I OSK 521/11

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Barbara Adamiak Sędziowie sędzia NSA Joanna Runge - Lissowska sędzia del. NSA Jerzy Stankowski (spr.) Protokolant sekretarz sądowy Joanna Drapczyńska po rozpoznaniu w dniu 13 grudnia 2011 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 23 listopada 2010 r. sygn. akt II SA/Wa 1307/10 w sprawie ze skargi P. Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2010 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku w sprawie udostępnienia danych osobowych uchyla zaskarżony wyrok i przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Wyrokiem z dnia 23 listopada 2010 r. sygn. II SA/Wa 1307/10 Wojewódzki Sąd Administracyjny w Warszawie po rozpoznaniu sprawy ze skargi P. Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2010 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku w sprawie udostępnienia danych osobowych uchylił zaskarżoną decyzję oraz decyzję ją poprzedzającą. Powyższy wyrok wydano w następujących okolicznościach faktycznych: Generalny Inspektor Ochrony Danych Osobowych (dalej jako: GIODO) decyzją z dnia [...] czerwca 2010 r. nr [...], na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm. – dalej jako: kpa), utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] lutego 2010 r. w przedmiocie odmowy uwzględnienia wniosku P. Z. w sprawie udostępnienia danych osobowych. W motywach uzasadnienia organ podał, że P. Z. domagał się ochrony prawnej na gruncie ustawy o ochronie danych osobowych, w związku z faktem, iż jego prywatny adres zamieszkania jest przetwarzany przez Naczelników Urzędów Skarbowych w K., K. i J. oraz przez Ministra Finansów. Jak wyjaśniono, organ ustalił, że skarżący P. Z. wykonuje zawód doradcy podatkowego i że doręczona mu przez wskazanych Naczelników Urzędów Skarbowych korespondencja dotyczyła podmiotów, które reprezentował w postępowaniach podatkowych, prowadzonych przed tymi organami. Podał również, że dane skarżącego, w zakresie prywatnego adresu zamieszkania, Naczelnicy Urzędów Skarbowych w K., K. i w J. pozyskali z ewidencji podatników i płatników tj. ze zbioru Krajowej Ewidencji Podatników, który prowadzi Minister Finansów na podstawie ustawy z dnia 13 października 1995 r. o zasadach ewidencji i identyfikacji podatników i płatników (Dz. U. z 2004 r. Nr 269, poz. 2681 ze zm. – dalej jako: ustawa o zasadach ewidencji). Dokonując oceny legalności przetwarzania prywatnego adresu P. Z. przez Naczelników Urzędów Skarbowych, GIODO wskazał, że pozyskanie informacji na temat (adresu) skarżącego nastąpiło na podstawie art. 15 ust. 2 i 3 ustawy o zasadach ewidencji. Organ stwierdził, że Naczelnicy Urzędów Skarbowych, jako organ podatkowy, prowadzą postępowania podatkowe w trybie i na zasadach określonych w ustawie - Ordynacja podatkowa oraz że kwestie związane z doręczaniem pism w postępowaniu podatkowym regulują przepisy rozdziału 5 Ordynacji podatkowej, zaś kwestie reprezentacji strony w postępowaniu reguluje art. 136 i następne tego aktu. Wskazał też, że w sytuacji, gdy strona postępowania podatkowego ustanowiła pełnomocnika, to jemu doręcza się pisma, stosownie do art. 145 § 2 tej ustawy. W dalszej kolejności wskazano, że zgodnie z art. 41 ust. 1 ustawy z dnia 5 lipca 1996 r. o doradztwie podatkowym (Dz. U. z 2008 r. Nr 73, poz. 443 ze zm.), pełnomocnikiem może być doradca podatkowy oraz że stosownie do art. 148 § 1 Ordynacji podatkowej, pisma doręcza się osobom fizycznym w ich mieszkaniu lub miejscu pracy. Zwrócono uwagę, że pisma mogą być również doręczone: 1) w siedzibie organu podatkowego, 2) w miejscu pracy adresata – osobie upoważnionej do odbioru korespondencji, 3) na wskazany adres poczty elektronicznej (art. 148 § 2). W razie niemożności doręczenia pisma w sposób określony w §1 i § 2, doręcza się w każdym miejscu, gdzie się adresata zastanie (art. 148 § 3 ordynacji podatkowej). Dokonując oceny legalności przetwarzania danych osobowych P. Z., organ wskazał również na art. 180, art. 122 i art. 125 Ordynacji podatkowej, podkreślając upoważnienie organów podatkowych do podejmowania wszelkich niezbędnych działań w celu szybkiego, wnikliwego załatwienia sprawy. Stwierdził, że prawidłowość prowadzenia postępowania podatkowego (w tym legalność pozyskania danych), podlega weryfikacji na zasadach normujących to postępowanie. Reasumując, organ uznał, że organy podatkowe w sytuacji, gdy skarżący był