II SA/Wa 1999/14

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Eugeniusz Wasilewski Sędziowie WSA Anna Mierzejewska (spr.) Olga Żurawska – Matusiak Protokolant straszy sekretarz sądowy Aneta Duszyńska po rozpoznaniu na rozprawie w dniu 9 czerwca 2015 r. sprawy ze skargi U.S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2014 r. nr [...] w przedmiocie nakazania usunięcia uchybień w procesie przetwarzania danych osobowych – oddala skargę – Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] września 2014 r. [...] na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2013 r. poz. 267) oraz art. 12 pkt 2, art. 22 i art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2014 r. poz. 1182) po rozpoznaniu wniosku U. S., zam. w W. przy ul. S. , o ponowne rozpatrzenie sprawy jej skargi i reprezentowanej przez nią J. N., zam. w W. przy ul. S. , na przetwarzanie ich danych osobowych przez Wojewodę [..] ([...] Urząd Wojewódzki w [...], Wydział Infrastruktury i Środowiska) z siedzibą w W. przy Pl. B., rozstrzygniętej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2013 r. (znak: [...], utrzymał w mocy zaskarżoną decyzję. W uzasadnieniu decyzji organ podał, że do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga U. S. i reprezentowanej przez nią J. N. zamieszkałych w W. przy ul. S., na przetwarzanie ich danych osobowych przez "urzędnika [...] Urzędu Wojewódzkiego w W., Wydział Infrastruktury i Środowiska" z siedzibą w W. przy Pl. B. (dalej jako Urząd). Skarżące wskazały, że dnia [...] marca 2012 r. w furtce swojego domu przy ul. S. w W. znalazły zatknięte niezabezpieczone i zabrudzone pismo z dnia [...] marca 2012 r. podpisane przez kierownika działu ogólnego ([...] Urzędu Wojewódzkiego w W.), zaś dnia [...] marca 2012 r. "osoba postronna przyniosła pismo o takiej samej treści jak te znalezione na ulicy S. do punktu handlowego przy ul. M. w W.". W ocenie Skarżących doszło do udostępnienia ich danych i treści ww. pisma szerokiemu gronu osób nieupoważnionych oraz niezabezpieczenia ich przed zabraniem przez osobę nieupoważnioną. Skarżące wniosły na podstawie art. 51 i art. 52 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2014 r. poz. 1182), zwanej dalej także ustawą, o wszczęcie przez Generalnego Inspektora postępowania "w celu ukarania osób winnych naruszeń prawa oraz powiadomienie Wojewody [...] w celu wyciągnięcia przez niego konsekwencji służbowych w stosunku do nich".  Generalny Inspektor Ochrony Danych Osobowych przeprowadził w sprawie postępowanie wyjaśniające, w toku którego ustalił, co następuje. 1. Urząd przetwarza dane osobowe Skarżących w zbiorze "Tytuły wykonawcze i dokumentacja związana z egzekucją administracyjną oraz stosowaniem ulg w spłacie należności pieniężnych", zaś celem przetwarzania jest "prowadzenie niezbędnej korespondencji ze Skarżącymi będącymi jednocześnie zobowiązanymi do wykonania obowiązku określonego w tytule wykonawczym polegającym na niezwłocznym wydaniu nieruchomości w celu budowy drogi wojewódzkiej". 2. Urząd oświadczył, że pracownicy odpowiedzialni za przetwarzanie danych osobowych posiadają stosowne upoważnienia oraz zostali przeszkoleni w zakresie zasad ochrony danych osobowych. 