II SA/Wa 183/19

II SA/Wa 183/19 - Wyrok WSA w Warszawie
Data orzeczenia
2019-07-02
orzeczenie prawomocne
Data wpływu
2019-01-30
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj
Konrad Łukaszewicz
Łukasz Krzycki /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 1863/21 - Wyrok NSA z 2023-03-10
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję oraz poprzedzającą ją decyzję i umorzono postępowanie - art. 145 §3 ustawy PoPPSA
Powołane przepisy
Dz.U. 2018 poz 1302
art. 135, art.145 par. 1 pkt1 lit. c
Ustawa z dnia 30 sierpnia 2002 r.  Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Andrzej Góraj, Sędzia WSA Konrad Łukaszewicz, Protokolant specjalista Sylwia Mikuła po rozpoznaniu na rozprawie w dniu 2 lipca 2019 r. sprawy ze skargi K. O. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2018 r. nr [...] w przedmiocie naruszenia danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2018 r. nr [...] , 2. umarza postępowanie administracyjne w sprawie.
Uzasadnienie
Zaskarżoną decyzją Prezes Urzędu Ochrony Danych Osobowych utrzymał w mocy - na zasadzie art. 138 § 1 pkt 1 wobec art. 127 § 3 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2017 r., poz. 1257 ze zm.), zwanej dalej "K.p.a." – swoje orzeczenie z [...] maja 2018 r. w sprawie skargi p. K. O., zwanego dalej "Wnioskodawcą", na udostępnienie przez Grupę [...] Sp. z o.o., zwaną dalej "Spółką", Urzędowi Kontroli Skarbowej, zwanemu dalej "UKS", danych osobowych w zakresie przeprowadzonych transakcji.
W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy:
- przedmiotem skargi było udostępnienie dla UKS przez Spółkę danych osobowych Wnioskodawcy w zakresie wszystkich dotyczących go transakcji sprzed grudnia 2004 roku; w uzasadnieniu skargi podniesiono: "W związku z wszczętym postępowaniem kontrolnym dotyczącym mojej osoby w kwietniu 2010 r. organ podatkowy na podstawie art. 13b ust 2 ustawy o kontroli skarbowej dokonał czynności kontrolnych w [...] dotyczących »sprawdzenia transakcji zawartych przez K. O. ,ul. [...] od [...].01.2004 r do [...].12.2008 W związku z powyższym [...] udostępniło żądane informacje niestety wraz z nimi przekazało do Urzędu Skarbowego również informacje ,nieobjęte żądaniem organu podatkowego ,dotyczące osób trzecich ,zawierające pełne dane osobowe w tym tak istotne informacje jak adresy ,nr telefonu, mail a nawet nazwisko panieńskie matki. Dodatkowo przekazano również dane będące tajemnicą handlową tych osób a mianowicie nazwę użytkownika czyli tzw. nick pod jakim mieli zarejestrowane konto na [...] ,pełną wartość dokonanych sprzedaży, w tym asortyment ,cenę i ilość sprzedanego towaru oraz wysokość prowizji uiszczonych na rzecz [...]. (....) przekazano również informacje wykraczające ponad żądany okres a mianowicie żądanie dotyczyło transakcji w latach 2004-2008 natomiast [...] przekazało wszelkie informacje zarówno sprzed jak i po wnioskowanym terminie (...) pomimo ,że wezwanie dotyczyło konkretnej osoby o konkretnym adresie czyli "transakcji zawartych przez K. O. ,ul- [...][...] przekazało informacje z następujących kont:
- konto "[...]" należące do zupełnie innej osoby oraz
- konto "[...]", należące do osoby , z którą połączyła mnie jedynie zbieżność nazwisk z wszystkimi innymi danymi rozbieżnymi tzn. głównie adresami, telefonem ,mailem i nazwiskiem panieńskim matki.
Dodatkowo [...] udostępniło też zestaw transakcji oraz dane osobowe osób trzecich z konta
- "[...]" z okresu kiedy jeszcze nie byłem właścicielem tego konta
- oraz informacje wykraczające nawet poza zakres lat objętych zakresem kontroli",
- organ - pismem z [...] lipca 2014 r. - poinformował Wnioskodawcę, że aby reprezentować inne osoby, których dane osobowe udostępniono, powinien dołączyć do akt sprawy oryginały lub urzędowo poświadczone odpisy pełnomocnictw, udzielonych mu przez każdą z osób,
- w odpowiedzi z [...] lipca 2014 r. Wnioskodawca wskazał, że nie jest jego zamiarem reprezentowanie innych osób, których dane zostały udostępnione przez Spółkę,
- na podstawie z art. 160 ust. 4 i 5 oraz art. 232 ustawy z dnia 16 listopada 2016 r. - Przepisy wprowadzające ustawę o Krajowej Administracji Skarbowej (Dz.U. z 2016 r. poz. 1948 ze zm.) w tej sprawie Dyrektor Izby Administracji Skarbowej w W. stał się administratorem danych osobowych, których administratorem był Dyrektor UKS w W.,
- w toku postępowania organ pozyskał wyjaśnienia organu, który wstąpił w prawa UKS, określanego nadal mianem "UKS",
