiero wówczas wchodzą w życie w danym porządku prawnym. Powyższa dyrektywa nie jest przyjęta do |

165 |prawa polskiego i dopiero trwają prace nad jej implementacją (por. Założenia do projektu ustawy o ponownym wykorzystaniu informacji |

166 |publicznej z dnia 3 września 2009 r., opublikowane w bip.mswia.gov.pl/download.php?s=4&id=5366). |

167 |Wbrew zarzutom skargi należy uznać, że zaskarżona decyzja jest wykonalna. Spółka, budując własną bazę danych osobowych, posiada |

168 |dane, które zezwalają jej na wykonanie obowiązku informacyjnego wobec osób, które się w tej bazie znajdują, są tam bowiem imiona i |

169 |nazwiska osób oraz numery PESEL osób fizycznych, a także siedziba podmiotów gospodarczych, w których pełnią one funkcje. Nadto |

170 |Spółka może skorzystać z usług Centralnego Biura Adresowego. Fakt, że jest to duże przedsięwzięcie organizacyjne i dotyczy znacznej |

171 |liczby osób nie oznacza, że jest ono niewykonalne. Spółka, budując dużą bazę danych, musiała się liczyć z tym, że w stosunku do |

172 |takiej liczby osób będzie miała określone przepisami ustawy o ochronie danych osobowych obowiązki. |

173 |W ocenie Sądu, decyzje wydane przez Generalnego Inspektora Ochrony Danych Osobowych nie naruszają treści art. 18 ust. 1 ustawy o |

174 |ochronie danych osobowych. Dyspozycja w tym zakresie jest jasna. Spółka ma wykonać obowiązek informacyjny, określony w treści art. |

175 |25 ust. 1 przedmiotowej ustawy. Organ nie miał obowiązku wskazywać, w jaki konkretny sposób ma ten obowiązek wykonać. Sposób, w jaki|

176 |zostaną zawiadomione osoby, których dane osobowe znajdują się w bazie danych, jest pozostawiony Spółce, która powinna go dostosować |

177 |do posiadanych danych i swoich możliwości organizacyjnych. Wskazanie przez organ na konkretny sposób zawiadomienia, np. tylko pocztą|

178 |albo tylko drogą elektroniczną, nie miałoby uzasadnienia w charakterze sprawy, a nawet mogłoby doprowadzić do niewykonalności |

179 |decyzji. |

180 |Naczelny Sąd Administracyjny, po rozpoznaniu skargi kasacyjnej I. Sp. j. z siedzibą w W. od wyroku Wojewódzkiego Sądu |

181 |Administracyjnego w Warszawie z dnia 2 czerwca 2011 r., sygn. akt II SA/Wa 720/11 w sprawie ze skargi powyżej określonej Spółki na |

182 |decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2011 r. nr [...] w przedmiocie usunięcia uchybień w |

183 |przetwarzaniu danych osobowych, w dniu 24 stycznia 2013 r. wydał wyrok o sygn. akt I OSK 1827/11, którym uchylił zaskarżony wyrok i |

184 |przekazał sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz zasądził od Generalnego Inspektora|

185 |Ochrony Danych Osobowych na rzecz Spółki kwotę 380 zł tytułem zwrotu kosztów postępowania kasacyjnego. |

186 |Naczelny Sąd Administracyjny w uzasadnieniu wyroku podał, co następuje: |

187 |W zaskarżonej decyzji organ swe rozstrzygnięcie oparł na art. 18 ust. 1 pkt 1 ustawy o ochronie danych osobowych, nakazując Spółce |

188 |usunięcie uchybień w procesie przetwarzania danych osobowych przez m.in. dopełnienie wobec osób, których dane pochodzą ze źródeł |

189 |powszechnie dostępnych (Monitor Sądowy i Monitor Gospodarczy), a które zostały zebrane i utrwalone przez ww. administratora danych, |

190 |obowiązku informacyjnego, o którym mowa w art. 25 ust. 1 powołanej ustawy. Zauważyć należy, iż art. 18 ust. 1 zawiera cały szereg |

191 |sankcji, które ustawodawca wyraźnie różnicuje, stopniując ich rodzaj i zakres. |

192 |Prawidłowe zastosowanie tych sankcji wymaga więc przeprowadzenia postępowania wyjaśniającego, spełniającego wymogi kodeksowe, |

193 |zamieszczone w przepisach art. 7 i art. 77 Kpa, jak również uwzględniającego regulacje materialnoprawne, z których wynika |

194 |konieczność umiejętnego stopniowania sankcji. |

195 |Stosując nakazy, Generalny Inspektor Ochrony Danych Osobowych powinien uwzględniać wynikający także z konkretnego stanu faktycznego |

196 |charakter stwierdzonego naruszenia. Zastosowana sankcja administracyjna powinna być adekwatna, współmierna do stopnia naruszenia |

197 |prawa, a także winna uwzględniać zagrożenie praw osoby, której dane dotyczą (art. 23 ust. 1 pkt 5 i art. 26 ust. 1 pkt 1, 2 i 3 |

198 |ustawy). |

199 |W doktrynie oprócz tego wyraża się pogląd, iż decyzje Generalnego Inspektora powinny być podejmowane rozważnie, tak aby osiągnąć |

200 |zamierzony cel (stan zgodności z prawem) środkami możliwie jak najmniej dotkliwymi (uciążliwymi) dla adresata decyzji (G. Sibiga, |

201 |Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 153, J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych |

202 |osobowych. Komentarz, wyd. 5, Lex a Wolters Kluwer Business, Warszawa 2011, s. 430 i 431). |

203 |Podzielając powyższe poglądy, Naczelny Sąd Administracyjny zauważył, iż rozstrzygnięcia organu w tej sprawie nie spełniają |

204 |powyższych kryteriów. |

205 |Z ustaleń dokonanych przez organ wynika, iż skarżąca Spółka w ramach prowadzonej działalności komercyjnej świadczenia usług, |

206 |polegających na udzielaniu informacji, przetwarza dane o osobach prawnych oraz jednostkach organizacyjnych nieposiadających |

207 |osobowości prawnej, których dane są ujawnione w Krajowym Rejestrze Sądowym (Monitor Sądowy i Gospodarczy). W zbiorach tych znajdują |

208 |się również dane osobowe osób fizycznych w zakresie: imię, nazwisko, nr PESEL, pełniona funkcja, rok urodzenia. Monitory Sądowy i |

209 |Gospodarczy nie zawierają danych o adresach osób fizycznych. |

210 |Zasadnie skarżąca Spółka podważa w tej sytuacji nałożenie przez organ ogólnie obowiązku spełnienia obowiązku informacyjnego, bez |

