I OSK 499/08

I OSK 499/08 - Wyrok NSA
Data orzeczenia
2009-02-26
orzeczenie prawomocne
Data wpływu
2008-04-15
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Arkadiusz Despot - Mładanowicz
Janina Antosiewicz /sprawozdawca/
Małgorzata Pocztarek /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 1551/07 - Wyrok WSA w Warszawie z 2008-01-17
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2002 nr 153 poz 1270
art. 21 ust 1
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi.
Dz.U. 2000 nr 98 poz 1071
art. 130 § 1 i 2 , art. 138 § 1 pkt 2, art. 138 § 1 pkt 1
Ustawa z dnia 14 czerwca 1960 r.- Kodeks postępowania administracyjnego - tekst jednolity
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Pocztarek Sędziowie: sędzia NSA Janina Antosiewicz (spr.) sędzia del. WSA Arkadiusz Despot - Mładanowicz Protokolant Anna Krakowiecka po rozpoznaniu w dniu 26 lutego 2009 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 17 stycznia 2008 r. sygn. akt II SA/Wa 1551/07 w sprawie ze skargi [...] spółka jawna A. Ł., K. J. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2007 r. nr [...] w przedmiocie usunięcia uchybień w procesie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 17 stycznia 2008 r. sygn. akt II SA/Wa 1551/07, uwzględniając skargę [...] spółka jawna A. Ł. i A. J. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2007 r. nr [...], w przedmiocie usunięcia uchybień w procesie przetwarzania danych osobowych, uchylił zaskarżoną decyzję.
W uzasadnieniu wyroku Sąd podał, iż poprzedzająca zaskarżoną decyzję – decyzja Generalnego Inspektora Danych Osobowych z dnia [...] maja 2007 r. została wydana po przeprowadzeniu kontroli prawidłowości danych osobowych w [...] spółce jawnej.
Na podstawie art. 40 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) i § 3 i 7 ust. 3 pkt VIII załącznika do rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U Nr 100, poz. 1024), organ nakazał kontrolowanej Spółce usunięcie uchybień w procesie przetwarzania danych osobowych przez:
1) zgłoszenie do rejestracji zbioru danych osobowych klientów którzy nabyli produkty oferowane do sprzedaży przez spółkę, w terminie 14 dni od dnia, w którym decyzja stanie się ostateczna,
2) zapewnienie, aby hasła do systemów operacyjnych Windows XP oraz systemu informatycznego "WF-MAG", składały się z co najmniej 8 znaków, zawierających małe i wielkie litery lub znaki specjalne, w terminie 7 dni od dnia, w którym decyzja stanie się ostateczna,
3) opracowanie i wdrożenie polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych, w terminie 30 dni od dnia, w którym decyzja stanie się ostateczna,
4) zapewnienie, aby system informatyczny "WF-MAG" zapewniał dla każdej osoby, której dane są przetwarzane w tym systemie informatycznym, sporządzenie i wydrukowanie raportu zawierającego w powszechnie zrozumiałej formie informacje o dacie pierwszego wprowadzenia danych do systemu oraz o identyfikatorze użytkownika wprowadzającego dane osobowe, w terminie 3 miesięcy od dnia, w którym decyzja stanie się ostateczna.
Organ uznał, iż Spółka nie dopełniła obowiązków określonych w powyższych przepisach w tym nie zgłosiła prowadzonego zbioru klientów do rejestracji, choć nie zaszedł wyjątek określony w art. 43 ust. 1 pkt 8 ustawy.
Od powyższej decyzji Spółka złożyła wniosek o ponowne rozpatrzenie sprawy wywodząc, iż prowadzony przez nią zbiór danych osobowych klientów służy wyłącznie do wystawienia faktury lub rachunku, jest zatem zwolniony z obowiązku rejestracji na podstawie art. 43 ust. 1 pkt 8 ustawy. Spółka nie jest producentem towarów, lecz tylko sprzedającym, a ewent. reklamacje rozpoznaje producent. Spółka nie jest także właścicielem programu komputerowego, na który posiada licencję. Do spełnienia nałożonych obowiązków konieczne byłoby rozwiązanie umowy z właścicielem programu, a to oznaczałoby znaczne koszty dla Spółki.
