II SA 4661/03

II SA 4661/03 - Wyrok WSA w Warszawie
Data orzeczenia
2004-04-07
orzeczenie prawomocne
Data wpływu
2003-12-17
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Kołodziej
Małgorzata Jaśkowska /przewodniczący sprawozdawca/
Maria Werpachowska
Symbol z opisem
645  Sprawy nieobjęte symbolami podstawowymi 601644 oraz od 646-652
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Stwierdzono nieważność postanowienia I i II instancji
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia NSA Małgorzata Jaśkowska (spr.), Sędziowie Maria Werpachowska, a WSA Andrzej Kołodziej, Protokolant Wojciech Wiktorowski, po rozpoznaniu na rozprawie w dniu 7 kwietnia 2004 r. sprawy ze skargi Naczelnika Urzędu Skarbowego [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2003 r. nr [...] w przedmiocie ochrony danych osobowych 1. stwierdza nieważność zaskarżonej decyzji i poprzedzającej ją decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2003 r. nr [...] 2. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz Naczelnika Urzędu Skarbowego [...] kwotę 240 (dwieście czterdzieści) zł tytułem zwrotu kosztów postępowania sądowego 3. zaskarżona decyzja nie podlega wykonaniu w całości.
Uzasadnienie
Stan sprawy przedstawiał się następująco. Inspektorzy Biura Generalnego Inspektora Ochrony Danych Osobowych przeprowadzili w Urzędzie Skarbowym [...]w dniach [...]stycznia 2003 r. kontrolę zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych. W toku kontroli odebrali od pracowników urzędu ustne wyjaśnienia, sprawdzili systemy informatyczne oraz dokonali oględzin pomieszczeń, w których odbywa się przetwarzanie danych. Stan faktyczny został opisany w protokole kontroli, podpisanym przez Naczelnika Urzędu.
W wyniku tych czynności Generalny Inspektor Ochrony Danych Osobowych wszczął [..] kwietnia 2003 r. postępowanie administracyjne i decyzją z dnia [...] października 2003 r. nr [...]nakazał Urzędowi Skarbowemu [...] usunięcie uchybień w procesie przetwarzania danych w terminie sześciu miesięcy od dnia, w którym decyzja stanie się ostateczna poprzez:
1. Zapewnienie, aby moduły "R.", "W.", "E.", "K." "P. 2B" oraz "M." systemu P. odnotowywały dla każdej osoby, której dane są przetwarzane w systemie informatycznym informacje komu, kiedy i w jakim zakresie dane zostały udostępnione",
2. zapewnienie aby moduł "M." systemu P. odnotowywał dla każdej osoby, której dane są przetwarzane w systemie informatycznym datę pierwszego wprowadzenia danych oraz identyfikator użytkownika wprowadzającego dane,
3. zapewnienie aby system "P. umożliwiał udostępnienie na piśmie w powszechnie zrozumiałej formie treści danych o każdej osobie, której dane są przetwarzane wraz z informacjami, o których mowa w § 16 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 3 czerwca 1998 r. w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 80, poz. 521 ze zm.).
W pozostałym zakresie postępowanie umorzył.
W uzasadnieniu powołał się na fakt, że administratorem danych osobowych jest Urząd Skarbowy [...] a wyniki kontroli stwierdziły naruszenie przepisów o ochronie danych osobowych w zakresie § 16 i 17 rozporządzenia w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać systemy informatyczne służące do przetwarzania danych osobowych. Wskazał, że z uwagi na usunięcie pozostałych uchybień umorzył w ich zakresie postępowanie.
W dniu 16 października 2003 r. Urząd Skarbowy [...]złożył wniosek o ponowne rozpatrzenie sprawy. Powołał się w nim na fakt, że decyzja została skierowana do niewłaściwego adresata i jest niewykonalna. Urzędy skarbowe, jako jednostki podległe Ministrowi Finansów, zostały bowiem zobligowane do korzystania z jednolitego systemu "P.", który przekazało im Ministerstwo Finansów. Nie posiadają żadnej możliwości ingerowania w ten system. W związku z tym, zdaniem urzędu, administratorem zbioru danych jest Ministerstwo Finansów, gdyż urząd nie decyduje o środkach przetwarzania danych.