- Spółka wyjaśniła, że przetwarza przekazane do UKS dane osobowe użytkowników o loginach: "[...]", "[...]", "[...]", "[...]", "[...]", w zakresie imienia, nazwiska, adresu zamieszkania oraz historii transakcji i zmian danych osobowych w zbiorze o nazwie: "Zbiór korzystających ze stron internetowych [...]"; jako cel przetwarzania danych wskazano "prowadzenie serwisu aukcyjnego i wykonywanie obowiązków z tym związanych"; dane są przetwarzane na podstawie akceptacji przez użytkowników regulaminu oraz wyrażenia na to zgody w zakresie, celu i na opisanych w nim warunkach; Spółka wyjaśniła w piśmie z [...] grudnia 2014 r., że przetwarza dane osobowe Wnioskodawcy "w zakresie wszystkich transakcji dokonywanych na danym koncie jedynie od [...] stycznia 2008 (z początkiem 2015 roku dane z 2008 roku zostaną usunięte i dostępne będą dane od [...] stycznia 2009)"; w piśmie z [...] lutego 2015 r. Spółka wskazała, że przetwarzała dane osobowe Wnioskodawcy w zakresie wszystkich dotyczących go transakcji sprzed okresu objętego kontrolą - sprzed grudnia 2004 roku - dla celów związanych ze świadczeniem usługi w internetowym serwisie aukcyjnym o nazwie [...], zwanym dalej "serwisem aukcyjnym", a nadal przetwarza je dla celów statystycznych; Spółka wyjaśniła, że nie przekazała danych osobowych Wnioskodawcy do UKS w W.; natomiast [...] kwietnia 2010 r. przekazała te dane do UKS w P. na podstawie art. 13b ustawy o kontroli skarbowej; wskazała też: "W 2010 roku Spółka była w posiadaniu danych od 2003 roku. Dane do UKS były przygotowywane przez program raportujący, który nie posiadał możliwości zawężania zakresu i generował wszystkie posiadane przez Spółkę dane Użytkownika serwisu. UKS otrzymywał wszystkie dane i sam decydował, które z nich wykorzysta w postępowaniu kontrolnym, jak również jakie dane przekaże kontrolowanej osobie. Obecnie program raportujący po modyfikacjach pozwala na przygotowanie danych zawężonych do okresu wskazanego przez UKS i tylko takie dane są przekazywane"; w piśmie z [...] lutego 2015 r. Spółka wskazała, że program raportujący funkcjonował do końca 2011 roku; dodano: "zastąpiony został wyspecjalizowanym programem, pozwalającym na generowanie raportów wg ścisłych wytycznych Spółki czy organów zwracających się do Spółki z żądaniem udostępnienia danych osobowych w związku z toczącym się przed nim postępowaniem",
- UKS wyjaśnił, że gromadzi dane podmiotów objętych postępowaniami kontrolnymi w zbiorze danych "Ewidencja kontroli skarbowych i akcyzowych"; dane osobowe Wnioskodawcy uzyskano od Spółki w związku z postępowaniami kontrolnymi, prowadzonymi w zakresie rzetelności deklarowanych podstaw opodatkowania oraz prawidłowości obliczania i wpłacania podatku od towarów i usług za okres od grudnia 2004 do grudnia 2008 roku, na podstawie "Protokołu sprawdzenia prawidłowości i rzetelności badanych dokumentów u kontrahenta kontrolowanego" z [...] kwietnia 2010 r.; wskazano: "Przesłanką uzasadniającą przeprowadzenie tej czynności była konieczność uwzględnienia w postępowaniu kontrolnym wszystkich dowodów mogących przyczynić się do wyjaśnienia sprawy, zgodnie z art. 180 § 1 ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa (...) w zw. z art. 31 ust. 1 i 2 ww. ustawy z dnia 28 września 1991 r. o kontroli skarbowej (...)"; wskazano na art. 122, 187 i 191 ustawy - Ordynacja podatkowa oraz art. 7c ust. 1 i 2 oraz art. 34 ust. 1 ustawy o kontroli skarbowej,
- decyzją z [...] maja 2018 r. odmówiono uwzględnienia skargi Wnioskodawcy,
- po ponownej analizie materiału dowodowego - wobec wniosku o ponowne rozpatrzenie sprawy - stwierdzono, że uprzednie rozstrzygnięcie jest prawidłowe a argumenty podniesione przez Wnioskodawcę nie uzasadniają zmiany decyzji,
- odnosząc się do sformułowanych we wniosku zarzutów wskazano, że organ podziela jedynie dotyczący naruszenia przez Spółkę adekwatności udostępnionych danych - wykraczających poza zakres objętych żądaniem UKS; administrator danych był obowiązany przetwarzać (w tym udostępnić) dane zgodnie z prawem i adekwatnie w stosunku do celów, w jakich są przetwarzane; obowiązek ten nakłada na administratora art. 26 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r., poz. 922 ze zm.), zwanej dalej "ustawą o danych"; w sprawie doszło wprawdzie do uchybień w przetwarzaniu danych osobowych Wnioskodawcy w postaci ich udostępnienia przez Spółkę w zakresie dotyczącym 2003 roku; niemniej - z uwagi na nieodwracalność tego procesu – nie ma podstaw do formułowania jakiegokolwiek nakazu pod adresem Spółki; z ustalonego w toku postępowania stanu faktycznego wynika bowiem, że podjęła ona działania aby nie doszło do podobnych sytuacji w przyszłości - zmieniła funkcjonalność programu; pozwala on aktualnie na generowanie danych w zakresie niezbędnym do celów, w jakich są przetwarzane; organ nie dysponuje poza tym instrumentami prawnymi, które umożliwiałyby mu zniesienie skutków dokonanego już udostępnienia danych osobowych Wnioskodawcy; udostępnienie to jest faktem nieodwracalnym w tym sensie, że nie jest możliwe doprowadzenie do takiej sytuacji, jaka miałaby miejsce, gdyby do kwestionowanego zdarzenia nigdy nie doszło; warunkiem wydania decyzji nakładającej na administratora danych jakikolwiek obowiązek (określanej dalej także mianem "decyzji naprawczej"), jest ponadto istnienie stanu naruszenia przepisów o ochronie danych osobowych w dniu jej wydania; tymczasem, w rozpatrywanej sprawie Spółka - na dzień wydania zaskarżonej decyzji - nie przetwarzała danych osobowych Wnioskodawcy w kwestionowany przez niego sposób; skutkuje to odmową uwzględnienia wniosku w tym zakresie,