Decyzją z dnia [...] lipca 2007 r. GIODO utrzymał w mocy swoją decyzję z [...] maja 2007 r. Organ powtórzył ocenę, że z przeprowadzonej kontroli wynika, iż wystawienie faktury lub rachunku nie jest jedynym celem prowadzenia zbioru danych klientów. Klienci ci mają zagwarantowane przepisami Kodeksu cywilnego (art. 556 § 1) prawo dochodzenia roszczeń w przypadku nienależytego wykonania umowy przez spółkę. Poza tym, status Spółki jako producenta wynika z odpisu Krajowego Rejestru Sądowego – tak więc, Spółka niezależnie od swojej odpowiedzialności jako sprzedawca, odpowiada wobec nabywców produkowanych przez siebie towarów jako ich producent. Organ ponownie ocenił, że Spółka nie spełniła wymagań określonych w rozporządzeniu, a powołując się na wyrok NSA z 4 marca 2002 r. II SA 3144/01 uznał, że względy techniczne lub finansowe nie zwalniają z obowiązku dostosowania się do wymogów prawa.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na decyzję z [...] lipca 2007 r., Spółka powtórzyła swoje stanowisko zaprezentowane we wniosku o ponowne rozpatrzenie sprawy. Spółka wskazała, że przesłuchiwany w toku kontroli jeden ze wspólników (A. Ł.) nie jest informatykiem i nie zrozumiał pytań kontrolującego. Dlatego wniosła o przesłuchanie przez Sąd drugiego wspólnika (K. J.) stwierdzając nadto, że wykonanie nakazów organu nie jest możliwe w określonych przez niego terminach.
W odpowiedzi na skargę organ wniósł o jej oddalenie i powtórzył swoje stanowisko w sprawie. Organ zauważył, że spółka nie wskazała terminów, w których mogłaby wykonać nałożone nakazy i odmówił trafności zgłoszonemu wnioskowi.
Sąd uwzględnił skargę jednakże nie z tych powodów, które zostały w niej podniesione.
Za niezasadne uznał Sąd Zarzuty Spółki odnoszące się do wykonania ciążących na niej obowiązków wynikających z ustawy i podzielił stanowisko organu z tym wyjątkiem, że co do rozpatrywania reklamacji nabywców oferowanych materiałów i produktów budowlanych nie będą miały zastosowania przepisy art. 556-581 K.c., lecz przepisy ustawy z dnia 27 lipca 2002 r. o szczególnych warunkach sprzedaży konsumenckiej oraz o zmianie K.c. (Dz. U. Nr 41, poz. 1176 ze zm.).
W ocenie Sądu pierwszej instancji wadliwość zaskarżonej decyzji polega na nieuwzględnieniu terminów w jakich powinny być wykonane nakazy.
Jak wynika z treści decyzji z dnia [...] maja 2007 r. nakazy powinny być wykonane w stosownych terminach. Sad pozytywnie ocenił uwzględnienie słusznego interesu strony w takim ukształtowaniu tych terminów, aby obowiązki mogły być faktycznie wykonane (art. 7 K.p.a.).
Z decyzji z [...] maja 2007 r. wynika jednak, że początkiem terminów na wykonanie poszczególnych obowiązków jest data, kiedy ta decyzja stanie się ostateczna. Jednakże decyzja z [...] maja 2007 r. była ostateczna już w chwili jej wydania – wynika to ze specyfiki tego organu, wobec którego nie istnieje organ wyższego stopnia w rozumieniu art. 17 K.p.a. Od decyzji GIODO odwołanie nie przysługuje, natomiast zamiast niego złożyć można wniosek o ponowne rozpatrzenie sprawy (art. 21 ust. 1 ustawy). Organ sam zresztą zamieścił w pouczeniu decyzji z [...] maja 2007 r. informację, że decyzja ta jest ostateczna. W związku z tym, z chwilą otrzymania decyzji z [...] maja 2007 r. zaczęły biec wskazane w niej terminy na wykonanie poszczególnych obowiązków. Obowiązek z punktu 1 (zgłoszenie zbioru do rejestracji) wykonany miał zostać w terminie 14 dni – takim samym, w jakim możliwie było złożenie wniosku o ponowne rozpatrzenie sprawy. Co więcej – obowiązek z pkt 2 (prawidłowe skonstruowanie haseł systemu informatycznego) miał zostać wykonany w terminie 7 dni, zatem jeszcze przed upływem terminu na złożenie wniosku o ponowne rozpatrzenie sprawy. Wskutek rozpatrywania środka odwoławczego spółki i wydania decyzji "odwoławczej" dopiero w dniu [...] lipca 2007 r. efektywnie zostały też skrócone terminy na wykonanie obowiązków określonych w punkcie 3 i 4 decyzji z [...] maja 2007 .r. Decyzja "odwoławcza" utrzymywała przecież w całości w mocy decyzję pierwotną, w tym terminy na wykonanie poszczególnych obowiązków. Tymczasem, w ocenie Sądu , kierując się dyrektywą art. 7 K.p.a. i uwzględniając fakt, że wniesienie odwołania wstrzymuje wykonanie zaskarżonej decyzji (art. 130 § 2 K.p.a.), organ powinien zmienić terminy na wykonanie tych obowiązków i zagwarantować Spółce możliwość terminowego, faktycznego ich wykonania. Zaniechanie tej zmiany spowodowało, że takiej możliwości Spółka nie posiada. Skoro organ ocenił, że wskazane w decyzji z [...] maja 2007 r. terminy są optymalne, to te same efektywne terminy powinny być wskazane w decyzji wydanej w wyniku wniosku o ponowne rozpatrzenie sprawy.
