DOLiS/DEC-762/13 - Nieprawidłowości w procesie przetwarzania danych osobowych przez Dyrektora Urzędu Kontroli Skarbowej.

Na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2013 r. poz. 267), art. 12 pkt 2, art. 18 ust. 1 pkt 1, art. 22, w związku z art. 23 ust. 1 pkt 2 i art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), w związku z art. 5 ustawy z dnia 29 października 2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw (Dz. U. z 2010 r. Nr 229, poz. 1497), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana B. J. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Dyrektora Urzędu Kontroli Skarbowej w B., Q. Sp. z o.o. (obecnie G. Sp. z o.o.), B. S.A., P. (obecnie P. S.A.), Ministra Finansów, z siedzibą w Warszawie przy ul. Świętokrzyskiej 12 i Dyrektora Urzędu Kontroli Skarbowej w P.,

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana B. J. (zwanego dalej Skarżącym), dotycząca przetwarzania jego danych osobowych przez Dyrektora Urzędu Kontroli Skarbowej w B. (zwanego dalej również UKS w B.) oraz Q. Sp. z o.o. (obecnie G. Sp. z o.o.).

Skarżący podniósł, że w dniu (...) lipca 2008 r., stosownie do art. 33 ustawy o ochronie danych osobowych, zwrócił się do UKS w B., o udzielenie mu w formie pisemnej informacji o posiadanych jego danych osobowych, ale w odpowiedzi z dnia (...) sierpnia 2008 r. całkowicie pominięto jego żądanie w tym zakresie. Skarżący wskazał, że jego zdaniem jest to spowodowane chęcią ukrycia dowodów potwierdzających fakt zdobycia jego danych osobowych w sposób niezgodny z przepisami prawa przed wszczęciem postępowania kontrolnego, oraz że " (...) moje dane osobowe mógł pozyskać inspektor UKS po okazaniu imiennego upoważnienia do prowadzenia postępowania kontrolnego. Datą wszczęcia postępowania jest dzień, w którym doręczono mi postanowienie o wszczęciu postępowania, natomiast moje dane osobowe znajdujące się na portalu (...) ustalono przed wszczęciem postępowania". Skarżący wskazał również, że UKS w B. w swoim piśmie jednoznacznie powołuje się na artykuł 36 ustawy o kontroli skarbowej, zgodnie z którym wywiadu skarbowego można użyć, jeśli uszczuplenie należności przekracza pięćdziesięciokrotną wartość minimalnego wynagrodzenia za pracę, natomiast w decyzji z dnia (...) września 2008 r., kończącej postępowanie, ustalono uszczuplenie należności w wysokości 243 złotych. Skarżący podniósł, że oznacza to, iż jeśli użyto wywiadu skarbowego przed wszczęciem postępowania, to rażąco naruszono przepisy prawa.

W związku z podniesionymi w skardze zarzutami Skarżący wniósł o "spowodowanie wykonania zapisu ustawy o ochronie danych osobowych przez Dyrektora Urzędu Kontroli Skarbowej w B (...) i udzielenie informacji, o które prosiłem w piśmie z dnia (...) lipca 2008 r." oraz o "zbadanie czy moje dane osobowe zostały pozyskane przez UKS z portalu (...) zgodnie z przepisami prawa jeszcze przed wszczęciem postępowania oraz czy administrator danych osobowych z portalu (...) udostępnił dane osobowe zgodnie z przepisami po okazaniu upoważnienia przez inspektora UKS".

W piśmie z dnia (...) maja 2011 r. (karta 183 akt sprawy) Skarżący, podnosząc, że w sporządzonym w dniu (...) marca 2011 r. wyniku kontroli potwierdzono, iż nie posiada żadnych zobowiązań wobec Skarbu Państwa, a także zwrócono bezprawnie odebrane pieniądze, wniósł o "sprawdzenie czy UKS umieszczając moje dane w r (...) naruszył ustawę o ochronie danych osobowych". Skarżący podniósł również, że jego zdaniem umieszczenie jego danych osobowych w tym zbiorze kompletnie dezawuuje całe postępowanie, ponieważ przed wszczęciem postępowania ustalono jego wynik.

W piśmie z dnia (...) września 2011 r. (karty 194-197 akt sprawy) Skarżący - odnośnie przetwarzania danych osobowych przez Dyrektora UKS w B. - zakwestionował:

Skarżący wskazał, że żąda usunięcia jego danych osobowych z "R.", usunięcia bezprawnie pozyskanych danych bankowych i poinformowania go pisemnie o dacie ich zniszczenia oraz poinformowania go o tym, komu, kiedy i w jakim zakresie zostały udostępnione jego dane.

