II KKN 438/00 · Sąd Najwyższy

POSTANOWIENIE Z DNIA 11 GRUDNIA 2000 R.

II KKN 438/2000

1. Dane osobowe korzystają z ochrony przewidzianej ustawą z dnia

29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 133, poz. 883

ze zm.) już wówczas, jeżeli tylko mogą znaleźć się w zbiorze danych osobowych, bez względu na to, czy się w nim ostatecznie znalazły, a ustawa w

odniesieniu do różnych etapów i rodzajów przetwarzania danych, określa

jeszcze dodatkowe uprawnienia osób, których dane te dotyczą (rozdz. 4

ustawy). Rzecz bowiem w tym, że każdy ma prawo do ochrony dotyczących go danych osobowych (art. 1 ust. 1 ustawy), a nie jedynie ten, czyje

dane znalazły się już w zbiorze.

2. Na gruncie ustawy o ochronie danych osobowych administratorem

danych osobowych jest jedynie ten podmiot, który decyduje o celach i

środkach przetwarzania tych danych (art. 7 pkt 4 ustawy), natomiast administrującym - także taki podmiot, który zarządza, zawiaduje zbiorem danych

(art. 50, 51, 54) lub danymi (art. 52) w procesie ich przetwarzania, w tym i

powierzonego mu w trybie wskazanym w art. 31 tej ustawy, przy czym odpowiedzialność karna administrującego nie będącego administratorem danych wchodzi w rachubę wówczas gdy jego zachowanie – uznane za karalne przez ustawę – wynika z powierzonych mu czynności przetwarzania

danych.

Przewodniczący: sędzia SN T. Grzegorczyk (sprawozdawca).

Sędziowie SN: A. Kapłon, D. Rysińska.

Prokurator Prokuratury Krajowej: K. Parchimowicz.

Sąd Najwyższy po rozpoznaniu w dniu 11 grudnia 2000 r., sprawy

Andrzeja S., skazanego na podstawie art. 51 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 133, poz. 883 ze zm.),

z powodu kasacji, wniesionej przez obrońcę skazanego od wyroku Sądu

Okręgowego w W. z dnia 19 czerwca 2000 r., zmieniającego wyrok Sądu

Rejonowego w W. z dnia 10 kwietnia 2000 r.,

o d d a l i ł kasację (…).

UZASADNIENIE

Andrzej S., wyrokiem Sądu Rejonowego w W. z dnia 10 kwietnia

2000 r., został uznany winnym tego, że w okresie od dnia 22 lutego 1999 r.

do 15 marca 1999 r. w K., administrując zbiorem danych osobowych osób

biorących udział w loterii „Graj w zielone” oraz będąc zobowiązanym do

ochrony tych danych, umożliwił dostęp do nich osobom nieupoważnionym

na terenie Zakładów Papierniczych, tj. przestępstwa określonego w art. 51

ust.1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.

U. Nr 133, poz. 833 ze zm.), za co orzeczono wobec niego karę 100 stawek dziennych grzywny po 40 złotych każda. Po rozpoznaniu apelacji

obrońcy od tego wyroku, Sąd Okręgowy w W., wyrokiem z dnia 19 czerwca

2000 r., zmienił to orzeczenie w ten tylko sposób, że przyjął, iż oskarżony

był jedynie obowiązany do ochrony danych osobowych osób biorących

udział w loterii „Graj w zielone”.

W kasacji wywiedzionej od prawomocnego wyroku sądu odwoławczego obrońca skazanego podniósł zarzut obrazy prawa procesowego

przez „naruszenie zasady obiektywizmu, zasady domniemania niewinności,

zasady in dubio pro reo, jak również zasady swobodnej oceny dowodów

(art. 4, 5 § 1 i 2 oraz art. 7 k.p.k.)”, co stanowi – zdaniem skarżącego – „rażące naruszenie prawa, mające wpływ na treść orzeczenia, przez uznanie

