II SA/Wa 1013/14

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Janusz Walawski (spr.), Sędziowie WSA Ewa Pisula-Dąbrowska, Eugeniusz Wasilewski, Protokolant Referent stażysta Małgorzata Ciach, po rozpoznaniu na rozprawie w dniu 12 listopada 2014 r. sprawy ze skargi Fundacji [...] z siedzibą w [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2014 r. nr [...] w przedmiocie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] października 2013 r., 2. stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości, 3. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz strony skarżącej Fundacji [...] z siedzibą w [...] kwotę 457 (słownie: czterysta pięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania. Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jedn. Dz. U. z 2013 r., poz. 267) zwany dalej Kpa, oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1, art. 22 w zw. z art. 31, art. 36 ust. 1-3, art. 37, art. 39 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), w dniu [...] października 2013 r. wydał decyzję nr [...], w której nakazał Fundacji [...] z siedzibą w W. przy ul. [...], jako administratorowi danych, usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez: 1) zastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych przesyłanych za pomocą formularza umieszczonego w portalu [...] odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, poprzez zabezpieczenie danych protokołem szyfrującym, w terminie 14 dni od dnia, w którym niniejsza decyzja stanie się ostateczna; 2) opracowanie i wdrożenie dokumentacji dotyczącej przetwarzania danych, tj. polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym służącym przetwarzaniu danych osobowych, w terminie 14 dni od dnia, w którym niniejsza decyzja stanie się ostateczna; 3) wyznaczenie administratora bezpieczeństwa informacji, w terminie 7 dni od dnia, w którym niniejsza decyzja stanie się ostateczna; 4) nadanie osobom dopuszczonym do przetwarzania danych osobowych upoważnienia do przetwarzania danych, w terminie 7 dni od dnia, w którym niniejsza decyzja stanie się ostateczna; 5) opracowanie ewidencji osób upoważnionych do przetwarzania danych, w terminie 7 dni od dnia, w którym niniejsza decyzja stanie się ostateczna; 6) określenie w umowie zawartej na piśmie w dniu [...] maja 2011 r. z Grupa [...] z siedzibę w W. przy ul. [...], o której mowa w art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zakresu i celu powierzenia danych osobowych przetwarzanych w ramach portalu internetowego [...] oraz ich dalszego powierzania przez Grupa [...] innym podmiotom, w terminie 30 dni od dnia, w którym niniejsza decyzja stanie się ostateczna. Organ w uzasadnieniu decyzji podał, że upoważnieni przez Generalnego Inspektora Ochrony Danych Osobowych inspektorzy przeprowadzili w Fundacji [...] z siedzibą w W. przy ul. [...] (dalej Fundacja lub Strona) kontrolę przetwarzania danych osobowych z przepisami o ochronie danych osobowych, tj. ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) oraz rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024). Zakresem kontroli objęto przetwarzanie przez Fundację w systemie informatycznym danych osobowych w ramach portalu internetowego o nazwie [...] Przeprowadzona kontrola wykazała, że Fundacja jako administrator danych naruszyła przepisy o ochronie danych osobowych i stwierdzono następujące uchybienia: 1) niezastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, tj. dane osobowe przesyłane za pomocą formularza umieszczonego w portalu [...] nie zostały zabezpieczone protokołem szyfrującym (art. 36 ust. 1 ustawy); 2) nieopracowanie i niewdrożeniu dokumentacji dotyczącej przetwarzania danych, tj. polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych (art. 36 ust. 2 ustawy); 3) niepowołaniu administratora bezpieczeństwa informacji (art. 36 ust. 3 ustawy); 4) dopuszczenie