WSA w Warszawie zobowiązał GIODO do rozpoznania skargi związanej z Warszawską Kartą Miejską

Po tym, jak Zarząd Transportu Miejskiego w Warszawie wprowadził spersonalizowaną kartę miejską (por. Mam cię - bo muszę) pewien mieszkaniec Warszawy wystąpił do Biura Generalnego Inspektora Ochrony Danych Osobowych w sprawie udzielenia informacji na temat zgodności z ustawą o ochronie danych osobowych przetwarzania danych osobowych przez ZTM. GIODO odpowiedział, że zasady wydawania oraz korzystania ze spersonalizowanej Karty Miejskiej zostały określone w uchwale Rady Warszawy i, że akty prawa miejscowego, takie jak uchwała rady gminy, są aktami powszechnie obowiązującego prawa. Mieszkaniec Warszawy zatem zwrócił się do GIODO ze skargą o zbadanie legalności przetwarzania swoich danych osobowych, wnosząc jednocześnie o nakazanie zaprzestania przetwarzania jego danych osobowych niezgodnie z prawem. Poinformował, iż sprawa dotyczy wymagań określonych przez ZTM przy składaniu wniosku o spersonalizowaną Warszawską Kartę Miejską, tj. podanie swego imienia, nazwiska oraz numeru PESEL, co jego zdaniem, narusza art. 51 ust. 1 Konstytucji RP. Chociaż w GIODO uruchomiono postępowanie wyjaśniające, to jednak - jak podniósł mieszkaniec Warszawy w skardze do Wojewódzkiego Sądu Administracyjnego - doszło do bezczynności, polegającej na nierozpatrzeniu skargi. W efekcie WSA w Warszawie wydał wyrok z 19 listopada 2010 r. (sygn. II SAB/Wa 220/10).

Uruchamiając postępowanie przed WSA skarżący zarzucił Generalnemu Inspektorowi Ochrony Danych Osobowych nieuzasadnioną opieszałość w rozpatrzeniu skargi dotyczącej niezgodnego z prawem przetwarzania danych osobowych przez ZTM, bowiem, pomimo iż pismem z kwietnia 2010 r. został poinformowany przez organ o przedstawieniu jego zarzutów do ZTM i konieczności złożenia stosownych wyjaśnień w sprawie, to do czerwca 2010 r. (do dnia złożenia skargi) nie została ona rozstrzygnięta. WSA zobowiązał GIODO do rozpoznania skargi i zasądził od GIODO na rzecz skarżącego kwotę 105,65 zł tytułem zwrotu kosztów postępowania.

Na marginesie należy odnotować, że GIODO w 2009 roku przeprowadził kontrolę w Zarządzie Transportu Miejskiego i wówczas wydał decyzję, którą nakazał ZTM usunięcie uchybień w procesie przetwarzania danych osobowych polegających na: gromadzeniu przez ZTM zbyt wielu danych o pasażerach, w tym zaprzestanie pozyskiwania numeru spersonalizowanej Warszawskiej Karty Miejskiej w trakcie dokonywania jej kolejnych kasowań , o ile nie dochodzi wyłącznie do aktywacji karty, gromadzeniu przez ZTM zbyt wielu danych o pasażerach. m.in. informacji o lokalizacji podróżujących, gromadzeniu wizerunku osób, nie dłużej niż jest to niezbędne dla osiągnięcia celu przetwarzania tych danych , czyli do momentu wydania spersonalizowanej Warszawskiej Karty Miejskiej. W swojej decyzji GIODO nakazał również określenie terminów usuwania danych pozyskanych za pomocą wniosków o wydanie WKM. O decyzji tej pisałem w tekście Po decyzji GIODO w sprawie ZTM i Warszawskiej Karty Miejskiej (treść decyzji DIS/DEC- 598/24248/09 dot. DIS-K-421/88/09 z dnia 3 lipca 2009 (PDF) została opublikowana na stronie GIODO).

