Uzasadnienie
Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] czerwca 2012 r. nr [...], wydaną na podstawie art. 138 § 1 pkt 1 K.p.a., art. 12 pkt 2, art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), w związku z art. 6a ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. 2002 r. Nr 72, poz. 665 ze zm.), utrzymał w mocy własną decyzję z [...] listopada 2011 r. nr [...] odmawiającą uwzględnienia skargi P. U., dalej jako "skarżący", na przetwarzanie jego danych osobowych przez [...] oraz [...].
Do wydania powyższej decyzji doszło w następującym stanie faktycznym i prawnym:
P. U. złożył do Generalnego Inspektora Ochrony Danych Osobowych skargę dotyczącą przetwarzania jego danych osobowych przez [...], dalej jako "Bank" oraz [...], dalej jako "Kancelaria". Skarżący podał, że [...] sierpnia 2010 r. pracownik ww. Kancelarii – D. T., w czasie prowadzonych na zlecenie Banku [...], czynności służbowych w miejscu jego zameldowania, udzieliła K. U. i E. U. informacji, że posiada on zobowiązania kredytowe wobec Banku [...] Ponadto D. T. wręczyła K. U. listę klientów, na której były jego dane osobowe, a także dane osobowe innych klientów Banku [...], którzy posiadają kredyty w ww. Banku, a których w tym dniu odwiedziła D. T. Skarżący podniósł także, że informacje te zostały przekazane przez D. T. również jej mężowi.
Skarżący zarzucił, że Bank [...], poprzez współpracę z ww. Kancelarią, przyczynił się do pogorszenia jego stosunków rodzinnych. Wynikało to z braku zachowania poufności informacji o kliencie oraz udzielanie innych wiadomości osobom postronnym. Skarżący zaznaczył również, że wielokrotnie reklamował powyższe zdarzenie za pośrednictwem usługi [...] oraz wnosił do Prezesa Banku [...] o szczegółowe wyjaśnienia, na jakiej podstawie D. T. oraz jej mąż posiadali informacje o jego danych osobowych, a przede wszystkim - o wysokości jego zobowiązań.
W toku przeprowadzonego postępowania wyjaśniającego Generalny Inspektor Ochrony Danych Osobowych ustalił, że:
- 1. Bank [...] przetwarza dane osobowe skarżącego na podstawie umów zawartych pomiędzy skarżącym a Bankiem, tj. "o prowadzenie [...] a akademickiego z [...] lipca 2003 r., o prowadzenie [...] a akademickiego z [...] listopada 2006 r., o kartę [...] z [...] listopada 2006 r., o udzielenie pożyczki gotówkowej [...] listopada 2009 r., o udzielenie pożyczki gotówkowej z [...] stycznia 2010 r., o udzielnie pożyczki gotówkowej z [...] lutego 2010 r., o kartę [...]". Bank aktualnie przetwarza dane osobowe skarżącego w celu dochodzenia roszczeń z tytułu przeterminowanych zobowiązań wynikających z umów o udzielenie pożyczek gotówkowych, zawartych [...] listopada 2009 r., [...] stycznia 2010 r., oraz [...] lutego 2010 r. Na mocy porozumień restrukturyzacyjnych z [...] marca 2011 r. spłata wszystkich zobowiązań skarżącego wobec Banku ma następować w okresie od marca 2011 r. do lutego 2015 r.
- 2. [...] grudnia 2005 r. Bank zawarł pisemną umowę o świadczenie usług windykacyjnych, na mocy której - w okresie od [...] czerwca 2010 r. do [...] września 2010 r. – udostępnił Kancelarii dane osobowe skarżącego w celu dochodzenia przez Kancelarię w imieniu Banku roszczeń wymagalnych wobec skarżącego. W ramach ww. umowy udostępniono Kancelarii dane osobowe skarżącego w zakresie m.in.: imienia, nazwiska, daty urodzenia, adresu zamieszkania i pobytu, numeru ewidencyjnego PESEL, miejsca pracy, serii i numeru dowodu osobistego, adresu do korespondencji.
- 3. Z pism Kancelarii oraz Banku wynika, że obecnie Kancelaria [...] nie przetwarza danych skarżącego.
