descriptionTreść orzeczenia

POSTANOWIENIE Z DNIA 11 GRUDNIA 2000 R.

Sygn. akt II KKN 438/2000

1. Dane osobowe korzystają z ochrony przewidzianej ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 133, poz. 883 ze zm.) już wówczas, jeżeli tylko mogą znaleźć się w zbiorze danych osobowych, bez względu na to, czy się w nim ostatecznie znalazły, a ustawa w odniesieniu do różnych etapów i rodzajów przetwarzania danych, określa jeszcze dodatkowe uprawnienia osób, których dane te dotyczą (rozdz. 4 ustawy). Rzecz bowiem w tym, że każdy ma prawo do ochrony dotyczących go danych osobowych (art. 1 ust. 1 ustawy), a nie jedynie ten, czyje dane znalazły się już w zbiorze.

2. Na gruncie ustawy o ochronie danych osobowych administratorem danych osobowych jest jedynie ten podmiot, który decyduje o celach i środkach przetwarzania tych danych (art. 7 pkt 4 ustawy), natomiast administrującym - także taki podmiot, który zarządza, zawiaduje zbiorem danych (art. 50, 51, 54) lub danymi (art. 52) w procesie ich przetwarzania, w tym i powierzonego mu w trybie wskazanym w art. 31 tej ustawy, przy czym odpowiedzialność karna administrującego nie będącego administratorem danych wchodzi w rachubę wówczas gdy jego zachowanie – uznane za karalne przez ustawę – wynika z powierzonych mu czynności przetwarzania danych.

Przewodniczący: sędzia SN T. Grzegorczyk (sprawozdawca).

Sędziowie SN: A. Kapłon, D. Rysińska.

Uzasadnienie

Andrzej S., wyrokiem Sądu Rejonowego w W. z dnia 10 kwietnia 2000 r., został uznany winnym tego, że w okresie od dnia 22 lutego 1999 r. do 15 marca 1999 r. w K., administrując zbiorem danych osobowych osób biorących udział w loterii „Graj w zielone” oraz będąc zobowiązanym do ochrony tych danych, umożliwił dostęp do nich osobom nieupoważnionym na terenie Zakładów Papierniczych, tj. przestępstwa określonego w art. 51 ust.1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 133, poz. 833 ze zm.), za co orzeczono wobec niego karę 100 stawek dziennych grzywny po 40 złotych każda. Po rozpoznaniu apelacji obrońcy od tego wyroku, Sąd Okręgowy w W., wyrokiem z dnia 19 czerwca 2000 r., zmienił to orzeczenie w ten tylko sposób, że przyjął, iż oskarżony był jedynie obowiązany do ochrony danych osobowych osób biorących udział w loterii „Graj w zielone”.

W kasacji wywiedzionej od prawomocnego wyroku sądu odwoławczego obrońca skazanego podniósł zarzut obrazy prawa procesowego przez „naruszenie zasady obiektywizmu, zasady domniemania niewinności, zasady in dubio pro reo, jak również zasady swobodnej oceny dowodów (art. 4, 5 § 1 i 2 oraz art. 7 k.p.k.)”, co stanowi – zdaniem skarżącego – „rażące naruszenie prawa, mające wpływ na treść orzeczenia, przez uznanie Andrzeja S. za winnego popełnienia czynu w oparciu o domniemanie braku odpowiedzialności ze strony Zakładów Papierniczych za przyjmowane do zniszczenia dokumenty, a także uznanie, iż dokument wystawiony przez zakład, potwierdzający przyjęcie makulatury (...) z adnotacją «makulatura tajna» obciąża skazanego i świadczy o dokonanych przez niego zaniedbaniach”. W uzasadnieniu skargi kasacyjnej znalazł się jeszcze jeden zarzut, nie wskazany na wstępie kasacji, a mianowicie, że sądy pominęły „argumenty zawarte w pozasądowej opinii prawnej załączonej do akt sprawy”, zwłaszcza zaś wyrażony tam pogląd, że „sposób przechowywania zgłoszeń promocyjnych w trakcie całej promocji, jak i po jej zakończeniu, nie pozwala na uznanie, iż tworzyły one zbiór w rozumieniu ustawy” i że „obrona nie zgadza się z zaprezentowaną interpretacją sądu, co do ustawy o ochronie danych osobowych”, co oznaczałoby zarzut rażącego naruszenia prawa materialnego przez błędną jego interpretację.

