Naczelny Sąd Administracyjny w składzie następującym: Przewodniczący Sędzia NSA Izabella Kulig – Maciszewska, Sędziowie NSA Janina Antosiewicz (spr.), , Zygmunt Zgierski, Protokolant Iwona Sadownik, po rozpoznaniu w dniu 21 kwietnia 2006 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej „L.” Sp. z o.o. z siedzibą w […] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 9 lutego 2005 r. sygn. akt II SA/Wa 1340/04 w sprawie ze skargi „L.” Sp. z o.o. z siedzibą w […] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia […] nr […] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną
UZASADNIENIE
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 9 lutego 2005 r. sygn. akt II SA/Wa 1340/04 oddalił skargę L. Sp. z o.o. z siedzibą w […] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia […] nr […] w przedmiocie przetwarzania danych osobowych.
Z uzasadnienia wyroku wynika, iż decyzją z dnia […] Generalny Inspektor Ochrony Danych Osobowych nakazał Spółce z o.o. L. usunięcie uchybień w procesie przetwarzania danych m.in. przez dopełnienie obowiązku zgłoszenia do rejestracji zbioru danych osobowych klientów oraz podjęcie czterech innych czynności dostosowawczych w systemie informatycznym.
Rozpoznając sprawę ponownie wskutek wniosku strony organ uchylił decyzję i umorzył postępowanie w zakresie nałożonych czterech obowiązków na administratora danych, utrzymał natomiast w mocy w zakresie obowiązku zgłoszenia danych osobowych do rejestracji.
Uzasadniając decyzję Generalny Inspektor powołał się na definicję z art. 7 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 133, poz. 883 z późn. zm.) zwanej dalej uodo, zgodnie z którą zbiorem danych jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Stosownie do art. 43 ust. 1 pkt 8 tej ustawy z obowiązku rejestracji zbioru danych osobowych zwolnieni są administratorzy danych przetworzonych wyłącznie w celu wskazanym w tym przepisie. Organ podzielił zasadność twierdzeń strony, że przetwarza dane finansowo-księgowe zgodnie z wymaganiami przepisów o rachunkowości i podatkowymi.
Co do ewidencjonowania rozpatrzonych reklamacji organ przyjął, że nie jest to zasadniczy cel przetwarzania danych. Jednakże ze względu na możliwość wykorzystania danych osobowych w związku z dochodzeniem roszczeń, rozpatrywaniem reklamacji, przysługujących z tytułu gwarancji poprzez ewidencjonowanie wypłaconego odszkodowania lub obniżenia ceny towaru, wskutek uznania roszczeń reklamacyjnych, cel w którym te dane są przetwarzane jest szerszy od wskazanego w art. 43 ust. 1 pkt 8 uodo. Generalny Inspektor uznał więc, że dane te tworzą zbiór danych osobowych w rozumieniu art. 7 pkt 1 ustawy o ochronie danych osobowych, natomiast uznał za zasadne wyjaśnienie spółki, że dane klientów nie są przetwarzane w celach marketingowych.