W piśmie z dnia (...) listopada 2011 r. (karty 200-201 akt sprawy) Skarżący, w odpowiedzi na skierowane przez Generalnego Inspektora Ochrony Danych Osobowych (zwanego dalej również Generalnym Inspektorem) wezwanie dotyczące jednoznacznego sprecyzowania czy w stosunku do P. S.A. kwestionuje również zgodność z przepisami o ochronie danych osobowych odmowy udzielenia informacji, o które wnosił w piśmie z dnia (...) listopada 2008 r., zgodność z przepisami o ochronie danych osobowych jakich działań Urzędu Kontroli Skarbowej w P. (zwanego dalej również UKS w P.) i Ministerstwa Finansów kwestionuje oraz jakiej treści rozstrzygnięcia domaga się od Generalnego Inspektora:

W piśmie z dnia (...) lipca 2012 r. (karty 297-302 akt sprawy) Skarżący wniósł o wezwanie UKS w B. do przekazania pełnej dwustronnej korespondencji z "P (...)", podnosząc w szczególności, iż wobec sprzecznych i wykluczających się nawzajem informacji przekazywanych przez UKS w B., brak dowodów w postaci załączonej korespondencji uniemożliwia stwierdzenie jaki był jej rzeczywisty przebieg i na jakie powołano się w niej przepisy.

W toku postępowania przeprowadzonego w niniejszej sprawie Generalny Inspektor ustalił następujące okoliczności.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Generalny Inspektor zważył, co następuje.

Zgodnie z art. 12 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwanej dalej ustawą, do zadań Generalnego Inspektora w szczególności należy wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Art. 18 ust. 1 ustawy stanowi, że w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: (pkt 1) usunięcie uchybień, (pkt 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, (pkt 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, (pkt 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, (pkt 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, (pkt 6) usunięcie danych osobowych.

Ad. 1a

Odnośnie zarzutu nieudzielenia Skarżącemu przez Dyrektora UKS w B. informacji o tym, kto i na podstawie jakich przepisów sporządził imienne upoważnienie, na podstawie którego Q. Sp. z o.o. udostępniła jego dane osobowe, wskazać należy, że w trakcie postępowania ustalono, iż powyższy organ nie przetwarza tych informacji. Wobec powyższego postępowanie w tej części stało się bezprzedmiotowe i należy je umorzyć. Nie ma bowiem przedmiotu postępowania, czyli informacji, których nieudostępnienie Skarżącemu miałoby naruszać przepisy o ochronie danych osobowych. Stosownie zaś do art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2013 r. poz. 267), zwanej dalej k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części. W doktrynie wskazuje się, że: "bezprzedmiotowość postępowania administracyjnego, o której stanowi się w art. 105 § 1, oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym." (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C.H. Beck, Warszawa 2004, s. 478). Ustalenie przez organ publiczny istnienia przesłanki, o której mowa w art. 105 § 1 k.p.a. zobowiązuje go, jak podkreśla się w doktrynie i orzecznictwie, do umorzenia postępowania, nie ma bowiem wówczas podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.

Ad. 1b

Odnośnie przetwarzania danych osobowych Skarżącego przez Dyrektora UKS w P. i Ministra Finansów na wstępie wskazać należy, że Generalny Inspektor wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. To stanowisko potwierdza orzecznictwo sądowe. W szczególności przytoczyć w tym miejscu należy wyrok Naczelnego Sądu Administracyjnego z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07, gdzie stwierdzono, iż "badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem". Z uwagi zatem na fakt, że wyjaśnienia złożone w sprawie wskazują, iż zarówno Dyrektor UKS w P., jak i Minister Finansów aktualnie nie przetwarzają danych osobowych Skarżącego udostępnionych przez Q. Sp. z o.o. postępowanie również w tym zakresie stało się bezprzedmiotowe. W związku z tym - stosownie do art. 105 § 1 k.p.a. - należy je umorzyć. Brak jest bowiem danych, w stosunku do których Generalny Inspektor miałby rozstrzygnąć, czy zasadny jest wniosek Skarżącego o nakazanie ich usunięcia.

Ad. 1c

Z uwagi na fakt, iż aktualnie Dyrektor UKS w B. nie przetwarza danych osobowych Skarżącego udostępnionych mu przez P., postępowanie również w zakresie dotyczącym dopuszczalności przetwarzania tych danych stało się bezprzedmiotowe i stosownie do treści art. 105 § 1 k.p.a. należy je umorzyć. Jednocześnie, mając na uwadze, że Skarżący wniósł o wezwanie UKS w B. do przekazania pełnej dwustronnej korespondencji z "P (...)", wskazać należy, że w przypadku umorzenia postępowania z uwagi na bezprzedmiotowość postępowania będącą wynikiem usunięcia danych osobowych, przebieg i treść korespondencji prowadzonej na etapie zbierania danych nie ma znaczenia dla rozstrzygnięcia sprawy, a zgodnie z art. 78 § 1 k.p.a. żądanie strony dotyczące przeprowadzenia dowodu należy uwzględnić, jeżeli przedmiotem dowodu jest okoliczność mająca znaczenie dla sprawy.