- 4. W treści notatek służbowych sporządzonych [...] sierpnia 2010 r. oraz [...] września 2010 r. D. T. wyjaśniła, że [...] października 2010 r. pod adresem [...] pytała o skarżącego. Osoby przedstawiające się jako jego rodzice poinformowały, że nie mieszka on pod tym adresem. Zostawiła kartkę z wezwaniem do kontaktu z podanym imieniem i nazwiskiem skarżącego, numerem telefonu pracownika Kancelarii oraz jej prywatnym numerem telefonu. Na piśmie nie było żadnych informacji dotyczących kredytu oraz zadłużenia. Wyjaśniła również, że z powodów bezpieczeństwa czasami jeździ z mężem, który "nie jest wprowadzany w szczegóły".
- 5. Z pism Banku oraz Kancelarii, nie wynika jednoznacznie, aby D. T. ujawniła komukolwiek dane osobowe skarżącego, a w szczególności swojemu mężowi, co miałoby skutkować naruszeniem tajemnicy bankowej, czy też naruszeniem ochrony danych osobowych skarżącego.
- 6. Skarżący zwracał się wielokrotnie do Banku z reklamacją na działanie Kancelarii. Ponadto, [...] października 2010 r., skierował do Banku, jako administratora jego danych osobowych, pismo, w którym zwrócił się w trybie art. 32 ust. 1 pkt 1- 5a ustawy Prawo bankowe, o udzielnie informacji dotyczących przetwarzania jego danych osobowych w następującym zakresie: 1) jakie dane osobowe zawiera zbiór, 2) w jaki sposób zebrano dane osobowe, 3) w jakim celu i zakresie dane osobowe są przetwarzane, 4) w jakim zakresie i komu dane zostały udostępnione. W piśmie z [...] października 2010 r. Bank udzielił skarżącemu odpowiedzi w zakresie wskazanym w art. 33 ustawy o ochronie danych osobowych, informując o nazwach i siedzibach podmiotów, które w jego imieniu mogą przetwarzać dane osobowe klientów Banku w celu dochodzenia wierzytelności na jego rzecz.
Decyzją z [...] listopada 2011 r. nr [...], Generalny Inspektor Ochrony Danych Osobowych odmówił uwzględnienia skargi P. U. na przetwarzanie jego danych osobowych przez [...] oraz Kancelarię [...].
W uzasadnieniu decyzji organ wskazał, że Bank - jako administrator danych w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych – przetwarza dane osobowe skarżącego na mocy przepisów ustawy Prawo bankowe, w związku z umowami zawartymi pomiędzy skarżącym a Bankiem. Nadto, przetwarzanie danych osobowych skarżącego znajduje również oparcie w art. 23 ust. 1 pkt 2 tej powołanej ustawy.
W ocenie Generalnego Inspektora Ochrony Danych Osobowych materiał dowodowy zgromadzony w niniejszej sprawie wskazuje, że w celu dochodzenia roszczeń z tytułu przeterminowanych zobowiązań skarżącego, Bank udostępnił jego dane osobowe Kancelarii. Powyższe nastąpiło na podstawie umowy o świadczenie usług windykacyjnych zawartej pomiędzy Kancelarią a Bankiem [...] grudnia 2005 r. w oparciu o 6a ust. 1 pkt 2 ustawy Prawo bankowe. Organ podkreślił, że skarżący nie kwestionuje zarówno faktu, iż posiada wobec Banku zobowiązanie, które stało się wymagalne, jak również zasadności przetwarzania jego danych osobowych przez Kancelarię z tytułu powstania z jego strony zobowiązania na rzecz Banku.
Zdaniem organu działanie Banku, polegające na udostępnieniu danych skarżącego Kancelarii, było działaniem legalnym, znajdującym swe uzasadnienie w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, jako że było ono niezbędne do zrealizowania uprawnienia Banku wynikającego z przepisu prawa oraz art. 23 ust. 4 pkt 2 w zw. z art. 23 ust. 1 pkt 4 ustawy. Bank wskazał również, że ustawa reguluje także status podmiotów innych niż administrator danych, które mogą przetwarzać dane osobowe. Jakkolwiek bowiem administrator danych może przetwarzać dane samodzielnie, art. 31 ustawy upoważnia go również do powierzenia, w drodze zawartej w formie pisemnej umowy, przetwarzania tych danych innemu podmiotowi. W niniejszej sprawie Bank udostępnił dane osobowe skarżącego w wykonaniu postanowień umowy z [...] grudnia 2005 r., zaś Kancelaria przetwarzała rzeczone informacje w celu odzyskiwania wierzytelności w ramach postępowania polubownego przedsądowego oraz przedegzekucyjnego od skarżącego w okresie [...] czerwca 2010 r. – [...] września 2010 r.