do przetwarzania danych osobowych osoby nieposiadającej upoważnienia do przetwarzania danych (art. 37 ustawy); 5) nieprowadzeniu ewidencji osób upoważnionych do przetwarzania danych (art. 39 ust. 1 ustawy); 6) nieokreślenie w umowie, o której mowa w art. 31 ustawy, zakresu i celu powierzenia danych osobowych przetwarzanych w ramach portalu internetowego [...] W związku ze stwierdzonymi nieprawidłowościami zostało wszczęte z urzędu postępowanie administracyjne, a po zapoznaniu się z całością materiału dowodowego zebranego w sprawie, Generalny Inspektor Ochrony Danych Osobowych stwierdził, że: zgodnie z art. 36 ust. 1 ustawy, administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzania danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. W toku czynności kontrolnych ustalono, że dane osobowe przesyłane za pomocą formularza umieszczonego w portalu [...] nie są zabezpieczone protokołem szyfrującym. Organ uznał zatem, iż Fundacja nie zastosowała wystarczających środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. Zgodnie z art. 36 ust. 2 ustawy, administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz środki, o których mowa w ust. 1. Zgodnie z § 3 ust. 1 rozporządzenia na dokumentację opisującą sposób przetwarzania danych osobowych, o której mowa w § 1 pkt 1, składa się polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych. W toku czynności kontrolnych ustalono, że Fundacja nie opracowała i nie wdrożyła dokumentacji dotyczącej przetwarzania danych, tj. polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych, zatem fundacja jest zobowiązana do opracowania ww. takich dokumentów. Zgodnie z art. 36 ust. 3 ustawy, administrator danych wyznacza administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, o których mowa w ust. 1, chyba że sam wykonuje te czynności. W toku czynności ustalono, że w Fundacji nie został powołany administrator bezpieczeństwa informacji. Zgodnie z art. 37 ustawy, do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. W toku kontroli ustalono, że w Fundacji do przetwarzania danych zostały dopuszczone osoby nieposiadające stosownych upoważnień. Zgodnie z art. 39 ust.1 ustawy, administrator danych prowadzi ewidencję osób upoważnionych do ich przetwarzania, która powinna zawierać: imię i nazwisko osoby upoważnionej, datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych, identyfikator, jeżeli dane są przetwarzane w systemie informatycznym. W toku czynności kontrolnych ustalono, że w Fundacji nie jest prowadzona ewidencja osób upoważnionych do przetwarzania danych. Zgodnie z art. 31 ust. 1 i 2 ustawy, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie. W toku kontroli ustalono, iż Fundacja jest administratorem danych przetwarzanych w ramach portalu internetowego [...]. W dniu [...] maja 2011 r. Fundacja zawarła z Grupą [...] z siedzibą w W. przy ul. [...] umowę sponsoringu. Przedmiotem umowy jest wsparcie finansowe udzielone przez Grupę [...] Fundacji, w celu wykonania portalu internetowego [...], który ma umożliwiać kontakt pokrzywdzonych oraz świadków przestępstw z organami ochrony, bezpieczeństwa lub porządku publicznego. Ponadto Grupa [...] zawarła umowę z dnia [...] września 2011 r. o świadczenie usługi utrzymania serwera z [...] z siedzibą w S. przy ul. [...]. Na podstawie tej umowy Grupa [...] wykupiła serwer, na którym znajduje się portal internetowy [...], który jest użytkowany także przez Grupę [...]. Miejsce na serwerze zostało Fundacji udostępnione w ramach zawartej umowy sponsoringu. Mając powyższe na uwadze uznać należy, iż Fundacja powierzyła Grupie [...] przetwarzanie danych osobowych w ramach portalu internetowego [...] poprzez ich przechowywanie na serwerze wykupionym przez ww. Spółkę. Z analizy umowy sponsoringu wynika, iż nie określono w niej zakresu i celu powierzenia danych osobowych przetwarzanych w ramach portalu internetowego [...]