I OSK 864/16

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Małgorzata Jaśkowska (spr.) Sędziowie: Sędzia NSA Iwona Bogucka Sędzia del. NSA Leszek Kiermaszek Protokolant: specjalista Edyta Pacewicz po rozpoznaniu w dniu 18 sierpnia 2016 roku na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej C. K. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 września 2015 r. sygn. akt II SA/Wa 34/15 w sprawie ze skargi C. K. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2014 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną

Wyrokiem z dnia 8 września 2015 r. o sygn. akt II SA/Wa 34/15 Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę C. K. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2014 r. nr [...] w przedmiocie przetwarzania danych osobowych. Wyrok ten zapadł na tle następującego stanu faktycznego i prawnego sprawy. Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła w dniu 24 lipca 2013 r. skarga C. K. na ,,naruszenia obowiązków informacyjnych, o których jest mowa w ustawie o ochronie danych osobowych i ustawie o świadczeniu usług drogą elektroniczną’’. Skarżący wniósł o sprawdzenie, czy doszło do naruszenia obowiązków informacyjnych w związku z jego odpowiedzią na ogłoszenie, znajdujące się na portalu [...], rozpoczynające się od słów: "Klient [...] Firma, będąca częścią struktury międzynarodowej, zatrudni pracownika na stanowisko: Kontroler Finansowy/Główny Księgowy", a w przypadku naruszenia tych obowiązków - o nakazanie odpowiednim podmiotom w drodze decyzji poinformowania go o przetwarzaniu jego danych osobowych. C. K. wskazał, że nie wie, kto był adresatem jego odpowiedzi na ogłoszenie, nadto jego zdaniem, jednym z administratorów jego danych osobowych jest właściciel portalu [...] - Spółka A sp. z o.o., z siedzibą w W. (obecnie Spółka A S.A.). Generalny Inspektor Ochrony Danych Osobowych (dalej również jako GIODO) przeprowadził postępowanie wyjaśniające, w toku którego ustalił, że spółka A pozyskała dane osobowe skarżącego w postaci adresu e-mail [...] w dniu 28 grudnia 2010 r. na podstawie art. 23 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm. – dalej jako ustawa o ochronie danych osobowych), w związku z zarejestrowaniem się skarżącego na stronie serwisu [...] w charakterze usługobiorcy usługi ,,Profil z danymi Usługobiorcy’’, świadczonej przez tę spółkę na podstawie Regulaminu świadczenia usług drogą elektroniczną zgodnie z art. 8 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (t.j.: Dz. U. z 2013 r., poz. 1422). Celem przetwarzania danych osobowych skarżącego było świadczenie na jego rzecz wskazanej usługi. Źródłem danych był podmiot danych osobowych, tj. C. K. Jego dane osobowe przetwarzane były przez spółkę jako administratora danych w rozumieniu ustawy o ochronie danych osobowych w "Zbiorze danych użytkowników portalu [...]", zarejestrowanym w rejestrze GIODO pod numerem księgi [...]. Spółka wyjaśniła, że spełniła wobec skarżącego obowiązek informacyjny, o jakim mowa w art. 24 ustawy o ochronie danych osobowych, w momencie rejestrowania się skarżącego na stronie serwisu [...] w charakterze usługobiorcy, korzystającego z usługi "Profil z danymi Usługobiorcy", tj. w dniu 28 grudnia 2010 r. Spółka czyni zadość wskazanemu obowiązkowi poprzez odpowiednie zapisy Regulaminu świadczenia usług drogą elektroniczną w ramach serwisów należących do spółki A. Niezależnie od powyższego spółka przetwarza dane osobowe skarżącego, zawarte w dokumentacji spraw dotyczących skarżącego, w związku z jego skargami zgłaszanymi do spółki oraz do GIODO. Zdaniem spółki we wskazanym zakresie jest ona zwolniona z obowiązku informacyjnego na podstawie art. 24 ust. 2 pkt 2 ustawy o ochronie danych osobowych. Przetwarzanie danych osobowych skarżącego w związku z jego