II SA/Wa 234/09

II SA/Wa 234/09 - Wyrok WSA w Warszawie
Data orzeczenia
2009-05-28
orzeczenie prawomocne
Data wpływu
2009-03-03
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Kołodziej /przewodniczący/
Joanna Kube
Sławomir Antoniuk /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono decyzję I i II instancji
Powołane przepisy
Dz.U. 2002 nr 101 poz 926
art. 7 pkt 4
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
Dz.U. 2000 nr 98 poz 1071
art. 156 par. 1 pkt 4,  art. 28 i 29
Ustawa z dnia 14 czerwca 1960 r.- Kodeks postępowania administracyjnego - tekst jednolity
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej, Sędziowie WSA Joanna Kube, WSA Sławomir Antoniuk (spraw.), Protokolant Emilia Jaktorska, po rozpoznaniu na rozprawie w dniu 28 maja 2009 r. sprawy ze skargi [...] Powszechnego Towarzystwa Emerytalnego Spółki Akcyjnej z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] grudnia 2008 r. nr [...] w przedmiocie odmowy stwierdzenia nieważności decyzji w sprawie usunięcia uchybień w procesie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] września 2008 r. nr [...], 2. zaskarżona decyzja nie podlega wykonaniu w całości, 3. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz [...] Powszechnego Towarzystwa Emerytalnego S.A. z siedzibą w W. kwotę 457 (czterysta pięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] grudnia 2008 r. nr [...] utrzymał w mocy własną decyzję z dnia [...] września 2008 r. nr [...] odmawiającą stwierdzenia nieważności decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2007 r. nr [...] oraz decyzji tego organu z dnia [...] grudnia 2007 r. nr [...] wydanych w przedmiocie nakazania [...] Powszechnemu Towarzystwu Emerytalnemu S.A. w W. usunięcia uchybień w procesie przetwarzania danych osobowych.
Z akt administracyjnych i ustaleń organu wynika następujący stan sprawy:
Generalny Inspektor Ochrony Danych Osobowych wszczął z urzędu postępowanie wyjaśniające w sprawie zgodności z przepisami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926, ze zm.) procesu pozyskiwania przez [...] Powszechne Towarzystwo Emerytalne S.A. z siedzibą w W., zwane dalej także Towarzystwem, danych osobowych osób zainteresowanych przystąpieniem do [...] Otwartego Funduszu Emerytalnego, zwanego dalej także Funduszem, za pomocą zamieszczonego na stronie [...] wniosku.
W wyniku przeprowadzonego postępowania wyjaśniającego Generalny Inspektor Ochrony Danych Osobowych stwierdził nieprawidłowości w procesie przetwarzania danych osobowych i decyzją z dnia [...] września 2007 r. nakazał [...] Powszechnemu Towarzystwu Emerytalnemu S.A. w W. usunięcie uchybień w procesie przetwarzania danych osobowych osób zainteresowanych przystąpieniem do [...] Otwartego Funduszu Emerytalnego, udostępnionych za pomocą formularza wniosku zamieszczonego na stronie internetowej [...] poprzez:
I. Dokonanie modyfikacji zawartej na podanej stronie internetowej klauzuli zgody w taki sposób, aby w jej wyniku powstały dwa odrębne oświadczenia woli obejmujące swym zakresem zgodę na przetwarzanie danych osobowych dla celów marketingowych w rozumieniu art. 7 ustawy o ochronie danych osobowych oraz zgodę na przekazywanie informacji handlowych drogą elektroniczną na adres poczty elektronicznej, wymaganą przepisami ustawy z dnia 18 lipca 2002 r. o świadczeniach usług drogą elektroniczną.
