II SA/WA 1340/04

II SA/Wa 1340/04 - Wyrok WSA w Warszawie
Data orzeczenia
2005-02-09
orzeczenie prawomocne
Data wpływu
2004-07-20
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Ewa Kwiecińska /przewodniczący/
Iwona Dąbrowska /sprawozdawca/
Jacek Fronczyk
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Sygn. powiązane
I OSK 726/05 - Wyrok NSA z 2006-04-21
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędzia WSA Iwona Dąbrowska (spr.), Asesor WSA Jacek Fronczyk, Protokolant Agnieszka Kolasa, po rozpoznaniu na rozprawie w dniu 9 lutego 2005 r. sprawy ze skargi L. sp. z o.o. z siedzibą w P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2004 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Upoważnieni inspektorzy Biura Generalnego Inspektora Ochrony Danych Osobowych przeprowadzili w dniach [...] - [...] i [...] grudnia 2003 r. kontrolę zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych w L. Sp. z o.o. z siedzibą w W.. Zakresem kontroli objęto zbiory danych osobowych prowadzone przez w.w. spółkę. W toku kontroli odebrano od pracowników tej spółki ustne wyjaśnienia, skontrolowano systemy informatyczne oraz dokonano oględzin pomieszczeń, w których odbywa się przetwarzanie danych osobowych. Stan faktyczny został szczegółowo opisany w protokole kontroli, który został podpisany przez Prezesa Zarządu Spółki w dniu[...]grudnia 2003 r.
Decyzją z dnia [...] lutego 2004 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych nakazał L. Sp. z o.o. z siedzibą w P. usunięcie uchybień w procesie przetwarzania danych osobowych poprzez:
1. dopełnienie obowiązku zgłoszenia do rejestracji zbioru danych osobowych klientów,
2. dostosowanie instrukcji określającej sposób zarządzania systemem informatycznym, służącym do przetwarzania danych osobowych w zakresie wymogów dotyczących zmiany haseł dla użytkowników co najmniej raz na miesiąc,
3. zapewnienie, aby bezpośredni dostęp do danych osobowych przetwarzanych w systemie informatycznym "K." wymagał wprowadzenia identyfikatora użytkownik,
4. zapewnienie, aby system informatyczny o nazwie "K." zapewniał odnotowanie, dla każdej osoby, której dane są przetwarzane w tym systemie, daty pierwszego wprowadzenia danych, identyfikatora użytkownika wprowadzającego dane oraz informacje, komu, kiedy i w jakim zakresie dany zostały udostępnione,
5. zapewnienie, aby system informatyczny o nazwie "K.", umożliwiał udostępnienie na piśmie, w powszechnie zrozumiałej formie, treści danych o każdej osobie, której dane są przeważane, daty pierwszego wprowadzenia danych, identyfikatora użytkownika wprowadzającego dane oraz informacji, komu i w jakim zakresie dane zostały udostępnione.
We wniosku o ponowne rozpatrzenie sprawy skarżąca spółka podniosła, że dane osobowe przetwarzane w informatycznym systemie finansowo-księgowym o nazwie "G." nie są wykorzystywane w celu rozpatrywania reklamacji dotyczących pościeli wełnianej, ani też w celu kierowania ofert marketingowych do osób, które zakupiły towar. W uzasadnieniu wniosku podała, że klient w celu zgłoszenia reklamacji przedstawia jedynie kartę gwarancyjną zaś ustalenie okresu gwarancyjnego odbywa się wyłącznie poprzez weryfikację zamówienia. Jedyny związek danych zawartych w systemie z ewentualnymi reklamacjami polegać może na księgowym zewidencjonowaniu wypłaconego odszkodowania lub obniżeniu ceny towaru, wskutek uznania reklamacji.
