I OSK 629/15

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Jacek Chlebny sędzia NSA Roman Ciąglewicz (spr.) sędzia NSA Jolanta Sikorska Protokolant sekretarz sądowy Justyna Stępień po rozpoznaniu w dniu 13 kwietnia 2016 roku na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 12 listopada 2014 r. sygn. akt II SA/Wa 1013/14 w sprawie ze skargi Fundacji {...} z siedzibą w Warszawie na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia {...} marca 2014 r. nr {...} w przedmiocie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i przekazuje sprawę Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania; 2. zasądza od Fundacji {...} z siedzibą w Warszawie na rzecz Generalnego Inspektora Ochrony Danych Osobowych kwotę 340 ( trzysta czterdzieści ) złotych tytułem zwrotu kosztów postępowania kasacyjnego. Wyrokiem z dnia 12 listopada 2014 r., sygn. akt II SA/Wa 1013/14, Wojewódzki Sąd Administracyjny w Warszawie w sprawie ze skargi Fundacji {...} z siedzibą w Warszawie na decyzję Generalnego Inspektora Ochrony Danych Osobowych, z dnia {...} marca 2014 r., nr {...}, w przedmiocie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych, uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia 30 października 2013 r. Wyrok wydany został w następujących okolicznościach sprawy. Decyzją z dnia {...} października 2013 r., Generalny Inspektor Ochrony Danych Osobowych nakazał Fundacji {...} z siedzibą w Warszawie, jako administratorowi danych, usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez: 1) zastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych przesyłanych za pomocą formularza umieszczonego w portalu {...} odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, poprzez zabezpieczenie danych protokołem szyfrującym, w terminie 14 dni od dnia, w którym niniejsza decyzja stanie się ostateczna; 2) opracowanie i wdrożenie dokumentacji dotyczącej przetwarzania danych, tj. polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym służącym przetwarzaniu danych osobowych, w terminie 14 dni od dnia, w którym niniejsza decyzja stanie się ostateczna; 3) wyznaczenie administratora bezpieczeństwa informacji, w terminie 7 dni od dnia, w którym niniejsza decyzja stanie się ostateczna; 4) nadanie osobom dopuszczonym do przetwarzania danych osobowych upoważnienia do przetwarzania danych, w terminie 7 dni od dnia, w którym niniejsza decyzja stanie się ostateczna; 5) opracowanie ewidencji osób upoważnionych do przetwarzania danych, w terminie 7 dni od dnia, w którym niniejsza decyzja stanie się ostateczna; 6) określenie w umowie zawartej na piśmie w dniu 15 maja 2011 r. z {...} Sp. z o.o. z siedzibę w Warszawie, o której mowa w art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zakresu i celu powierzenia danych osobowych przetwarzanych w ramach portalu internetowego {...} oraz ich dalszego powierzania przez {...} Sp. z o.o. innym podmiotom, w terminie 30 dni od dnia, w którym niniejsza decyzja stanie się ostateczna. Generalny Inspektor powołał się na przepisy art. 31, 36 ust. 1, ust. 2, ust. 3, 37, 39 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Podał, że upoważnieni inspektorzy dokonali kontroli przetwarzania przez Fundację w systemie informatycznym danych osobowych w ramach portalu internetowego o nazwie {...} . Przeprowadzona kontrola wykazała, że Fundacja jako administrator danych naruszyła przepisy o ochronie danych osobowych i stwierdzono następujące uchybienia: 1) niezastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, tj. dane osobowe przesyłane za pomocą formularza umieszczonego w portalu {...} nie zostały zabezpieczone protokołem szyfrującym (art. 36 ust. 1 ustawy); 2) nieopracowanie i niewdrożeniu dokumentacji dotyczącej przetwarzania danych, tj. polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych (art. 36 ust. 2 ustawy); 3) niepowołanie administratora bezpieczeństwa informacji (art. 36 ust. 3 ustawy); 4) dopuszczenie do przetwarzania danych osobowych osoby nieposiadającej upoważnienia do przetwarzania danych (art. 37 ustawy); 5) nieprowadzeniu ewidencji osób upoważnionych do przetwarzania danych (art. 39 ust. 1 ustawy); 6) nieokreślenie w umowie, o której mowa w art. 31 ustawy, zakresu i celu powierzenia danych osobowych przetwarzanych w ramach portalu internetowego {...