Ad. 2a

Odnosząc się do kwestii nieprzekazania przez Dyrektora UKS w B. informacji żądanych przez Skarżącego na podstawie art. 33 ustawy, wskazać na wstępie należy, że przepis ten w brzmieniu obowiązującym do dnia 7 marca 2011 r. stanowił, że (ust. 1) na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a, a w szczególności podać w formie zrozumiałej:

Zgodnie z ówczesnym brzmieniem art. 34 ustawy, w sprawach informowania i udostępniania danych osobie, której dane dotyczą, stosuje się przepisy art. 30. Art. 30 ustawy, w brzmieniu obowiązującym do dnia 2 stycznia 2011 r. stanowił, iż administrator danych odmawia udostępnienia danych osobowych ze zbioru danych podmiotom i osobom innym niż wymienione w art. 29 ust. 1, jeżeli spowodowałoby to: (pkt 1) ujawnienie wiadomości stanowiących tajemnicę państwową, (pkt 2) zagrożenie dla obronności lub bezpieczeństwa państwa, życia i zdrowia ludzi lub bezpieczeństwa i porządku publicznego, (pkt 3) zagrożenie dla podstawowego interesu gospodarczego lub finansowego państwa, (pkt 4) istotne naruszenie dóbr osobistych osób, których dane dotyczą, lub innych osób. Art. 32 ust. 1 ustawy przewidywał wówczas, że każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do: (pkt 1) uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska, (pkt 2) uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze, (pkt 3) uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych, (pkt 4) uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie tajemnicy państwowej, służbowej lub zawodowej, (pkt 5) uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane, (pkt 5a) uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2. Zaznaczyć jednocześnie należy, że pomimo zmiany brzmienia art. 33 ust. 1 i art. 34 ustawy oraz uchylenia art. 30 ustawy przez przepisy ustawy z dnia 29 października 2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw (Dz. U. z 2010 r. Nr 229, poz. 1497) do oceny kwestii realizacji wobec Skarżącego obowiązku informacyjnego zastosowanie będą miały przepisy we wcześniejszym brzmieniu. Zgodnie bowiem z art. 5 ustawy z dnia 29 października 2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw, do postępowań wszczętych i niezakończonych na podstawie ustawy, o której mowa w art. 1, przed dniem wejścia w życie niniejszej ustawy, stosuje się przepisy dotychczasowe. Zasadność nieprzekazania Skarżącemu informacji przez Dyrektora UKS w B. należy zatem ocenić w kontekście powołanego wyżej art. 30 ustawy, co oznacza, że rozważyć trzeba, czy przekazanie żądanych przez Skarżącego informacji pociągnęłoby za sobą wystąpienie okoliczności wymienionych w art. 30 ustawy, w szczególności czy stanowiłoby ujawnienie wiadomości stanowiących tajemnicę państwową.