- pozostałe zarzuty podniesione we wniosku o ponowne rozparzenie sprawy są niezasadne; organ przeprowadził postępowanie w zakresie przetwarzania danych osobowych Wnioskodawcy zgodnie ze skargą, uzupełnioną pismem z [...] lipca 2014 r.; Wnioskodawca nie ma legitymacji by występować z żądaniem przeprowadzenia postępowania, którego przedmiotem byłoby badanie legalności przetwarzania danych osób trzecich; prowadzone na wniosek osoby zainteresowanej postępowanie administracyjne ogranicza się do badania procesu przetwarzania danych osobowych osoby je inicjującej; w sprawach, dotyczących przetwarzania danych osobowych innej osoby niż ta, która złożyła skargę, należy to do autonomicznych kompetencji organu; w związku z tym nie jest realizowane na wniosek; Wnioskodawcy nie ma wobec tego prawa żądać wydania decyzji w tym zakresie,
- powtórnie analizując legalność udostępnienia przez Spółkę na rzecz UKS danych osobowych Wnioskodawcy w zakresie przeprowadzonych przezeń za pośrednictwem serwisu aukcyjnego transakcji wskazano, że można je uznać za zgodne z prawem, gdy znajduje oparcie w jednej z materialnych przesłanek dopuszczalności przetwarzania danych; w niniejszej sprawie istotne znaczenie mają przesłanki wynikające z art. 23 ust. 1 pkt 2 ustawy o danych; przetwarzanie, w tym udostępnianie, jest zgodne z prawem, gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej; z materiału dowodowego sprawy wynika, że UKS prowadził wobec Wnioskodawcy postępowania kontrolne w zakresie rzetelności deklarowanych podstaw opodatkowania oraz prawidłowości obliczania i wpłacania podatku od towarów i usług za okresy: od grudnia 2004 do grudnia 2008 roku; w okresie objętym skargą obowiązywała ustawa z dnia 18 września 1991 r. o kontroli skarbowej; jej art. 1 ust. 1 stanowił, że celem kontroli skarbowej jest ochrona interesów i praw majątkowych Skarbu Państwa oraz zapewnienie skuteczności wykonywania zobowiązali podatkowych i innych należności, stanowiących dochód budżetu państwa lub państwowych funduszy celowych; art. 1 ust. 1 pkt 1 ustawy wskazywał, że do zakresu kontroli skarbowej należy kontrola rzetelności deklarowanych podstaw opodatkowania oraz prawidłowości obliczania i wpłacania podatków, stanowiących dochód budżetu państwa, a także innych należności pieniężnych budżetu państwa lub państwowych funduszy celowych; art. 7c ust. 1 ustawy określał, że organy kontroli skarbowej - w celu realizacji ustawowych zadań - mogą zbierać i wykorzystywać informacje, w tym dane osobowe, od osób prawnych, jednostek organizacyjnych niemających osobowości prawnej oraz osób fizycznych, prowadzących działalność gospodarczą, o zdarzeniach mających bezpośredni wpływ na powstanie lub wysokość zobowiązania podatkowego oraz przetwarzać je w rozumieniu przepisów o ochronie danych osobowych, także bez wiedzy i zgody osoby, której dane te dotyczą; wedle art. 13b ust. 1 ustawy inspektor lub pracownik, w związku z postępowaniem kontrolnym lub kontrolą podatkową, może zażądać od kontrahentów kontrolowanego, z wyjątkiem osób fizycznych nieprowadzących działalności gospodarczej w okresie objętym postępowaniem kontrolnym lub kontrolą podatkową: 1) przedstawienia dokumentów, w zakresie objętym postępowaniem kontrolnym lub kontrolą podatkową u kontrolowanego, w celu sprawdzenia ich prawidłowości i rzetelności; 2) przekazania, za pomocą środków komunikacji elektronicznej lub na informatycznym nośniku danych, wyciągu z ksiąg podatkowych i dowodów księgowych zapisanego w postaci elektronicznej odpowiadającej strukturze logicznej, o której mowa w art. 193a § 2 ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa, jeżeli kontrahent podatnika prowadzi księgi podatkowe i przetwarza dowody księgowe przy użyciu programów komputerowych (ust. 1); w analizowanej sprawie UKS w W. na podstawie art. 13b ustawy o kontroli skarbowej zwrócił się do urzędu w P. (pismem z [...] lutego 2010 r.), w związku z prowadzonymi wobec Wnioskodawcy postępowaniami kontrolnymi, o przeprowadzenie "czynności sprawdzenia prawidłowości i rzetelności dokumentów u kontrahenta kontrolowanego podmiotu [...] sp. z o.o. z siedzibą w P. przy ul. [...]