II. Zmianę treści zamieszczonej na podanej stronie internetowej klauzuli dotyczącej obowiązku informacyjnego wobec osób przystępujących do [...] OFE i wypełniających w tym "deklaracje przystąpienia do OFE, o którym mowa w art. 24 ust. 1 ustawy, poprzez:
1) prawidłowe oznaczenie administratora danych, tj. wskazanie, że administratorem danych osobowych członka [...] OFE w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych jest ten fundusz,
2) uzupełnienie klauzuli, o której mowa wcześniej, o informację wskazaną w art. 24 ust. 1 pkt 2 powołanej ustawy, tj. dotyczącą celu zbierania danych, a szczególności o znanych Spółce - w czasie udzielania osobie, której dane dotyczą informacji - lub przewidywanych odbiorcach lub kategoriach odbiorców danych.
[...] PTE S.A. w dniu 15 października 2007 r. wniosło o ponowne rozpatrzenie sprawy zakończonej powyższą decyzją, uchylenie zaskarżonej decyzji oraz umorzenie prowadzonego postępowania administracyjnego.
W wyniku rozpatrzenia wniosku odwoławczego Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] grudnia 2007 r. utrzymał w mocy zaskarżoną decyzję. Decyzja ta, została zaskarżona przez [...] PTE S.A. do Wojewódzkiego Sądu Administracyjnego w W., który postanowieniem z dnia 4 marca 2008 r. odrzucił skargę Towarzystwa z powodu uchybienia terminu do jej wniesienia.
Wnioskiem z dnia 29 maja 2008 r. [...] Powszechne Towarzystwo Emerytalne S.A. (dawniej [...] PTE S.A.) wystąpiło do Generalnego Inspektora Ochrony Danych Osobowych o stwierdzenie nieważności powyższych decyzji z dnia [...] września 2007 r. i z dnia [...] grudnia 2007 r. W uzasadnieniu wniosku Towarzystwo podniosło, iż przedmiotowe decyzje obarczone są wadą skutkującą ich nieważnością, bowiem wynika z nich, że administratorem danych osobowych członków Funduszu powinien być sam Fundusz, a nie Towarzystwo. Dlatego też, nie można było prowadzić postępowania administracyjnego, ani kierować decyzji w zakresie związanym z wykonywaniem obowiązków przez administratora danych osobowych, czyli realizacji obowiązku informacyjnego oraz formy gromadzenia oświadczeń woli członków Funduszu, do podmiotu, który nie jest administratorem danych osobowych, tj. Towarzystwa będącego jedynie organem tegoż administratora. W świetle art. 2 ustawy o organizacji i funkcjonowaniu funduszy emerytalnych istnieją dwa odrębne podmioty - Fundusz, będący osobą prawną i zarządzające nim Towarzystwo, które również posiada osobowość prawną - których nie można utożsamiać. Wskazano również, że w stosunku do Funduszu Generalny Inspektor Ochrony Danych Osobowych nie wszczął i nie przeprowadził postępowania administracyjnego w zakresie zgodności przetwarzania danych osobowych z przepisami obowiązującego prawa. Wszelkie nakazy związane z procesem przetwarzania danych osobowych członków Funduszu, powinny być kierowane do Funduszu, a nie do jego organu skoro Generalny Inspektor Ochrony Danych Osobowych stwierdził, że administratorem danych członków Funduszu jest Fundusz. Z tego względu decyzja organu w zakresie nakładającym na Towarzystwo obowiązki związane z przetwarzaniem danych jest dotknięta wadą nieważności wskazaną w art. 156 § 1 pkt 4 k.p.a.