Decyzją z dnia [...] maja 2004 r. nr [...]Generalny Inspektor Ochrony Danych Osobowych utrzymał w mocy zaskarżoną decyzję w zakresie nakazu dopełnienia obowiązku zgłoszenia do rejestracji zbioru danych osobowych klientów w terminie od dnia, kiedy decyzja stanie się ostateczna. Pozostałe nakazy organ uchylił i umorzył postępowanie w tym zakresie. Uzasadniając decyzję Generalny Inspektor Ochrony Danych Osobowych wskazał, że zgodnie z definicją zawartą w art. 7 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. Nr 133, poz. 883 ze zm.) zbiorem danych jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Stosownie zaś do art. 43 ust. 1 pkt 8 powołanej ustawy o ochronie danych osobowych z obowiązku rejestracji zbioru danych osobowych zwolnieni są administratorzy danych przetwarzanych wyłącznie w celu wskazanym w powołanym przepisie (lub na podstawie innych przesłanek wymienionych w tym przepisie). Generalny Inspektor Ochrony Danych Osobowych odnosząc się do wyjaśnień zawartych we wniosku o ponowne rozpatrzenie sprawy wskazał, że nie neguje zasadności przetwarzania danych finansowo-księgowych, czyniących zadość obowiązkom wynikającym z przepisów rachunkowych i podatkowych. Organ przyjął również za skarżącą spółką, że ewidencjonowanie w omawianym systemie rozpatrzonych reklamacji nie jest zasadniczym celem przetwarzania danych. Stwierdził jednak, że ze względu na możliwość wykorzystania danych osobowych w związku z dochodzeniem roszczeń, rozpatrywaniem reklamacji przysługujących z tytułu gwarancji, poprzez ewidencjonowanie wypłaconego odszkodowania lub obniżenia ceny towaru wskutek uznania roszczeń reklamacyjnych, cel w którym dane są przetwarzane jest szerszy od wskazanego w art. 43 ust. 1 pkt 8 i dlatego też uznał, że dane te tworzą zbiór danych osobowych w rozumieniu art. 7 pkt 1 powołanej ustawy o ochronie danych osobowych.
Generalny Inspektor Ochrony Danych Osobowych przyjął natomiast za uzasadnione wyjaśnienia skarżącej spółki, że dane osobowe klientów nie są przetwarzane w celach marketingowych.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie L. Spółka z o.o. wniosła o uchylenie zaskarżonej decyzji w zakresie pkt 2, uchylenie pkt I,1 decyzji z dnia [...] lutego 2004 r. i zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego.
W uzasadnieniu skargi L. Sp. z o.o. zarzuciła organowi błędną wykładnię art. 43 ust. 1 pkt 8 powołanej ustawy o ochronie danych osobowych w związku z art. 4 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz.U. z 2002 r. Nr 76, poz. 694 ze zm.) poprzez przyjęcie istnienia obowiązku zgłoszenia do rejestracji zbioru danych zawartych w prowadzonym w systemie komputerowym programie finansowo-księgowym G. w oparciu o ustalenie, że prowadzenie ewidencji księgowej odzwierciedlającej operacje gospodarcze wynikające z uznania reklamacji, stanowi wykorzystanie danych osobowych do innych celów aniżeli wystawienie rachunku, faktury lub prowadzenie sprawozdawczości finansowej, a także błędne ustalenie stanu faktycznego sprawy i naruszenie art. 18 ustawy o ochronie danych osobowych.