. W trakcie czynności sprawdzających proszę o ustalenie wszystkich informacji w zakresie transakcji handlowych przeprowadzonych w okresie od grudnia 2004 r. do grudnia 2008 r. przez Pana K. O. za pośrednictwem portalu internetowego [...] w szczególności: ilość transakcji handlowych, data transakcji, kwota poszczególnych transakcji, kwota wszystkich transakcji, przedmioty transakcji, zmian danych na w/w kontach internetowych, prowizji zapłaconej na rzecz [...] Sp. z o.o. właściciela portalu [...]"; w złożonych w sprawie wyjaśnieniach UKS, jako uzasadnienie przeprowadzenia tej czynności, wskazał konieczność uwzględnienia w postępowaniu kontrolnym wszystkich dowodów, mogących przyczynić się do wyjaśnienia wątpliwości, zgodnie z art. 180 § 1 ustawy - Ordynacja podatkowa, w zw. z art. 31 ust. 1 i 2 ustawy o kontroli skarbowej; wskazał także na art. 122, 187 i 191 ustawy - Ordynacja podatkowa; art. 31 ust. 1 ustawy o kontroli skarbowej stanowił, że w zakresie nieuregulowanym w ustawie do postępowania kontrolnego stosuje się odpowiednio przepisy ustawy - Ordynacja podatkowa; w myśl jej art. 122 w toku postępowania organy podatkowe podejmują wszelkie niezbędne działania w celu dokładnego wyjaśnienia stanu faktycznego oraz załatwienia sprawy w postępowaniu podatkowym, zaś - wedle jej art. 180 § 1 - jako dowód należy dopuścić wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem; zgodnie z art. 187 § 1 tej ustawy organ podatkowy jest obowiązany zebrać i wyczerpująco rozpatrzyć cały materiał dowodowy a - wedle art. 191 - ocenia on, na podstawie całego zebranego materiału dowodowego, czy dana okoliczność została udowodniona; aby ocena zgromadzonego materiału nie była dowolna, organ ma obowiązek rozpatrzenia wszystkich dowodów, każdego z osobna i we wzajemnym związku, zgodnie z zasadami wiedzy, doświadczenia życiowego i logiki; musi ocenić, czy - i na ile - dany dowód potwierdza określone fakty; jak wskazał Wojewódzki Sąd Administracyjny w Kielcach w wyroku z 20 lipca 2016 r.: "Mimo braku w przepisach O.p. upoważnienia do przetwarzania danych osobowych, noszącego cechy upoważnienia o charakterze generalnym, należy przyjąć, że przetwarzanie danych osobowych przez organ dla celów prowadzonego postępowania jest niezbędne dla wykonania uprawnień i obowiązków przyznanych organowi w przepisach art. 122 i 187 § 1 O.p. Tym samym takie przetwarzanie danych jest niezbędne dla wykonania uprawnień organu administracji publicznej w znaczeniu, jakie temu pojęciu nadaje przepis art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych i jako takie niezbędne działanie jest dopuszczalne. W doktrynie zwrócono uwagę, że nawet w przypadku przetwarzania danych osobowych w toku ogólnego postępowania administracyjnego osoba, której dane dotyczą, nie jest uprawniona do żądania zaprzestania przetwarzania swoich danych osobowych w toku postępowania administracyjnego. Powyższe odnosi się wprost do postępowania administracyjnego uregulowanego Ordynacją podatkową (Paweł Litwiński, Ochrona danych osobowych w ogólnym postępowaniu administracyjnym, Oficyna Volters Kluwer, Warszawa 2009, s. 150). Zasadnie zatem organ wezwał Spółkę do złożenia wyjaśnień dotyczących innych osób, mając upoważnienie do ich uzyskania zawarte w przytoczonych przepisach O.p., a proces ich przetwarzania jest dopuszczalny na podstawie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Prezentując powyższy pogląd, Sąd oparł się także na argumentacji zawartej w wyroku NSA o sygn. I OSK 268/11 z 6 grudnia 2011 r." (sygn. akt II SA/Ke 456/16 – dostępny na stronie internetowej orzeczenia.nsa.gov.pl/cbo/query - w Centralnej Bazie Orzeczeń Sądów Administracyjnych, zwanej dalej "CBOSA"); natomiast jak uznał Naczelny Sąd Administracyjny w wyroku z 22 lutego 2012 r.: "art. 181 O.p. nie ogranicza pozyskiwania materiałów dowodowych wyłącznie do tych postępowań, które zostały zakończone prawomocnym wyrokiem ani do tych postępowań, które były prowadzone w stosunku do strony. Nie ma zatem przeszkód natury prawnej, aby w postępowaniu podatkowym prowadzonym w stosunku do podatnika korzystać również z materiałów gromadzonych w stosunku do innych podmiotów. Istotne jest jedynie, aby przy pozyskiwaniu materiału dowodowego nie naruszano norm prawnych oraz podstawowych praw podatnika, zagwarantowanych przepisami Ordynacji podatkowej. (...) Organy podatkowe są również uprawnione do samodzielnej oceny tak pozyskanych dowodów" (sygn. akt I FSK 445/11 – dostępny w CBOSA),
- z materiału dowodowego sprawy wynika, że Spółka [...] kwietnia 2010 r. - na podstawie art. 13b ustawy o kontroli skarbowej - przekazała dane Wnioskodawcy do UKS w P., a ten - pismem z [...] kwietnia 2010 r. -przesłał je urzędowi w W. w formie "Protokołu sprawdzenia prawidłowości i rzetelności dokumentów u kontrahenta kontrolowanego" z [...] kwietnia 2010 r.; jak wyjaśniła Spółka: "Dane do UKS były przygotowywane przez program raportujący, który nie posiadał możliwości zawężania zakresu i generował wszystkie posiadane przez Spółkę dane Użytkownika serwisu"; program ten funkcjonował do końca 2011 roku a "zastąpiony został wyspecjalizowanym programem, pozwalającym na generowanie raportów wg ścisłych wytycznych Spółki czy organów zwracających się do Spółki z żądaniem udostępnienia danych osobowych w związku z toczącym się przed nim postępowaniem",
- wskazane przepisy ustawy o kontroli skarbowej i ustawy - Ordynacja podatkowa stanowiły podstawę kwestionowanego przez Wnioskodawcę udostępnienia przez Spółkę jego danych osobowych; udostępnienie to bowiem znajduje oparcie w przesłankach wynikających z art. 23 ust. 1 pkt 2 ustawy o danych.