Rozpoznając skargę kasacyjną Sąd Najwyższy zważył, co następuje

Przede wszystkim należy przyjrzeć się stanowi faktycznemu, w jakim sądy zastosowały art. 51 ust.1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 133, poz. 883 ze zm.), gdyż wprawdzie ustalenia faktyczne nie mogą być przedmiotem kasacji, ale bez wątpienia mają istotne znaczenie zarówno dla oceny zarzutu obrazy prawa procesowego (kwestia sposobu dokonania ustaleń i wpływu uchybienia proceduralnego na treść orzeczenia), jak i naruszenia prawa materialnego w sferze właściwej oceny prawnej czynu (zob. np. wyroki SN z dnia 6 września 1996 r., II KKN 63/96, OSNKW 1997, z. 1-2, poz.11 i z dnia 24 czerwca 1996 r., IV KKN 42/96, OSN Prok. i Pr. 1997, z. 2, poz.16).

Otóż oskarżony, jako przedstawiciel firmy RECON, zawarł w dniu 20 stycznia 1998 r. z Frito Lay Poland Sp. z o.o. z siedzibą w G. umowę zlecenia, dotyczącą zorganizowania dla zleceniodawcy obsługi promocji „Graj w Zielone”, zobowiązując się w niej m. in. do udostępnienia swych skrytek pocztowych, odbioru korespondencji z tych skrytek, segregacji owej korespondencji na kupony z wygranymi pieniężnymi i na kupony zgłoszone do losowania rowerów, weryfikacji kuponów z wygranymi pieniężnymi oraz przygotowania i wysłania tych nagród, prowadzenia baz danych wygrywających i rejestracji wygrywających oraz przechowywania korespondencji zgłoszonej do losowania i przygotowania jej do losowania, a także do zniszczenia pozostałej po losowaniu korespondencji w terminie 2 miesięcy po zakończeniu promocji. W wykonaniu tej umowy do firmy oskarżonego przychodziła w okresie promocji korespondencja z oznaczeniem imienia i nazwiska nadawcy oraz jego adresu, była ona odbierana ze skrytek w workach pocztowych, następnie układana w kartony, oklejana taśmą i ważona, i tak oczekiwała na losowania, a po zakończeniu akcji promocyjnej została ponownie przeliczona i zmagazynowana z uwagi na okres reklamacji. Po jego zakończeniu w styczniu 1999 r., oskarżony zlecił swemu pracownikowi skontaktowanie się z Zakładami Papierniczymi, z usług których wcześniej korzystał, w celu zniszczenia pozostałej korespondencji jako makulatury tajnej. Pracownik ten ustalił termin dostarczenia tym zakładom korespondencji promocyjnej i w określonej dacie, w lutym 1999 r., inny zaś pracownik wraz z wynajętym kierowcą przywiózł ją do Zakładów. Jak stwierdził oskarżony: „Korespondencja promocyjna nie zawierała żadnych danych poza imieniem, nazwiskiem i adresem. W związku z tym nie został przez nas oddelegowany żaden pracownik do bezpośredniego nadzoru nad zniszczeniem”. Twierdził on też, że „makulatura, którą dostarczyłem, była tajna, ale dla mnie nie stanowiła żadnego zbioru, była to czysta makulatura, była wrzucona do jednego worka”. Po przewiezieniu „makulatury” do zakładów papierniczych i odebraniu pokwitowania dostarczenia makulatury tajnej, pracownicy oskarżonego opuścili teren zakładów po zrzuceniu jej pod wiatą, na wolnej przestrzeni, gdzie w marcu 1999 r. odnaleźli ją pracownicy biura Generalnego Inspektora Danych Osobowych, którzy pojawili się w zakładach po stosownej informacji od dziennikarza telewizyjnych „Wiadomości”. Z zeznań świadków pracowników Zakładów Papierniczych wynikało z kolei, że różnice między tajną i zwykłą makulaturą sprowadzają się do tego, że za zwykłą płaci się dostawcy, za tajną zaś rozliczenie jest bezgotówkowe, gdyż wchodzi w nie też koszt zniszczenia, oraz że dostawcy makulatury tajnej, który jednocześnie chce ją zniszczyć, udostępnia się urządzenia i pracowników zakładu i jest on wtedy obecny przy niszczeniu. Przy takich ustaleniach sąd pierwszej instancji uznał, że oskarżony, administrując zbiorem danych osobowych osób biorących udział w loterii i będąc zobowiązanym do ochrony tych danych, umożliwił dostęp do nich osobom nieupoważnionym na terenie Zakładów Papierniczych. Sąd ten podkreślił, że art. 51 ust. 1 ustawy o ochronie danych osobowych przewiduje odpowiedzialność tego, kto administruje zbiorem danych lub jest zobowiązany do ochrony danych osobowych, a oskarżony był do ochrony takiej zobowiązany umową podpisaną w 1998 r. W ocenie tego sądu bez znaczenia jest, czy dane osobowe wchodziły do zbioru, gdyż ustawa o ochronie danych osobowych nie dotyczy wyłącznie danych figurujących w zbiorze. Sąd odwoławczy, podzielając tę interpretację, podniósł jednak, że administrowanie zbiorem zachodzi w trakcie korzystania z niego, a w niniejszej sprawie wchodzi w grę jedynie faza zobowiązania do ochrony danych po zakończeniu korzystania z nich, przeto wyeliminował z opisu czynu słowa o administrowaniu przez oskarżonego zbiorem danych.