pełnomocnikiem strony w postępowaniu podatkowym, legalnie przetwarzały jego dane (prywatny adres), na podstawie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Nadto wskazano, że pozyskanie tych danych przez Naczelników Urzędów Skarbowych, z ewidencji prowadzonej przez Ministra Finansów, budzi wątpliwości GIODO, albowiem P. Z. w postępowaniu podatkowym nie był podatnikiem ani płatnikiem lecz pełnomocnikiem. Jednocześnie jednak stwierdzono, że ewentualne nieprawidłowości w procesie przetwarzania jego danych osobowych przez Ministra Finansów, stanowią już nieodwracalne fakty i GIODO nie jest uprawniony do wydawania rozstrzygnięcia, co do przyszłych (czysto hipotetycznych) okoliczności, zakładających, że kwestionowana przez skarżącego sytuacja się powtórzy. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie P. Z., wnosząc o uchylenie zaskarżonej decyzji i zasądzenie kosztów postępowania, podniósł, że Minister Finansów dokonał kilkukrotnego, nieprawidłowego udostępnienia jego danych osobowych. Skarżący twierdził, że dane osób fizycznych, które są zgromadzone w centralnej ewidencji podatników i płatników są udostępniane pracownikom urzędów skarbowych bez żadnych ograniczeń i kontroli ich przeznaczenia. Wywodził, że skala naruszeń w tym zakresie jest tak poważna, że nawet pracownicy urzędów skarbowych nie zdają sobie sprawy, w którym momencie korzystają z własnych danych, a kiedy z danych centralnej ewidencji. Skarżący zarzucił, że dane osobowe podatników w Polsce są bez żadnych zabezpieczeń udostępniane urzędom skarbowym. W odpowiedzi na skargę organ wniósł o jej oddalenie, podnosząc, że przetwarzanie danych osobowych skarżącego, jako pełnomocnika strony postępowania podatkowego, było niezbędne dla zrealizowania praw i obowiązków organów podatkowych w zakresie prowadzenia przez te organy postępowań podatkowych. A zatem zaistniała przesłanka legalizująca przetwarzanie danych skarżącego, o której mowa w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie uznał zasadność skargi P. Z. i uchylił zaskarżoną decyzję oraz decyzję ją poprzedzającą, wskazując, że Generalny Inspektor Ochrony Danych Osobowych nieprawidłowo uznał, że przetwarzanie przez Naczelników Urzędów Skarbowych danych osobowych P. Z., tj. jego prywatnego adresu zamieszkania, który pozyskany został ze zbioru Ministra Finansów p.n. "Krajowa Ewidencja Podatników" (Ewidencja NIP), znajduje uzasadnienie, z uwagi na istnienie przesłanki legalizującej to przetwarzanie – art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm. – dalej jako: ustawa o ochronie danych osobowych). Sąd I instancji wskazał, że bezspornie dane osobowe skarżącego, jako pełnomocnika strony postępowania podatkowego, zostały włączone bez jego zgody w poczet postępowań podatkowych. Pozyskane zostały ze zbioru Ministerstwa Finansów, z Ewidencji NIP. Sporne było natomiast, czy takie postępowanie organów podatkowych i Ministerstwa Finansów znajdują usprawiedliwienie, czyli legalną przesłankę uzasadniającą takie działanie, w ustawie o ochronie danych osobowych. Oceniając legalność działań organów podatkowych i Ministra Finansów, Wojewódzki Sąd Administracyjny w Warszawie podkreślił, iż organom skarbowym znany był adres pełnomocnika. P. Z. wskazał, bowiem organom adres do korespondencji, tj. adres Kancelarii, w której prowadzi działalność zawodową (Spółka [...] z siedzibą w K. ul. [...]). W tym miejscu Sąd I instancji podkreślił, iż przepisy ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa (Dz. U. z 2005 r. Nr 8, poz. 60 ze zm.) regulują (w art. 144 -150) tryb doręczania pism w postępowaniu podatkowym. Zdaniem Sądu I instancji, pozyskanie przez Naczelników Urzędów Skarbowych prywatnego adresu pełnomocnika ze zbioru Ministra Finansów Ewidencji NIP (w celu doręczeń) i przetwarzanie tych danych nie dawało GIODO podstaw do uznania, iż działanie organów podatkowych i Ministra Finansów oparte było na legalnej przesłance, określonej w przepisie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, która stanowi, że przetwarzanie danych jest dopuszczalne, jeżeli jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. W ocenie Sądu I instancji, dokonując oceny legalności przetwarzania prywatnego adresu skarżącego (pełnomocnika strony postępowania podatkowego), uszło uwadze GIODO, iż jedną z podstawowych reguł przetwarzania danych osobowych jest przetwarzanie ich zgodnie z prawem, to jest