I OSK 711/05

I OSK 711/05 - Wyrok NSA
Data orzeczenia
2006-04-27
orzeczenie prawomocne
Data wpływu
2005-06-22
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Janina Antosiewicz /sprawozdawca/
Joanna Runge -Lissowska
Wojciech Chróścielewski /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA 1549/03 - Wyrok WSA w Warszawie z 2004-03-11
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżony wyrok i przekazano sprawę do ponownego rozpoznania przez Wojewódzki Sąd Administracyjny
Powołane przepisy
Dz.U. 2002 nr 153 poz 1270
art. 185 § 1
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi.
Sentencja
Naczelny Sąd Administracyjny w składzie następującym: Przewodniczący Sędzia NSA Wojciech Chróścielewski, Sędziowie NSA Janina Antosiewicz (spr.), Joanna Runge-Lissowska, Protokolant Justyna Nawrocka, po rozpoznaniu w dniu 27 kwietnia 2006 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej K. P. i W. A. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 11 marca 2004 r. sygn. akt II SA 1549/03 w sprawie ze skargi K. P. i W. A. wspólników spółki jawnej P.[...] w [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie; 2. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz K. P. i W. A. po 340 zł (trzysta czterdzieści złotych) tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 11 marca 2004 r. oddalił skargę K. P. i W. A. - wspólników spółki jawnej P. w [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych [...], utrzymującą w mocy poprzednią decyzję z [...], nakazującą W. A. i K. P., prowadzącym działalność gospodarczą pod firmą spółki jawnej "P.", usunięcie danych osobowych J. I., pozyskanych od Spółki Akcyjnej P. w związku z zawarciem umowy przelewu bez zgody abonenta tj. bez spełnienia warunków z art. 3851 § 1 kc w zw. z art. 3853 pkt 5 kc.
W uzasadnieniu wyroku Sąd przytoczył ustalenia organu, z których wynikało, że 7 marca 1997 r. została zawarta pomiędzy J. I., a P. S.A. umowa o świadczenie usług telekomunikacyjnych, a następnie rozwiązana bez uregulowania wynikających z niej należności. 29 czerwca 2001 r. Spółka P. zawarła umowę o przelew wierzytelności z W. A. i K. P. - wspólnikami P., obejmując nią m.in. wierzytelność przysługującą wobec J. I. Jako podstawę udostępnienia i pozyskania danych wskazany został przepis art. 509 i nast. k.c.
Generalny Inspektor Ochrony Danych Osobowych, zwrócił się do Prezesa Urzędu Ochrony Konkurencji i Konsumentów o opinię w tej sprawie.
W opinii Prezesa cesja długu abonenta, będącego konsumentem pomiędzy przedsiębiorcą, a firmą windykacyjną jest dopuszczalna jedynie za zgodą konsumenta. W przeciwnym razie na podstawie art. 3851 § 1 kc spełnia przesłanki niedozwolonego postanowienia umownego.
W dniu [...] Generalny Inspektor Ochrony Danych (zwany dalej w skrócie GIODO) w decyzji nakazał W. A. i K. P., prowadzącym działalność gospodarcza pod firmą spółki jawnej "P." usunięcie danych osobowych J. I., pozyskanych bez jego zgody od P. S.A., w związku z przelewem wierzytelności.
We wniosku o ponowne rozpatrzenie sprawy skarżący zarzucili błędne ustalenie adresatów decyzji, naruszenie art. 23 ustawy o ochronie danych osobowych, błędną interpretację art. 509 § 1 w zw. z art. 3851 i nast. kc.
Decyzją z [...] GIODO utrzymał swą poprzednią decyzję, podtrzymując stanowisko, że stroną postępowania mogli być w myśl art. 29 kpa - tylko wspólnicy spółki. Zawarta umowa należy do grupy umów konsumenckich, stad nie wystarczy samo przeniesienie wierzytelności. Ponadto podkreślił, że z akt wynika, iż wskutek cesji uległa pogorszeniu sytuacja J. I.
W skardze do Naczelnego Sądu Administracyjnego K. P. i W. A. żądali stwierdzenia nieważności decyzji, jako skierowanej do osób nie będących stronami, bądź uchylenia decyzji z powodu naruszenia art. 23 ust. 1 ustawy o ochronie danych osobowych i art. 3853 § 5 kc oraz pominięcia zarzutów podniesionych w toku postępowania przez skarżących.
Najdalej idącym zarzutem było ustalenie adresatów decyzji, tj. wspólników spółki zamiast spółki. Wskazali, że decyzja oparta została na art. 18 uodo. Kieruje się ją więc wobec administratora danych. Jest nim, zgodnie z art. 7 pkt 4 ustawy, jednostka organizacyjna. Może nim być jednostka organizacyjna nieposiadająca osobowości prawnej, czyli przedsiębiorca.
Skarżący podkreślili też, że spółka jawna jest spółką prawa handlowego, nieposiadającą osobowości prawnej, lecz status ułomnej osoby prawnej (art. 8 §
Sygn. akt I OSK 711/05
1 w zw. z art. 22 § 1 ksh). Spółka może więc nabywać prawa i zaciągać zobowiązania.
