I OSK 2445/12

SENTENCJA Dnia 11 października 2012 r. Naczelny Sąd Administracyjny w składzie: Sędzia NSA Marzenna Linska – Wawrzon po rozpoznaniu w dniu 11 października 2012 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej wniosku o wstrzymanie wykonania zaskarżonej decyzji zawartego w skardze kasacyjnej [...] z siedzibą w M. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 5 lipca 2012 r., sygn. akt II SA/Wa 630/12, oddalającego skargę [...] z siedzibą w M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych postanawia: odmówić wstrzymania wykonania zaskarżonej decyzji. UZASADNIENIE Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 5 lipca 2012 r., sygn. akt II SA/Wa 630/12, oddalił skargę [...] z siedzibą w M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2012 r. nr [...], w przedmiocie przetwarzania danych osobowych, na mocy której zobowiązano stronę skarżącą do wyznaczenia administratora bezpieczeństwa informacji. W skardze kasacyjnej od powyższego wyroku [...] wniosła o wstrzymanie wykonania zaskarżonej decyzji. W uzasadnieniu wniosku podniesiono, że w przedmiotowej sprawie występują trzy okoliczności realizujące przewidziane w art. 61 § 3 p.p.s.a. przesłanki uzasadniające wstrzymanie wykonalności decyzji. Po pierwsze, wyznaczenie administratora bezpieczeństwa informacji (ABI) wiąże się z koniecznością nawiązania stosunku (pracowniczego lub cywilnoprawnego) z osobą, która będzie wykonywała zadania przypisane dla tej funkcji. Powoduje to również konieczność tworzenia struktury organizacyjnej na terytorium RP lub działającej dla potrzeb operacji na danych wykonywanych w Polsce. Stanie się to w sytuacji, gdy funkcjonowanie zbioru danych ma charakter doraźny, co potwierdził GIODO stwierdzając istnienie przesłanek określonych w art. 2 ust. 3 u.o.d.o. Ponadto, konsekwencją wykonania decyzji jest dokonanie istotnych zmian w zakresie zasad bezpieczeństwa organizacyjnego w przedsięwzięciu o charakterze globalnymi (tj. projekcie [...]), prowadzonym w jednolity sposób w wielu państwach świata, co może rzutować na sposób prowadzenia przedsięwzięcia i jego bezpieczeństwo. Zasady bezpieczeństwa obejmują bowiem zabezpieczenia zarówno techniczne, jak i organizacyjne (w tym osobowe). W przedsięwzięciu [...] ustanowiono jednolite zasady w tym względzie, bez względu na terytorium, na którym następuje doraźne lub stałe przetwarzanie danych. Ze względu na powyższe, wyznaczenie ABI będzie skutkować zmianami w globalnych zasadach bezpieczeństwa dla projektu [...]. Z kolei taka zmiana musiałaby skutkować dokonaniem uprzedniej analizy ryzyka bezpieczeństwa, planowaniem zmian w strukturze organizacyjnej korporacji i kosztów z tym związanych. Wskazano również, że w każdym z państw, w którym było przeprowadzane przedsięwzięcie [...] prowadzone były ustalenia, konsultacje lub zatwierdzenia projektu przez organ ds. ochrony danych osobowych, w zależności od właściwych przepisów krajowych i stanowisk poszczególnych organów. Powyższe czynności odbywały się m.in. na podstawie przedstawianych przez [...] zasad bezpieczeństwa jednolitych dla wszystkich państw. Dokonanie w nich w chwili obecnej zmian rodzi realne zagrożenie zakwestionowania lub co najmniej powtórnego dokonania tych ustaleń lub zatwierdzeń, bez pewności co do ich pozytywnego rezultatu. Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę kasacyjną podniósł, że pełnomocnik [...] nie wykazał, że wykonanie decyzji Generalnego Inspektora związane jest z niebezpieczeństwem wyrządzenia znacznej szkody lub spowodowania trudnych do odwrócenia skutków. W jego ocenie za takie niebezpieczeństwo nie można uznać konieczności nawiązania stosunku (pracowniczego lub cywilnoprawnego) z administratorem bezpieczeństwa informacji, tym bardziej, że nic nie stoi na przeszkodzie, aby zadania związane z wykonywaniem nadzoru nad przestrzeganiem zasad ochrony danych przy realizacji usługi [...] były wykonywane np. przez osobę zatrudnioną już przy tym projekcie. [...] może również rozważyć wykorzystanie dla potrzeb operacji na danych wykonywanych w Polsce istniejącej już na terytorium Polski struktury organizacyjnej ([...] Poland Sp. z o.o.), co oznaczałoby brak konieczności tworzenia nowej struktury dla tych celów. Nieprzekonywujące w ocenie organu są również argumenty dotyczące wpływu powołania administratora bezpieczeństwa informacji na zasady bezpieczeństwa stosowane przy realizacji usługi [...], skoro zadaniem administratora bezpieczeństwa informacji jest nadzór nad przestrzeganiem zasad ochrony danych, co ma na celu spowodowanie zwiększenia bezpieczeństwa danych osobowych. Również nie do przyjęcia jest argument, że wyznaczenie administratora bezpieczeństwa informacji spowodowałoby konieczność dokonania takich zmian w zasadach bezpieczeństwa, że mogłoby to doprowadzić, np. do ich zakwestionowania przez organy ds. ochrony danych osobowych, które wcześniej wypowiedziały się na temat usługi [...]