W ocenie Generalnego Inspektora łącząca Bank i Kancelarię umowa z [...] grudnia 2005 r., zarówno z uwagi na jej formę (pisemna), jak i treść (określenie celu, dla realizacji którego będą przetwarzane powierzone dane) odpowiada wymogom określonym w art. 31 ustawy, natomiast Spółka przetwarzała dane osobowe skarżącego nie wykraczając poza zakres upoważnienia wynikającego z rzeczonej umowy. Jednocześnie organ zwrócił uwagę, że aktualnie dane osobowe skarżącego są przetwarzane wyłącznie przez Bank w związku z umowami pożyczki udzielonymi skarżącemu. Ponadto wskazał, że Kancelaria [...] nie przetwarza już danych osobowych skarżącego.
Odnosząc się do kwestii udostępnienia danych osobowych skarżącego przez D. T. na rzecz osób nieupoważnionych, tj. jej męża oraz E. U. i K. U. (rodziców skarżącego), organ wskazał, że zarówno materiał dowodowy przedłożony przez skarżącego, jak również wyjaśnienia Kancelarii, wskazują tylko na prawdopodobieństwo takiego zdarzenia. Skarżący przedłożył jedynie niewyraźne nagrania rozmów telefonicznych, jakie odbył m.in. z D. T., zaś Kancelaria wskazała w swoich wyjaśnieniach, że rozwiązała umowę z D. T., bowiem doszło do ryzyka ujawnienia osobie trzeciej danych osobowych skarżącego (mężowi D. T.). Brak jest natomiast dowodów jednoznacznie potwierdzających, że D. T. udostępniła dane osobowe skarżącego, czym - w jego ocenie - dopuściła się naruszenia zarówno tajemnicy bankowej, jak również przepisów o ochronie danych osobowych.
Za bezzasadny organ uznał zarzut dotyczący nierozpoznania złożonych przez skarżącego reklamacji. Z materiału dowodowego wynika bowiem, że skarżący otrzymał pismo Banku z [...] października 2010 r. (sygn. [...]), dopełniające obowiązku informacyjnego. Ponadto, w piśmie z [...] grudnia 2010 r. (sygn. [...]) Bank poinformował skarżącego o kategoriach odbiorców, z którymi posiada podpisane stosowne umowy pisemne, na mocy których dane osobowe dłużników są tym podmiotom udostępniane w celu dochodzenia roszczeń wymagalnych na rzecz Banku
W konsekwencji, Generalny Inspektor stwierdził, że przetwarzanie danych osobowych skarżącego przez Bank i ich udostępnienie na rzecz Kancelarii, znajdowało prawne uzasadnienie w art. 23 ust. 1 pkt 5 ustawy. Jednocześnie uznał, że brak jest jednoznacznych dowodów, wskazujących, iż realizacja przez Kancelarię czynności o charakterze windykacyjnym wobec skarżącego na rzecz Banku odbywała się z naruszeniem przepisów ustawy Prawo bankowe (tajemnica bankowa), jak również przepisów o ochronie danych osobowych.
We wniosku o ponowne rozpatrzenie sprawy skarżący zarzucił organowi naruszenie przepisów postępowania tj.: art. art. 7, art. 8, art. 11, art. 12 § 1, art. 35 §1, art. 50 § 1 i art. 75 K.p.a w zakresie dotyczącym gromadzenia materiału dowodowego oraz przekroczenia ustawowego terminu rozpoznania sprawy. Zwrócił się o przesłuchanie w charakterze świadków K. i E. U. oraz zbadanie autentyczności dostarczonych przez niego nagrań telefonicznych i włączenie ich do materiału dowodowego sprawy.