odpowiedzią na ogłoszenie o pracę, będące przedmiotem skargi do GIODO z dnia 24 lipca 2013 r., nastąpiło niezależnie od przetwarzania danych przez spółkę w związku ze świadczeniem usługi "Profil z danymi Usługobiorcy". W związku z odpowiedzią C. K. na wymienione ogłoszenie jego dane osobowe zostały przesłane przez niego bezpośrednio do pracodawcy, który opublikował to ogłoszenie o pracę w formie tzw. ogłoszenia ukrytego. Wskazanym pracodawcą była spółka B sp. z o.o. z siedzibą w L. W procesie rekrutacyjnym spółka ta pełniła rolę administratora danych w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych. Przesłanie danych osobowych skarżącego zrealizowane zostało za pośrednictwem platformy informatycznej, udostępnionej na stronie serwisu [...] i należącej do spółki A., co nastąpiło na podstawie umowy powierzenia, zawartej pomiędzy spółką A a spółką B sp. z o.o. Zgodnie z umową, spółka A w procesie transferu danych osobowych skarżącego pełniła rolę podmiotu przetwarzającego dane osobowe, o jakim mowa w art. 31 ustawy o ochronie danych osobowych. Z uwagi na powyższe, w ocenie Spółki A, w wyniku odpowiedzi skarżącego na wspomniane ogłoszenie podmiotem obowiązku informacyjnego, określonego w art. 24 i 25 ustawy o ochronie danych osobowych, jest administrator danych, tj. spółka B. Ponadto przed złożeniem aplikacji na ogłoszenie ukryte skarżący, tak jak każdy użytkownik, uzyskał jednoznaczną informację o treści: "Informujemy, że dane osobowe zawarte w dokumentach aplikacyjnych są zbierane w celu przeprowadzenia procesów rekrutacyjnych i pozostają niejawne. W razie aplikowania na ogłoszenie bez podanej nazwy firmy, informacje na temat administratora danych (pracodawcy) zostaną Ci przekazane bezpośrednio przez pracodawcę w terminie późniejszym, niezwłocznie po otrzymaniu aplikacji przez pracodawcę. Jeżeli nie zgadzasz się na taką procedurę, prosimy o nieprzysyłanie aplikacji na to ogłoszenie". Klauzula ta została zamieszczona pod ogłoszeniem ukrytym. Jednocześnie spółka A wyjaśniła, iż dane osobowe skarżącego, dotyczące jego odpowiedzi na wymienione ogłoszenie, zostały usunięte w dniu 20 lipca 2012 r., tj. po upływie standardowego okresu 28 dni od momentu zdjęcia ze strony [...] ogłoszenia dotyczącego rekrutacji na stanowisko Kontroler Finansowy/Główny Księgowy. Spółka informowała o tym spółkę B za pomocą odpowiedniego komunikatu, dostępnego w aplikacji internetowej [...], a spółka B nie występowała do spółki A o odrębne potwierdzenie tego faktu w innej formie. Z kolei spółka B wyjaśniła, że pozyskała dane osobowe skarżącego w marcu 2012 r. za pośrednictwem spółki A, która na zlecenie spółki B prowadziła rekrutację na stanowisko Kontroler Finansowy na rzecz spółki B. Dane uzyskane zostały w związku z odpowiedzią skarżącego na ogłoszenie spółki A. W wyniku otrzymanej za pośrednictwem spółki A aplikacji skarżącego, spółka dysponowała następującymi kategoriami danych osobowych: imię i nazwisko, miejsce zamieszkania, numer telefonu, wykształcenie, przebieg dotychczasowego zatrudnienia. Aplikację na stanowisko Kontroler Finansowy oraz życiorys skarżącego spółka B pozyskała pocztą elektroniczną od skarżącego za pośrednictwem spółki A. Jednocześnie spółka ta wskazała, iż nie przekazała danych osobowych skarżącego innym podmiotom. W piśmie z dnia 5 września 2013 r. poinformowała go, że spółka A prowadziła w marcu 2012 r. rekrutację na stanowisko Kontroler Finansowy na rzecz spółki B oraz że na podstawie art. 24 ust. 1 pkt 3 ustawy przysługuje skarżącemu prawo dostępu do treści jego danych osobowych oraz ich poprawienia. Nadto wskazała, iż usunęła dane osobowe C. K. w dniu 10 grudnia 2013 r., o czym go poinformowała. GIODO decyzją z dnia [...] maja 2014 r. Nr [...] odmówił uwzględnienia wniosku. Od powyższej