} . Ustaleń tych dokonał na podstawie protokołu kontroli, zeznań świadków, dowodów z dokumentów (umowy) oraz opinii Dyrektora Departamentu Informatyki Biura GIODO. Odmówił uwzględnienia wniosku o przeprowadzenie dowodu z opinii biegłego kryptologa. Organ uznał, ze Fundacja przetwarza dane osobowe. Nie ma klucza deszyfrującego dane, ale mając dostęp do serwera (login i hasło) jest w stanie wyłączyć szyfrowanie danych. Skoro dane nie są zabezpieczone protokołem szyfrującym, to konieczne jest nakazanie działań zabezpieczających. Fundacja złożyła do Generalnego Inspektora Danych Osobowych wniosek o ponowne rozpatrzenie sprawy, zarzucając, że decyzja została wydana z naruszeniem następujących przepisów: 1) art. 80, art. 7 i art. 77 K.p.a. w zw. z art. 21 ustawy o ochronie danych osobowych poprzez dowolną, a nie swobodną ocenę dowodów i oparcie decyzji na opinii dyrektora Departamentu Informatyki Biura GIODO z dnia 31 lipca 2013 r., pomimo wadliwości tej opinii polegającej na uznaniu, że strona przetwarza dane osobowe na podstawie oceny tego, jak portal {...} mógłby funkcjonować po jego zmianach, a nie w oparciu o rzeczywiste zasady działania tego portalu. W konsekwencji wydano decyzję z pominięciem oceny rzeczywistych zasad działania portalu {...} , istniejących w dacie wydania decyzji; 2) art. 79 § 1 i 2 K.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych poprzez przeprowadzenie dowodu z opinii biegłego - dyrektora Departamentu Informatyki Biura GIODO pomimo niezawiadomienia strony o tym dowodzie i uniemożliwienie stronie zadawania pytań związanych z tą opinią; 3) art. 7, art. 77 § 1, art. 107 § 3 K.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych w zw. z art. 6 ust. 1 i 3 tej ustawy poprzez zaniechanie ustalenia, jakich działań wymagałoby odszyfrowanie informacji krótkotrwale zapisywanych w zaszyfrowanej formie w bazie portalu {...} , bez wcześniejszego anulowania funkcji szyfrowania, a także odszyfrowanie takich informacji zapisanych przed anulowaniem funkcji szyfrowania, a także odszyfrowanie takich informacji zapisanych przed anulowaniem funkcji szyfrowania i czy tym samym informacje te w ogóle można uznać za umożliwiające określenie tożsamości osoby; 4) art. 7, art. 77 § 1, art. 107 § 3 K.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych i w zw. z art. 7 ust. 4 tej ustawy poprzez zaniechanie ustaleń, czy strona decyduje o środkach i celach przetwarzania danych osobowych (o ile takie dane są przetwarzane w ramach portalu {...} ) i jedynie arbitralne stwierdzenie, że strona jest administratorem. W konsekwencji strona została błędnie uznana za administratora danych i błędnie zastosowano art. 36, art. 37, art. 39 i art. 31 ustawy o ochronie danych osobowych; 5) art. 107 § 1 K.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych poprzez nieoznaczenie daty wydania decyzji. Podnosząc powyższe zarzuty wniosła o uchylenie decyzji w całości i umorzenie postępowania w całości. Generalny Inspektor Ochrony Danych Osobowych, decyzją z dnia {...} marca 2014 r., utrzymał w mocy zaskarżoną decyzję. Jako podstawę prawną przywołał przepisy art. 138 § 1 pkt 1 K.p.a. oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 i art. 22 w związku z art. 31 ust. 1 i 2, art. 36 ust. 1, 2 i 3, art. 37 i art. 39 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Przedstawił przebieg dotychczasowych czynności procesowych. Rozważył zdefiniowane w art. 6 ustawy pojęcie danych osobowych. W związku z tym ustalił, że pozyskiwanie danych za pośrednictwem portalu {...