W skardze, zarzucono naruszenie przepisów:
- art. 6 i 7 K.p.a. - zasady praworządności oraz zasady prawdy obiektywnej, która nakłada na prowadzące postępowanie organy obowiązek wszechstronnego zbadania sprawy zarówno pod względem faktycznym, jak i prawnym w celu ustalenia stanu rzeczywistego sprawy, poprzez nieuwzględnienie w decyzji przepisów prawa; doszło do tego wobec błędnego i bezpodstawnego uznania, jakoby w sprawie nie doszło do naruszenia przepisów ustawy o danych, w szczególności wobec nieuwzględnienia wniosku z [...] kwietnia 2014 r.; tymczasem w kwietniu 2010 roku doszło do przekazania przez Spółkę na rzecz UKS informacji zawierających:
- dane osobowe oraz tajemnicę skarbową osób trzecich - czyli dwóch innych, przypadkowych niezwiązanych z danym postępowaniem sprzedawców z serwisu aukcyjnego - z którymi Wnioskodawca nie miał "żadnych stanów faktycznych wspólnych"; skutkowało to jego obciążeniem podatkiem za transakcję innych, przypadkowych użytkowników serwisu aukcyjnego, z którym łączyła Wnioskodawcę jedynie zbieżność nazwiska (inne dane rozbieżne);
- informacji wykraczających ponad zakres w odniesieniu do okresu kontroli - udostępnienie wszelkich informacji zarówno sprzed jak i po wnioskowanym terminie - czyli przed grudniem 2004 i po grudniu 2008 roku,
- postępowania – polegało to na nieuwzględnieniu skargi w sytuacji niepełnego i nieprawidłowego poczynienia ustaleń faktycznych w konfrontacji z obowiązującym prawem z uchybieniem zasady prawdy obiektywnej, logicznego myślenia oraz doświadczenia życiowego, m.in. poprzez przyjęcie w istocie za zgodne z prawem:
- przetwarzania - przy kontroli podatkowej innego podmiotu - danych dwóch innych przypadkowych sprzedawców, w tym jednego tylko ze względu na zbieżność nazwiska (inne dane rozbieżne);
- wyjaśnień Spółki, że przekazywanie danych ponad zakres może być dopuszczalne z powodu używania przez administratora danych osobowych nieprawidłowego oprogramowania komputerowego,
- które nakładają na prowadzące postępowanie organy obowiązek działania w sposób budzący zaufanie do organów państwowych; w konsekwencji nienależytego wykonywania obowiązków przez organ:
- wydano decyzję, w której nie odniesiono się do głównych zarzutów zawartych we skardze oraz wnioskowanej oceny prawnej problemu legalności działań - do faktu pozyskania i udostępnienia informacji o osobach trzecich i przekroczeniu zakresu kontroli;
- uznano, jakoby organ ocenił zebrany przezeń materiał dowodowy i twierdzenia strony - a dodatkowo szczegółowe pytania sformułowane we wniosku o ponowne rozpatrzenie sprawy - zgodnie z regułami; tymczasem organ ocenił materiał dowodowy dowolnie wybiórczo; nie wyciągnął z niego wszystkich istotnych dla rozstrzygnięcia wniosków; nie poczynił też w ogóle ustaleń faktycznych, co do istotnych kwestii, które powinny zostać ustalone, aby - przed wydaniem decyzji - można było ocenić, czy - i w jakim zakresie - winny mieć zastosowanie odpowiednie przepisy prawa;
- wydano decyzję zawierającą luki w stanie faktycznym i wypaczony opis przebiegu postępowania; było to skutkiem niedopuszczalnego, bezprawnego manipulowania przez organ treścią skargi - m.in. poprzez usunięcie jednego z zarzutów oraz innych treści tej skargi kluczowych w tej sprawie;
- doszło do bezczynności i przewlekłości, polegającej na wydaniu decyzji po przeszło 4,5 latach prowadzenia postępowania,
- naruszenie art. 77 K.p.a. § 3, poprzez:
- wybiórcze i niepełne rozpatrzenie materiału dowodowego w sposób zmierzający do z góry przyjętej tezy strony przeciwnej (Spółki i UKS), bez uwzględnienia okoliczności i faktów;
- sporządzenie uzasadnienia w sposób niepozwalający ustalić finalnej, konkretnej przyczyny wydania decyzji oddalającej skargę,
- art. 231§ 1 i 3 ustawy z dnia 6 czerwca 1997 r. - Kodeks karny (Dz.U. z 2018, poz. 1600 ze zm.); stanowi on, że funkcjonariusz publiczny, nie dopełniając obowiązków, działa na szkodę interesu publicznego lub prywatnego poprzez celowe nie dopełnienie ciążących na nim obowiązków; w tym kontekście wskazano na wieloletnią bezczynność urzędników organu oraz wydanie decyzji bez rzetelnego zbadania zarzutów.
W szerokim uzasadnieniu skargi rozwinięto sformułowane na wstępie zarzuty, zwracając uwagę m.in. na to, że - w świetle uzasadnia zaskarżonej decyzji - nie wskazano precyzyjnie zakresu bezpodstawnie udostępnionych danych, dotyczących transakcji Wnioskodawcy. Obejmowały one bowiem zarówno okres przed kontrolą jak i po niej (do roku 2010). Nie zwrócił na to uwagi organ administracji. Sformułowano też szereg ocen prawnych oraz istotnych - zdaniem wnoszącego skargę – zagadnień, w których stanowisko powinien był zająć organ, wobec treści jego żądań.
Wniesiono o uchylenie zaskarżonej decyzji oraz ją poprzedzającej a także orzeczenie w przedmiocie bezczynności i przewlekłości postępowania.
W odpowiedzi na skargę organ administracji wniósł o jej oddalenie, podtrzymując dotychczasową argumentację.
W trakcie rozprawy (k. 71-74) pełnomocnik Wnioskodawcy podnosił, brak weryfikacji prawdziwości twierdzenia Spółki, czy udostępniła ona rzeczywiście dane osobowe inne niż żądane przez organ kontroli skarbowej z uwagi na nieodpowiednio skonstruowany program raportujący i - po udostępnieniu jego danych osobowych - zmieniła program raportujący uniemożliwiając dalsze naruszenia przy udostępnianiu danych osobowych. Zdaniem Wnioskodawcy twierdzenie Spółki są gołosłowne. Ma on wątpliwości, co do ich prawdziwości, bowiem z posiadanych przezeń informacji wynika, że dana sprawa nie jest jedyną, gdzie - na skutek udostępnienia danych osobowych przez Spółkę - organy kontroli skarbowej wszczęły lub poszerzyły zakres prowadzonych przez siebie postępowań o dalsze okresy czy inne osoby, tylko dzięki informacjom uzyskanym od innego podmiotu. Pełnomocnik zarzucił też brak wyraźnego wskazania w uzasadnieniu decyzji naruszenia przez Spółkę przepisów o ochronie danych osobowych. Wskazywał, że ocena nieprawidłowości działania tego podmiotu w uzasadnieniu skarżonego aktu mogłaby stanowić podstawę podważenia orzeczeń organów podatkowych.