Zdaniem Sądu nie ma znaczenia, że Spółka nie wskazała terminów, w jakich mogłaby wykonać nałożone obowiązki. Organ powinien z urzędu wystąpić o wskazanie przez Spółkę tych terminów, skoro we wniosku o ponowne rozpatrzenie sprawy strona skarżąca zakwestionowała możliwość ich wykonania w terminach określonych przez GIODO. Co więcej – nawet w razie milczenia Spółki w tej kwestii, organ powinien respektować jej słuszny interes i z urzędu dostosować te terminy do nowej sytuacji faktycznej, jaką było wydanie decyzji "odwoławczej" dopiero [...] lipca 2007 r. Ponadto Sąd zauważa, iż w innych sprawach zawisłych przed sądami administracyjnymi, w przypadkach analogicznych jak w niniejszej sprawie, organ zmieniał terminy wykonania nałożonych obowiązków (vide np. wyrok NSA z dnia 4 marca 2002 r., sygn. II SA 3144/01, dostępny pod adresem www.: cbois.nsa.gov.pl). niezrozumiałe są więc powody, dla których w niniejszej sprawie organ postąpił inaczej.
W dalszym postępowaniu Sąd zlecił organowi aby prawidłowo określił powyższe terminy, co umożliwi skarżącej wykonanie nałożonych obowiązków, zaś zaskarżoną decyzję uchylił na podstawie art. 145 § 1 pkt 1 lit. c/ ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 z późn. zm.) zwaną dalej ustawą P.p.s.a.
Skargę kasacyjną od powyższego wyroku wniósł Generalny Inspektor Ochrony Danych Osobowych, prawidłowo reprezentowany i zaskarżając wyrok w całości zarzucił naruszenie prawa materialnego art. 130 § 1 i § 2 K.p.a. przez ich błędną wykładnię i niewłaściwe zastosowanie, tj. uznanie, iż Generalny Inspektor wydając zaskarżoną decyzję z dnia [...] lipca 2007 r. na skutek wniesienia przez administratora danych osobowych wniosku o ponowne rozpatrzenie sprawy załatwionej decyzją z dnia [...] maja 2007 r., powinien zmienić terminy na wykonanie nakazów zawartych w decyzji, wobec których wniosek został złożony.
Skarga kasacyjna domaga się uchylenia zaskarżonego wyroku, przekazanie sprawy do ponownego rozpoznania Sądowi pierwszej instancji i zasądzenie kosztów postępowania wg norm przepisanych.
W uzasadnieniu skargi kasacyjnej rozwijając podniesione zarzuty autor stwierdza, iż decyzja Generalnego Inspektora staje się ostateczna z chwilą jej wydania. Do wniosku o ponowne rozpatrzenie sprawy, który przysługuje od takiej decyzji stosuje się odpowiednio przepisy o odwołaniu.