Andrzeja S. za winnego popełnienia czynu w oparciu o domniemanie braku

odpowiedzialności ze strony Zakładów Papierniczych za przyjmowane do

zniszczenia dokumenty, a także uznanie, iż dokument wystawiony przez

zakład, potwierdzający przyjęcie makulatury (...) z adnotacją «makulatura

tajna» obciąża skazanego i świadczy o dokonanych przez niego zaniedbaniach”. W uzasadnieniu skargi kasacyjnej znalazł się jeszcze jeden zarzut,

nie wskazany na wstępie kasacji, a mianowicie, że sądy pominęły „argumenty zawarte w pozasądowej opinii prawnej załączonej do akt sprawy”,

zwłaszcza zaś wyrażony tam pogląd, że „sposób przechowywania zgłoszeń promocyjnych w trakcie całej promocji, jak i po jej zakończeniu, nie

pozwala na uznanie, iż tworzyły one zbiór w rozumieniu ustawy” i że „obrona nie zgadza się z zaprezentowaną interpretacją sądu, co do ustawy o

ochronie danych osobowych”, co oznaczałoby zarzut rażącego naruszenia

prawa materialnego przez błędną jego interpretację.

Rozpoznając skargę kasacyjną Sąd Najwyższy zważył, co następuje:

Przede wszystkim należy przyjrzeć się stanowi faktycznemu, w jakim

sądy zastosowały art. 51 ust.1 ustawy z dnia 29 sierpnia 1997 r. o ochronie

danych osobowych (Dz. U. Nr 133, poz. 883 ze zm.), gdyż wprawdzie ustalenia faktyczne nie mogą być przedmiotem kasacji, ale bez wątpienia mają

istotne znaczenie zarówno dla oceny zarzutu obrazy prawa procesowego

(kwestia sposobu dokonania ustaleń i wpływu uchybienia proceduralnego

na treść orzeczenia), jak i naruszenia prawa materialnego w sferze właściwej oceny prawnej czynu (zob. np. wyroki SN z dnia 6 września 1996 r., II

KKN 63/96, OSNKW 1997, z. 1-2, poz.11 i z dnia 24 czerwca 1996 r., IV

KKN 42/96, OSN Prok. i Pr. 1997, z. 2, poz.16).

Otóż oskarżony, jako przedstawiciel firmy RECON, zawarł w dniu 20

stycznia 1998 r. z Frito Lay Poland Sp. z o.o. z siedzibą w G. umowę zle-

cenia, dotyczącą zorganizowania dla zleceniodawcy obsługi promocji „Graj

w Zielone”, zobowiązując się w niej m. in. do udostępnienia swych skrytek

pocztowych, odbioru korespondencji z tych skrytek, segregacji owej korespondencji na kupony z wygranymi pieniężnymi i na kupony zgłoszone do

losowania rowerów, weryfikacji kuponów z wygranymi pieniężnymi oraz

przygotowania i wysłania tych nagród, prowadzenia baz danych wygrywających i rejestracji wygrywających oraz przechowywania korespondencji

zgłoszonej do losowania i przygotowania jej do losowania, a także do

zniszczenia pozostałej po losowaniu korespondencji w terminie 2 miesięcy

po zakończeniu promocji. W wykonaniu tej umowy do firmy oskarżonego

przychodziła w okresie promocji korespondencja z oznaczeniem imienia i

nazwiska nadawcy oraz jego adresu, była ona odbierana ze skrytek w workach pocztowych, następnie układana w kartony, oklejana taśmą i ważona,

i tak oczekiwała na losowania, a po zakończeniu akcji promocyjnej została

ponownie przeliczona i zmagazynowana z uwagi na okres reklamacji. Po

jego zakończeniu w styczniu 1999 r., oskarżony zlecił swemu pracownikowi

skontaktowanie się z Zakładami Papierniczymi, z usług których wcześniej

korzystał, w celu zniszczenia pozostałej korespondencji jako makulatury

tajnej. Pracownik ten ustalił termin dostarczenia tym zakładom korespondencji promocyjnej i w określonej dacie, w lutym 1999 r., inny zaś pracownik wraz z wynajętym kierowcą przywiózł ją do Zakładów. Jak stwierdził

oskarżony: „Korespondencja promocyjna nie zawierała żadnych danych

poza imieniem, nazwiskiem i adresem. W związku z tym nie został przez

nas oddelegowany żaden pracownik do bezpośredniego nadzoru nad

zniszczeniem”. Twierdził on też, że „makulatura, którą dostarczyłem, była

tajna, ale dla mnie nie stanowiła żadnego zbioru, była to czysta makulatura,

była wrzucona do jednego worka”. Po przewiezieniu „makulatury” do zakładów papierniczych i odebraniu pokwitowania dostarczenia makulatury tajnej, pracownicy oskarżonego opuścili teren zakładów po zrzuceniu jej pod