W skardze na powyższą decyzję L. zarzuciła błędną wykładnię art. 43 ust. 1 pkt 8 ustawy o ochronie danych osobowych w zw. z art. 4 ustawy z dnia 29 września 1994 r. o rachunkowości przez przyjęcie istnienia obowiązku zgłoszenia do rejestracji zbioru danych zawartych w prowadzonym w systemie komputerowym programie finansowo-księgowym […] w oparciu o ustalenie, że prowadzenie ewidencji księgowej odzwierciedlającej operacje gospodarcze, wynikające z uznania reklamacji stanowi wykorzystanie danych osobowych do innych celów niż wystawienie rachunku, faktury lub prowadzenia sprawozdawczości finansowej, a także błędne ustalenie stanu faktycznego sprawy i naruszenie art. 18 uodo. Spółka powołując się na art. 4 ust. 1 i 2 ustawy o rachunkowości wywodziła, iż stosuje określone ustawą zasady rachunkowości, rzetelnie i jasno przedstawiając sytuację majątkową i finansową oraz wynik finansowy. Zdarzenia, w tym operacje gospodarcze, ujmuje się w księgach rachunkowych i wykazuje w sprawozdaniu finansowym zgodnie z ich treścią ekonomiczną. Do takich zdarzeń należy obniżenie ceny towaru w wyniku reklamacji czy wypłata odszkodowania. Każdy podmiot zobowiązany jest do prowadzenia ksiąg rachunkowych, zobowiązany jest do wystawienia dokumentu księgowego i zaewidencjonowania operacji. Interpretacja art. 43 ust. 1 pkt 8 uodo w zw. z art. 4 ustawy o rachunkowości jest błędna, bowiem skutki uznanej reklamacji da się wycenić w wartościach ekonomicznych, a do takich należy wypłata odszkodowania lub obniżenie ceny. Zaewidencjonowanie takich operacji wymaga wystawienia dokumentów księgowych, którymi mogą być rachunki lub faktury, a w przypadku uznania reklamacji, ich korekty lub inne dowody zewnętrzne. Za dowolne strona uważa przyjęcie przez organ, że fakt odzwierciedlenia skutków uznanych reklamacji w księgach rachunkowych prowadzonych przez Spółkę w systemie […], którego dotyczy nakaz rejestracji jako zbioru danych klientów, jest wykorzystaniem danych do innych celów niż wymienione w art. 43 ust. 1 pkt 8 uodo. Zdaniem strony nie dane zawarte w systemie są wykorzystywane dla rozpatrzenia reklamacji, ale dane z reklamacji podlegają odzwierciedleniu w księgach rachunkowych. Dokonana przez organ interpretacja prowadzi do wniosku, iż wszystkie podmioty gospodarcze prowadzące księgi rachunkowe w systemach informatycznych i dokonujące transakcji z osobami fizycznymi zobowiązane są do zgłoszenia Generalnemu Inspektorowi Ochrony Danych Osobowych zbiorów księgowych, bowiem niewątpliwie wykorzystują dane osobowe zawarte w systemach księgowych w celu egzekucji roszczeń. Czyniłoby to przepis art. 43 ust. 1 pkt 8 bezprzedmiotowym.
W odpowiedzi na skargę organ wniósł o jej oddalenie, bowiem nie można utożsamiać przetwarzania danych w celu prowadzenia sprawozdawczości finansowej z celem reklamacyjnym. Są to dwa odrębne zdarzenia gospodarcze chociaż są powiązane z sobą.
Pierwszy wynika z przepisów o rachunkowości, natomiast instytucje rękojmi za wady i gwarancji zostały uregulowane w Kc. Dane przetwarzane w celach reklamacyjnych nie są przetwarzane wyłącznie w celu wystawienia rachunku lub prowadzenia sprawozdawczości, a zatem administrator nie jest zwolniony z obowiązku rejestracji zbioru danych.
Oddalając skargę Wojewódzki Sąd Administracyjny podzielił pogląd organu przedstawiony w zaskarżonej decyzji. Sąd przytoczył treść art. 40 uodo, w myśl którego administrator danych jest obowiązany zgłosić zbiór danych do rejestracji z wyjątkiem przypadków, o których mowa w art. 43 ust. 1. Zgodnie z pkt 8 tego przepisu z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych przetwarzanych wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej. W myśl art. 6 ust. 1 ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, zaś przez zbiór danych rozumie się każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego czy zestaw ten jest rozproszony, czy podzielony funkcjonalnie (art. 7 ust. 1 pkt 1).
Za bezsporne uznał Sąd, że Spółka dokonuje w systemie informatycznym […] zewidencjonowania w księgach finansowych zdarzeń gospodarczych takich jak obniżenie ceny towaru w wyniku reklamacji czy wypłaty odszkodowania. Zdarzenia te są następnie podstawą do sporządzenia sprawozdań finansowych. Obowiązek prowadzenia rzetelnej księgowości wynika z art. 4 ust. 3 ustawy o rachunkowości.