Decyzją z dnia [...] września 2008 r., wydaną na podstawie art. 158 § 1 k.p.a. oraz art. 12 pkt 2 i art. 22 ustawy o ochronie danych osobowych, Generalny Inspektor Ochrony Danych Osobowych odmówił stwierdzenia nieważności spornych decyzji. W motywach rozstrzygnięcia organ podniósł, iż w przedmowie decyzje nie zostały obarczone wadą określoną w art. 156 § 1pkt 4 k.p.a. Nie stanowi bowiem wady kwalifikowanej przyjęcie na podstawie obowiązujących przepisów prawa, że Towarzystwo, jako organ funduszu urzeczywistnia jego wolę i reprezentuje go na zewnątrz, natomiast administratorem danych osobowych członków funduszu emerytalnego jest Fundusz, bo to on, a nie Towarzystwo decyduje o środkach i celach przetwarzania danych osobowych członka. Artykuł 2 ustawy o organizacji i funkcjonowaniu funduszy emerytalnych stanowi, że fundusz emerytalny jest osobą prawną, której przedmiotem działalności jest gromadzenie środków pieniężnych i ich lokowanie, z przeznaczeniem na wypłatę członkom funduszu po osiągnięciu przez niech wieku emerytalnego. Reprezentacja, o której mowa, odbywa się w sposób określony w statucie funduszu (art. 3), a fundusz nabywa osobowość prawną - jak stanowi art. 20 ust. 1 powołanej ustawy - z chwilą wpisania do rejestru funduszy. Natomiast przedmiotem przedsiębiorstwa towarzystwa jest wyłącznie tworzenie i zarządzanie funduszami oraz ich reprezentowanie wobec osób trzecich (art. 29 ust. 1 tej ustawy). Nie było zatem błędem skierowanie decyzji nakazowych do Towarzystwa, jako organu reprezentującego Fundusz na zewnątrz, a więc i przed organami administracji publicznej.
We wniosku o ponowne rozpatrzenie sprawy [...] PTE S.A. podniosło, że zarówno postępowanie administracyjne, jak i decyzje wydane po jego zakończeniu skierowane były do niewłaściwego podmiotu. Zdaniem Towarzystwa, fakt że osoba prawna działa przez swoje organy nie daje podstaw do kierowania wezwań, prowadzenia postępowań administracyjnych, czy doręczania decyzji administracyjnych wobec tego organu zamiast wobec osoby prawnej. A zatem, wszelkie nakazy związane z procesem przetwarzania danych osobowych członków Funduszu, powinny być kierowane do Funduszu, a nie do jego organu. Strona odwołująca się przywołała stanowisko NSA, według którego decyzja skierowana do organu osoby prawnej oznaczonego, jako strona postępowania i na który to organ miałyby być nałożone zakazy, zamiast na osobę prawną jest skierowaniem decyzji do osoby niebędącej stroną w sprawie (teza pierwsza wyroku NSA z dnia 6 kwietnia 1999 r., sygn. akt IV SA 538/97 - LEX nr 4857; wyrok NSA z dnia 31 marca 1998 r., sygn. akt IV SA 884/96 - LEX nr 43325).
Po ponownym przeanalizowaniu sprawy w kontekście zarzutów podniesionych we wniosku Towarzystwa, Generalny Inspektor decyzją z dnia [...] grudnia 2008 r., wydaną na podstawie art. 138 § 1 pkt 1 k.p.a. oraz art. 12 pkt 2 i art. 22 ustawy o ochronie danych osobowych, utrzymał zaskarżone rozstrzygnięcie w mocy. W uzasadnieniu decyzji organ podniósł, iż Towarzystwo nie przedstawiło istotnych okoliczności, które mogłyby stanowić podstawę do uznania decyzji z dnia [...] września 2007 r. i z dnia [...] grudnia 2007 r. za nieważne na podstawie art. 156 § 1 pkt 4 k.p.a. Zarzut Towarzystwa, że organ uznał za