} odbywa się w kilku etapach. W pierwszym etapie osoba zgłaszająca wykroczenie/przestępstwo jest zobowiązana do zapoznania się i zaakceptowania regulaminu portalu, następnie wypełnia formularz zawierający informacje o zdarzeniu. W formularzu podaje informacje o miejscu zdarzenia, tj. województwo, powiat, miasto, ulicę. Następnie określa rodzaj zdarzenia: przemoc fizyczna, przemoc psychiczna, przemoc w rodzinie, kradzież, grupy przestępcze, narkotyki, wykroczenia drogowe, pedofilia, znęcanie się nad zwierzętami. W zależności od rodzaju i miejsca zdarzenia system wskazuje jakie instytucje (Policja, Straż Miejska, Ośrodki Pomocy Społecznej) powinny zostać powiadomione o zdarzeniu. Po wypełnieniu formularza osoba zgłaszająca ma obowiązek opisania zdarzenia ze wskazaniem jak największej ilości faktów i danych oraz jest zobowiązana do podania swoich danych w zakresie imienia, nazwiska, nr telefonu. Instytucja bądź instytucje, które zostały wskazane w zgłoszeniu otrzymują z portalu na swoją skrzynkę pocztową wiadomość z informacjami z formularza zgłoszeniowego wraz z nr IP, z którego wiadomość została wysłana. W konsekwencji organ uznał, że dane w zakresie: imienia, nazwiska, nr telefonu, nr IP stanowią dane osobowe w rozumieniu art. 6 powołanej ustawy. Następnie organ przytoczył treść przepisu art. 7 pkt 2 ustawy, definiującego przetwarzanie danych osobowych. Ustalił, że dane (imię, nazwisko, nr telefonu, treść przesyłanej wiadomości) są wprowadzane do portalu {...} , zapisywane krótkotrwale w bazie portalu {...} w formie zaszyfrowanej, wysyłane, a następnie usuwane z bazy tego portalu. W momencie wysyłania wiadomości do instytucji wskazanych w zgłoszeniu zdarzenia dane mają formę jawną, tj. są deszyfrowane przez mechanizmy portalu. Dane po wysłaniu wiadomości lub zamknięciu formularza/przeglądarki są usuwane z bazy portalu {...} . Portal internetowy {...} służy wyłącznie do przekazywania danych do instytucji wskazanych w zgłoszeniu zdarzenia. Inne operacje na danych nie są dokonywane. Z tego powodu, operacje wykonywane na przedmiotowych danych przy pomocy portalu {...} organ uznał za przetwarzanie danych w rozumieniu art. 7 pkt 2 przedmiotowej ustawy. Jednocześnie przyjął, że krótkotrwałe szyfrowanie danych służy wyłącznie ich zabezpieczeniu i nie pozbawia ich waloru danych osobowych, zwłaszcza że są one wysyłane do wskazanej w formularzu zgłoszenia zdarzenia instytucji w formie jawnej wiadomości e-mail. Jednocześnie organ zaznaczył, że portal internetowy {...} nie służy do archiwizowania danych przesłanych za jego pośrednictwem, co nie zmienia faktu, że służy on do przetwarzania danych osobowych. Wobec powyższego, wyłączenie szyfrowania nie umożliwi odczytania informacji/danych wysłanych przed wyłączeniem tej funkcji. Generalny Inspektor powołał następnie art. 7 pkt 4 ustawy o ochronie danych osobowych, zgodnie z którym, przez administratora danych rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. W związku z tą kwestią ustalił, że Fundacja opracowała i wdrożyła portal internetowy o nazwie {...} dostępny na stronie internetowej www.{...} w związku z realizacją swoich statutowych zadań, tj. zapobieganiu łamania prawa, pomocy ofiarom przestępstw w ujawnianiu przypadków łamania prawa oraz promocji i wspieraniu wszelkich inicjatyw zmierzających do zapobiegania i przeciwdziałania przestępczości oraz zwiększania wykrywalności przestępstw. Portal ten został stworzony na zlecenie Fundacji przez {...} Usługi Informatyczne {...} na podstawie umowy z dnia 19 maja 2011 r. W umowie Fundacja określiła wymagania techniczno - funkcjonalne jakie powinien spełniać portal {...} , zasady i cel działania, środki zabezpieczające przetwarzanie w nim danych. Fundacja posiada login i hasło do serwera, na którym znajduje się portal, które umożliwiają jej wprowadzanie zmian w jego skryptach, a czynność ta nie wymaga poniesienia nadmiernych kosztów, czasu i działań. Biorąc pod uwagę powyższe ustalenia organ uznał, że Fundacja decyduje o celach i środkach przetwarzania danych osobowych, które są przesyłane za pośrednictwem portalu {...} , a co za tym idzie jest administratorem danych w rozumieniu art. 7 pkt 4 ustawy. Organ nie zgodził się z zarzutami podniesionymi we wniosku o ponowne rozpatrzenie sprawy, że przy wydawaniu zaskarżonej decyzji doszło do naruszenia wskazanych w nim przepisów art. 7, art. 77 § 1 oraz art. 107 § 3 K.p.a. w związku z art. 22 i art. 7 pkt 4 ustawy o ochronie danych osobowych. Zwrócił uwagę na to, że w toku postępowania Fundacja nie kwestionowała, że jest administratorem danych osobowych. Nawiązując do zarzutu naruszenia art.. 7, art. 77 § 1 i art. 107 § 3 K.p.a. w związku z art.22 i art. 6 ust. 1 i ust. 3, organ stwierdził, ze funkcja szyfrowania danych na portalu {...