Po rozpatrzeniu ww. odwołania Generalny Inspektor Ochrony Danych Osobowych [...] lutego 2012 r. wydał decyzję administracyjną nr [...], którą utrzymał w mocy decyzję z [...] listopada 2011 r., nr [...]. Następnie, decyzją z [...] kwietnia 2012r., nr [...] Generalny Inspektor Ochrony Danych Osobowych stwierdził nieważność powyższej decyzji z [...] lutego 2012 r., z uwagi na fakt, iż została wydana z rażącym naruszeniem prawa.
Po dokonaniu ponownej analizy materiału dowodowego zgromadzonego w sprawie Generalny Inspektor Ochrony Danych Osobowych wydał powołaną na wstępie decyzję.
W uzasadnieniu organ wskazał, że zaskarżona decyzja jest prawidłowa, a zarzuty podnoszone we wniosku o ponowne rozpatrzenie sprawy nie wskazują na nowe dowody oraz okoliczności, a tym samym nie uzasadniają konieczności zmiany jej rozstrzygnięcia.
W uzasadnieniu organ powtórzył argumentację zawartą w orzeczeniu z [...] listopada 2011 r. stwierdzając ponownie, że działanie Banku, polegające na udostępnieniu danych skarżącego Kancelarii, było działaniem legalnym, z uwagi na fakt, iż było niezbędne do zrealizowania uprawnienia Banku wynikającego z przepisu art. 23 ust. 4 pkt 2 w zw. z art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych.
Odnosząc się do zgłoszonych zarzutów Generalny Inspektor Ochrony Danych Osobowych wskazał, że organ administracji publicznej może uznać stan faktyczny rozpatrywanej sprawy za ustalony jedynie na podstawie nie budzących wątpliwości dowodów. Po rozważeniu wniosku o przesłuchanie w charakterze świadków K. U. i E. U., stwierdził, że fakt, dla którego powołany został przez skarżącego ten środek dowodowy nie wymaga dodatkowego udowodnienia. Generalny Inspektor Ochrony Danych Osobowych przeanalizował ponownie zgromadzony materiał dowodowy pod kątem zarzutu postawionego przez skarżącego wobec Banku i Kancelarii i nie stwierdził nieprawidłowości dotyczących ustalenia stanu faktycznego, w tym w zakresie zgromadzonych w sprawie dowodów.
Za bezzasadne uznał również zarzucane przez skarżącego naruszenie wynikającej z art. 11 K.p.a. tzw. zasady przekonywania, tj. brak wystarczającego uzasadnienia wydanej decyzji. W ocenie organu uzasadnienia przedstawione w decyzji [...], w sposób wyczerpujący wyjaśnianiają stronom zasadności przesłanek, którymi organ kierował się przy rozstrzyganiu sprawy.
Zdaniem Generalnego Inspektora Ochrony Danych Osobowych nie znajduje również poparcia zarzut skarżącego, dotyczący nieotrzymania stosownych wyjaśnień z Banku, w szczególności w kwestii spełnienia wobec niego obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych, bowiem z materiału dowodowego wnika, iż skarżący otrzymał w tej sprawie pisma Banku z [...] października 2010 r. i [...] grudnia 2010 r.
P. U. złożył na powyższą decyzję z [...] czerwca 2012 r. skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, wnosząc o jej uchylenie.
Skarżący zarzucił organowi, że prowadząc postępowanie w przedmiotowej sprawie, nie zebrał i rozpatrzył całego materiału dowodowego, nie przeprowadził dowodu z wyjaśnień świadków zdarzenia – K. i E. U. oraz że pominął materiał dowodowy w postaci przedłożonego nagrania rozmowy, co w ocenie skarżacego, stanowiło naruszenie zasady prawdy obiektywnej.
Skarżący wskazał również, że organ nie dopatrzył się przekroczenia przez Bank 30-dniowego terminu przy realizacji obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy o ochronie danych osobowych oraz że nie ustosunkował się do kwestii zastosowania w niniejszej sprawie zasady wynikającej z art. 47 Konstytucji Rzeczypospolitej Polskiej. Zarzucił organowi również przewlekłość całego postępowania. W dalszej części skargi odniósł się do wadliwości decyzji Generalnego Inspektora Ochrony Danych Osobowych z [...] lutego 2012 r.
W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując argumentację zawartą w uzasadnieniu zaskarżonej decyzji.