. Z umowy tej nie wynika również, iż dane te mogą być podpowierzane przez Grupę [...] innym podmiotom, w szczególności [...] z siedzibą w S. przy ul. [...]. Fundacja, reprezentowana przez pełnomocnika, złożyła do Generalnego Inspektora Danych Osobowych wniosek o ponowne rozpatrzenie sprawy, zarzucając, że decyzja została wydana z naruszeniem następujących przepisów: 1) art. 80, art. 7 i art. 77 Kpa w zw. z art. 21 ustawy o ochronie danych osobowych poprzez dowolną, a nie swobodną ocenę dowodów i oparcie decyzji na opinii dyrektora Departamentu [...] Biura GIODO z dnia [...] lipca 2013 r., pomimo wadliwości tej opinii polegającej na uznaniu, że strona przetwarza dane osobowe na podstawie oceny tego, jak portal [...] mógłby funkcjonować po jego zmianach, a nie w oparciu o rzeczywiste zasady działania tego portalu. W konsekwencji wydano decyzję z pominięciem oceny rzeczywistych zasad działania portalu [...], istniejących w dacie wydania decyzji; 2) art. 79 § 1 i 2 Kpa w zw. z art. 22 ustawy o ochronie danych osobowych poprzez przeprowadzenie dowodu z opinii biegłego - dyrektora Departamentu [...] Biura GIODO pomimo niezawiadomienia strony o tym dowodzie i uniemożliwienie stronie zadawania pytań związanych z tą opinią; 3) art. 7, art. 77 § 1, art. 107 § 3 Kpa w zw. z art. 22 ustawy o ochronie danych osobowych w zw. z art. 6 ust. 1 i 3 tej ustawy poprzez zaniechanie ustalenia, jakich działań wymagałoby odszyfrowanie informacji krótkotrwale zapisywanych w zaszyfrowanej formie w bazie portalu [...], bez wcześniejszego anulowania funkcji szyfrowania, a także odszyfrowanie takich informacji zapisanych przed anulowaniem funkcji szyfrowania, a także odszyfrowanie takich informacji zapisanych przed anulowaniem funkcji szyfrowania i czy tym samym informacje te w ogóle można uznać za umożliwiające określenie tożsamości osoby; 4) art. 7, art. 77 § 1, art. 107 § 3 Kpa w zw. z art. 22 ustawy o ochronie danych osobowych i w zw. z art. 7 ust. 4 tej ustawy poprzez zaniechanie ustaleń, czy strona decyduje o środkach i celach przetwarzania danych osobowych (o ile takie dane są przetwarzane w ramach portalu [...]) i jedynie arbitralne stwierdzenie, że strona jest administratorem. W konsekwencji strona została błędnie uznana za administratora danych i błędnie zastosowano art. 36, art. 37, art. 39 i art. 31 ustawy o ochronie danych osobowych; 5) art. 107 § 1 Kpa w zw. z art. 22 ustawy o ochronie danych osobowych poprzez nieoznaczenie daty wydania decyzji. Pełnomocnik Fundacji, podnosząc powyższe zarzuty wniósł o uchylenie decyzji w całości i umorzenie postępowania w całości. Generalny Inspektor Ochrony Danych Osobowych, na podstawie art. 138 § 1 pkt 1 Kpa, art. 12 pkt 2, art. 18 ust. 1 pkt 1 i art. 22 w zw. z art. 31 ust. 1 i 2, art. 36 ust. 1-3, art. 37, art. 39 ust. 1 ustawy o ochronie danych osobowych, w dniu [...]marca 2014 r. wydał decyzję, którą utrzymał w mocy decyzję poprzedzającą z dnia [...] października 2013 r. nr [...]. Organ w uzasadnieniu decyzji podał, że zgodnie z art. 6 ustawy o ochronie danych osobowych, za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań. W toku kontroli ustalono, iż pozyskiwanie danych za pośrednictwem portalu [...] odbywa się w kilku etapach. W pierwszym etapie osoba zgłaszająca wykroczenie/przestępstwo jest zobowiązana do zapoznania się i zaakceptowania regulaminu portalu, następnie wypełnia formularz zawierający informacje o zdarzeniu. W formularzu podaje informacje o miejscu zdarzenia, tj. województwo, powiat, miasto, ulicę. Następnie określa rodzaj zdarzenia: przemoc fizyczna, przemoc psychiczna, przemoc w rodzinie, kradzież, grupy przestępcze, narkotyki, wykroczenia drogowe, pedofilia, znęcanie się nad zwierzętami. W zależności od rodzaju i miejsca zdarzenia system wskazuje jakie instytucje (Policja, Straż Miejska, Ośrodki Pomocy Społecznej) powinny