W świetle art. 2 ust. 2 prawa o działalności gospodarczej, przedsiębiorcą jest niemająca osobowości prawnej spółka prawa handlowego, która prowadzi działalność we własnym imieniu.
Zakres podmiotowy stosowania ustawy o ochronie danych osobowych jest więc szerszy niż art. 29 kpa. Inaczej istniałby paradoks, że prywatna jednostka organizacyjna może być administratorem danych, a nie można do niej wydać decyzji. Byłoby to niekonsekwentne. Tymczasem wzajemną relację art. 3 ust. 2 uodo i 29 kpa określa art. 22 uodo. Przepisy kpa stosuje bowiem GIODO jedynie w zakresie nieuregulowanym w w/w ustawie.
Skarżący wskazał też, że GIODO błędnie uznał, że przelew wierzytelności między P. S.A. i P. s.c. był nieważny. Zgodnie z art. 509 § 1 kc, wierzyciel może bowiem bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew) chyba, że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. Zgodnie z art. 513 § 1 kc dłużnikowi przysługują wobec nabywcy wierzytelności wszelkie zarzuty, jakie miał przeciwko zbywcy w chwili powzięcia wiadomości o przelewie. W prawie istnieje więc zasada przelewu wierzytelności bez zgody dłużnika. Oznacza to, że wyjątki powinny być traktowane ściśle. Treść art. 3851 § 1 kc oznacza, że przepis ten dotyczy umowy zawieranej z konsumentem, chodzi o postanowienia takiej umowy, które nie zostały uzgodnione z konsumentem indywidualnie, kształtują jego prawa i obowiązki w sposób sprzeczny z dobrymi obyczajami i jednocześnie rażąco naruszają jego interesy. Przepis ten odnosi się więc do analizy umowy zawieranej z konsumentem, nie może być zaś brany pod uwagę przy analizie umowy zawieranej przez dwóch przedsiębiorców.
Fakt, że w umowie z J. I. nie znalazło się postanowienie upoważniające do zawarcia umowy przelewu między dwoma przedsiębiorcami, oznacza - zdaniem skarżącego - że takie postanowienie nie istnieje, nie było objęte wola stron, a więc nie można go brać jako podstawy analiz. Nie jest tu właściwe posługiwanie się argumentacją a maiori ad minus, gdyż nie było w ogóle określonego cięższego obowiązku.
GIODO pominął zaś, zdaniem skarżących, argumentację, że do oceny przelewu nie może mieć zastosowania art. 3853 pkt 5 kc, gdyż norma ta traktuje łącznie o dokonywaniu przelewu i przekazaniu obowiązków z umowy na rzecz osoby trzeciej. Tymczasem w danej sprawie nie zachodziła pozostała część hipotezy. Zdaniem skarżących art. 509 § 1 kc zezwala wierzycielowi na dokonanie przelewu bez zgody dłużnika. Nie jest tu konieczne wprowadzenie jakiejkolwiek klauzuli.
Z kolei, na podstawie art. 519 § 2 kc przejęcie długu może nastąpić przez umowę za zgodą dłużnika. Dlatego wprowadzono art. 3853 § 5 kc.
Skarżący wskazali też na szereg niekonsekwencji, gdyż w decyzjach kierowanych do P. stwierdzono, że umowa przelewu nie może rodzić skutków prawnych wobec J. I., a nie stwierdzono, że jest dotknięta wadą nieważności. Podkreślili, że organ nie wskazał, na czym miałoby polegać rażące naruszenie interesów abonenta, gdyż art. 3853 statuuje tylko domniemanie abuzywności klauzul, jednak zastosowanie tego przepisu wymaga badania in concreto. Sytuacja dłużnika wobec przelewu nie uległa pogorszeniu, bowiem ma on możliwość zgłaszania tych samych zarzutów.
Zdaniem skarżących na podstawie art. 23 ust. 1 pkt 5 uodo, możliwe jest przekazywanie danych osobowych przez administratora osobie trzeciej, gdy jest to uzasadnione dla realizacji usprawiedliwionego interesu tej osoby. Może to
dotyczyć także egzekwowania nabytych wierzytelności. Prócz tego, na podstawie umowy o ochronie niektórych praw konsumentów (art. 21) jej przepisy stosuje się do umów zawartych przed data wejścia w życie, tj. 1 lipca 2000 r., lecz do tego momentu niewykonalnych. Zdaniem skarżących, umowa została już wykonana gdyż została rozwiązana.
W ocenie skarżących opinia Prezesa UOKiK nie stanowiła zagadnienia wstępnego, ewentualną abuzywność postanowień umownych stwierdza Sąd Okręgowy - Sąd Ochrony Konkurencji i Konsumentów.
Skarżący mieli więc podstawę do przetwarzania danych, gdyż nie jest nią tylko zgoda osoby, której dane dotyczą.