Pismem z [...] lipca 2013 r. skarżący rozszerzył zakres swojej skargi w ten sposób, że zakresem zaskarżenia objął również decyzję I instancji.
Ponadto zarzucił naruszenie art. 7, 8, 75 §1, 77 §1 oraz 78 §1 K.p.a. poprzez bezzasadne odmówienie przeprowadzenia zgłoszonych dowodów w postaci:
- 1) wykonania badań fonoskopijnych zarejestrowanych rozmów telefonicznych z D. T. oraz 2) przesłuchania świadków w osobach: K. i E. małżonków U. na okoliczność ujawnienia przez pracownika Kancelarii [...] danych osobowych skarżącego osobom do tego nieupoważnionym.
Skarżący wniósł o uchylenie w całości decyzji II oraz poprzedzającej ją decyzji I i skierowanie sprawy do ponownego rozpatrzenia oraz o zasądzenie kosztów nieopłaconej pomocy prawnej.
W uzasadnieniu skarżący podniósł, że w trakcie niniejszego postępowania, Generalny Inspektor Ochrony Danych Osobowych uchylał się od przeprowadzenia zgłaszanych dowodów w postaci wykonania badań fonoskopijnych zarejestrowanych przez niego rozmów telefonicznych z D. T. oraz przesłuchania w charakterze świadków K. i E. małżonków U. na okoliczność ujawnienia jego danych osobowych skarżącego osobom do tego nieupoważnionym.
W konsekwencji skarżacy stwierdził, że ustalając stan faktyczny organ oparł się wyłącznie na pisemnych wyjaśnieniach składanych przez Bank [...] i Kancelarię [...] i jednocześnie stwierdził, iż wyjaśnień tych nie można uznać za wyczerpujące zebranie całego materiału dowodowego.
W związku z powyższym skarżący wskazał, iż Generalny Inspektor Ochrony Danych Osobowych dopuścił się rażącego naruszenia przepisów Kodeksu postępowania administracyjnego w zakresie sposobu prowadzenia postępowania dowodowego, które to uchybienia doprowadziły w rezultacie do błędnego ustalenia stanu faktycznego.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje
Sąd administracyjny wykonuje wymiar sprawiedliwości, poddając kontroli decyzje wydawane przez organy administracji publicznej pod względem ich zgodności z prawem badając czy właściwie zastosowano przepisy prawa materialnego i przestrzegano przepisów proceduralnych w postępowaniu administracyjnym. Tylko w przypadku stwierdzenia naruszenia prawa Sąd jest władny wzruszyć zaskarżoną decyzję. Jednak nie każde naruszenie prawa przez organ administracji publicznej daje Sądowi podstawę do uchylenia zaskarżonej decyzji art. 145 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270, dalej jako P.p.s.a.) określa sytuacje w jakich decyzje podlegają uchyleniu.
Dokonując oceny zasadności skargi P. U. na decyzję Generalnego Inspektora Ochrony Danych Osobowych, Sąd doszedł do przekonania, że skarga ta nie zasługuje na uwzględnienie.
W rozpoznawanej sprawie skarżący, wnioskiem z [...] stycznia 2011 r. zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych o podjęcie stosownych działań w przypadku stwierdzenia naruszenia przepisów ochrony danych osobowych zgodnie z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, nieudostępnianie danych osobowych, a także o usunięcie danych osobowych. Przedstawił również okoliczności mające świadczyć o naruszeniu przez Bank [...] i Kancelarię [...], jego danych osobowych.
Żądania określone w powyższym wniosku wyznaczyły przedmiot postępowania. Oznacza to, że postępowanie przed Generalnym Inspektorem Ochrony Danych Osobowych zostało zainicjowane na wniosek, o jakim mowa w art. 18 ust. 1 ustawy.
Zgodnie z tym przepisem w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności:
- 1. usunięcie uchybień,
- 2. uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnianie danych osobowych,
- 3. zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe,
- 4. wstrzymanie przekazywania danych osobowych do państwa trzeciego,
- 5. zabezpieczenie danych lub przekazanie ich innym podmiotom,
- 6. usunięcie danych osobowych.
