Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Anna Mierzejewska (spr.), Sędziowie WSA Iwona Dąbrowska, Ewa Pisula-Dąbrowska, Protokolant Agnieszka Kolasa, po rozpoznaniu na rozprawie w dniu 1 grudnia 2005 r. sprawy ze skargi P. S.A z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2005 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] z dnia [...] grudnia 2004 r., na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), oraz art. 12 pkt 2 i art. 22 oraz art. 26 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926 z późn. zm.) po przeprowadzeniu postępowania administracyjnego w sprawie przetwarzania danych osobowych przez "P." S.A. z siedzibą w W. przy ulicy [...]: I. nakazał "P."SA z siedzibą w W. usunięcie uchybień w procesie przetwarzania danych osobowych poprzez:
1. zaprzestanie zbierania danych osobowych w zakresie szerszym, niż jest to niezbędne dla realizacji celu przetwarzania danych (zawarcia i realizacji umowy leasingu) tj. w zakresie realizacji celu przetwarzania danych (zawarcie i realizacja umowy leasingu) i w zakresie informacji, czy wobec osoby występującej z wnioskiem o zawarcie umowy leasingu toczy się postępowanie karno-skarbowe, a także w zakresie wizerunku, rysopisu, imion rodziców, miejsca urodzenia, poprzednich adresów zameldowania, informacji o dzieciach oraz kategorii i dacie nadania uprawnienia do prowadzenia pojazdów.
2. zaprzestania zbierania danych osobowych w zakresie szerszym, niż jest to niezbędne dla realizacji celu przetwarzania danych (identyfikacji osób składających zlecenie, prowadzonej w celu wykonania obowiązku rejestracji transakcji) tj. w zakresie obejmującym wizerunek, rysopis, imiona rodziców, miejsce urodzenia, poprzednie adresy zameldowania.
II. w pozostałym zakresie postępowanie umorzył.
W uzasadnieniu decyzji organ podał, że inspektorzy Biura Generalnego Inspektora Ochrony Danych Osobowych przeprowadzili w "P." S.A. z siedzibą w W. przy ulicy [...] kontrolę zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych tj. ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926 z późn zm.), oraz rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. Nr 100, poz. 1024).
W toku kontroli odebrano od pracowników Spółki ustne wyjaśnienia, skontrolowano system informatyczny służący do przetwarzania danych, dokonano oględzin pomieszczeń, w których odbywa się przetwarzanie danych. Z kontroli został sporządzony protokół. Ustalono, że w procesie przetwarzania danych osobowych "P." S.A. z siedzibą w W., jako administrator danych osobowych, naruszyła przepisy o ochronie danych osobowych poprzez pozyskiwanie danych osobowych w następującym zakresie: wizerunek, rysopis, imiona rodziców, data i miejsce urodzenia, poprzednie adresy zameldowania, informacje o dzieciach oraz kategorie i daty nadania uprawnienia do prowadzenia pojazdów a także informacje, czy wobec wnioskodawcy jest prowadzone postępowanie karno-skarbowe.