decyzji C. K. złożył wniosek o ponowne rozpatrzenie sprawy. Po ponownym rozpatrzeniu sprawy GIODO w decyzji z dnia [...] października 2014 r. stwierdził, że z materiału dowodowego zgromadzonego w sprawie wynika jednoznacznie, iż spółce A nie przysługuje status administratora danych w odniesieniu do danych osobowych skarżącego będących przedmiotem skargi. Organ wyjaśnił, że zrównanie odpowiedzialności podmiotu, któremu powierzono dane osobowe do przetwarzania, z odpowiedzialnością administratora danych dotyczy tylko kwestii uregulowanych w art. 31 ust. 3 ustawy o ochronie danych osobowych, dlatego na podmiocie przetwarzającym dane osobowe na zlecenie nie ciążą te obowiązki, które ustawa nakłada wyłącznie na administratora danych, w szczególności obowiązki informacyjne, w tym określone w art. 24, 25 i 33 ustawy o ochronie danych osobowych. Ze zgromadzonego w sprawie materiału dowodowego wynika, że spólka B jako administrator danych osobowych skarżącego, wypełniła w stosunku do niego obowiązki informacyjne, o których mowa w art. 24 ustawy o ochronie danych osobowych, udzielając mu informacji, iż spółka A prowadziła w marcu 2012 r. rekrutację na stanowisko Kontroler Finansowy na rzecz spółki B oraz że na podstawie art. 24 ust. 1 pkt 3 powołanej ustawy skarżącemu przysługuje prawo dostępu do treści swoich danych oraz ich poprawienia. Dodatkowo organ ustalił, że zarówno spółka A, jak i spółka B usunęły dane osobowe C. K. dotyczące jego odpowiedzi na ogłoszenie o pracę. W konsekwencji oba podmioty aktualnie nie przetwarzają już danych osobowych skarżącego w zakresie wskazanym w treści skargi. W skardze z dnia 12 grudnia 2014 r. wniesionej na powyższą decyzję do WSA w Warszawie C. K. wskazał, iż decyzja jest niezgodna z prawem, zaś informacje zawarte w decyzji nie odzwierciedlają stanu faktycznego. Jego zdaniem istota problemu nie została rozwiązana, natomiast ustalenia odbiegają od istniejącego stanu prawnego, a postępowanie było stronnicze. Jednocześnie skarżący wniósł o dokonanie oceny stanu rzeczy i nakazanie usunięcia błędów. W odpowiedzi na skargę GIODO wniósł o jej oddalenie, podtrzymując swoje dotychczasowe ustalenia faktyczne i prawne. Pełnomocnik z urzędu C. K. w piśmie z dnia 26 maja 2015 r. uzupełnił skargę wnosząc o uchylenie zaskarżonej decyzji, której zarzucił naruszenie prawa materialnego przez błędną jego wykładnię lub niewłaściwie zastosowanie oraz przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. art. 7, 77 § 1, 138 § 1 k.p.a. oraz art. 8 ust. 1 w zw. z art. 12 pkt 1 w zw. z art. 14 pkt 1, 3, 4 i art. 24 ust. 1 pkt 1 w zw. z art. 54 i 19 ustawy o ochronie danych osobowych. Wyrokiem z dnia 8 września 2015 r. Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę C. K. W uzasadnieniu orzeczenia Sąd I instancji odwołał się do pojęć administratora danych z art. 7 pkt 4 oraz przetwarzania danych z art. 7 pkt 2 ustawy o ochronie danych osobowych. Dalej stwierdził, że z treści art. 31 ustawy o ochronie danych osobowych jasno wynika, że zleceniobiorcą danych osobowych może być podmiot, któremu – na podstawie pisemnej umowy – powierzono przetwarzanie danych, czyli pewien zbiór danych w ściśle określonym celu i zakresie. W rozpoznawanej sprawie w uzasadnieniu zaskarżonej decyzji oraz decyzji ją poprzedzającej prawidłowo wskazano, że z materiału dowodowego zgromadzonego w przedmiotowej sprawie wynikało jednoznacznie, iż spółce A nie przysługiwał status administratora danych w odniesieniu do danych osobowych skarżącego. Dane te zostały przez skarżącego przesłane bezpośrednio do pracodawcy – spółki B, która opublikowała wskazane ogłoszenie o pracę w formie tzw. ogłoszenia ukrytego. Spółka ta w procesie rekrutacyjnym pełniła rolę administratora danych w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych. Przesłanie