zbieranie dla oznaczonych, zgodnych z prawem celów i niepoddawanie dalszemu przetwarzaniu niezgodnemu z tymi celami (art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych). Zgodnie z tym przepisem, administrator danych, przetwarzający dane, powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były: przetwarzane zgodnie z prawem oraz zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, a także merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane, jak również przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania. Podkreślono, że przetwarzanie danych w celu innym niż ten, dla którego zostały zebrane, jest dopuszczalne, jeżeli nie narusza praw i wolności osoby, której dane dotyczą, oraz następuje w celach badań naukowych, dydaktycznych, historycznych lub statystycznych, z zastrzeżeniem wskazanym w ustawie. Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że wykładni przepisu art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych, należy dokonać łącznie z art. 14 ust. 1 ustawy z dnia 13 października 1995 r. o zasadach ewidencji. Na podstawie tego przepisu utworzony został zbiór p.n. "Krajowa Ewidencja Podatników", nazwany dla potrzeb niniejszej sprawy "Ewidencją NIP". Ustęp 2 tego przepisu stanowi, że Krajowa Ewidencja Podatników służy gromadzeniu i weryfikacji danych wynikających ze zgłoszeń identyfikacyjnych i aktualizacyjnych podatników; oraz porównaniu danych wynikających ze zgłoszeń identyfikacyjnych i aktualizacyjnych podatników z innymi rejestrami urzędowymi w celu ustalenia podatników, którzy naruszyli przepisy ustawy. Z kolei - jak wskazał Sąd I instancji - ustęp 3 stanowi, że naczelnicy urzędów skarbowych obowiązani są niezwłocznie przekazywać do Krajowej Ewidencji Podatników dane zawarte w dokumentacji, o której mowa w art. 13 ust. 1 (chodzi o dokumentację związaną z nadaniem NIP oraz aktualizowaniem danych zawartych w zgłoszeniach identyfikacyjnych). Jak wskazano w uzasadnieniu zaskarżonego wyroku, przytoczony przepis wskazuje, po pierwsze: jakim celom służy Ewidencja NIP (identyfikacji podatników), po drugie: kogo dotyczy (dotyczy podatników), po trzecie: nie wynika z niego, by na jego podstawie mogły być przekazywane (udostępniane) dane osobowe pełnomocnika podatnika dla potrzeb prowadzonego przez organ podatkowy postępowania (dotyczącego osoby trzeciej – podatnika). Sąd I instancji wskazał, że Ewidencja NIP służy gromadzeniu danych osobowych podatników w celu ich identyfikacji. Jest to ten cel, o którym mowa w cyt. art. 26 ust. 1 pkt 2 i 3 ustawy o ochronie danych osobowych, i jedynie wyłącznie ów cel uzasadnia (legalizuje) potrzebę i konieczność przetwarzania tych danych. Oznacza to, że dane te nie mogą być przetwarzane w innym celu. Jak zauważono, oczywistym jest, że pojęcie "identyfikacja podatnika" nie jest tożsame z "identyfikacją pełnomocnika podatnika". Ewidencja NIP służy do identyfikacji podatnika, a nie jego pełnomocnika. Reasumując, Wojewódzki Sąd Administracyjny w Warszawie stanął na stanowisku, że nie można było przyjąć, że pozyskanie z Ewidencji NIP prywatnych danych adresowych pełnomocnika strony postępowania podatkowego, odbyło się zgodnie z art. 23 i art. 25 ustawy o ochronie danych osobowych. Jak podkreślono, nie można też było uznać, że prywatny adres pełnomocnika został udostępniony w celach badań naukowych, dydaktycznych, historycznych lub statystycznych (art. 26 ust. 2 pkt 1 i 2 tej ustawy). W ocenie Sądu I instancji identyfikacja strony (podatnika) dla potrzeb prowadzonego postępowania podatkowego (ustalanie innego, niż został podany, adresu do doręczeń) nie może odbywać się poprzez pozyskiwanie prywatnych danych adresowych jego pełnomocnika, albowiem narusza to konstytucyjne prawa, o których mowa w art. 49, art. 50 i art. 51 ust. 3 Konstytucji Rzeczypospolitej Polskiej, dotyczące sfery prywatności. W uzasadnieniu zaskarżonego wyroku, Sąd zauważył również, że racjonalny ustawodawca wprowadził w art. 15 ust. 2 ustawy o zasadach ewidencji wyjątki, w których określił kiedy i w jakich przypadkach dane z Ewidencji NIP są udostępniane. Jednym z nich są m. in. organy podatkowe, ale, co - w ocenie Sądu I instancji - uszło uwadze GIODO, wyłącznie w związku z postępowaniami dotyczącymi podatników nie zaś ich pełnomocników, którzy w postępowaniach podatkowych tylko reprezentują stronę (podatnika). W ocenie Sądu I instancji, GIODO - odmawiając uwzględnienia