Skład sądu

Izabella Kulig-Maciszewska (przewodniczący)

Janina Antosiewicz (sprawozdawca)

Zygmunt Zgierski

Sentencja

Naczelny Sąd Administracyjny po rozpoznaniu w dniu 21 kwietnia 2006 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej L. Sp. z o.o. z siedzibą w (...) od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 09 lutego 2005 r. sygn. akt II SA/WA 1340/04 w sprawie ze skargi L. Sp. z o.o. z siedzibą w (...) na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia (...) nr (...) w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Uzasadnienie

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 09 lutego 2005 r. sygn. akt II SA/WA 1340/04 oddalił skargę L. Sp. z o.o. z siedzibą w (...) na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia (...) nr (...) w przedmiocie przetwarzania danych osobowych.

 Z uzasadnienia wyroku wynika, iż decyzją z dnia (...) Generalny Inspektor Ochrony Danych Osobowych nakazał Spółce z o.o. L. usunięcie uchybień w procesie przetwarzania danych m.in. przez dopełnienie obowiązku zgłoszenia do rejestracji zbioru danych osobowych klientów oraz podjęcie czterech innych czynności dostosowawczych w systemie informatycznym.

Rozpoznając sprawę ponownie wskutek wniosku strony organ uchylił decyzję i umorzył postępowanie w zakresie nałożonych czterech obowiązków na administratora danych, utrzymał natomiast w mocy w zakresie obowiązku zgłoszenia danych osobowych do rejestracji.

Uzasadniając decyzję Generalny Inspektor powołał się na definicję z art. 7 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. Nr 133, poz. 883 ze zm.) zwanej dalej OchronaDanychU, zgodnie z którą zbiorem danych jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Stosownie do art. 43 ust. 1 pkt 8 tej ustawy z obowiązku rejestracji zbioru danych osobowych zwolnieni są administratorzy danych przetworzonych wyłącznie w celu wskazanym w tym przepisie. Organ podzielił zasadność twierdzeń strony, że przetwarza dane finansowo-księgowe zgodnie z wymaganiami przepisów o rachunkowości i podatkowymi.

Co do ewidencjonowania rozpatrzonych reklamacji organ przyjął, że nie jest to zasadniczy cel przetwarzania danych. Jednakże ze względu na możliwość wykorzystania danych osobowych w związku z dochodzeniem roszczeń, rozpatrywaniem reklamacji, przysługujących z tytułu gwarancji poprzez ewidencjonowanie wypłaconego odszkodowania lub obniżenia ceny towaru, wskutek uznania roszczeń reklamacyjnych, cel w którym te dane są przetwarzane jest szerszy od wskazanego w art. 43 ust. 1 pkt 8 OchronaDanychU. Generalny Inspektor uznał więc, że dane te tworzą zbiór danych osobowych w rozumieniu art. 7 pkt 1 ustawy o ochronie danych osobowych, natomiast uznał za zasadne wyjaśnienie spółki, że dane klientów nie są przetwarzane w celach marketingowych.