Spoglądając na powyższe, stwierdzić należy, że wysuwany w kasacji zarzut obrazy podstawowych zasad postępowania, takich jak obiektywizm, domniemanie niewinności, zasada in dubio pro reo i swobodna ocena dowodów, jest właściwie czystą polemiką z ustaleniami faktycznymi sądów i dokonaną przez nie oceną dowodów. Nie jest bowiem prawdą, że sądy przyjęły jakoby domniemanie braku odpowiedzialności Zakładów Papierniczych za przyjmowane do zniszczenia dokumenty i uznały, że wydany przez nie dokument „makulatura tajna” obciąża oskarżonego i świadczy o jego zaniedbaniach. Sądy wskazały jedynie, na podstawie zebranych dowodów, że umowa z 1998 r. zobowiązywała właśnie oskarżonego do zniszczenia korespondencji promocyjnej, to on zdecydował, że przekazywana jako makulatura korespondencja promocyjna jest makulaturą tajną, był zatem świadomy konieczności jej zniszczenia, nie traktował jej jednak jako zbioru danych i nie dopełnił obowiązków, jakie na nim ciążyły, w zakresie uniemożliwienia do niej dostępu osobom nieupoważnionym, a samo przekazanie materiałów do zniszczenia jako tajnych nie zwalniało go od tych obowiązków. Dokonanej przez sądy ocenie dowodów, które legły u podstaw ustaleń, nie można zarzucić nielogiczności rozumowania, wyciągania nieuprawnionych wniosków i dowolności. W gruncie rzeczy autor kasacji chce w tym zakresie doprowadzić do ponownej oceny poszczególnych dowodów i uczynić instancję kasacyjną trzecim stadium procesu karnego w sytuacji, gdy postępowanie karne jest dwuinstancyjne, a w kasacji wolno skutecznie zarzucać jedynie rażące uchybienia prawu.

