I OSK 3053/14

SENTENCJA Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Irena Kamińska (spr.) Sędziowie: Sędzia NSA Izabella Kulig- Maciszewska Sędzia del. WSA Olga Żurawska- Matusiak Protokolant starszy sekretarz sądowy Magdalena Błaszczyk po rozpoznaniu w dniu 10 grudnia 2015r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej N. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 2 lipca 2014 r. sygn. akt II SA/Wa 749/14 w sprawie ze skarg W.S. oraz N. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 5 stycznia 2012 r. nr [...] w przedmiocie obowiązku informacyjnego odnośnie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od N. na rzecz Generalnego Inspektora Ochrony Danych Osobowych kwotę 180 (sto osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego. UZASADNIENIE W.S. złożył do Generalnego Inspektora Ochrony Danych Osobowych skargę o nakazanie N. Sp. z siedzibą w Warszawie udzielenia informacji w sprawie przetwarzania jego danych osobowych. Z treści skargi wynikało, iż W.S. zarzuca Spółce naruszenie przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, poprzez niewypełnienie wobec niego obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy. W skardze sformułowany został wniosek o wydanie decyzji administracyjnej "nakazującej" N.. (...) udzielenie skarżącemu informacji odnośnie przetwarzania jego danych osobowych zgodnie z jego wnioskiem z dnia 2 listopada 2010 r. skierowanym do N. W celu rozpatrzenia przedmiotowego wniosku GIODO przeprowadził postępowanie wyjaśniające, w toku którego ustalił, że pismem z dnia 2 listopada 2010 r. W.S. wystąpił do N.. na podstawie art. 33 ust. 1-2 ustawy o ochronie danych osobowych o udzielenie informacji na piśmie w następującym zakresie: jakie jego dane osobowe są przetwarzane przez N. oraz przez podmioty działające na zlecenie N., w jaki sposób zebrano te dane osobowe, w jakim celu są one przetwarzane oraz w jakim zakresie oraz komu zostały udostępnione te dane osobowe. Na powyższe pismo N.. nie udzieliła odpowiedzi wnioskodawcy. Po wpłynięciu skargi do GIODO Spółka w dniu 20 stycznia 2011 r. skierowała pismo do W.S., w którym zwróciła się o podanie numeru telefonu, na który w dniu 26 października 2010 r. o godz. 20:17 wykonane zostało połączenie telefoniczne, które zdaniem skarżącego było akcją marketingową w imieniu N. Następnie w piśmie z dnia 11 marca 2011 r. skierowanym do skarżącego Spółka poinformowała, iż "nie przetwarza danych osobowych W.S. (...). W chwili obecnej dane W.S. są przetwarzane w związku z prowadzoną korespondencją oraz prowadzonym przez GIODO postępowaniem". Ponadto, Spółka wyjaśniła, iż "podmioty działające na zlecenie Spółki również w chwili obecnej nie przetwarzają danych osobowych W.S.. Dane W.S. zostały pozyskane od T., jak bowiem każdy inny operator korzystający z usług hurtowych T. N.. ma dostęp do tzw. Informacji Ogólnych, których zakres jest zdefiniowany w Ofercie Ramowej wydanej przez UKE". Ponadto zostało wskazane, iż "Spółka przekazała informację ogólnodostępną (jedynie nr telefonu) podmiotom współpracującym ze Spółką, realizującym wsparcie procesu telesprzedaży usług Spółki". W piśmie z dnia 14 marca 2011 r. skierowanym do GIODO N. wyjaśniła natomiast, iż "w chwili obecnej Spółka przetwarza dane W.S. na podstawie art. 23 ust. 1 pkt 5 ustawy, w związku z prowadzonym przez GIODO postępowaniem oraz prowadzoną korespondencją ze skarżącym za pośrednictwem jego pełnomocnika". Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia 1 lipca 2011 r. nr [...]) nakazał N. z siedzibą w Warszawie, spełnienie wobec W.S. obowiązku informacyjnego określonego w art. 33 ust. 1-2 ustawy o ochronie danych osobowych, tj. udzielenie informacji jakie jego dane osobowe są przetwarzane przez N. oraz przez podmioty działające na zlecenie N. oraz w jakim zakresie i komu zostały udostępnione dane osobowe W.S., natomiast w pozostałym zakresie odmówił uwzględnienia wniosku. W uzasadnieniu decyzji GIODO podkreślił, iż w niniejszej sprawie zbadał zarówno legalność przetwarzania danych osobowych skarżącego jak również okoliczność niewypełnienia wobec niego obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy. W ocenie organu nie ma podstaw do stwierdzenia, iż dane osobowe skarżącego zostały pozyskane przez Spółkę w sposób sprzeczny z ustawą o ochronie danych osobowych. Ustalone w sprawie okoliczności faktyczne nakazują bowiem uznać, iż dane osobowe skarżącego Spółka pozyskała od T. na zasadzie dostępu "do tzw. Informacji Ogólnych, których zakres zdefiniowany jest w Ofercie Ramowej wydanej przez UKE. Informacje te zawierają między innymi adresy lokali związanych z węzłami LLU (Local loop unbundling) oraz numery telefonów związanych z węzłami LLU". Podstawowym celem oferty ramowej jest zaś rzeczywiste otwarcie rynku dostępu do pętli abonenckiej w Polsce, poprzez obniżenie opłat i ustalenie precyzyjnych zasad współpracy operatorów. Organ powołał się przy tym na treść art. 43 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. Nr 171, poz. 1800 z późn. zm.) w konkluzji stwierdzając, iż Spółka pozyskała dane skarżącego na podstawie art. 23 ust. 1 pkt 5 ustawy, w wyniku wykonywania prowadzonej działalności gospodarczej w celach marketingowych. Spółka jako operator działający na polskim rynku i korzystający z usług hurtowych T. miała prawo pozyskać numer telefonu skarżącego w ramach dostępu do węzłów L., pod warunkiem, iż nie był to numer zastrzeżony. Odnosząc się zaś do kwestii niewypełnienia wobec skarżącego przez Spółkę w terminie ustawowym obowiązku informacyjnego określonego w art. 33 ust. 1 ustawy organ wskazał, iż do dnia dzisiejszego Spółka nie udzieliła pełnej odpowiedzi w żądanym przez skarżącego zakresie. Spółka poinformowała skarżącego skąd pozyskała jego dane oraz o celu ich pozyskania i przetwarzania. Spółka wypełniając ciążący na niej obowiązek zobowiązana była jednak do udzielenia pełnej odpowiedzi skierowanej bezpośrednio do skarżącego, w której dokładnie ustosunkowałaby się do treści jego pytań. Spółka poza wskazaniem źródła i celu pozyskania oraz przetwarzania danych, powinna była zatem wyjaśnić skarżącemu jakie jego dane osobowe są przetwarzane przez N. oraz przez podmioty działające na zlecenie N., a także w jakim zakresie oraz komu zostały one udostępnione. Wobec powyższego zasadne było zdaniem GIODO nakazanie udzielenia przez Spółkę informacji skarżącemu, w zakresie wskazanym w decyzji. Działanie Spółki niewątpliwie naruszyło bowiem przepisy ustawy o ochronie danych osobowych, w zakresie niewypełniania dyspozycji jej art. 33. Powyższa decyzja została zaskarżona przez obie strony postępowania, które wystąpiły do GIODO z wnioskami o ponowne rozpatrzenie sprawy. W.S. we wniosku o ponowne rozpatrzenie sprawy zarzucił organowi nienależyte wyjaśnienie ustalonego stanu faktycznego wskazując, iż jego imię i nazwisko było przetwarzane przez Spółkę "co najmniej od chwili złożenia (...) propozycji o charakterze marketingowym w toku rozmowy telefonicznej, a to ze względu na sposób rozmowy, tj. zwracanie się (...) z wykorzystaniem imienia i nazwiska." Ponadto, skarżący podniósł, iż N. nie podała, kiedy pozyskała jego dane, bowiem "(...) oferta ramowa określająca ramowe warunki dostępu telekomunikacyjnego w zakresie rozpoczynania i zakańczania połączeń, hurtowego dostępu do sieci T. dostępu do łączy abonenckich w sposób zapewniający dostęp pełny lub współdzielony (...)" stanowi, że "udostępnieniu podlegają m.in. adres zakończenia sieci (adres abonenta) oraz dane łącza (numer telefonu), a nie imię i nazwisko abonenta". Jednocześnie, skarżący wskazał, iż celem udostępnienia informacji ogólnych jest umożliwienie podjęcia decyzji o współpracy z T., nie zaś ułatwienie działań marketingowych przedsiębiorcy telekomunikacyjnego. W związku z powyższym skarżący podniósł, iż mogło dojść do naruszenia przez Spółkę art. 23 ust. 1 pkt 5 oraz art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych. N. we wniosku o ponownego rozpatrzenie sprawy wskazała natomiast, iż spełnienie obowiązku informacyjnego płynącego z art. 33 ust. 1 ustawy o ochronie danych osobowych dotyczy tylko tych administratorów danych, którzy przetwarzają dane w zbiorze a nie w zestawie co ma miejsce w przedmiotowym przypadku. Spółka zaznaczyła, że pisma dotyczące W.S. przechowuje w segregatorze ułożone wg daty wpływu lub wysłania pisma. Ponadto, Spółka podniosła, iż numer telefonu w chwili przekazywania danych nie był połączony z jakimikolwiek innymi danymi, a zatem nie umożliwiał określenia tożsamości osoby, której dotyczył, bez ponoszenia nadmiernych kosztów, czasu lub działań po stronie Spółki, co w konsekwencji oznacza, iż numer ten nie był daną osobową. W związku z zarzutami podniesionymi we wniosku W.S. GIODO zwrócił się pisemnie do N. o dodatkowe wyjaśnienia. W odpowiedzi na ww. pismo, Spółka w piśmie z dnia 8 listopada 2011 r. wyjaśniła, iż uzyskała w kwietniu 2008 roku jedynie numer telefonu W.S. N. pozyskała dwukrotnie dane W.S. Po raz pierwszy dane pozyskał partner na podstawie art. 23 ust. 1 pkt 5 w związku z art. 2 ust. 3 ustawy ze spisu abonentów. Po raz drugi dane W.S. zostały pozyskane na podstawie art. 23 ust. 1 pkt 5 ustawy, w związku z prowadzoną korespondencją pomiędzy N., a skarżącym. Ponadto, Spółka wyjaśniła, że powiązanie numeru telefonu z danymi W.S. nastąpiło w pozyskanej od skarżącego informacji dotyczącej przedmiotowego numeru (skarżący podał numer telefonu na jaki kontaktował się partner), a powiązanie to istnieje jedynie w przedmiotowej korespondencji. GIODO, w wyniku ponownego rozpatrzenia sprawy, decyzją nr [...] z dnia 5 stycznia 2012 r. utrzymał w mocy swoją wcześniejszą decyzję z dnia 1 lipca 2011 r. W uzasadnieniu decyzji organ podtrzymał swoją wcześniejszą argumentację. Odnosząc się do zarzutu W.S., że jego imię i nazwisko znane było Spółce co najmniej od chwili złożenia propozycji o charakterze marketingowym w toku rozmowy telefonicznej organ podniósł, iż skarżący nie wskazał na żadne nowe okoliczności w tej kwestii, jak również nie przedłożył dowodów, które potwierdzałyby stawiany zarzut. Organ w ramach uzupełnienia materiału dowodowego uzyskał natomiast od Spółki w piśmie z dnia 8 listopada 2011 r. dodatkowe wyjaśnienia, z których wynika, że Spółka pozyskała jedynie numer telefonu skarżącego w kwietniu 2008 r., zaś powiązanie numeru telefonu z danymi osobowymi skarżącego nastąpiło w wyniku dostępu do spisu abonentów, o czym Spółka informowała skarżącego w piśmie z dnia 11 marca 2011 r. Nie można zatem uznać, iż Spółka składała "propozycję o charakterze marketingowym" z naruszeniem ustawy o ochronie danych osobowych. Nie można też wykluczyć, iż Spółka uzyskała dostęp do tego spisu od T. w ramach umowy o korzystanie z pętli abonenckiej, o której właściwościach Spółka wcześniej posiadała informacje jedynie w zakresie wskazanym w ramach dostępu do "Informacji Ogólnych zdefiniowanych w Ofercie Ramowej". W kwestii natomiast zarzutu W.S., dotyczącego możliwości naruszenia przez Spółkę art. 23 ust. 1 pkt 5 oraz art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych organ wskazał, iż brak jest dowodów na to, że Spółka – w