W skardze na powyższą decyzję L. zarzuciła błędną wykładnię art. 43 ust. 1 pkt 8 ustawy o ochronie danych osobowych w zw. z art. 4 ustawy z dnia 29 września 1994 r. o rachunkowości przez przyjęcie istnienia obowiązku zgłoszenia do rejestracji zbioru danych zawartych w prowadzonym w systemie komputerowym programie finansowo-księgowym (...) w oparciu o ustalenie, że prowadzenie ewidencji księgowej odzwierciedlającej operacje gospodarcze, wynikające z uznania reklamacji stanowi wykorzystanie danych osobowych do innych celów niż wystawienie rachunku, faktury lub prowadzenia sprawozdawczości finansowej, a także błędne ustalenie stanu faktycznego sprawy i naruszenie art. 18 OchronaDanychU. Spółka powołując się na art. 4 ust. 1 i 2 ustawy o rachunkowości wywodziła, iż stosuje określone ustawą zasady rachunkowości, rzetelnie i jasno przedstawiając sytuację majątkową i finansową oraz wynik finansowy. Zdarzenia, w tym operacje gospodarcze, ujmuje się w księgach rachunkowych i wykazuje w sprawozdaniu finansowym zgodnie z ich treścią ekonomiczną. Do takich zdarzeń należy obniżenie ceny towaru w wyniku reklamacji czy wypłata odszkodowania. Każdy podmiot zobowiązany jest do prowadzenia ksiąg rachunkowych, zobowiązany jest do wystawienia dokumentu księgowego i zaewidencjonowania operacji. Interpretacja art. 43 ust. 1 pkt 8 OchronaDanychU w zw. z art. 4 ustawy o rachunkowości jest błędna, bowiem skutki uznanej reklamacji da się wycenić w wartościach ekonomicznych, a do takich należy wypłata odszkodowania lub obniżenie ceny. Zaewidencjonowanie takich operacji wymaga wystawienia dokumentów księgowych, którymi mogą być rachunki lub faktury, a w przypadku uznania reklamacji, ich korekty lub inne dowody zewnętrzne. Za dowolne strona uważa przyjęcie przez organ, że fakt odzwierciedlenia skutków uznanych reklamacji w księgach rachunkowych prowadzonych przez Spółkę w systemie (...), którego dotyczy nakaz rejestracji jako zbioru danych klientów, jest wykorzystaniem danych do innych celów niż wymienione w art. 43 ust. 1 pkt 8 OchronaDanychU. Zdaniem strony nie dane zawarte w systemie są wykorzystywane dla rozpatrzenia reklamacji, ale dane z reklamacji podlegają odzwierciedleniu w księgach rachunkowych. Dokonana przez organ interpretacja prowadzi do wniosku, iż wszystkie podmioty gospodarcze prowadzące księgi rachunkowe w systemach informatycznych i dokonujące transakcji z osobami fizycznymi zobowiązane są do zgłoszenia Generalnemu Inspektorowi Ochrony Danych Osobowych zbiorów księgowych, bowiem niewątpliwie wykorzystują dane osobowe zawarte w systemach księgowych w celu egzekucji roszczeń. Czyniłoby to przepis art. 43 ust. 1 pkt 8 bezprzedmiotowym.

W odpowiedzi na skargę organ wniósł o jej oddalenie, bowiem nie można utożsamiać przetwarzania danych w celu prowadzenia sprawozdawczości finansowej z celem reklamacyjnym. Są to dwa odrębne zdarzenia gospodarcze chociaż są powiązane z sobą.

Pierwszy wynika z przepisów o rachunkowości, natomiast instytucje rękojmi za wady i gwarancji zostały uregulowane w KC. Dane przetwarzane w celach reklamacyjnych nie są przetwarzane wyłącznie w celu wystawienia rachunku lub prowadzenia sprawozdawczości, a zatem administrator nie jest zwolniony z obowiązku rejestracji zbioru danych.

Oddalając skargę Wojewódzki Sąd Administracyjny podzielił pogląd organu przedstawiony w zaskarżonej decyzji. Sąd przytoczył treść art. 40 OchronaDanychU, w myśl którego administrator danych jest obowiązany zgłosić zbiór danych do rejestracji z wyjątkiem przypadków, o których mowa w art. 43 ust. 1. Zgodnie z pkt 8 tego przepisu z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych przetwarzanych wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej. W myśl art. 6 ust. 1 ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, zaś przez zbiór danych rozumie się każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego czy zestaw ten jest rozproszony, czy podzielony funkcjonalnie (art. 7 ust. 1 pkt 1).

