Naczelny Sąd Administracyjny w składzie:
| Przewodniczący |
Sędzia NSA Małgorzata Jaśkowska |
| Sprawozdawca | sędzia NSA Jerzy Krupiński |
| sędzia NSA Irena Kamińska |
|
| Protokolant |
Kamil Wertyński |
po rozpoznaniu w dniu 7 maja 2008r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej S. P. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 26 stycznia 2007 r. sygn. akt II SA/Wa 1256/06 w sprawie ze skargi S. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 11 maja 2006 r. nr GI-DEC-DS-151/06/455,456 w przedmiocie zabezpieczenia danych osobowych
oddala skargę kasacyjną
Wyrokiem z dnia 26 stycznia 2007 r., sygn. akt II SA/Wa 1256/06, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę S. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...], nr [...], utrzymującą w mocy decyzję własną z dnia [...], nr [...], odmawiającą uwzględnienia wniosku S. P. o wydanie decyzji w sprawie naruszenia jego danych osobowych, związanego z niewłaściwym ich zabezpieczeniem przez administratora - Przedsiębiorstwo [...] S. A. w D. G. Wyrok wydany został w następujących okolicznościach sprawy.
Skarżący pismem z dnia 3 października 2005 r. wystąpił do organu ochrony danych osobowych z żądaniem podjęcia stosownej decyzji w związku z niezabezpieczeniem przez jego pracodawcę dokumentów w postaci trzech egzemplarzy jego nowego zakresu czynności, doręczonych skarżącemu we wrześniu 2002 r.
Skarżący pozostawił te dokumenty w szufladzie swojego biurka, które nie było zamykane, a które znajdowało się w pomieszczeniu, do którego dostęp miała nieograniczona liczba osób. Skarżący zarzucił, iż w czasie trzech tygodni, w ciągu których dokumenty pozostawały niezabezpieczone, doszło do ich sfałszowania przez osobę trzecią, a konsekwencje tego w postaci zwolnienia z pracy dotknęły go osobiście. Jako podstawę prawną swego żądania wskazał art. 36 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r., nr 101, poz. 926 ze zm.), zwanej dalej ustawą.
Generalny Inspektor Ochrony Danych Osobowych wspomnianą wyżej decyzją z dnia [...] odmówił uwzględnienia wniosku, podając jako materialną podstawę prawną przepisy art. 22, art. 12 pkt 2 i art. 18 ust. 1 w zw. z art. 36 i art. 26 ust. 1 ustawy oraz stwierdził w uzasadnieniu, że wyłącznym dysponentem dokumentu zawierającego dane osobowe skarżącego był sam skarżący i to wyłącza odpowiedzialność pracodawcy za ewentualne skutki jego niewłaściwego zabezpieczenia.
Po rozpoznaniu wniosku S. P. o ponowne rozpatrzenie sprawy Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...], nr [...], wydaną na podstawie art. 138 § 1 pkt 1 K.p.a., art. 22, art. 12 pkt 2 i art. 18 ust. 1 w zw. z art. 36 i 26 § 1 ustawy, utrzymał w mocy decyzję własną z dnia [...].
W uzasadnieniu decyzji organ podniósł, iż niewątpliwym w sprawie jest, że dokument określający zakres obowiązków S. P. na stanowisku mistrza zmianowego (w określonej liczbie egzemplarzy), został powierzony przez Spółkę właśnie zainteresowanemu, za pisemnym pokwitowaniem i pozostawał przez pewien czas w jego dyspozycji. Dlatego też sformułowany przez wnioskodawcę zarzut w stosunku do Spółki niewłaściwego zabezpieczenia w tym okresie danych osobowych strony, utrwalonych w w/w dokumencie, jest bezzasadny, skoro to sam zainteresowany był w tym czasie jego dysponentem. Właśnie od niego, jako dysponenta "zakresu obowiązków", należało wymagać sprawowania pieczy nad dokumentem oraz dbałości o nie ujawnianie informacji w nim zawartych osobom trzecim, tym bardziej, że dotyczyło to ochrony jego interesów jako osoby, której przedmiotowy dokument dotyczył. W ocenie organu brak jest jakichkolwiek dowodów potwierdzających fakt dostępu do danych osoby nieupoważnionej. Taką osobą nie jest sam zainteresowany i w związku z tym zarzut przekazania mu przez Spółkę dokumentu, określającego zakres jego obowiązków, jako osobie nieupoważnionej, jest całkowicie bezzasadny.