wniosku skarżącego - przyzwolił de facto na wykorzystanie prywatnych danych adresowych skarżącego dla celów innych niż te, dla których zostały one zebrane. Zaakceptował zatem fakt, że przetwarzanie takie jest dopuszczalne. Jak zauważono w uzasadnieniu zaskarżonego wyroku, to, że naczelnik urzędu skarbowego jest organem uprawnionym do korzystania z bazy danych NIP nie oznacza, że jest uprawniony do korzystania z niej w celu innym niż określonym przepisami prawa. Generalna kompetencja nie może legalizować wszystkich działań, gdyż naruszałoby to zasadę związania celem. W rozpoznawanej sprawie, jak wskazał Wojewódzki Sąd Administracyjny w Warszawie, organy podatkowe uprawnione były jedynie do przetwarzania danych osobowych P. Z., które zostały przez niego udostępnione w ramach toczących się postępowań podatkowych, w których występował jako pełnomocnik osób trzecich. Mogły zatem legalnie przetwarzać wskazany przez P. Z. adres kancelarii podatkowej. Reasumując, Sąd I instancji stwierdził, że decyzja Generalnego Inspektora, odmawiająca uwzględnienia wniosku skarżącego i uznająca, że nie doszło do niezgodnego z prawem pozyskania oraz przetwarzania przez Naczelników Urzędów Skarbowych jego danych osobowych, obejmujących jego dane odnośnie miejsca zamieszkania, jest decyzją wadliwą. Jak zauważono, bowiem organ uznając, że możliwe było zastosowanie art. 23 ust. 1 pkt 2, pominął treść art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych, który gwarantuje szerszą ochronę danych osobowych. Ponadto Sąd podkreślił w zaskarżonym wyroku, że decyzja GIODO nie tylko narusza przepisy prawa materialnego, tj. przepisy ustawy o ochronie danych osobowych, ale również przepisy procedury administracyjnej, w tym przepis art. 107 § 3 kpa. Sąd I instancji uznał, że jest ona wewnętrznie sprzeczna. Z jednej bowiem strony organ wskazuje, że Naczelnicy Urzędów Skarbowych nie naruszyli prawa pozyskując dane osobowe skarżącego w zakresie miejsca jego zamieszkania i następnie je przetwarzając, z drugiej zaś strony stwierdza, że wystąpił do Ministra Finansów z uwagą o nielegalnym udostępnieniu danych skarżącego przez tego administratora. Skargę kasacyjną od powyżej opisanego wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie wniósł Generalny Inspektor Ochrony Danych Osobowych zaskarżonemu wyrokowi zarzucając naruszenie prawa materialnego, o którym mowa w art. 145 § 1 pkt 1 lit. a ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz.1270 ze zm. – dalej jako: ppsa), a konkretnie art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm. – dalej jako: ustawa o ochronie danych osobowych) przez jego błędną wykładnię i w konsekwencji uznanie, iż w niniejszej sprawie należało wydać decyzję nakazującą usunięcie danych osobowych z akt postępowania podatkowego oraz przepisu art. 23 ust. 1 pkt 2 w zw. z art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych polegające na przyjęciu, że Generalny Inspektor Ochrony Danych Osobowych może i powinien był - powołując się na te przepisy - zakwestionować legalność przetwarzania danych skarżącego. Ponadto wskazano na naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, a konkretnie: przepisu art. 145 § 1 pkt 1 lit. c ppsa poprzez ich niewłaściwe zastosowanie skutkujące niezasadnym uchyleniem zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2010 r. i poprzedzającej ją decyzji z dnia [...] lutego 2010 r. wobec błędnej oceny, że kwestionowana decyzja pozostaje wewnętrznie sprzeczna oraz przepisu art. 141 § 4 ppsa poprzez nie zawarcie w uzasadnieniu wyroku wskazań co do dalszego postępowania organu w niniejszej sprawie. W uzasadnieniu skargi kasacyjnej wskazano, iż nie można się zgodzić się z zaskarżonym wyrokiem, bowiem Sąd I instancji błędnie przyjął, iż w niniejszej sprawie GIODO winien był wydać decyzję w oparciu o art. 18 ust. 1 ustawy o ochronie danych osobowych. Jak podkreślono, GIODO nie mógł ingerować w materiał dowodowy postępowania podatkowego. W uzasadnieniu skargi kasacyjnej zauważono, że taką kontrolę sprawują wyłącznie powołane do tego organy, w trybie i na zasadach określonych przepisami normującymi to postępowanie, jak również postępowanie sądowoadministracyjne. Powołując się na orzecznictwo Naczelnego Sądu Administracyjnego zauważono, że w uzasadnieniu wyroku z dnia 2 marca 2001 r. o sygn. akt II SA 401/00 NSA podkreślił, iż GIODO nie jest organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, służb