wiatą, na wolnej przestrzeni, gdzie w marcu 1999 r. odnaleźli ją pracownicy

biura Generalnego Inspektora Danych Osobowych, którzy pojawili się w

zakładach po stosownej informacji od dziennikarza telewizyjnych „Wiadomości”. Z zeznań świadków pracowników Zakładów Papierniczych wynikało z kolei, że różnice między tajną i zwykłą makulaturą sprowadzają się do

tego, że za zwykłą płaci się dostawcy, za tajną zaś rozliczenie jest bezgotówkowe, gdyż wchodzi w nie też koszt zniszczenia, oraz że dostawcy makulatury tajnej, który jednocześnie chce ją zniszczyć, udostępnia się urządzenia i pracowników zakładu i jest on wtedy obecny przy niszczeniu.

Przy takich ustaleniach sąd pierwszej instancji uznał, że oskarżony,

administrując zbiorem danych osobowych osób biorących udział w loterii i

będąc zobowiązanym do ochrony tych danych, umożliwił dostęp do nich

osobom nieupoważnionym na terenie Zakładów Papierniczych. Sąd ten

podkreślił, że art. 51 ust. 1 ustawy o ochronie danych osobowych przewiduje odpowiedzialność tego, kto administruje zbiorem danych lub jest zobowiązany do ochrony danych osobowych, a oskarżony był do ochrony takiej

zobowiązany umową podpisaną w 1998 r. W ocenie tego sądu bez znaczenia jest, czy dane osobowe wchodziły do zbioru, gdyż ustawa o ochronie danych osobowych nie dotyczy wyłącznie danych figurujących w zbiorze. Sąd odwoławczy, podzielając tę interpretację, podniósł jednak, że administrowanie zbiorem zachodzi w trakcie korzystania z niego, a w niniejszej sprawie wchodzi w grę jedynie faza zobowiązania do ochrony danych

po zakończeniu korzystania z nich, przeto wyeliminował z opisu czynu słowa o administrowaniu przez oskarżonego zbiorem danych.

Spoglądając na powyższe, stwierdzić należy, że wysuwany w kasacji

zarzut obrazy podstawowych zasad postępowania, takich jak obiektywizm,

domniemanie niewinności, zasada in dubio pro reo i swobodna ocena dowodów, jest właściwie czystą polemiką z ustaleniami faktycznymi sądów i

dokonaną przez nie oceną dowodów. Nie jest bowiem prawdą, że sądy

przyjęły jakoby domniemanie braku odpowiedzialności Zakładów Papierniczych za przyjmowane do zniszczenia dokumenty i uznały, że wydany

przez nie dokument „makulatura tajna” obciąża oskarżonego i świadczy o

jego zaniedbaniach. Sądy wskazały jedynie, na podstawie zebranych dowodów, że umowa z 1998 r. zobowiązywała właśnie oskarżonego do

zniszczenia korespondencji promocyjnej, to on zdecydował, że przekazywana jako makulatura korespondencja promocyjna jest makulaturą tajną,

był zatem świadomy konieczności jej zniszczenia, nie traktował jej jednak

jako zbioru danych i nie dopełnił obowiązków, jakie na nim ciążyły, w zakresie uniemożliwienia do niej dostępu osobom nieupoważnionym, a samo

przekazanie materiałów do zniszczenia jako tajnych nie zwalniało go od

tych obowiązków. Dokonanej przez sądy ocenie dowodów, które legły u

podstaw ustaleń, nie można zarzucić nielogiczności rozumowania, wyciągania nieuprawnionych wniosków i dowolności. W gruncie rzeczy autor kasacji chce w tym zakresie doprowadzić do ponownej oceny poszczególnych dowodów i uczynić instancję kasacyjną trzecim stadium procesu karnego w sytuacji, gdy postępowanie karne jest dwuinstancyjne, a w kasacji

wolno skutecznie zarzucać jedynie rażące uchybienia prawu.

W kasacji podniesiono wszak i zarzut co do interpretacji art. 51 ust. 1

ustawy o ochronie danych osobowych, czyli prawnej podstawy skazania.