211 |wskazania, w jaki sposób i jakimi środkami administrator danych winien je uzyskać. |

212 |Stwierdzić należy, iż ani z materiałów postępowania wyjaśniającego, ani z uzasadnienia decyzji nie wynika, aby organ rozważał, a |

213 |następnie oceniał, czy zakres przetwarzania danych przez Spółkę był adekwatny do celów, w jakich były one przetwarzane, zwłaszcza w |

214 |kontekście zagrożenia interesów osób fizycznych, gdyż tylko z takich względów ustawodawca wprowadził w art. 25 ust. 1 obowiązek |

215 |informacyjny. Brak jest także materiałów pozwalających przyjąć, iż organ rozważał możliwość zastosowania innych środków, adekwatnych|

216 |do stwierdzonych uchybień, a pozwalających usunąć stan sprzeczny z prawem przy użyciu środków mniej uciążliwych dla skarżącej |

217 |Spółki. Tak ogólne sformułowanie obowiązku informacyjnego mogło być rozumiane przez skarżącą jako prowadzące do uzupełnienia danych |

218 |osobowych (art. 18 ust. 1 pkt 2 ustawy) o adresy osób fizycznych. Poszerzenie bazy danych osobowych o adresy osób fizycznych, przy |

219 |przesłance legalizacyjnej z art. 23 ust. 1 pkt 5 ustawy, stwarzałoby niebezpieczeństwo konfliktu z celem przetwarzania danych, a |

220 |nadto mogłoby godzić w dobro osób, których dane te dotyczą. Powyższe niebezpieczeństwo jawi się jako realne w świetle stanowiska |

221 |Wojewódzkiego Sądu Administracyjnego, wyrażonego w zaskarżonym wyroku, a dopuszczającego możliwość skorzystania przez administratora|

222 |danych osobowych z usług Centralnego Biura Adresowego. Tym samym realizacja obowiązku prowadziłaby do uzupełnienia danych osobowych |

223 |o adresy osób fizycznych. Niedostrzeżenie błędów organu oraz wadliwe sformułowanie wskazań dla organu oznacza, iż Sąd pierwszej |

224 |instancji wadliwie wykonał obowiązek kontroli legalności, a zarzuty skargi kasacyjnej naruszenia wskazanych wyżej przepisów ustawy -|

225 |Prawo o postępowaniu przed sądami administracyjnymi, Kpa oraz art. 18 ust. 1 pkt 1 i 2 przedmiotowej ustawy należy uznać za |

226 |usprawiedliwione. |

227 |Pozostałe zarzuty naruszenia przepisów postępowania zostały sformułowane w ten sposób, że zarzut naruszenia przepisów proceduralnych|

228 |przedstawia się jako wynik wadliwego zastosowania prawa materialnego, a ponadto postawiono także zarzut naruszenia przepisów prawa |

229 |materialnego w rozumieniu podstawy z art. 174 pkt 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami |

230 |administracyjnymi (Dz. U. z 2012 r., poz. 270 z późn. zm.). |

231 |Zarzuty te Sąd odwoławczy uznał częściowo za przedwczesne, jednocześnie w pewnym zakresie, usprawiedliwionym dotychczasowymi |

232 |ustaleniami, nie podzielił argumentacji skarżącej Spółki. |

233 |Wskazany jako naruszony przepis art. 25 ust. 2 pkt 1 ustawy o ochronie danych osobowych został w zarzucie powiązany z przepisami |

234 |art. 8 i art. 13 ustawy z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym. Przepis art. 25 ustawy o ochronie danych osobowych |

235 |reguluje powinność administratora danych w sytuacji zbierania danych osobowych nie od osoby, której one dotyczą. Ma on wówczas |

236 |obowiązek powiadomić tę osobę o adresie siedziby i pełnej nazwie lub imieniu i nazwisku oraz miejscu zamieszkania, gdy |

237 |administratorem jest osoba fizyczna, celu i zakresie zbierania danych oraz odbiorcach, źródle, prawie dostępu do treści swoich |

238 |danych oraz ich poprawiania i o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8. |

239 |Obowiązki te są wyłączone jeżeli przepis innej ustawy przewiduje lub dopuszcza zbieranie danych osobowych bez wiedzy osoby, której |

240 |dane dotyczą (art. 25 ust. 1 pkt 1 ustawy). |

241 |Spółka, powołując się na art. 8 i art. 13 ustawy o KRS, wywodzi, iż zawarta w nich treść normatywna odpowiada przesłankom |

242 |wyłączającym obowiązek informacyjny. |

243 |Przyjmując argumentację WSA i organu, że art. 8 ust. 1 i 2 ustawy o KRS statuuje zasadę jawności danych zawartych w Rejestrze, prawo|

244 |każdego dostępu do danych zawartych w Rejestrze za pośrednictwem Centralnej Informacji oraz obowiązek upublicznienia wpisów przez |

245 |ogłoszenie ich w Monitorze Sądowym i Gospodarczym, skarżąca Spółka podważa jednocześnie takie rozumienie przepisów obu ustaw, |

246 |zaprezentowane zarówno w decyzji, jak i w uzasadnieniu zaskarżonego wyroku, które akcentuje konieczność ścisłej interpretacji tych |

247 |przepisów. |

248 |Przypomnieć należy, uznając je jednocześnie za trafne, stanowisko organu, że dane dotyczące osób fizycznych, wpisane do KRS, są |

249 |danymi osobowymi, a zasady ich przetwarzania, jak: zbieranie, przekazywanie, utrwalanie, udostępnianie i zmienianie, w sposób |

250 |kompletny reguluje ustawa z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym. |

251 |Ustawa ta w sposób ścisły wskazuje równocześnie zakres danych osobowych, dotyczących osób fizycznych, wpisanych do Rejestru, które |

252 |muszą ograniczać się tylko do nazwiska, imienia oraz identyfikatora nadanego w systemie ewidencji ludności, zwanego "numerem PESEL".|

253 |Wspomniany numer identyfikacyjny, składający się z 11 cyfr, określa każdą osobę fizyczną, przy czym, co jest także istotne w tej |

254 |sprawie, cztery pierwsze cyfry oznaczają dokładną datę urodzenia w kolejności: data roczna, miesięczna oraz dzienna. W połączeniu z |

255 |nazwiskiem i imionami powyższe dane odpowiadają pojęciu danych osobowych, zdefiniowanych w art. 6 ust. 1 i 2 ustawy o ochronie |

256 |danych osobowych. |

257 |W myśl tych przepisów za dane osobowe uważa się wszelkie informacje, dotyczące zidentyfikowanej lub możliwej do zidentyfikowania |

258 |osoby fizycznej (ust. 1). Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio w|