ramach dostępu do "Informacji ogólnych (...)" pozyskała dane osobowe skarżącego, w tym także jego imię i nazwisko, a następnie przetwarzała te dane w celu marketingu własnych produktów i usług. Powiązanie numeru telefonu z danymi osobowymi skarżącego nastąpiło w późniejszym okresie ze spisu abonentów, do którego dostęp wymaga hasła i loginu, a zatem nie jest to powszechny, jawny i ogólnodostępny spis abonentów. Może to wskazywać, iż Spółka otrzymała na mocy stosownych porozumień, dostęp do tego spisu od T. w ramach zawarcia umowy o korzystanie z pętli, której informacje ogólne są ogłaszane przez Prezesa Urzędu Komunikacji Elektronicznej. Organ zwrócił przy tym uwagę, że nie jest możliwe zwiększenie konkurencyjności na rynku, jeżeli przedsiębiorca telekomunikacyjny nie ma możliwości przedstawienia swojej oferty w trakcie rozmowy telefonicznej z potencjalnym klientem (przyszłym abonentem). Zmiany w ustawie z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne mają natomiast na celu dostosowanie przepisów krajowych do przepisów unijnych, które przewidują m.in. poprawę konkurencyjności, umożliwienie przejścia operatorów pomiędzy operatorami, czy też zapewnienie migracji z usług BSA i WLR do dostępu LLU, zaś brak dostosowania tych przepisów do przepisów unijnych może prowadzić do konieczności stosowania przepisów unijnych wprost, także w zakresie, w jakim aktualne możliwości infrastrukturalne nie umożliwiają ich wdrożenia. Nie jest zatem właściwym stawianie zarzutu naruszenia ustawy o ochronie danych osobowych przez Spółkę w sytuacji, gdy przedsiębiorca telekomunikacyjny realizuje postanowienia przepisów prawa. Odnosząc się natomiast do zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy przez N., organ przypomniał, iż zgodnie z brzmieniem art. 7 pkt 1 ustawy o ochronie danych osobowych, zbiorem danych jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Powołując się obszernie na poglądy doktryny oraz orzecznictwo co do rozumienia pojęcia zbioru danych organ stwierdził, iż za bezzasadne należy uznać twierdzenie Spółki, wskazane w jej piśmie z dnia 14 marca 2011 r., iż nie przetwarza danych W.S. w żadnym zbiorze danych osobowych, bowiem analiza przepisów prawa, doktryny i orzecznictwa dowodzi, iż zestaw danych osobowych dotyczący skarżącego, a przetwarzany przez Spółkę w korespondencji w niniejszej sprawie, wypełnia przesłanki ustawowe definicji zbioru danych osobowych. Nie można też zdaniem GIODO uznać za zasadne twierdzenia Spółki, iż przekazując informację ogólnodostępną podmiotom współpracującym ze Spółką w postaci numeru telefonu, nie udostępniono danych W.S. Zarówno W.S., jak i N.. wnieśli skargi na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie. GIODO w odpowiedzi na powyższe skargi wniósł o ich oddalenie podtrzymując w całości stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 4 czerwca 2012 r. o sygn. akt II SA/Wa 289/12 uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 1 lipca 2011 r. i stwierdził, że zaskarżona decyzja nie podlega wykonaniu w całości z uwagi na naruszenie zarówno przepisów postępowania w stopniu mogącym mieć wpływ na wynik sprawy, jak też przepisu prawa materialnego poprzez jego niewłaściwą interpretację. Naczelny Sąd Administracyjny wyrokiem z dnia 21 lutego 2014 r. sygn. akt I OSK 2068/12 uchylił zaskarżony wyrok i przekazał sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. W uzasadnieniu zaś podał, że Sąd I instancji z jednej strony przyjął, iż organ nie poczynił w sprawie istotnych ustaleń, a z drugiej strony wywiódł, że takie ustalenia poczyniono poprzez przyjęcie braku przetwarzania danych osobowych w związku z propozycją marketingową i ich przetwarzanie odnoszące się do danych