Zarzut ten wyrażony wprawdzie został - jak już wskazano - dopiero w uzasadnieniu skargi kasacyjnej, co przy istniejącym przymusie adwokackim

budzić musi pewne zaskoczenie, ale skoro skarga kasacyjna jest kasacją w

całej swojej formie, to trzeba się zgodzić, że także wtedy, gdy zarzut pojawia się dopiero w uzasadnieniu kasacji - a nie we wstępnej części tej skargi, gdzie wskazuje się zarzuty - przyjąć należy, iż jest to zarzut „podany w

kasacji”, w rozumieniu art. 526 § 1 i art. 536 k.p.k. W tym miejscu trzeba

zauważyć, iż zdziwienie budzi tu potraktowanie przez autora kasacji jako

uchybienia sądów tego, że „sąd rejonowy, a także sąd okręgowy pominął

argumenty zawarte w pozasądowej opinii prawnej załączonej do akt sprawy”. Skarżący podnosi wprawdzie, że wie , iż „przedstawiona opinia nie jest

dowodem w rozumieniu k.p.k.” ale, jak wskazuje, „jest w niej wyrażony

podgląd, z którym zgadza się skazany”, że „sposób przechowywania zgłoszeń promocyjnych (...) nie pozwala na uznanie, iż tworzyły one zbiór w

rozumieniu ustawy.” Należy podnieść, że przedmiotowa „opinia prawna”

była pozaprocesową opinią, sporządzoną wyraźnie do danej sprawy, analizowała bowiem sposób postępowania oskarżonego i na tym tle interpretowała przepisy ustawy z 1997 r., wywodząc, iż ustawa ta chroni tylko dane

w zbiorze danych, w tym i na gruncie swego art. 51 ust. 1, a takowego

zbioru w sprawie nie było. Autorowi kasacji należałoby w tym miejscu przypomnieć, że na gruncie (także) postępowania karnego jedynie facta probantur, natomiast iura novit curia, nie należy zatem do stron udowadnianie

sądowi treści przepisów prawa. Strona może samodzielnie, w tym korzystając z opinii pozaprocesowych, prezentować określone argumenty na rzecz

wskazywanej przez siebie interpretacji przepisu prawa, nie może natomiast

przedstawiać sądowi tego typu „opinii”, z żądaniem merytorycznego ustosunkowania się do nich przez sąd. Sądy zresztą przedstawiły - wskazaną

już wcześniej - swoją interpretację art. 51 ustawy o ochrony danych osobowych i prawem obrony jest niezgadzanie się z nią. Do tego zresztą

sprowadza się analizowany tu zarzut obrazy prawa materialnego. Jest on

ujęty nader ogólnikowo, gdyż autor kasacji, odwołując się do powołanej

wyżej opinii, przyjmuje, iż sposób przechowywania danych wskazywał, że

nie tworzyły one zbioru i dlatego nie zgadza się z interpretacją sądów, a

zatem – jak należy zakładać – uznaje, że tylko dane w zbiorze podlegają

ochronie na gruncie art. 51 ust.1 ustawy o ochronie danych osobowych.

Ogólnikowość tego zarzutu i brak sprecyzowania, na czym polegało uchybienie sądów, mogłyby prowadzić do uznania kasacji w tym zakresie za

oczywiście bezzasadną, skoro sądy wypowiedziały się w tej materii, a

skarżący nie wykazał, gdzie tkwi błąd ich rozumowania. Biorąc jednak pod

uwagę rangę ustawy, będącej podstawą skazania, krótki jeszcze okres jej

obowiązywania i szczególny charakter przedmiotu ochrony tego aktu prawnego, Sąd Najwyższy zdecydował się poddać analizie powyższy przepis, w

jego powiązaniu z innymi normami tej ustawy, a więc rozważyć trafność

zarzutu jego wadliwej, przez sądy, interpretacji.

Ochrona danych osobowych wynika z art.51 Konstytucji RP, i bez

wątpienia ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych

nie jest jedynym aktem prawnym chroniącym te dane (szerzej zob. np. A.

Bierć: Ochrona prawna danych osobowych w sferze działalności gospodarczej w Polsce - aspekty cywilnoprawne; W. Kulesza: Ochrona danych osobowych a nowa kodyfikacja prawa karnego w Polsce; A. Mednis: Ochrona

prawna danych osobowych a zagrożenie prywatności – rozwiązania polskie, w: Ochrona danych osobowych, praca zbiorowa, pod red. M. Wyrzykowskiego, Warszawa 1999). Na gruncie tej ustawy wypowiadane są jednak rozbieżne w istocie swej poglądy co do zakresu jej działania. Wedle

niektórych autorów, ustawa ta „jest aktem kompleksowo ujmującym całość

zagadnienia, bez względu na sposób, w jaki przetwarza się dane osobowe,

elektronicznie czy też manualnie” (tak B. Banaszak, K. Wygoda: Regulacja

prawna ochrony danych osobowych w Polsce w świetle ustawy z dnia 29

sierpnia 1997 r. i standardów europejskich, w: Ochrona danych osobowych, op. cit., s.53). Inni z kolei podnoszą, że „ochrona ta dotyczy przede

wszystkim sytuacji, gdy dane te przetwarza w systemach informatycznych”