administratora danych osobowych Fundusz, ale błędnie prowadził postępowania wobec Towarzystwa i skierował wobec niego nakaz w decyzji z dnia [...] września 2007 r. i decyzję z dnia [...] grudnia 2007 r., nie stanowi wady skutkującej nieważnością decyzji na podstawie art. 156 § 1 pkt 4 k.p.a. Zgodnie z art. 3 ust. 1 ustawy z dnia 28 sierpnia 1997 r. o organizacji i funkcjonowaniu funduszy emerytalnych (Dz. U. z 2004 r. Nr 159, poz. 1667 ze zm.), organem funduszu jest towarzystwo emerytalne. Zgodnie z ust. 2 tego artykułu towarzystwo tworzy fundusz oraz, jako jego organ, zarządza nim i reprezentuje w stosunkach z osobami trzecimi. Z powyższych regulacji wynika zatem, iż w przedmiotowej sprawie Towarzystwo jako organ Funduszu urzeczywistnia jego wolę i reprezentuje go na zewnątrz. Nie można więc w tym przypadku mówić o błędnym - bo nie do podmiotu, który jest stroną w sprawie, skierowaniu przez Generalnego Inspektora decyzji do Towarzystwa, które jest organem zarządzającym Funduszem i reprezentującym go w stosunkach z osobami trzecimi. Ponadto tylko za pośrednictwem Towarzystwa, a nie samodzielnie, Fundusz ma możliwość realizacji swoich praw wynikających z k.p.a. i ustawy o ochronie danych osobowych. Zgodnie z art. 30 § 3 k.p.a. strony nie będące osobami fizycznymi działają przez swych ustawowych lub statutowych przedstawicieli. Wymóg takiego działania potwierdził również Naczelny Sąd Administracyjny w wyroku z dnia 9 grudnia 1993 r. sygn. akt SA/Lu 688/93), a jego niedochowanie skutkuje nieważnością wydanej decyzji na podstawie art. 156 § 1 pkt 2 k.p.a. Stosownie do art. 38 k.c., osoba prawna działa przez swoje organy w sposób przewidziany w ustawie i opartym na niej statucie. Zgodnie z przyjętą w doktrynie tzw. teorią organów, działanie organów osoby prawnej traktuje się jako działanie samej osoby prawnej (por. S. Dmowski, S. Rudnicki, Komentarz do kodeksu cywilnego. Księga Pierwsza. Część ogólna. Warszawa 2006, Wydawnictwo Prawnicze LexisNexis (wydanie VII), s. 500). W cenie organu nie zachodzą zatem podstawy do skutecznego postawienia zarzutu nieważności kwestionowanych decyzji na podstawie art. 156 § 1 pkt 4 k.p.a., bowiem postępowania, w których wydano ww. decyzje dotyczyły przetwarzania danych osobowych przez Fundusz, zaś sporne decyzje zostały skierowane wobec Towarzystwa, jako organu z mocy prawa powołanego do reprezentowania Funduszu w stosunkach z osobami trzecimi, w tym z Generalnym Inspektorem Ochrony Danych Osobowych.
[...] Powszechne Towarzystwo Emerytalne S.A. w Warszawie zaskarżyło do Wojewódzkiego Sądu Administracyjnego w Warszawie obie decyzje nadzorcze Generalnego Inspektora Ochrony Danych Osobowych. Domagając się ich uchylenia w całości, strona skarżąca zarzuciła zaskarżonym decyzjom, ich wydanie z naruszeniem art. 6 i art. 156 § 1 pkt 4 k.p.a. oraz art. 107 § 3 k.p.a. Skarżące Towarzystwo zawarło także wniosek o stwierdzenie nieważności decyzji nakazowych Generalnego Inspektora z dnia 11 grudnia i 27 września 2007 r. z powodu naruszenia art. 156 § 1 pkt 4 k.p.a. oraz zasądzenie kosztów postępowania według norm przepisanych. W obszernym uzasadnieniu skargi strona podniosła m.in., iż Generalny Inspektor nie uważał za sporną kwestię tego, że to Fundusz, a nie Towarzystwo