W odpowiedzi na skargę GIODO w niósł o jej oddalenie i podtrzymał swe stanowisko zawarte w decyzjach odnosząc się obszernie do zarzutów skargi.
Rozpatrując skargę Wojewódzki Sąd Administracyjny w Warszawie właściwy na podstawie art. 97 § 1 ustawy z dnia 30 sierpnia 2002 r. Przepisy wprowadzające ustawę - Prawo o ustroju sądów administracyjnych i ustawę - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. Nr 153, poz. 1271 z późn. zm.), nie uznał jej zarzutów za zasadne.
Sąd nie podzielił zarzutu skierowania decyzji do osoby nie będącej stroną.
Zgodnie z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, w razie stwierdzenia naruszenia przepisów o ochronie danych, Generalny Inspektor nakazuje administratorowi danych, w drodze decyzji, przywrócenie stanu zgodnego z prawem.
W świetle art. 7 pkt 4 tej ustawy, przez administratora danych należy rozumieć organ, instytucję, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3 ust.1 i 2 decydujące o celach i środkach przetwarzania danych. Oznacza to, że mogą to być również osoby fizyczne i prawne oraz jednostki organizacyjne niemające osobowości prawnej, które przetwarzają dane
Sygn. akt I OSK 711/05
w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych. Jednostki te musiały być jednak ujmowane przez pryzmat art. 29 kpa z dnia 14 czerwca 1960 r. kodeks postępowania administracyjnego (Dz.U. z 2000 r. Nr 98, poz.1071 ze zm.) według którego stronami mogą być w postępowaniu administracyjnym osoby fizyczne i osoby prawne, a gdy chodzi o państwowe i samorządowe jednostki organizacyjne i organizacje społeczne - również jednostki nieposiadające osobowości prawnej. Postępowanie toczące się przed Generalnym Inspektorem, ma bowiem charakter postępowania administracyjnego, które prowadzi się według przepisów kpa, o ile przepisy ustawy nie stanowią inaczej. Oznacza to, że w sprawach procesowych, zasadą powinno być stosowanie kodeksu. W literaturze przyjmuje się powszechnie, że wyjątki od zasady powinny być traktowane wąsko i muszą mieć charakter wyraźny. Tymczasem takiego charakteru nie mają przepisy art. 7 ust. 1 pkt 4 w związku z art. 3 ust. 1 i 2 uodo.
Sąd nie dopatrzył się sprzeczności między treścią art. 7 pkt 4 ustawy o ochronie danych osobowych, a art. 29 kpa. W ramach art. 7 pkt 4 uodo nadal istniała bowiem kategoria takich administratorów, którzy nie posiadali osobowości prawnej. Ograniczona ona była w tym czasie jednak do wymienionych w art. 29 kpa państwowych i samorządowych jednostek organizacyjnych oraz organizacji społecznych.
Stąd w przypadku spółek prawa handlowego nieposiadających osobowości prawnej, reprezentowane one były przez wspólników spółek.
Sąd podzielił przy tym pogląd Generalnego Inspektora, że fakt pełnienia przez spółkę roli przedsiębiorcy na tle art. 2 ust. 2 ustawy z 19 listopada 1999 r. prawo działalności gospodarczej (Dz.U. Nr 101, poz. 1178 ze zm.) nie oznaczał, iż przysługiwał jej przymiot strony w każdym postępowaniu administracyjnym. Podobnie nie miał znaczenia dla tego postępowania fakt, iż na gruncie kodeksu
spółek handlowych, spółka jawna miała osobowość prawną. Dotyczy to bowiem jedynie tej ustawy. Do sprawy nie odnosi się również uchwała NSA z 26 listopada 2001 r. OPK 19/01, (ONSA 2002 nr 2, poz. 68). Dotyczyła ona bowiem innego stanu faktycznego i prawnego, w którym podmiotem praw i obowiązków mogła stać się wspólnota mieszkaniowa, gdyż przepisy prawa materialnego wyposażyły ją w zdolność prawną. Nie czynią tego natomiast w odniesieniu do spółek jawnych, przepisy ustawy o ochronie danych.
Zmiana w tym zakresie nastąpiła dopiero z dniem 25 września 2003 r. na podstawie ustawy z dnia 14 lutego 2003 r. o zmianie ustawy - kodeks cywilny oraz niektórych innych ustaw (Dz.U. Nr 49, poz. 408), wprowadzając do kodeksu cywilnego art. 331, na mocy którego do jednostek organizacyjnych niebędących osobami prawnymi, którym ustawa przyznaje zdolność prawną, stosuje się odpowiednio przepisy o osobach prawnych. Dopiero od tego momentu, na podstawie art. 8 § 1 ustawy z 15 września 2000 r. ksh w zw. z art. 29 kpa i art. 33 kc, spółka jawna może być stroną postępowania administracyjnego.
Odnosząc się do zarzutu skargi, upatrującego jako podstawę przetwarzania danych osobowych art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, a więc wówczas gdy zezwalają na to przepisy prawa, Sąd stwierdził, iż w tym przypadku przepis prawny musi wyraźnie mówić o przekazaniu danych osobowych. Art. 509 kc dyspozycji takiej nie zawiera.
