Wyrok WSA w Warszawie z dnia 2 lutego 2011 r., sygn. II SA/Wa 796/10

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA - Stanisław Marek Pietras (spraw.) Sędzia WSA - Olga Żurawska-Matusiak Sędzia WSA - Andrzej Góraj Protokolant - specjalista Elwira Sipak po rozpoznaniu na rozprawie w dniu 2 lutego 2011 r. sprawy ze skargi J. F. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2010 r. nr [...] w przedmiocie ochrony danych osobowych - oddala skargę

Uzasadnienie

W dniu [...] stycznia 2009 r. skarżący J. F. zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych ze skargą na udostępnienie A. Sp. z o. o. z/s w S. przez Urząd Miasta K. danych osobowych i podniósł, że Urząd przetworzył jego "dane osobowe dla spółki "A." reprezentowanej przez H. w dniu [...].01.2007 r.", czym naruszył "art. 1 ust. 2 ustawy przetwarzając moje dane osobowe", "art. 23 ust. 1 ustawy - nie miał zgody na przetwarzanie danych osobowych", "art. 26 ust. 1 ponieważ nie dołożył szczególnej staranności (szczególnej staranności) w celu ochrony interesów osób których przetwarzane dane dotyczyły", " nie poinformował o przetwarzaniu danych (...) przez co U.M.K. naruszył art. 24 ust. 1 ustawy". Tym samym pozbawił go "możliwości skorzystania z art. 32 ustawy" oraz "skorzystania z art. 33 ustawy". Ponadto - jak podał - "poprzez nie podjęcie działań przewidzianych w art. 30 ustawy doprowadził do istotnego naruszenia dóbr osobistych" oraz "w powyższej sprawie wskazującej uchybienia U.M.K. ma zastosowanie również art. 54 ustawy". W tej sytuacji zażądał od organu wydania decyzji, że powyższe działania Urzędu "miały znamiona przestępstwa bądź były niezgodne z prawem" oraz zobowiązania Urzędu do "naprawienia szkód w postaci zadośćuczynienia czyli: [...] pln".

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] grudnia 2009 r. nr [...], działając na podstawie art. 12 pkt 2, art. 22 w zw. z art. 23 ust. 1 pkt 2 i pkt 5, art. 24 ust. 2 pkt 1 i art. 25 ust 2 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. z 2002 r. Nr 101, poz. 926 ze zm.) w zw. z art. 44h ust. 2 pkt 1 ustawy z dnia 10 kwietnia 1974 r. o ewidencji ludności dowodach osobistych (tekst jedn. z 2006 r., Nr 139, poz. 993 ze zm.), odmówił uwzględnienia wniosku skarżącego. W uzasadnieniu podał, że w trakcie postępowania ustalono, iż ojciec skarżącego B. F. zawarł w dniu [...] czerwca 2004 r. umowę pożyczki ze S. z siedzibą w G. przy ul. [...] i zmarł przed spłatą pożyczki, przy czym w dniu [...] listopada 2005 r. S. zawarł z wyżej wymienioną Spółką umowę powierniczego przelewu wierzytelności przysługującej wobec niego. Z kolei Urząd Miasta K. przetwarza dane osobowe skarżącego na podstawie cytowanej już wyżej ustawy o ewidencji ludności i dowodach osobistych w zbiorze o nazwie "Ewidencja ludności i dowodów osobistych". Pismem z dnia [...] grudnia 2006 r. H. [...] Sp. komandytowa z siedzibą w W. przy ul. [...], działając na podstawie pełnomocnictwa w imieniu i na rzecz Spółki, zwróciła się do Urzędu z wnioskiem o udostępnienie ze zbiorów meldunkowych, ze zbioru PESEL, z ewidencji wydanych i utraconych dowodów osobistych, danych osobowych następców prawnych zmarłego B. F. tj. wskazanie osób, które zgodnie z Kodeksem cywilnym należą do I lub II kręgu dziedziczenia (dzieci, małżonka, rodziców i rodzeństwa dłużnika), a uzasadniając swoją prośbę podano, że Spółka nabyła wierzytelność wobec zmarłego B. F. z tytułu niespłaconej pożyczki udzielonej przez S. i uzyskanie powyższych danych jest niezbędne do dochodzenia praw od spadkobierców zmarłego dłużnika. Celem uprawdopodobnienia powyższych okoliczności, do wniosku o udostępnienie danych osobowych Spółka załączyła m.in. kopię umowy pożyczki zawartej pomiędzy S. a B. F., kopię aktu zgonu dłużnika oraz kopię umowy powierniczego przelewu wierzytelności zawartej pomiędzy Spółką i S. Ponadto Sąd Okręgowy w K. [...] Wydział Cywilny wyrokiem z dnia [...] lutego 2008 r., zasądził od skarżącego na rzecz Spółki m.in. kwotę w wysokości [...] zł, a klauzula wykonalności uprawniająca do egzekucji w całości została nadana w dniu [...] września 2009 r., zaś dane osobowe skarżącego Urząd udostępnił na