W kasacji podniesiono wszak i zarzut co do interpretacji art. 51 ust. 1 ustawy o ochronie danych osobowych, czyli prawnej podstawy skazania. Zarzut ten wyrażony wprawdzie został - jak już wskazano - dopiero w uzasadnieniu skargi kasacyjnej, co przy istniejącym przymusie adwokackim budzić musi pewne zaskoczenie, ale skoro skarga kasacyjna jest kasacją w całej swojej formie, to trzeba się zgodzić, że także wtedy, gdy zarzut pojawia się dopiero w uzasadnieniu kasacji - a nie we wstępnej części tej skargi, gdzie wskazuje się zarzuty - przyjąć należy, iż jest to zarzut „podany w kasacji”, w rozumieniu art. 526 § 1 i art. 536 k.p.k. W tym miejscu trzeba zauważyć, iż zdziwienie budzi tu potraktowanie przez autora kasacji jako uchybienia sądów tego, że „sąd rejonowy, a także sąd okręgowy pominął argumenty zawarte w pozasądowej opinii prawnej załączonej do akt sprawy”. Skarżący podnosi wprawdzie, że wie , iż „przedstawiona opinia nie jest dowodem w rozumieniu k.p.k.” ale, jak wskazuje, „jest w niej wyrażony podgląd, z którym zgadza się skazany”, że „sposób przechowywania zgłoszeń promocyjnych (...) nie pozwala na uznanie, iż tworzyły one zbiór w rozumieniu ustawy.” Należy podnieść, że przedmiotowa „opinia prawna” była pozaprocesową opinią, sporządzoną wyraźnie do danej sprawy, analizowała bowiem sposób postępowania oskarżonego i na tym tle interpretowała przepisy ustawy z 1997 r., wywodząc, iż ustawa ta chroni tylko dane w zbiorze danych, w tym i na gruncie swego art. 51 ust. 1, a takowego zbioru w sprawie nie było. Autorowi kasacji należałoby w tym miejscu przypomnieć, że na gruncie (także) postępowania karnego jedynie facta probantur, natomiast iura novit curia, nie należy zatem do stron udowadnianie sądowi treści przepisów prawa. Strona może samodzielnie, w tym korzystając z opinii pozaprocesowych, prezentować określone argumenty na rzecz wskazywanej przez siebie interpretacji przepisu prawa, nie może natomiast przedstawiać sądowi tego typu „opinii”, z żądaniem merytorycznego ustosunkowania się do nich przez sąd. Sądy zresztą przedstawiły - wskazaną już wcześniej - swoją interpretację art. 51 ustawy o ochrony danych osobowych i prawem obrony jest niezgadzanie się z nią. Do tego zresztą sprowadza się analizowany tu zarzut obrazy prawa materialnego. Jest on ujęty nader ogólnikowo, gdyż autor kasacji, odwołując się do powołanej wyżej opinii, przyjmuje, iż sposób przechowywania danych wskazywał, że nie tworzyły one zbioru i dlatego nie zgadza się z interpretacją sądów, a zatem – jak należy zakładać – uznaje, że tylko dane w zbiorze podlegają ochronie na gruncie art. 51 ust.1 ustawy o ochronie danych osobowych. Ogólnikowość tego zarzutu i brak sprecyzowania, na czym polegało uchybienie sądów, mogłyby prowadzić do uznania kasacji w tym zakresie za oczywiście bezzasadną, skoro sądy wypowiedziały się w tej materii, a skarżący nie wykazał, gdzie tkwi błąd ich rozumowania. Biorąc jednak pod uwagę rangę ustawy, będącej podstawą skazania, krótki jeszcze okres jej obowiązywania i szczególny charakter przedmiotu ochrony tego aktu prawnego, Sąd Najwyższy zdecydował się poddać analizie powyższy przepis, w jego powiązaniu z innymi normami tej ustawy, a więc rozważyć trafność zarzutu jego wadliwej, przez sądy, interpretacji.

Ochrona danych osobowych wynika z art.51 Konstytucji RP, i bez wątpienia ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych nie jest jedynym aktem prawnym chroniącym te dane (szerzej zob. np. A. Bierć: Ochrona prawna danych osobowych w sferze działalności gospodarczej w Polsce - aspekty cywilnoprawne; W. Kulesza: Ochrona danych osobowych a nowa kodyfikacja prawa karnego w Polsce; A. Mednis: Ochrona prawna danych osobowych a zagrożenie prywatności – rozwiązania polskie, w: Ochrona danych osobowych, praca zbiorowa, pod red. M. Wyrzykowskiego, Warszawa 1999). Na gruncie tej ustawy wypowiadane są jednak rozbieżne w istocie swej poglądy co do zakresu jej działania. Wedle niektórych autorów, ustawa ta „jest aktem kompleksowo ujmującym całość zagadnienia, bez względu na sposób, w jaki przetwarza się dane osobowe, elektronicznie czy też manualnie” (tak B. Banaszak, K. Wygoda: Regulacja prawna ochrony danych osobowych w Polsce w świetle ustawy z dnia 29 sierpnia 1997 r. i standardów europejskich, w: Ochrona danych osobowych, op. cit., s.53). Inni z kolei podnoszą, że „ochrona ta dotyczy przede wszystkim sytuacji, gdy dane te przetwarza w systemach informatycznych” (tak A. Bierć: op. cit., s. 112), a więc nie tylko danych przetwarzanych w owych systemach. Jeszcze inni uważają, iż „na pytanie czy przepisy (...) ustawy stosuje się do wszelkich danych osobowych, czy tylko do takich, które znajdują się w lub mają się znaleźć w zbiorze, nie można odpowiedzieć jednoznacznie” , przy czym przyjmują, że gdy chodzi o dane przetwarzane ręcznie, to „korzystają one z ochrony o tyle, o ile są lub mają być elementem zbioru” (tak A. Mednis: Ustawa o ochronie danych osobowych. Komentarz, Warszawa 1999, s. 15).