Skarżąca spółka, powołując się na art. 4 ust. 1 i 2 powołanej ustawy o rachunkowości wskazała, że jednostki (w tym osoby prawne) obowiązane są stosowa określone ustawą zasady rachunkowości, rzetelnie i jasno przedstawiając sytuację majątkową i finansową oraz wynik finansowy. Zdarzenia, w tym operacje gospodarcze ujmuje się w księgach rachunkowych i wykazuje w sprawozdaniu finansowym zgodnie z ich treścią ekonomiczną. Każde zdarzenie gospodarcze wymaga zatem odzwierciedlenia go w księgach rachunkowych. Do takich gospodarczych zdarzeń wymagających ujęcia w księgach rachunkowych należy np. obniżenie ceny towaru w wyniku uznania reklamacji, czy wypłata z tego tytułu odszkodowania. Każdy podmiot obowiązany do prowadzenia ksiąg rachunkowych zobowiązany jest do wystawienia dokumentu księgowego i zewidencjonowania operacji. W związku z powyższym skarżąca spółka wskazała, że dokonana przez Generalnego Inspektora Ochrony Danych Osobowych interpretacja przepisu art. 43 ust. 1 pkt 8 powołanej ustawy o ochronie danych osobowych w związku z art. 4 ustawy o rachunkowości jest błędna. Jest bowiem niewątpliwym, że skutki uznanej reklamacji, które da się wycenić w wartościach ekonomicznych, a do takich należy wypłata odszkodowania lub obniżenie ceny (i jej ewentualny zwrot), spółka jest zmuszona zewidencjonować w swoich księgach rachunkowych. Księgi te zgodnie z ustawą o rachunkowości prowadzone są w celach sprawozdawczości finansowej albowiem na ich podstawie podmioty gospodarcze sporządzają swoje sprawozdania finansowe. Zewidencjonowanie takich operacji wymaga wystawienia dokumentów księgowych, którymi mogą być rachunki lub faktury a w przypadku uznania reklamacji ich korekty lub inne dowody wewnętrzne. Skarżąca spółka uznała za dowolne przyjęcie przez Głównego Inspektora Ochrony Danych Osobowych, iż fakt odzwierciedlenia skutków uznanych reklamacji w księgach rachunkowych prowadzonych przez spółkę w systemie G., którego dotyczy nakaz rejestracji jako zbioru danych klientów jest wykorzystywaniem danych dla innych celów niż wskazane w art. 43 ust. 1 pkt 8 powołanej ustawy o ochronie danych osobowych. Skarżąca podniosła, że nie dane zawarte w systemie są wykorzystywane dla rozpatrzenia reklamacji, ale dane z reklamacji podlegają odzwierciedleniu w księgach rachunkowych. L. Sp. z o.o. zarzuciła ponadto, że dokonana w decyzji interpretacja przepisu art. 43 ust. 1 pkt 8 powołanej ustawy o ochronie danych osobowych prowadzi do wniosku, iż wszystkie podmioty gospodarcze prowadzące księgi rachunkowe w systemach informatycznych i dokonujące transakcji z osobami fizycznymi nieprowadzącymi działalności gospodarczej zobowiązane są do zgłaszania Generalnemu Inspektorowi Ochrony Danych Osobowych zbiorów księgowych, bowiem niewątpliwie wykorzystują dane osobowe zawarte w systemach księgowych w celu egzekucji roszczeń. Ustalenie takie czyniłoby zdaniem skarżącej zapis art. 43 ust. 1 pkt 8 powołanej ustawy zupełnie bezprzedmiotowy.
W odpowiedzi na skargę organ wniósł o oddalenie skargi i powołał argumenty zawarte w decyzji. Wskazał, że nie można utożsamiać przetwarzania danych osobowych w celu prowadzenia sprawozdawczości finansowej z celem reklamacyjnym. Są to bowiem dwa odrębne zdarzenia gospodarcze chociaż powiązane ze sobą. Obowiązek prowadzenia sprawozdawczości finansowej wynika m.in. z przepisów o rachunkowości, natomiast instytucje rękojmi za wady i gwarancji zostały uregulowane w przepisach ustawy Kodeks cywilny. Prowadzi to zdaniem organu do konkluzji, że dane osobowe przetwarzane w celach reklamacyjnych nie są przetwarzane wyłącznie w celu wystawienia rachunku lub prowadzenia sprawozdawczości finansowej, a zatem administrator danych osobowych nie jest zwolniony z obowiązku rejestracji zbioru danych przetwarzanego wyłącznie w w.w. celu.