Z kolei odnosząc się do odmowy uwzględnienia przez organ wniosku dowodowego dotyczącego sporządzenia ekspertyzy "zakresu obowiązków", potwierdzającej, że dokument ten przerobiła osoba trzecia, Generalny Inspektor wskazał, że nie jest właściwy do tego rodzaju postępowania. Dodatkowo organ wskazał, że podnoszone przez S. P. zarówno na etapie postępowania w pierwszej instancji, jak też we wniosku o ponowne rozpatrzenie sprawy, zarzuty dotyczące rzekomych nieprawidłowości w toku postępowania sądowego, dotyczącego przywrócenia go do pracy oraz nieprawidłowości obciążających byłego pracodawcę, które miały miejsce w czasie jego zatrudnienia w Spółce, nie mają związku z przedmiotowym postępowaniem i nie podlegają ocenie przez organ do spraw ochrony danych osobowych.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie S. P. wniósł o uchylenie zaskarżonej decyzji. Organowi skarżący zarzucił:
1) naruszenie zasady prawdy obiektywnej przez wyłącznie subiektywną ocenę okoliczności sprawy i istniejących dowodów;
2) naruszenie zasady udziału stron przez dowolną ocenę podanych przez niego okoliczności faktycznych, nie uwzględnienie żądania doręczenia uwierzytelnionych odpisów wyjaśnień i oświadczeń administratora danych i pozbawienie skarżącego możliwości wypowiedzenia się co do treści dokumentów;
3) naruszenie zasady uwzględniania słusznego interesu strony (art. 7 K.p.a.) przez nieuwzględnienie ważnego interesu skarżącego, który nie pozostawał w kolizji z przepisami prawa, tj. art. 73 § 2 K.p.a.;
4) naruszenie zasady swobodnej oceny dowodów, nie zebranie i nie rozpatrzenie w sposób sumienny i wyczerpujący materiału dowodowego na skutek nieuwzględnienia wniosku skarżącego o przeprowadzenie ekspertyzy jego trzech egzemplarzy "zakresu obowiązków", a nadto przez uznanie wiarygodności oświadczeń administratora danych, złożonych bez rygoru odpowiedzialności za fałszywe zeznania (art. 75 § 2 K.p.a.);
5) naruszenie zasady odrębności postępowania administracyjnego przez przyjęcie ustaleń sądów pracy - Sądu Rejonowego w Olkuszu i Sądu Okręgowego w Krakowie jako własnych, chociaż nie były one i nie mogły być wiążące bez przeprowadzenia dowodów w postępowaniu administracyjnym.
Wojewódzki Sąd Administracyjny w Warszawie powołując się na treść art. 36 ustawy, wywiódł, iż obowiązki, o których mowa w powołanym przepisie ciążą nie tylko na administratorze danych, lecz także na osobie, której administrator, w drodze umowy zawartej na piśmie, powierzył przetwarzanie takich danych. W takim przypadku administrator nie jest zwalniany z odpowiedzialności związanej z brakiem zabezpieczenia zbiorów danych oraz innych obowiązków wynikających z przepisów ustawy. Zupełnie odmienna jest natomiast sytuacja, kiedy administrator danych osobowych przekazuje do dyspozycji osobie, której dane dotyczą, dokument zawierający jej dane osobowe.
W ocenie Sądu nie ulega najmniejszej wątpliwości, że osoba, której dane dotyczą, nie jest niczym ograniczona w dysponowaniu swoimi danymi.
Ponadto posiada ona szczególną pozycję również wtedy, gdy jej dane osobowe są przetwarzane przez inny podmiot. Świadczy o tym chociażby zamieszczenie w ustawie rozdziału 4 zatytułowanego "Prawa osoby, której dane dotyczą". Poza tym w świetle art. 36 ustawy, osoby, której dane dotyczą, nie można w ogóle rozpatrywać w kategorii osoby nieupoważnionej, bądź nieuprawnionej.