Generalny Inspektor Ochrony Danych Osobowych w dniu [...] listopada 2003 r. decyzją nr [...]podtrzymał swoje wcześniejsze rozstrzygnięcie. Powołał się przy tym na treść § 16 i 17 rozporządzenia w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać systemy informatyczne.
W skardze do Naczelnego Sądu Administracyjnego z dnia 11 grudnia 2003 r. Urząd Skarbowy wniósł o uchylenie decyzji w części dotyczącej uchybień w procesie przetwarzania danych w związku z naruszeniem § 16 pkt 4 i § 17 rozporządzenia lub stwierdzenie jej nieważności oraz zasądzenie kosztów postępowania. Wskazał, że zgodnie z art. 7 pkt 2a ustawy o ochronie danych osobowych pojęcie systemu informatycznego jest pojemne i organ może posługiwać się ewidencją prowadzoną poza systemem komputerowym (wyrok NSA z 27 listopada 2003 r. II SA 232/02). Dodatkowo podniósł, że decyzja została skierowana do osoby niebędącej stroną, tj. urzędu, podczas gdy z dniem 1 września 2003 r. na mocy ustawy z 27 czerwca 2003 r. o utworzeniu Wojewódzkich Kolegiów Skarbowych oraz o zmianie niektórych ustaw regulujących zadania i kompetencje organów oraz organizację jednostek organizacyjnych podległych ministrowi właściwemu do spraw finansów publicznych organem administracji rządowej niezespolonej stał się naczelnik urzędu skarbowego w miejsce dotychczasowego urzędu skarbowego.
W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie. Podkreślił, że zgodnie z § 16 pkt 4 rozporządzenia, dla każdej osoby, której dane są przetwarzane, system ten powinien zapewniać odnotowanie informacji, komu, kiedy i w jakim zakresie dane zostały udostępnione, jeżeli przewidziane jest udostępnienie danych innym podmiotom, chyba że dane te traktuje się jako powszechnie dostępne.
Na podstawie art. 7 pkt 2a ustawy, ilekroć mowa jest o systemie informatycznym, rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych. Zgodnie z definicją powołane "procedury przetwarzania" należy rozpatrywać wyłącznie pod kątem technicznych aspektów informatyki. Nie można więc traktować dowolnej procedury, np. odnotowywania informacji w rejestrze papierowym jako elementu informatycznego, gdyż nie istnieje w tym przypadku żaden element wzajemnej współpracy z urządzeniami informatycznymi.
Jednocześnie organ wskazał, ze naczelnik urzędu skarbowego może być stroną postępowania prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych i wobec niego winna być wydana decyzja. Nie spowodowało to jednak zmian w zakresie nałożonych na administratora danych obowiązków. W świetle art. 4 pkt 4 ustawy Naczelnik Urzędu Skarbowego [...]odpowiada bowiem za zapewnienie odpowiednich warunków technicznych i organizacyjnych systemu.
W piśmie procesowym z dnia 5 kwietnia 2004 r. Naczelnik Urzędu Skarbowego wskazał, że o statusie administratora nie decyduje fakt zarejestrowania zbioru jako takiego przez jednostkę. Ma to bowiem tylko charakter czynności materialnotechnicznej. O statusie administratora przesądza fakt spełnienia przesłanek z art. 7 pkt 4 ustawy, tj. decydowanie o celach i środkach przetwarzania danych. O środkach przetwarzania decyduje Minister Finansów. Taki podgląd został wyrażony w literaturze: M. Królikowski, T. Pociej, Ochrona danych osobowych" s. 35.
Ponadto skarżący podtrzymał stanowisko, iż w pojęciu systemu informatycznego mieszczą się również procedury ręczne przetwarzania informacji.