Rozważając przesłankę z art. 23 ust. 1 pkt 5 ustawy, a więc gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów Sąd podkreślił, iż nie może nastąpić pogorszenie sytuacji właściciela danych. Oceniając sytuację prawną kontrahenta strony umowy konsumenckiej - zdaniem Sądu - należy badać czy nie nastąpiło pogorszenie jego sytuacji prawnej w świetle przepisów dotyczących umów konsumenckich. Sąd przyjął, że art. 509 kc mówi ogólnie o
przelewach wierzytelności i pozwala na takie przelewy bez zgody dłużnika pod warunkiem, że nie sprzeciwia się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania.
Rozważając czy przy umowach konsumenckich dokonanie takiego przelewu bez zgody dłużnika nie sprzeciwia się ustawie, Sąd powołał się na art. 3853 pkt 5 kc. Przepis ten wskazuje na to, że niedozwolonym postanowieniem umownym jest takie zezwolenie, które pozwala kontrahentowi konsumenta na przeniesienie praw i obowiązków bez zgody konsumenta. Oznacza to, że takie postanowienie nieuzgodnione z nim indywidualnie, jeżeli byłoby zawarte we wzorcu umownym nie wiąże go. W konsekwencji takie postanowienie, łącząc go z treścią art. 3853 pkt 5 kc, musiałoby być określone w samej umowie indywidualnie uzgodnionej z konsumentem.
Przyznając racje skarżącym, że jeżeli zakazane jest coś czynić więcej, to nie można przyjmować, że zakazane jest czynić coś mniej, Sąd stwierdza, że w tym przypadku zachodzi jednak sytuacja odwrotna. Mianowicie, jeżeli zakazane jest czynić mniej, czyli nie można nawet we wzorcu umownym wyłączyć zgody konsumenta, to zakazane jest czynić więcej, zatem dokonywać takich czynności w ogóle bez zgody konsumenta.
Na tle art. 3853 pkt 5 kc nie można zezwolić kontrahentowi na zawarcie we wzorcach umownych postanowienia zezwalającego na przeniesienie praw i obowiązków. Zdaniem Sądu, dokonana cesja wierzytelności wiąże się zarówno z przeniesieniem prawa, jak i przeniesieniem obowiązków, co potwierdza treść art. 513 § 2 kc, jak i treść umowy przelewu, w której nabywca zobowiązał się do wysłania dłużnikowi w imieniu zbywcy, pisemnego zawiadomienia o przelewie wierzytelności - § 5 umowy przelewu. Natomiast art. 519 kc nie ma w sprawie znaczenia, bowiem dotyczy wstąpienia osoby trzeciej w miejsce dłużnika za zgodą dłużnika i odnosi się do wszelkich umów. Powołane zaś
wyżej przepisy różnicują sytuację przelewu wierzytelności, a nie przejęcia długu, w zależności od charakteru umowy, w tym umowy konsumenckiej.
Sąd nie podzielił również zarzutu skarżących o braku zastosowania ustawy z 2 marca 2000 r. o ochronie niektórych praw konsumentów oraz o odpowiedzialności za szkodę wyrządzoną przez produkt niebezpieczny (Dz.U. Nr 22, poz. 271 ze zm.) w świetle art. 21 tej ustawy. Wskazał bowiem, że nie można mówić o wykonaniu umowy, gdy P. stał na stanowisku niewywiązywania się z niej osoby, której dane dotyczą i wystąpienia sporu w tym zakresie. Przelew wierzytelności był zresztą konsekwencją przekonania o niewykonaniu umowy.
Z tych powodów Sąd oddalił skargę na podstawie art. 151 ustawy Prawo o postępowaniu przed sądami administracyjnymi.
Skargę kasacyjną od powyższego wyroku wnieśli do Naczelnego Sądu Administracyjnego W. A. i K. P., reprezentowani przez radców prawnych E. B. i A. M. i zaskarżając wyrok w całości zarzucili:
1) naruszenie przepisów postępowania tj. art. 145 § 1 pkt 2 ustawy - Prawo o postępowaniu przed sądami administracyjnymi przez niestwierdzenie przez WSA nieważności zaskarżonych decyzji w wyniku przyjęcia, że adresatami decyzji GIODO zostali prawidłowo określeni: K. P. i W. A. zamiast P. Sp. j., a tym samym naruszenie art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w zw. z art. 3 ust. 2 pkt 2 tej ustawy oraz błędne zastosowanie art. 29 kpa;
2) naruszenie prawa materialnego, tj. art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, poprzez przyjęcie, że art. 509 § 1 kc - z uwagi na brzmienie art. 3853 pkt 5 kc i art. 513 § 2 kc - nie
3) jest przepisem prawa zezwalającym na przetwarzanie danych, a tym samym błędną wykładnię powyższych przepisów i niewłaściwe zastosowanie art. 3853 pkt 5 kc;
4) naruszenie art. 23 ust. 1 pkt 5 uodo, poprzez przyjęcie, że skarżący, otrzymując i przetwarzając dane osobowe dla realizacji prawnie usprawiedliwionego celu, naruszyli prawa i wolności osoby, której dane dotyczą (J. I.), a tym samym błędną wykładnię tego przepisu;
5) naruszenie art. 18 ust. 1 uodo, poprzez przyjęcie, że GIODO miał prawo wydać decyzje nakazującą uzyskiwanie zgody klienta na przelew wierzytelności w sytuacji, gdy kompetencje GIODO ograniczają się tylko do sfery przetwarzania danych osobowych, a nie do sfery czynności cywilnoprawnych, a tym samym błędną wykładnię tego przepisu i jego niewłaściwe zastosowanie.