Sąd zważył, co następuje:
Skarga zasługuje na uwzględnienie, chociaż nie z przyczyn w niej podniesionych. Sąd, w związku z art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2018 r. poz. 1302 ze zm.), nie jest związany zarzutami i wnioskami skargi.
W rozpoznawanej sprawie zasadniczo bezsporne były opisane przez organ i uprzednio zreferowane istotne elementy stanu faktycznego na dzień wydania skarżonego aktu. Nie miało mianowicie wówczas miejsce żadne naruszenie przepisów ustawy o danych, która znajduje w sprawie zastosowanie wobec terminu wszczęcia postępowania. W kwestii objętej sporem – jak wskazał organ - doszło uprzednio do przekazania przez Spółkę do UKS danych osobowych Wnioskodawcy w zakresie wykraczającym poza żądane, związane z prowadzeniem konkretnego postępowania kontrolnego. Przy tym przekazanie danych dotyczących samych transakcji Wnioskodawcy za sam okres objęty kontrolą nie było kwestionowane. Stanowisko organu jest w danym zakresie trafne i - wobec uprzedniego zreferowania - jego powtarzanie byłoby zbędne. Jedynie na marginesie można odnotować, że samej Spółce nie można przypisać odpowiedzialności za udostępnienie informacji w granicach żądania wyspecjalizowanego organu administracji. Nie jest ona bowiem właściwa ani nie ma instrumentów dla rzeczywistej oceny, czy żądane informacje są w istocie niezbędne danemu organowi w kontekście realiów prowadzonego postępowania. Uprawnione było domniemanie z jej strony, że udostępnienie danych następuje w interesie publicznym, w celu wykonywania zadań państwa w stosownym zakresie.
Jak trafnie skonstatował organ w uzasadnieniu skarżonego aktu przekazanie z kolei zbyt szerokich danych (ponad żądanie) było natomiast zdarzeniem o charakterze nieodwracalnym (czego także nie kwestionowano). Organ nie miał środków prawnych w celu odwrócenia negatywnych skutków czynności - przetworzenia danych poza dopuszczonym przepisami zakresem. Powodem nieprawidłowości były ograniczenia w użytkowanym dla potrzeb serwisu aukcyjnego oprogramowaniu, co do selekcji danych. Problem ten został rozwiązany - wedle wyjaśnień Spółki - w 2011 roku. Wprawdzie już na etapie skargi Wnioskodawca podniósł, że - w jego ocenie - nie organ nie wykazał wystarczająco przekonywająco faktycznego wprowadzenia przez Spółkę zmian oprogramowania, które umożliwia bardziej selektywne udostępnianie danych o realizowanych przez użytkowników w serwisie aukcyjnym transakcjach. Powoływał się na znane mu przypadki zbyt szerokiego ujawnienia danych. Nie precyzował jednak kiedy miały miejsce i czy faktycznie były następstwem przekazania danych wykraczających ponad żądanie organu podatkowego. Kwestii tej Wnioskodawca nie sygnalizował w toku postępowania. Dlatego - uzasadniając orzeczenie - organ mógł powoływać się włącznie na stanowisko Spółki. Jednak zasady doświadczenia życiowego oraz logicznego rozumowania uzasadniają założenie, że wyspecjalizowany, ogólnokrajowy organ - właściwy w sprawach ochrony danych osobowych - ma z urzędu wiedzę o aktualnych uwarunkowaniach udostępniania danych z jednego z większych serwisów aukcyjnych w kraju. O ile występowałyby nadal nieprawidłowości w oprogramowaniu danego serwisu, prowadzące do przypadków ujawniania danych, wykraczających poza żądania organów podatkowych, musiałoby to być wiadome danemu organowi. Skutkowałoby to bowiem znaczną ilością skarg. Organ, orzekając w 2018 roku w przedmiocie skargi wniesionej wiele lat wcześniej (rok 2014) na czynność Spółki, która miała miejsce w 2010 roku, musiał mieć z urzędu wiedzę, czy do określonych nieprawidłowości dochodzi nadal. Mógł się więc oprzeć na informacji pisemnej, uzyskanej od Spółki, bez konieczności jej weryfikacji czynnościami kontrolnymi. Prowadząc postępowanie musi on uwzględniać także zasady ekonomii procesowej (art. 12 § 1 K.p.a.). Nie był wobec tego obowiązany do dokonywania ustaleń, co do kwestii, które nie budziły uzasadnionych wątpliwości, a do tego nie były nawet sporne w sprawie – podniesiono je dopiero na etapie skargi do Sądu. Twierdzeń Wnioskodawcy nie można więc uznać za skutecznie podważające konstatacje organu.
Co do zakresu prowadzonego postępowania administracyjnego, w kontekście wydania stosownego rozstrzygnięcia władczego (decyzji administracyjnej) bez znaczenia pozostawała z kolei kwestia, czy do nieuprawnionego przekazania danych Wnioskodawcy nie mogło dojść także w wyniku określonego zaniedbania pracowników Spółki bądź nawet działania celowego. O ile nawet taka byłaby przyczyna zaistniałej nieprawidłowości organ nie byłby uprawniony do odwrócenia tego zdarzenia, w drodze wydania decyzji administracyjnej. Musiało to pozostać więc poza zakresem samego postępowania administracyjnego, które może być zakończone ewentualnym wydaniem w sprawie decyzji naprawczej. Przy tym tezy, jakoby doszło do sugerowanego przez Wnioskodawcę zdarzenia nawet nie uprawdopodobniono.