danych osobowych skarżącego nastąpiło za pośrednictwem platformy informatycznej udostępnionej na stronie serwisu [...], należącej do spółki A, na podstawie umowy powierzenia pomiędzy spółką A a spółką B. Sąd I instancji podzielił stanowisko organu, iż zrównanie odpowiedzialności podmiotu, któremu powierzono dane osobowe do przetwarzania, z odpowiedzialnością administratora danych dotyczy tylko kwestii uregulowanych w przepisach wymienionych w art. 31 ust. 3 wspomnianej ustawy. Tym samym na podmiocie przetwarzającym dane osobowe na zlecenie nie ciążą obowiązki, które ustawa nakłada wyłącznie na administratora danych, w szczególności obowiązki informacyjne, w tym określone w art. 24, 25 i 33 ustawy o ochronie danych osobowych. W ocenie WSA w Warszawie spółka B jako administrator danych osobowych skarżącego wypełniła w stosunku do niego obowiązki informacyjne, o których mowa w art. 24 ustawy o ochronie danych osobowych, udzielając mu informacji, iż spółka A prowadziła w marcu 2012 r. rekrutację na stanowisko Kontroler Finansowy na rzecz spółki B, wskazując jednocześnie, iż na podstawie art. 24 ust. 1 i 3 powołanej ustawy przysługuje mu prawo do dostępu do własnych danych osobowych oraz ich poprawiania. Ponadto obie spółki usunęły dane osobowe C. K. dotyczące jego odpowiedzi na ogłoszenie o pracę, a zatem nie przetwarzają danych osobowych skarżącego w zakresie wskazanym w treści wniosku do GIODO. Od powyższego wyroku skargę kasacyjną wniósł pełnomocnik z urzędu C. K., zarzucając zaskarżonemu orzeczeniu na podstawie art. 174 pkt 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j.: Dz. U. z 2012 r., poz. 270 ze zm. – dalej jako ppsa) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy tj.: 1) 141 § 4 ppsa, polegające na przedstawieniu w uzasadnieniu wyroku stanu sprawy niezgodnie ze stanem rzeczywistym, poprzez nieodniesienie się do braku działań administratorów danych, jakimi są oba podmioty - B oraz A sp. z o.o. (obecnie spółka A S.A.), mających na celu uzyskanie zgody na przetwarzanie danych osobowych; 2) art. 145 § 1 pkt. 1 lit. a i c ppsa, polegające na braku uchylenia zaskarżonej decyzji w całości pomimo naruszeń prawa materialnego, które miały wpływ na wynik sprawy, to jest art. 8 ust. 1 w zw. z art. 12 pkt 1 w zw. z art. 14 pkt 1, 3, 4 ustawy o ochronie danych osobowych, art. 24 ust. 1 pkt. 1 w zw. z art. 54 w zw. z art. 19 ustawy o ochronie danych osobowych oraz naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, to jest: art. 7 i 77 § 1 kpa, art. 138 § 1 pkt 1 ppsa. Ponadto na podstawie art. 174 pkt 1 ppsa zarzucono naruszenie przepisów prawa materialnego, tzn: 1) art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych poprzez niewłaściwe zastosowanie, polegające na nieuwzględnieniu faktu, iż zarówno spółka B, jak i spółka A sp. z o.o. (obecnie spółka A S.A.) - oba podmioty będące administratorami danych osobowych skarżącego, nie podjęły działań mających na celu uzyskanie zgody na przetwarzanie danych osobowych skarżącego w sposób, w jaki dane te przetwarzały; 2) art. 24 ust. 1 pkt 1-4 ustawy o ochronie danych osobowych, poprzez niewłaściwe zastosowanie, polegające na nieuwzględnieniu okoliczności, iż spółka B miała ustawowy obowiązek bezzwłocznie poinformować skarżącego o administrowaniu jego danymi osobowymi, czego nie dopełniła; 3) art. 7 pkt 2 i 4 ustawy o ochronie danych osobowych poprzez błędną wykładnię polegającą na bezzasadnym zastosowaniu zawężającej wykładni tych przepisów w sytuacji, gdy oba podmioty - zarówno spółka A sp. z o.o. (obecnie spółka A S.A.), jak i spółka B wypełniały ustawowe przesłanki administratora danych osobowych i oba te podmioty przetwarzały dane osobowe skarżącego; 4) art. 8 ust. 1 w zw. z art. 12 pkt 1 w zw. z art. 14 pkt 