} jest jedynie środkiem zabezpieczającym te dane w procesie ich przetwarzania. Skutkiem wyłączenia tej funkcji będzie to, że dostęp do danych znajdujących się w bazie portalu będzie możliwy poprzez bieżący wgląd w dane. Czynność wyłączenia funkcji szyfrowania wymaga jedynie dostępu do serwera na którym znajduje się portal {...} i nie wymaga od właściciela portalu poniesienia nadmiernych kosztów, czasu i działań. Dla wykonania tej czynności nie jest konieczne posiadanie przez Fundację klucza deszyfrującego. W tym zakresie organ oparł się także na zeznaniach świadków zawnioskowanych przez pełnomocnika Fundacji. Jak dalej wywodził organ, dla oceny sprawy było istotne ustalenie, czy Fundacja posiada rzeczywiste możliwości zmiany zasad przetwarzania danych w ramach portalu {...} i czy w związku z tym posiada władztwo w ramach portalu {...} , tj. decyduje o celach i środkach ich przetwarzania. W ocenie organu posiada takie możliwości, a co za tym idzie jest administratorem tych danych i nie może być mowy o błędnym zastosowaniu art. 36, art. 37, art. 31 ustawy o ochronie danych osobowych. Fundacja wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżonej decyzji zarzuciła naruszenie: 1) art. 80, art. 7 i art. 77 § 1 K.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych, poprzez przyjęcie, że Fundacja {...} deszyfruje informacje przesyłane za pośrednictwem portalu {...} , a dane są wysyłane w formie jawnej podczas gdy z zebranego w sprawie materiału to nie wynika, a wręcz przeciwnie ustalono, że informacje nie są zapisywane w bazie portalu w momencie tworzenia wiadomości, są chwilowo zapisywane w chwili wysyłania w formie rekordu z nieczytelnymi, zaszyfrowanymi danymi, który to rekord zostaje usunięty po zamknięciu przeglądarki. W konsekwencji błędnie przyjęto, że szyfrowanie przesyłanych informacji jest jedynie środkiem zabezpieczającym dane w procesie ich przetwarzania, a Fundacja przetwarza dane osobowe w ramach portalu {...} ; 2) art. 84 § 1, art. 78 § 1 i 2, art. 7, art. 77 § 1 K.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych, poprzez zaniechanie zasięgnięcia opinii biegłego w sprawie wymagającej wiadomości specjalnych i pomimo takiego wniosku strony oraz oparcie zaskarżonej decyzji na wadliwej opinii dyrektora Departamentu Informatyki Biura GIODO z dnia 31 lipca 2013 r. (argumentacja taka, jak we wniosku o ponowne rozpatrzenie sprawy); 3) art. 7, art. 77 § 1, art. 107 § 3 K.p.a. w zw. z art. 22 powołanej powyżej ustawy poprzez zaniechanie ustalenia, jakich działań wymagałoby odszyfrowanie informacji krótkotrwale zapisywanych w zaszyfrowanej formie w bazie portalu {...} i czy tym samym informacje te w ogóle można uznać za umożliwiające określenie tożsamości osoby i w konsekwencji błędne uznanie, że Fundacja {...} przetwarza dane osobowe w ramach portalu {...} ; 4) art. 138 § 1 pkt 1 K.p.a. i art. 21 ust. 1 przedmiotowej ustawy poprzez dokonanie kontroli decyzji poprzedzającej wyłącznie przez pryzmat zarzutów podniesionych przez stronę i zaniechanie ponownego rozpatrzenia sprawy, przez co zostało naruszone prawo strony do dwukrotnego rozpatrzenia sprawy. Podnosząc powyższe zarzuty Fundacja wniosła o uchylenie zaskarżonej decyzji oraz utrzymanej nią w mocy decyzji poprzedzającej i zasądzenie na rzecz Fundacji kosztów postępowania. Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o oddalenie skargi. Wojewódzki Sąd Administracyjny w Warszawie uznał, że skarga podlega uwzględnieniu, gdyż zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych została wydana z naruszeniem prawa. W ocenie Sądu uzasadnienie decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia 30 października 2013 r. nie spełnia warunków określonych w art. 107 § 3 K.p.a., przez co doszło do naruszenia zasady zawartej w art. 7 K.p.a., tj. zasady dokonania niezbędnych ustaleń tak, aby w sposób nie budzący wątpliwości wyjaśnić stan faktyczny sprawy. Sąd podkreślił, że uzasadnienie decyzji powinno zawierać dokładną analizę rozpoznawanej sprawy oraz w sposób jasny wskazywać, dlaczego w ustalonym stanie faktycznym niezbędne stało się wydanie takiego, a nie innego rozstrzygnięcia. Prawidłowo sformułowane uzasadnienie decyzji powinno odzwierciedlać poszczególne etapy prowadzonego postępowania administracyjnego, w tym postępowania dowodowego, nadto wskazać, jakie fakty ustalono oraz zawierać opis dokonanej subsumcji. Prawidłowe uzasadnienie decyzji ma nie tylko znaczenie prawne, ale i wychowawcze, bowiem pogłębia zaufanie uczestników postępowania do organów administracyjnych. Motywy decyzji winny odzwierciedlać rację decyzyjną i wyjaśnić tok rozumowań prowadzących do zastosowania konkretnego przepisu prawa materialnego w ustalonym stanie faktycznym. Motywy decyzji powinny być tak ujęte, aby strona mogła zrozumieć i w miarę możliwości zaakceptować zasadność przesłanek faktycznych i prawnych, którymi kierował się organ przy załatwianiu sprawy. Sąd powołał się na wyrok WSA w Warszawie z dnia 7 stycznia 2009 r., sygn. akt II SA/Wa 1245/08, wyrok WSA w Szczecinie z dnia 16 lipca 2008 r., sygn. akt I SA/Sz 151/08, dostępne pod adresem: orzeczenia.nsa.gov.pl). Sąd pierwszej instancji wywodził, że istotą postępowania odwoławczego, zgodnie z zasadą dwuinstancyjności postępowania wyrażoną w art. 15 K.p.a., jest ponowne merytoryczne rozpoznanie i rozstrzygnięcie indywidualnej sprawy administracyjnej. Istota administracyjnego toku instancji polega na dwukrotnym rozstrzygnięciu tej samej sprawy, nie zaś na kontroli zasadności argumentów podniesionych w stosunku do orzeczenia organu I instancji. Wynika to z art. 138 K.p.a., który przyznaje organowi odwoławczemu kompetencje do merytorycznego rozstrzygnięcia sprawy, czego następstwem jest utrzymanie w mocy zaskarżonej decyzji, bądź uchylenie i zmiana zaskarżonej decyzji. Sąd zauważył, że w wyroku z dnia 20 grudnia 1999 r., sygn. akt IV SA 274/97, Naczelny Sąd Administracyjny skonstatował, że organ odwoławczy rozpoznaje sprawę ponownie merytorycznie w jej całokształcie. Oznacza to, że ma on obowiązek rozpoznać wszystkie żądania, wnioski i zarzuty strony oraz ustosunkować się do nich w uzasadnieniu swej decyzji. Wspomniane żądania, wnioski i zarzuty mogą być zawarte również w złożonym przez stronę odwołaniu, a obowiązkiem organu odwoławczego jest przytoczenie w tym względzie treści odwołania oraz ustosunkowanie się do niego w uzasadnieniu wydanej decyzji. Jednakże obowiązek organu odwoławczego rozpoznającego ponownie sprawę nie może ograniczać się do ustosunkowania się do zarzutów podniesionych w środku zaskarżenia. Organ odwoławczy zobowiązany jest zbadać sprawę ponownie, a swoje stanowisko uzasadnić zgodnie w warunkami określonymi w art. 107 § 3 K.p.a. Przenosząc powyższe rozważania na grunt niniejszej sprawy Sąd ocenił, że prowadzone w niniejszej sprawie postępowanie, jak i uzasadnienie decyzji po wniosku o ponowne rozpatrzenie sprawy, nie odpowiada warunkom wynikającym z powyżej określonego przepisu. Sąd uznał, że doszło do naruszenia art. 138 § 1 pkt 1 K.p.a., gdyż organ odwoławczy utrzymał w mocy decyzję poprzedzającą, która została wydana z istotnym naruszeniem prawa procesowego, natomiast sam, zamiast rozpatrzyć sprawę ponownie, kontrolę zaskarżonej decyzji ograniczył do zajęcia stanowiska w przedmiocie zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy, naruszając w ten sposób art. 15 K.p.a. (zasada dwuinstancyjności). W związku ze stwierdzonymi naruszeniami przepisów postępowania, które mogły mieć istotny wpływ na wynik sprawy, Sąd nie badał zasadności zarzutów merytorycznych podniesionych w skardze. Generalny Inspektor Ochrony Danych Osobowych złożył skargę kasacyjną do Naczelnego Sądu Administracyjnego. Zaskarżył wyrok w całości, zarzucając naruszenie przepisów postępowania, tj.: 1) art. 145 § 1 pkt 1 lit. c P.p.s.a. w związku z art. 107 § 3 K.p.a., poprzez błędne przyjęcie, iż uzasadnienie decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia {...} października 2013 r. nie spełnia wymogów określonych w art. 107 § 3 K.p.a., co miało istotny wpływ na wynik sprawy; 2) art. 145 § 1 pkt 1 lit. c P.p.s.a. w związku z art. 7 K.p.a., poprzez błędne przyjęcie, iż Generalny Inspektor Ochrony Danych Osobowych wydając decyzję z dnia {...} października 2013 r. naruszył określoną art. 7 K.p.a. zasadę "dokonywania niezbędnych ustaleń tak, aby w sposób nie budzący wątpliwości wyjaśnić stan faktyczny sprawy", co miało istotny wpływ na wynik sprawy; 3) art. 145 § 1 pkt 1 lit. c P.p.s.a. w związku z art. 15 K.p.a., poprzez błędne przyjęcie, iż Generalny Inspektor Ochrony Danych wydając zaskarżoną decyzję ograniczył kontrolę decyzji z dnia {...} października 2013 r. do zajęcia stanowiska w przedmiocie zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy, czym zdaniem Sądu naruszył zasadę dwuinstancyjności, co miało istotny wpływ na wynik sprawy. Wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Sądowi I instancji oraz zasadzenie kosztów postępowania według norm przepisanych. Naczelny Sąd Administracyjny zważył, co następuje: Skarga kasacyjna ma usprawiedliwione podstawy. Przepis art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r. poz. 270 ze zm.) stanowi, że Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak pod rozwagę nieważność postępowania. W niniejszej sprawie nie zachodzą okoliczności skutkujące nieważność postępowania, określone w art. 183 § 2 pkt 1 – 6 P.p.s.a., należało zatem ograniczyć się do zarzutów skargi kasacyjnej. W skardze kasacyjnej podniesiono trzy zarzuty proceduralne i wszystkie okazały się trafne. Wszelkie uchybienia przepisów postępowania odnoszące się do ustaleń faktycznych mogą skutkować uwzględnieniem skargi, gdy mogły mieć istotny wpływ na wynik sprawy (art. 145 § 1 pkt 1 lit. c P.p.s.a.). Ten wpływ uwarunkowany jest przede wszystkim tym, czy chodzi o okoliczności istotne z punktu widzenia prawa materialnego. Zaskarżona decyzja zawiera nakazy wynikające z dopuszczenia się przez adresata konkretnych deliktów z zakresu ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Okoliczności faktyczne wyczerpujące przesłanki tych deliktów są zindywidualizowane, co wynika wprost z hipotez przepisów art. 36 ust. 1, art. 36 ust. 2, art. 36 ust. 3, art. 37, art. 39 ust. 1 oraz art. 31 ustawy o ochronie danych osobowych. Stawiając zarzut "naruszenia art. 7 K.p.a., tj. zasady dokonania ustaleń tak, aby w sposób niebudzący wątpliwości wyjaśnić stan faktyczny sprawy", a więc zarzut niedostatecznego ustalenia stanu faktycznego, należy dokonać analizy każdego deliktu. Przed dalszą analizą warto zauważyć, że w myśl art. 7 K.p.a., w toku postępowania organy z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego. Sąd nie wytłumaczył powodu, dla którego zastąpił określenie ustawowe "dokładne ustalenie stanu faktycznego", zwrotem "ustalenie w sposób niebudzący wątpliwości stanu faktycznego sprawy". Niezależnie od intencji Sądu, badanie naruszenia art. 7 K.p.a. sprowadza się do kontroli zrealizowania przez organ zasady prawdy obiektywnej, skonkretyzowanej przede wszystkim w art. 77 § 1 oraz art. 80 K.p.a., która to realizacja powinna zostać wykazana w myśl art. 107 § 3 K.p.a. Wracając do głównego wątku rozważań skonstatować trzeba, że podobnie jak zarzut naruszenia art. 7 K.p.a., podnosząc naruszenie art. 107 § 3 K.p.a., w części odnoszącej się do ustaleń faktycznych (wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej), należy wykazać zaistnienie naruszeń w tym zakresie odrębnie w odniesieniu do każdego deliktu. Ponadto, kontrola sądowa decyzji administracyjnej nakazującej przywrócenie stanu zgodnego z prawem, np. przez zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe (art. 18 ustawy o ochronie danych osobowych) powinna uwzględniać szczególne unormowanie z zakresu postępowania wyjaśniającego, w dziedzinie ochrony danych osobowych, zawarte w art. 14 ustawy. Przepis ten wskazuje na zasadnicze środki, a zarazem kompetencje, z jakich korzysta