259 |szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy |

260 |fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (ust. 2). Zauważyć należy, iż powyższa definicja stanowi |

261 |implementację definicji, zawartej w art. 2 pkt a Dyrektywy 95/46 WE Parlamentu Europejskiego i Rady. |

262 |Zwrócić należy uwagę, że zgodnie z art. 39 pkt 1 ustawy o KRS w zakresie danych dotyczących reprezentacji podmiotów gospodarczych |

263 |zamieszcza się oznaczenie organu uprawnionego do reprezentowania podmiotu oraz osób wchodzących w jego skład, ze wskazaniem sposobu |

264 |reprezentacji. |

265 |Zakres danych osobowych, wynikających z przepisów ustawy o Krajowym Rejestrze Sądowym, odpowiada celowi, w jakim został utworzony, a|

266 |którym jest zapewnienie jawności i pewności obrotu gospodarczego. |

267 |Na ten cel zasadnie zwrócił uwagę Sąd pierwszej instancji, jak również skarżąca Spółka, stwierdzając, że art. 8 ustawy o KRS nie |

268 |upoważnia do przetwarzania danych osobowych zawartych w KRS w dowolnych celach (s. 9 skargi kasacyjnej). Spółka wywodzi jednakże, że|

269 |czyni to w tych samych co KRS celach "co tym samym zwalnia ją z obowiązku informacyjnego". |

270 |Chociaż z tym twierdzeniem nie można się zgodzić w świetle ustaleń kontroli i wyjaśnień wspólników i pracowników Spółki, na które to|

271 |ustalenia powołuje się organ w uzasadnieniu decyzji, a przyjął je za prawidłowe Sąd, to należy uznać, iż nakładając na Spółkę nakaz |

272 |dopełnienia wobec osób, których dane pochodzą ze źródeł powszechnie dostępnych (Monitor Sądowy i Gospodarczy), a które zostały |

273 |zebrane i utrwalone przez Spółkę, obowiązku informacyjnego, o którym mowa w art. 25 ust. 1 ustawy o ochronie danych osobowych, Sąd |

274 |pierwszej instancji nie rozważył i nie uwzględnił w sposób należyty celu, w jakim Spółka ta przetwarzała dane osobowe, ich zakresu a|

275 |w związku z tym zastosowania odpowiedniego środka przewidzianego w art. 18 ust. 1 przedmiotowej ustawy. |

276 |Zwrócić należy uwagę na to, że organ w uzasadnieniu decyzji z dnia [...] stycznia 2011 r. powołał się na art. 23 ust. 1 pkt 5 ustawy o|

277 |ochronie danych osobowych jako przesłankę legalizującą przetwarzanie danych osobowych. |

278 |Przepis ten dopuszcza przetwarzanie danych tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów, |

279 |realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane |

280 |dotyczą. |

281 |Cel, w jakim Spółka przetwarza dane osobowe, nie może być utożsamiany z tym, jakiemu służy Rejestr KRS. |

282 |W stosunkach umownych cel przetwarzania danych osobowych wynika najczęściej z treści umowy, jednakże w razie wątpliwości cel |

283 |powinien być m.in. zgodny z przedmiotem działalności przedsiębiorstwa (A. Mednis, Obowiązki podmiotów prywatnych wykorzystujących |

284 |dane osobowe, Monitor Prawniczy, 1998, nr 8, s. 293). |

285 |Posługując się tym kryterium, należy odwołać się do rodzaju działalności Spółki wpisanej do KRS, określonej jako działalność w |

286 |zakresie oprogramowania, doradztwa w zakresie prowadzenia działalności gospodarczej i zarządzania oraz działalność związana z bazami|

287 |danych. Powyższe potwierdzają wyniki kontroli, na które powołuje się organ, a co zaakceptował Sąd, iż Spółka prowadzi działalność |

288 |świadczenia odpłatnie usług z zakresu informacji gospodarczej ze źródeł powszechnie dostępnych (Monitory Sądowy i Gospodarczy) |

289 |osobom zainteresowanym, a usługa ta jest udostępniana za pomocą publicznej sieci Internet. W związku z tą działalnością przetwarza |

290 |dane osobowe osób fizycznych, ujawnione w Rejestrze jak imię, nazwisko, numer PESEL, pełnione funkcje, rok urodzenia. |

291 |Należy zgodzić się z oceną organu i Sądu, iż cele przetwarzania danych objętych KRS, a ujawnionych w Monitorze Sądowym i |

292 |Gospodarczym, nie są tożsame z celami komercyjnymi, dla których dane te przetwarza (zbiera, utrwala, udostępnia itd.) skarżąca |

293 |Spółka. |

294 |Rozważenia zatem wymagało, czy dla prowadzenia działalności gospodarczej o charakterze komercyjnym (co nie budzi wątpliwości w |

295 |świetle ustaleń organu) zakres przetwarzania danych osobowych przez Spółkę jest zgodny z usprawiedliwionym celem, realizowanym przez|

296 |administratora danych. Jawność i powszechna dostępność danych z Rejestru KRS oraz cel, jaki realizuje tą drogą ustawodawca, |

297 |determinuje rodzaj i zakres przetwarzania danych osobowych osób fizycznych. Ustawa ogranicza je tylko do danych dotyczących imienia,|

298 |nazwiska, pełnionej w podmiotach funkcji oraz numeru identyfikacyjnego PESEL. Są to zatem dane wiążące się ściśle ze sferą obrotu |

299 |gospodarczego, zaś poza ww. danymi identyfikacyjnymi Rejestr nie pozwala na ujawnienie innych, bardziej szczegółowych danych dot. |

300 |osób fizycznych, jak np. miejsce zamieszkania. Oznacza to, że dla powszechnie dostępnych celów informacyjnych nie jest dopuszczalne |

301 |ujawnianie adresu, miejsca zamieszkania osób fizycznych (członków zarządu, wspólników), co można tłumaczyć ochroną sfery prywatnej |

302 |tych osób. Pozostaje to w zgodzie z konstytucyjną zasadą prawa jednostki do zachowania w tajemnicy informacji dotyczącej własnej |

303 |osoby. |

304 |W art. 51 ust. 1 Konstytucja Rzeczypospolitej Polskiej gwarantuje obywatelom, że nikt nie może być obowiązany inaczej niż na |

305 |podstawie ustawy do ujawnienia informacji dotyczącej jego osoby. Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać |

306 |innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym (ust. 2), zaś zasady i tryb określać może tylko |

307 |ustawa (ust. 5). Realizacja tej zasady znalazła odzwierciedlenie w art. 26 ustawy o ochronie danych osobowych, który nakłada na |

308 |administratora danych obowiązek dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w |