Za bezsporne uznał Sąd, że Spółka dokonuje w systemie informatycznym (...) zewidencjonowania w księgach finansowych zdarzeń gospodarczych takich jak obniżenie ceny towaru w wyniku reklamacji czy wypłaty odszkodowania. Zdarzenia te są następnie podstawą do sporządzenia sprawozdań finansowych. Obowiązek prowadzenia rzetelnej księgowości wynika z art. 4 ust. 3 ustawy o rachunkowości.

Za trafny uznał Sąd pogląd organu, że nie można utożsamiać przetwarzania danych osobowych w celu wystawienia faktury, rachunku lub sprawozdawczości finansowej z celami reklamacyjnymi. Są to dwa odrębne zdarzenia gospodarcze jedynie powiązane ze sobą. Rozpatrzenie reklamacji obejmuje przetworzenie danych klientów i nie sprowadza się w przypadku jej uznania jedynie do wystawienia faktury, rachunku lub umieszczenia danych z tego wynikających w sprawozdawczości finansowej. Dlatego też nie ma znaczenia zarzut skarżącej, że to nie dane zawarte w systemie są wykorzystywane dla rozpatrzenia reklamacji, lecz dane z reklamacji podlegają odzwierciedleniu w księgach rachunkowych w prowadzonym systemie komputerowym zbioru danych. Nie można wykluczyć dalszego wykorzystywania tych danych do dochodzenia roszczeń Spółki w postępowaniu sądowym zarówno przez klientów jak i spółkę, bądź też mogą pojawić się kwestie związane z egzekucją wierzytelności z postępowania reklamacyjnego.

Sąd przyznaje, iż decyzja nie może być oparta na przypuszczeniach, jednakże strona sama przyznaje, że podmioty gospodarcze prowadzące księgi rachunkowe napotykają konieczność przymusowego egzekwowania swoich należności. Przetwarzanie danych osobowych obejmuje jakiekolwiek operacje wykonywane na danych osobowych (art. 7 ust. 1 pkt 2). Strona na rozprawie przyznała, iż przyjęcie zgłoszenia reklamowanego towaru odbywa się wprawdzie na podstawie karty gwarancyjnej, jednakże przyjęcie do rozpatrzenia tej reklamacji związane jest z pobraniem danych osobowych tego klienta. Tak więc przy rozpatrywaniu reklamacji dochodzi do przetwarzania danych osobowych i dane te nie są przetwarzane wyłącznie w celu wystawienia rachunku, faktury, czy też prowadzenia sprawozdawczości finansowej. Tworzą one zbiór danych w rozumieniu art. 7 pkt 1 OchronaDanychU i powinny być zgłoszone do rejestracji.

Odpierając zarzuty skargi Sąd podzielił pogląd organu, iż ustawa ma za zadanie chronić prawa osób, których dane są przetwarzane. O celach i środkach przetwarzania danych decyduje administrator w zakresie i trybie określonym ustawą. Dlatego też administrator decydując się na przetwarzanie danych w celu egzekucji roszczeń i nie może powoływać się na art. 43 ust. 1 pkt 8 OchronaDanychU jako zwalniający go z obowiązku rejestracji zbiorów tych danych.

Skargę kasacyjną od powyższego wyroku wniosła L. Sp. z o.o. z siedzibą w (...) reprezentowana przez radcę prawnego R.U. i zarzuciła naruszenie art. 145 § 1 ust. 1 pkt a i c ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi przez:

 1) naruszenie art. 18 ust. 1 OchronaDanychU przez błędną jego wykładnię,

 2) naruszenie art. 43 ust. 1 pkt 8 tej ustawy w zw. z art. 4 i art. 20 ustawy o rachunkowości przez błędną wykładnię i niewłaściwe zastosowanie,

 3) naruszenie art. 113 i art. 133 ustawy - Prawo o postępowaniu przed sądami administracyjnymi.