Z zebranego w sprawie materiału dowodowego wynika, że Skarżący w piśmie z dnia (...) lipca 2008 r. zwrócił się o udzielenie w formie pisemnej informacji wskazanych w art. 33 ust. 1 pkt 1-4 ustawy, natomiast w ocenie Generalnego Inspektora nie daje on podstaw do przyjęcia, że zaistniały przesłanki uzasadniające kompleksowe nieudzielenie przez Dyrektora UKS w B. żądanych przez Skarżącego informacji. Na wstępie podkreślić należy, że niezasadne jest traktowanie wskazanego w udzielonej Skarżącemu przez Dyrektora UKS w B. odpowiedzi art. 7b ustawy z dnia 28 września 1991 r. o kontroli skarbowej (Dz. U. z 2004 r. Nr 8, poz. 65 z późn. zm.), jako przepisu uchylającego w całości obowiązek wynikający z art. 33 ust. 1 ustawy. Przepis powyższy stanowił, że organy kontroli skarbowej mogą zbierać i wykorzystywać w celu realizacji ustawowych zadań informacje, w tym dane osobowe, oraz przetwarzać je w rozumieniu przepisów o ochronie danych osobowych, także bez wiedzy i zgody osoby, której dane te dotyczą. Administrator danych jest obowiązany udostępnić dane osobowe na podstawie imiennego upoważnienia organu kontroli skarbowej, okazanego przez inspektora lub pracownika wraz z legitymacją służbową. Informacja o udostępnieniu tych danych podlega ochronie zgodnie z przepisami o ochronie informacji niejawnych. Art. 7b ustawy o kontroli skarbowej obejmował zatem ochroną informacje o jednej formie przetwarzania (udostępnieniu) konkretnej kategorii danych (udostępnionych przez administratora danych na podstawie imiennego upoważnienia organu kontroli skarbowej okazanego przez inspektora lub pracownika wraz z legitymacją służbową). Odnosząc powyższe do okoliczności niniejszej sprawy wskazać należy, że z zebranego w sprawie materiału dowodowego wynika, iż Dyrektor UKS w B. w chwili, gdy Skarżący zwrócił się o udzielenie informacji dotyczących przetwarzania jego danych osobowych, przetwarzał dotyczące go informacje nie objęte dyspozycją art. 7b zdanie trzecie ustawy o kontroli skarbowej, np. informacje pochodzące z ogólnodostępnych stron internetowych. Okoliczności niniejszej sprawy nie wskazują również, aby dotyczące Skarżącego informacje pochodzące od Q. Sp. z o.o. były objęte dyspozycją art. 7b zdanie trzecie ustawy o kontroli skarbowej. To, że inspektor kontroli skarbowej wykonujący swoje obowiązki w UKS w P. przekazał zapytanie do Q. Sp. z o.o. drogą elektroniczną, jak również fakt, iż Dyrektor UKS w P. nie udzielił imiennego upoważnienia w sprawach dotyczących zapytań otrzymywanych z Ministerstwa Finansów na podstawie art. 7b ustawy o kontroli skarbowej, wskazuje bowiem że nie zaistniał tryb określony w art. 7b zdanie drugie ustawy o kontroli skarbowej. Niezależnie od powyższego podnieść należy, że zgodnie z art. 2 pkt 1 obowiązującej wówczas ustawy z dnia 22 stycznia 1999 r. o ochronie informacji niejawnych (Dz. U. z 2005 r. Nr 196, poz. 1631 z późn. zm.) tajemnicą państwową jest informacja określona w wykazie rodzajów informacji, stanowiącym załącznik nr 1, której nieuprawnione ujawnienie może spowodować istotne zagrożenie dla podstawowych interesów Rzeczypospolitej Polskiej dotyczących porządku publicznego, obronności, bezpieczeństwa, stosunków międzynarodowych lub gospodarczych państwa. Natomiast w ww. załączniku nie ma wyszczególnionej informacji, o której mowa w art. 7b zdanie trzecie ustawy o kontroli skarbowej tj. informacji o udostępnieniu danych w trybie określonym w art. 7b zdanie drugie tej ustawy. Zatem informacja, o której mowa w art. 7b zdanie trzecie ustawy o kontroli skarbowej podlegała ochronie zgodnie z przepisami o ochronie informacji niejawnych, ale nie była tajemnicą państwową lecz tajemnicą służbową. Ponadto podkreślić należy, że art. 7b ustawy o kontroli skarbowej w wyniku stwierdzenia przez Trybunał Konstytucyjny wyrokiem z dnia 17 czerwca 2008 r. (sygn. akt K 8/04) jego niezgodności z art. 51 ust. 2 Konstytucji Rzeczypospolitej Polskiej utracił moc z dniem 26 czerwca 2008 r., podczas gdy Skarżący wystąpił z wnioskiem o udzielenie informacji w lipcu 2008 r. Z uwagi na to, nawet informacje wcześniej chronione na podstawie art. 7b ustawy, już tej ochronie nie podlegały. Niewątpliwie zatem nie wystąpiła przesłanka określona w art. 30 pkt 1 ustawy. W ocenie Generalnego Inspektora, poinformowanie Skarżącego, jakie jego dane osobowe znajdują się zbiorze danych, którego administratorem jest Dyrektor UKS w B., w jaki sposób zebrano dane, w jakim celu i zakresie dane są przetwarzane, w jakim zakresie oraz komu dane zostały udostępnione, nie spowodowałoby również wystąpienia okoliczności wymienionych w art. 30 pkt 2 i 3 ustawy, takich jak zaistnienie zagrożenia dla obronności lub bezpieczeństwa państwa, życia i zdrowia ludzi lub bezpieczeństwa i porządku publicznego, czy też zagrożenia dla podstawowego interesu gospodarczego lub finansowego państwa. Z uwagi na to, że z istoty obowiązku informacyjnego określonego w art. 33 ustawy wynika, iż podmiotem, wobec którego ma być on dopełniony, jest osoba, której dane dotyczą, nie może być mowy o istotnym naruszeniu dóbr osobistych tej osoby, ani tym bardziej innych osób, zatem nie wystąpi również okoliczność przewidziana w art. 30 pkt 4 ustawy. W konsekwencji, w ocenie Generalnego Inspektora Dyrektor UKS w B. niezasadnie nieprzekazał Skarżącemu informacji, o udzielenie których występował on w piśmie z dnia (...) lipca 2008 r.

Odnośnie informacji, których Skarżący zażądał od Dyrektora UKS w B. w piśmie z dnia (...) lipca 2009 r. tj. informacji o podstawie prawnej do umieszczenia jego danych osobowych w "R.", dokładnej dacie umieszczenia jego danych w tym zbiorze, o tym kto podjął decyzję o umieszczeniu jego danych osobowych w tym zbiorze, jakie osoby i podmioty miały dostęp do jego danych osobowych, komu i na jakiej podstawie przekazano jego dane osobowe, dacie i sygnaturze akt pisma z Wydziału Informatycznego Wsparcia Kontroli Departamentu Kontroli Skarbowej Ministerstwa Finansów rozszyfrowującego jego login w aukcjach na portalu (...), wskazać przede wszystkim należy, że art. 33 ust. 1 ustawy nie zobowiązywał administratora danych do przekazania informacji o podstawie prawnej przetwarzania danych w zbiorze danych, osobie, która zadecydowała o wprowadzeniu danych osobowych do zbioru, podstawie prawnej udostępnienia danych oraz o oznaczeniach identyfikujących pismo przekazujące dane osobowe. W ocenie Generalnego Inspektora na Dyrektorze UKS w B. ciążył natomiast obowiązek przekazania informacji od kiedy dane osobowe Skarżącego przetwarzane są w zbiorze (ze względu na treść art. 32 ust. 1 pkt 3 ustawy), oraz o tym, komu dane zostały udostępnione (informacja, o której mowa w art. 33 ust. 1 pkt 4 ustawy w ówczesnym brzmieniu). W tym zatem zakresie, zdaniem Generalnego Inspektora, obowiązek informacyjny wobec Skarżącego nie został przez Dyrektora UKS w B. dopełniony.