309 |szczególności obowiązany jest zapewnić, aby dane te były przetwarzane zgodnie z prawem, zbierane dla oznaczonych, zgodnych z prawem |

310 |celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, merytorycznie poprawne i adekwatne w stosunku do celów, w |

311 |jakich są przetwarzane. Powyższy przepis odpowiada wymaganiom, zawartym w art. 6 ust. 1 pkt a, b, c. d Dyrektywy 95/46 WE, wśród |

312 |których znalazł się wymóg gromadzenia danych do określonych, jednoznacznych i legalnych celów oraz zakaz niepodawania dalszemu |

313 |przetwarzaniu w sposób niezgodny z tym celem (b), merytorycznej poprawności, stosowności oraz wymóg aby były nienadmierne ilościowo |

314 |w stosunku do celów, dla których zostały zgromadzone i/lub dalej przetworzone (c). |

315 |Konieczność respektowania tych przepisów przez organ nadzoru nakłada na niego obowiązek ustalenia i rozważenia, czy zakres |

316 |przetworzenia danych osób fizycznych przez Spółkę był adekwatny do realizowanych przez nią celów, a w szczególności czy adekwatne |

317 |byłoby przetwarzanie oprócz takich danych jak rok urodzenia, PESEL jeszcze danych dotyczących adresu osób fizycznych. Przeprowadzone|

318 |postępowanie nie wyjaśniło w jakim zakresie, wysyłając informację do odbiorców danych (klientów Spółki), przekazuje ona dane osobowe|

319 |ww. osób i w jakich celach. |

320 |Konieczność uzupełnienia postępowania w tym kierunku wiąże się z omówionymi wcześniej zasadnymi zarzutami naruszenia przepisów |

321 |postępowania w sposób mający istotny wpływ na wynik sprawy. |

322 |Ustawowy wymóg ochrony interesów osób, których dane dotyczą nakłada na organ, jak również sąd administracyjny wykonujący kontrolę, |

323 |obowiązek czuwania, aby zakres przetwarzania nie wkraczał w sferę prywatną, jak również, aby dane te odpowiadały przesłance |

324 |adekwatności, a także pozostawały w zgodzie z zasadą proporcjonalności, uregulowaną w art. 31 Konstytucji. |

325 |W takiej sytuacji jak w przedmiotowej sprawie nie można zatem rozważać możliwości uzupełnienia danych osobowych o adresy osób |

326 |fizycznych, zwłaszcza w drodze ich poszukiwania w CBA, lecz jak wyżej wskazano należy dążyć do ograniczenia ich w zakresie |

327 |dostosowanym do celu działalności Spółki oraz ochrony interesów osób, których dotyczą. |

328 |Jeżeli dane uzyskane w wyniku uzupełnionego postępowania wyjaśniającego będą uzasadniały zastosowanie przepisu art. 25 ust. 1 |

329 |ustawy, organ winien rozważyć możliwość ograniczenia obowiązku informacyjnego. Należy zważyć, iż przepis art. 42 ust. 1 Kpa jako |

330 |równoważne uznaje doręczanie pism osobom fizycznym w ich mieszkaniu lub miejscu pracy. W takiej sytuacji konkretyzacja nakazu |

331 |uwzględniałaby z jednej strony ochronę danych osób pełniących funkcje w podmiotach gospodarczych, z drugiej byłaby mniej dotkliwa |

332 |niż wykonanie tego obowiązku w sposób wskazany przez Sąd, tj. ustalanie adresu (miejsca zamieszkania) za pośrednictwem Centralnego |

333 |Biura Adresowego. Dodać należy, iż taki sposób realizacji obowiązku, bez zastosowania odpowiednich środków zabezpieczających, |

334 |stwarzałby niebezpieczeństwo poszerzenia zakresu przetwarzanych danych osobowych osób fizycznych, pozostając w konflikcie z |

335 |obowiązkami organu, wynikającymi z przepisów art. 25 ust. 1 pkt 5 i art. 26 ust. 1 ustawy o ochronie danych osobowych. |

336 |Należy zauważyć, że w toku postępowania wyjaśniającego organ nie rozważał okoliczności wiążących się z sygnalizowanymi przez Spółkę |

337 |trudnościami w realizacji nakazu. Wynikało to m.in. stąd, że zarzuty w tym zakresie zostały sformułowane przez Spółkę dopiero przy |

338 |okazji wniosku o wstrzymanie wykonania zaskarżonej decyzji. W uzasadnieniu zaskarżonego wyroku Sąd ocenił to jako duże |

339 |przedsięwzięcie, lecz jego rozmiary, skala trudności, nakłady oraz konsekwencje pozostały poza ramami postępowania |

340 |administracyjnego. Zachodzi więc konieczność uzupełnienia postępowania administracyjnego, a w razie ustalenia, że skarżącą obciąża |

341 |obowiązek informacyjny odniesienia się także do możliwości jego nałożenia w kontekście zastosowania prounijnej wykładni przepisów |

342 |prawa (art. 11 ust. 2 Dyrektywy 95/46 WE Parlamentu Europejskiego i Rady). |

343 |Z uwagi na opisane wyżej mankamenty postępowania wyjaśniającego Naczelny Sąd Administracyjny nie mógł rozpoznać w pełni zarzutów |

344 |naruszenia przepisów prawa materialnego, uznając je w takiej sytuacji za przedwczesne; za przedwczesne należało także uznać |

345 |wystąpienie z pytaniem do Trybunału Sprawiedliwości Unii Europejskiej. |

346 |W uzasadnieniu decyzji z [...] stycznia 2011 r. organ, odnosząc się do wniosku skarżącej o umorzenie postępowania wobec wykonania |

347 |nakazów wymienionych w pkt 2–6 decyzji i nie uwzględniając tego wniosku, stwierdził, że rozstrzygnięcie zawarte w zaskarżonej |

348 |decyzji jest prawidłowe pod względem zgodności z prawem i celowości. |

349 |Stanowisko to jest błędne, bowiem rozstrzygając sprawę z wniosku w trybie art. 127 § 3 k.p.a. organ nie ocenia legalności swej |

350 |poprzedniej decyzji, lecz ponownie rozpoznaje sprawę w jej całokształcie. |

351 |Oznacza to, że jeżeli strona wykonała nałożone na nią nakazy, organ obowiązany jest, po potwierdzeniu tego, wobec zmiany stanu |

352 |faktycznego, wydać decyzję na podstawie art. 138 § 1 pkt 2 Kpa., tj. uchylającą decyzję w tej części i umarzającą postępowanie |

353 |administracyjne w tym zakresie. |

354 |Podobny pogląd wyrażono w cytowanym wcześniej Komentarzu do ustawy o ochronie danych osobowych (s. 431), w którym stwierdzono, że |