1, 3, 4 ustawy o ochronie danych osobowych, poprzez niewłaściwe zastosowanie polegające na pominięciu przez WSA w Warszawie okoliczności, iż GIODO nie przeprowadził w sposób prawidłowy, ustawowo określony, kontroli administrowania danymi osobowymi skarżącego, w szczególności pominął przysługujące mu środki prawne, w tym przeprowadzenie czynności kontrolnych w pomieszczeniach, gdzie znajduje się zbiór danych oraz gdzie dane te są przetwarzane. Jednocześnie wniesiono o uchylenie zaskarżonego orzeczenia w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, rozpoznanie sprawy na rozprawie oraz o zasądzenie zwrotu kosztów pomocy prawnej świadczonej z urzędu według norm przepisanych, gdyż koszty te nie zostały opłacone w całości lub w części. W uzasadnieniu skargi kasacyjnej wskazano, że spółka B nie poinformowała skarżącego o administrowaniu jego danymi osobowymi - pismo w tej sprawie zostało skierowane do niego dopiero w dniu 5 września 2013 r., kiedy to sprawa znajdowała się już na etapie postępowania przed GIODO. W myśl art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych przetwarzanie danych osobowych jest dopuszczalne za zgodą osoby, której dane dotyczą. Treść klauzuli, na którą zgodę wyraził skarżący, brzmiała: "Informujemy, że dane osobowe zawarte w dokumentach aplikacyjnych są zbierane w celu przeprowadzenia procesów rekrutacyjnych i pozostają niejawne. W razie aplikowania na ogłoszenie bez podanej nazwy firmy, informacje na temat administratora danych (pracodawcy) zostaną Ci przekazane bezpośrednio przez pracodawcę w terminie późniejszym, niezwłocznie po otrzymaniu aplikacji przez pracodawcę. Jeżeli nie zgadzasz się na taką procedurę prosimy o nieprzysyłanie aplikacji na ogłoszenie". Zgodnie ze wskazaną klauzulą, spółka B powinna była niezwłocznie, a nie dopiero na etapie postępowania przed GIODO, poinformować skarżącego o administrowaniu jego danymi osobowymi. W skardze kasacyjnej zakwestionowano również stanowisko WSA w Warszawie, iż spółce A nie przysługiwał status administratora danych, gdyż pozyskała ona dane skarżącego w postaci jego adresu e-mail. W myśl art. 7 pkt 2 ustawy o ochronie danych osobowych przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Zatem pozyskanie adresu email jest jedną z form przetwarzania danych osobowych. Zgodnie z art. 7 pkt 4 ustawy o ochronie danych osobowych, przez administratora danych rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydującą o celach i środkach przetwarzania danych osobowych. Należy zatem uznać, że spółka A jest administratorem danych, ponieważ decydowała o celu pozyskanych danych osobowych od skarżącego, a mianowicie ustaliła, iż zgodnie z celem przez siebie ustalonym na podstawie umowy ze spółką B przekaże jego dane osobowe właśnie tej spółce. Podsumowując, zarówno spółka A, jak i B wypełniają przesłanki charakteryzujące administratora danych, wyszczególnione w art. 7 pkt 2 i 4 ustawy o ochronie danych osobowych. Zdaniem strony skarżącej kasacyjnie spółka A nie uzyskała w sposób prawidłowy zgody na przetwarzanie danych osobowych skarżącego w postaci przekazania tych danych spółce B. W świetle bowiem wyroku WSA w Warszawie z dnia 11 grudnia 2008 r., sygn. akt II SA/Wa 1061/08, "zgoda na przetwarzanie danych osobowych ma charakter oświadczenia woli. Winna być ona wyraźna. Nie wystarczy zatem powiadomienie o zamiarze przetwarzania danych osobowych i brak sprzeciwu z drugiej strony. Udzielający zgody musi być przy tym zorientowany o jakie dane chodzi i o jakie ich przetwarzanie." Należy zatem uznać, że przesłanki warunkujące uzyskanie zgody na przetwarzanie danych osobowych nie zostały zachowane przez administratora danych, ponieważ dane zawarte w klauzuli, na którą zgodę wyraził skarżący, nie zawierają istotnych informacji