czy sądów, których orzeczenia podlegają, ocenom w toku instancji, czy w inny sposób określony odpowiednimi procedurami. Autor skargi kasacyjnej podkreślił ponadto, że w uchylonych decyzjach jasno i wyraźnie zostało wskazane, iż istnieją wątpliwości co do sposobu pozyskania danych osobowych skarżącego w zakresie jego prywatnego adresu zamieszkania, jednakże z uwagi na fakt, iż dane te zostały utrwalone w aktach postępowania podatkowego nie można nakazać ich usunięcia z tych akt, bowiem jako takie są przetwarzane przez organ podatkowy jako dane pełnomocnika strony postępowania, a zatem są przetwarzane na podstawie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Autor skargi kasacyjnej wskazał, że w tej sytuacji GIODO władny był wyłącznie wskazać na przysługujące Naczelnikowi Urzędu Skarbowego w K. oraz Naczelnikowi Urzędu Skarbowego w J. (zwanych dalej Naczelnikami) generalne uprawnienie do przetwarzania danych osobowych skarżącego (w tym jego danych adresowych) dla potrzeb określonego postępowania podatkowego. W ocenie GIODO nie było podstaw prawnych dla pozyskania informacji o prywatnym adresie zamieszkania skarżącego z Ewidencji NIP, dlatego też organ wystosował wystąpienie do Ministra Finansów sygnalizujące powyższe nieprawidłowości, co zostało wskazane w kwestionowanych decyzjach. Podstawę prawną takiego wystąpienia stanowi art. 12 pkt 5 ustawy o ochronie danych osobowych zaliczający do zadań GIODO w szczególności inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych. Wystąpienie takie - jak zauważono - nie przybiera władczej formy decyzji administracyjnej, nie stanowi zatem jednostronnego rozstrzygnięcia o prawach czy obowiązkach określonego podmiotu i w tym sensie jest od decyzji całkowicie niezależne, służy natomiast zasygnalizowaniu wątpliwości organu ochrony danych. W sytuacji braku możliwości władczej ingerencji GIODO w sferę kompetencji zastrzeżonych na rzecz innych organów, czy spowodowanym innymi względami brakiem możliwości skierowania do określonego podmiotu nakazu, o którym mowa w art. 18 ust. 1 ustawy o ochronie danych osobowych, działanie w trybie art. 12 pkt 5 ustawy o ochronie danych osobowych staje się jedynym prawnie dopuszczalnym środkiem, za pomocą którego organ ochrony danych może - przy współpracy podmiotów, do których kieruje swoje wystąpienia - wpływać na ich działania w obszarze przetwarzania danych osobowych. Taka właśnie sytuacja - jak wskazał autor skargi kasacyjnej - miała miejsce w niniejszej sprawie. W skardze kasacyjnej podniesiono, że w zaskarżonym orzeczeniu Sąd I instancji całkowicie pominął zdanie drugie art. 141 § 4 ppsa, zgodnie z którym jeżeli w wyniku uwzględnienia skargi sprawa ma być ponownie rozpatrzona przez organ administracji, uzasadnienie powinno ponadto zawierać wskazania co do dalszego postępowania. Zatem, zgodnie z tym przepisem z uzasadnienia wyroku powinno wynikać, jakie są wskazania Sądu, co do dalszego postępowania organu. W niniejszej sprawie - jak wskazano natomiast - Sąd wskazał jedynie, że organ powinien był skorzystać z uprawnienia do wydania decyzji administracyjnej o treści wskazanej w art. 18 ust. 1 ustawy o ochronie danych osobowych, stwierdzającej naruszenie zasady legalności przetwarzania danych osobowych skarżącego pozyskanych z Ewidencji NIP. Autor skargi kasacyjnej zauważył, że Sąd I instancji przyznał, że informacja o prywatnym adresie skarżącego, pozyskana przez organy podatkowe z tego źródła została włączona do materiału dowodowego postępowań podatkowych i wykorzystana przez te organy. Podkreślono, że GIODO zasygnalizował organom podatkowym, że było to działanie nielegalne. Natomiast Sąd I instancji w zaskarżonym wyroku, wbrew treści art. 141 § 4 ppsa nie wskazał, jakiego rodzaju decyzję sankcjonującą takie działanie organów podatkowych miałby wydać Generalny Inspektor Ochrony Danych Osobowych. Naczelny Sąd Administracyjny zważył, co następuje: W postępowaniu przed Naczelnym Sądem Administracyjnym prowadzonym na skutek wniesienia skargi kasacyjnej, obowiązuje generalna zasada ograniczonej kognicji tego sądu (art. 183 § 1 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi, Dz. U. Nr 153, poz. 1270 ze zm.; dalej jako ppsa). Naczelny Sąd Administracyjny jako sąd II instancji rozpoznaje sprawę w granicach skargi kasacyjnej, wyznaczonych przez przyjęte w niej podstawy, określające zarówno rodzaj