3. Skierowane do Skarżących zawiadomienie z dnia [...] marca 2012 r. zostało doręczone dnia [...] marca 2012 r. przez pracownika Urzędu w ten sposób, że przyczepił jego jeden egzemplarz do ogrodzenia domu mieszkalnego przy ul. S. w W., a drugi do drzwi budynku handlowego przy ul. M. w W. 4. Ww. zawiadomienie zawierało oznaczenie organu administracji publicznej ([...] Urząd Wojewódzki w W. Wydział Infrastruktury i Środowiska), datę ([...] marca 2012 r.), adresatów (U. S./J. N. /ul. [...] W./ul. S. W.) i treść: "Uprzejmie informuję, że w związku z niemożliwością doręczenia pism Wojewody [...] (...) z dnia [...] marca 2012 r. zostały one złożone w Urzędzie Dzielnicy w R. (...) na okres 7 dni. (...) doręczenie uznane zostanie za dokonane z upływem 14 dni od dnia złożenia pierwszego zawiadomienia. Przesyłka jest do odebrania w terminie 7 dni licząc od dnia [...] marca 2012 r. w (...) powyższym urzędzie" wraz z podpisem osoby upoważnionej - Kierownika Oddziału Ogólnego. 5. Jak wynika z przedstawionej przez Urząd dokumentacji fotograficznej, doręczenie dnia [...] marca 2012 r. ww. zawiadomienia nastąpiło przez przymocowanie go przez pracownika Urzędu do filaru parkanu przy furtce posesji przy ul. S. w W. oraz do drzwi wejściowych lokalu handlowego przy ul. M. w W. (według wpisu ujawnionego w Centralnej Ewidencji i Informacji o Działalności Gospodarczej RP - miejsce wykonywania działalności przedsiębiorcy działającego pod firmą "[...]" J. S.) poprzez przyklejenie taśmą klejącą tzw. koszulki foliowej zawierającej pismo zakryte kartą ujawniającą jedynie adresatów (Skarżące) i nadawcę (Urząd) oraz tytuł: "zawiadomienie". Po przeprowadzeniu w sprawie postępowania wyjaśniającego Generalny Inspektor Ochrony Danych Osobowych decyzją administracyjną z dnia [...] czerwca 2013 r. (znak:[...]) odmówił uwzględnienia wniosku Skarżących. Decyzja została doręczona Pani U. S. dnia [...] czerwca 2013 r. Dnia [...] lipca 2013 r. wpłynął wniosek Pani U. S. o ponowne rozpatrzenie sprawy. We wniosku podano, że "Wojewoda [...] nie dysponuje uprawnieniem wynikającym z przepisu prawa" - bo Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 5 lutego 2013 r. (sygn. akt I SA/Wa 1370/12) "uchylił podstawę do jakichkolwiek działań ze strony Wojewody [...] w przedmiocie egzekwowania swoich praw poprzez egzekucję w administracji w stosunku do U. S. i J. N. ze względu na fakt, że przedmiot egzekucji nie istnieje. Zarzucono naruszenie: - art. 26 ust. 1 ustawy- art. 36 ustawy oraz - art. 39, art. 42-43 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2013 r. poz. 267). W toku postępowania zainicjowanego ww. wnioskiem o ponowne rozpatrzenie sprawy GIODO zwrócił się o wyjaśnienia do Wojewody [...]. Ww. organ wyjaśnił: "Z uwagi na brak adresata, bądź dorosłego domownika w miejscu zamieszkania tudzież miejscu pracy pracownik tut. Urzędu [[...] Urzędu Wojewódzkiego w W. - przyp. GIODO] pozostawił Skarżącym zawiadomienia z dnia [...] marca 2012 roku przyczepiając je do ogrodzenia domu mieszkalnego przy ul. S. w W. oraz do drzwi budynku handlowego przy ul. M. w W. w dniu [...] marca 2012 roku". Dodano: "Nieumieszczenie zawiadomienia w skrzynce pocztowej znajdującej się na ogrodzeniu nieruchomości położonej przy ul. S. w W. wynikało najprawdopodobniej z faktu niezauważenia jej przez pracownika dostarczającego korespondencję. (...) pracownik doręczający przedmiotowe zawiadomienie został pouczony, w celu uniknięcia występowanie podobnych sytuacji w przyszłości". Po powtórnym rozpatrzeniu zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje. Rozstrzygnięcie zawarte w zaskarżonej decyzji z dnia [...] czerwca 2013 r. (znak:[...]) jest prawidłowe. Argumenty podniesione we wniosku o ponowne rozpatrzenie sprawy nie uzasadniają konieczności zmiany tej decyzji. W uzasadnieniu podkreślił, że postępowanie zostało wszczęte na skutek skargi wniesionej do GIODO przez Panią U. S. oraz reprezentowanej przez nią Panią J. N. na udostępnienie osobom nieupoważnionym treści zawiadomienia z dnia [...] marca 2012 r. skierowanego do Skarżących, podpisanego przez kierownika działu ogólnego [...] Urzędu Wojewódzkiego