Analizując przepisy ustawy z 1997 r. należy zauważyć, że już z jej tytułu wynika, iż dotyczy ona ochrony danych osobowych, a nie danych osobowych w zbiorach. Zgodzić się trzeba, że sam tytuł ustawy nie musi jeszcze przesądzać o zakresie jej działania, choć co do zasady powinien, i na pewno ma znaczenie dla interpretacji danego aktu prawnego. Już zresztą w art. 1 ustawa zakłada, że każdy ma prawo do ochrony danych osobowych (ust. 1), a ich przetwarzanie może mieć miejsce tylko z uwagi na wskazane w ustawie dobra i jedynie w zakresie i trybie określonym ustawą (ust. 2). W art. 2 ust. 1 ustawa wskazuje z kolei, że „określa zasady postępowania przy przetwarzaniu danych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych.” Nie chodzi przy tym o prawa osób, których dane – jak twierdzą niektórzy autorzy – „są lub mają być elementem zbioru” (tak A. Mednis), ale które „są lub mogą być przetwarzane w zbiorach”. Zgodnie zaś z ustawą przetwarzanie danych, to „wszelkie operacje na tych danych” – a nie na zbiorze takich danych – w tym m. in. „takie jak zbieranie, utrwalanie, przechowywanie (...) i usuwanie” (art. 7 pkt 2). Tym samym dane osobowe korzystają z ochrony przewidzianej ustawą o ochronie danych osobowych już wówczas, jeżeli tylko mogą znaleźć się w zbiorze, bez względu na to, czy się w nim ostatecznie znalazły, a ustawa w odniesieniu do różnych etapów i rodzajów przetwarzania danych określa jeszcze dodatkowe uprawnienia osób, których dane te dotyczą (rozdz. 4 ustawy). Rzecz bowiem w tym, że każdy ma prawo do ochrony dotyczących go danych osobowych (art. 1 ust. 1 ustawy), a nie jedynie ten, czyje dane znalazły się już w zbiorze. Ustawa precyzyjnie przy tym określa do jakich podmiotów przetwarzających dane się odnosi (art. 3 ust.1-3), i zastrzega, iż nie stosuje się jej norm tylko wobec osób fizycznych przetwarzających dane osobowe w celach osobistych lub domowych (art. 3 ust.4); jest to jedyne ograniczenie podmiotowego zakresu ustawy. Na marginesie zauważyć należy, iż w piśmiennictwie wskazuje się wyraźnie, że wzorcem regulacji polskiej z 1997 r. stały unormowania zachodnioeuropejskie oraz Konwencja nr 108 Rady Europy z dnia 26 stycznia 1981 r. i Dyrektywa Unii Europejskiej nr 95/46/CE z dnia 24 października 1995 r. oraz podnosi, że o ile początkowo ustawodawstwo europejskie chroniło praktycznie wyłącznie zbiory danych osobowych, o tyle obecnie wraz z rozwojem technologii uznano, iż nieobjęcie ochroną pojedynczych danych byłoby niewłaściwe (zob. A. Mednis: op. cit, s. 7 i 14).