w zakresie tego, w jaki sposób będą przetwarzane dane osobowe skarżącego, a przede wszystkim jakim podmiotom oraz na jakiej podstawie faktycznej i prawnej będą przekazywane. Co więcej, należy zauważyć, że w świetle wyroku NSA z dnia 10 stycznia 2013 r., sygn. akt I OSK 2029/11: "zgoda na przetwarzanie danych osobowych nie może mieć charakteru abstrakcyjnego, lecz winna odnosić się do skonkretyzowanego stanu faktycznego, obejmując tylko określone dane oraz sprecyzowany sposób i cel ich przetwarzania". WSA w Warszawie nie odniósł się do samej treści klauzuli, którą wystosował administrator danych. Przedstawiona przez administratora danych klauzula była określona w sposób nieprecyzyjny, w związku z tym zgoda, która została wyrażona przez skarżącego poprzez kliknięcie w przycisk oznaczający udzielenie tej zgody, miała charakter abstrakcyjny, gdyż skarżący nie otrzymał informacji na temat tego, jakiemu podmiotowi zostaną przekazane jego dane osobowe oraz w jaki sposób będą dalej przetwarzane. Sąd I instancji nie odniósł się również do zarzutów skarżącego co do braku przeprowadzenia prawidłowego postępowania kontrolnego przez GIODO, w szczególności pominął okoliczność, iż GIODO dysponuje wachlarzem ustawowo określonych środków, wymienionych w art. 14 ustawy o ochronie danych osobowych. Bez znaczenia pozostaje fakt obecnego nieadministrowania danymi osobowymi przez obie spółki, gdyż przedmiotem sporu pozostają nieprawidłowości w przetwarzaniu danych osobowych skarżącego przez obie spółki w okresie, na który wskazuje wniosek do GIODO i tamten okres powinien być przedmiotem rozstrzygnięcia Sądu I instancji. W odpowiedzi na skargę kasacyjną Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie. Naczelny Sąd Administracyjny zważył, co następuje. Skarga kasacyjna nie zasługiwała na uwzględnienie. Na wstępie należy zauważyć, że w postępowaniu kasacyjnym obowiązuje wynikająca z art. 183 § 1 ppsa zasada związania Naczelnego Sądu Administracyjnego podstawami i granicami zaskarżenia, wskazanymi w skardze kasacyjnej. Przytoczone w tym środku prawnym przyczyny wadliwości kwestionowanego orzeczenia determinują zakres kontroli dokonywanej w ramach nadzoru judykacyjnego. Do podjęcia działań z urzędu Naczelny Sąd Administracyjny zobowiązany jest jedynie w sytuacjach określonych w art. 183 § 2 ppsa, które w tej sprawie nie występują. Z uwagi na powyższe skarga kasacyjna podlegała rozpatrzeniu w granicach przytoczonych w niej podstaw. Nie mógł zatem zostać w jej ramach rozpoznany podniesiony w toku rozprawy zarzut naruszenia przepisów ustawy o świadczeniu usług drogą elektroniczną. W skardze kasacyjnej zarzucono zaskarżonemu orzeczeniu naruszenie zarówno przepisów prawa materialnego, jak też przepisów postępowania. W takiej sytuacji, co do zasady, jako pierwsze podlegają rozpatrzeniu zarzuty naruszenia przepisów postępowania, gdyż weryfikacja prawidłowości wykładni przepisów prawa materialnego, dokonanej przez Sąd I instancji, jest możliwa jedynie w przypadku stwierdzenia braku uchybień natury procesowej, mogących mieć istotny wpływ na treść rozstrzygnięcia. Przechodząc do podniesionych w skardze kasacyjnej kwestii NSA zauważa, że nie jest zasadny zarzut naruszenia przez Sąd I instancji art. 141 § 4 ppsa, który określa elementy konstrukcyjne uzasadnienia wyroku. Zgodnie z powołanym przepisem, powinno ono zawierać zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Naruszenie art. 141 § 4 ppsa może stanowić skuteczny zarzut kasacyjny jedynie w przypadku, gdy uzasadnienie zostało sporządzone w sposób uniemożliwiający kontrolę instancyjną zaskarżonego wyroku. W ocenie NSA treść wydanego w rozpatrywanej sprawie orzeczenia i jego uzasadnienie pozwala jednoznacznie ustalić motywy, jakimi kierował się Sąd I instancji, wydając