Generalny Inspektor, jego zastępca i - odpowiednio - inspektorzy przy wypełnianiu postawionych ustawą zadań w zakresie ochrony danych osobowych. Kontrola stanowi istotny środek dowodowy, a wynik kontroli pełni rolę środka pozwalającego stwierdzić, czy istnieją podstawy wszczęcia postępowania administracyjnego lub środka dowodowego w toczącym się postępowaniu administracyjnym (patrz: Janusz Barta, Paweł Fajgielski, Ryszard Markiewicz "Ustawa o ochronie danych osobowych. Komentarz", LEX 2015, pkt 1 i 3). Nie ma co prawda, w świetle art. 22 ustawy o ochronie danych osobowych, podstaw do formułowania tezy o braku podstaw do zastosowania w postępowaniu zmierzającym do zabezpieczenia danych osobowych przepisów art. 75 i nast. oraz art. 107 § 3 K.p.a., ale w ocenie materiału dowodowego nie wolno pomijać szczególnego dowodu jakim jest, w świetle art. 14, art. 15 i art. 17 ustawy o ochronie danych osobowych, wynik kontroli przeprowadzonej w trybie art. 14 i 15. O ile zatem ustalenia Generalnego Inspektora, w odniesieniu do zaniedbań administratora w zakresie zabezpieczenia ochrony danych, oparte są o wyniki kontroli przeprowadzonej w trybie art. 14 i 15 ustawy o ochronie danych osobowych, to skuteczne podważenie tych ustaleń faktycznych organu nie jest możliwe bez wykazania nieprawidłowości kontroli. Nadto, podnosząc naruszenie art. 107 § 3 K.p.a., należy wykazać, która z dyspozycji tego przepisu nie została przez organ administracyjny zrealizowana. Oprócz dyspozycji z zakresu przedstawienia przez organ ustaleń faktycznych, przepis ten zobowiązuje do wyjaśnienia podstawy prawnej decyzji, z przytoczeniem przepisów prawa. Rzecz jasna, ewentualne naruszenia w tym zakresie także powinny być skonkretyzowane w odniesieniu do poszczególnych podstaw materialnych sprawy administracyjnej. W uzasadnieniu decyzji z dnia {...} października 2013 r. Generalny Inspektor Ochrony Danych Osobowych podał jakie fakty ustalił i odniósł je do wskazanych przepisów ustawy o ochronie danych osobowych, przytaczając przepis ustawy, fakt wyczerpujący przesłanki tego przepisy oraz dowody, na jakich oparł się dokonując poszczególnych ustaleń. Jako dowód wskazał wynik kontroli przeprowadzonej przez upoważnionych inspektorów. Nadto, organ oparł się na dowodach z umowy zawartej między Fundacją a {...} Spółka z o.o., z dnia 15 maja 2011 r., a także na umowie zawartej między {...} Spółka z o.o. a {...} Spółka jawna z siedzibą w Szczecinie. Wskazał, że przeprowadził następnie także dowód z zeznań dwóch świadków. Określając podstawę prawną rozstrzygnięcia, Generalny Inspektor wskazał szereg przepisów ustawy o ochronie danych osobowych odnoszących się do naruszeń, których dopuściła się Fundacja oraz przepisów stanowiących wyjaśnienie pojęć i kompetencyjno-procesowych wyjaśniających zastosowanie nałożonych w decyzji nakazów. W związku z odmową uwzględnienia wniosku dowodowego Fundacji, dokonał oceny zebranego materiału dowodowego i podał przyczyną, dla której odmówił uwzględnienia wniosku o przeprowadzenie dowodu z opinii biegłego. W tej sytuacji ocena Sądu o naruszeniu przez organ przepisu art. 107 § 3 K.p.a. oraz art. 7 K.p.a. wyrażona stwierdzeniem o niespełnieniu warunków określonych w art. 107 § 3 K.p.a. stanowi naruszenie art. 145 § 1 pkt 1 lit. c P.p.s.a. Stwierdzając naruszenie, o którym mowa w art. 145 § 1 pkt 1 lit. c P.p.s.a. Sąd nie może ograniczyć się do powtórzenia treści naruszonych zdaniem Sądu, przepisów procedury administracyjnej. Obowiązkiem Sądu jest wykazanie na czym konkretnie naruszenie polegało w odniesieniu do każdej istotnej okoliczności materialnej oraz w nawiązaniu do każdej przesłanki naruszonego przepisu procesowego. Takiej konkretyzacji nie stanowi przytoczenie fragmentów uzasadnień wyroków sądów administracyjnych, jeśli przywołane wypowiedzi, określające obowiązki organów administracyjnych w zakresie uzasadnienia decyzji nie pociągają za sobą wykazania konkretnych uchybień stwierdzonych w trakcie dokonywanej kontroli sądowej. Bezpodstawna jest teza Sądu pierwszej instancji o naruszeniu przez Generalnego Inspektora, po