podstawie art. 44h ust. 2 pkt 1 ustawy o ewidencji ludności i dowodach osobistych. W dalszej części uzasadnienia organ wskazał, że cytowana już wyżej ustawa o ochronie danych osobowych, określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1), a przez przetwarzanie danych, zgodnie z art. 7 pkt 2, rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei zgoda nie jest jedyną przesłanką dopuszczalności przetwarzania danych osobowych, bowiem zgodnie z art. 23 ust. 1, przetwarzanie danych jest dopuszczalne również wtedy, gdy m.in. jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2) i gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). Tymczasem w rozpoznawanej sprawie urząd przetwarza dane osobowe skarżącego w zbiorze o nazwie "Ewidencja ludności i dowodów osobistych" na podstawie ustawy o ewidencji ludności i dowodach osobistych, a celem przetwarzania tych danych osobowych jest realizacja obowiązków określonych w przepisach prawa. Reasumując, przetwarza je zatem na podstawie art. 23 ust. 1 pkt 2 ustawy. Natomiast kwestia udostępniania danych osobowych ze zbiorów meldunkowych, zbioru PESEL oraz ewidencji wydanych i unieważnionych dowodów osobistych została uregulowana w ustawie o ewidencji ludności i dowodach osobistych i jej przepisy wskazują krąg podmiotów, którym udostępnia się oraz którym mogą być udostępnione dane ze zbiorów meldunkowych oraz zbioru PESEL a także przesłanki, po spełnieniu których udostępnienie staje się możliwe. Stąd też w myśl art. 44h ust. 2 pkt 1, dane te mogą być udostępnione osobom i jednostkom organizacyjnym, jeżeli wykażą w tym interes prawny. Skoro zatem Spółka uzasadniła konieczność uzyskania danych osobowych skarżącego dochodzeniem praw od spadkobierców zmarłego dłużnika w celu zaspokojenia roszczeń wierzyciela, to uzyskanie ich wykazała interesem prawnym w uzyskaniu danych osobowych, wskazując na przepisy prawa z zakresu stosunków cywilnoprawnych i w tym miejscu powołano się na wyrok Wojewódzkiego Sądu Administracyjnego w Bydgoszczy z dnia 5 marca 2008 r. sygn. akt II SA/Bd 67/2008 w którym stwierdzono, iż "śmierć dłużnika jest zdarzeniem, z którym przepisy prawa materialnego (art. 922 § 1, 924, 925 kodeksu cywilnego) łączą skutek w postaci przejścia praw i obowiązków zmarłego podlegających dziedziczeniu na jego spadkobierców. (...) Interes prawny w uzyskaniu danych osobowych o spadkobiercach nie wynika z faktu wszczęcia postępowania o stwierdzenie nabycia spadku, ale z samego istnienia wierzytelności wnioskodawcy, która może być zrealizowana poprzez ustalenie, na kogo przeszły obowiązki majątkowego zmarłego dłużnika". Ponadto skarżący został przez Spółkę uznany za jej dłużnika, w związku z czym wymieniona na tej podstawie dochodzi swoich roszczeń. Stąd też przetwarzanie danych skarżącego przez Spółkę jest uzasadnione z punktu widzenia wskazanego już wyżej art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 4 pkt 2 ustawy, natomiast za prawnie usprawiedliwiony cel uważa się dochodzenie roszczeń z tytułu prowadzonej przez administratora danych działalności gospodarczej. W dalszej części wskazano na przepisy ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. Nr 16, poz. 93 ze zm.), a szczególnie na art. 509 odnoszący się do cesji wierzytelności, w myśl którego wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba, że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania (§ 1), a wraz z wierzytelnością przechodzą na nabywcę wszelkie związane z nią prawa, w szczególności roszczenie o zaległe odsetki (§ 2), zaś - co już wyżej wykazano - Sąd Okręgowy w K. [...] Wydział Cywilny wyrokiem z dnia [...] lutego 2008 r. zasądził od skarżącego na rzecz Spółki m.in. kwotę w wysokości [...] zł, a klauzula wykonalności uprawniająca do egzekucji w całości została nadana w dniu [...] września 2009 r. Natomiast ocena legalności umowy powierniczego przelewu wierzytelności oraz uznania, iż na skarżącego przeszły prawa i obowiązki zmarłego dłużnika, tj. B. F., nie należy do kompetencji Generalnego Inspektora Ochrony Danych Osobowych. Jedynym podmiotem, który mógłby wypowiedzieć się w tej kwestii oraz wydać wiążące rozstrzygnięcie