Zaskarżony wyrok został więc wydany z naruszeniem art. 145 § 1 pkt. 1 lit. c wobec oddalenia skargi mimo naruszenia przez organ przy wydawaniu decyzji przepisów prawa. Skarżąca domaga się uchylenia wyroku i przekazania sprawy do ponownego rozpoznania lub wydania orzeczenia i zasądzenia kosztów postępowania.
Generalny Inspektor Ochrony Danych Osobowych wniósł o oddalenie skargi kasacyjnej opowiadając się za argumentacją Sądu I instancji i wyrażonym wcześniej stanowiskiem w decyzji.
Naczelny Sąd Administracyjny zważył, co następuje:
Skarga kasacyjna nie zawiera usprawiedliwionych podstaw. Oceniając zasadność zarzutów naruszenia przepisów postępowania Naczelny Sąd Administracyjny stwierdził, iż w postępowaniu przed Sądem I instancji nie został naruszony przepis art. 113 ppsa. Przepis ten w § 1 stanowi o uprawnieniu przewodniczącego do zamknięcia rozprawy, gdy sąd uznał sprawę za dostatecznie wyjaśnioną. Wobec nie zgłoszenia przez stronę żadnych wniosków dowodowych zarzut ten nie może być uznany za trafny, a § 2 tego przepisu nie miał w tej sprawie zastosowania. Wskazany jako naruszony przepis art. 133 § 1 ustawy ppsa stanowi, że Sąd wydaje wyrok po zamknięciu rozprawy na podstawie akt sprawy. Z uzasadnienia tego zarzutu wynika, iż skarżący naruszenie tego przepisu uparuje w braku podstaw do ustaleń, że dane zawarte w kartach gwarancyjnych tworzą u skarżącej Spółki zbiór danych osobowych, podlegający rejestracji.
Zarówno uzasadnienie wyroku jak i materiał dowodowy, do którego Sąd odnosi się wskazuje, iż sprawa została w sposób dostateczny wyjaśniona, a materiał dowodowy zebrany w postępowaniu administracyjnym nie wymagał uzupełnienia i został prawidłowo oceniony przez Sąd. Zauważyć przy tym należy, iż podnosząc te zarzuty wbrew wymogom z art. 174 pkt 2 ustawy ppsa skarga kasacyjna nie wykazuje, iż mogły mieć one istotny wpływ na wynik sprawy.
Odnosząc się do zarzutów naruszenia przepisów prawa materialnego Naczelny Sąd Administracyjny uznał je za chybione.
W art. 2 ust. 1 ustawy o ochronie danych osobowych stwierdzono, iż ustawa ta określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych. Ustawę tę stosuje się m.in. do przetwarzania danych osobowych w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych (art. 2 ust. 2 pkt 2 ustawy). Przez przetwarzanie danych w myśl art. 7 pkt 2 uodo rozumie się jakiekolwiek operacje wykonywane na danych osobowych takie jak: zbieranie, utrwalanie, przekazywanie, opracowywanie, zmienianie udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.
Definiując w art. 7 pkt 1 zbiór danych ustawodawca określił, iż rozumie się pod tym pojęciem każdy, posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie.
Uwzględniając powyższe na tle ustaleń poczynionych przez organ zasadnie Wojewódzki Sąd Administracyjny przyjął, iż system informatyczny […] stanowił zbiór danych osobowych i skarżąca Spółka przetwarzała dane osobowe klientów.
W art. 40 uodo ustawodawca nałożył na administratora danych obowiązek zgłoszenia zbioru do rejestracji Generalnemu Inspektorowi Danych Osobowych. Z obowiązków tych zostali zwolnieni administratorzy danych w przypadkach określonych w art. 43 ust. 1. Wśród wymienionych tam zwolnień w pkt 8 znalazło się przetwarzanie danych wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej.
Materiał dowodowy w postaci ustaleń kontroli i wyjaśnień pracowników oraz twierdzeń strony w sposób nie budzący wątpliwości wskazuje, iż w Spółce rozpatrywano reklamacje, a w ich wyniku dochodziło do zdarzeń polegających na obniżeniu ceny. Dane te, chociaż pozyskiwane z kart gwarancyjnych, wprowadzane były do systemu informatycznego […]. Nie ulega więc wątpliwości, iż odpowiadało to ustawowej definicji przetwarzania danych osobowych. Cel reklamacyjny – jak słusznie uznał Sąd – nie mieści się w celach, o których stanowi art. 43 ust. 1 pkt 8 ustawy, a zatem skarżący miał obowiązek zgłoszenia zbioru do rejestracji.
Błędnie strona skarżąca upatruje naruszenia art. 18 ust. 1 ustawy twierdząc, iż w sprawie nie było podstaw do wydania nakazów, a sama możliwość dokonania naruszenia nie upoważnia organu do działania władczego.
Podstawę prawną do wydania nakazu w tej sprawie, oprócz art. 18 ust. 1 ustawy stanowił przepis art. 46 uodo, nakazujący administratorowi danych zgłoszenie zbioru Generalnemu Inspektorowi przed rozpoczęciem przetwarzania danych, chyba że ustawa zwalnia go z tego obowiązku. Zgłoszenie zbioru nie jest uzależnione od pozytywnych efektów postępowania reklamacyjnego i nie jest trafna argumentacja skargi kasacyjnej, iż obojętne z punktu widzenia zdarzeń uzasadniających obowiązek rejestracji są reklamacje nieuwzględnione.
Wprowadzona regulacja prawna obowiązku zgłoszenia zbioru danych odnosi się do całego zbioru danych i wystarczy jednie sama możliwość przetwarzania danych w innym celu niż określony w art. 43 ust. 1, aby zgłoszenie zbioru danych musiało nastąpić. Zgodnie z art. 46 ust. 1 winno ono nastąpić przed rozpoczęciem przetwarzania danych, a nie po fakcie. Jeżeli więc w skarżącej Spółce przetwarzanie danych dla innych celów niż wystawianie faktury, rachunku lub prowadzenia sprawozdawczości finansowej miało miejsce, to wydanie nakazu zgłoszenia do rejestracji tych danych należy uznać za uzasadnione. Nie jest uprawnionym powoływanie się przez skarżącego na przepisy art. 4 i 20 ustawy o rachunkowości, bowiem odnoszą się one do zasad według których prowadzone są księgi rachunkowe, a zasady przetwarzania danych osobowych zostały odmiennie uregulowane w ustawie o ochronie danych osobowych.
Oddalając skargę L. Sp. z o.o. Wojewódzki Sąd Administracyjny nie naruszył ani prawa materialnego dokonując prawidłowej wykładni przepisów, ani też art. 145 § 1 pkt 1 lit. a i c ustawy ppsa.
Z powyższych względów Naczelny Sąd Administracyjny oddalił skargę na podstawie art. 184 ustawy ppsa.
Źródło: orzeczenia.nsa.gov.pl