Uzasadniając postawione zarzuty strona podniosła, iż z naruszeniem art. 145 ust. 1 pkt a ustawy - Prawo o postępowaniu przed sądami administracyjnymi Sąd przyjął, iż samo prawdopodobieństwo wykorzystania danych osobowych, sprzecznie z celem dla którego są gromadzone, stwarza dla organu podstawę do zastosowania art. 18 ust. 1 OchronaDanychU. Tymczasem przepis ten uprawnia do wydania decyzji w formie zakazów lub zakazów działania wyłącznie w celu usunięcia stwierdzonych naruszeń. Sama możliwość dokonania naruszeń nie wyczerpuje treści zawartego w art. 18 ust. 1 upoważnienia do działań w formie władczej. Uprawnienie do takiego działania zawsze musi mieć umocowanie ustawowe, a przepisy nie mogą być wykładane rozszerzająco. Sąd błędnie przyjął z naruszeniem wyżej wskazanych przepisów, że dane zawarte w kartach gwarancyjnych tworzą u skarżącej zbiór danych osobowych, gdyż do takich ustaleń brak jest jakichkolwiek podstaw i dowodów. Ustalenie to narusza art. 113 i art. 133 § 1 ustawy PostAdmU. Sprawa nie została bowiem dostatecznie wyjaśniona do przyjęcia takiego ustalenia. Błędnie Sąd przyjął także, że dane zawarte w programie (...) są wykorzystywane do celów reklamacyjnych i są to inne cele niż wystawienie rachunku, faktury czy sprawozdawczość finansowa. Stanowi to zarówno naruszenie art. 113 powołanej ustawy z uwagi na brak ustaleń w aktach dot. sposobu wykorzystywania danych z systemem do tych celów, a nadto narusza art. 43 ust. 1 pkt 8 OchronaDanychU w zw. z art. 2 i art. 20 ustawy o rachunkowości.

Z faktu odzwierciedlania w księgach wyników uznanych reklamacji, a zatem skutków zgłoszonych roszczeń reklamacyjnych, uznanych przez skarżącą za uzasadnione, nie można wyciągać wniosku jakoby celem przetwarzania danych był inny cel niż wskazany w art. 43 ust. 1 pkt 8 ustawy o ochronie danych osobowych. Zgłoszenie przez klienta reklamacji to zdarzenie nakładające na otrzymującego reklamacje obowiązek jej rozpatrzenia w trybie i na zasadach regulowanych odrębnymi przepisami prawa. Jedynie uznanie reklamacji może skutkować i faktycznie czasami skutkuje przetwarzaniem danych przez skarżącą zawartych w systemie finansowo-księgowym (...), stanowiąc odzwierciedlenie w tym systemie (jako systemie, przy użyciu którego skarżący wystawia dokumenty księgowe i prowadzi sprawozdawczość finansową) wypłaconych odszkodowań, obniżenia cen, czy zwrotu całej ceny.

Dane zawarte w systemie (...) są zatem wykorzystane wyłącznie w zakresie odzwierciedlenia skutku, tj. pewnego zdarzenia gospodarczego jakim jest zgłoszenie zasadnej reklamacji i zrekompensowania reklamującemu wadliwości i szkód poniesionych wskutek wadliwości towaru. Reklamacje nie uzasadnione, choćby były złożone, pozostają poza systemem (...). Jest przy tym oczywiste, że w wyniku obowiązku księgowego odzwierciedlenia obniżki ceny skarżący (i każdy inny podmiot prawa stosujący pełną księgowość) przetwarza dane osobowe osoby fizycznej, której cenę w wyniku reklamacji obniżył. Przetwarzanie to jednak jest wyłącznie konsekwencją uznanej reklamacji. Dane te są wówczas przetwarzane wyłącznie dlatego, że taki nakaz płynie z obowiązku sprawozdawczego i dokumentacyjnego przewidzianego m.in. art. 4 ustawy o rachunkowości, a dalej bardziej szczegółowo m.in. w art. 20 tej ustawy. Skarżący nie wykorzystuje zatem tych danych dla celów reklamacyjnych innych aniżeli dla płynącego z ustawy o rachunkowości obowiązku sporządzenia sprawozdań finansowych zgodnie z zasadami rachunkowości i w oparciu o sporządzone zgodnie z tą ustawą dowody księgowe. Odzwierciedlenie w księgach finansowo-księgowych, które skarżąca prowadzi w programie (...), skutków uznanych reklamacji jako jednego ze zdarzeń gospodarczych i w konsekwencji przetwarzanie w związku ze złożonymi reklamacjami danych osobowych nie wykracza zatem poza zwolnienie z obowiązku rejestracji zawarte w art. 43 ust. 1 pkt 8. Celem tego przetwarzania, choćby umownie nazwać go celem reklamacyjnym czy gwarancyjnym, nie jest nic innego, niż wystawienie stosownego dokumentu księgowego (faktury korygującej, czy rachunku) i dalej rzetelna sprawozdawczość finansowa.

