Wyrok WSA w Warszawie z dnia 19 sierpnia 2008 r., sygn. II SA/Wa 736/08

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Bronisław Szydło, Sędziowie WSA Ewa Kwiecińska (spr.), Anna Mierzejewska, Protokolant Łukasz Bazyluk, po rozpoznaniu na rozprawie w dniu 19 sierpnia 2008 r. sprawy ze skargi P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2008 r. nr [...] w przedmiocie ochrony danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] listopada 2007 r. nr [...]; 2. stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości; 3. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz P. kwotę 457,- zł (słownie: czterysta pięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania.

Uzasadnienie

W dniach 10 - 13 kwietnia 2007 r. Inspektorzy, upoważnieni przez Generalnego Inspektora Ochrony Danych Osobowych, przeprowadzili kontrolę w P. z siedzibą w W. przy ul. [...], zwaną dalej Agencją lub P., w celu ustalenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych (sygn. [...]), tj. ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) oraz rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024).

W oparciu o zgromadzony w toku kontroli materiał dowodowy ustalono, że w procesie przetwarzania danych osobowych P., jako administrator danych, naruszył przepisy o ochronie danych osobowych. Uchybienia te polegały na: - po pierwsze - niezapewnieniu, aby system informatyczny o nazwie "PEFS" (służący do przetwarzania danych osobowych beneficientów ostatecznych) umożliwiał odnotowanie informacji o odbiorcach, w rozumieniu art. 7 pkt 6 przywołanej ustawy, którym dane osobowe zostały udostępnione, dacie i zakresie tego udostępnienia (§ 7 ust. 1 pkt 4 ww. rozporządzenia), a - po drugie - niezapewnieniu, aby system informatyczny o nazwie "PEFS" umożliwiał sporządzenie raportu zawierającego w powszechnie zrozumiałej formie informacje, o których mowa w § 7 ust. 1 pkt 4 cyt. rozporządzenia, tj. informacje o odbiorcach, w rozumieniu art. 7 pkt 6 ustawy, którym dane osobowe zostały udostępnione, dacie i zakresie tego udostępnienia (§ 7 ust. 3 rozporządzenia).