Jednocześnie, co trafnie skonstatował organ, skoro Wnioskodawca nie był umocowany do reprezentowania osób trzecich, których dane ujawniono w toku kontroli, dotyczącej jego działalności, nie ma on legitymacji, aby żądać rozpoznawania sprawy ewentualnych nieprawidłowości w danym zakresie w ramach wszczęcia procedury administracyjnej, kończącej się wydaniem decyzji administracyjnej. Interesu w tym zakresie nie może Wnioskodawca wywodzić wyłącznie z określonych okoliczności faktycznych (chodzi bowiem o interes prawny nie zaś faktyczny) – np. negatywnych skutków ewentualnych nieprawidłowości w kontekście dotyczącego jego osoby postępowania kontrolnego, przeprowadzonego przez organy podatkowe. O ile ujawnienie nieuprawnionych danych doprowadziłoby faktycznie do błędnych ustaleń w postępowaniu kontrolnym, nieprawidłowość ta może być zwalczane tylko w ramach stosownego postępowania przed organami podatkowymi. Działanie wyspecjalizowanego organu ochrony danych osobowych nie ma bowiem służyć eliminacji dowolnych, ewentualnych błędów przy administrowaniu takimi danymi lecz ich ochrony przed nieuprawnionym ujawnieniem, w granicach jego kompetencji. Z woli prawodawcy w interesie zainteresowanych osób może być prowadzone postępowanie, kończone wydaniem władczego orzeczenia (decyzji). Jednak wyłącznie ewentualnie poszkodowani przypadkowym ujawnieniem swoich danych mogą żądać wszczęcia na swój wniosek stosownej procedury przed organem administracji. Oczywiście - wobec określonych wniosków skarg czy zastrzeżeń, dotyczących innej osoby - organ ten może także wszcząć postępowanie z urzędu, w interesie publicznym, gdy dopatrzy się faktycznie nieprawidłowości. Jednak jego działania w danym zakresie - skorzystanie z ustawowych uprawnień do inicjowania postępowania - nie podlegają kognicji sądu administracyjnego w ramach skarg osób trzecich. W takiej sytuacji bezskuteczne są zarzuty, jakoby organ nie rozpatrzył sprawy w kontekście podnoszonej w skardze Wnioskodawcy kwestii ujawnienie danych innych niż on użytkowników serwisu aukcyjnego.
Interesu do żądania orzeczenia w przedmiocie ujawnienia danych innych osób nie można także wywodzić z hipotetycznej możliwości podważenia orzeczeń opartych na dowodach pozyskanych z naruszeniem prawa. Żaden przepis nie przypisywał bowiem organowi właściwemu do ochrony danych osobowych kompetencji do wydawania wiążących orzeczeń w danym przedmiocie dla realizacji tego celu. Z kolei kompetencji do wydawania wiążących orzeczeń administracyjnych nie można domniemywać.
W myśl ustawy o danych organ administracji był upoważniony wyłącznie nakazać w drodze decyzji przywrócenie stanu zgodnego z prawem. Ustawa ta wskazywała przy tym szczególne przypadki, gdy uprawnienie to może być wykorzystane, nie zawierając tylko ich zamkniętego katalogu (tak art. 18 ust. 1). Jednocześnie ustawa nie upoważniała - w drodze odrębnych regulacji - danego, wyspecjalizowanego organu administracji, aby w drodze decyzji (rozstrzygnięcia władczego) oceniał zdarzenia wcześniejsze, w kontekście przestrzegania przepisów o ochronie danych osobowych. Nie sposób w szczególności kompetencji w danym zakresie wywieść wyłącznie z uprawnienia do rozpoznawania skarg, wobec treści art. 12 pkt 2 ustawy o danych. Sytuacja w danym zakresie uległa wprawdzie generalnie istotnej zmianie, wobec wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. poz. 1000 ze zm.). Przewidziano tam przykładowo - w razie stwierdzenia nieprawidłowości - możliwość nakładania przez organ sankcji pieniężnych. Przy takich uwarunkowaniach prawnych ocena stanów historycznych pozostaje w kompetencjach organu. Wyrażanie stanowiska w danym zakresie w uzasadnieniu orzeczenia może znajdywać wówczas merytoryczne uzasadnienie. Odnotowane, nowe regulacje nie znajdą jednak zastosowania w rozpatrywanej sprawie, gdzie stosuje się ustawę o danych.
W judykaturze ukształtował się pogląd, że rozpatrywanie skarg na gruncie ustawy o danych następuje w drodze decyzji. Jednak, skoro na dzień rozpoznawania sprawy nie miała miejsce żadna nieprawidłowość w kwestiach objętych skargą Wnioskodawcy - to zadaniem organu było umorzenie postępowania w sprawie danej skargi (analogicznie prawomocne wyroki o sygn. akt II SA/Wa 1502/14 i 328/17, dostępne w CBOSA).
W rozpoznawanym przypadku - wydając zaskarżone orzeczenie, którym utrzymano w mocy decyzję o nieuwzględnieniu skargi Wnioskodawcy - naruszono przepisy postępowania, zakreślające kiedy zasadnym jest umorzenie postępowania (art. 105 § 1 K.p.a.). Naruszenie to miało istotny wpływ na wynik sprawy. Procedując w danym przedmiocie, co do meritum, organ wyraził także w uzasadnieniu zaskarżonego aktu stanowiska w kwestiach, które nie miały znaczenia dla wyniku postępowania m.in. wskazując zakres naruszenia - wymieniając, które dane ujawniono zbędnie. Wobec zasady praworządności (art. 6 K.p.a.) formułowanie ocen w danym zakresie było jednak poza kompetencjami danego organu administracji publicznej.
Jedynie na marginesie należy wskazać, że w realiach niniejszej sprawy kwestia prawidłowości działania Spółki w zakresie ujawnienia danych osób trzecich - co miało, zdaniem Wnioskodawcy, prowadzić do zaliczenia realizowanych przez nie transakcji na jego rzecz - mogłoby być wyłącznie przedmiotem rozważań w odrębnym postępowaniu - przed organami podatkowymi. Wadliwymi byłyby bowiem orzeczenia, gdzie powinności podatkowe przypisano niewłaściwej sobie. O ile upłynęły terminy do zainicjowania stosownych postępowań w trybie zwykłym, nie można wyłącznie stąd wywodzić zasady właściwości organu ochrony danych osobowych do oceny stanów historycznych.