355 |stan naruszenia przepisów ustawy o ochronie danych osobowych powinien istnieć w dacie wydania decyzji. Jeżeli w trakcie wszczętego |

356 |postępowania nieprawidłowości zostaną usunięte postępowanie staje się bezprzedmiotowe, a organ wydaje decyzję o jego umorzeniu na |

357 |podstawie art. 105 § 1 k.p.a. |

358 |Jest oczywiste, że stosowanie art. 105 § 1 k.p.a. w postępowaniu prowadzonym na podstawie art. 127 § 3 k.p.a. następuje w zw. z art.|

359 |138 § 1 pkt 2 Kpa. |

360 |Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu na rozprawie sprawy ze skargi I. Sp. j. z siedzibą w W. na decyzję |

361 |Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2011 r. nr [...] w przedmiocie usunięcia uchybień w przetwarzaniu |

362 |danych osobowych, w dniu 24 kwietnia 2013 r. wydał wyrok o sygn. akt II SA/Wa 507/13, którym uchylił zaskarżoną decyzję i określił, |

363 |że nie podlega ona wykonaniu w całości. |

364 |Sąd w uzasadnieniu wyroku podkreślił, że Naczelny Sąd Administracyjny wskazał, że organ, rozpoznając sprawę, naruszył art. 7 i art. |

365 |77 Kpa poprzez niezgromadzenie niezbędnego do wydania decyzji materiału dowodowego, a w konsekwencji nieprawidłowo zastosował art. |

366 |18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.). Prawidłowe |

367 |zastosowanie sankcji wymienionych w tym przepisie wymaga przeprowadzenia postępowania wyjaśniającego, spełniającego wymogi |

368 |kodeksowe, zamieszczone w art. 7 i art. 77 Kpa, jak również uwzględniającego regulacje materialnoprawne, z których wynika |

369 |konieczność umiejętnego stopniowania sankcji. W rozpoznawanej sprawie organ nie wyjaśnił, dlaczego zastosował sankcję wskazaną w |

370 |ustawie. Naczelny Sąd Administracyjny podkreślił, że Generalny Inspektor Ochrony Danych Osobowych powinien uwzględniać przy |

371 |stosowaniu sankcji stan faktyczny sprawy i charakter naruszenia. Zastosowana sankcja powinna być adekwatna, współmierna do stopnia |

372 |naruszenia prawa, a także powinna uwzględniać zagrożenie praw osoby, której dane dotyczą (art. 23 ust. 1 pkt 5 i art. 26 ust. 1 pkt |

373 |1-3 przedmiotowej ustawy). |

374 |Z materiałów postępowania wyjaśniającego rozpoznawanej sprawy, jak i z uzasadnienia decyzji, nie wynika, by organ rozważał, a |

375 |następnie ocenił, czy zakres przetwarzania danych przez Spółkę był adekwatny do celów, w jakich były one przetwarzane, zwłaszcza w |

376 |kontekście zagrożenia interesów osób fizycznych i wprowadzenia w art. 25 ust. 1 ustawy obowiązku ich informowania (obowiązek |

377 |informacyjny). Brak jest zatem możliwości oceny, czy organ rozważał możliwość zastosowania innych środków, adekwatnych do |

378 |stwierdzonych uchybień, a pozwalających usunąć stan sprzeczny z prawem przy użyciu środków mniej uciążliwych dla Spółki. |

379 |Rozpoznając wniosek o ponowne rozpatrzenie sprawy, Generalny Inspektor Ochrony Danych Osobowych zobowiązany jest do wyjaśnienia, czy|

380 |i jakie środki, przewidziane w art. 18 ust. 1 przedmiotowej ustawy, należy zastosować, a zajęte stanowisko powinno znaleźć |

381 |odzwierciedlenie w uzasadnieniu decyzji. Co więcej, w zaskarżonej decyzji organ, odnosząc się do wniosku Spółki o umorzenie |

382 |postępowania wobec wykonania prze nią nakazów wymienionych w pkt 2-6 decyzji z dnia [...] września 2010 r., nie uwzględniając tego |

383 |wniosku, stwierdził, że rozstrzygnięcie zawarte w zaskarżonej decyzji jest prawidłowe, zgodne z prawem i celowe, podczas gdy jest |

384 |ono błędne, gdyż na podstawie art. 127 § 3 Kpa organ nie ocenia legalności decyzji poprzedzającej, lecz ponownie rozpoznaje sprawę, |

385 |co oznacza, że jeżeli strona wykonała nałożone na nią obowiązki, to zmiana stanu faktycznego powoduje po stronie organu obowiązek |

386 |wydania decyzji na podstawie art. 138 § 1 pkt 2 Kpa. |

387 |Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 138 § 1 pkt 1 i 2 ustawy z dnia 14 czerwca 1960 r. - |

388 |Kodeks postępowania administracyjnego (Dz. U. z 2013 r., poz. 267) oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 i art. 22 w zw. z art. |

389 |23 ust. 1 pkt 1, art. 25 ust. 1, art. 36 ust. 2, art. 37, art. 39 i art. 40 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych |

390 |osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku |

391 |pełnomocnika I. Sp. j. z siedzibą w W. przy ul. [...] o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony|

392 |Danych Osobowych z dnia [...] września 2010 r. nr [...], nakazującą usunięcie uchybień w procesie przetwarzania danych osobowych przez |

393 |Spółkę, w dniu [...] listopada 2013 r. wydał decyzję nr [...], którą: |

394 |I. uchylił pkt I. ppkt 2 - 6 zaskarżonej decyzji i umorzył postępowanie w tym zakresie, tj. w części dotyczącej: |

395 |1) zgłoszenia do rejestracji zbioru danych osobowych klientów, właścicieli adresów poczty elektronicznej, |

396 |2) zapewnienia użytkownikom serwisu Spółki możliwości swobodnego wyrażania zgody na przetwarzanie ich danych osobowych w celach |

397 |marketingowych, |

398 |3) opracowania dokumentacji stanowiącej politykę bezpieczeństwa oraz instrukcję zarządzania systemem informatycznym służącym do |

399 |przetwarzania danych osobowych, |

400 |4) nadania upoważnień do przetwarzania danych osobowych osobom dopuszczonym do przetwarzania danych osobowych, |

401 |5) opracowania ewidencji osób upoważnionych do przetwarzania danych osobowych. |

402 |II. w pozostałym zakresie utrzymał w mocy decyzje poprzedzającą. |

403 | |

404 | |

405 |Organ w uzasadnieniu decyzji podał, co następuje: |

406 |Generalny Inspektor Ochrony Danych Osobowych może w drodze decyzji administracyjnej nakładać nakazy bądź zakazy, których zasadniczą |