w W. i zawartych w nim danych osobowych Skarżących, a także na niezabezpieczenie ich przed zabraniem przez osobę nieupoważnioną. Podkreślenia wymaga, że wyłącznie te kwestie rozpoznał Generalny Inspektor w toku niniejszego postępowania. Natomiast organ nie badał podstaw prawnych postępowania, w ramach którego Urząd wystosował ww. zawiadomienie. Zagadnienie to nie stanowiło przedmiotu skargi Skarżących do GIODO, ale podniesione zostało dopiero we wniosku o ponowne rozpatrzenie sprawy rozstrzygniętej ww. decyzją organu. Wskazano, że organ odwoławczy nie może zmieniać rodzaju sprawy, a zatem w postępowaniu odwoławczym może być rozpoznana i rozstrzygnięta wyłącznie tożsama pod względem podmiotowym i przedmiotowym sprawa. Organ odwoławczy nie może również rozszerzać zakresu sprawy". (B.Adamiak, J.Borkowski, "Kodeks postępowania administracyjnego. Komentarz", Wydawnictwo C.H. Beck, 7.wydanie, Warszawa 2005, s. 600). Odnośnie do podniesionego we wniosku o ponowne rozpatrzenie sprawy zarzutu naruszenia przez Wojewodę [...] art. 26 ust. 1 ustawy o ochronie danych osobowych wskazać należy, że według tego przepisu administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były: 1) przetwarzane zgodnie z prawem, 2) zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2, 3) merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane, 4) przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania. Materialne przesłanki dopuszczalności przetwarzania danych osobowych określa art. 23 ust. 1 ustawy. Każda z nich ma charakter autonomiczny i niezależny, co do zasady są one równoprawne, dlatego spełnienie jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W myśl art. 23 ust. 1 pkt 2 ustawy przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. W myśl art. 39 § 1 Kpa organ administracji publicznej doręcza pisma za pokwitowaniem przez operatora pocztowego w rozumieniu ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe (Dz. U. poz. 1529), przez swoich pracowników lub przez inne upoważnione osoby lub organy. W myśl art. 42 Kpa pisma doręcza się osobom fizycznym w ich mieszkaniu lub miejscu pracy (§ 1). Pisma mogą być doręczone również w lokalu organu administracji publicznej, jeżeli przepisy szczególne nie stanowią inaczej (§ 2). W razie niemożności doręczenia pisma w sposób określony w § 1 i 2, a także w razie koniecznej potrzeby, pisma doręcza się w każdym miejscu, gdzie się adresata zastanie (§ 3). W myśl art. 43 Kpa w przypadku nieobecności adresata pismo doręcza się, za pokwitowaniem, dorosłemu domownikowi, sąsiadowi lub dozorcy domu, jeżeli osoby te podjęły się oddania pisma adresatowi. O doręczeniu pisma sąsiadowi lub dozorcy zawiadamia się adresata, umieszczając zawiadomienie w oddawczej skrzynce pocztowej lub, gdy to nie jest możliwe, w drzwiach mieszkania. Zgodnie z art. 44 Kpa w razie niemożności doręczenia pisma w sposób wskazany w art. 42 i 43 zawiadomienie o pozostawieniu pisma wraz z informacją o możliwości jego odbioru w terminie siedmiu dni, licząc od dnia pozostawienia zawiadomienia w miejscu określonym w § 1, umieszcza się w oddawczej skrzynce pocztowej lub, gdy nie jest to możliwe, na drzwiach mieszkania adresata, jego biura lub innego pomieszczenia, w którym adresat wykonuje swoje czynności zawodowe, bądź w widocznym miejscu przy wejściu na posesję adresata (§ 2). W przypadku niepodjęcia przesyłki w terminie, o którym mowa w § 2, pozostawia się powtórne zawiadomienie o możliwości odbioru przesyłki w terminie nie dłuższym niż czternaście dni od daty pierwszego zawiadomienia (§ 3). Doręczenie uważa się za dokonane z upływem ostatniego dnia okresu, o którym mowa w § 1, a pismo