Danymi osobowymi są przy tym wszelkie informacje dotyczące osoby fizycznej, pozwalające na określenie tożsamości tej osoby (art. 6 ustawy), są więc nimi na pewno także np. informacje znajdujące się na kopercie z imieniem, nazwiskiem i adresem danej osoby fizycznej. Jeżeli zaś, stosownie do art. 7 omawianej ustawy, przetwarzaniem danych jest ich zbieranie, przechowywanie i usuwanie, a usuwaniem m.in. niszczenie (pkt 2 i 3 art. 7), to nie powinno budzić wątpliwości, iż ochrona danych osobowych, o jakiej mowa w ustawie z 1997 r., odnosi się już do etapu ich zbierania, a następnie fazy przechowywania i niszczenia, i to choćby nie znalazły się one ostatecznie w zbiorze danych osobowych. Nie może bowiem być pozbawiona w ogóle ochrony prawnej płynącej z ustawy w odniesieniu swych danych osoba, której dane - mimo że zbierane, czyli przetwarzane w rozumieniu tej ustawy - nie znalazły się w zbiorze, i to tylko dlatego, że nie weszły one do zbioru. Pamiętać też należy, iż zgodnie z art. 31 ustawy, administrator danych, czyli ten podmiot, który decyduje o celach i środkach przetwarzania danych (art. 7 pkt 4), może w drodze umowy powierzyć przetwarzanie danych innemu podmiotowi i wówczas - niezależnie od odpowiedzialności administratora danych za przestrzeganie ustawy - podmiot przetwarzający dane ponosi odpowiedzialność za przetwarzanie ich niezgodnie z tą umową (art. 31 ust. 4). Ponosi on jednak odpowiedzialność także w tych sytuacjach, w których ustawa odnosi określone zachowanie nie tylko do administratora danych.

W niniejszej sprawie oskarżony zawarł z firmą prowadzącą promocję „Graj z zielone” umowę, na podstawie której zobowiązał się m.in. do udostępnienia skrytek pocztowych, odbierania korespondencji, segregowania jej, weryfikowania kuponów z wygranymi, prowadzenia baz danych osób wygrywających i ich rejestracji oraz do przechowywania korespondencji i jej zniszczenia po promocji. Były to bez wątpienia czynności z zakresu przetwarzania danych w rozumieniu art. 7 pkt 2 i 3 ustawy z 1997 r. Nie był on jednak administratorem danych w znaczeniu nadanym temu pojęciu w art. 7 pkt 4 ustawy, gdyż nie decydował o celach i środkach przetwarzania danych, a jedynie o sposobach realizacji określonych w umowie czynności przetwarzania.

Przechodząc do analizy art. 51 ust. 1 ustawy o ochronie danych osobowych, który stał się podstawą skazania w niniejszej sprawie, zauważyć należy, że zakłada on odpowiedzialność tego, „kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym”. Udostępnianie danych oznacza tu z założenia działanie sprawcy, oznacza bowiem czynienie dostępnym, ułatwianie dostępu (zob. Słownik języka polskiego, praca zbiorowa pod red. M. Szymczaka, Warszawa 1989, t. III, s. 582), zaś umożliwienie dostępu do nich - jako czynienie tylko możliwym, ułatwianie, przyczynianie się (zob. Słownik języka polskiego, s. 600) – może nastąpić i przez zaniechanie, a więc niedopełnienie obowiązku. Zauważyć jednak należy, że o ile w licznych przepisach ustawy mówi się o – zdefiniowanym w art.7 pkt 4 – „administratorze danych” (zob. np. art.26 ust.1, art. 29 ust.1, art. 30, art. 31 ust.1 i 4, art. 33 ust. 1, art. 36, czy art. 38, 39, 40), o tyle w art. 51 użyto innego wyrażenia, a mianowicie „kto administrując zbiorem”, czyli pojęcia „administrującego zbiorem danych”. Podobnie uczyniono w art. 50 i 54, by z kolei w art. 52 spenalizować zachowania „administrującego danymi”. W piśmiennictwie jakby nie dostrzega się tej różnicy, utożsamiając administrującego zbiorem, o którym mowa w art. 51 (oraz w art. 50 i