(tak A. Bierć: op. cit., s. 112), a więc nie tylko danych przetwarzanych w

owych systemach. Jeszcze inni uważają, iż „na pytanie czy przepisy (...)

ustawy stosuje się do wszelkich danych osobowych, czy tylko do takich,

które znajdują się w lub mają się znaleźć w zbiorze, nie można odpowiedzieć jednoznacznie” , przy czym przyjmują, że gdy chodzi o dane przetwarzane ręcznie, to „korzystają one z ochrony o tyle, o ile są lub mają być

elementem zbioru” (tak A. Mednis: Ustawa o ochronie danych osobowych.

Komentarz, Warszawa 1999, s. 15).

Analizując przepisy ustawy z 1997 r. należy zauważyć, że już z jej tytułu wynika, iż dotyczy ona ochrony danych osobowych, a nie danych osobowych w zbiorach. Zgodzić się trzeba, że sam tytuł ustawy nie musi jeszcze przesądzać o zakresie jej działania, choć co do zasady powinien, i na

pewno ma znaczenie dla interpretacji danego aktu prawnego. Już zresztą

w art. 1 ustawa zakłada, że każdy ma prawo do ochrony danych osobowych (ust. 1), a ich przetwarzanie może mieć miejsce tylko z uwagi na

wskazane w ustawie dobra i jedynie w zakresie i trybie określonym ustawą

(ust. 2). W art. 2 ust. 1 ustawa wskazuje z kolei, że „określa zasady postępowania przy przetwarzaniu danych oraz prawa osób fizycznych, których

dane osobowe są lub mogą być przetwarzane w zbiorach danych.” Nie

chodzi przy tym o prawa osób, których dane – jak twierdzą niektórzy autorzy – „są lub mają być elementem zbioru” (tak A. Mednis), ale które „są lub

mogą być przetwarzane w zbiorach”. Zgodnie zaś z ustawą przetwarzanie

danych, to „wszelkie operacje na tych danych” – a nie na zbiorze takich

danych – w tym m. in. „takie jak zbieranie, utrwalanie, przechowywanie (...)

i usuwanie” (art. 7 pkt 2). Tym samym dane osobowe korzystają z ochrony

przewidzianej ustawą o ochronie danych osobowych już wówczas, jeżeli

tylko mogą znaleźć się w zbiorze, bez względu na to, czy się w nim ostatecznie znalazły, a ustawa w odniesieniu do różnych etapów i rodzajów

przetwarzania danych określa jeszcze dodatkowe uprawnienia osób, których dane te dotyczą (rozdz. 4 ustawy). Rzecz bowiem w tym, że każdy ma

prawo do ochrony dotyczących go danych osobowych (art. 1 ust. 1 ustawy), a nie jedynie ten, czyje dane znalazły się już w zbiorze. Ustawa precyzyjnie przy tym określa do jakich podmiotów przetwarzających dane się

odnosi (art. 3 ust.1-3), i zastrzega, iż nie stosuje się jej norm tylko wobec

osób fizycznych przetwarzających dane osobowe w celach osobistych lub

domowych (art. 3 ust.4); jest to jedyne ograniczenie podmiotowego zakresu

ustawy. Na marginesie zauważyć należy, iż w piśmiennictwie wskazuje się

wyraźnie, że wzorcem regulacji polskiej z 1997 r. stały unormowania zachodnioeuropejskie oraz Konwencja nr 108 Rady Europy z dnia 26 stycznia

1981 r. i Dyrektywa Unii Europejskiej nr 95/46/CE z dnia 24 października

1995 r. oraz podnosi, że o ile początkowo ustawodawstwo europejskie

chroniło praktycznie wyłącznie zbiory danych osobowych, o tyle obecnie

wraz z rozwojem technologii uznano, iż nieobjęcie ochroną pojedynczych

danych byłoby niewłaściwe (zob. A. Mednis: op. cit, s. 7 i 14).