Druga notatka na marginesie musi dotyczyć niedawnego "wycieku" danych osobowych, które zostały wykorzystane do wysyłki listów promujących jednego z kandydatów w wyborach samorządowych we Wrocławiu (por. Spam polityczny: ciekną dane z wrocławskiej urbancard).

Wracając do "warszawskiej" skargi na bezczynność GIODO - jak czytam w opublikowanym właśnie na stronach Centralnej Bazy Orzeczeń Sądów Administracyjnych uzasadnieniu wyroku sygn. II SAB/Wa 220/10:

(...)
W niniejszej sprawie nie jest sporne, że Generalny Inspektor Ochrony Danych Osobowych podejmował czynności w postępowaniu wszczętym skargą W.S. Jednakże, działania organu - mające na celu zebranie w sposób wyczerpujący całego materiału dowodowego - nie doprowadziły do załatwienia sprawy w terminie określonym w art. 35 § 3 k.p.a., przewidzianym dla sprawy szczególnie skomplikowanej.

W toku postępowania występowały opóźnienia, których nie można uznać - przy uwzględnieniu § 5 powołanego artykułu - za niepodlegające wliczeniu do terminów przewidzianych w art. 35 k.p.a., co w konsekwencji powoduje konieczność uwzględnienia skargi. Organ kilkakrotnie pozostawał w nieuzasadnionej, zależnej wyłącznie od organu, zwłoce w dokonywaniu czynności w sprawie.

Przed wydaniem decyzji administracyjnej organ obowiązany jest w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy (art. 77 k.p.a.). Postępowanie w sprawie musi być jednak prowadzone z poszanowaniem innych przepisów k.p.a., w tym m.in. art. 35 powołanej ustawy. Generalny Inspektor Ochrony Danych Osobowych zawiadamiał skarżącego kilkakrotnie, iż w jego sprawie podejmuje czynności wyjaśniające, informując o konieczności uzupełnienia materiału dowodowego w związku z czym ulegnie przedłużeniu termin do wydania decyzji administracyjnej, jednakże nigdy nie określił przewidywanego (chociażby przybliżonego) terminu zakończenia postępowania wbrew obowiązkowi wynikającemu z art. 36 § 1 k.p.a.

Podkreślić należy, iż po wpłynięciu skargi W.S. do Biura Generalnego Inspektora Ochrony Danych Osobowych w dniu [...] lutego 2010 r., sprecyzowanej przez wnioskodawcę pismem z dnia [...] marca 2010 r. i uiszczeniu opłaty skarbowej, właściwe czynności wyjaśniające w przedmiotowej sprawie, tj. wezwanie Dyrektora Zarządu Transportu Miejskiego w W., na podstawie art. 14 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 101, poz. 926 ze zm.), do pisemnego ustosunkowania się do treści skargi, w szczególności na jakiej podstawie prawnej i w jakim celu ZTM przetwarza dane osobowe skarżącego, w tym zwłaszcza w zakresie jego numeru PESEL, zostały podjęte przez organ dopiero w dniu [...] kwietnia 2010 r.

Jak wynika z akt administracyjnych Generalny Inspektor Ochrony Danych Osobowych dwukrotnie pismami z dnia [...] czerwca 2010 r. i z dnia [...] czerwca 2010 r. wzywał Dyrektora Zarządu Transportu Miejskiego w W. do udzielenia odpowiedzi na pytania zadane w treści pisma organu z dnia [...] kwietnia 2010 r. oraz nadesłania kopii ewentualnych dokumentów potwierdzających złożone wyjaśnienia.

Po udzieleniu odpowiedzi przez Dyrektora Zarządu Transportu Miejskiego w W. w dniu [...] czerwca 2010 r. na powyższe wezwania, organ pismem z dnia [...] czerwca 2010 r. poinformował strony o przeprowadzeniu postępowania administracyjnego, w wyniku którego został zgromadzony materiał dowodowy wystarczający do wydania decyzji administracyjnej, jednocześnie pouczając o treści art. 10 § 1 k.p.a., tj. prawie wypowiedzenia co do zebranych w toku postępowania dowodów i materiałów oraz zgłoszonych żądań, a także o art. 73 § 1 k.p.a., czyli prawie przeglądania akt sprawy oraz sporządzania z nich notatek i odpisów.