zostać powiadomione o zdarzeniu. Po wypełnieniu formularza osoba zgłaszająca ma obowiązek opisania zdarzenia ze wskazaniem jak największej ilości faktów i danych oraz jest zobowiązana do podania swoich danych w zakresie imienia, nazwiska, nr telefonu. Instytucja bądź instytucje, które zostały wskazane w zgłoszeniu otrzymują z portalu na swoją skrzynkę pocztową wiadomość z informacjami z formularza zgłoszeniowego wraz z nr IP, z którego wiadomość została wysłana. Biorąc powyższe ustalenia pod uwagę wskazać należy, iż dane w zakresie: imienia, nazwiska, nr telefonu, nr IP stanowią dane osobowe w rozumieniu art. 6 powołanej ustawy. Zgodnie z art. 7 pkt 2 ustawy o ochronie danych osobowych, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Ustalono, iż dane (imię, nazwisko, nr telefonu, treść przesyłanej wiadomości) są wprowadzane do portalu [...], zapisywane krótkotrwale w bazie portalu [...] w formie zaszyfrowanej, wysyłane, a następnie usuwane z bazy tego portalu. W momencie wysyłania wiadomości do instytucji wskazanych w zgłoszeniu zdarzenia dane mają formę jawną, tj. są deszyfrowane przez mechanizmy portalu. Dane po wysłaniu wiadomości lub zamknięciu formularza/przeglądarki są usuwane z bazy portalu [...] Jak ustalono, portal internetowy [...] służy wyłącznie do przekazywania danych do instytucji wskazanych w zgłoszeniu zdarzenia. Inne operacje na danych nie są dokonywane. Zatem operacje wykonywane na przedmiotowych danych przy pomocy portalu [...] uznano za przetwarzanie danych w rozumieniu art. 7 pkt 2 przedmiotowej ustawy. Jednocześnie uznano, iż krótkotrwałe szyfrowanie danych służy wyłącznie ich zabezpieczeniu i nie pozbawia ich waloru danych osobowych, zwłaszcza że są one wysyłane do wskazanej w formularzu zgłoszenia zdarzenia instytucji w formie jawnej wiadomości e-mail. Jednocześnie zaznaczyć należy, iż portal internetowy [...] nie służy do archiwizowania danych przesłanych za jego pośrednictwem, co nie zmienia faktu, iż służy on do przetwarzania danych osobowych. Wobec powyższego oczywistym jest, iż wyłączenie szyfrowania nie umożliwi odczytania informacji/danych wysłanych przed wyłączeniem tej funkcji. Zgodnie z art. 7 pkt 4 przedmiotowej ustawy, przez administratora danych rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. W toku kontroli ustalono, iż Fundacja opracowała i wdrożyła portal internetowy o nazwie [...] dostępny na stronie internetowej [...] w związku z realizacją swoich statutowych zadań, tj. zapobieganiu łamania prawa, pomoc ofiarom przestępstw w ujawnianiu przypadków łamania prawa oraz promocji i wspieraniu wszelkich inicjatyw zmierzających do zapobiegania i przeciwdziałania przestępczości oraz zwiększania wykrywalności przestępstw. Portal ten został stworzony na zlecenie Fundacji przez V. Usługi Informatyczne K. Z. na podstawie umowy z dnia [...] maja 2011 r. W umowie Fundacja określiła wymagania techniczno - funkcjonalne jakie powinien spełniać portal [...], zasady i cel działania, środki zabezpieczające przetwarzanie w nim danych. Fundacja posiada longin i hasło do serwera, na którym znajduje się portal, które umożliwiają jej wprowadzanie zmian w jego skryptach, a czynność ta nie wymaga poniesienia nadmiernych kosztów, czasu i działań. Biorąc pod uwagę powyższe ustalenia uznano, że Fundacja decyduje o celach i środkach przetwarzania danych osobowych, które są przesyłane za pośrednictwem portalu [...], a co za tym idzie jest administratorem danych w rozumieniu art. 7 pkt 4 ustawy. W związku z powyższym organ nie może się zgodzić z zarzutami podniesionymi we wniosku o ponowne rozpatrzenie sprawy, że przy wydawaniu zaskarżonej decyzji doszło do naruszenia wskazanych w nim przepisów. Dla oceny przedmiotowej sprawy było istotne ustalenie czy Fundacja posiada rzeczywiste możliwości zmiany zasad przetwarzania danych w ramach portalu [...] i czy w związku z tym posiada władztwo w ramach portalu [...], tj. decyduje o celach i środkach ich przetwarzania. W ocenie organu posiada takie możliwości, a co za tym idzie jest administratorem tych danych i nie może być mowy o błędnym zastosowaniu art. 36, art. 37, art. 31 ustawy o ochronie danych osobowych. Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2014 r. stała się przedmiotem skargi wniesionej przez Fundację do Wojewódzkiego Sądu Administracyjnego w Warszawie. Pełnomocnik Fundacji zarzucił w skardze, że zaskarżona decyzja została wydana z naruszeniem następujących przepisów: 1) art. 80, art. 7 i art. 77 § 1 Kpa w zw. z art 22 ustawy o ochronie danych osobowych, poprzez przyjęcie, że Fundacja [...] deszyfruje informacje przesyłane za pośrednictwem portalu [...], a dane są wysyłane w formie jawnej podczas gdy z zebranego w sprawie materiału to nie wynika, a wręcz przeciwnie ustalono, że informacje nie są zapisywane w bazie portalu w momencie tworzenia wiadomości, są chwilowo zapisywane w chwili wysyłania w formie rekordu z nieczytelnymi, zaszyfrowanymi danymi, który to rekord zostaje usunięty po zamknięciu przeglądarki. W konsekwencji błędnie przyjęto, że szyfrowanie przesyłanych informacji jest jedynie środkiem zabezpieczającym dane w procesie ich przetwarzania, a Fundacja przetwarza dane osobowe w ramach portalu [...]; 2) art. 84 § 1, art. 78 § 1 i 2, art. 7, art. 77 § 1 Kpa w zw. z art. 22 ustawy o ochronie danych osobowych, poprzez zaniechanie zasięgnięcia opinii biegłego w sprawie wymagającej wiadomości specjalnych i pomimo takiego wniosku strony oraz oparcie zaskarżonej decyzji na wadliwej opinii dyrektora Departamentu [...] Biura GIODO z dnia [...] lipca 2013 r. (argumentacja taka, jak we wniosku o ponowne rozpatrzenie sprawy); 3) art. 7, art. 77 § 1, art. 107 § 3 Kpa w zw. z art. 22 powołanej powyżej ustawy poprzez zaniechanie ustalenia, jakich działań wymagałoby odszyfrowanie informacji krótkotrwale zapisywanych w zaszyfrowanej formie w bazie portalu [...] i czy tym samym informacje te w ogóle można uznać za umożliwiające określenie tożsamości osoby i w konsekwencji błędne uznanie, że Fundacja [...] przetwarza dane osobowe w ramach portalu [...]; 4) art. 138 § 1 pkt 1 Kpa i art. 21 ust. 1 przedmiotowej ustawy poprzez dokonanie kontroli decyzji poprzedzającej wyłącznie przez pryzmat zarzutów podniesionych przez stronę i zaniechanie ponownego rozpatrzenia sprawy, przez co zostało naruszone prawo strony do dwukrotnego rozpatrzenia sprawy. Podnosząc powyższe zarzuty pełnomocnik Fundacji wniósł o uchylenie zaskarżonej decyzji oraz utrzymanej nią w mocy decyzji poprzedzającej i zasądzenie na rzecz Fundacji kosztów postępowania. Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie i podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 z późn. zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonego aktu administracyjnego i to z przepisami obowiązującymi w dacie jego wydania. W konsekwencji, sąd administracyjny nie orzeka co do istoty rzeczy w zakresie danego przypadku, lecz kontroluje zgodność rozstrzygnięcia z prawem materialnym i obowiązującymi przepisami prawa procesowego. Zgodnie bowiem z art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2012 r., poz. 270 z późn. zm.), Sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. W świetle powyżej określonych kryteriów skarga podlega uwzględnieniu, gdyż zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych została wydana z naruszeniem prawa. Zgodnie z art. 12 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn.: Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), do zadań Generalnego Inspektora w szczególności należy: 1) kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych, 2) wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych, 3) prowadzenie rejestru zbiorów danych oraz udzielanie informacji o zarejestrowanych zbiorach, 