Za trafny uznał Sąd pogląd organu, że nie można utożsamiać przetwarzania danych osobowych w celu wystawienia faktury, rachunku lub sprawozdawczości finansowej z celami reklamacyjnymi. Są to dwa odrębne zdarzenia gospodarcze jedynie powiązane ze sobą. Rozpatrzenie reklamacji obejmuje przetworzenie danych klientów i nie sprowadza się w przypadku jej uznania jedynie do wystawienia faktury, rachunku lub umieszczenia danych z tego wynikających w sprawozdawczości finansowej. Dlatego też nie ma znaczenia zarzut skarżącej, że to nie dane zawarte w systemie są wykorzystywane dla rozpatrzenia reklamacji, lecz dane z reklamacji podlegają odzwierciedleniu w księgach rachunkowych w prowadzonym systemie komputerowym zbioru danych. Nie można wykluczyć dalszego wykorzystywania tych danych do dochodzenia roszczeń Spółki w postępowaniu sądowym zarówno przez klientów jak i spółkę, bądź też mogą pojawić się kwestie związane z egzekucją wierzytelności z postępowania reklamacyjnego.
Sąd przyznaje, iż decyzja nie może być oparta na przypuszczeniach, jednakże strona sama przyznaje, że podmioty gospodarcze prowadzące księgi rachunkowe napotykają konieczność przymusowego egzekwowania swoich należności. Przetwarzanie danych osobowych obejmuje jakiekolwiek operacje wykonywane na danych osobowych (art. 7 ust. 1 pkt 2). Strona na rozprawie przyznała, iż przyjęcie zgłoszenia reklamowanego towaru odbywa się wprawdzie na podstawie karty gwarancyjnej, jednakże przyjęcie do rozpatrzenia tej reklamacji związane jest z pobraniem danych osobowych tego klienta. Tak więc przy rozpatrywaniu reklamacji dochodzi do przetwarzania danych osobowych i dane te nie są przetwarzane wyłącznie w celu wystawienia rachunku, faktury, czy też prowadzenia sprawozdawczości finansowej. Tworzą one zbiór danych w rozumieniu art. 7 pkt 1 uodo i powinny być zgłoszone do rejestracji.
Odpierając zarzuty skargi Sąd podzielił pogląd organu, iż ustawa ma za zadanie chronić prawa osób, których dane są przetwarzane. O celach i środkach przetwarzania danych decyduje administrator w zakresie i trybie określonym ustawą. Dlatego też administrator decydując się na przetwarzanie danych w celu egzekucji roszczeń i nie może powoływać się na art. 43 ust. 1 pkt 8 uodo jako zwalniający go z obowiązku rejestracji zbiorów tych danych.
Skargę kasacyjną od powyższego wyroku wniosła L. Sp. z o.o. z siedzibą w […] reprezentowana przez radcę prawnego R. U. i zarzuciła naruszenie art. 145 § 1 ust. 1 pkt a i c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi przez:
1) naruszenie art. 18 ust. 1 uodo przez błędną jego wykładnię,
2) naruszenie art. 43 ust. 1 pkt 8 tej ustawy w zw. z art. 4 i 20 ustawy o rachunkowości przez błędną wykładnię i niewłaściwe zastosowanie,
3) naruszenie art. 113 i 133 ustawy – Prawo o postępowaniu przed sądami administracyjnymi.