Danymi osobowymi są przy tym wszelkie informacje dotyczące osoby

fizycznej, pozwalające na określenie tożsamości tej osoby (art. 6 ustawy),

są więc nimi na pewno także np. informacje znajdujące się na kopercie z

imieniem, nazwiskiem i adresem danej osoby fizycznej. Jeżeli zaś, stosownie do art. 7 omawianej ustawy, przetwarzaniem danych jest ich zbieranie,

przechowywanie i usuwanie, a usuwaniem m.in. niszczenie (pkt 2 i 3 art.

7), to nie powinno budzić wątpliwości, iż ochrona danych osobowych, o jakiej mowa w ustawie z 1997 r., odnosi się już do etapu ich zbierania, a następnie fazy przechowywania i niszczenia, i to choćby nie znalazły się one

ostatecznie w zbiorze danych osobowych. Nie może bowiem być pozbawiona w ogóle ochrony prawnej płynącej z ustawy w odniesieniu swych danych osoba, której dane - mimo że zbierane, czyli przetwarzane w rozumieniu tej ustawy - nie znalazły się w zbiorze, i to tylko dlatego, że nie weszły one do zbioru. Pamiętać też należy, iż zgodnie z art. 31 ustawy, administrator danych, czyli ten podmiot, który decyduje o celach i środkach

przetwarzania danych (art. 7 pkt 4), może w drodze umowy powierzyć

przetwarzanie danych innemu podmiotowi i wówczas - niezależnie od odpowiedzialności administratora danych za przestrzeganie ustawy - podmiot

przetwarzający dane ponosi odpowiedzialność za przetwarzanie ich niezgodnie z tą umową (art. 31 ust. 4). Ponosi on jednak odpowiedzialność

także w tych sytuacjach, w których ustawa odnosi określone zachowanie

nie tylko do administratora danych.

W niniejszej sprawie oskarżony zawarł z firmą prowadzącą promocję

„Graj z zielone” umowę, na podstawie której zobowiązał się m.in. do udostępnienia skrytek pocztowych, odbierania korespondencji, segregowania

jej, weryfikowania kuponów z wygranymi, prowadzenia baz danych osób

wygrywających i ich rejestracji oraz do przechowywania korespondencji i jej

zniszczenia po promocji. Były to bez wątpienia czynności z zakresu przetwarzania danych w rozumieniu art. 7 pkt 2 i 3 ustawy z 1997 r. Nie był on

jednak administratorem danych w znaczeniu nadanym temu pojęciu w art.

7 pkt 4 ustawy, gdyż nie decydował o celach i środkach przetwarzania danych, a jedynie o sposobach realizacji określonych w umowie czynności

przetwarzania.

Przechodząc do analizy art. 51 ust. 1 ustawy o ochronie danych osobowych, który stał się podstawą skazania w niniejszej sprawie, zauważyć

należy, że zakłada on odpowiedzialność tego, „kto administrując zbiorem

danych lub będąc obowiązany do ochrony danych osobowych udostępnia

je lub umożliwia dostęp do nich osobom nieupoważnionym”. Udostępnianie

danych oznacza tu z założenia działanie sprawcy, oznacza bowiem czynienie dostępnym, ułatwianie dostępu (zob. Słownik języka polskiego, praca zbiorowa pod red. M. Szymczaka, Warszawa 1989, t. III, s. 582), zaś

umożliwienie dostępu do nich - jako czynienie tylko możliwym, ułatwianie,

przyczynianie się (zob. Słownik języka polskiego, s. 600) – może nastąpić i

przez zaniechanie, a więc niedopełnienie obowiązku. Zauważyć jednak należy, że o ile w licznych przepisach ustawy mówi się o – zdefiniowanym w

art.7 pkt 4 – „administratorze danych” (zob. np. art.26 ust.1, art. 29 ust.1,

art. 30, art. 31 ust.1 i 4, art. 33 ust. 1, art. 36, czy art. 38, 39, 40), o tyle w

art. 51 użyto innego wyrażenia, a mianowicie „kto administrując zbiorem”,

czyli pojęcia „administrującego zbiorem danych”. Podobnie uczyniono w

art. 50 i 54, by z kolei w art. 52 spenalizować zachowania „administrującego danymi”. W piśmiennictwie jakby nie dostrzega się tej różnicy, utożsamiając administrującego zbiorem, o którym mowa w art. 51 (oraz w art. 50 i