jest administratorem danych osobowych w rozumieniu przepisów ustawy o ochronie danych osobowych. Wniosek strony o stwierdzenie nieważności decyzji nie dotyczył punktu II ppkt 1 decyzji z 27 września 2007 r. w którym nakazano zmianę oznaczenia na deklaracji administratora danych osobowych. Zdaniem strony skarżącej, fakt że Towarzystwo reprezentuje Otwarty Fundusz Emerytalny i jako jego organ faktycznie wykonujący czynności związane z prowadzeniem funduszu, czy wykonywaniem nałożonych na fundusz obowiązków nie ma żadnego znaczenia przy ocenie prowadzenia postępowania administracyjnego wobec właściwego podmiotu. To Fundusz jako osoba prawna jest podmiotem i adresatem decyzji administracyjnych, a nie jego organ reprezentujący lub inna osoba prawna. Towarzystwo, w przypadku prawidłowo przeprowadzonego postępowania wobec Otwartego Funduszu Emerytalnego, byłoby zobowiązane do reprezentowania Funduszu dopiero na etapie realizacji nałożonych obowiązków. Organ jednoznacznie stwierdził, iż administratorem danych w tym przypadku jest Otwarty Fundusz Emerytalny. Zatem to ten Fundusz decyduje o celach i środkach przetwarzania danych osobowych. Skoro postępowanie prowadzone przez organ dotyczyło realizacji przez administratora danych osobowych obowiązków ustawowych, to w rozumieniu przepisów k.p.a., stroną postępowania jest Fundusz, bowiem jego interesu prawnego dotyczy postępowanie. Powołując się na wskazane w skardze orzeczenia sądów administracyjnych strona podniosła, iż skierowanie decyzji do organu osoby prawnej i oznaczenie tego organu jako strony postępowania zamiast osoby prawnej oraz nałożenie określonych nakazów i zakazów na ten organ jest równoznaczne ze skierowaniem decyzji do osoby nie będącej stroną, co powoduje, że decyzja taka jest dotknięta wadą nieważności z art. 156 § 1 pkt 4 k.p.a.
W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie oraz podtrzymał argumentacje przedstawioną w uzasadnieniu zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Sądy administracyjne sprawują kontrolę działalności administracji publicznej pod względem zgodności z prawem. Oznacza to, że w zakresie dokonywanej kontroli Sąd bada, czy organ administracji orzekając w sprawie nie naruszył prawa w stopniu mogącym mieć wpływ na wynik sprawy. Zgodnie z treścią art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270, ze zm.), sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną.
Skarga zasługuje na uwzględnienie, albowiem zaskarżona decyzja narusza przepisy postępowania administracyjnego w stopniu, który mógł mieć wpływ na wynik rozstrzygnięcia.
W niniejszej sprawie Generalny Inspektor Ochrony Danych Osobowych prowadził postępowanie nadzorcze na wniosek [...] Powszechnego Towarzystwa Emerytalnego S.A. z siedzibą w W., w którym zarzucono temu organowi, iż wydał on decyzje nakazujące usunięcie uchybień w procesie przetwarzania danych osobowych osób zainteresowanych przystąpieniem do [...] Otwartego Funduszu Emerytalnego (obecnie [...] Otwarty Fundusz Emerytalny) w stosunku do podmiotu nie będącego stroną w sprawie - [...] Powszechnego Towarzystwa Emerytalnego S.A. w W. (obecnie [...] Powszechne Towarzystwo Emerytalne S.A. w W.), co skutkuje spełnieniem przesłanki z art. 156 § 1 pkt 4 k.p.a.