Jednocześnie Naczelnik Urzędu Skarbowego wniósł na podstawie art. 106 § 3 ustawy o postępowaniu przed sądami administracyjnymi o przeprowadzenie dowodu uzupełniającego z dokumentu, tj. pisma Dyrektora Departamentu do Spraw Informatyzacji Resortu z dnia [...] marca 2004 r. ref. [...].
Wojewódzki Sąd Administracyjny zważył, że:
Po pierwsze należy poinformować strony, że zgodnie z art. 97 § 1 ustawy z dnia 30 sierpnia 2002 r. - Przepisy wprowadzające ustawę – Prawo o ustroju sądów administracyjnych i ustawę – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1271 z późn. zm.) sprawy, w których skargi zostały wniesione do Naczelnego Sądu Administracyjnego przed dniem 1 stycznia 2004 r. i postępowanie nie zostało zakończone, podlegają rozpoznaniu przez właściwe wojewódzkie sądy administracyjne na podstawie przepisów ustawy - Prawo o postępowaniu przed sądami administracyjnymi. Stąd też, na podstawie art. 13 § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270), właściwy do rozstrzygania był Wojewódzki Sąd Administracyjny w Warszawie, ponieważ na jego obszarze znajduje się siedziba Generalnego Inspektora Ochrony Danych Osobowych.
Wojewódzki Sąd Administracyjny rozpatrując skargę uznał ją za zasadną.
Przychylił się przy tym do argumentu, iż decyzja nie została skierowana do podmiotu będącego stroną. Uznał bowiem, że tą może być od 1 września 2003 r. jedynie naczelnik urzędu skarbowego.
Wojewódzki Sąd Administracyjny zauważył w związku z tym, że pojęcie administratora wyjaśnia art. 7 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, (Dz. U. z 2002 r. Nr 101, poz. 926). Oznacza ono organ, instytucję, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3 ust. 1 i 2 decydujące o celach i środkach przetwarzania danych osobowych. W sprawie nie budziło wątpliwości, że zbiór danych osobowych został zarejestrowany przez Urząd Skarbowy [...]. W momencie wydawania decyzji pierwszej instancji, tj. [...] października 2003 r., urząd nie był jednak organem podatkowym i nie decydował samodzielnie o celach przetwarzania danych. Na podstawie ustawy z dnia 27czerwca 2003 r. o utworzeniu Wojewódzkich Kolegiów Skarbowych oraz o zmianie niektórych ustaw regulujących zadania i kompetencje organów oraz organizację jednostek organizacyjnych podległych ministrowi właściwemu do spraw finansów publicznych (Dz. U. Nr 137, poz. 1302) funkcję tę przejęli naczelnicy urzędów skarbowych. Do organów tych, zgodnie z art. 5 ust. 6 ustawy z dnia 21 czerwca 1996 r. o urzędach i izbach skarbowych (Dz. U. Nr 106, poz. 489 ze zm.) należało m.in. ustalanie lub określanie poboru podatków oraz nieopodatkowanych należności budżetowych, jak i rejestrowanie podatników oraz przyjmowanie deklaracji podatkowych i wykonywanie egzekucji administracyjnej należności pieniężnych. Przetwarzali oni w związku z tym dane osobowe, decydując o celach tego przetwarzania. Zdaniem sądu należało do nich również decydowanie o środkach przetwarzania tych danych.
Organ zbierał bowiem dane, przetwarzał je, decydował o ich udostępnieniu bądź odmowie udostępnienia danych, o czym świadczą sporządzane informacje, aczkolwiek nieodnotowane w systemie informatycznym, lecz manualnie. Ciążyły też na nim obowiązki z art. 36 ustawy, prowadził ewidencję osób zatrudnionych przy ich przetwarzaniu na podstawie art. 39 ustawy.