Podsumowując tę część rozważań wskazać należy, że w ocenie Generalnego Inspektora po stronie Dyrektora UKS w B. zaistniały uchybienia przy wypełnianiu wobec Skarżącego obowiązku informacyjnego określonego w art. 33 ustawy, polegające na nieprzekazaniu informacji o tym jakie jego dane osobowe zawiera zbiór, w jaki sposób zebrano dane, od kiedy dane osobowe przetwarzane są w zbiorze, w jakim celu i zakresie dane są przetwarzane, w jakim zakresie oraz komu dane zostały udostępnione. Wobec powyższego zasadne jest - stosownie do dyspozycji art. 18 ust. 1 pkt 1 ustawy - nakazanie Dyrektorowi UKS w B. usunięcia tych uchybień. Jednocześnie podkreślić należy, że nakaz ten nie odnosi się do informacji, w stosunku do których obowiązek ich przekazania jest wyłączony przez przepisy ustawy o ochronie danych osobowych.

Ad. 2b

Odnośnie odmowy udzielenia przez P. wnioskowanych przez Skarżącego informacji, Generalny Inspektor stoi na stanowisku, iż mające zastosowanie do oceny tej kwestii art. 33 i art. 32 ust. 1 pkt 1-5 ustawy nie nakładały na ww. podmiot obowiązku udzielenia informacji o tym, czy UKS w B. zwracał się z żądaniami o udzielenie jakichkolwiek informacji o Skarżącym, jakie są daty i sygnatury pism UKS w B., na podstawie jakich przepisów prawa formułowano żądania, czy grożono odpowiedzialnością karną lub innymi karami w przypadku niezastosowania się do żądań i jaki jest zakres żądanych informacji. W ocenie Generalnego Inspektora na gruncie przepisów o ochronie danych osobowych Skarżący nie może się również domagać udostępnienia mu kopii korespondencji prowadzonej pomiędzy UKS w B. a P. W ustawie brak jest bowiem przepisów obligujących administratora do udostępnienia dokumentów zawierających dane osobowe (por. wyroki Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 6 września 2005 r. w sprawie o sygn. akt II SA/Wa 825/05 i z dnia 22 września 2006 r. w sprawie o sygn. akt II SA/Wa 382/06).

W ocenie Generalnego Inspektora spośród żądań, których spełnienia Skarżący domagał się od P. w pismach z dnia (...) września i (...) listopada 2008 r., w zakresie przewidzianym w art. 33 ust. 1 ustawy mieści się jedynie żądanie poinformowania "jaki jest zakres udzielonych informacji". Art. 33 ust. 1 pkt 4 ustawy w brzmieniu wówczas obowiązującym nakładał na administratora danych obowiązek podania na wniosek osoby, której dane dotyczą, w formie zrozumiałej w jakim zakresie dane zostały udostępnione. W ocenie Generalnego Inspektora nie zaistniała zaś żadna z przesłanek wskazanych w wówczas obowiązującym art. 30 ustawy, która wyłączałaby realizację tego obowiązku. Poinformowanie Skarżącego o zakresie jego danych osobowych udostępnionych na rzecz Dyrektora UKS w B. nie spowodowałoby ujawnienia wiadomości stanowiących tajemnicę państwową, zagrożenia dla obronności lub bezpieczeństwa państwa, życia i zdrowia ludzi lub bezpieczeństwa i porządku publicznego, zagrożenia dla podstawowego interesu gospodarczego lub finansowego państwa, czy też istotnego naruszenia dóbr osobistych Skarżącego lub innych osób. Wobec powyższego odmowa udostępnienia Skarżącemu tej informacji uchybia przepisom o ochronie danych osobowych, a zatem zasadne jest nakazanie P. S.A. usunięcia uchybienia w tym zakresie.

Ad. 3

Przetwarzanie (w tym zbieranie i udostępnienie) danych osobowych jest dopuszczalne, jeżeli występuje przynajmniej jedna z przesłanek wskazanych w art. 23 ust. 1 ustawy, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: (pkt 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, (pkt 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, (pkt 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, (pkt 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, (pkt 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