pozostawia się w aktach sprawy (§ 4). Powtórzyć należy, że doręczenie stanowi czynność procesową organu administracji publicznej, z którą przepisy Kpa wiążą skutki prawne. Art. 44 Kpa przewiduje doręczenie nazywane zastępczym, stwarzające domniemanie doręczenia, po zaistnieniu dwóch przesłanek, którymi są: niemożność doręczenia pisma w sposób wskazany w art. 42 i 43 Kpa oraz umieszczenie w określonych miejscach zawiadomienia o pozostawieniu pisma wraz z informacją o możliwości jego odbioru. Ponownie stwierdzić należy, że przetwarzanie danych osobowych Skarżących polegające na doręczeniu przez Urząd korespondencji w kwestionowany przez Skarżące sposób wynika wprost z powołanych przepisów Kpa, dlatego przesłankę legalizującą to przetwarzanie stanowi art. 23 ust. 1 pkt 2 ustawy, co pozostaje w zgodzie z konstytucyjnie uregulowaną zasadą legalizmu, stosownie do której organy władzy publicznej, a takim organem niewątpliwie jest Wojewoda [...], działają na podstawie i w granicach prawa. Natomiast Generalny Inspektor nie może badać prawidłowości czynności podejmowanych przez Wojewodę [...] w celu doręczenia Skarżącym pism, tj. czy prawidłowo zastosował art. 44 Kpa, tzn. czy rzeczywiście zaistniała niemożność doręczenia i czy kwestionowane zawiadomienie pozostawiono w prawidłowych miejscach. Podkreślenia wymaga, że organ do spraw ochrony danych osobowych nie może ingerować w tok postępowań prowadzonych na podstawie odrębnych przepisów prawa przez uprawnione na podstawie tych przepisów podmioty ani oceniać zasadności czynności podejmowanych w toku takich postępowań. Odnosząc się do zarzutu dotyczącego naruszenia przez Wojewodę [...] w niniejszej sprawie art. 36 ustawy o ochronie danych osobowych, wskazać należy, że według tego przepisu administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Jak podnosi się w doktrynie: zadania te powinny być realizowane przez zastosowanie odpowiednich, należy przez to rozumieć skutecznych, środków technicznych i organizacyjnych. Ustawodawca nie przesądza, jakie to mają być środki. Mogą być one różnego rodzaju (...). Administrator powinien dzięki nim wyeliminować wystąpienie (...) szkodliwych zdarzeń, a gdy to niemożliwe - maksymalnie ograniczyć ryzyko ich pojawienia się. (...) podejmowane przez administratorów środki (...) można i należy dopasowywać je do konkretnych okoliczności i warunków przetwarzania. (J. Barta, P. Fajgielski, R. Markiewicz, "Ochrona danych osobowych. Komentarz", Wolters Kluwer Polska Sp. z o.o., 5.wydanie, Warszawa 2011, s. 619-620). Powtórzyć należy, że w niniejszej sprawie zawiadomienia zawierające informacje o zaistnieniu niemożności doręczenia pism Wojewody [...] i o miejscu, w którym można je odebrać w terminie 14 dni, zostały zabezpieczone przed zniszczeniem "koszulkami foliowymi", natomiast ich treść nie była widoczna, gdyż została zasłonięta kartą zawierającą jedynie dane nadawcy i adresatów, czyli Skarżących, do których zawiadomienia były skierowane. Postępowanie prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy o ochronie danych osobowych. W myśl tego przepisu w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Ponieważ formułowane przez organ nakazy służą przywróceniu w rozpoznawanej sprawie stanu zgodnego z prawem, dlatego warunkiem wydania rozstrzygnięcia, o którym mowa w ww. przepisie, jest stwierdzenie istnienia stanu naruszenia przepisów o ochronie danych osobowych w dacie wydania decyzji. W rozpatrywanej sprawie Generalny Inspektor nie stwierdził istnienia stanu niezgodności z prawem w dacie wydania zaskarżonej decyzji, dlatego nie było podstaw do wydania przez ten organ w stosunku do Wojewody [...] jakiegokolwiek