Skarżący wnieśli o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania lub zmianę wyroku i uchylenie zaskarżonej decyzji oraz zasądzenie kosztów postępowania.
Uzasadniając pierwszy z zarzutów skarżący podkreślili, iż błąd co do adresatów decyzji traktowany jest przez ustawodawcę szczególnie i prowadzi do stwierdzenia nieważności decyzji. O to wnieśli skarżący do WSA. GIODO uczynił adresatami decyzji osoby fizyczne, podczas kiedy w trakcie postępowania oraz w dacie wydania decyzji K. P. i W. A. byli wspólnikami spółki jawnej P. z siedziba w [...]. Uprzednio prowadzili oni działalność gospodarczą w formie spółki cywilnej, która została przekształcona zgodnie z art. 26 § 4 kodeksu spółek handlowych w spółkę jawną. Wpis do Krajowego Rejestru Sądowego został dokonany przez Sąd Rejonowy w Poznaniu Wydział XXII KRS postanowieniem z 7 maja 2002 r. Jak wynika z decyzji, o fakcie tym organ wiedział z urzędu.
Następnie z dniem 12 lutego 2003 r. przedsiębiorstwo spółki jawnej P. zostało w całości przejęte na podstawie sukcesji uniwersalnej przez P. Spółkę z o.o., także prowadzącą działalność gospodarczą w zakresie usług finansowych, w tym windykację należności. W wyniku powyższego, wszelkie wierzytelności posiadane przez P. Sp. jawną, przeszły na własność P. Sp. z o.o. (art. 553 § 1 ksh). Zatem P. Sp. z o.o. stała się administratorem danych osobowych znajdujących się uprzednio w zbiorze administrowanym przez P. spółkę jawną, w tym danych osobowych J. I..
Zaskarżona decyzja została oparta na art. 18 ust. 1 ustawy o ochronie danych osobowych, który to przepis upoważnia Generalnego Inspektora do nakazania w drodze decyzji administratorowi danych, przywrócenie stanu zgodnego z prawem. Definicja tego podmiotu została zawarta w art. 7 ust. 4 uodo. Status administratora przysługuje organowi instytucji, jednostce organizacyjnej, podmiotowi lub osobie, o których mowa w art. 3 ust. 1 i 2 ustawy. Art. 3 ust. 2 wskazuje, iż ustawę stosuje się do osób fizycznych i prawnych oraz jednostek niemających osobowości prawnej, które przetwarzają dane w związku z działalnością zarobkową. Z powyższego wynika zatem bezspornie, iż ustawa ma zastosowanie także do prywatnych jednostek organizacyjnych nieposiadających osobowości prawnej, prowadzących działalność gospodarczą. Skoro tak to należało uznać, iż administratorem danych może być wedle ustawy m.in. jednostka organizacyjna nieposiadająca osobowości prawnej, a prowadząca działalność zarobkową.
Spółka jawna jako spółka prawa handlowego, nieposiada osobowości prawnej, ale status tzw. ułomnej osoby prawnej, wynikający z art. 8 § 1 ksh w zw. z art. 22 § 1 ksh. Podmiotowość prawną przyznaje także takim podmiotom ustawa z
19 listopada 1999 r. - Prawo działalności gospodarczej. Skoro więc spółka jawna jest jednostką organizacyjną nieposiadającą osobowości prawnej, to właśnie ta spółka jest przedsiębiorcą w rozumieniu przepisów prawa, a nie jej wspólnicy.
Wspólnicy spółki nie nabywają praw i nie zaciągają zobowiązań w swoim imieniu i na swoją rzecz. Wspólnicy reprezentują spółkę, ale w wyniku ich działań prawa i obowiązki nabywa spółka. Zatem jest ona podmiotem prowadzącym działalność gospodarczą i mieści się w dyspozycji art. 3 ust.2 ustawy. Prowadzi to do wniosku, iż zakres podmiotowy stosowania ustawy o ochronie danych osobowych jest szerszy niż określony w art. 29 kpa. Wnioskowanie Sądu zamieszczone w wyroku jest błędne, a orzeczenie wadliwe. Potwierdzenie swej tezy skarżący upatruje w uchwale NSA z 26 listopada 2001 r. (ONSA 2002 nr 2, poz. 68), w której Sąd ten opowiedział się za rozpatrywaniem legitymacji strony według norm prawa materialnego.