54) ustawy, i administrującego danymi, o którym mowa w art. 52, z administratorem danych (zob. np. A. Mednis: op. cit., s. 130; W. Kulesza: op. cit.,

s. 92). Nie można jednak zgodzić się z poglądem, jakoby administrujący

zbiorem, administrujący danymi i administrator danych były tu pojęciami

tożsamymi. Racjonalny ustawodawca bowiem nie używa w tym samym akcie prawnym różnych określeń dla wskazania tego samego podmiotu. Analizując przedstawione zwroty, należy więc przyjąć, iż na gruncie ustawy o

ochronie danych osobowych administratorem danych osobowych jest jedynie ten podmiot, który decyduje o celach i środkach przetwarzania tych danych (art. 7 pkt 4 ustawy), natomiast administrującym – także taki podmiot,

który zarządza, zawiaduje (zob. Słownik poprawnej polszczyzny, pod red.

W. Doroszewskiego, Warszawa 1994. s. 4) zbiorem danych (art. 50, 51,

54) lub danymi (art. 52) w procesie ich przetwarzania, w tym i powierzonego mu w trybie wskazanym w art. 31 tej ustawy z tym zastrzeżeniem, że

odpowiedzialność karna administrującego nie będącego administratorem

danych wchodzi w rachubę gdy jego zachowanie – uznane za karalne

przez ustawę – wynika z powierzonych mu czynności przetwarzania danych.

W art. 51 ustawy o ochronie danych osobowych nie chodzi zatem jedynie o odpowiedzialność karną podmiotu, który „będąc administratorem

danych” udostępnia je lub umożliwia do nich dostęp osobom nieupoważnionym, ale o odpowiedzialność każdego, kto czyni to „administrując zbiorem”, choćby nie był jego administratorem. Istotne jest tu jednak, aby zawiadywał on nie tyle danymi, ile zbiorem danych. Zbiorem takim zaś jest

„posiadający strukturę zestaw danych osobowych, dostępnych według

określonych kryteriów”, bez względu na to, czy jest on rozproszony, czy

podzielony funkcjonalnie (art. 7 ust. 1 ustawy). Jak już wskazano, w świetle

umowy między oskarżonym a Frito Lay Poland Sp. z o.o. miał on m.in.

przyjmować korespondencję promocyjną, segregować ją na kupony z wygranymi pieniężnymi i kupony do losowania nagród rzeczowych (rowerów),

weryfikować kupony z wygranymi pieniężnymi, przygotowywać i przesyłać

nagrody, prowadzić bazy danych i rejestrację wygrywających, przechowywać korespondencję zgłoszoną do losowania oraz zniszczyć ją po losowaniu i zakończeniu promocji. Nie powinno zatem budzić wątpliwości, że miał

tu miejsce zbiór danych osobowych, a to, jak oskarżony sam go traktował i

jak praktycznie realizował poszczególne cele i środki powierzonego przetwarzania oraz jakimi sposobami to czynił, nie ma znaczenia. To bowiem

nie ocena subiektywna oskarżonego i sposoby praktycznej realizacji przezeń czynności składających się na przetwarzanie danych decydują o istnieniu zbioru, ale to, czy wykaz danych i nakazane mu umową ich przetwarzanie spełniało ustawowe wymogi zbioru i jego przetwarzania, przy czym

bez znaczenia pozostaje tu kryterium doboru danych do zbioru. Wskazano

już wcześniej, że ochrona przewidziana w ustawie o ochronie danych osobowych odnosi się także do danych, które nie weszły do zbioru, a zatem

administrujący zbiorem danych odpowiada na gruncie art. 51 ustawy także

za ochronę tych danych, które były zbierane, ale nie wprowadzono ich do

dalszego przetwarzania w zbiorze. Administrujący zbiorem danych odpowiada tu bowiem za udostępnienie lub umożliwienie dostępu do danych

osobowych, a nie do zbioru takich danych, a więc także za udostępnienie

lub umożliwienie dostępu do takich danych, które z racji zbierania mogły

jedynie być (choć nie były ostatecznie) dalej przetwarzane jako element

zbioru. Dla odpowiedzialności tej jest zatem obojętne, czy dane osobowe

określonej osoby fizycznej stały się elementem zbioru i były w nim dalej

przetwarzane, wystarczy zaś, że były one zbierane, w tym i korespondencyjnie. Nie można przy tym zgodzić się z Sądem Okręgowym, że admini-

strowanie zbiorem ma miejsce jedynie w trakcie korzystania z danych,

czym uzasadniał on wyeliminowanie z opisu czynu słów o administrowaniu

zbiorem danych przez oskarżonego. Jeżeli – jak wcześniej wskazano –

administrowanie to zarządzanie, zawiadywanie, to tym samym także niszczenie jako usuwanie jest administrowaniem danymi. To uchybienie sądu

odwoławczego nie ma jednak istotnego wpływu na treść zaskarżonego

orzeczenia. Mają bowiem racje oba sądy orzekające w tej sprawie, że art.