nakazu na podstawie ww. art. 18 ust. 1. Natomiast jeżeli Skarżące uważają, że w związku z kwestionowanym działaniem Wojewody [...] doszło do popełnienia przestępstwa, mogą wystąpić ze stosownym zawiadomieniem do organów ścigania, które dysponują uprawnieniami śledczymi i szerszymi niż organ ochrony danych osobowych instrumentami prawnymi umożliwiającymi wykazanie, czy podmioty te dopuściły się przestępstwa. Powyższa decyzja stała się przedmiotem skargi wniesionej do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której skarżąca wniosła o: 1. Uchylenie decyzji organu I instancji oraz decyzji organu II instancji. Przekazanie sprawy do ponownego rozpoznania przez Generalnego Inspektora Ochrony Danych Osobowych (organ administracji I instancji), 2. Zwrot kosztów postępowania sądowego. Zaskarżonej decyzji zarzucano: 1. naruszenie przepisów art. 7 i 8 kpa poprzez brak podjęcia przez organ administracji GIODO, wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego, brak ustalenia prawdy obiektywnej oraz załatwienia sprawy ze względu na słuszny interes skarżących, 2. naruszenie art. 136 kpa (Granice postępowania dowodowego), w powiązaniu z art. 22 ustawy, poprzez przyjęcie stanu faktycznego z dnia wydania decyzji organu I instancji, gdy zasadą postępowania odwoławczego jest, rozpoznanie spraw w postępowaniu odwoławczym następuje w oparciu o stan faktyczny i prawny obowiązujący w dniu wydania decyzji przez organ odwoławczy. Organ odwoławczy obowiązany jest uwzględnić zmiany stanu faktycznego, jakie zaszły w sprawie w okresie między wydaniem orzeczenia I instancji, a orzeczeniem II instancji. 3. naruszenie prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie poprzez błędne ustalenia: a. art. 23 ust. 1 pkt. 2 - GIODO ustala, że Wojewoda [...] posiada: uprawnienia do przetwarzania danych osobowych skarżących w zbiorze "Tytuły wykonawcze i dokumentacja związana z egzekucją administracyjną oraz stosowaniem ulg w spłacie należności pieniężnych" w celu prowadzenia niezbędnej korespondencji z skarżącymi - zobowiązanymi do wykonania obowiązku określonego w tytule wykonawczym (zobowiązanie do wydania nieruchomości). W świetle wydanego wyroku Wojewódzkiego Sądu Wojewódzkiego z dnia 5 lutego 2013 r. sygn. akt I SA/Wa 1370/12 wyrok prawomocny od dnia 18.04.2013 r. oraz wyroku WSA z dnia 31.07.2012 r. sygn. akt VII Sa/Wa 851/12. prawomocny w pkt. 1 dnia 25.02.2014 r. wyrok Naczelnego Sądu Administracyjnego sygn. akt II OSK 339/13. Wojewoda [...] nie posiadał uprawnienia do gromadzenia danych osobowych skarżących w zbiorze "Tytuły wykonawcze i dokumentacja związana z egzekucją administracyjną oraz stosowaniem ulg w spłacie należności pieniężnych". b. art. 18 ust. 1 ustawy oraz art. 26 ust. 1, art. 36 ustawy poprzez nie wy danie decyzji administracyjnej zobowiązującej Wojewodę [...] do przywrócenia stanu zgodnego z prawem. c. art. 51, art. 52 ustawy w związku z art. 39. art. 42-43 poprzez brak zajęcia stanowiska w sprawie, przy ewidentnym naruszeniu prawa przez organ Wojewodę [...]. W uzasadnieniu skargi skarżąca podała, że Główny Inspektor Ochrony Danych Osobowych (GIODO) nie zbadał i nie wyjaśnił w sposób dostateczny jaka jest podstawa prawna gromadzenia i przetwarzania danych osobowych dotyczących skarżących U. S. i J. N. przez Wojewodę [...]