407 |rolą jest przywrócenie stanu zgodnego z prawem. |

408 |Zgodnie z art. 25 ust. 1 ustawy o ochronie danych osobowych, w przypadku zbierania danych osobowych nie od osoby, której one |

409 |dotyczą, administrator danych jest obowiązany poinformować te osobę, bezpośrednio po utrwaleniu zebranych danych. |

410 |Spółka prowadzi działalność w zakresie świadczenia usług odpłatnego udzielania informacji gospodarczej pochodzących ze źródeł |

411 |powszechnie dostępnych, tj. z Monitora Sądowego i Monitora Gospodarczego, osobom zainteresowanym. Usługa ta jest świadczona za |

412 |pośrednictwem publicznej sieci Internetu. |

413 |Przedmiotowa ustawa nie zakazuje tworzenia odrębnych zbiorów na podstawie źródeł powszechnie dostępnych, jednakże zbiory te |

414 |podlegają przepisom tej ustawy. |

415 |Spółka powinna posiadać legitymację do przetwarzania danych osobowych, które zostały ujawnione w Krajowym Rejestrze Sądowym i taką |

416 |przesłanką może być ta, która została określona w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, zezwalająca na |

417 |przetwarzanie danych osobowych tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów, realizowanych |

418 |przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której te dane dotyczą. Brak |

419 |jest zatem podstaw do zwolnienia Spółki z tego obowiązku. |

420 |Niedopełnienie przez Spółkę obowiązku informacyjnego pozbawia osoby których dane dotyczą podstawowego ich prawa, tzn. informacji, że|

421 |ich dane są przetwarzane i nie narusza to ich praw i wolności. |

422 |Zgodnie z art. 5 Dyrektywy 95/46/WE, Państwa Członkowskie określają w granicach przepisów, zawartych w niniejszym rozdziale, |

423 |bardziej szczegółowe warunki ustalania legalności przetwarzania danych osobowych. Ustawa o ochronie danych osobowych nie wykracza w |

424 |istocie poza generalne, merytoryczne granice w niej określone. |

425 |Reasumując, należy stwierdzić, że Spółka jest zobowiązana do dopełnienia obowiązku, wynikającego z art. 25 ust. 1 przedmiotowej |

426 |ustawy i brak jest podstaw do jej zwolnienia z tego obowiązku. |

427 |Generalny Inspektor Ochrony Danych Osobowych, nakazując Spółce spełnienie obowiązku informacyjnego, przeanalizował i rozważył |

428 |interesy stron i zastosował środki adekwatne i proporcjonalne w ustalonym stanie faktycznym i prawnym. |

429 |W ocenie organu Spółka usunęła stwierdzone wcześniej pozostałe uchybienia oraz przywróciła stan zgodny z prawem i z tego względu w |

430 |tym zakresie postępowanie należało umorzyć na podstawie art. 105 § 1 Kpa, gdyż stało się ono bezprzedmiotowe. |

431 |Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2013 r. stała sie przedmiotem skargi, wniesionej przez |

432 |I. Sp. j. z siedzibą w W. do Wojewódzkiego Sądu Administracyjnego w Warszawie. |

433 |Spółka zarzuciła organowi, że wydał decyzję z naruszeniem przepisów prawa materialnego oraz przepisów postępowania, powodujących |

434 |bezwzględną nieważność zaskarżonej decyzji, tj.: |

435 |1) art. 18 ust. 1 ustawy o ochronie danych osobowych w zw. z art. 25 ust. 1, art. 23 ust. 1 pkt 5, art. 26 ust. 1 pkt 2 i 3 tej |

436 |ustawy oraz art. 1 ust. 2 powołanej ustawy, poprzez przyjęcie, że art. 25 ust. 1 przedmiotowej ustawy nakłada na administratora |

437 |danych obowiązek informacyjny, nawet jeżeli jego zrealizowanie: |

438 |- powoduje konieczność pozyskania danych osobowych o adresach osób fizycznych, których dane związane są ze sprawowaniem funkcji w |

439 |jednostkach organizacyjnych lub osobach prawnych pochodzących ze źródeł powszechnie dostępnych zostały zebrane i utrwalone przez |

440 |Spółkę, podczas gdy obowiązujące przepisy prawa nie stwarzają bezwzględnej podstawy udostępnienia Spółce adresów tych osób, a tym |

441 |samym wykonanie tego obowiązku jest prawnie oraz technicznie niewykonalne, a niewykonalność ta ma charakter trwały; |

442 |- stwarza istotne niebezpieczeństwo przetwarzanie przez Spółkę danych osobowych niezgodnie z przepisami przedmiotowej ustawy (art. |

443 |26 ust. 1 pkt 2 i 3 ustawy), a nadto powoduje zagrożenie dla praw i wolności (dobra) osób, których te dane dotyczą, co powoduje, że |

444 |przetwarzanie tych danych osobowych naraziłoby Spółkę na odpowiedzialność karną, która wynika z art. 49 ust. 1 ustawy o ochronie |

445 |danych osobowych, gdyż jako naruszające prawa i wolności osób jest niedopuszczalne, tj. niezgodne z art. 23 ust. 1 pkt 5 powołanej |

446 |ustawy, co powoduje, że zaskarżona decyzja jest dotknięta wadą bezwzględnej nieważności, albowiem: |

447 |- decyzja była niewykonalna w dniu jej wydania, a jej niewykonalność ma charakter trwały (art. 156 § 1 pkt 5 Kpa), gdyż |

448 |zrealizowanie nakazu nałożonego na Spółkę zaskarżoną decyzją powoduje konieczność poszerzenia przez nią przetwarzanego zbioru danych|

449 |o prywatne adresy osób fizycznych, a obowiązujące przepisy nie pozwalają na udostępnienie Spółce takich danych osobowych; |

450 |- wykonanie zaskarżonej decyzji powodowałoby czyn zagrożony karą (art. 156 § 1 pkt 6 Kpa), gdyż zrealizowanie nakazu w niej |

451 |zawartego spowodowałoby dla Spółki niebezpieczeństwo przetwarzania danych osobowych niezgodnie z przepisami ustawy i powodujące dla |

452 |osób, których dane osobowe są przetwarzane zagrożenie dla ich praw i wolności, a dla Spółki zagrożenie poniesienia |

453 |odpowiedzialności karnej, przewidzianej w art. 49 ust. przedmiotowej ustawy (art. 23 ust. 1 pkt 5 ustawy); |

454 |2) art. 25 ust. 1 przedmiotowej ustawy w zw. z art. 11 ust. 2 Dyrektywy 95/46/WE w sprawie ochrony osób fizycznych w zakresie |

