Sprawa ze skargi na decyzję Generalnego Inspektora Ochrony Danych Osobowych w przedmiocie odmowy stwierdzenia nieważności decyzji Generalnego Inspektora Ochrony Danych Osobowych nr [...]
Sentencja

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Maria Werpachowska, Sędziowie WSA Ewa Kwiecińska (spr.), WSA, Joanna Kube, Protokolant Łukasz Pilip, po rozpoznaniu na rozprawie w dniu 13 stycznia 2006 r. sprawy ze skargi I. Sp. z o.o. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2005 r. nr [...] w przedmiocie odmowy stwierdzenia nieważności decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2005 r. nr [...] - oddala skargę -

Uzasadnienie strona 1/7

W dniu [...] lutego 2005 r. Generalny Inspektor Ochrony Danych Osobowych wydał decyzję nr [...], nakazującą I. Sp. z o.o. z siedzibą w W. przy ul. [...] usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez:

1. Zaprzestanie zbierania danych osobowych klientów - nabywców [...], w zakresie szerszym niż jest to niezbędne dla realizacji celu przetwarzania danych (opracowanie oferty cieszącej się maksymalnym zainteresowaniem), tj.:

a) stanu cywilnego nabywcy [...],

b) zawodu wykonywanego przez osoby podróżujące wraz z nabywcą [...],

c) informacji zawartej w pkt. 1 ankiety zgłoszeniowej ([...]),

d) informacji zawartej w pkt. 5 ankiety zgłoszeniowej ([...]),

e) informacji zawartej w pkt. 12 ankiety zgłoszeniowej ([...]),

f) informacji zawartej w pkt. 16 ankiety zgłoszeniowej ([...]), od dnia, kiedy niniejsza decyzja stanie się ostateczna.

2. Usunięcie danych osobowych klientów - [...], przetwarzanych bez podstawy prawnej, w celu opracowania oferty cieszącej się maksymalnym zainteresowaniem, tj. informacji zawartych w odpowiedziach na pytania nr 2, nr 3, nr 4, nr 7, nr 8, nr 9, nr 10, nr 13 i nr 15, znajdujące się w ankiecie zgłoszeniowej, w terminie 14 dni od dnia, kiedy niniejsza decyzja stanie się ostateczna.

3. Usunięcie danych osobowych osób podróżujących z nabywcą [...], przetwarzanych bez podstawy prawnej, w celu związanym z realizacją prawa pobytu w [...], tj.: imienia, nazwiska, roku urodzenia, w terminie 14 dni od dnia, kiedy niniejsza decyzja stanie się ostateczna.

4. Dopełnianie obowiązku informacyjnego, o którym mowa w art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r., Nr 101, poz. 926 z póżn. zm.), wobec osób podróżujących wspólnie z nabywcą [...], w zakresie:

a) adresu swojej siedziby i pełnej nazwy,

b) celu i zakresu zbierania danych,

c) źródła danych,

d) prawa dostępu do treści swoich danych oraz ich poprawiania, od dnia, kiedy niniejsza decyzja stanie się ostateczna.

5. Określenie w umowie współpracy, zawartej przez I. Sp. z o.o. w dniu [...] stycznia 2004 r. z C. Sp. z o.o. z siedzibą w W. przy ul. [...], zakresu przetwarzania danych osobowych przez C. Sp. z o.o., w terminie 14 dni od dnia, kiedy niniejsza decyzja stanie się ostateczna.

6. Zastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych klientów I. Sp. z o.o., pracowników oraz osób świadczących na jej rzecz usługi na podstawie umów cywilnoprawnych, przed ich udostępnieniem osobom nieupoważnionym, odpowiednią do zagrożeń i kategorii danych objętych ochroną, w terminie 14 dni od dnia, kiedy niniejsza decyzja stanie się ostateczna.

7. Zgłoszenie zbioru danych osobowych klientów do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych, od dnia, kiedy niniejsza decyzja stanie się ostateczna.

8. Opracowanie polityki bezpieczeństwa zawierającej:

a) wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych,

b) opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi, w terminie 30 dni od dnia, kiedy niniejsza decyzja stanie się ostateczna.

Strona 1/7