Treścią decyzji wydanej na podstawie cytowanego przepisu powinien być nakaz przywrócenia stanu zgodnego z prawem, który może dotyczyć konkretnego (określonego w pkt 1-6) działania lub zaniechania. Generalny Inspektor powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatne do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą. Stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Zakamycze 2004).
W literaturze przedmiotu podkreśla się też, że biorąc pod uwagę systematykę przepisu przyjąć należy, ze mamy w nim do czynienia ze stopniowaniem sankcji administracyjnych (w zależności od rodzaju uchybienia), a Generalny Inspektor powinien stosować konkretnie nakazy z uwzględnieniem charakteru stwierdzonego naruszenia. Pośrednio wynika to również z samego celu nakazu, którym jest przywrócenie stanu zgodnego z prawem ochrony danych osobowych, bez niepotrzebnego nakładania zbędnych obowiązków na administratora danych (por. G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Dom Wydawniczy ABC, Warszawa 2003, s. 153).
Stosownie do art. 22 ustawy postępowanie w sprawach uregulowanych w niniejszej ustawie prowadzi się według przepisów Kodeksu postępowania administracyjnego, o ile przepisy ustawy nie stanowią inaczej.
Jako, że ustawa nie reguluje kwestii postępowania dowodowego i powinności organu związanych z czynieniem ustaleń faktycznych, zastosowanie w tym zakresie znajdują reguły i zasady określone w Kodeksie postępowania administracyjnego.
Zgadnie z art. 7 i 77 § 1 K.p.a. obowiązek przeprowadzenia postępowania dowodowego, co do wszystkich istotnych okoliczności, spoczywa na organie i nie może być przerzucany na stronę. Zakres niezbędnych ustaleń, a co się z tym wiąże także zakres postępowania dowodowego, wynika z normy prawnej, która powinna być w sprawie zastosowana. Kierując się normą prawa materialnego organ ocenia zatem jakie fakty mają istotne znaczenie dla sprawy, czy wymagają one udowodnienia i jakie dowody dla ich udowodnienia są potrzebne. Dowody muszą mieć znaczenie prawotwórcze na tle obowiązującego stanu prawnego. Inaczej mówiąc ustalenie stanu faktycznego w sprawie zawsze jest zagadnieniem kardynalnym, lecz pod warunkiem, że zmierza do poznania okoliczności mogących mieć znaczenie z punktu widzenia podstawy materialno-prawnej sprawy. Tylko w tym wymiarze ustalenie stanu faktycznego wyprzedza stosowanie prawa materialnego.
W ocenie Sądu w przedmiotowej sprawie organ ustalił stan faktyczny istniejący w dacie wydania decyzji w zakresie istotnym z punktu widzenia treści art. 18 ust. 1 ustawy, tj. rodzaju nakazów jakie w sprawie mogą być wydane przez organ.
Generalnego Inspektor ustalił, że Kancelaria [...] uzyskała dane osobowe skarżącego z Banku [...] na podstawie umowy o świadczenie usług windykacyjnych z [...] grudnia 2005 r. Kancelaria świadczyła na rzecz Banku czynności windykacyjne w stosunku do skarżącego w okresie od [...] czerwca 2010 r. do [...] września 2010 r. Po tej dacie, zgodnie z postanowieniami umowy, dane skarżącego, w związku z zakończeniem usług windykacyjnych na rzecz Banku w odniesieniu do skarżącego zostały trwale usunięte z bazy danych Kancelarii, co oznacza, że Kancelaria w dacie wydania decyzji nie posiadała danych osobowych skarżącego. Dane osobowe skarżącego są natomiast przetwarzane przez Bank w związku z udzielonymi mu pożyczkami, które nie zostały spłacone w terminie.
Powyższe okoliczności faktycznie nie są kwestionowane przez skarżącego w szczególności nie kwestionuje on zasadności przetwarzania danych osobowych przez Kancelarię z tytułu powstania z jego strony zobowiązania wobec Banku, jak również legalności przetwarzania jego danych przez Bank [...], którego jest dłużnikiem. Jak zasadnie wskazał organ przetwarzanie danych znajduje oparcie w treści art. 23 ust. 1 pkt 2 i 5 ustawy.
Niesporne jest także, iż okoliczności te nie mogły stanowić podstawy do wydania przez Generalnego Inspektora nakazów przywrócenia stanu zgodnego z prawem, skoro naruszenie prawa w omówionym obszarze nie występowało.