Jeżeli więc ustawodawca wyposaża dany podmiot w zdolność prawną na gruncie określonej dziedziny administracyjnego prawa materialnego, to prawo procesowe nie może ograniczać jego zdolności administracyjnej w zakresie praw i obowiązków, wynikających z tej dziedziny prawa.
Skarżący podnoszą nadto, iż w złożonym piśmie organ przyznaje następstwo prawne P. Sp. z o.o., która przejęła dane w drodze sukcesji uniwersalnej, od spółki jawnej. Tym samym Generalny Inspektor w odpowiedzi na skargę uznał, że to P. Sp. jawna było administratorem danych J. I., a nie jej wspólnicy. To ostanie twierdzenie przeczy stanowisku zajętemu w decyzji, do czego nie odniósł się Sąd, a tym samym nie rozstrzygnął wątpliwości co do tego, kto był rzeczywiście administratorem danych J. I.
W odniesieniu do zarzutu naruszenia art. 23 ust. 1 pkt 2 - zdaniem skarżących - zezwolenie takie zawiera art. 509 kc. Zezwolenie takie nie musi
wyraźnie upoważniać do przetwarzania danych osobowych. Wystarczy, że zezwala on na wykonanie określonej czynności, do której niezbędne jest przetwarzanie danych osobowych. Odesłanie z art. 23 ust. 1 pkt 2 odnosi się do całego systemu prawnego, w tym przepisów prywatno-prawnych. Należy więc traktować je jako odesłanie do przepisów wyznaczających prawa i obowiązki administratora danych, dla wykonania których następuje przetwarzanie przez niego danych osobowych. W poszczególnych ustawach zastosowano różne rozwiązania; w części wyraźnie przyznano uprawnienie do przetwarzania danych, inne określają jedynie sposób zachowania się, z którym związane jest przetwarzanie danych.
Wnoszący skargę kasacyjną podnieśli także, że na takie rozumienie przepisu art. 23 ust. 1 pkt 2 ustawy wskazuje art. 7 lit. c dyrektywy UE nr 95/46 o ochronie osób fizycznych w związku z przetwarzaniem ich danych osobowych oraz o swobodnym przepływie tych danych.
Zezwala on na przetwarzanie danych w sytuacji, gdy "jest to konieczne w celu wykonania wynikającego z prawa zobowiązania, któremu administrator danych podlega". Intencją dyrektywy jest więc wskazanie jako podstawy prawnej przetwarzania danych, przepisów prawa, z których konieczność przetwarzania wynika również pośrednio. Nie ma racjonalnych przesłanek by treść powołanego przepisu ustawy interpretować odmiennie niż nakazuje to dyrektywa. Zdaniem skarżących, znaczenie w tej sprawie dla zastosowania art. 23 ust. 1 pkt 2 ustawy, ma art. 509 § 1 kc. Wynika z niego zasada, że wierzytelność jest zbywalna i może być przedmiotem przelewu. Przelew wierzytelności konsumenckiej był w tej sprawie dopuszczalny, bowiem nie istnieje żadna z negatywnych przesłanek, określonych w art. 509 § 1 Kodeksu. Błędnie organ i Sąd przyjęli, że w przypadku umów konsumenckich przeszkodą jest art. 3853 pkt 5 kc stanowiący, że niedozwoloną może być klauzula w
umowie z konsumentem dopuszczająca przeniesienie praw i obowiązków z tej umowy na inny podmiot, bez zgody konsumenta. Błąd polega na tym, że: 1) umowa z konsumentem nie zawierała żadnych postanowień odnoszących się do cesji wierzytelności, a przepis art. 3851 kc odnosi się do klauzul zawartych w umowach konsumenckich, 2) gdyby klauzula o przeniesieniu wierzytelności była zawarta w umowie z konsumentem, to nie mogłaby być oceniana jako wadliwa w świetle art. 3853 pkt 5 kc. Jeżeli konsument unika zapłaty, w ocenie przedsiębiorcy, jedynym i korzystnym rozwiązaniem dla niego będzie zbycie wierzytelności lub jej dochodzenie przez nabywcę wierzytelności (działalność polegająca na obrocie wierzytelnościami jest przecież zgodna z prawem), to - zdaniem skarżących - trudno odmówić mu takiego prawa tym bardziej, iż w żadnym stopniu nie uderza to w prawa konsumenta ani nie podważa przyznanych mu gwarancji uczciwego handlu. Przy ocenie, jakie działania administratora danych mieszczą się w ramach "usprawiedliwionego interesu" oraz "naruszenia praw i wolności" (spełnienie przesłanek z art. 23 ust. 1 pkt 5 ustawy), należy zwrócić uwagę, iż wedle ustawodawcy, nawet marketing usług (towarów) administratora spełnia powyższe kryteria. Trudno zatem uznać, że może naruszać prawa i wolności osoby, będącej dłużnikiem, podejmowanie wobec niej działań służących windykacji należności. W tej sytuacji, przetwarzanie danych znajduje także oparcie w przesłance, o której mowa w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych.