Jak podkreśla się w literaturze, administratorem danych osobowych jest sam organ, a nie obsługujący go urząd (G. Sibiga, Postępowanie w sprawach ochrony danych osobowych Warszawa 2003 r., s. 55). Wskazywał na to zresztą wielokrotnie w swoich wyrokach Naczelny Sąd Administracyjny. Między innymi w wyroku z dnia 21 marca 2002 r. II SA 1854/01 NSA podkreślił, że GIODO nieprawidłowo oznaczył urząd miasta jako adresata swojej decyzji, tj. administratora danych. Adresatem tym jest bowiem organ administracji publicznej, a nie urząd, który nie jest podmiotem praw i obowiązków.
Stąd skierowanie decyzji do urzędu skarbowego, podczas gdy organem podatkowym i administratorem był od 1 września 2003 r. naczelnik urzędu skarbowego, rażąco naruszało prawo. Zgodnie bowiem z art. 156 § 1 pkt 4 ustawy z dnia 14 czerwca 1960 r. kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.) skierowanie decyzji do osoby niebędącej stroną pociąga za sobą stwierdzenie jej nieważności.
Nieważna była też decyzja wydana w wyniku ponownego rozpatrzenia sprawy, gdyż utrzymywała w mocy decyzję rażąco naruszającą prawo.
Sąd nie przychylił się przy tym do poglądu skarżącego, iż stroną w przedmiotowej sytuacji był Minister Finansów Publicznych, jako decydujący o środkach przetwarzania danych. Po zapoznaniu się z pismem Ministerstwa Finansów z dnia 29 marca 2004 r. sąd nie znalazł dodatkowych argumentów przemawiających za tym stanowiskiem. Fakt, iż system P. został narzucony w drodze polecenia służbowego, nie zmienia pojęcia administratora danych.
Należy bowiem zauważyć, że żaden przepis powszechnie obowiązujący nie nakazuje stosowania w urzędach skarbowych określonego systemu informatycznego, ani nie zakazuje stosowania innego. Jeżeli system P. nie odpowiada wymogom rozporządzenia, jego zastosowanie stanowiło granice posłuszeństwa poleceniu służbowemu. Zgodnie z art. 18 ust. 2 ustawy z dnia 16 września 1982 r. o pracownikach urzędów państwowych (Dz. U. z 2001 r. Nr 86, poz. 953 ze zm.), jeżeli polecenie służbowe w przekonaniu urzędnika jest m.in. niezgodne z prawem, powinien on przedstawić swoje zastrzeżenia przełożonemu, a w razie pisemnego potwierdzenia, powinien je wykonać informując w tym przypadku organ nadrzędny. Podobną regulację zawiera art. 68 ust. 2 i 3 ustawy z dnia 18 grudnia 1998 r. o służbie cywilnej (Dz. U. z 1999 r. Nr 49, poz. 483 ze zm.). Jednocześnie należy wskazać, że w myśl ustawy o urzędach i izbach skarbowych system ten oparty jest na decentralizacji, co w innym świetle stawia możliwość wydawania tego typu poleceń, gdyż minister właściwy do spraw finansów publicznych sprawuje, na podstawie art. 14 § 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. ordynacja podatkowa (Dz. U. Nr 137, poz. 926 ze zm.) jedynie ogólny nadzór w sprawach podatkowych.
Stąd można stwierdzić, że Naczelnik Urzędu Skarbowego miał możliwości zarówno prawne jak i faktyczne decydowania o środkach przetwarzania danych. Przetwarzanie danych nie jest bowiem czynnością prawną, lecz czynnością faktyczną, z której wypływają konsekwencje prawne. Do uznania podmiotu za administratora danych potrzebna jest zawsze analiza konkretnych przepisów prawnych. Stąd o tym, czy ktoś jest administratorem danych, decyduje przede wszystkim rodzaj i charakter nadanych mu przez prawo kompetencji z obszaru spraw publicznych oraz wyznaczone ustawowo zadania (R. Hauser, Przetwarzanie danych osobowych, cel i środki, Rzeczpospolita z 6 kwietnia 1999 r.). Przytoczone powyżej ustawowe kompetencje naczelnika wskazują, że spełnia on rolę administratora danych w rozumieniu art. 7 ust. 4 ustawy o ochronie danych. Minister był co prawda dostawcą systemu informatycznego, natomiast nie miał wpływu na treść i cel przetwarzania konkretnych danych. Stąd nie mógłby być traktowany jako administrator zbioru podatników z zakresu działania urzędu (por. J. Barta, R. Markiewicz, Ochrona s. 307).