Poza przepisami, które ze swej istoty nie mogą zostać zastosowane do omawianego wniosku, tj. art. 129 § 1, art. 133, art. 136, art. 138 § 2 K.p.a. pozostałe przepisy odnoszące się do odwołań mają do niego zastosowanie. W szczególności ma zastosowanie zasada wyrażona w art. 130 § 1 K.p.a., zgodnie z którą przed upływem terminu do wniesienia odwołania decyzja nie ulega wykonaniu. Należy zatem uznać, iż mimo przysługiwania decyzji Inspektora waloru ostateczności, do czasu wniesienia wniosku o ponowne rozpatrzenie sprawy nie musiała ona zostać wykonana przez stronę. Dopiero upływ terminu do wniesienia środka zaskarżenia rodzi po stronie adresata decyzji obowiązek wykonania tego aktu administracyjnego. Jeżeli natomiast strona w terminie wystąpi z wnioskiem o ponowne rozpatrzenie sprawy, w myśl art. 130 § 2 K.p.a. wykonanie decyzji zostaje wstrzymane. Skoro zatem powołane przepisy dotyczące wpływu wniesienia odwołania na wykonanie decyzji, mają również zastosowanie do sytuacji, gdy stronie przysługuje inny środek zaskarżenia (wniosek o ponowne rozpatrzenie sprawy na skutek wydania decyzji ostatecznej), wykonanie decyzji ostatecznej podlega takim samym zasadom, jak w przypadku decyzji, od której przysługuje odwołanie.
Wobec powyższego, za niezasadny należy uznać zarzut Sądu, iż wyznaczenie przez Generalnego Inspektora takich samych (lub krótszych) terminów na wykonanie decyzji od terminu wniesienia wniosku o ponowne rozpatrzenie sprawy, skutkuje nałożeniem na stronę obowiązku wykonania wydanych przez organ nakazów przed upływem terminu do wniesienia tego środka zaskarżenia. Jednocześnie nie można zgodzić się z wyrażonym przez Sąd stanowiskiem, iż konsekwencją zaniechania przez organ zmiany w decyzji z dnia [...] lipca 2007 r. nr [...] pozostałych terminów jest skrócenie terminów wykonania nakazów określonych w decyzji z dnia [...] maja 2007 r. nr [...]. Zaprezentowana powyżej argumentacja strony skarżącej, jednoznacznie wskazuje, iż z chwilą wniesienia wniosku o ponowne rozpatrzenie sprawy, wykonanie decyzji zostaje wstrzymane. Termin wykonania decyzji ponownej, jako decyzji ostatecznej, wydanej po przeprowadzeniu postępowania na skutek złożenia ww. wniosku, zaczyna biec od dnia jej doręczenia stronie. Nie zachodzi zatem przywołana przez Wojewódzki Sąd Administracyjny okoliczność skrócenia terminu wykonania nakazów nałożonych przez Generalnego Inspektora.
Organ nie zgadza się z przedstawionym przez Sąd stanowiskiem, iż wydając decyzję ponowną Generalny Inspektor powinien uwzględnić wyjaśnienie strony o niemożności modyfikacji systemu informatycznego we wskazanych przez organ terminach. Generalny Inspektor wydając decyzję ponowną uznał, że nie zachodzi potrzeba zmiany terminów, gdyż wyznaczone terminy są optymalne i dają możliwość efektywnego wykonania decyzji. Autor skargi podkreśla jeszcze raz, że utrzymanie w całości decyzji z dnia [...] maja 2007 r. nr [...] łącznie z terminami wykonania nakazów nie prowadzi, jak wyżej wykazano, do skrócenia tych terminów.
Powołanie przez Sąd innych zawisłych przed sądami administracyjnymi spraw w przypadkach analogicznych, gdy organ zmieniał terminy nałożonych obowiązków (wyrok z dnia 4 marca 2002 r. Naczelnego Sądu Administracyjnego, sygn. II SA 3144/01), nie znajduje zastosowania w niniejszej sprawie. Przytoczone orzeczenie odnosi się do sytuacji, w której organ przychylił się do wniosku strony oceniając, iż zmiana terminu wykonania nakazów decyzji jest uzasadniona. Rozpatrując złożony przez Spółkę wniosek o ponowne rozpatrzenie sprawy, Generalny Inspektor uznał, że w przedmiotowym stanie faktycznym wyznaczone terminy są wystarczające na spełnienie obowiązków, do których odnoszą się nakazy.