zaskarżone rozstrzygnięcie i umożliwia poddanie go kontroli instancyjnej Sądu odwoławczego. Jednocześnie w nawiązaniu do powyższych uwag podkreślenia wymaga, że podnosząc zarzut naruszenia art. 141 § 4 ppsa nie można skutecznie zakwestionować ustaleń faktycznych przyjętych przez Sąd I instancji za podstawę orzeczenia lub dokonanej przez ten Sąd oceny prawnej rozpatrywanych zagadnień, do tego zaś w istocie zmierzała autorka skargi kasacyjnej w niniejszej sprawie (por. wyrok NSA z dnia 19 maja 2016 r., sygn. akt I OSK 311/15 – publ. orzeczenia.nsa.gov.pl). Kolejny zarzut dotyczy naruszenia art. 145 § 1 pkt 1 lit. a i c ppsa. Stanowi on, że sąd, uwzględniając skargę na decyzję lub postanowienie, uchyla decyzję lub postanowienie w całości albo w części, jeżeli stwierdzi naruszenie prawa materialnego, które miało wpływ na wynik sprawy lub naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy. Naruszenie wspomnianego przepisu można zarzucić Sądowi I instancji tylko w sytuacji, gdy pomimo stwierdzenia naruszenia prawa materialnego lub przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy Sąd ten nie uchyli zaskarżonego orzeczenia zgodnie z dyspozycją powołanej normy prawnej. Natomiast w rozpatrywanej sprawie przedstawione przez Sąd I instancji powody oddalenia skargi nie pozwalały na zastosowanie art. 145 § 1 pkt 1 lit. a i c ppsa, ponieważ Sąd I instancji nie stwierdził takich naruszeń prawa, które mogłyby wpłynąć na sposób jej rozpatrzenia przez organ. Stąd też, nie znajdując podstaw do uwzględnienia skargi i uchylenia zaskarżonej decyzji, WSA w Warszawie oddalił skargę na podstawie art. 151 ppsa. Z uwagi na fakt, że podniesione w skardze kasacyjnej zarzuty dotyczące naruszenia przepisów postępowania okazały się nieusprawiedliwione, NSA w dalszej kolejności mógł przystąpić do oceny zasadności zarzutów naruszenia prawa materialnego. Należy w tym miejscu zauważyć, że zarzuty naruszenia art. 23 ust. 1 pkt 1, art. 24 ust. 1 pkt 1-4 oraz art. 7 pkt 2 i 4 ustawy o ochronie danych osobowych mogą być rozpoznane łącznie. Z zestawienia ich treści wynika bowiem, że zdaniem strony skarżącej kasacyjnie spółki A oraz B były administratorami danych osobowych C. K., nie uzyskały jego zgody na przetwarzanie tych danych i nie dopełniły wobec niego obowiązku informacyjnego. W ocenie NSA zarzuty te nie są zasadne. WSA w Warszawie trafnie uznał, że spółce A nie przysługiwał status administratora danych w odniesieniu do danych osobowych skarżącego, gdyż portal [...] przesłał je bezpośrednio do potencjalnego pracodawcy – spółki B. Skoro zaś dane te zostały przekazane automatycznie, nie można uznać, że spółka A nabyła status administratora danych w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych, tj. podmiotu decydującego o celach i środkach przetwarzania danych osobowych. Status administratora danych nie wynika bowiem z samego faktu posiadania danych, ale ze sprawowania faktycznej kontroli nad ich przetwarzaniem, obejmującej dwa wspomniane elementy – decydowanie o celach i środkach przetwarzania danych. Poczynione w sprawie ustalenia nie wskazują zaś, by spółka A spełniała powyższe warunki. NSA podziela również stanowisko Sądu I instancji w kwestii odpowiedzialności podmiotu, któremu powierzono dane osobowe do przetwarzania. Odpowiedzialność ta jest ograniczona do kwestii uregulowanych w przepisach wymienionych w art. 31 ust. 3 ustawy o ochronie danych osobowych. W konsekwencji na spółce A nie ciążyły obowiązki, które ustawa nakłada wyłącznie na administratora danych, w szczególności obowiązki informacyjne, w tym określone w art. 24, 25 i 33 ustawy o ochronie danych osobowych. W kwestii uzyskania zgody na przetwarzanie danych osobowych, o której mowa w art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, należy