złożeniu wniosku o ponowne rozpatrzenie sprawy, art. 138 § 1 pkt 1 K.p.a. oraz art. 15 K.p.a. poprzez utrzymanie w mocy decyzji wydanej z istotnym naruszeniem prawa procesowego, nierozpatrzenie sprawy ponownie i ograniczenie się do zajęcia stanowiska w przedmiocie zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy. Sąd nie skonkretyzował naruszeń procesowych, którymi dotknięta był pierwsza decyzja. Nie można więc ocenić, pamiętając o lakonicznych i zbyt ogólnych zarzutach Sądu pod adresem pierwszej decyzji Generalnego Inspektora,, jakie uchybienia proceduralne zostały decyzją z dnia 25 marca 2014 r. zaakceptowane. Nadto, Generalny Inspektor nie tylko odniósł się do zarzutów sformułowanych we wniosku o ponowne rozpatrzenie sprawy. Podał istotne ustalenia faktyczne. Przedstawił ponownie proces pozyskiwania danych na portalu {...} . Przytoczył treść art. 6 i art. 7 ustawy o ochronie danych osobowych oraz stwierdził, że operacje wykonywane na przedmiotowych danych są przetwarzaniem danych osobowych w rozumieniu art. 7 pkt 2. Ustalając, że Fundacja opracowała i wdrożyła portal internetowy {...} , posiada login i hasło do serwera, decyduje o celach i środkach przetwarzania danych osobowych, Generalny Inspektor uznał, że Fundacja jest administratorem tych danych w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych. Organ wskazał, że funkcja szyfrowania danych w bazie portalu {...} jest jedynie środkiem zabezpieczającym te dane w procesie ich przetwarzania. Skutkiem wyłączenia tej funkcji będzie to, że dostęp do danych będzie możliwy poprzez bieżący wgląd w dane. Czynność wyłączenia funkcji szyfrowania wymaga jedynie dostępu do serwera, na którym znajduje się portal {...} i nie wymaga od właściciela portalu poniesienia nadmiernych kosztów, czasu i działań. Wskazał, że wbrew Fundacji, wyłączenie funkcji nie spowoduje takiej zmiany funkcjonalności portalu, że wówczas byłby to już inny portal. Nie zmieni się bowiem cel portalu oraz jego zadanie. Organ argumentował dalej, że nie ma znaczenia to, czy Fundacja z tych możliwości korzysta. Za trafne uznał więc zastosowanie w sprawie przepisów art. 36, art. 37 art. 39 i art. 31 ustawy. To, że dane w ramach portalu są szyfrowane i nie są archiwizowane nie może powodować, zdaniem organu, wyłączenia procesu przetwarzania danych spod ochrony przepisów ustawy o ochronie danych osobowych. Organ podał więc podstawę prawną decyzji z uzasadnieniem tej podstawy. Odniesienie się do zarzutów stanowiło jednocześnie dodatkową argumentację faktyczną i prawną wymaganą przez art. 107 § 3 K.p.a. W tym zakresie organ wskazał, że informacje przedstawione w opinii Departamentu Informatyki nie mają charakteru opinii biegłego. Argumentował, że zgodnie z art. 13 ust. 1 ustawy Generalny Inspektor wykonuje swoje zadania przy pomocy Biura, tj. pracowników posiadających stosowną wiedzę, aby dokonać oceny materiału dowodowego. Opinia ta jest jednym z dowodów w sprawie. Trafność ustaleń faktycznych organu i podstawy prawnej powinna być zatem merytorycznej kontroli Sądu pierwszej instancji. Wbrew stanowisku wyrażonemu w uzasadnieniu zaskarżonego wyroku, nie było podstaw do odstąpienia od takiej kontroli. Odnosząc się do stwierdzonego przez Sąd pierwszej instancji naruszenia zasady dwuinstancyjności przypomnieć można, że naruszenie to ma charakter rażącego naruszenia prawa i powinno skutkować stwierdzeniem nieważności zaskarżonej decyzji (art. 145 § 1 pkt 2 P.p.s.a. w związku z art. 156 § 1 pkt 2 K.p.a.). Z taką sytuacją w niniejszej sprawie nie mamy do czynienia. Jak wynika z powyższej analizy, Generalny Inspektor rozpoznał wniosek o ponowne rozpatrzenie sprawy i wydał w sprawie drugą decyzję po przeprowadzeniu ponownie postępowania wyjaśniającego. Nie ma żadnych podstaw do przyjęcia, że doszło do naruszenia zasady dwuinstancyjności. W tym stanie rzeczy Naczelny Sąd Administracyjny, na podstawie art. 185 § 1 P.p.s.a., uchylił zaskarżony wyrok i przekazał sprawę Wojewódzkiemu Sądowi w Warszawie do ponownego rozpoznania. Koszty postępowania kasacyjnego zasądzono na podstawie art. 203 pkt 2 P.p.s.a.