. Organ podniósł, że takich zmian [...] już dokonywała i wówczas ten argument nie był podnoszony, co jednoznacznie świadczy o tym, że nie stanowi to przeszkody w dokonywaniu zmian w zasadach bezpieczeństwa. Naczelny Sąd Administracyjny zważył co następuje: Po oddaleniu skargi, skarżący, który wniósł skargę kasacyjną może wystąpić z wnioskiem o wstrzymanie wykonania zaskarżonej decyzji (por. uchwała składu siedmiu sędziów Naczelnego Sądu Administracyjnego z dnia 16 kwietnia 2007 r., I GPS 1/07, ONSAiWSA z 2007 r., nr 4, poz.77). Zgodnie z art. 61 § 3 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnym (Dz.U. z 2012 r., poz. 270 ze zm. zwana dalej "p.p.s.a.") sąd może na wniosek skarżącego wydać postanowienie o wstrzymaniu wykonania zaskarżonej decyzji, jeżeli zachodzi niebezpieczeństwo wyrządzenia znacznej szkody lub spowodowania trudnych do odwrócenia skutków. Z konstrukcji powyższego przepisu wynika, że na skarżącym spoczywa ciężar wykazania przesłanek zawartych w cytowanym przepisie, zaś sąd może wstrzymać wykonanie zaskarżonego aktu, jeżeli jest spełniona ustawowa przesłanka określona jako potencjalna możliwość wyrządzenia znacznej szkody lub spowodowania trudnych do odwrócenia skutków, gdy akt lub czynność zostanie wykonana. Jest to wyjątek od zasady, w myśl której wniesienie skargi do sądu nie wstrzymuje wykonania zaskarżonego aktu lub czynności. Wskazanie niebezpieczeństwa wyrządzenia znacznej szkody lub spowodowania trudnych do odwrócenia skutków wymaga podania okoliczności, z którymi wiąże się szkoda lub trudne do odwrócenia skutki. Zdaniem Naczelnego Sądu Administracyjnego strona we wniosku o wstrzymanie wykonania zaskarżonej decyzji nie uprawdopodobniła zaistnienia przesłanek określonych w art. 61 § 3 p.p.s.a. Wskazując na konieczność zatrudnienia osoby na stanowisku administratora bezpieczeństwa informacji (dalej "ABI") czy też tworzenia odrębnych struktur w celu wykonania obowiązku nałożonego zaskarżoną decyzją w żaden sposób nie wykazano, że na skutek podjęcia takich działań dojdzie do wyrządzenia znacznej szkody. Wnioskodawca w żaden sposób nie udokumentował jak poniesienie tego wydatku wpłynie ewentualnie na sytuację finansową Spółki. Zasadnie, w odpowiedzi na skargę kasacyjną, GIODO zakwestionował ten argument, wskazując na możliwość powierzenia zadań związanych z wykonywaniem nadzoru nad przestrzeganiem zasad ochrony danych przez osobę zatrudnioną przy tworzeniu [...] lub wykorzystania w tym celu istniejącej na terytorium Polski struktury organizacyjnej - [...] Poland Sp. z o.o. Ponadto we wniosku zakwestionowano konieczność wyznaczenia administratora bezpieczeństwa informacji wskazując na doraźny charakter tworzonej bazy danych, co nie może stanowić podstawy do przyjęcia, że spełnione zostały przesłanki z art. 61 § 3 p.p.s.a., są to bowiem kwestie merytoryczne, które będą przedmiotem rozpoznania w postępowaniu kasacyjnym. W ocenie Naczelnego Sądu Administracyjnego równie nieprzekonujące są twierdzenia strony skarżącej, że utworzenie stanowiska administratora bezpieczeństwa informacji spowoduje powstanie istotnych zmian w zakresie zasad bezpieczeństwa organizacyjnego w przedsięwzięciu o charakterze globalnym (tj. projekcie [...]), w sytuacji, gdy będzie on odpowiedzialny za nadzór nad przestrzeganiem zasad ochrony danych. Skarżąca spółka nie podała żadnych argumentów na poparcie swojego twierdzenia, nie wykazała do jakich ewentualnych zmian w zakresie zasad bezpieczeństwa dla projektu [...] dojdzie z chwilą wyznaczenia administratora bezpieczeństwa informacji i czy w związku z tym zajdzie niebezpieczeństwo wyrządzenia znacznej szkody czy też powstania trudnych do odwrócenia skutków. Ponadto za wstrzymaniem wykonania zaskarżonej decyzji nie przemawiają również powołane przez stronę skarżącą hipotetyczne sytuacje, które powstać mogą po wykonaniu zaskarżonej decyzji dotyczące ewentualnej konieczności ponownego przeprowadzenia ustaleń i konsultacji z organami ds. ochrony danych osobowych. W tych okolicznościach sprawy należało uznać, że strona skarżąca nie wykazała, że wniosek o wstrzymanie wykonania decyzji jest uzasadniony w świetle art. 61 § 3 p.p.s.a. Z tych względów Naczelny Sąd Administracyjny orzekł jak w sentencji na podstawie art. 61 § 3 w związku z art. 193 ustawy Prawo o postępowaniu przed sądami administracyjnymi.