Postępowanie nadzorcze jest nadzwyczajnym trybem postępowania. Zgodnie z utrwalonym orzecznictwem sądowoadministracyjnym, organ administracyjny w sprawie stwierdzenia nieważności decyzji administracyjnej, wszczyna postępowanie w nowej sprawie, w której nie orzeka co do istoty sprawy rozstrzygniętej w wadliwej decyzji, lecz orzeka jako organ kasacyjny. Organ, orzeka więc wyłącznie co do nieważności decyzji albo jej niezgodności z prawem, zaś nie jest władny rozstrzygać o innych kwestiach dotyczących istoty sprawy. Przedmiotem postępowania o stwierdzenie nieważności decyzji jest ustalenie, czy decyzja administracyjna poddana kontroli w trybie nadzorczym jest dotknięta jedną z wad, o których mowa w art. 156 § 1 k.p.a. oraz czy nie występują przesłanki negatywne, wymienione w art. 156 § 2 k.p.a. Wskazanie we wniosku strony tylko jednej z przesłanek stwierdzenia nieważności decyzji, nie zwalnia organu nadzorczego z obowiązku badania przesłanek pozostałych. Dokonując oceny, czy zachodzą przesłanki z art. 156 § 1 k.p.a., organ orzekający w tym zakresie jest obowiązany ustalić zarówno stan faktyczny, jak i stan prawny na dzień wydania decyzji, w stosunku do której toczy się postępowanie o stwierdzenie nieważności decyzji.
Zgodnie z art. 156 § 1 pkt 4 k.p.a., organ administracji publicznej stwierdza nieważność decyzji, która została skierowana do osoby nie będącej stroną w sprawie. W tym przepisie nie chodzi o omyłkę w doręczeniu decyzji, lecz o rozstrzygnięcie o prawach i obowiązkach osoby niebędącej stroną. Decyzja może określać prawa i obowiązki tylko podmiotu mającego kwalifikacje strony w rozumieniu art. 28 i art. 29 k.p.a. Kierując decyzję do podmiotu niebędącego stroną, organ administracji publicznej kształtuje sytuację prawną osoby, która w świetle prawa materialnego nie jest adresatem nałożonych praw i obowiązków. W orzecznictwie sądów administracyjnych, na które zasadnie powołuje się strona skarżąca i w doktrynie dominuje pogląd, iż zostaje spełniona przesłanka z art. 156 § 1 pkt 4 k.p.a., gdy nastąpi skierowanie decyzji do organu osoby prawnej i oznaczenie tego organu jako strony postępowania (zamiast osoby prawnej), bowiem nałożenie określonych nakazów i zakazów na ten organ jest równoznaczne ze skierowaniem decyzji do osoby niebędącej stroną. W wyroku NSA z dnia 9 marca 1994 r., sygn. akt III SA 1434/93 (niepublik.) zawarto tezę, że legitymację w postępowaniu administracyjnym określają przepisy prawa, a nie czynności prawne pomiędzy szczególnymi podmiotami. Komentatorzy (patrz Duże Komentarze Becka B. Adamiak, J. Borkowski Kodeks postępowania administracyjnego, Komentarz 8 wydanie, str. 750), przedstawiają pogląd, iż przykładem błędu powodującego nieważność będzie skierowanie decyzji do organu osoby prawnej i określenie go jako strony postępowania zamiast samej osoby prawnej będącej podmiotem praw i obowiązków (wyrok NSA z 31 marca 1998, sygn. IV SA 884-885/96 niepublik.).
Do zadań Generalnego Inspektora Ochrony Danych Osobowych należy kontrola legalności przetwarzania danych osobowych z przepisami ustawy o ochronie danych osobowych (art. 12 pkt 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jednolity Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). W przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, w szczególności w sposób określony w art. 18 ust. 1 pkt 1-6 ustawy o ochronie danych osobowych. W świetle postanowień tej ustawy podmiotem, na którego przepisy prawa materialnego nakładają szereg obowiązków z zakresu przetwarzania danych osobowych jest administrator danych osobowych (przykładowo art. 24, 26, 27 ww. ustawy). Na podstawie art. 7 pkt 4 powołanej ustawy, za administratora danych należy uznać organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3 (w tym osobę prawną przetwarzającą dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych), decydujące o celach i środkach przetwarzania danych osobowych. Nie może zatem budzić wątpliwości, iż Generalny Inspektor Ochrony Danych Osobowych nakazuje administratorowi danych w drodze decyzji przywrócenie stanu zgodnego z prawem (przykładowo wyrok NSA z dnia 21 listopada 2002 r., sygn. akt. II SA 1682/01 (publik. LEX nr 14965).