455 |przetwarzania danych osobowych i swobodnego przepływu tych osób (Dz. U. UE.L.95.281.31) oraz w zw. z art. 91 Konstytucji RP oraz |

456 |art. 288 Traktatu o funkcjonowaniu Unii Europejskiej (Dz. U. z 2004 r. Nr 90, poz. 864), poprzez przyjęcie, ze art. 25 ust. 1 |

457 |ustawy, nakłada na administratora danych obowiązek informacyjny, nawet jeżeli jego zrealizowanie wymaga niewspółmiernie dużego |

458 |wysiłku tego podmiotu w rozumieniu art. 11 ust. 2 powyżej określonej dyrektywy; |

459 |3) naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.: |

460 |- art. 153 ustawy - Prawo o postępowaniu prze sądami administracyjnymi w zw. z art. 6-8 Kpa, w stopniu mającym istotny wpływ na |

461 |wynik sprawy, przez niewykonanie wskazań zawartych w wyroku WSA w Warszawie z dnia 24 kwietnia 2013 r., sygn. akt II SA/Wa 507/13 |

462 |(...); |

463 |- art. 18 ustawy o ochronie danych osobowych w zw. z art. 1 ust. 2 tej ustawy oraz art. 7, art. 77 Kpa w zw. z art. 31 ust. 3 |

464 |Konstytucji RP, w stopniu mającym istotny wpływ na wynik sprawy, polegające na przeprowadzeniu postępowania z naruszeniem zasady |

465 |proporcjonalności oraz adekwatności (brak należytego wyważenia interesu społecznego i słusznego interesu obywatela przez organ przy |

466 |załatwieniu sprawy zgodnie z art. 7 Kpa), co doprowadziło do błędnego zastosowania art. 18 oraz art. 25 przedmiotowej ustawy, |

467 |polegającego na nałożeniu na Spółkę nakazu dopełnienia przez nią obowiązku informacyjnego wobec osób, których dane pochodzące ze |

468 |źródeł powszechnie dostępnych zostały zebrane i utrwalone prze Spółkę, pomimo tego, że ten pozostaje w całkowitej dysproporcji do |

469 |stopnia ewentualnych uchybień zarzucanych Spółce oraz pomimo, tego, że nałożenie na Spółkę tego nakazu prowadzi do zmniejszenia, a |

470 |nie zwiększenia ochrony praw osób, których dane dotyczą; |

471 |- art. 107 § 3 Kpa poprzez sporządzenie uzasadnienia decyzji niezawierającego dostatecznego wskazania i wyjaśnienia podstawy prawnej|

472 |i faktycznej rozstrzygnięcia, uniemożliwiające należyte wywiedzenie zarzutów skargi w zakresie naruszenia przez organ przepisów |

473 |prawa oraz kontrolę sądową rozstrzygnięcia. |

474 |Podnosząc powyższe zarzuty, pełnomocnik Spółki wniósł o stwierdzenie nieważności decyzji w zaskarżonej części, ewentualnie o jej |

475 |uchylenie w zaskarżonej części. Ponadto pełnomocnik Spółki wniósł o wstrzymanie wykonalności zaskarżonej decyzji oraz o zasądzenie |

476 |kosztów postępowania. |

477 |Generalny Inspektor Ochrony Danych Osobowych wniósł o oddalenie skargi i podtrzymał stanowisko przedstawione w uzasadnieniu |

478 |zaskarżonej decyzji oraz odniósł sie do zarzutów podniesionych w skardze, odmawiając im zasadności. Organ, odnosząc sie do zarzutu |

479 |naruszenia art. 153 Kpa, tzn. obowiązku podporządkowania się ocenie prawnej zawartej w uzasadnieniu w wyroku Wojewódzkiego Sadu |

480 |Administracyjnego w Warszawie z dnia 24 kwietnia 2013 r., stwierdził, że nie uchybił temu obowiązkowi, bowiem uznał że najbardziej |

481 |adekwatnym do stwierdzonych uchybień i pozwalającym na usunięcie stanu sprzecznego z prawem przy użyciu środków najmniej uciążliwych|

482 |dla Spółki jest nakaz dopełnienia obowiązku informacyjnego, zaś sposób w jaki zostaną zawiadomione osoby, których dane osobowe są |

483 |przetwarzane jest pozostawiony Spółce, która ma możliwość dostosowania go do posiadanych danych i możliwości organizacyjnych. Organ |

484 |nie dostrzegł mniej dolegliwego oraz bardziej adekwatnego nakazu niż ten, który zastosował. |

485 |Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: |

486 |Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 z późn. |

487 |zm.), sąd administracyjny sprawuje wymiar sprawiedliwości m.in. poprzez kontrolę działalności organów administracji publicznej pod |

488 |względem zgodności z prawem. |

489 |Stosownie do art. 190 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., |

490 |poz. 270 z późn. zm.), sąd, któremu sprawa została przekazana, związany jest wykładnią prawa, dokonaną w tej sprawie przez Naczelny |

491 |Sąd Administracyjny. |

492 |Sąd pierwszej instancji przy ponownym rozpoznaniu sprawy związany jest wykładnią dokonaną przez Naczelny Sąd Administracyjny zarówno|

493 |w zakresie prawa materialnego, jak i przepisów postępowania, przy czym ocena ustaleń faktycznych jest pochodną oceny wykładni (a w |

494 |konsekwencji zastosowania) przepisów postępowania. W tym sensie orzeczenie Naczelnego Sądu Administracyjnego może pośrednio wiązać |

495 |sąd pierwszej instancji przy ponownym rozpoznaniu sprawy co do oceny ustaleń faktycznych, dokonanych przez organy administracyjne. |

496 |Wojewódzki Sąd Administracyjny w Warszawie, wydając w dniu 24 kwietnia 2013 r. wyrok o sygn. akt II SA/Wa 507/13, był związany |

497 |wykładnią prawa, dokonaną przez Naczelny Sąd Administracyjny w uzasadnieniu wyroku z dnia 24 stycznia 2013 r., sygn. akt I OSK |

498 |1827/11. |

499 |Naczelny Sąd Administracyjny przesądził, że organ, rozpoznając sprawę, naruszył art. 7 i art. 77 Kpa poprzez niezgromadzenie |

500 |niezbędnego do wydania decyzji materiału dowodowego, a w konsekwencji nieprawidłowo zastosował art. 18 ust. 1 ustawy z dnia 29 |

501 |sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.). Prawidłowe zastosowanie sankcji |

502 |przewidzianych w tym przepisie wymaga bowiem przeprowadzenia postępowania wyjaśniającego, spełniającego warunki określone w art. 7 i|

503 |art. 77 Kpa i uwzględniającego regulacje materialnoprawne. Ponadto Naczelny Sąd Administracyjny stwierdził, że organ, rozstrzygając |