Zaskarżony wyrok został więc wydany z naruszeniem art. 145 § 1 pkt 1 lit. c wobec oddalenia skargi mimo naruszenia przez organ przy wydawaniu decyzji przepisów prawa. Skarżąca domaga się uchylenia wyroku i przekazania sprawy do ponownego rozpoznania lub wydania orzeczenia i zasądzenia kosztów postępowania.

Generalny Inspektor Ochrony Danych Osobowych wniósł o oddalenie skargi kasacyjnej opowiadając się za argumentacją Sądu I instancji i wyrażonym wcześniej stanowiskiem w decyzji.

Naczelny Sąd Administracyjny zważył, co następuje:

Skarga kasacyjna nie zawiera usprawiedliwionych podstaw. Oceniając zasadność zarzutów naruszenia przepisów postępowania Naczelny Sąd Administracyjny stwierdził, iż w postępowaniu przed Sądem I instancji nie został naruszony przepis art. 113 PostAdmU. Przepis ten w § 1 stanowi o uprawnieniu przewodniczącego do zamknięcia rozprawy, gdy sąd uznał sprawę za dostatecznie wyjaśnioną. Wobec nie zgłoszenia przez stronę żadnych wniosków dowodowych zarzut ten nie może być uznany za trafny, a § 2 tego przepisu nie miał w tej sprawie zastosowania. Wskazany jako naruszony przepis art. 133 § 1 ustawy PostAdmU stanowi, że Sąd wydaje wyrok po zamknięciu rozprawy na podstawie akt sprawy. Z uzasadnienia tego zarzutu wynika, iż skarżący naruszenie tego przepisu uparuje w braku podstaw do ustaleń, że dane zawarte w kartach gwarancyjnych tworzą u skarżącej Spółki zbiór danych osobowych, podlegający rejestracji.

Zarówno uzasadnienie wyroku jak i materiał dowodowy, do którego Sąd odnosi się wskazuje, iż sprawa została w sposób dostateczny wyjaśniona, a materiał dowodowy zebrany w postępowaniu administracyjnym nie wymagał uzupełnienia i został prawidłowo oceniony przez Sąd. Zauważyć przy tym należy, iż podnosząc te zarzuty wbrew wymogom z art. 174 pkt 2 ustawy PostAdmU skarga kasacyjna nie wykazuje, iż mogły mieć one istotny wpływ na wynik sprawy.

Odnosząc się do zarzutów naruszenia przepisów prawa materialnego Naczelny Sąd Administracyjny uznał je za chybione.

W art. 2 ust. 1 ustawy o ochronie danych osobowych stwierdzono, iż ustawa ta określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych. Ustawę tę stosuje się m.in. do przetwarzania danych osobowych w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych (art. 2 ust. 2 pkt 2 ustawy). Przez przetwarzanie danych w myśl art. 7 pkt 2 OchronaDanychU rozumie się jakiekolwiek operacje wykonywane na danych osobowych takie jak: zbieranie, utrwalanie, przekazywanie, opracowywanie, zmienianie udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.