Okolicznością sporną są natomiast kwestie udostępnienia danych osobowych skarżącego osobom nieuprawnionym przez D. T., pracownicę Kancelarii [...]. Organ stwierdził, że brak jest dowodów jednoznacznie potwierdzających, iż D. T. udostępniła dane osobowe skarżącego, czym – w ocenie skarżącego – dopuściła się naruszenia zarówno tajemnicy bankowej, jak również przepisów o ochronie danych osobowych. Jednocześnie organ nie przeprowadził na potwierdzenie powyższych okoliczności dowodów zawnioskowanych przez skarżącego. Zasadniczo takie postępowanie organu należałoby zakwalifikować jako naruszające art. 7 i 77 § 1 K.p.a., jak również przepisy Kodeksu postępowania administracyjnego odnoszące się do postępowania dowodowego. Przepisy kodeksu nie definiują pojęcia środka dowodowego. W doktrynie przyjmuje się natomiast, że przez pojęcie środka dowodowego w postępowaniu administracyjnym należy rozumieć wszelkie źródła prawdziwych informacji umożliwiających dowodzenie.
Zgodnie bowiem z art. 75 § 1 K.p.a. jako dowód w sprawie należy dopuścić wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem. Cytowany przepis jedynie wymienia przykładowe środki dowodowe, którymi mogą być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Przyjęte w przepisie art. 75 § 1 K.p.a. sformułowanie "w szczególności" oznacza, że nie jest to zamknięte wyliczenie środków dowodowych dopuszczalnych w postępowaniu administracjynym, a wyliczenie przykładowe. Dopuszczalne są zatem w postępowaniu administracyjnym środki dowodowe nienazwane, jeżeli mogą przyczynić się do wyrycia prawdy obiektywnej, a nie są sprzeczne z prawem. Jako nieprawidłowe zatem – co do zasady – należy uznać stanowisko organu, że fakt, dla którego skarżący wnioskował o przesłuchanie świadków K. U. i E. U., nie wymaga dodatkowego udowodnienia. Świadkowie zgłoszeni przez skarżącego, zgodnie z jego wnioskiem, mieli zeznawać dla potwierdzenia jego wersji zdarzeń, która to wersja nie została przyjęta przez organ.
Nie wynika również z akt sprawy, aby organ dopuścił dowód z przedłożonych przez skarżącego nagrań rozmów telefonicznych. W decyzji organ wskazał, że nagranie jest niewyraźne. Brak jednak jakiegokolwiek protokołu z odsłuchania nagrań, co pozwoliłoby zweryfikować Sądowi twierdzenie organu.
Powyższe niewątpliwe nieprawidłowości postępowania dowodowego nie mają jednak istotnego znaczenia w rozpoznawanej sprawie, pozostają bez wpływu na prawidłowość wydanego rozstrzygnięcia. Jak zostało zaznaczone na wstępie organ obowiązany jest gromadzić dowody mające znaczenie prawotwórcze na tle obowiązującego stanu prawnego. Organ ustalił zatem, że dane osobowe skarżącego nie są już przetwarzane przez Kancelarię Prawną, co w konsekwencji oznacza i skarżący tego nie podważa, że nie są przetwarzane przez D. T., która aktualnie pracownikiem Kancelarii nie jest. Stwierdzenie, czy D. T. w 2010 r. ujawniła dane osobowe skarżącego osobom nieuprawnionym, nie mogło skutkować ze strony organu wydaniem jakiegokolwiek nakazu przewidzianego w art. 18 ust. 1 ustawy. Nie zachodziła bowiem potrzeba nakazania przywrócenia stanu zgodnego z prawem, skoro na datę orzekania przez organ, ewentualne nieprawidłowości już nie występowały.
Inaczej mówiąc, nawet gdyby organ ustalił, że D. T., działająca w imieniu Kancelarii [...], dopuściła się naruszeń przy przetwarzaniu danych osobowych skarżącego, ale stan naruszeń ustał, a nadto Kancelaria nie jest już w posiadaniu danych osobowych skarżącego, to przepisy ustawy o ochronie danych osobowych nie przewidują takiego rodzaju decyzji, która odnosiłaby się do tak zaistniałych naruszeń.