jest sąd powszechny, gdyż kwestia dotycząca następstwa prawnego skarżącego po zmarłym ojcu oraz dochodzenia roszczeń od skarżącego należy do stosunków z zakresu prawa cywilnego, do których rozpoznawania, na podstawie art. 2 § 1 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. z 1964 r. Nr 43 poz. 296 z późn. zm.), powołane są sądy powszechne, o ile sprawy te nie należą do właściwości sądów szczególnych, oraz Sąd Najwyższy. Ponadto w wyroku z dnia 30 listopada 2004 r. (sygn. akt II SA/Wa 1333/04) Wojewódzki Sąd Administracyjny stwierdził, iż Generalny Inspektor Ochrony Danych Osobowych nie jest uprawniony do dokonania oceny stosunku cywilnoprawnego i wykładni przepisów prawa cywilnego dla potrzeb sprawy administracyjnej. Orzeczenie, co do ważności umowy przelewu (...) nie należy do organu administracyjnego. Zatem Spółka wykazała interes prawny w uzyskaniu danych osobowych skarżącego, natomiast Urząd nie naruszył przepisów ustawy o ochronie danych osobowych udostępniając dane Skarżącego Spółce. Z kolei co do zarzutu niepoinformowania skarżącego o przetwarzaniu jego danych osobowych przez Urząd wskazano, że w zbiorze ewidencyjnym Urzędu znajdują się dane pozyskane przez Urząd od samego skarżącego, jak również z innych źródeł, zaś w myśl art. 24 ust. 1 ustawy, w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku, 2) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych, 3) prawie dostępu do treści swoich danych oraz ich poprawiania, 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Jednakże administrator danych jest zwolniony z tego obowiązku w przypadku określonym w art. 24 ust. 2 pkt 1, zgodnie z którym przepisu ust. 1 nie stosuje się, jeżeli przepis innej ustawy zezwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania. Obowiązek ten powinien być wykonany przed rozpoczęciem zbierania danych. Ustawa natomiast nie zobowiązuje administratora danych do udzielania informacji o zamierzonym udostępnieniu danych. (A. Drozd, Komentarz do ustawy o ochronie danych osobowych, Lex Polonica). Zatem wskazać należy, iż zarzut skarżącego jest bezzasadny, bowiem skorzystanie z uprawnień określonych w art. 32 i 33 ustawy jest niezależne od spełnienia przez administratora obowiązku określonego w art. 24 ustawy. Tym bardziej, że na Urzędzie taki obowiązek, zgodnie z art. 24 ust. 2 pkt 1 ustawy, nie spoczywa. Wobec tego, że w zbiorze ewidencyjnym są również dane, które Urząd pozyskał z urzędu wskazać należy, iż obowiązek administratora danych określony w art. 25 ust. 1 ustawy, odnoszący się do zbierania danych osobowych nie od osoby, której one dotyczą, będzie wyłączony na podstawie art. 25 ust. 2 pkt 5 który stanowi, iż przepisu ust. 1 nie stosuje się, jeżeli dane są przetwarzane przez administratora, o którym mowa w art. 3 ust. 1 i ust. 2 pkt 1, na podstawie przepisów prawa. Natomiast administratorem, o którym mowa w art. 3 ust. 1 i ust. 2 pkt 1 są organy państwowe, organy samorządu terytorialnego oraz państwowe i komunalne jednostki organizacyjne, jak również podmioty niepubliczne realizujące zadania publiczne, które mają siedzibę albo miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej, albo w państwie trzecim, o ile przetwarzają dane osobowe przy wykorzystaniu środków technicznych znajdujących się na terytorium Rzeczypospolitej Polskiej. W związku z powyższym, Urząd nie jest zobowiązany do spełnienia wobec skarżącego obowiązku wynikającego z art. 25 ust. 1 ustawy, bowiem - jako podmiot, o którym mowa w art. 3 ust. 1 ustawy - przetwarza jego dane na podstawie przepisów prawa i stąd też obowiązek ten jest wyłączony na podstawie art. 25 ust. 2 pkt 5 ustawy. Bezzasadny jest również zarzut naruszenia art. 30 ustawy, bowiem ma on zastosowanie w przypadku udostępnienia danych na podstawie art. 29 ustawy, zaś w niniejszej sprawie udostępnienie nastąpiło na innej podstawie. Na koniec skonkludował, że w niniejszej sprawie nie stwierdzono naruszenia przepisów ustawy o ochronie danych osobowych i w związku z tym nie ma zastosowania przepis art. 54 ustawy, zaś ustawa nie daje organowi kompetencji do zobowiązania kogokolwiek o naprawienie szkód w postaci zadośćuczynienia.