Odnośnie zebrania przez Dyrektora UKS w B. danych osobowych Skarżącego od Banku, Generalny Inspektor stoi na stanowisku, że działanie to znajduje oparcie w przesłance określonej w przytoczonym powyżej art. 23 ust. 1 pkt 2 ustawy. Przepisem, z którego wynika uprawnienie Dyrektora UKS w B. i obowiązek Banku, dla których zrealizowania niezbędne było przetwarzanie danych osobowych Skarżącego w kwestionowany przez niego sposób, jest art. 33a ust. 1 ustawy o kontroli skarbowej, który w czasie gdy doszło do tej operacji (maj 2008 r.) stanowił, iż z żądaniem sporządzenia i przekazania informacji w zakresie, o którym mowa w art. 33 ust. 1-3, Generalny Inspektor Kontroli Skarbowej lub dyrektor urzędu kontroli skarbowej może wystąpić również w związku z postępowaniem kontrolnym, po uprzednim wezwaniu kontrolowanego do udzielenia informacji z tego zakresu albo do upoważnienia instytucji finansowych do przekazania tych informacji, jeżeli kontrolowany uprzednio: (pkt 1) nie wyrazi zgody na udzielenie tych informacji albo (pkt 2) nie upoważni organu kontroli skarbowej do wystąpienia do instytucji finansowych wymienionych w art. 33 ust. 1-3 o przekazanie tych informacji, albo (pkt 3) w terminie wyznaczonym przez organ kontroli skarbowej nie udzieli informacji lub upoważnienia, o których mowa w pkt 1 lub 2, albo (pkt 4) udzielił informacji, które wymagają uzupełnienia lub porównania z informacjami pochodzącymi z instytucji finansowej. Zgodnie z art. 33 ust. 1 pkt 1 powyższej ustawy, w brzmieniu wówczas obowiązującym, na pisemne żądanie Generalnego Inspektora Kontroli Skarbowej lub dyrektora urzędu kontroli skarbowej, wydane w związku z wszczętym postępowaniem przygotowawczym w sprawie o przestępstwa i wykroczenia oraz przestępstwa skarbowe lub wykroczenia skarbowe, banki są obowiązane do sporządzania i przekazywania informacji dotyczących podejrzanego w zakresie posiadanych rachunków bankowych lub rachunków oszczędnościowych, liczby tych rachunków, a także obrotów i stanów tych rachunków. Mając na uwadze, że Skarżący kwestionuje legalność zebrania przez Dyrektora UKS w B. jego danych osobowych od Banku stawiając zarzuty co do prawidłowości przeprowadzania czynności w prowadzonym przez ww. organ postępowaniu kontrolnym (zarzucając niezgodne z przepisami wezwanie go do ujawnienia danych bankowych na podstawie art. 155 Ordynacji podatkowej, sporządzenie wezwania przed wszczęciem postępowania przez osobę nieuprawnioną, brak odpowiedzi UKS w B. na swoje pismo, w którym wniósł o podanie powodów, dla których ma zrezygnować z prawa do ochrony tajemnicy bankowej na rzecz Dyrektora UKS w B.), które podlegało ocenie przez organ odwoławczy w związku z odwołaniem od decyzji oraz przez sądy administracyjne w związku z wniesioną przez Skarżącego skargą na tę decyzję, podkreślić należy, że Generalny Inspektor nie jest organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, służb czy sądów, których orzeczenia podlegają ocenom w toku instancji czy w inny sposób określony odpowiednimi procedurami (por. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 września 2006 r. w sprawie o sygn. akt II SA/Wa 702/06 i wyrok Naczelnego Sądu Administracyjnego z dnia 2 marca 2001 r. w sprawie o sygn. II SA 401/2000). Jednocześnie zauważyć, że sądy administracyjne w wyrokach związanych z postępowaniem kontrolnym prowadzonym wobec Skarżącego nie zakwestionowały legalności materiału dowodowego pozyskanego przez Dyrektora UKS w B. od Banku. Niezależnie od powyższego wskazać należy, że aktualnie niedopuszczalne jest wydanie, zgodnej z wnioskiem Skarżącego, decyzji nakazującej usunięcie danych osobowych udostępnionych przez Bank również z innych powodów. Przetwarzanie tych informacji przez Dyrektora UKS w B. aktualnie polega na ich przechowywaniu zgodnie z przepisami o ochronie informacji niejawnych. Wynika to z dyspozycji art. 33b ust. 3 ustawy o kontroli skarbowej, zgodnie z którym po zakończeniu postępowania w sprawach o przestępstwa i wykroczenia oraz przestępstwa skarbowe i wykroczenia skarbowe lub postępowania kontrolnego informacje uzyskane w trybie, o którym mowa w art. 33 lub 33a, są wyłączane z akt sprawy i przechowywane zgodnie z przepisami o ochronie informacji niejawnych; Generalny Inspektor Kontroli Skarbowej albo dyrektor urzędu kontroli skarbowej dokonuje w aktach sprawy adnotacji o wyłączeniu informacji. Oznacza to, że dane osobowe Skarżącego udostępnione przez Bank są przetwarzane w zbiorze zawierającym informacje niejawne. Mając na uwadze powyższe wskazać należy, że zgodnie z art. 43 ust. 2 ustawy, w odniesieniu do zbiorów, o których mowa w ust. 1 pkt 1 i 3, oraz zbiorów, o których mowa w ust. 1 pkt 1a, przetwarzanych przez Agencję Bezpieczeństwa Wewnętrznego, Agencję Wywiadu, Służbę Kontrwywiadu Wojskowego, Służbę Wywiadu Wojskowego oraz Centralne Biuro Antykorupcyjne, Generalnemu Inspektorowi nie przysługują uprawnienia określone w art. 12 pkt 2, art. 14 pkt 1 i 3-5 oraz art. 15-18. Zbiory, o których mowa w art. 43 ust. 1 pkt 1 ustawy, to zbiory zawierające informacje niejawne. Zatem, również z uwagi na treść art. 43 ust. 2 ustawy, Generalny Inspektor nie może w tym zakresie wydać decyzji o której mowa w art. 18 ust. 1 ustawy.