zarzucanego zaskarżonemu orzeczeniu naruszenia prawa, jak i jego zakres. Z urzędu bierze pod rozwagę tylko nieważność postępowania. Ta jednak nie miała miejsca w rozpoznawanej sprawie. Skarga kasacyjna w niniejszej sprawie została uwzględniona, albowiem podniesione w niej zarzuty przeciwko zaskarżonemu wyrokowi Wojewódzkiego Sądu Administracyjnego w Warszawie są trafne. Rozpoznając sprawę w granicach zakreślonych skargą kasacyjną Naczelny Sąd Administracyjny uznał za zasadne zarzuty naruszenia przez Sąd I instancji zarówno przepisów postępowania w stopniu mającym istotny wpływ na wynik sprawy jak i zarzuty naruszenia przepisów prawa materialnego przez błędne ich zastosowanie. W sytuacji, kiedy - jak ma to miejsce w rozpoznawanej sprawie - skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, w pierwszej kolejności rozpoznaniu podlega zarzut naruszenia przepisów postępowania. Do kontroli subsumcji danego stanu faktycznego pod zastosowany przepis prawa materialnego można przejść, bowiem dopiero wówczas, gdy okaże się, że stan faktyczny przyjęty w zaskarżonym wyroku jest prawidłowy albo nie został skutecznie podważony. Stąd, wobec postawienia w skardze kasacyjnej zarzutu naruszenia prawa materialnego oraz przepisów postępowania, jako pierwszy należało poddać ocenie zarzut naruszenia przepisów postępowania. Odnosząc się zatem, w pierwszej kolejności, do podniesionego w skardze kasacyjnej zarzutu naruszenia art. 141 § 4 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. Nr 153, poz. 1270 ze zm. – dalej jako: ppsa) poprzez nie zawarcie w uzasadnieniu wyroku wskazań co do dalszego postępowania organu w niniejszej sprawie, zarzut ten uznać należało za nieuprawniony. Przypomnieć zatem należy, że przepis art. 141 § 4 ppsa określa warunki jakie winno spełniać uzasadnienie wyroku. Powinno ono zawierać zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Jeżeli w wyniku uwzględnienia skargi sprawa ma być ponownie rozpatrzona przez organ administracji, uzasadnienie powinno ponadto zawierać wskazania, co do dalszego postępowania. Analiza uzasadnienia zaskarżonego wyroku Sądu I instancji pozwala jednoznacznie uznać, że zawiera on wszystkie niezbędne elementy o jakich mowa w art. 141 § 4 ppsa. Jakkolwiek, bowiem zawarte w uzasadnieniu zaskarżonego wyroku wskazania co do dalszego trybu postępowania bez wątpienia pozostają niezwykle lakoniczne, to jednak odnosząc się do argumentacji skargi kasacyjnej zwrócić należy uwagę, że zasadność omawianego zarzutu wywiedziona została z przekonania autora skargi kasacyjnej o dokonaniu przez Sąd I instancji błędnej wykładni art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm. – dalej jako: ustawa o ochronie danych osobowych). To przekonanie spowodowało, że uwadze Generalnego Inspektora Ochrony Danych Osobowych (dalej jako: GIODO lub Generalny Inspektor) umknęło, iż Sąd I instancji wyraźnie wskazał, że w przedmiotowej sprawie winna zostać wydana decyzja właśnie w oparciu o art. 18 ust. 1 ustawy o ochronie danych osobowych. Niezależnie zatem od oceny słuszności tego wskazania (co będzie podlegało ocenie na etapie rozpatrywania zasadności zarzutów skargi kasacyjnej, dotyczących naruszenia przepisów prawa materialnego), nie sposób Sądowi I instancji zarzucić, iż w uzasadnieniu wyroku nie zawarł wskazań co do dalszego postępowania organu w niniejszej sprawie. Zasadnie natomiast skarga kasacyjna zarzuca Sądowi I instancji naruszenie art. 145 § 1 pkt 1 lit. c ppsa w zw. z art. 107 § 3 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2000 r. nr 98, poz. 1071 ze zm. – dalej jako: k.p.a.), gdyż zamieszczenie w uzasadnieniu zaskarżonej decyzji informacji o skierowaniu sygnalizacji do Ministerstwa Finansów nie miało wpływu - jak błędnie przyjął Wojewódzki Sąd Administracyjny w Warszawie - na wynik sprawy. Odnosząc się natomiast do twierdzenia skargi kasacyjnej o naruszeniu przepisów prawa materialnego, nawiązać należało do przyjętego już w orzecznictwie Naczelnego Sądu Administracyjnego stanowiska (por. wyrok NSA z 06.12.2011 r. sygn. I OSK 268/11). Zauważyć należy, że uchylając zaskarżone decyzje Generalnego Inspektora Ochrony Danych Osobowych Wojewódzki Sąd Administracyjny w Warszawie przyjął, iż w toku postępowań prowadzonych przez Naczelników Urzędów Skarbowych w K., K. i J. doszło do nielegalnego pozyskania przez organy podatkowe danych osobowych skarżącego, działającego jako pełnomocnik