54) ustawy, i administrującego danymi, o którym mowa w art. 52, z administratorem danych (zob. np. A. Mednis: op. cit., s. 130; W. Kulesza: op. cit.,

s. 92). Nie można jednak zgodzić się z poglądem, jakoby administrujący zbiorem, administrujący danymi i administrator danych były tu pojęciami tożsamymi. Racjonalny ustawodawca bowiem nie używa w tym samym akcie prawnym różnych określeń dla wskazania tego samego podmiotu. Analizując przedstawione zwroty, należy więc przyjąć, iż na gruncie ustawy o ochronie danych osobowych administratorem danych osobowych jest jedynie ten podmiot, który decyduje o celach i środkach przetwarzania tych danych (art. 7 pkt 4 ustawy), natomiast administrującym – także taki podmiot, który zarządza, zawiaduje (zob. Słownik poprawnej polszczyzny, pod red. W. Doroszewskiego, Warszawa 1994. s. 4) zbiorem danych (art. 50, 51,

54) lub danymi (art. 52) w procesie ich przetwarzania, w tym i powierzonego mu w trybie wskazanym w art. 31 tej ustawy z tym zastrzeżeniem, że odpowiedzialność karna administrującego nie będącego administratorem danych wchodzi w rachubę gdy jego zachowanie – uznane za karalne przez ustawę – wynika z powierzonych mu czynności przetwarzania danych.