Uzasadniając postawione zarzuty strona podniosła, iż z naruszeniem art. 145 ust. 1 pkt a ustawy – Prawo o postępowaniu przed sądami administracyjnymi Sąd przyjął, iż samo prawdopodobieństwo wykorzystania danych osobowych, sprzecznie z celem dla którego są gromadzone, stwarza dla organu podstawę do zastosowania art. 18 ust. 1 uodo. Tymczasem przepis ten uprawnia do wydania decyzji w formie zakazów lub zakazów działania wyłącznie w celu usunięcia stwierdzonych naruszeń. Sama możliwość dokonania naruszeń nie wyczerpuje treści zawartego we art. 18 ust. 1 upoważnienia do działań w formie władczej. Uprawnienie do takiego działania zawsze musi mieć umocowanie ustawowe, a przepisy nie mogą być wykładane rozszerzająco. Sąd błędnie przyjął z naruszeniem wyżej wskazanych przepisów, że dane zawarte w kartach gwarancyjnych tworzą u skarżącej zbiór danych osobowych, gdyż do takich ustaleń brak jest jakichkolwiek podstaw i dowodów. Ustalenie to narusza art. 113 i 133 § 1 ustawy ppsa. Sprawa nie została bowiem dostatecznie wyjaśniona do przyjęcia takiego ustalenia. Błędnie Sąd przyjął także, że dane zawarte w programie […] są wykorzystywane do celów reklamacyjnych i są to inne cele niż wystawienie rachunku, faktury czy sprawozdawczość finansowa. Stanowi to zarówno naruszenie art. 113 powołanej ustawy z uwagi na brak ustaleń w aktach dot. sposobu wykorzystywania danych z systemem do tych celów, a nadto narusza art. 43 ust. 1 pkt 8 uodo w zw. z art. 2 i 20 ustawy o rachunkowości.
Z faktu odzwierciedlania w księgach wyników uznanych reklamacji, a zatem skutków zgłoszonych roszczeń reklamacyjnych, uznanych przez skarżącą za uzasadnione, nie można wyciągać wniosku jakoby celem przetwarzania danych był inny cel niż wskazany w art. 43 ust. 1 pkt 8 ustawy o ochronie danych osobowych. Zgłoszenie przez klienta reklamacji to zdarzenie nakładające na otrzymującego reklamacje obowiązek jej rozpatrzenia w trybie i na zasadach regulowanych odrębnymi przepisami prawa. Jedynie uznanie reklamacji może skutkować i faktycznie czasami skutkuje przetwarzaniem danych przez skarżącą zawartych w systemie finansowo-księgowym […], stanowiąc odzwierciedlenie w tym systemie (jako systemie, przy użyciu którego skarżący wystawia dokumenty księgowe i prowadzi sprawozdawczość finansową) wypłaconych odszkodowań, obniżenia cen, czy zwrotu całej ceny.
Dane zawarte w systemie […] są zatem wykorzystane wyłącznie w zakresie odzwierciedlenia skutku, tj. pewnego zdarzenia gospodarczego jakim jest zgłoszenie zasadnej reklamacji i zrekompensowania reklamującemu wadliwości i szkód poniesionych wskutek wadliwości towaru. Reklamacje nie uzasadnione, choćby były złożone, pozostają poza systemem […]. Jest przy tym oczywiste, że w wyniku obowiązku księgowego odzwierciedlenia obniżki ceny skarżący (i każdy inny podmiot prawa stosujący pełną księgowość) przetwarza dane osobowe osoby fizycznej, której cenę w wyniku reklamacji obniżył. Przetwarzanie to jednak jest wyłącznie konsekwencją uznanej reklamacji. Dane te są wówczas przetwarzane wyłącznie dlatego, że taki nakaz płynie z obowiązku sprawozdawczego i dokumentacyjnego przewidzianego m.in. art. 4 ustawy o rachunkowości, a dalej bardziej szczegółowo m.in. w art. 20 tej ustawy. Skarżący nie wykorzystuje zatem tych danych dla celów reklamacyjnych innych aniżeli dla płynącego z ustawy o rachunkowości obowiązku sporządzenia sprawozdań finansowych zgodnie z zasadami rachunkowości i w oparciu o sporządzone zgodnie z tą ustawą dowody księgowe. Odzwierciedlenie w księgach finansowo-księgowych , które skarżąca prowadzi w programie […], skutków uznanych reklamacji jako jednego ze zdarzeń gospodarczych i w konsekwencji przetwarzanie w związku ze złożonymi reklamacjami danych osobowych nie wykracza zatem poza zwolnienie z obowiązku rejestracji zawarte w art. 43 ust. 1 pkt 8. Celem tego przetwarzania, choćby umownie nazwać go celem reklamacyjnym czy gwarancyjnym, nie jest nic innego, niż wystawienie stosownego dokumentu księgowego (faktury korygującej, czy rachunku) i dalej rzetelna sprawozdawczość finansowa.