W świetle ustawy o ochronie danych osobowych naruszenie jej przepisów staje się źródłem odpowiedzialności administracyjnej, prowadzącej w istocie jedynie do obowiązku przywrócenia stanu zgodnego z prawem (art. 18 ustawy) oraz odpowiedzialności karnej (art. 19 i 49-54 ustawy). Przy czym jeżeli chodzi o odpowiedzialność karną, to zwrócić należy uwagę, że w orzecznictwie utrwalony jest pogląd, iż kierowanie zawiadomień o popełnieniu przestępstwa do organów ścigania należy do autonomicznych, samodzielnych kompetencji Generalnego Inspektora Ochrony Danych Osobowych, realizowanych przez niego z urzędu, a nie na wniosek osób zainteresowanych.
Odnosząc się do dyspozycji przepisu art. 19 ustawy Naczelny Sąd Administracyjny w wyroku z 19 listopada 2001 r., II SA 2702/00 (publ. Lex nr 78796) stwierdził, że obowiązek wynikający z tego przepisu nie mieści się w sferze decyzyjnych, merytorycznych rozstrzygnięć GIODO, dotyczących nakazania przywrócenia stanu zgodnego z prawem. Osoba dochodząca ochrony swych praw w trybie ustawy o ochronie danych osobowych nie jest przy tym podmiotem postępowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych i nie może się tego domagać od GIODO w administracyjnych formach tego postępowania. Przepis art. 19 ustawy nie daje bowiem stronie roszczenia w tym względzie. Wykonanie obowiązku, o którym mowa w tym przepisie, obciąża wyłącznie GIODO. Decyzja o zawiadomieniu nie nosi jednak cech decyzji administracyjnej, o jakiej mowa w art. 104 i nast. K.p.a.
Naruszenie przepisów ustawy o ochronie danych osobowych nie jest natomiast samodzielną podstawą odpowiedzialności cywilnej. Nie oznacza to, aby naruszający był zwolniony z odpowiedzialności na zasadach ogólnych, związanej z popełnieniem czynu niedozwolonego czy naruszenia dobra osobistego; w tym zakresie naruszenie wymogów przewidzianych ustawą o ochronie danych osobowych stanowić będzie podstawę dla stwierdzenia bezprawności działania (tak J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Zakamycze 2004).
W rozpoznawanej sprawie organ wskazał skarżącemu na przysługującą mu ochronę na gruncie przepisów prawa cywilnego.
Nie zasługuje również na uznanie zarzut naruszenia art. 33 ust. 1 ustawy poprzez przekroczenie 30 dniowego terminu przewidzianego na udostępnienie informacji, o których mowa w art. 32 ust. 1 pkt 1-5a ustawy. Skarżący nie kwestionuje, że Bank [...] zrealizował obowiązek informacyjny określony w art. 33 ust. 1 ustawy. A skoro tak, to nawet przy stwierdzeniu, że co do części informacji nastąpiło to z przekroczeniem terminu określonego w ww. przepisie, organ nie miał możliwości zastosowania żadnych nakazów czy sankcji, gdyż ustawa o ochronie danych osobowych ich nie przewiduje.
Również zarzut wydania zaskarżonej decyzji z przekroczeniem terminu przewidzianego w art. 35 § 3 k.p.a. nie mógł skutkować jej uchyleniu, albowiem naruszenie prawa tego rodzaju pozostaje bez wpływu na wynik sprawy.
Mając wszystkie powyższe względy na uwadze Sąd uznał, że zarzuty skargi nie mogły doprowadzić do uchylenia zaskarżonej decyzji i dlatego też w oparciu o art. 151 P.p.s.a skargę oddalił.
O kosztach nieopłaconej pomocy prawnej udzielonej skarżącemu z urzędu Sąd orzekł na mocy art. 250 P.p.s.a. oraz § 19, 20 w zw. z § 18 ust. 1 pkt 1 lit. "c" rozporządzenia Ministra Sprawiedliwości z dnia 28 września 2002 r. w sprawie opłat za czynności adwokacie oraz ponoszenie przez Skarb Państwa kosztów nieopłaconej pomocy prawnej udzielonej z urzędu (Dz. U. Nr 163, poz. 1348).