Jak wynika z uzasadnienia wyroku NSA z dnia 26 czerwca 2011 roku (sygnatura I OSK 1264/10)
- Pierwszą czynnością na danych osobowych, do której zastosowanie ma ustawa o ochronie danych osobowych jest „zbieranie danych osobowych”.
- „Zbieranie danych” to pozyskanie, wejście w posiadanie danych osobowych, czyli uzyskanie faktycznego władztwa nad danymi przez inny podmiot niż osoba, której dane dotyczą.
- Pojęciem „zbieranie danych osobowych” w żaden sposób nie można obejmować samego „żądania udostępnienia danych osobowych”.
- „Żądanie danych osobowych” jest bowiem czynnością faktyczną, która poprzedza zbieranie danych osobowych i nie stanowi ono jeszcze przetwarzania danych osobowych, a tym samym nie jest to czynność objęta działaniem ustawy o ochronie danych osobowych.
„Przetwarzaniem danych, zgodnie z art.7 pkt.2 u.o.d.o., są „jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych”. Pojęcie to jest zatem bardzo szerokie. Wskazane przez ustawodawcę działanie, jakie można podejmować z danymi osobowymi, są podane jedynie jako przykład możliwych operacji objętych terminem „przetwarzanie danych”. Zastosowanie słowa „jakichkolwiek” świadczy, że wyliczenie to nie ma charakteru wyczerpującego. Sama ustawa wymienia zresztą także inne operacje na danych osobowych, które można kwalifikować jako „przetwarzanie danych”, mimo że nie są one wymienione w art.7 pkt.2 u.o.d.o. Należą do nich: anonimizacja (art.2 ust.3), uaktualnienie, sprostowanie (art.32 ust.1 pkt.6), wstrzymanie przetwarzania (art.32 ust.1 pkt.6, art.35 ust.1), przekazywanie danych do państwa trzeciego (art.41 ust.1 pkt.7, art.47, art.48),czy przekazywanie danych odbiorcom lub kategoriom odbiorców (art.41 ust.1 pkt.4 ). Niewątpliwie taka otwarta definicja terminu „przetwarzanie danych” stanowi świadomy i celowy zabieg ustawodawcy, który w ten sposób chciał uniknąć konieczności wyliczania w każdym przepisie różnego typu operacji, których można dokonywać na danych osobowych (A.Mednis „Ustawa o ochronie danych osobowych. Komentarz”, Warszawa 2001r, str.27).
Brak zamkniętego katalogu operacji kwalifikowanych do przetwarzania danych osobowych nie oznacza, że można do nich zaliczyć wszystkie czynności mające jakikolwiek związek z tymi danymi. W piśmiennictwie trafnie bowiem zwraca się uwagę na to, że przyjęta w art.7 pkt.2 u.o.d.o. kolejność operacji na danych osobowych nie jest przypadkowa. Wskazuje ona na dwa skrajne etapy takich działań. O przetwarzaniu danych można mówić począwszy od zbierania danych, a skończywszy na ich usunięciu (A. Drozd „ustawa o ochronie danych osobowych. Komentarz. Wzory pism i przepisy”, Wydawnictw LexisNexis 2008 r., str.61). Oznacza to, że ochrony danych osobowych, a tym samym stosowania przepisów u.o.d.o. nie można rozciągać poza wskazane ramy czasowe.
Pierwszą czynnością na danych osobowych, do której zastosowanie ma omawiana ustawa jest zbieranie danych. W ustawie nie zdefiniowano tego pojęcia, przez co jego rozumienie może budzić pewne wątpliwości. W tej sytuacji termin ten należy dekodować zgodnie z jego powszechnym znaczeniem, zgodnie z którym „zbierać” to tyle co „zgromadzić coś w jednym miejscu, skupić w swoim posiadaniu” (Słownik języka polskiego. Tom III, pod red.M.Szymczaka, Warszawa 1981r., str. 582). W konsekwencji przyjąć trzeba, że „zbieranie” to pozyskanie, wejście w posiadanie danych osobowych, czyli uzyskanie faktycznego władztwa nad danymi przez inny podmiot niż osoba, której dane dotyczą. Pojęciem tym w żaden sposób nie można obejmować samego żądania udostępnienia danych osobowych. „Żądanie” danych osobowych jest bowiem czynnością faktyczną, która poprzedza zbieranie danych osobowych. Nie stanowi ono jeszcze przetwarzania danych osobowych, a tym samym nie jest to czynność objęta działaniem ustawy o ochronie danych osobowych.
W niniejszej sprawie bezspornym jest, że Spółka […], powołując się na regulację zawartą w art. 30 ust. 2 1 ustawy z dnia 23 maja 1991 r. o związkach zawodowych, wystąpiła do organizacji związkowej, o nadesłanie listy imiennej pracowników objętych ochroną […]. Niesporne również jest, że wnioskowane dane nie zostały jej przekazane. W sprawie nie doszło zatem do przetwarzania jakichkolwiek danych osobowych w rozumieniu art.7 pkt.2 u.o.d.o. Nie zostały spełnione przesłanki do zastosowania przez GIODO środków przewidzianych w art.18 ust.1 u.od.p., a tym samym skierowany do Spółki nakaz pozbawiony był uzasadnienia faktycznego.
Dodać również należy, że w każdym przypadku o zasadności czy niezasadności wniosku decyduje adresat tego żądania, uwzględniając wniosek lub odmawiając jego uwzględnienia. Korzystania ze środków procesowych przewidzianych w ustawach, niezależnie od ich zasadności, nie można więc traktować jako przetwarzania danych. Akceptacja odmiennego stanowiska, sugerowanego w skardze kasacyjnej, prowadziłaby do absurdalnej sytuacji, że w przypadku gdyby jakkolwiek podmiot zwracał się o wydanie przez GIODO decyzji zezwalającej na przetwarzanie danych osobowych, organ- zamiast wydawać decyzję merytoryczną- karałby w istocie wnioskodawcę za korzystanie z instrumentów procesowych, które przyznaje mu ustawa.”