Należy też podkreślić, że przy proponowanej przez naczelnika urzędu konstrukcji administratora określony zbiór danych nie mógłby być administrowany ani przez Ministra Finansów, ani naczelnika urzędu skarbowego. Wskazywał na to zresztą wcześniej w swoich decyzjach GIODO i doprowadziło to do zarejestrowania zbiorów przez określone urzędy skarbowe.
Z powodu stwierdzenia nieważności sąd nie wypowiadał się szerzej w stosunku do innych zarzutów skargi, jak kwestii niewykonalności decyzji, czy pojęcia systemu informatycznego.
Stwierdził jedynie, że pojęcie niewykonalności decyzji, na tle art. 156 § 1 pkt 5 kpa, ma dość wąski charakter i odnosi się do sytuacji, gdy po pierwsze nie ma możliwości technicznych do usunięcia przeszkody, po drugie gdy istnieją prawne nakazy lub zakazy, które stwarzają nieusuwalną przeszkodę w wykonaniu praw i obowiązków ustanowionych w decyzji. Sąd nie dopatrzył się w przedmiotowej sytuacji niemożliwości faktycznej. System P. może bowiem podlegać modyfikacji, następuje ona zresztą stopniowo. Nie istnieje też niewykonalność prawna. Oznacza ona bowiem, że realizacja decyzji mogłaby nastąpić tylko w wykonaniu czynu niedozwolonego w rozumieniu przepisów prawa cywilnego. Tymczasem w rozumieniu prawa cywilnego, zarówno Naczelnik Urzędu Skarbowego, jak i Minister Finansów reprezentują Skarb Państwa. O ile bowiem, w przypadku ochrony danych osobowych wchodzi w grę odrębna osobowość administracyjnoprawna, o tyle w przypadku prawa cywilnego osobowość cywilnoprawna – wówczas zaś na mocy art. 33 kodeksu cywilnego Skarb Państwa reprezentuje i ministra i naczelnika. Nie można zaś mówić o czynie niedozwolonym jako popełnionym przez wewnętrzną część jednostki w stosunku do samej siebie.
Odnośnie pojęcia systemu informatycznego, Sąd zgodnie z językowym znaczeniem odnosi to pojęcie do informatyki, a więc techniki i metod przetwarzania informacji z zastosowaniem komputerów. Uważa, ze ustawodawca odróżnia system informatyczny oraz inne systemy przetwarzania danych, na co wskazuje dodatkowo treść art. 2 ust. 2 ustawy o ochronie danych osobowych. Sąd nie zgodził się również z argumentami zawartymi w przedstawionym piśmie, iż ręczne odnotowywanie informacji stanowi wystarczające zabezpieczenie z uwagi na tajemnicę skarbową. W takiej sytuacji tajemnica ta uzależniona jest bowiem od prawidłowego wykonywania obowiązków przez pracowników. Brakuje natomiast dodatkowego systemu zabezpieczenia poprzez automatyczne i każdorazowe odnotowanie osoby ubiegającej się o daną informację.
Stąd Wojewódzki Sąd Administracyjny orzekł na podstawie art. 145 § 1 pkt 2 oraz 132 i 152 ustawy Prawo o postępowaniu przed sądami administracyjnymi – w związku z art. 7 pkt 4 ustawy o ochronie danych osobowych i art. 156 § 1 pkt 4 kpa, jak w sentencji.
O kosztach orzeczono na podstawie art. 200 i 205 § 2 ustawy – Prawo o postępowaniu przed sądami administracyjnymi.