W odpowiedzi na skargę kasacyjną Spółka wniosła o jej oddalenie, bowiem we wniesionej skardze nie wskazano na czym polega błędne rozumienie normy prawnej. Analiza uzasadnienia skargi kasacyjnej wskazuje na to, iż organ ma na uwadze niewłaściwe zastosowanie normy zawartej w art. 130, czyli błąd subsumcji, czyli wadliwe uznanie, ze ustalony w sprawie stan faktyczny odpowiada hipotezie normy prawnej. Analiza uzasadnienia wyroku nie daje podstaw do przyjęcia takiego zarzutu, zatem jest on chybiony, a skarga na podstawie art. 184 ustawy P.p.s.a. powinna zostać oddalona.
Naczelny Sąd Administracyjny zważył, co następuje.
Skarga kasacyjna nie posiada usprawiedliwionych podstaw.
Naczelny Sąd Administracyjny stosownie do art. 183 § 1 ustawy P.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej z urzędu biorąc pod rozwagę nieważność postępowania z przyczyn, o których stanowi § 2 powołanego przepisu. Z uwagi na to, iż żadna z przesłanek nieważności nie wystąpiła w tej sprawie, Sąd odwoławczy mógł odnieść się tylko do zarzutów postawionych w środku odwoławczym.
Związanie Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej wymaga prawidłowego wyboru podstawy kasacyjnej, sformułowania zarzutu, że wskazaniem naruszonych przepisów, a przy podstawie z art. 174 pkt 2 ustawy P.p.s.a. nadto wykazania, iż naruszenie to mogło mieć istotny wpływ na wynik sprawy.
Wniesiona w tej sprawie skarga kasacyjna wadliwie oparta została na podstawie z art. 174 pkt 1 ustawy P.p.s.a., a jako naruszone przepisy prawa materialnego autor wskazał art. 130 § 1 i 2 K.p.a.
Przepis art. 130 § 1 K.p.a. stanowi, iż przed upływem terminu do wniesienia odwołania decyzja nie ulega wykonaniu, zaś § 2 reguluje skutki wniesienia odwołania. W myśl tego przepisu wniesienie odwołania w terminie wstrzymuje wykonanie decyzji. Treść zacytowanych przepisów wskazuje, iż należą one bez wątpienia do prawa procesowego i regulują problematykę wykonalności decyzji organu pierwszej instancji. Powołanie tych przepisów jako naruszonych przez Sąd jest wadliwe nie tylko z uwagi na ich procesowy charakter, lecz także dlatego, że Wojewódzki Sąd Administracyjny rozpoznając skargę stosuje przepisy ustawy – Prawo o postępowaniu przed sądami administracyjnymi i naruszenie przepisów postępowania mogłoby odnosić się tylko do tego aktu prawnego ewentualnie w związku z przepisami Kodeksu postępowania administracyjnego.
Skarga kasacyjna ani w petitum, ani w uzasadnieniu nie wskazuje tego rodzaju naruszeń prawa.
Ponadto zauważyć należy, iż w kwestii bezwzględnej suspensywności odwołania (w tej sprawie wniosku o ponowne rozpatrzenie sprawy) nie istniała rozbieżność stanowisk Sądu i organu. Zarówno organ jak i Sąd zgodnie przyjmują, iż decyzja, co do której złożono wniosek o ponowne rozpatrzenie sprawy nie podlega wykonaniu. Wada, którą podniósł Sąd (z czym nie zgadza się organ ) dotyczyła w istocie podstawy procesowej decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2007 r., a więc mogłaby być zakwalifikowana jako naruszenie art. 138 § 1 pkt 2 K.p.a. lub ew. art. 138 § 1 pkt 1 K.p.a. w zw. z art. 21 ust. 1 ustawy o ochronie danych osobowych, bowiem w ocenie Sądu zachodziła konieczność zmiany decyzji w części ustalającej terminy wykonania nakazów, a błędem było utrzymanie w mocy poprzedzającej decyzji. Związanie Naczelnego Sądu Administracyjnego podstawami skargi kasacyjnej i jej zarzutami uniemożliwia korygowanie błędnych zarzutów, ich uzupełnianie lub interpretowanie skarg i kasacyjnej w oparciu o sporządzone do niej uzasadnienie.
Z powyższych względów skarga kasacyjna jako nieposiadająca usprawiedliwionych podstaw podlegała oddaleniu na podstawie art. 184 ustawy P.p.s.a.