4) opiniowanie projektów ustaw i rozporządzeń dotyczących ochrony danych osobowych, 5) inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych, 6) uczestniczenie w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych. W niniejszej sprawie Generalny Inspektor Ochrony Danych Osobowych realizował wobec Fundacji [...] zadania ustawowe, określone w punkcie 1 i 2 powyżej przytoczonego przepisu, z którego wynikają jego uprawnienia kontrolne i władcze w stosunku do administratorów danych w zakresie przetwarzania przez nich danych, zgodnie z przepisami ustawy o ochronie danych osobowych i aktów wykonawczych do niej. Generalny Inspektor Ochrony Danych Osobowych jest - z punktu widzenia przepisów Kodeksu postępowania administracyjnego - centralnym organem administracji państwowej. Zgodnie z art. 22 ustawy o ochronie danych osobowych, postępowanie w sprawach uregulowanych w niniejszej ustawie prowadzi sie według przepisów Kodeksu postępowania administracyjnego, o ile przepisy ustawy nie stanowią inaczej. Ustawa o ochronie danych osobowych nie wprowadza wielu szczególnych uregulowań proceduralnych, co oznacza ze przepisy Kodeksu postępowania administracyjnego znajdować będą zatem szerokie zastosowanie. Przyznanie Generalnemu Inspektorowi Ochrony Danych Osobowych rangi centralnego organu administracji państwowej powoduje, że od jego decyzji przysługuje wniosek o ponowne rozpatrzenie sprawy, do którego stosuje sie odpowiednio przepisy dotyczące odwołań (art. 127 § 3 Kpa). Podkreślić należy, że istotnym składnikiem prawidłowo wydanej decyzji jest jej uzasadnienie. Powinno ono w sposób wyczerpujący informować stronę o motywach, którymi kierował się organ rozstrzygając sprawę. Strona może bowiem skutecznie bronić swych interesów tylko w sytuacji, gdy znane są jej przesłanki wydanej decyzji. Zgodnie z art. 107 § 3 Kpa uzasadnienie decyzji składa się z uzasadnienia faktycznego, zawierającego w szczególności wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, a także przyczyn, z powodu których innym dowodom odmówił mocy dowodowej oraz uzasadnienia prawnego zawierającego wyjaśnienie podstawy prawnej decyzji z przytoczeniem przepisów, które zadecydowały o treści decyzji. Organ w uzasadnieniu zobowiązany jest do zajęcia stanowiska wobec całego materiału dowodowego, musi też uzasadnić jasno i należycie swoje zdanie, w szczególności, na jakiej podstawie uznał pewne fakty za udowodnione. Pominięcie w uzasadnieniu decyzji ustalenia okoliczności faktycznych, mogących mieć istotny wpływ na rozstrzygnięcie sprawy, stwarza przesłankę do uznania naruszenia przez organ przepisów o postępowaniu administracyjnym w stopniu wywierającym istotny wpływ na wynik sprawy. Obowiązek sporządzenia uzasadnienia wiąże się także z wyrażoną w art. 11 Kpa zasadą przekonywania, która zobowiązuje organy administracji publicznej do dołożenia szczególnej staranności w uzasadnieniu swoich rozstrzygnięć. W ocenie Sądu uzasadnienie decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2013 r. nie spełnia warunków określonych w art. 107 § 3 Kpa, przez co doszło do naruszenia zasady zawartej w art. 7 Kpa, tj. zasady dokonania niezbędnych ustaleń tak, aby w sposób nie budzący wątpliwości wyjaśnić stan faktyczny sprawy. Podkreślić należy, że uzasadnienie decyzji powinno zawierać dokładną analizę rozpoznawanej sprawy oraz w sposób jasny wskazywać, dlaczego w ustalonym stanie faktycznym niezbędne stało się wydanie takiego, a nie innego rozstrzygnięcia. Prawidłowo sformułowane uzasadnienie decyzji powinno odzwierciedlać poszczególne etapy prowadzonego postępowania administracyjnego, w tym postępowania dowodowego, nadto wskazać, jakie fakty ustalono oraz zawierać opis dokonanej subsumcji. Prawidłowe uzasadnienie decyzji ma nie tylko znaczenie prawne, ale i wychowawcze, bowiem pogłębia zaufanie uczestników postępowania do organów administracyjnych. Motywy