51 ustawy alternatywnie ujmuje podmiot przestępstwa, skoro zakłada, iż

jest nim ten, „kto administrując zbiorem danych lub będąc obowiązany do

ochrony danych osobowych”, zachowuje się w sposób określony w tym

przepisie. Oskarżony w ramach cytowanej umowy z 1998 r. obowiązany był

m.in. do „zniszczenia pozostałej po losowaniu korespondencji w terminie 2

miesięcy po zakończeniu promocji”. Niezależnie zatem od tego, że wykonywać miał określone czynności przetwarzania danych, był też zobligowany do zniszczenia danych po zakończeniu promocji. Nie jest zaś wykluczone, że administrator danych powierzy, w drodze umowy wskazanej w art.

31 ustawy, poszczególne czynności, będące przetwarzaniem danych, różnym podmiotom, w tym jednemu z nich tylko usunięcie danych. W takim

wypadku za ochronę danych przy ich usuwaniu odpowiadać może ten

właśnie podmiot, a udostępnienie lub umożliwienie dostępu do danych przy

innych czynnościach ich przetwarzania będzie obciążało administrującego

zbiorem w trakcie tych czynności. W niniejszej sprawie oskarżonemu powierzono usunięcie danych wraz z innymi czynnościami ich uprzedniego

przetwarzania, w tym i zbieranie, przeto powinien odpowiadać jako administrujący zbiorem danym i będący obowiązany do ochrony tych danych, w

tym także w trakcie ich niszczenia (usuwania). Skazanie go jedynie jako

będącego obowiązanym do ochrony danych trudno jednak - uwzględniając

całokształt sprawy - uznać za uchybienie mogące mieć istotny wpływ na

treść orzeczenia. Nie budzi natomiast wątpliwości, że oskarżony nie dopeł-

nił obowiązku ochrony danych osobowych w zakresie powierzonego mu ich

zniszczenia, umożliwiając w tej fazie administrowania dostęp do owych danych osobom nieupoważnionym. Oskarżony powinien podjąć takie czynności, które zapewniałyby zniszczenie korespondencji promocyjnej bez możliwości zapoznania się z danymi osobowymi z niej wynikającymi osobom

nieupoważnionym do dostępu do nich. Oskarżony nie traktował, jak sam

przyznawał, owej korespondencji jako zbioru, nie zapewnił udziału swego

lub swego pracownika przy niezwłocznym zniszczeniu w Zakładach Papierniczych przekazanej tam jako makulatura korespondencji z danymi

osobowymi, i nie można przyjąć, iżby przez przekazanie jej owym Zakładom jako makulatury tajnej uwolnił się automatycznie od odpowiedzialności

karnej z art. 51 ustawy o ochronie danych osobowych. To on bowiem w

pierwszej kolejności był odpowiedzialny za ochronę danych w zakresie

określonym w tym przepisie, a samo przekazanie tych danych do zniszczenia innemu podmiotowi, nie gwarantujące ich zniszczenia bez dostępu

do danych osób nieupoważnionych, nie może oznaczać uwolnienia się obowiązanego do ochrony danych od odpowiedzialności za tę ochronę.

W świetle tego, co dotychczas powiedziano, nie można przyjąć, tak

jak chciałby skarżący, że w sprawie tej naruszono prawo materialne, a to

art. 51 ustawy o ochronie danych osobowych, gdyż wbrew twierdzeniom

kasacji przepis ten nie odnosi się jedynie do ochrony danych stanowiących

element zbioru. Nie można zresztą też przyjąć, iżby zbierana i przetwarzana przez oskarżonego korespondencja promocyjna nie była w ogóle takim

zbiorem z uwagi na stosowane przezeń sposoby powierzonego przetwarzania ani też, że oskarżony uwolnił się od odpowiedzialności przez przekazanie owej korespondencji jako makulatury tajnej Zakładom Papierniczym do zniszczenia.

Mając powyższe na uwadze, kasację niniejszą oddalono, orzekając

jak w wyroku.