504 |sprawę w trybie art. 127 § 3 Kpa, nie ocenia legalności decyzji poprzedzającej, lecz ponownie rozpoznaje sprawę w jej całokształcie,|

505 |co oznacza, że jeżeli zostały wykonane nakazy organ obowiązany będzie, po potwierdzeniu tego, wobec zmiany stanu faktycznego, wydać |

506 |decyzję na podstawie art. 138 § 1 pkt 2 Kpa. |

507 |Wojewódzki Sąd Administracyjny w Warszawie, będąc związany orzeczeniem Naczelnego Sądu Administracyjnego, w uzasadnieniu wyroku |

508 |nałożył na Generalnego Inspektora Ochrony Danych Osobowych określone obowiązki, które organ zobowiązany był wykonać, a ich nie |

509 |wykonał, tzn. nie przeprowadził postępowania wyjaśniającego zgodnie z art. 7 i art. 77 we wskazanym przez sądy zakresie. |

510 |Zgodnie z art. 153 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, ocena prawna i wskazania co do dalszego |

511 |postępowania, wyrażone w orzeczeniu sądu, wiąże w sprawie ten sąd oraz organ, którego działanie, bezczynność lub przewlekle |

512 |prowadzenie postępowania było przedmiotem zaskarżenia. |

513 |Odstępstwo od zasady wyrażonej w przytoczonym przepisie może dotyczyć tylko dwóch sytuacji. Pierwsza z nich związana jest z |

514 |ewentualną zmianą stanu faktycznego, gdy w trakcie ponownego rozpatrywania sprawy organ stwierdzi, że stan faktyczny uległ |

515 |zasadniczej zmianie i jest odmienny od przyjętego przez sąd, natomiast drugi z przypadków utraty mocy wiążącej oceny prawnej i |

516 |wskazań co do dalszego postępowania wyrażonych w wyroku sądu to zmiana stanu prawnego po wydaniu orzeczenia przez sąd. |

517 |W pojęciu "ocena prawna" mieści się przede wszystkim wykładnia przepisów prawa materialnego i prawa procesowego, a także sposób ich |

518 |zastosowania w rozpoznawanej sprawie. Może ona dotyczyć ujawnionych w postępowaniu administracyjnym istotnych okoliczności stanu |

519 |faktycznego, w szczególności kwestii zastosowania do nich określonych regulacji prawnych. Wskazania co do dalszego postępowania |

520 |zasadniczo stanowią konsekwencję oceny prawnej, określając sposób i kierunek działania przy ponownym rozpoznaniu sprawy. Związanie |

521 |oceną prawną, jak i zawartymi w orzeczeniu wskazaniami co do dalszego postępowania, powoduje, że determinują one działania każdego |

522 |organu w postępowaniu administracyjnym, podejmowane w sprawie, której dotyczyło postępowanie sądowoadministracyjne, aż do czasu jej |

523 |rozstrzygnięcia (patrz wyrok II SA/Op 87/13; Lex nr 1316874). |

524 |Uchybienie przez organ administracji publicznej przepisowi art. 153 ustawy - Prawo o postępowaniu przed sądami administracyjnymi |

525 |powoduje konieczność - w razie złożenia na tej podstawie kolejnej skargi - uchylenia zaskarżonej decyzji. Rozwiązanie to stanowi |

526 |gwarancję przestrzegania przez organy administracji publicznej obowiązku związania orzeczeniem sądu. Działania naruszające tę zasadę|

527 |muszą być konsekwentnie eliminowane przez uchylanie wadliwych z tego powodu rozstrzygnięć administracyjnych już chociażby z uwagi na|

528 |związanie wcześniej przedstawioną oceną prawną także i samego sądu administracyjnego. Bez ścisłego stosowania powołanego przepisu |

529 |trudno byłoby zapewnić spójność działania systemu władzy państwowej. Jego nieprzestrzeganie w istocie podważałoby bowiem |

530 |obowiązującą w polskim prawie zasadę sądowej kontroli nad aktami i czynnościami organów administracji (wyrok II SA/Ol 1350/12; Lex |

531 |nr 1316805). |

532 |Mając powyższe na względzie, przede wszystkim należy podkreślić, że ocena prawna i zalecenia co do dalszego postępowania, wyrażone |

533 |przez wojewódzki sąd administracyjny w kasatoryjnym wyroku, muszą być jednoznaczne i wyraźne. Tylko wtedy organ ponownie |

534 |rozpoznający sprawę będzie na podstawie art. 153 związany, gdy owa ocena prawna i zalecenia nie budzą żadnych wątpliwości i nie |

535 |wymagają zabiegów interpretacyjnych. Przedstawiony powyżej expressis verbis fragment uzasadnienia wyroku spełnia te wymogi. Przede |

536 |wszystkim Wojewódzki Sąd Administracyjny w Warszawie wskazał jednoznacznie, jakie przepisy postępowania, dotyczące postępowania |

537 |dowodowego, zostały naruszone i wskazał co organ powinien uczynić w ramach postępowania wyjaśniającego. |

538 |Prawomocny wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 24 kwietnia 2013 r. wraz z uzasadnieniem i aktami |

539 |administracyjnymi zostały zwrócone do Generalnego Inspektora Ochrony Danych Osobowych w dniu 10 lipca 2013 r. Od tej daty organ nie |

540 |podjął żadnej czynności procesowej zgodnej z wytycznymi Sądu. Pierwszą czynnością organu było wydanie w dniu [...] listopada 2013 r. |

541 |zaskarżonej decyzji. |

542 |Podkreślić należy, że Sąd w wytycznych zalecił przeprowadzenie postępowania wyjaśniającego w sprawie w zakresie określonym w |

543 |uzasadnieniu wyroku, a nie, jak to uczynił organ, dokonania ponownej analizy zebranego w sprawie materiału dowodowego. |

544 |Pomimo, że decyzja została zaskarżona w części, to Sąd uznał, że wobec stwierdzonego uchybienia należało ją uchylić w całości, tym |

545 |bardziej, że takie rozstrzygnięcie nie spowoduje dla Spółki żadnych negatywnych konsekwencji. |

546 |Rozpoznając ponownie sprawę, organ zobowiązany jest wykonać wytyczne Sądu, zawarte w wyroku z dnia 24 kwietnia 2013 r., sygn. akt II|

547 |SA/Wa 507/13. |

548 |Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. c) oraz art. 200 ustawy - Prawo o |

549 |postępowaniu przed sądami administracyjnymi, orzekł, jak w sentencji wyroku. |

550 | |

551 | |

552 | |

553 | |

554 | |

555 | |

556 | |

557 | |

558 | |

559 | |

560 | |

561 | |