decyzji winny odzwierciedlać rację decyzyjną i wyjaśnić tok rozumowań prowadzących do zastosowania konkretnego przepisu prawa materialnego w ustalonym stanie faktycznym. Motywy decyzji powinny być tak ujęte, aby strona mogła zrozumieć i w miarę możliwości zaakceptować zasadność przesłanek faktycznych i prawnych, którymi kierował się organ przy załatwianiu sprawy (wyrok WSA w Warszawie z dnia 7 stycznia 2009 r., II SA/Wa 1245/08, wyrok WSA w Szczecinie z dnia 16 lipca 2008 r., I SA/Sz 151/08, dostępne pod adresem: orzeczenia.nsa.gov.pl). Istotą postępowania odwoławczego, zgodnie z zasadą dwuinstancyjności postępowania wyrażoną w art. 15 Kpa, jest ponowne merytoryczne rozpoznanie i rozstrzygnięcie indywidualnej sprawy administracyjnej. Istota administracyjnego toku instancji polega na dwukrotnym rozstrzygnięciu tej samej sprawy, nie zaś na kontroli zasadności argumentów podniesionych w stosunku do orzeczenia organu I instancji. Wynika to z art. 138 Kpa, który przyznaje organowi odwoławczemu kompetencje do merytorycznego rozstrzygnięcia sprawy, czego następstwem jest utrzymanie w mocy zaskarżonej decyzji, bądź uchylenie i zmiana zaskarżonej decyzji. W wyroku z dnia 20 grudnia 1999 r. (sygn. akt IV SA 274/97, LEX nr 48234) Naczelny Sąd Administracyjny skonstatował, że organ odwoławczy rozpoznaje sprawę ponownie merytorycznie w jej całokształcie. Oznacza to, że ma on obowiązek rozpoznać wszystkie żądania, wnioski i zarzuty strony oraz ustosunkować się do nich w uzasadnieniu swej decyzji. Wspomniane żądania, wnioski i zarzuty mogą być zawarte również w złożonym przez stronę odwołaniu, a obowiązkiem organu odwoławczego jest przytoczenie w tym względzie treści odwołania oraz ustosunkowanie się do niego w uzasadnieniu wydanej decyzji. Jednakże obowiązek organu odwoławczego rozpoznającego ponownie sprawę nie może ograniczać się do ustosunkowania się do zarzutów podniesionych w środku zaskarżenia. Organ odwoławczy zobowiązany jest zbadać sprawę ponownie, a swoje stanowisko uzasadnić zgodnie w warunkami określonymi w art. 107 § 3 Kpa Przenosząc powyższe rozważania na grunt niniejszej sprawy wskazać należy, że prowadzone w niniejszej sprawie postępowanie jak i uzasadnienie decyzji po rozpatrzeniu wniosku o ponowne rozpatrzenie sprawy, nie odpowiada warunkom wynikającym z powyżej określonego przepisu. Należy zgodzić się z pełnomocnikiem Fundacji, że doszło do naruszenia art. 138 § 1 pkt 1 Kpa, gdyż organ odwoławczy utrzymał w mocy decyzję poprzedzającą, która została wydana z istotnym naruszeniem prawa procesowego, natomiast sam, zamiast rozpatrzyć sprawę ponownie, kontrolę zaskarżonej decyzji ograniczył do zajęcia stanowiska w przedmiocie zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy, naruszając w ten sposób art. 15 Kpa (zasada dwuinstancyjności). W związku ze stwierdzonymi naruszeniami przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, Sąd nie badał zasadności zarzutów merytorycznych podniesionych w skardze. Rozpoznając ponownie sprawę organ zobowiązany jest usunąć stwierdzone uchybienia, a swoje rozstrzygnięcie uzasadnić zgodnie z wymogami wynikającym z dyspozycji art. 107 § 3 Kpa. Mając na uwadze wskazane okoliczności sąd w oparciu o art. 145 § 1 pkt 1 lit. c) ustawy - Prawo o postępowaniu przed sądami administracyjnymi orzekł o uchyleniu zaskarżonej decyzji i decyzji ją poprzedzającej, a o kosztach orzeczono na podstawie art. 200 i art. 205 powołanej ustawy, uwzględniając wpis sądowy w kwocie 200 zł, opłatę skarbową od pełnomocnictwa w wysokości17 zł oraz koszty zastępstwa procesowego w wysokości 240 zł (na podstawie § 18 ust. 1 pkt 1 lit "c" rozporządzenia Ministra Sprawiedliwości z dnia 28 września 2002 r., w sprawie opłat za czynności adwokackie i oraz ponoszenia przez Skarb Państwa kosztów nieopłaconej pomocy prawnej udzielonej z urzędu (Dz. U. z 2002 r. Nr 163, poz. 1348).