. GIODO pisze: "W myśl art. 23 ust. 1 pkt. 2 ustawy przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa". Z przepisu art. 23 ust. 1 pkt 2 wynika, że przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Wojewoda [...] takiego prawa nie posiadał, więc jego późniejsze działania związane z doręczeniem korespondencji skarżącym z pominięciem operatora pocztowego były rażącym naruszeniem prawa. Mylne jest twierdzenie GIODO, że skarżące zmieniły zakres skargi, co powoduje, że organ odwoławczy nie może rozstrzygać sprawy w innym zakresie, niż uczynił to organ I instancji. Odnośnie naruszenia art. 51, art. 52 ustawy przez Wojewodę [...], co on sam stwierdza w swoich wyjaśnieniach (udostępnienie dostępu do danych osobowych skarżących osobom nieupoważnionym), wnioskujemy aby GIODO poprzez ponowną analizę stanu faktycznego sprawy zajął stanowisko w sprawie.  Odnośnie powoływanego w skardze art. 19 ustawy, skarżąca wyjaśnia, że zdaje sobie sprawę, iż w razie stwierdzenia naruszenia przepisów ustawy, GIODO sam zdecyduje, czy zdarzenie to wyczerpuje znamiona przestępstwa określonego w ustawie i w związku z tym zgłosi ten fakt do organów ścigania. W odpowiedzi na skargę organ wniósł o jej oddalenie, powołując argumenty jak w uzasadnieniu zaskarżonej decyzji Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym w świetle paragrafu drugiego powołanego wyżej artykułu kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Innymi słowy, wchodzi tutaj w grę kontrola aktów lub czynności z zakresu administracji publicznej dokonywana pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów odnoszących się do słuszności rozstrzygnięcia. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi - Dz. U. z 2012 r., poz. 270). Rozpoznając sprawę w świetle powołanych wyżej kryteriów Sąd stwierdził, iż skarga nie zasługuje na uwzględnienie. Postępowanie w sprawie niniejszej zostało zainicjowane złożoną do Biura Generalnego Inspektora Ochrony Danych Osobowych skargą U. S. na przetwarzanie ich danych osobowych przez "urzędnika [...] Urzędu Wojewódzkiego w W. Skarżąca wskazała, że dnia [...] marca 2012 r. w furtce swojego domu przy ul. S. w W. znalazła zatknięte niezabezpieczone i zabrudzone pismo z dnia [...] marca 2012 r. podpisane przez kierownika działu ogólnego ([...] Urzędu Wojewódzkiego w W.), zaś dnia [...] marca 2012 r. "osoba postronna przyniosła pismo o takiej samej treści jak te znalezione na ulicy S. do punktu handlowego przy ul. M. w W.". W ocenie Skarżących doszło do udostępnienia jej danych. Skarżąca wniosła na podstawie art. 51 i art. 52 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2014 r. poz. 1182), zwanej dalej także ustawą, o wszczęcie przez Generalnego Inspektora postępowania "w celu ukarania osób winnych naruszeń prawa oraz powiadomienie Wojewody [...] w celu wyciągnięcia przez niego konsekwencji służbowych w stosunku do nich". Skarżąca podkreśliła, że art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych nie dawał uprawnień do działania, bo "Wojewoda [...] nie dysponuje uprawnieniem wynikającym z przepisu prawa" ponieważ Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 5 lutego 2013 r. uchylił podstawę do jakichkolwiek działań ze strony Wojewody. Wojewoda [...] bezprawnie użył danych osobowych osób wymienionych w liście zatytułowanym »Zawiadomienie«" - art. 26 ust. 1 ustawy, których dane osobowe zostały ujawnione szerokiemu gronu osób poprzez ich nieprawidłowe zabezpieczenie", - art. 36 ustawy przez "udostępnienie osobom nieupoważnionym danych osobowych skarżącej, spowodowanie zabranie przez osobę nieuprawnioną korespondencji dla niej. W ocenie Sądu na wstępie podkreślić należy, że postępowanie administracyjne zostało wszczęte na skutek skargi wniesionej do GIODO przez Panią U. S. i reprezentowanej przez nią Panią J. N. na udostępnienie osobom nieupoważnionym treści zawiadomienia z dnia [...] marca 2012 r. skierowanego do Skarżących, podpisanego przez kierownika działu ogólnego [...] Urzędu Wojewódzkiego w W. i zawartych w nim danych