W art. 51 ustawy o ochronie danych osobowych nie chodzi zatem jedynie o odpowiedzialność karną podmiotu, który „będąc administratorem danych” udostępnia je lub umożliwia do nich dostęp osobom nieupoważnionym, ale o odpowiedzialność każdego, kto czyni to „administrując zbiorem”, choćby nie był jego administratorem. Istotne jest tu jednak, aby zawiadywał on nie tyle danymi, ile zbiorem danych. Zbiorem takim zaś jest „posiadający strukturę zestaw danych osobowych, dostępnych według określonych kryteriów”, bez względu na to, czy jest on rozproszony, czy podzielony funkcjonalnie (art. 7 ust. 1 ustawy). Jak już wskazano, w świetle umowy między oskarżonym a Frito Lay Poland Sp. z o.o. miał on m.in. przyjmować korespondencję promocyjną, segregować ją na kupony z wygranymi pieniężnymi i kupony do losowania nagród rzeczowych (rowerów), weryfikować kupony z wygranymi pieniężnymi, przygotowywać i przesyłać nagrody, prowadzić bazy danych i rejestrację wygrywających, przechowywać korespondencję zgłoszoną do losowania oraz zniszczyć ją po losowaniu i zakończeniu promocji. Nie powinno zatem budzić wątpliwości, że miał tu miejsce zbiór danych osobowych, a to, jak oskarżony sam go traktował i jak praktycznie realizował poszczególne cele i środki powierzonego przetwarzania oraz jakimi sposobami to czynił, nie ma znaczenia. To bowiem nie ocena subiektywna oskarżonego i sposoby praktycznej realizacji przezeń czynności składających się na przetwarzanie danych decydują o istnieniu zbioru, ale to, czy wykaz danych i nakazane mu umową ich przetwarzanie spełniało ustawowe wymogi zbioru i jego przetwarzania, przy czym bez znaczenia pozostaje tu kryterium doboru danych do zbioru. Wskazano już wcześniej, że ochrona przewidziana w ustawie o ochronie danych osobowych odnosi się także do danych, które nie weszły do zbioru, a zatem administrujący zbiorem danych odpowiada na gruncie art. 51 ustawy także za ochronę tych danych, które były zbierane, ale nie wprowadzono ich do dalszego przetwarzania w zbiorze. Administrujący zbiorem danych odpowiada tu bowiem za udostępnienie lub umożliwienie dostępu do danych osobowych, a nie do zbioru takich danych, a więc także za udostępnienie lub umożliwienie dostępu do takich danych, które z racji zbierania mogły jedynie być (choć nie były ostatecznie) dalej przetwarzane jako element zbioru. Dla odpowiedzialności tej jest zatem obojętne, czy dane osobowe określonej osoby fizycznej stały się elementem zbioru i były w nim dalej przetwarzane, wystarczy zaś, że były one zbierane, w tym i korespondencyjnie. Nie można przy tym zgodzić się z Sądem Okręgowym, że administrowanie zbiorem ma miejsce jedynie w trakcie korzystania z danych, czym uzasadniał on wyeliminowanie z opisu czynu słów o administrowaniu zbiorem danych przez oskarżonego. Jeżeli – jak wcześniej wskazano – administrowanie to zarządzanie, zawiadywanie, to tym samym także niszczenie jako usuwanie jest administrowaniem danymi. To uchybienie sądu odwoławczego nie ma jednak istotnego wpływu na treść zaskarżonego orzeczenia. Mają bowiem racje oba sądy orzekające w tej sprawie, że art. 51 ustawy alternatywnie ujmuje podmiot przestępstwa, skoro zakłada, iż jest nim ten, „kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych”, zachowuje się w sposób określony w tym przepisie. Oskarżony w ramach cytowanej umowy z 1998 r. obowiązany był m.in. do „zniszczenia pozostałej po losowaniu korespondencji w terminie 2 miesięcy po zakończeniu promocji”. Niezależnie zatem od tego, że wykonywać miał określone czynności przetwarzania danych, był też zobligowany do zniszczenia danych po zakończeniu promocji. Nie jest zaś wykluczone, że administrator danych powierzy, w drodze umowy wskazanej w art. 31 ustawy, poszczególne czynności, będące przetwarzaniem danych, różnym podmiotom, w tym jednemu z nich tylko usunięcie danych. W takim wypadku za ochronę danych przy ich usuwaniu odpowiadać może ten właśnie podmiot, a udostępnienie lub umożliwienie dostępu do danych przy innych czynnościach ich przetwarzania będzie obciążało administrującego zbiorem w trakcie tych czynności. W niniejszej sprawie oskarżonemu powierzono usunięcie danych wraz z innymi czynnościami ich uprzedniego przetwarzania, w tym i zbieranie, przeto powinien odpowiadać jako administrujący zbiorem danym i będący obowiązany do ochrony tych danych, w tym także w trakcie ich niszczenia (usuwania). Skazanie go jedynie jako będącego obowiązanym do ochrony danych trudno jednak - uwzględniając całokształt sprawy - uznać za uchybienie mogące mieć istotny wpływ na treść orzeczenia. Nie budzi natomiast wątpliwości, że oskarżony nie dopełnił obowiązku ochrony danych osobowych w zakresie powierzonego mu ich zniszczenia, umożliwiając w tej fazie administrowania dostęp do owych danych osobom nieupoważnionym. Oskarżony powinien podjąć takie czynności, które zapewniałyby zniszczenie korespondencji promocyjnej bez możliwości zapoznania się z danymi osobowymi z niej wynikającymi osobom nieupoważnionym do dostępu do nich. Oskarżony nie traktował, jak sam przyznawał, owej korespondencji jako zbioru, nie zapewnił udziału swego lub swego pracownika przy niezwłocznym zniszczeniu w Zakładach Papierniczych przekazanej tam jako makulatura korespondencji z danymi osobowymi, i nie można przyjąć, iżby przez przekazanie jej owym Zakładom jako makulatury tajnej uwolnił się automatycznie od odpowiedzialności karnej z art. 51 ustawy o ochronie danych osobowych. To on bowiem w pierwszej kolejności był odpowiedzialny za ochronę danych w zakresie określonym w tym przepisie, a samo przekazanie tych danych do zniszczenia innemu podmiotowi, nie gwarantujące ich zniszczenia bez dostępu do danych osób nieupoważnionych, nie może oznaczać uwolnienia się obowiązanego do ochrony danych od odpowiedzialności za tę ochronę.

W świetle tego, co dotychczas powiedziano, nie można przyjąć, tak jak chciałby skarżący, że w sprawie tej naruszono prawo materialne, a to art. 51 ustawy o ochronie danych osobowych, gdyż wbrew twierdzeniom kasacji przepis ten nie odnosi się jedynie do ochrony danych stanowiących element zbioru. Nie można zresztą też przyjąć, iżby zbierana i przetwarzana przez oskarżonego korespondencja promocyjna nie była w ogóle takim zbiorem z uwagi na stosowane przezeń sposoby powierzonego przetwarzania ani też, że oskarżony uwolnił się od odpowiedzialności przez przekazanie owej korespondencji jako makulatury tajnej Zakładom Papierniczym do zniszczenia.

Mając powyższe na uwadze, kasację niniejszą oddalono, orzekając jak w wyroku.