Skoro zatem Generalny Inspektor Ochrony danych osobowych w toku prowadzonego postępowania wyjaśniającego (zwykłego) ustalił, że to właśnie [...] Otwarty Fundusz Emerytalny (obecnie [...] Otwarty Fundusz Emerytalny) jest w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych administratorem danych osobowych, to ten właśnie podmiot, jako osoba prawna, jest adresatem praw i obowiązków w rozumieniu art. 28 i 29 k.p.a. i do niej powinna być kierowana decyzja nakazowa. Nie jest bowiem sporne pomiędzy stronami, że [...] OFE posiada osobowość prawną. Wynika to z art. 20 ust. 1 i 2 ustawy z dnia 28 sierpnia 1997 r. o organizacji i funkcjonowaniu funduszy emerytalnych (tekst jednolity Dz. U z 2004 r. Nr 159, poz. 1667 ze zm.), który stanowi, iż Fundusz nabywa osobowość prawną z chwilą wpisania do rejestru funduszy i z tą chwilą towarzystwo (jako podmiot tworzący fundusz) staje się organem funduszu. W świetle postanowień § 8 ust. 1 i 2 Statutu [...] Otwartego Funduszu Emerytalnego (dostępnego na stronie internetowej [...] PTE S.A.) organem funduszy uprawnionym do zarządzania Funduszem oraz jego reprezentacji w stosunkach z osobami trzecimi jest [...] Powszechne Towarzystwo Emerytalne S.A z siedziba w W. Towarzystwo wykonuje uprawnienia i obowiązki wynikające z zarządzania Funduszem i jego reprezentacji, na zasadach określonych w statucie. Tak więc, fundusz jest osobą prawną, która realizuje założenia statutowe zgodnie z przedmiotem działalności określonym w § 5 Statutu. Ustawa o organizacji i funkcjonowaniu funduszy emerytalnych zastrzegła w art. 19 ust. 1 i 2, że do dnia wpisania funduszu do rejestru funduszy, towarzystwo dokonuje czynności prawnych, mających na celu utworzenie funduszu, we własnym imieniu i na własny rachunek, zaś z chwilą wpisania funduszu do rejestru funduszy, fundusz wstępuje w prawa i obowiązki towarzystwa z tytułu umowy z depozytariuszem. Nie ma zatem podstaw do kierowania obowiązku usunięcia naruszeń z zakresu ochrony danych osobowych do organu zarządzającego osoby prawnej, która w świetle powyższych regulacji jest podmiotem praw i obowiązków. Brak własnych organów zarządzających, co wynika ze specyfiki prawnej funkcjonowania Otwartych Funduszy Emerytalnych, nie uprawnia podmiotu założycielskiego - Towarzystwu - do "procesowego zastępowania" Funduszy w postępowaniach administracyjnych.
W świetle powyższych rozważań należy stwierdzić, iż Generalny Inspektor Ochrony Danych Osobowych błędnie założył, że doręczenie decyzji nakazowych organowi zarządzającemu Funduszu nie stanowi naruszenia normy określonej w art. 156 § 1 pkt 4 k.p.a., czym naruszył ten przepis. Zachodzi zatem potrzeba uchylenia zaskarżonych decyzji nadzorczych i ponownego rozpoznania przez organ wniosku strony z dnia 29 maja 2008 r. z uwzględnieniem zawartej powyżej oceny prawnej.
W tym stanie rzeczy Sąd, na podstawie art. 145 § 1 pkt 1 lit c) w związku z art. 152 ustawy - Prawo o postępowaniu przed sądami administracyjnymi - orzekł, jak w
sentencji. Orzekając o kosztach Sąd rozstrzygnął na podstawie art. 200 w zw. z art. 209 ustawy Prawo o postępowaniu przed sądami administracyjnymi.