strony, w postaci adresu miejsca zamieszkania, co miało miejsce przy doręczeniu korespondencji dotyczącej podmiotów, które P. Z. reprezentował w postępowaniach podatkowych, a zatem organ ochrony danych osobowych obowiązany był wydać decyzję na podstawie art. 18 ust. 1 ustawy o ochronie danych osobowych, nakazującą usunięcie nielegalnie uzyskanych danych. Przed przystąpieniem do oceny zasadności podstaw kasacyjnych zauważyć należy, iż spór jaki powstał w tej sprawie dotyczy w istocie tego według jakich przepisów (procedury administracyjnej w sprawach podatkowych, czy też wyłącznie w oparciu o przepisy ustawy o ochronie danych osobowych) należy oceniać uzyskanie i przetwarzanie danych osobowych skarżącego oraz jakie kompetencje w związku z tym posiada Generalny Inspektor Ochrony Danych Osobowych. Za niesporne należy uznać ustalenia poczynione w postępowaniu administracyjnym, a przyjęte przez Sąd I instancji, iż uzyskanie przez Naczelników Urzędów Skarbowych adresu zamieszkania P. Z. nastąpiło w toku czynności związanych z doręczaniem korespondencji, dotyczącej podmiotów, które P. Z. reprezentował w postępowaniach podatkowych. Przepisy procedury administracyjnej wprawdzie wprost nie mówią o przetwarzaniu danych osobowych, jednakże zarówno w doktrynie jak i orzecznictwie nie budzi wątpliwości to, iż dochodzi w tym procesie do przetwarzania danych osobowych. Na czynności przetwarzania danych osobowych w toku postępowania składają się takie czynności jak przetwarzanie danych osobowych stron postępowania, przeprowadzanie dowodów zwłaszcza osobowych, prowadzenie akt sprawy, sporządzanie protokołów, dokonywanie doręczeń i (jak w niniejszej sprawie) wezwań, udostępnianie akt sprawy, a wreszcie wydanie rozstrzygnięcia. Mimo braku w przepisach k.p.a. upoważnienia do przetwarzania danych osobowych, noszącego cechy upoważnienia o charakterze generalnym, należy przyjąć, że przetwarzanie danych osobowych przez organ administracji dla celów prowadzonego postępowania jest niezbędne dla wykonania uprawnień i obowiązków przyznanych organowi w przepisach k.p.a. Tym samym takie przetwarzanie danych jest niezbędne dla wykonania uprawnień organu administracji publicznej w znaczeniu, jakie temu pojęciu nadaje przepis art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych i jako takie jest działaniem dopuszczalnym. W ogólnym postępowaniu administracyjnym rolę przepisów przyznających uprawnienie do przetwarzania danych osobowych spełniają przepisy proceduralne k.p.a. (Paweł Litwiński, Ochrona danych osobowych w ogólnym postępowaniu administracyjnym, Oficyna Volters Kluwer, Warszawa 2009, s. 150). W innym miejscu powyższego opracowania zwraca się uwagę, iż w przypadku przetwarzania danych osobowych w toku ogólnego postępowania administracyjnego osoba, której dane dotyczą, nie jest uprawniona do żądania zaprzestania przetwarzania swoich danych osobowych w toku postępowania administracyjnego (tamże s. 243). Powyższe odnosi się wprost do postępowania administracyjnego uregulowanego ustawą z dnia 29 września 1997 r. Ordynacja podatkowa. Zasadnie Generalny Inspektor w zaskarżonej decyzji przyjął, iż organ podatkowy w myśl regulacji prawnych zawartych w przytoczonych i szczegółowo omówionych przepisach Ordynacji podatkowej uprawniony jest do przetwarzania danych osobowych P. Z., a proces przetwarzania jest dopuszczalny na podstawie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Prawidłowość przetwarzania danych osobowych, a w tej sprawie uzyskania danych o adresie zamieszkania skarżącego, jako pełnomocnika w sprawie, podlega kontroli instancyjnej organu wyższego stopnia, dokonywanej z inicjatywy uprawnionego podmiotu. Określając kompetencje Generalnego Inspektora Ochrony Danych Osobowych ustawa o ochronie danych osobowych w art. 12 wymienia jego zadania a wśród nich: kontrolę zgodności przetwarzania danych z przepisami o ochronie danych osobowych, wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych, inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych. Z kolei art. 18 ust. 1 w pkt 1–6 tej ustawy przewiduje jaki rodzaj rozstrzygnięć wydaje GIODO w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych. Najdalej idącym jest wydanie decyzji nakazującej usunięcie danych osobowych (pkt 6). Zważywszy na to, iż pozyskane dane osobowe stanowiły część postępowania administracyjnego, a żądanie ich usunięcia zgłoszono w trakcie