Wojewódzki Sąd Administracyjny w Warszawie, zważył co następuje:
Stosownie do art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej pod względem zgodności z prawem. Dokonana przez Sąd kontrola legalności zaskarżonej decyzji prowadzi do wniosku, że skarga nie jest zasadna.
Zagadnienie rejestracji zbiorów danych osobowych reguluje rozdział VI ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. Nr 133, poz. 883 ze zm.). Przepis art. 40 tej ustawy stanowi, że administrator danych jest obowiązany zgłosić zbiór danych do rejestracji GIODO z wyjątkiem przypadków, o których mowa w art. 43 ust. 1. Zgodnie zaś z art. 43 ust. 1 pkt 8 z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych przetwarzanych wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej. Zwolnienie zatem z obowiązku rejestracji dotyczy tylko tych administratorów danych osobowych, którzy przetwarzają je wyłącznie w celu wskazanym w powołanym przepisie.
Zgodnie z przepisem art. 6 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. Nr 133, poz. 883 ze zm.), za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Przez zbiór zaś danych rozumie się każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie (art. 7 ust. 1 pkt 1 ustawy).
Generalny Inspektor Ochrony Danych Osobowych zobowiązując skarżąca spółkę do dopełnienia obowiązku zgłoszenia do rejestracji zbioru danych zawartych w prowadzonym w systemie komputerowym programie finansowo-księgowym G. uznał, że dane osobowe przetwarzane przez L Sp. z o.o. w celach reklamacyjnych nie są przetwarzane wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej.
Bezspornym w rozpoznawanej sprawie pozostaje okoliczność, że Spółka z o.o. L. dokonuje w systemie informatycznym G. zewidencjonowania w księgach finansowych zdarzeń gospodarczych, takich jak obniżenie ceny towaru w wyniku uznania reklamacji czy wypłaty z tego tytułu odszkodowania. Zdarzenia te są następnie podstawą do sporządzania sprawozdań finansowych. Obowiązek prowadzenia rzetelnej księgowości wynika bowiem z art. 4 ust. 3 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz.U. z 2002 r. Nr 76, poz. 694 ze zm.).
Należy zgodzić się z Generalnym Inspektorem Ochrony Danych Osobowych, że nie można jednakże utożsamiać przetwarzania danych osobowych w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej z celami reklamacyjnymi. Są to bowiem dwa odrębne zdarzenia gospodarcze jedynie powiązane ze sobą. Rozpatrzenie reklamacji obejmuje przetwarzanie danych klientów i nie sprowadza się w przypadku jej uznania jedynie do wystawienia faktury, rachunku lub umieszczenia danych z tego wynikających w sprawozdawczości finansowej. Dlatego też nie ma znaczenia zarzut skarżącej spółki polegający na stwierdzeniu, że to nie dane zawarte w systemie są wykorzystywane dla rozpatrzenia reklamacji lecz dane z reklamacji podlegają odzwierciedleniu w księgach rachunkowych, w prowadzonym w systemie komputerowym zbiorze danych. Nie można wykluczyć ponadto dalszego wykorzystania tych danych osobowych klientów, będących w dyspozycji Spółki do dochodzenia roszczeń w postępowaniu sądowym zarówno przez klientów jak też i przez skarżącą spółkę. Mogą się również pojawić kwestie związane z egzekucją ewentualnych wierzytelności wynikających z postępowania reklamacyjnego. Oczywiście decyzja organu nie może być oparta na przypuszczeniach co do postępowań egzekucyjnych jednakże skarżąca spółka sama w skardze do Sądu podniosła, że wszystkie podmioty gospodarcze prowadzące księgi rachunkowe napotykają na konieczność przymusowego egzekwowania swych należności. Przetwarzanie zaś danych obejmuje jakiekolwiek operacje wykonywane na danych osobowych a więc zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych (art. 7 ust. 1 pkt 2 ustawy). Dodatkowo wskazać należy, że pełnomocnik skarżącej spółki opisując na rozprawie przebieg postępowania reklamacyjnego wyjaśnił, iż przyjęcie zgłoszenia reklamacyjnego towaru odbywa się wprawdzie na podstawie karty gwarancyjnej, którą klient otrzymuje przy zakupie towaru jednakże przyjęcie do rozpatrzenia tej reklamacji związane jest z pobraniem danych osobowych tego klienta. Tak więc przy rozpatrywaniu reklamacji dochodzi do przetwarzania danych osobowych i dane te nie są przetwarzane wyłącznie w celu wystawienia rachunku, faktury czy też prowadzenia sprawozdawczości finansowej. Dane te niewątpliwie tworzą zbiór danych osobowych rozumieniu art. 7 pkt 1 powołanej ustawy o ochronie danych osobowych i wobec tego winny być zgłoszone do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych.