Wobec powyższego, zarzut naruszenia przez Przedsiębiorstwo [...] S.A. w D. G. jako administratora danych w/w przepisu, poprzez udostępnienie skarżącemu dokumentu pod nazwą "zakres obowiązków", zawierającego jego dane osobowe, jest bezzasadny. Za chybiony Sąd uznał także podniesiony przez skarżącego zarzut, sprowadzający się do twierdzenia, iż to na administratorze danych ciążył obowiązek zabezpieczenia danych osobowych skarżącego, zawartych we wskazanym wyżej dokumencie, pomimo przekazania skarżącemu przez administratora trzech egzemplarzy tego dokumentu do czasowej dyspozycji, celem zapoznania się z nim, podpisania go, a następnie zwrotu po p dpisaniu.
W ocenie Sądu, od chwili przekazania trzech egzemplarzy dokumentu do dyspozycji skarżącego, który to pokwitował, to właśnie na nim spoczywał obowiązek właściwego zabezpieczenia tego dokumentu. Skarżący pozostawił trzy egzemplarze przedmiotowego dokumentu w miejscu pracy, w niezamykanym biurku, do którego mogły mieć dostęp inne osoby, co nie może przesądzać o odpowiedzialności administratora.
W sprawie nie ma znaczenia okoliczność, jak doszło do przerobienia trzech egzemplarzy "zakresu obowiązków", które czasowo pozostawały w dyspozycji skarżącego, czy uczynił to skarżący, czy też inna osoba, a która to okoliczność spowodowała zwolnienie S. P. z pracy. Stosownie do treści art. 14 pkt 2 i 3 ustawy, umożliwienie Spółce ustosunkowania się do zarzutów sformułowanych pod jej adresem przez S. P., nie wymagało, aby pisemne lub ustne wyjaśnienia w tym zakresie odbierane były przez organ pod rygorem odpowiedzialności za składanie fałszywych zeznań. Wymogu takiego nie przewiduje ustawa i regulacja w tym zakre nie jest kompletna, co oznacza, że nie ma potrzeby stosowania odpowiednich przepisów K.p.a. dotyczących postępowania dowodowego.
Skargę kasacyjną wniósł pełnomocnik S. P. zaskarżając wyrok w całości i wnosząc o jego uchylenie oraz przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Zaskarżonemu wyrokowi zarzucił naruszenie przepisów postępowania mających istotny wpływ na wynik sprawy, a mianowicie art. 141 § 4 ustawy - Prawo o postępowaniu przed sądami administracyjnymi poprzez sporządzenie uzasadnienia wyroku nie odpowiadającego wymogom, o których mowa w tym przepisie, a w szczególności nie wyjaśnienie i nie odniesienie się do wszystkich zarzutów podniesionych w skardze do Wojewódzkiego Sądu Administracyjnego.
W uzasadnieniu skargi kasacyjnej wywiedziono, iż Sąd I instancji nie odniósł się w uzasadnieniu wyroku do zarzutów podnoszonych przez skarżącego, a dotyczących naruszenia zasady prawdy obiektywnej poprzez wyłącznie subiektywną ocenę okoliczności sprawy i istniejących dowodów oraz naruszenia zasady odrębności postępowania administracyjnego przez przyjęcie ustaleń sądów pracy jako własn ch, a nadto przez wydanie decyzji administracyjnych przez organ przy uznaniu się organem niewłaściwym do merytorycznego rozpoznania sprawy. Podniesiono także, iż Sąd nie wyjaśnił podstawy prawnej rozstrzygnięcia oraz nie wskazał okoliczności, które doprowadziły do wydania przedmiotowego wyroku.
W odpowiedzi na skargę kasacyjną Generalny Inspektor Ochrony Danych Osobowych wniósł o oddalenie skargi kasacyjnej i podtrzymał swoje dotychczasowe stanowisko w sprawie.
Naczelny Sąd Administracyjny zważył, co następuje:
W myśl art. 174 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), zwanej dalej P.p.s.a., skargę kasacyjną można oprzeć na następujących podstawach:
1) naruszenie prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,
2) naruszenie przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.