Odnosząc się do kwestii legalności zebrania przez Dyrektora UKS w B. informacji zawartych w zestawieniu zakończonych aukcji Skarżącego odbytych w serwisie (...) w 2006 r. wskazać przed wszystkim należy, że zgromadzony w sprawie materiał dowodowy nie daje podstaw do przyjęcia, iż - co podnosi Skarżący - źródłem tych informacji było Q. Sp. z o.o. Istotnie, Dyrektor UKS w B. wystąpił pismem z dnia (...) lipca 2007 r. do Ministerstwa Finansów o udostępnienie przez "Q (...)" "wykazu aukcji zakończonych", jednakże wyjaśnienia złożone przez Q. Sp. z o.o. (pismo z dnia (...) grudnia 2009 r. - karta 82 akt sprawy) oraz znajdujący się w aktach sprawy (karta 88) wydruk zawierający treść informacji, które Dyrektor UKS w B. uzyskał w odpowiedzi na pismo z dnia (...) lipca 2007 r., nie potwierdzają faktu udostępnienia informacji w zakresie zawartym w zestawieniu zakończonych aukcji Skarżącego odbytych w serwisie (...) w 2006 r. W ocenie Generalnego Inspektora wiarygodne są wyjaśnienia Dyrektora UKS w B. z dnia (...) czerwca 2012 r. z których wynika, iż źródłem informacji zawartych w tym zestawieniu były ogólnodostępne serwisy internetowe. To, że informacje w zakresie zawartym w powyższym zestawieniu były dostępne w Internecie potwierdza treść uzasadnienia (karty 305-306 akt sprawy) wyroku Naczelnego Sądu Administracyjnego z dnia (...) września 2010 r. (sygn. akt (...)) wydanego w sprawie skargi kasacyjnej od wyroku Wojewódzkiego Sądu Administracyjnego w B. z dnia (...) kwietnia 2009 r. (sygn. akt (...)) w sprawie skargi Skarżącego, z którego wynika, że Dyrektor UKS w B. ustalając wielkość dokonywanej przez Skarżącego sprzedaży opierał się na informacjach znajdujących się w serwisach internetowych (...) (informacje dotyczące dokonanych transakcji wraz z datą zakończenia aukcji, opisem przedmiotu, ilością wystawionych sztuk oraz ceną) i (...) (zbiór wszystkich transakcji przeprowadzonych przez użytkownika "(...)" wraz z datami i numerami aukcji oraz komentarzami nabywców). W ocenie Generalnego Inspektora nie można się również zgodzić ze stanowiskiem Skarżącego iż niedopuszczalne było zebranie tych informacji przed wszczęciem postępowania kontrolnego. Uprawnienie do zebrania tych informacji przez Dyrektora UKS w B. wynikało bowiem z art. 7b ustawy o kontroli skarbowej, który znajdował się w rozdziale 1 tej ustawy zatytułowanym "Przepisy ogólne", nie zaś w jej rozdziale 3, dotyczącym postępowania kontrolnego. Zatem, zebranie ww. informacji przez Dyrektora UKS w B., jako będące wynikiem realizacji przez niego uprawnienia określonego w art. 7b ustawy o kontroli skarbowej, znajduje uzasadnienie w przesłance określonej w art. 23 ust. 1 pkt 2 ustawy.