osobowych skarżącego związanych z korespondencją w niniejszej sprawie. Wskazana rozbieżność wyklucza dokonanie kontroli sądowo-administracyjnej, która w okolicznościach niniejszej sprawy winna doprowadzić do zbadania legalności działania Generalnego Inspektora Ochrony Danych Osobowych w trybie przepisów ustawy o ochronie danych osobowych. Konstrukcja uzasadnienia wyroku, na którą składają się wskazane rozbieżności, nie pozwala na odtworzenie toku myślowego Sądu I instancji. W ocenie Naczelnego Sądu Administracyjnego analiza obu decyzji organu prowadzi do wręcz przeciwnych wniosków. Wynika z niej, że Generalny Inspektor Ochrony Danych Osobowych poczynił rozważania i ustalenia co do przetwarzania danych osobowych skarżącego zarówno odnosząc się do tych, które Spółka pozyskała w celach marketingowych, jak i związanych z korespondencją w niniejszej sprawie. Jednocześnie Naczelny Sąd Administracyjny zalecił, by Sąd I instancji ocenił ich zgodność z mającymi zastosowanie w sprawie przepisami prawa materialnego zawartymi w ustawie o ochronie danych osobowych, jak i z normami prawa procesowego stanowiącymi o konieczności zgromadzenia wyczerpującego materiału dowodowego, zgodnie z art. 7 i 77 § 1 Kpa oraz jego oceny zgodnie z art. 80 Kpa. Wojewódzki Sąd Administracyjny w Warszawie ponownie rozpoznając sprawę wyrokiem z dnia 2 lipca 2014 r., II SA/Wa 749/14 oddalił skargę. Sąd pierwszej instancji stwierdził, że dane osobowe skarżącego przechowywane przez N. w korespondencji w niniejszej sprawie, w zakresie imienia, nazwiska, danych pełnomocnika, adresu i numeru telefonu, wbrew stanowisku Spółki, stanowią zestaw danych, do których dostęp jest możliwy poprzez wskazanie jednego kryterium, tj. daty wpływu lub daty wysłania pisma. Tym samym stanowią zbiór danych osobowych w rozumieniu u.o.d.o., zatem w sprawie znajduje zastosowanie przepis art. 33 ust. 1 i 2 uodo. Sąd w pełni zaakceptował ustalenia faktyczne poczynione przez Generalnego Inspektora Ochrony Danych Osobowych wskazujące, iż dane osobowe skarżącego zostały pozyskane przez Spółkę zgodnie z prawem, tj. na zasadzie dostępu do tzw. "Informacji Ogólnych", których zakres zdefiniowany jest w Ofercie Ramowej wydanej przez UKE. Informacje te zawierają m.in. adresy lokali związanych z węzłami LLU (Local loop unbundling) oraz numery telefonów związanych z węzłami LLU. Podstawowym celem oferty ramowej jest bowiem rzeczywiste otwarcie rynku dostępu do pętli abonenckiej w Polsce poprzez obniżenie opłat i ustalenie precyzyjnych zasad współpracy operatorów. Za uprawnione WSA w Warszawie uznał stwierdzenie, że przetwarzanie danych osobowych skarżącego opiera się na podstawie prawnie określonej w art. 23 ust. 1 pkt 5 u.o.d.o. (prawnie usprawiedliwiony cel), za który uważa się marketing bezpośredni własnych produktów lub usług administratora danych (art. 23 ust. 4 pkt 1 uodo). N. jako jeden z operatorów telekomunikacyjnych działających na polskim rynku i korzystający z usług T. (obecnie O.) miał prawo pozyskać numer telefonu skarżącego w ramach dostępu do węzłów LLU, jeśli numer ten nie był zastrzeżony. Sąd wskazał, że skarżący nie przedstawił żadnych dowodów na okoliczność, iż Spółka pozyskała jego dane osobowe w zakresie imienia i nazwiska w sposób bezprawny. Z wiarygodne Sąd ten przyjął wyjaśnienia Spółki, że pozyskała ona jedynie numer telefonu skarżącego w kwietniu 2008 r., zaś powiązanie numerem telefonu skarżącego z jego danymi osobowymi nastąpiło w wyniku dostępu do spisu abonentów. W ocenie Sądu zarówno zaskarżona decyzja, jak i decyzja poprzedzająca, zostały podjęte po przeprowadzeniu postępowania administracyjnego spełniającego wymagania przewidziane w przepisach k.p.a. W szczególności organ podjął