podkreślić, że zgodnie ze stanowiskiem prezentowanym w literaturze przedmiotu, w procesie rekrutacji kandydatów do pracy podstawę prawną zbierania danych osobowych stanowi art. 221 ustawy z dnia 26 czerwca 1974 r. Kodeks Pracy (t.j.: Dz. U. z 2014 r., poz. 1502 ze zm.) w zw. z art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, co wyłącza wymóg uzyskania zgody kandydata w zakresie obejmującym wymienione tam dane (por. P. Barta, P. Litwiński, "Ustawa o ochronie danych osobowych. Komentarz", Warszawa 2016, str 257-258). W myśl powołanego przepisu, od kandydata do pracy pracodawca może żądać podania imienia (imion) i nazwiska, imion rodziców, daty urodzenia, miejsca zamieszkania (adresu do korespondencji), wykształcenia oraz przebiegu dotychczasowego zatrudnienia. Według ustaleń dokonanych przez organ w niniejszej sprawie, właśnie tego rodzaju dane spółka B pozyskała od skarżącego kasacyjnie za pośrednictwem spółki A. Z kolei w odniesieniu do obowiązku informacyjnego ciążącego na spółce B podkreślenia wymaga, że obowiązek ten został wobec skarżącego kasacyjnie spełniony jeszcze przed wydaniem decyzji przez GIODO. Tymczasem stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji. W przypadku usunięcia uchybień przed zakończeniem postępowania nie ma bowiem podstaw do wydania przez organ rozstrzygnięcia nakazującego przywrócenie stanu zgodnego z prawem na podstawie art. 18 ust. 1 ustawy o ochronie danych osobowych. Ustanie stanu naruszenia prawa oznacza brak przesłanki do zastosowania nakazów wymienionych w powołanym przepisie. Ponadto należy zauważyć, że w skardze kasacyjnej nie podniesiono zarzutu kwestionującego ustaloną przez GIODO i zaakceptowaną przez Sąd I instancji okoliczność usunięcia danych osobowych C. K. zarówno przez spółkę B, jak też spółkę A. Kwestia ta pozostaje zatem poza zakresem kontroli instancyjnej. Konsekwencją usunięcia danych skarżącego kasacyjnie było zaś zaprzestanie ich przetwarzania przez oba podmioty w zakresie wskazanym we wniosku inicjującym postępowanie przed GIODO. W świetle powyższych uwag w ocenie NSA wspomniane wcześniej zarzuty naruszenia prawa materialnego nie mogły zostać uwzględnione. Przechodząc do zarzutu naruszenia art. 8 ust. 1 w zw. z art. 12 pkt 1 w zw. z art. 14 pkt 1, 3, 4 ustawy o ochronie danych osobowych należy zauważyć, że wymienione przepisy określają kompetencje i zakres zadań Generalnego Inspektora Ochrony Danych Osobowych oraz uprawnienia przysługujące temu organowi w toku dokonywanej kontroli, obejmujące prawo wstępu do pomieszczeń kontrolowanej jednostki, wglądu do dokumentów i wszelkich danych mających bezpośredni związek z przedmiotem kontroli oraz przeprowadzania oględzin. Z powołanych przepisów nie wynika natomiast obowiązek każdorazowego skorzystania ze wskazanych środków. W rozpatrywanej sprawie organ przeprowadził postępowanie wyjaśniające w zakresie określonym we wniosku C. K., który dotyczył naruszenia obowiązku informacyjnego i nie znalazł podstaw do jego uwzględnienia. Wbrew stanowisku strony skarżącej kasacyjnie, fakt, że nie skorzystał przy tym ze wspomnianych uprawnień, sam w sobie nie stanowi naruszenia prawa. Tak więc omawiany zarzut jest bezzasadny. Reasumując, zarzuty podniesione w skardze kasacyjnej okazały się niezasadne. Stąd też NSA, działając w warunkach związania granicami środka odwoławczego i podstawami zaskarżenia, na podstawie art. 184 ppsa oddalił skargę kasacyjną. Sąd kasacyjny nie orzekł o przyznaniu pełnomocnikowi z urzędu wynagrodzenia na zasadzie prawa pomocy, ponieważ wynagrodzenie dla pełnomocnika ustanowionego z urzędu za wykonaną pomoc prawną, należne od Skarbu Państwa (art. 250 ppsa), przyznawane jest przez wojewódzki sąd administracyjny w postępowaniu określonym w przepisach art. 258 - 261 ppsa.