Naczelny Sąd Administracyjny związany jest podstawami skargi kasacyjnej bowiem według art. 183 § 1 P.p.s.a., rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod uwagę jedynie nieważność postępowania. Związanie Naczelnego Sądu Administracyjnego podstawami skargi kasacyjnej wymaga prawidłowego ich określenia w skardze kasacyjnej. Oznacza to konieczność powołania konkretnych przepisów prawa, którym zdaniem skarżącego Sąd uchybił, uzasadnienia ich naruszenia a w razie zgłoszenia zarzutu naruszenia prawa procesowego wykazania dodatkowo, że to wytknięte uchybienie mogło mieć istotny wpływ na wynik sprawy.
Kasacja nieodpowiadająca tym wymaganiom, pozbawiona konstytuujących ją elementów treściowych, uniemożliwia Naczelnemu Sądowi Administracyjnemu ocenę jej zasadności. Ponadto należało mieć na względzie, że skoro Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, to o zakresie kontroli zaskarżonego orzeczenia decyduje wnoszący skargę kasacyjną, chyba że zachodzi nieważność postępowania.
W niniejszej sprawie żadna z wymienionych w art. 183 § 2 P.p.s.a. przesłanek skutkujących nieważnością postępowania sądowoadministracyjnego nie zaistniała, wobec czego kontrola Naczelnego Sądu Administracyjnego ograniczyć się musiała wyłącznie do zbadania zawartego w skardze zarzutu natury procesowej.
Podstawa kasacyjna z art. 174 pkt 2 P.p.s.a. obliguje wnoszącego skargę nie tylko do wskazania naruszonych w postępowaniu sądowoadministracyjnym przepisów proceduralnych, ale także do wykazania, iż wskazane uchybienia mogły mieć istotny wpływ na wynik sprawy, a więc taki, którego zaistnienie wywiera wpływ na możliwą potencjalnie odmienną treść rozstrzygnięcia sądu I instancji.
Dokonywana przez Naczelny Sąd Administracyjny kontrola kasacyjna obejmuje wyłącznie stosowanie prawa procesowego przez sąd administracyjny. Naruszenia prawa popełnione przez organy administracyjne mogą być natomiast podnoszone w skierowanej do właściwego miejscowo wojewódzkiego sądu administracyjnego skardze na wydane przez te organy orzeczenie.
Badanie przez Naczelny Sąd Administracyjny stosowania prawa przez organy administracji może mieć jedynie charakter pośredni, w sytuacji gdy skarżący w ramach podstawy kasacyjnej zarzuci sądowi I instancji naruszenie stosownych przepisów ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu rzed sądami administracyjnymi, przez nieuwzględnienie, mimo zarzutów zawartych w skardze, naruszenia przez organy wskazanych w niej przepisów.
W ramach zarzutu naruszenia przepisu art. 141 § 4 P.p.s.a. Naczelny Sąd Administracyjny zobowiązany jest jedynie do kontroli zgodności uzasadnienia zaskarżonego wyroku z wymogami wynikającymi z powyższej regulacji prawnej. Na gruncie tej podstawy kasacyjnej sąd nie może natomiast badać zasadności przyjętej podstawy rozstrzygnięcia oraz trafności samego wyroku. Wadliwość samego uzasadnienia musi być przy tym tego rodzaju, że nie pozwala na kontrolę kasacyjną tego wyroku.
W rozpoznawanej sprawie nie sposób dopatrzeć się podstaw do formułowania takich zarzutów pod adresem sądu I instancji. Uzasadnienie zawiera szczegółowe i wielowątkowe rozważania co do zakresu stosowania ustawy o ochronie danych osobowych, z odniesieniem się do stanu faktycznego sprawy oraz możliwości uczynienia zadość żądaniu skarżącego, wynikającego z wniosku wszczynającego postępowanie administracyjne.