wszelkie kroki niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy (art. 7 k.p.a.), w sposób wyczerpujący zebrał i rozpatrzył cały materiał dowodowy (art. 77 § 1 k.p.a.) oraz dokonał oceny dowodów na zasadzie art. 80 Kpa. W oparciu o przepis art. 14 pkt 2 u.o.d.o. zażądał od stron postępowania pisemnych wyjaśnień w zakresie niezbędnym do ustalenia stanu faktycznego i takie wyjaśnienia uzyskał, zaś zarzut naruszenia tego przepisu podniesiony przez skarżącego jest chybiony. Także zarzut naruszenia art. 107 § 1 w zw. z art. 9 i art. 11 k.p.a. poprzez nieodniesienie się do zarzutu, że N. naruszyła przepisy art. 23 ust. 1 pkt 5 w zw. z art. 26 ust. 1 pkt 2 u.o.d.o., nie znajdował zdaniem WSA w Warszawie uzasadnienia. Po pierwsze zaskarżona decyzja zawiera wszystkie elementy, o jakich mowa w przepisie art. 107 § 1 k.p.a., po drugie zaś organ w sposób logiczny uzasadnił swoje rozstrzygnięcie ze wskazaniem przepisów prawa, które miały zastosowanie w sprawie, jak i okoliczności uwzględnionych przy podjętych rozstrzygnięciach. Za nietrafny Sąd uznał zarzut skarżącej Spółki naruszenia art. 107 § 3 Kpa, poprzez brak wszechstronnego wyjaśnienia podstawy prawnej decyzji tj. brak wskazania, dlaczego zestawy, w których dane osobowe są dostępne tylko według jednego kryterium, należy uznać za zbiory danych w rozumieniu u.o.d.o. W tym zakresie, jak wskazał WSA w Warszawie, Generalny Inspektor przedstawił obszerny wywód poparty poglądami doktryny. Pozostałe zarzuty skarżącej Spółki naruszenia prawa procesowego i materialnego, będące konsekwencją przyjęcia przez organ, iż w niniejszej sprawie mamy do czynienia z danymi osobowymi skarżącego zawartymi w zbiorze danych, w tej sytuacji Sąd pierwszej instancji uznał za chybione. . Skargę kasacyjną od powyższego wyroku wniosła N. z siedzibą w Warszawie. Postawiła w niej pod adresem orzeczenia trzy zarzuty. Po pierwsze, naruszenia art. 7 pkt 1 u.o.d.o. przez uznanie, że ze zbiorem danych osobowych mamy do czynienia nawet wówczas, gdy dane osobowe są dostępne w zestawie tylko według jednego kryterium wyszukiwawczego, wbrew literalnemu brzmieniu tego przepisu, w którym mowa jest o "kryteriach" w liczbie mnogiej. Po drugie, naruszenia art. 33 ust. 1 i 2 u.o.d.o. przez uznane, że znajduje ten przepis zastosowanie w sprawie i utrzymanie w mocy decyzji GIODO zobowiązującej N. do spełnienia wobec Uczestnika obowiązku informacyjnego określonego w art. 33 u.o.d.o. pomimo, że dane osobowe Uczestnika nie są zawarte w zbiorze danych osobowych ze względu wskazanego w pierwszym zarzucie skargi kasacyjnej. Po trzecie, naruszenia art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. 3 § 2 pkt 1 p.p.s.a. przez jego niezastosowanie, pomimo istnienia podstaw do uchylenia decyzji GIODO z powodu naruszenia przez GIODO przepisów postępowania, które miało istotny wpływ na wynik sprawy, gdyż doprowadziło do błędnego ustalenia, że N. przetwarza dane W.S. w zbiorze danych osobowych, pomimo że jedyne kryterium wyszukiwawcze stosowania przez N., tj data wpływu lub data wysłania pisma nie pozwala na bezpośredni dostęp do poszukiwanej informacji, bez potrzeby przeglądania całego zestawu danych, ponieważ zestaw prowadzony jest w postaci papierowej. W uzasadnieniu skargi kasacyjnej skarżąca powtórzyła m.in., że w przypadku stosowania przez Spółkę jedynie kryterium daty wpływu lub wysłania pisma, jako kryterium porządkującego korespondencję wychodzącą i przychodzącą, nie ma się do czynienia ani z bezpośrednim, ani z łatwym, ani z szybkim dostępem do danych osobowych. Nie ma się tym samym do czynienia ze zbiorem danych. W odpowiedzi na skargę kasacyjną GIODO wniósł o jej oddalenie. Wyjaśnił, że korespondencja, w której posiadaniu jest