Wobec wskazanych uwarunkowań bezprzedmiotowa byłaby ocena przez Sąd, czy w danym stanie historycznym doszło do naruszenia przepisów prawa materialnego, określających reguły ochrony danych osobowych.
Odnosząc się natomiast do samych zarzutów skargi należy uznać je za bezzasadne z następujących powodów:
- wbrew wywodom skargi organ nie skonstatował, jakoby w sprawie nie doszło do naruszenia przepisów ustawy o danych, choć - jak wskazano - w istocie wykraczało to poza granice postępowania, prowadzącego do wydania decyzji naprawczej; organ skonstatował jedynie, że na dzień orzekania nie są naruszane przez Spółkę przepisy, co uzasadniałoby wydanie określonej decyzji naprawczej; organ w uzasadnieniu zaskarżonego aktu nie wyraził też poglądu jakoby udostępnienie danych, wykraczających poza zakres żądania organów podatkowych, było dopuszczalne, gdy wynikało to z wadliwego oprogramowania; wskazał jedynie, że - skoro nieprawidłowości zostały usunięte (zmiana oprogramowania) - nie ma podstaw do wydania decyzji wobec skargi Wnioskodawcy; uchybieniem organu było zamieszczenie w końcowej części uzasadnienia skarżonej decyzji konstatacji, że w danej sprawie nie doszło do naruszenia przepisów o ochronie danych osobowych; pozostawała to sprzeczności wcześniejszym jego stwierdzeniem, że - pewnym zakresie - przekazanie danych przez Spółkę nie było uprawnione; jednak - jak wskazano wcześniej - w ogóle formułowanie wiążących ocen w danym zakresie, gdy dotyczy to stanów historycznych, nie jest zasadne; nie ma bowiem wpływu na wynik danej sprawy; jej przedmiotem jest rozważnie czy istnieją podstawy do wydania decyzji naprawczej, na dzień orzekania,
- organ nie wywodził, że ujawnienie - w ramach prowadzenia postępowania kontrolnego dotyczącego Wnioskodawcy - danych innych sprzedawców z serwisu aukcyjnego było uzasadnione czy dopuszczalne; wskazał jedynie trafnie, że ocena tej kwestii wykracza w ogóle poza granice danej sprawy administracyjnej, którą mógł zainicjować skargą Wnioskodawca; w ten sposób organ nie uchylił się od rozpatrzenia skargi w części; wskazał natomiast, że podniesione w niej kwestie, co do udostępnienia danych osób trzecich, nie mogą być przymiotem przedmiotowego postępowania,
- organ prawidłowo ocenił zebrany materiał dowodowy w jego istotnych aspektach; nie było jego obowiązkiem odnoszenie się do wszelkich twierdzeń i stanowisk, formułowanych przez Wnioskodawcę (w kontekście uzasadnienia skargi nie jest to zresztą także powinnością Sądu); przedmiotem sprawy było wyłącznie ustalenie, czy istnieją przesłanki do wydania decyzji o zobowiązaniu do usunięcia określonych nieprawidłowości; organ w sposób jasny i komunikatywny przedstawił przesłanki uznania braku przesłanek do orzeczenia wedle żądań skargi; inną kwestią jest to czy stosowna argumentacja przekonała Wnioskodawcę,
- zasadnie wprawdzie odnotowano w skardze, że organ bardzo marginalnie opisał kwestię nieprawidłowości, gdy chodzi o przedłożenie do UKS przez Spółkę danych, wykraczających poza żądanie obejmujących transakcje Wnioskodawcy przed i po okresie kontroli (grudzień 2004 - grudzień 2008 roku); wskazano tam na rok 2003; kwestia precyzyjnego określenia wszystkich okresów, za jakie bezpodstawnie przekazano informacje (np. także po kontroli – do roku 2010), nie może jednak mieć żadnego znaczenia w sprawie; jak bowiem wskazano, przedmiotem danego postępowania nie była ogólna ocena legalności uprzednich działania Spółki, lecz wyłącznie ustalenie, czy występują obecnie konkretne nieprawidłowości, uzasadniające wydanie decyzji naprawczej - w granicach kompetencji orzeczniczych organu,
- poza granicami tej sprawa jest kwestia przewlekłości czy bezczynność organu w postępowaniu poprzedzającym wydanie skarżonej decyzji; jest to zresztą przedmiotem odrębnej - wniesionej przez Wnioskodawcę - skargi do Sądu,
- wykracza poza granice mniejszej sprawy ocena, czy przy załatwieniu sprawy Wnioskodawcy doszło do naruszenia powołanego w skardze przepisu ustawy - Kodeks karny.
Reasumując, rozpoznając sprawę organ nie naruszył - w zakresie wskazanym w skardze - przepisów postępowania, co do obowiązku właściwego jej wyjaśnienia w istotnych aspektach oraz uzasadnienia rozstrzygnięcia, gdy chodzi o brak przesłanek do wydania w sprawie decyzji naprawczej. Naruszono natomiast przepisy postępowania, zakreślające przesłanki umorzenie sprawy, wobec braku podstaw do wydanie decyzji co do meritum, a także bezzasadnie zajęto w uzasadnieniu stanowisko w kwestii nieprawidłowości, odnosząc się do stanów historycznych. Wyrażona w tej kwestii zbędnie przez organ opinia była z kolei przedmiotem polemiki w skardze.
Ponieważ analogiczną wadliwością są dotknięte zaskarżone orzeczenie jak i je poprzedzające Sąd uchylił oba akty. Skoro natomiast istotne okoliczności sprawy nie wymagają dalszego wyjaśnienia – nie było przesłanek, aby wobec konkretnej skargi organ, co do meritum, orzekał w sprawie - postępowanie administracyjne umorzono.
Z przytoczonych wyżej przyczyn, na podstawie art. 135, 145 § 1 pkt 1 lit. c oraz § 3 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w pkt 1 i 2 sentencji.