Omawiane zwolnienie administratora danych z obowiązku rejestracji zbioru danych przetwarzanych wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej nie może bowiem dotyczyć sytuacji, w których dane osobowe będą przetwarzane w innych celach niż wskazane w art. 43 ust. 1 pkt 8 powołanej ustawy o ochronie danych osobowych, a takim innym celem jest niewątpliwie prowadzenie postępowania reklamacyjnego.
Nieuzasadniony jest również pogląd skarżącej spółki, iż zapis art. 43 ust. 1 pkt 8 powołanej ustawy prowadzi do wniosku, iż wszystkie podmioty gospodarcze prowadzące księgi rachunkowe w systemach informatycznych i dokonujące transakcji z osobami fizycznymi, nieprowadzącymi działalności gospodarczej byłyby zobowiązane do zgłaszania Generalnemu Inspektorowi Ochrony Danych Osobowych zbiorów księgowych z tego powodu, że istnieje obowiązek przymusowego egzekwowania swoich należności. Zgodzić się należy z Generalnym Inspektorem Ochrony Danych Osobowych, iż ustawa o ochronie danych osobowych ma za zadanie chronić prawa osób, których dane są przetwarzane, jednakże o celach i środkach przetwarzania danych decyduje administrator danych, w zakresie i trybie określonym ustawą. Dlatego też to administrator danych przetwarzający dane osobowe w systemie informatycznym decydując się na przetwarzanie tych danych w celu egzekucji roszczeń nie może się powoływać na art. 43 ust. 1 pkt 8 ustawy, jako przesłanki do zwolnienia go z obowiązku rejestracji zbioru danych. Ustawodawca zwolnił bowiem tylko tych administratorów danych osobowych od obowiązku rejestracji tych zbiorów danych, które przetwarzane są wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej a nie zaś w innych celach.
Jeśli zaś chodzi o zgłoszony przez pełnomocnika skarżącej wniosek o zwrot kosztów postępowania to wskazać należy, że zgodnie z art. 200 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi ( Dz. U. nr 153, poz. 1270 ze zm.) w razie uwzględnienia skargi przez sąd pierwszej instancji przysługuje skarżącemu od organu, który wydał zaskarżony akt lub podjął zaskarżoną czynność albo dopuścił się bezczynności, zwrot kosztów postępowania niezbędnego do celowego dochodzenia praw. Zgodnie zaś z art. 209 powołanej ustawy - Prawo o postępowaniu przed sądami administracyjnymi, wniosek strony o zwrot kosztów sąd rozstrzyga w każdym orzeczeniu uwzględniającym skargę oraz w orzeczeniu, o którym mowa w art. 201, art. 203 i art. 204. Tak więc nie było podstaw do uwzględnienia wniosku.
Z tych względów Wojewódzki Sąd Administracyjny w Warszawie na mocy art. 151 powołanej ustawy z dnia 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. nr 153, poz. 1270 ze zm.) skargę oddalił.