Spółka, jest zbiorem danych. Naczelny Sąd Administracyjny zważył, co następuje: Skarga kasacyjna nie zawiera usprawiedliwionych podstaw. Istota zarzutów skargi kasacyjnej sprowadza się na obecnym etapie do tego, czy ze zbiorem danych osobowych mamy do czynienia nawet wówczas, gdy dane osobowe są dostępne w zestawie tylko według jednego kryterium wyszukiwawczego, wbrew literalnemu brzmieniu art. 7 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, w którym mowa jest o "kryteriach" w liczbie mnogiej. Zgodnie z tym przepisem przez zbiór danych rozumie się "każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie". Naczelny Sąd Administracyjny w wyroku z dnia 12 stycznia 2007 r. o sygn. akt I OSK 218/06 przyjął, że należy kierować się wykładnią językową ww. przepisu, a odstąpienie od niej byłoby oczywiście sprzeczne z paradygmatem racjonalnego ustawodawcy, który posłużył się w tym przepisie terminem "kryterium" używając go jednak w liczbie mnogiej, co NSA w tym wyroku uznał za świadomy wybór ustawodawcy. Odmienny od tego pogląd wyraził jednak Sąd pierwszej instancji w niniejszej sprawie. Podziela go Naczelny Sąd Administracyjny w składzie w niej orzekającym. W ocenie Naczelnego Sądu Administracyjnego w składzie orzekającym w niniejszej sprawie posłużenie się liczbą mnogą w art. 7 pkt 1 ustawy o ochronie danych osobowych nie może mieć znaczenia decydującego. Nie sposób bowiem wykluczyć, że ustawodawca posłużył się nią nie po to, aby wskazać, że dane dla klasyfikacji ich jako zbioru muszą być dostępne według co najmniej dwóch kryteriów, lecz po to, aby wskazać, że zbiór danych mogą tworzyć różnego rodzaju kryteria (więcej niż jednego rodzaju). A zatem, w ocenie Sądu, wykładnia językowa nie prowadzi do jednoznacznego – nie budzącego żadnych wątpliwości – rezultatu, co nakazuje sięgnąć do pozostałych metod wykładni. W tym kontekście wskazać należy, że biorąc pod uwagę cel i funkcje przepisów o ochronie danych osobowych przychylić należy się do stanowiska, według którego wystarcza występowanie jednego kryterium wyszukiwawczego w zestawieniu danych, aby zaklasyfikować je jako zbiór danych w rozumieniu art. 7 pkt 1 omawianej ustawy. Zauważa się przy tym, że skrupulatne przestrzeganie wymogu co najmniej dwóch kryteriów otwierałoby pole do łatwego obchodzenia ustawy i stawiałoby pod znakiem zapytania osiągnięcie celów, jakim ma służyć, w postaci skutecznej ochrony danych osobowych. Wskazane zapatrywanie prezentowane jest także w literaturze naukowej przedmiotu (zob. J. Barta, P. Fajgielski, R. Markiewicz, Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2011, s. 364-366; M. Sakowska, Pojęcie "zbiór danych" na gruncie ustawy o ochronie danych osobowych, "Radca Prawny" 2005, nr 2, s. 62; G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 47; P. Barta, P. Litwiński, Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2009, s. 109). Dodać wreszcie wypada, że za przyjętym stanowiskiem przemawia również to, że wzmacnia ono i czyni efektywniejszym konstytucyjne prawo, wyrażone w art. 51 ustawy zasadniczej. Tym samym przyjęta przez Naczelny Sąd Administracyjny w niniejszym orzeczeniu wykładnia ma też charakter prokonstytucyjny. Z wszystkich powyższych względów Naczelny Sąd Administracyjny uznał pogląd Sądu pierwszej instancji względem art. 7 pkt 1 ustawy o ochronie danych osobowych za prawidłowy, w konsekwencji czego nie doszło nie tylko do naruszenia przez ten Sąd art. 7 pkt 1, ale także art. 33 ust. 1 i 2 ustawy o ochronie danych osobowych czy art. 145 § 1 pkt 1 lit. c) w zw. z art. 3 § 2 pkt 1 p.p.s.a. Tym samym skarga kasacyjna podlegała oddaleniu na podstawie art. 184 p.p.s.a., zaś o kosztach orzeczono na podstawie art. 204 pkt 1 p.p.s.a.