Uzasadniając zarzut naruszenia art. 18 ustawy skarżący twierdzili, że zgodnie z tym przepisem Generalny Inspektor jest uprawniony do wydania decyzji w przypadku naruszenia przepisów o ochronie danych. Tymczasem organ powołując się na niedopuszczalność stosowania art. 509 § 1 kc ze względu na art. 3853 pkt 5, dopuścił się de facto rozstrzygnięcia w zakresie ważności umowy przelewu, co należy do sądu powszechnego, a w niektórych
wypadkach do Prezesa UOKiK. Jeśli rozstrzygniecie w sprawie z zakresu danych osobowych (będącej sprawą administracyjną) zależy od uprzedniej kontroli treści danej czynności przez inny organ, postępowanie administracyjne powinno ulec zawieszeniu na podstawie art. 97 § 1 pkt 4 kpa. W przedmiotowej sprawie organ powołuje się na stanowisko Prezesa UOKiK, jednak nie może ono być potraktowane jako rozstrzygnięcie zagadnienia wstępnego przez inny organ. Rozstrzygając więc o niedopuszczalności przelewu wierzytelności bez zgody konsumenta, Generalny Inspektor wykroczył poza przyznane mu w art. 18 ustawy kompetencje. Ten sam błąd popełnił Sąd uznając, iż ten organ mógł w przedmiotowej sprawie rozstrzygnąć zagadnienie wykraczające poza jego właściwość.
W odpowiedzi na skargę kasacyjną Generalny Inspektor wniósł o jej oddalenie, a odnosząc się szczegółowo do jej zarzutów, opowiedział się za stanowiskiem zajętym w zaskarżonym wyroku.
Naczelny Sąd Administracyjny zważył, co następuje:
Skarga kasacyjna zawiera usprawiedliwione podstawy. Sąd odwoławczy rozważył przede wszystkim zarzut naruszenia przepisów postępowania - art. 145 § 1 pkt 2 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, jako najpoważniejszy, bowiem uznanie jego trafności przesądzałoby o konieczności stwierdzenia przez Sąd I instancji nieważności zaskarżonych decyzji
Postępowanie regulowane przepisami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2000 r. Nr 101, poz. 926) jest postępowaniem administracyjnym, prowadzonym według przepisów kodeksu postępowania administracyjnego, o ile przepisy ustawy nie stanowią inaczej. Stanowi o tym art. 22 ustawy. Zatem stroną takiego postępowania w myśl art. 28
kpa jest podmiot, czyjego interesu prawnego lub obowiązku dotyczy postępowanie albo kto żąda czynności organu ze względu na swój interes prawny lub obowiązek.
Zasadnie strona skarżąca, powołując się na wypracowane w orzecznictwie Naczelnego Sądu Administracyjnego poglądy wywodzi, iż legitymację procesową w postępowaniu administracyjnym należy rozpatrywać według norm prawa materialnego. W prawie materialnym konkretna norma wskazuje więc, czy dany podmiot może stać się stroną postępowania administracyjnego. Innymi słowy, czy w danym postępowaniu uprawniony organ państwowy będzie rozstrzygał o jego interesach prawnych lub obowiązkach.
Na gruncie omawianej ustawy, przymiot taki posiadają osoby fizyczne, dysponujący swymi danymi osobowymi oraz podmioty przetwarzające dane, do których ustawa ta ma zastosowanie.
Krąg tych podmiotów wymienił ustawodawca w art. 3 ust. 1 i 2 i są to: organy państwowe oraz samorządu terytorialnego, państwowe i komunalne jednostki organizacyjne oraz podmioty niepaństwowe realizujące zadania publiczne, a także osoby fizyczne i prawne oraz jednostki organizacyjne niemające osobowości prawnej, które przetwarzają dane w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych.
Powołując organ państwowy do spraw ochrony danych osobowych, ustawodawca w art. 18 ust. 1 ustawy, upoważnił Generalnego Inspektora Ochrony Danych Osobowych w uprawnienia władcze do nakazania administratorowi danych w drodze decyzji administracyjnej, przywrócenie stanu zgodnego z prawem. Akt indywidualny kierowany jest więc przez organ do ściśle oznaczonego administratora danych.
W art. 7 pkt 4 ustawy, została zamieszczona definicja legalna tego pojęcia. Jest nim organ, instytucja, jednostka organizacyjna, podmiot lub osoba, o których
mowa w art. 3 ust. 1 i 2, decydujące o celach i środkach przetwarzania danych osobowych.
Z zestawienia powyższych przepisów wynika więc w sposób oczywisty krąg podmiotów, do których organ może kierować decyzję nakazującą usunięcie uchybień lub zaprzestanie działalności naruszających przepisy ustawy. Jeśli więc konkretny przepis prawa materialnego wyposażył jednostki organizacyjne nie posiadające osobowości prawnej, w zdolność prawną na gruncie prawa administracyjnego to oznacza, iż w konkretnym postępowaniu administracyjnym mogą one stać się stroną tego postępowania.