trwania tego postępowania wyłączona była ingerencja w trybie kontroli i wydania nakazów Generalnego Inspektora. To w ramach postępowania administracyjnego, instancyjnego oraz sądowoadministracyjnego następuje kontrola doręczenia w trybie zwykłym (art. 148 § 1 o.p.) a następnie w trybach dodatkowych uregulowanych w § 2 i § 3 tego przepisu oraz sprawdzenie prawidłowości wykonywania przez organ obowiązków wynikających z obowiązującej go zasady oficjalności doręczeń. Stwierdzenie naruszenia prawa w zakresie stosowania tych przepisów pozbawia wadliwe doręczenie skutków prawnych lub stanowić może podstawę do przywrócenia terminu. Zgodnie z art. 7 Konstytucji Rzeczypospolitej Polskiej organy władzy publicznej działają na podstawie i w granicach prawa. Zasada ta znalazła odzwierciedlenie zarówno w Ordynacji podatkowej, która w art. 120 stanowi, iż organy podatkowe działają na podstawie przepisów prawa jak i w art. 6 k.p.a. Działanie na podstawie przepisów prawa oznacza, iż organ administracji publicznej posiada zdolność prawną do prowadzenia postępowania w danej sprawie oraz uprawniony jest do stosowania przepisów prawa materialnego i przepisów prawa procesowego przy rozpoznaniu i rozstrzygnięciu sprawy. Jeśli więc przepisy prawa, mające moc powszechnie obowiązującą, przewidują kompetencje organów podatkowych do przetwarzania danych osobowych w procesie stosowania materialnego i procesowego prawa podatkowego to nie może w te kompetencje w takim samym zakresie wkraczać GIODO. Przytoczony wyżej przepis art. 12 ustawy o ochronie danych osobowych wyjaśniany z zastosowaniem przepisu art. 7 Konstytucji oraz art. 120 o.p. i art. 6 k.p.a. nie uprawnia Generalnego Inspektora do ingerowania w określone kompetencje organów podatkowych i kontrolne uprawnienia sądu administracyjnego w tych sprawach. Zasadnie Generalny Inspektor rozstrzygnął pozorną kolizję kompetencji organów przyjmując, iż nie jest uprawniony do dokonywania kontroli, a następnie wkraczania swoimi nakazami w materiał dowodowy zawarty w aktach sprawy administracyjnej. Stanowisko to jest zbliżone z przyjmowanym w orzecznictwie sądów administracyjnych, które m.in. w wyrokach z dnia 2 marca 2001 r. NSA sygn. II SA 401/00 ("Wokanda" 2001, nr 9, s. 33), WSA w Warszawie z dnia 30 września 2005 r. II SA/Wa 1203/05 (niepubl.) i z dnia 18 maja 2005 r. II SA/Wa 1987/04 ("Wspólnota" 2006, nr 26, poz. 30), NSA z dnia 11 stycznia 2010 r. I OSK 1453/09 przyjmowały, że GIODO nie jest uprawniony do ingerowania w określone w zakresie ich właściwości postępowania i dokonywania merytorycznej oceny poszczególnych czynności wykonywanych w ramach tych postępowań. Podzielając przedstawiony kierunek orzecznictwa Naczelny Sąd Administracyjny w składzie rozpoznającym tę sprawę zważył nadto, iż przyjęta przez Sąd I instancji ocena stosowania przepisów ustawy o ochronie danych osobowych prowadziłaby do wyposażenia Generalnego Inspektora w uprawnienia do wydawania nakazów w odniesieniu do czynności regulowanych przepisami Ordynacji podatkowej a dokonywanych przez uprawniony organ podatkowy, który podlega kontroli instancyjnej. W wyniku takiego rozwiązania przetwarzanie danych osobowych w toku postępowania administracyjnego podlegałoby jurysdykcji dwóch różnych organów państwowych, co mogłoby prowadzić do wydawania przez dwa różne organy państwowe aktów zawierających odmienne oceny tej samej kwestii. Takie rozumienie przepisów ustanawiających kompetencje Generalnego Inspektora, określone w art. 13 pkt 2 i art. 18 ust. 1 ustawy o ochronie danych osobowych stanowiłoby naruszenie art. 2 Konstytucji RP, w myśl którego Rzeczpospolita Polska jest demokratycznym państwem prawnym. Przyjęcie dwutorowego trybu kontroli godziłoby także w wywodzoną z powyższego przepisu Konstytucji zasadę zaufania obywateli do państwa i związaną z nią zasadę pewności prawa. Z tych też względów podniesione w skardze kasacyjnej zarzuty dokonania przez Sąd I instancji błędnej wykładni art. 18 ust. 1 ustawy o ochronie danych osobowych oraz art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych uznać należało za uzasadnione. Z powyższych względów uznając zarzuty skargi kasacyjnej dotyczące naruszenia prawa materialnego za usprawiedliwione oraz uznając zasadność zarzutu naruszenia art. 145 § 1 pkt 1 lit. c ppsa w zw. z art. 107 § 3 k.p.a., Naczelny Sąd Administracyjny orzekł jak w sentencji na podstawie art. 185 § 1 ppsa.