Odnośnie danych osobowych Skarżącego zebranych przez Dyrektora UKS w B., a pochodzących od Q. Sp. z o.o. Generalny Inspektor stoi na stanowisku, iż zebranie tych danych było dopuszczalne. Zauważyć w tym miejscu należy, iż art. 7b ustawy o kontroli skarbowej zawierał w sobie kilka norm. Norma zawarta w zdaniu pierwszym stanowiącym, że organy kontroli skarbowej mogą zbierać i wykorzystywać w celu realizacji ustawowych zadań informacje, w tym dane osobowe, oraz przetwarzać je w rozumieniu przepisów o ochronie danych osobowych, także bez wiedzy i zgody osoby, której dane te dotyczą, daje organom kontroli skarbowej uprawnienie do zbierania danych osobowych w celu realizacji ustawowych zadań. Z kolei norma zawarta w zdaniu drugim art. 7b ustawy o kontroli skarbowej stanowiącym, że administrator danych jest obowiązany udostępnić dane osobowe na podstawie imiennego upoważnienia organu kontroli skarbowej, okazanego przez inspektora lub pracownika wraz z legitymacją służbową, nakłada na administratora danych obowiązek ich udostępnienia w sytuacji wskazanej w tym przepisie. Z wyjaśnień Dyrektora UKS w P. wynika, iż udostępnienie dotyczących Skarżącego informacji nie nastąpiło za okazaniem imiennego upoważnienia organu kontroli skarbowej wraz z legitymacją służbową tj. w sposób określony w zdaniu drugim art. 7b ustawy o kontroli skarbowej. W ocenie Generalnego Inspektora nie można jednak uznać, że po stronie Dyrektora UKS w B. było dopuszczalne zebranie danych osobowych wyłącznie wówczas, gdy wystąpiły okoliczności nakładające wprost na podmiot, który dane udostępnił, obowiązek ich udostępnienia tj. w przypadku okazania imiennego upoważnienia organu kontroli skarbowej wraz z legitymacją służbową. Spełnienie obowiązku wynikającego z przepisu prawa nie jest bowiem jedyną przesłanką dopuszczającą przetwarzanie danych osobowych. Art. 23 ust. 1 pkt 2 ustawy dopuszcza również przetwarzanie danych, jeżeli jest to niezbędne dla zrealizowania uprawnienia wynikającego z przepisu prawa. Zauważyć również należy, że przyjęcie stanowiska, iż przekazanie informacji organom państwowym dopuszczalne jest jedynie w przypadku istnienia wskazanego wprost w ustawie obowiązku administratora danych, mogłoby skutkować brakiem możliwości realizacji przez te organy ich ustawowych zadań. Dotyczyłoby to również Generalnego Inspektora i niniejszego postępowania. W ustawie bowiem, pomimo przyznania Generalnemu Inspektorowi prawa do żądania złożenia wyjaśnień, wglądu do wszelkich dokumentów i wszelkich danych, nie nałożono wprost na podmiot, do którego zwraca się Generalny Inspektor, obowiązku przekazania wyjaśnień, dokumentów lub danych. Podkreślić również należy, że Trybunał Konstytucyjny stwierdzając w wyroku z dnia 17 czerwca 2008 r. (sygn. akt K 8/04) niezgodność art. 7b ustawy o kontroli skarbowej z art. 51 ust. 2 Konstytucji Rzeczypospolitej Polskiej zaznaczył jednocześnie, że "zakres uprawnień kontroli skarbowej, krąg uprawnionych kontrolerów oraz tryb i jej instrumenty, zostały określone w Rozdziale 2a u.k.s., co pozwala stwierdzić, że usunięcie art. 7b u.k.s. z porządku prawnego nie spowoduje komplikacji w sprawnym prowadzeniu bieżących postępowań kontrolnych, a także prowadzenia tych kontroli w przyszłości". Powyższe stanowisko wskazuje, że dopuszczalność zbierania danych osobowych przez organy kontroli skarbowej w tamtym okresie wynikała również z innych przepisów ustawy o kontroli skarbowej niż art. 7b. Powołać w tym miejscu należy art. 11a ust. 1 pkt 4 ustawy o kontroli skarbowej stanowiący - w brzemieniu obowiązującym do 30 lipca 2010 r. - że inspektorzy i pracownicy wykonujący czynności związane z realizacją zadań ustawowych, określonych w art. 2, art. 2a ust. 1 i art. 3 ustawy, mają prawo do zwracania się o niezbędną pomoc do innych jednostek organizacyjnych, przedsiębiorców i organizacji społecznych, jak również zwracania się w nagłych wypadkach do każdej osoby o udzielenie doraźnej pomocy, w ramach obowiązujących przepisów prawa. Odnośnie zarzutów Skarżącego co do legalności umieszczenia przez Dyrektora UKS w B. jego danych w "R." wskazać należy, że niewątpliwie dopuszczalne jest włączenie danych osobowych zebranych przez organ kontroli skarbowej w celu realizacji zadań wynikających z ustawy o kontroli skarbowej do zbioru w którym dane przetwarzane są w tym celu. Podkreślić w tym miejscu należy, iż na dopuszczalność przetwarzania danych osobowych w zbiorze w żadnej mierze nie ma wpływu nazwa jaką administrator danych mu nadał. Na marginesie można jedynie zauważyć, że w ustawie o kontroli skarbowej (art. 4 ust. 1 pkt 1) określenie "zobowiązani do świadczeń pieniężnych" oznacza jedynie jedną z kategorii podmiotów podlegających kontroli podatkowej, obejmującą podatników, a więc osoby fizyczne, osoby prawne i jednostki organizacyjne niemające osobowości prawnej, podlegające na mocy ustaw podatkowych obowiązkowi podatkowemu.

Podsumowując tę część rozważań wskazać należy, że w ocenie Generalnego Inspektora zebranie przez Dyrektora UKS w B. dotyczących Skarżącego informacji udostępnionych przez Bank, informacji zawartych w zestawieniu zakończonych aukcji Skarżącego odbytych w serwisie (...) w 2006 r. i informacji udostępnionych przez Q. Sp. z o.o. oraz przetwarzanie danych osobowych Skarżącego w zbiorze o nazwie "R." było dopuszczalne. Wobec tego brak jest w tym zakresie podstaw do zastosowania środków o których mowa w art. 18 ust. 1 ustawy, co powoduje, że zasadna jest odmowa uwzględnienia wniosku.

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych w związku z art. 127 § 3 Kodeksu postępowania administracyjnego, stronie niezadowolonej z niniejszej decyzji przysługuje, w terminie 14 dni od dnia jej doręczenia, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00 - 193 Warszawa).