Według art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2014 r. poz. 1182 ze zm.) przetwarzanie danych jest dopuszczalne wtedy, gdy jest to niezbędne do realizacji obowiązku wynikającego z przepisów. W sytuacji, gdy stwierdzono nieważność umowy cywilnoprawnej, będącej podstawą wystawienia faktur podatku od towarów i usług, przedsiębiorca nadal może przetwarzać dane osobowe strony umowy w zakresie jej imienia, nazwiska, adresu zameldowania i numeru NIP na podstawie art. 32 § 1, art. 86 § 1 oraz art. 88 § 1 ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (Dz.U. z 2015 r. poz. 613)
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Marzenna Linska-Wawrzon Sędziowie: Sędzia NSA Jan Paweł Tarno Sędzia del. WSA Przemysław Szustakiewicz (spr.) po rozpoznaniu w dniu 10 lipca 2015 roku na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej M.S. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 23 maja 2013 r. sygn. akt II SA/Wa 625/13 w sprawie ze skargi M. S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2013 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjna, 2. odstępuje od zasądzenia zwrotu kosztów postępowania kasacyjnego.
Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 23 maja 2013 r., sygn. akt II SA/Wa 625/13, oddalił skargę M. S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2013 r. w przedmiocie odmowy uwzględnienia skargi w kwestii przetwarzania danych osobowych.
Sąd I instancji przedstawił następujący stan faktyczny:
W dniu 20 sierpnia 2009 r. Telefonia [...] S.A. zawarła umowę zlecenia z M. G. oraz udzieliła pisemnego pełnomocnictwa (stanowiącego załącznik do umowy zlecenia), na podstawie którego M. G. została umocowana do podpisywania i zawierania w imieniu i na rzecz Spółki umów o świadczenie usług telekomunikacyjnych. M. G. pozyskała dane osobowe M. S. bezpośrednio od niej w miejscu zamieszkania w celu zawarcia umowy ze Spółką o świadczenie usług telekomunikacyjnych. Umowa ta została zawarta w dniu 31 sierpnia 2009 r. Następnie w dniu 30 grudnia 2009 r. M. S. otrzymała do zapłaty fakturę za usługi telekomunikacyjne od [...] S.A. i tego dnia powzięła informację o przetwarzaniu jej danych osobowych przez ten podmiot.
Sąd Rejonowy dla Warszawy Pragi - Południe, II Wydział Cywilny, wyrokiem z dnia 26 października 2011 r., sygn. akt. [...], uznał, że umowa z dnia [...] sierpnia 2009 r. o świadczenie usług [...] WRL - Abonament [...], zawarta pomiędzy M. S. a Telekomunikacją [...] S.A. oraz zamówienie abonamentu na linii analogowej dokonane w dniu 31 sierpnia 2009 r., są nieważne.
Generalny Inspektor Ochrony Danych Osobowych, decyzją z dnia [...] marca 2012 r., odmówił uwzględnienia wniosku M. S. w kwestii pozyskania danych osobowych przez [...] S.A. z naruszeniem przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2014 r. poz. 1182 ze zm., dalej: u.o.d.o.). W trakcie postępowania Spółka wyjaśniła, że aktualnie przetwarza dane osobowe M. S. w zakresie jej imienia, nazwiska, adresu zameldowania oraz NIP w związku z regulacjami ustawy z dnia 29 sierpnia 1997 r. -Ordynacja podatkowa (Dz.U. z 2015 r. poz. 613, dalej; O.p.), ustawy z dnia 10 września 1999 r. - Kodeks karny skarbowy (Dz.U. z 2013 r. poz. 186 ze zm.) oraz ustawy z dnia 29 września 1994 r. o rachunkowości (Dz.U. z 2013 r. poz. 330 ze zm.). Poinformowała także, że okres retencji danych, o którym mowa w przepisach ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (Dz.U. z 2014 r. poz. 243 ze zm.), będzie zawierał się w okresie 5 lat od zakończenia roku, w którym wystawiono faktury VAT.
Generalny Inspektor Ochrony Danych Osobowych, po rozpoznaniu wniosku M. S. o ponowne rozpatrzenie sprawy, decyzją z dnia [...] stycznia 2013 r., utrzymał w mocy decyzję z dnia [...] marca 2012 r.
Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu skargi M. S., oddalił ją. Wskazano, że przetwarzanie jej danych w zakresie imienia, nazwiska, adresu zameldowania i NIP zawartych w wystawionych przez [...] S.A. fakturach VAT, znajduje uzasadnienie w art. 32 § 1, art. 86 § 1, art. 88 § 1 O.p. oraz art. 73 ust. 1 ustawy o rachunkowości. Administrator danych, zgodnie z art. 26 ust. 1 u.o.d.o. powinien zachować szczególną staranność przy ich przetwarzaniu, tak aby chronić interesy osób, których dane dotyczą. Podkreślono jednak, że Spółka -wbrew zarzutom - dochowała należytej staranności przy wypełnianiu obowiązków administratora danych. Zebranie danych M. S. nastąpiło w imieniu [...] S.A. przez osobę, z którą podpisano umowę zlecenia i której udzielono pełnomocnictwa do podpisywania oraz zawierania umów w imieniu i na rzecz tego podmiotu w zakresie świadczenia usług telekomunikacyjnych. Tym samym M. G. była właściwie umocowana przez Spółkę do podejmowania przedmiotowych czynności. Wskazano, że ze zgromadzonego w sprawie materiału wynika, iż [...] S.A. nie orientował się w nielegalnym źródle pozyskiwania danych osobowych, ponieważ wiedzę tę uzyskał dopiero po wydaniu wyroku z dnia 26 października 2011 r., sygn. akt [...]. Stwierdzono, że GIODO w sposób lakoniczny i mało precyzyjny oraz bez wskazania konkretnych dowodów uznał, iż Spółka dochowała staranności i nie wiedziała o nieprawidłowościach przy pozyskiwaniu danych, czym naruszył art. 107 § 3 K.p.a. Naruszenie to nie mogło mieć jednak istotnego wpływu na wynik sprawy, ponieważ organ ustalił stan faktyczny na podstawie całokształtu materiału dowodowego zgromadzonego w sprawie. Zebrane dowody były wystarczające do wykazania prawdy obiektywnej. Organ nie naruszył zatem art. 7, art. 77, art. 80 K.p.a. w stopniu mającym istotny wpływ na wynik sprawy.