Po zapoznaniu się z aktami sprawy, W.S. w piśmie z dnia [...] lipca 2010 r. odniósł się do argumentów zawartych w dwóch pismach Dyrektora Zarządu Transportu Miejskiego w W. i wskazał, że nigdy nie wyraził zgody na przetwarzanie jego numeru PESEL przez ZTM. Podał, iż od czasu kiedy pracownik ZTM odmówił przyjęcia od niego wniosku z niewypełnionym numerem PESEL z komunikacji miejskiej korzysta wyłącznie na podstawie biletów na okaziciela.

Następnie, Generalny Inspektor Ochrony Danych Osobowych pismem z dnia [...] lipca 2010 r. wezwał Dyrektora Zarządu Transportu Miejskiego w W. do ustosunkowania się do tego zarzutu, poprzez wskazanie w jakim zbiorze ZTM przetwarza dane osobowe skarżącego w zakresie jego numeru PESEL oraz przesłanie dowodów potwierdzających złożone wyjaśnienia, w szczególności kopii złożonego przez W.S. wniosku o wydanie imiennej [...] Karty Miejskiej.

Pismem z dnia [...] lipca 2010 r. Dyrektor Zarządu Transportu Miejskiego w W. poinformował organ, iż w systemie informatycznym figuruje więcej niż jedna osoba o imieniu i nazwisku W.S. i zwrócił się z prośbą o podanie numeru PESEL celem jego jednoznacznej identyfikacji.

W związku z faktem, iż organ nie dysponował tą informacją, a jej uzyskanie okazało się niemożliwe, pismem z dnia [...] września 2010 r. organ zwrócił się do ZTM o jednoznaczne, w oparciu o inne kryteria wyszukania, np. adres zamieszkania skarżącego, wskazanie, czy, a jeżeli tak to na jakiej podstawie, w jakim celu oraz w jakim zbiorze ZTM przetwarza numer PESEL wnioskodawcy oraz przesłanie dowodów na potwierdzenie udzielonych wyjaśnień.

Reasumując, należy wskazać, że od dnia [...] kwietnia 2010 r., czyli podjęcia pierwszych, właściwych czynności w przedmiotowej sprawie, poprzez kolejne wezwania kierowane do ZTM oraz od dnia [...] września 2010 r., czyli momentu zwrócenia się przez Dyrektora Departamentu Orzecznictwa, Legislacji i Skarg Generalnego Inspektora Ochrony Danych Osobowych do Dyrektora Departamentu Inspekcji o przeprowadzenie kontroli w ZTM, do dnia rozpoznania niniejszej skargi, nie zostały podjęte przez organ żadne czynności zmierzające do wydania decyzji administracyjnej.

Skoro zatem przedmiotowe postępowanie nie zostało zakończone przez organ w formie przewidywanej przepisami prawa z uwzględnieniem art. 35 § 3 i § 5 k.p.a. oraz art. 36 k.p.a. to organ pozostaje w bezczynności.

Podnieść należy, że instytucja skargi na bezczynność ma na celu ochronę strony przed nieuzasadnioną przewlekłością postępowania administracyjnego oraz dyscyplinującą organ do załatwiania spraw w przewidzianych prawem terminach. Stosownie zaś do treści art. 149 powołanej ustawy – Prawo o postępowaniu przed sądami administracyjnymi, Sąd uznając skargę na bezczynność za zasadną, zobowiązuje organ do wydania w zakreślonym terminie aktu lub dokonania czynności.

Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie wskazanego wyżej art. 149 cytowanej ustawy, orzekł jak w sentencji wyroku.