Podlegają więc również wszystkim związanym z tym wymogom – orzekł Naczelny Sąd Administracyjny (sygn. I OSK 983/07).
Do sporządzania raportów o zdarzeniach powodujących naruszenie porządku zobowiązane są wszystkie wewnętrzne służby ochrony, np. lotnisk, kolei, radia i telewizji, zakładów przemysłowych i innych obiektów. Toteż, mimo że wyrok NSA rozstrzyga jedynie sprawę warszawskiego metra, w istocie rzeczy ma szersze znaczenie.
Wewnętrzne służby ochrony powoływane są na podstawie ustawy z 1997 r. o ochronie osób i mienia oraz rozporządzenia z 1998 r. ministra spraw wewnętrznych i administracji w sprawie wewnętrznych służb ochrony. Zgodnie z § 5 rozporządzenia muszą m.in. powiadamiać kierownika jednostki o zdarzeniach powodujących naruszenie porządku. W spółce Metro Warszawskie takie raporty gromadzone są chronologicznie, dla każdej stacji metra osobno. Osobno także umieszcza się dane osób w przypadkach, gdy interweniowało pogotowie ratunkowe i policja.
Raporty, w których znajdują się personalia różnych osób, generalny inspektor ochrony danych osobowych uznał za zbiór i nakazał go zarejestrować. Zgodnie z art. 7 ustawy o ochronie danych osobowych takim zbiorem jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów. Zdaniem GIODO zgromadzone meldunki służb ochrony metra są takim zbiorem.
Wojewódzki Sąd Administracyjny w Warszawie przyznał jednak rację spółce i uchylił decyzję GIODO. W opinii sądu raporty ochrony jedynie dokumentują działania tych służb. Nie mogą być zbiorem, ponieważ nie wszystkie zawierają dane osobowe i nie ma też jasnego kryterium dotarcia do nich. Naczelny Sąd Administracyjny zajął odmienne stanowisko. Uwzględniając skargę kasacyjną GIODO, uchylił wyrok WSA, przekazując temu sądowi sprawę do ponownego rozpatrzenia. Zbiór, znajdujący się w spółce Metro Warszawskie, jest uporządkowany według pewnych kryteriów – chronologii i miejsca zdarzenia – i zawiera dane osobowe – stwierdził. Można do nich dotrzeć poprzez datę i miejsce zdarzenia. Art. 7 ust. 1 ustawy o ochronie danych osobowych nie wskazuje, jakie to mają być kryteria. Nie muszą być oparte na danych osobowych, mogą być jakiekolwiek.