Przywołano przy tym wskazywaną przez skarżącego i organ administracji publicznej podstawę prawną oraz dokonano analizy możliwości zastosowania tej podstawy w stanie faktycznym sprawy, przedstawianym przez samego skarżącego. Sąd skupił się przy tym na tych okolicznościach, które mogły mieć istotne znaczenie z punktu widzenia przepisów ustawy o ochronie danych osobowych. W szczególności zwrócono uwagę na aspekty prawne związane z przestrzeganiem praw osób, których dotyczą dane osoby fizycznej (skarżącego). Wyrażono przy tym oczywiście trafny pogląd, że osoba, której dotyczą dane osobowe nie powinna być w żaden sposób ograniczona w dostępie do tych danych i w dysponowaniu tymi danymi. Jest to zatem uprawnienie podmiotu, którego dane osobowe są przetwarzane przez administratora danych osobowych, z którego wynika jednak zdaniem Wojewódzkiego Sądu Administracyjnego także równoległe zwolnienie od odpowiedzialności administratora danych osobowych za niewłaściwe ich wykorzystywanie lub zabezpieczenie przez samego zainteresowanego.
Takie stanowisko sądu I instancji w sposób wyczerpujący odnosiło się do istoty żądania skarżącego, który stał na stanowisku, iż także w takim wypadku na administratorze danych ciąży obowiązek zapewnienia osobie, która uzyskała dostęp do dokumentów zawierających jej własne dane osobowe, warunków i możliwości zabezpieczenia tych danych przed nieuprawnioną ingerencją osób trzecich.
Jak już wyżej wspomniano - przy zarzucie kasacyjnym sprowadzającym się wyłączne do naruszenia przepisu regulującego wymogi uzasadnienia - Naczelny Sąd Administracyjny nie posiada prawnej możliwości zweryfikowania merytorycznej trafności tego stanowiska. Wymagałoby to bowiem rozstrzygnięcia kwestii materialnoprawnej, podczas gdy w skardze kasacyjnej nie zawarto zarzutu naruszenia prawa materialnego, a jak już wspomniano na wstępie istotnie ogranicza to zakres rozpoznania w postępowaniu kasacyjnym .
W orzecznictwie Naczelnego Sądu Administracyjnego znaleźć można przekonywający pogląd, że brak szczegółowego odniesienia się przez wojewódzki sąd administracyjny do wszystkich zarzutów zawartych w skardze, czy skoncentrowanie się tylko na kwestiach, które mają znaczenie dla rozstrzygnięcia, a pominięcie wątków, które mają charakter uboczny i na rozstrzygnięcie nie rzutują, nie stanowi uchybienia, które miałoby istotny wpływ na wynik sprawy. Sąd nie musi (...) odnosić się do wszystkich zagadnień podniesionych w skardze, jeżeli nie mają one istotnego znaczenia dla końcowego wyniku kontroli zgodności z prawem zaskarżonej decyzji (wyrok z dnia 24 czerwca 2005 r., sygn. FSK 2633/04 - nie publ.).
Podobnie w uzasadnieniu wyroku z dnia 17 czerwca 2005 r., sygn. FSK 2380/04 (nie publ.) stwierdzono, iż sąd nie ma natomiast obowiązku, nie będąc związany zarzutami i wnioskami skargi, ani powołaną w niej podstawą prawną, do badania tych zarzutów i wniosków, które nie mają znaczenia dla oceny legalności zaskarżonego aktu.
Przychylając się do powyższych stanowisk oraz odnosząc je do treści uzasadnienia zaskarżonego skargą kasacyjną wyroku, stwierdzić należało, że skarga nie znajduje jakichkolwiek usprawiedliwionych podstaw w rozumieniu art. 174 P.p.s.a.
Wobec stwierdzenia, że skarga kasacyjna nie ma usprawiedliwionych podstaw Naczelny Sąd Administracyjny na podstawie art. 184 P.p.s.a. orzekł jak w sentencji.
Przechowywanie danych w chmurze polega na zapisywaniu i zarządzaniu danymi na zdalnych serwerach, które są dostępne przez internet. Zamiast przechowywać pliki na lokalnych dyskach twardych lub serwerach, użytkownicy mogą korzystać z infrastruktury dostarczanej przez dostawców usług chmurowych. Jest to wygodne i efektywne rozwiązanie, które zapewnia dostęp do danych z dowolnego miejsca, elastyczność, skalowalność oraz wysoki poziom bezpieczeństwa i niezawodności.
© Portal Poradyodo.pl