Definiując w art. 7 pkt 1 zbiór danych ustawodawca określił, iż rozumie się pod tym pojęciem każdy, posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie.

Uwzględniając powyższe na tle ustaleń poczynionych przez organ zasadnie Wojewódzki Sąd Administracyjny przyjął, iż system informatyczny (...) stanowił zbiór danych osobowych i skarżąca Spółka przetwarzała dane osobowe klientów.

W art. 40 OchronaDanychU ustawodawca nałożył na administratora danych obowiązek zgłoszenia zbioru do rejestracji Generalnemu Inspektorowi Danych Osobowych. Z obowiązków tych zostali zwolnieni administratorzy danych w przypadkach określonych w art. 43 ust. 1. Wśród wymienionych tam zwolnień w pkt 8 znalazło się przetwarzanie danych wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej.

Materiał dowodowy w postaci ustaleń kontroli i wyjaśnień pracowników oraz twierdzeń strony w sposób nie budzący wątpliwości wskazuje, iż w Spółce rozpatrywano reklamacje, a w ich wyniku dochodziło do zdarzeń polegających na obniżeniu ceny. Dane te, chociaż pozyskiwane z kart gwarancyjnych, wprowadzane były do systemu informatycznego (...). Nie ulega więc wątpliwości, iż odpowiadało to ustawowej definicji przetwarzania danych osobowych. Cel reklamacyjny - jak słusznie uznał Sąd - nie mieści się w celach, o których stanowi art. 43 ust. 1 pkt 8 ustawy, a zatem skarżący miał obowiązek zgłoszenia zbioru do rejestracji.

Błędnie strona skarżąca upatruje naruszenia art. 18 ust. 1 ustawy twierdząc, iż w sprawie nie było podstaw do wydania nakazów, a sama możliwość dokonania naruszenia nie upoważnia organu do działania władczego.

Podstawę prawną do wydania nakazu w tej sprawie, oprócz art. 18 ust. 1 ustawy stanowił przepis art. 46 OchronaDanychU, nakazujący administratorowi danych zgłoszenie zbioru Generalnemu Inspektorowi przed rozpoczęciem przetwarzania danych, chyba że ustawa zwalnia go z tego obowiązku. Zgłoszenie zbioru nie jest uzależnione od pozytywnych efektów postępowania reklamacyjnego i nie jest trafna argumentacja skargi kasacyjnej, iż obojętne z punktu widzenia zdarzeń uzasadniających obowiązek rejestracji są reklamacje nieuwzględnione.

Wprowadzona regulacja prawna obowiązku zgłoszenia zbioru danych odnosi się do całego zbioru danych i wystarczy jednie sama możliwość przetwarzania danych w innym celu niż określony w art. 43 ust. 1, aby zgłoszenie zbioru danych musiało nastąpić. Zgodnie z art. 46 ust. 1 winno ono nastąpić przed rozpoczęciem przetwarzania danych, a nie po fakcie. Jeżeli więc w skarżącej Spółce przetwarzanie danych dla innych celów niż wystawianie faktury, rachunku lub prowadzenia sprawozdawczości finansowej miało miejsce, to wydanie nakazu zgłoszenia do rejestracji tych danych należy uznać za uzasadnione. Nie jest uprawnionym powoływanie się przez skarżącego na przepisy art. 4 i art. 20 ustawy o rachunkowości, bowiem odnoszą się one do zasad według których prowadzone są księgi rachunkowe, a zasady przetwarzania danych osobowych zostały odmiennie uregulowane w ustawie o ochronie danych osobowych.

Oddalając skargę L. Sp. z o.o. Wojewódzki Sąd Administracyjny nie naruszył ani prawa materialnego dokonując prawidłowej wykładni przepisów, ani też art. 145 § 1 pkt 1 lit. a i c ustawy PostAdmU.

 Z powyższych względów Naczelny Sąd Administracyjny oddalił skargę na podstawie art. 184 ustawy PostAdmU.