W przedmiotowej sprawie organ skierował decyzję do osób fizycznych: K. P. i W. A. Wprawdzie osoby te najpierw prowadziły działalność w formie spółki cywilnej P. z siedzibą w [...], lecz spółka ta została następnie przekształcona w spółkę jawną. Potwierdza to wpis do Krajowego Rejestru Sądowego dokonany w dniu 8 maja 2002 r.
W myśl art. 251 § 5 ustawy z 15 września 2000 r. - Kodeks spółek handlowych (Dz.U. Nr 94, poz. 1037 z późn. zm.) spółce tej z chwilą wpisania do rejestru zaczęły przysługiwać wszystkie prawa i obowiązki stanowiące majątek wspólników.
Art.8 ksh wyposaża spółkę jawną w zdolność nabywania praw i zaciągania zobowiązań oraz prowadzenia przedsiębiorstwa pod własną firmą. Te przymioty prawne, mające charakter ogólny i odnoszące się do innych dziedzin prawa, w powiązaniu z regulacją prawną, zamieszczoną w art. 7 pkt 4 w zw. z art. 3 ust. 1 i 2 ustawy o ochronie danych osobowych pozwalają przyjąć, iż zdolność prawną w tej sprawie posiadała Spółka jawna P. z siedzibą w [...], a nie jej wspólnicy.
Pogląd Sądu wyrażony w zaskarżonym wyroku, iż ma tu zastosowanie art. 29 kpa jest błędny i nie da się obronić w świetle unormowania zamieszczonego w art. 22 ustawy o ochronie danych osobowych. W myśl tego przepisu kpa ma zastosowanie o ile przepisy ustawy nie stanowią inaczej.
Jeśli więc ustawodawca inaczej uregulował zdolność prawną jednostek organizacyjnych niemających osobowości prawnej, to błędne było ustalenie strony z powołaniem się na art. 29 kpa. Prowadzi to do wniosku, iż na gruncie przepisów art. 7 pkt. 4 w zw. z art. 3 ust. 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych ( Dz. U. z 2000 r. nr 101, poz. 926) przymiot strony posiada spółka jawna, jako administrator danych osobowych, nie zaś jej wspólnicy.
Błędna ocena co do przymiotu strony przyznanego skarżącym, będącym osobami fizycznymi, wywołała dalsze konsekwencje w zakresie niewłaściwego określenia strony.
Zarówno Generalny Inspektor jak i Sąd pominęły w swych rozważaniach ujawnione już w postępowaniu administracyjnym dalsze przekształcenie spółki P..
Z materiałów złożonych przez stronę skarżącą w toku postępowania kasacyjnego w sposób oczywisty wynika, iż przed wydaniem decyzji z dnia [...] w dniu 15 października 2002 r. aktem notarialnym przedsiębiorstwo spółki jawnej P. zostało w całości przejęte przez P. Spółkę z o.o., a postanowieniem Sądu Rejonowego z 12 lutego 2003 r. połączenie zostało ujawnione w rejestrze. Spółka jawna z dniem 24 marca 2003 r. została wykreślona z rejestru, a wszelkie wierzytelności posiadane przez nią, jak również pozyskane dane osobowe J. I., przeszły na Spółkę z o.o. P..
Wprawdzie w dacie wydania decyzji ostatecznej tj. w dniu [...] spółka jawna P. jeszcze istniała w znaczeniu prawnym, lecz już z datą 24 marca 2003 r. administratorem danych stała się P. spółka z o.o.
W dacie wyrokowania ani wymienieni wspólnicy danej spółki cywilnej, ani spółka jawna nie byli już w posiadaniu danych osobowych abonenta J. I..
Przekształcenie spółki cywilnej w spółkę jawną P. miało taki skutek, iż w myśl art. 30 § 4 kpa do postępowania winna wystąpić zamiast dotychczasowych wspólników spółki cywilnej K. P. i W. A. spółka jawna P.
Skierowanie decyzji do osoby nie będącej stroną, powoduje ciężkie wady materialnoprawne decyzji i konieczność usunięcia jej z obrotu prawnego w myśl art. 158 § 1 w zw. z art. 156 § 1 pkt 4 kpa.
Zaniechanie tego przez Sąd i oddalenie skargi, stanowiło naruszenie art. 145 § 1 pkt 2 ustawy Prawo o postępowaniu przed sądami administracyjnymi, gdyż należało w tej sprawie stwierdzić nieważność wydanych decyzji.
Z powyższych względów Naczelny Sąd Administracyjny uchylił zaskarżony wyrok na podstawie art. 185 § 1 ustawy Prawo o postępowaniu przed sądami administracyjnymi i przekazał sprawę do ponownego rozpoznania sądowi I instancji, nie odnosząc się do postawionych zarzutów naruszenia prawa materialnego.
O kosztach Sąd orzekł na podstawie art. 200 i 203 pkt 1 powołanej ustawy.