Stan faktyczny sprawy ustalony został na podstawie niekwestionowanych dowodów.
Naczelny Sąd Administracyjny po rozpoznaniu sprawy ze skargi RDP Spółka z o.o. w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 22 lipca 1999 r. (...) w przedmiocie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych - oddala skargę.
Decyzją, z dnia 22 lipca 1999 r. Generalny Inspektor Ochrony Danych Osobowych na podstawie art. 127 par. 3, art. 138 par. 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego /t.j. Dz.U. 1980 nr 9 poz. 26 ze zm./, art. 18 ust. 1 pkt 1, 3, 5 i art. 21 w zw. z art. 32 ust. 1, art. 36, art. 39 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych /Dz.U. nr 133 poz. 883/, par. 2 pkt 6, par. 4, par. 6 i par. 11, par. 16 i par. 17 rozporządzenia Ministra Spraw Wewnętrznych i administracji z dnia 3 czerwca 1998 r. w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych /Dz.U. nr 80 poz. 521/, po przeprowadzeniu postępowania w sprawie wniosku RDP Sp. z o.o. z siedzibą w W., z dnia 17 czerwca 1999 r. o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia 29 maja 1999 r. (...) nakazującą RDP Sp. z o.o. usunięcie uchybień w procesie przetwarzania danych osobowych, utrzymał zaskarżoną decyzję w mocy z następującym uzasadnieniem:
Dnia 15 marca 1999 r. Biuro Generalnego Inspektora Ochrony Danych Osobowych zostało powiadomione przez pana Jacka B., dziennikarza telewizyjnych "Wiadomości", że na terenie Warszawskich Zakładów Papierniczych S.A. w K.-J., zwanych dalej WZP, na wysypisku zakładowej makulatury, wśród innych materiałów znajdują się też dokumenty pochodzące od RDP Sp. z o.o. w W. Dokumentami tymi były karty uczestnictwa w loterii organizowanej przez Spółkę, które zawierały dane osobowe uczestników loterii, tj. ich imiona, nazwiska i dokładne adresy.
W sprawie tej Generalny Inspektor Ochrony Danych Osobowych wszczął i przeprowadził postępowanie administracyjne, które miało na celu wyjaśnienie podstaw, zasad i okoliczności przetwarzania przez RDP danych osobowych swoich klientów. W jego trakcie przeprowadzono m.in. kontrolę w siedzibie Spółki, wyjaśniono okoliczności przetwarzania przez nią danych osobowych swoich klientów i podstawy prawne takiego przetwarzania. W wyniku przeprowadzonego postępowania, Generalny Inspektor Ochrony Danych Osobowych wydał dnia 29 maja 1999 r. decyzję nakazującą usunięcie stwierdzonych uchybień poprzez:
1/ wprowadzenie efektywnego nadzoru nad procesem niszczenia wszelkich materiałów pochodzących ze Spółki, a zawierających dane osobowe, tak, aby zapobiec ujawnianiu danych osobom nieupoważnionym, zgodnie z art. 36 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, zwanej dalej "ustawą",
2/ opracowanie i wdrożenie programu szkolenia osób zatrudnionych przy przetwarzaniu danych osobowych, w zakresie zabezpieczeń systemu informatycznego zgodnie z wymogami określonymi w par. 2 pkt 6 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 3 czerwca 1998 r. w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych /Dz.U. nr 80 poz. 521/, zwanego dalej "rozporządzeniem",