osobowych Skarżących, a także na niezabezpieczenie ich przed zabraniem przez osobę nieupoważnioną. Wobec tak sformułowanej skargi jak opisano wyżej, wyłącznie te kwestie rozpoznał Generalny Inspektor w toku niniejszego postępowania. Prawidłowo organ nie badał podstaw prawnych postępowania, w ramach którego Urząd wystosował ww. zawiadomienie. Zagadnienie to nie stanowiło przedmiotu skargi Skarżących do GIODO, ale podniesione zostało dopiero we wniosku o ponowne rozpatrzenie sprawy. Wobec tak sformułowanej skargi, która zainicjowała postępowanie nie było podstaw do oceny zasadności zarzutu braku podstawy prawnej do przetwarzania przez Wojewodę [...] danych osobowych Skarżących, bowiem Skarżące nie uczyniły tej kwestii przedmiotem skargi do GIODO, która zainicjowała niniejsze postępowanie administracyjne. Według stanowiska zajmowanego w doktrynie: "Zakres rozstrzygnięcia sprawy administracyjnej decyzją odwoławczą wyznaczony jest zakresem rozstrzygnięcia sprawy decyzją organu I instancji. Organ odwoławczy nie może zmieniać rodzaju sprawy, a zatem w postępowaniu odwoławczym może być rozpoznana i rozstrzygnięta wyłącznie tożsama pod względem Podmiotowym i przedmiotowym sprawa. Organ odwoławczy nie może również rozszerzać zakresu sprawy". (B.Adamiak, J.Borkowski, "Kodeks postępowania administracyjnego. Komentarz", C.H. Beck, 7. wydanie, Warszawa 2005, s. 600). Podniesiony przez skarżącą zarzut naruszenia art. 18 ust. 1 i art. 26 ust. 1, art. 36 ustawy "poprzez nie wydanie decyzji administracyjnej zobowiązującej Wojewodę [...] do przywrócenia stanu zgodnego z prawem nie zasługuje na uwzględnienie, przypomnieć należy, że zgodnie z art. 18 ust. 1 ustawy w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek zainteresowanej, w drodze decyzji administracyjnej nakazuje przywrócenie stanu zgodnie z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobom do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Przypomnieć należy, że formułowane przez organ nakazy służą przywróceniu w rozpoznawanej sprawie stanu zgodnego z prawem, dlatego warunkiem wydania rozstrzygnięcia o którym mowa w ww. przepisie, jest stwierdzenie istnienia stanu naruszenia przepisów o ochronie danych osobowych w dacie wydania decyzji. W myśl art. 26 ust. 1 ustawy administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności obowiązany jest zapewnić, aby dane te były: 1) przetwarzane zgodnie z prawem, 2) zbierane oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodne z tymi celami, z zastrzeżeniem ust. 2, 3) merytorycznie poprawne i adekwatne w stosunku do celów w jakich są przetwarzane, 4) przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania. Przepis ten ustanawia w szczególności zasady legalności i celowości przetwarzania danych osobowych. Materialne przesłanki dopuszczalności przetwarzania danych osobowych określa art. 23 ust. 1 ustawy. W szczególności w myśl art. 23 ust. 1 pkt 2 ustawy przetwarzanie danych jest dopuszczali wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. W myśl art. 39 § 1 Kpa organ administracji publicznej doręcza pisma za pokwitowaniem przez operatora pocztowego w rozumieniu ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe (Dz.U. poz. 1529), przez swoich pracowników lub przez inne upoważnione osoby lub organy. W myśl art. 42 Kpa pisma doręcza się osobom fizycznym w ich mieszkaniu lub miejscu pracy (§ 1). Pisma mogą być doręczone również w lokalu organu administracji publicznej, jeżeli przepisy szczególnej nie stanowią inaczej (§ 2). W razie niemożności doręczenia pisma w sposób określony w § 1 i 2, a także w razie koniecznej potrzeby, pisma doręcza się w każdym miejscu, gdzie się adresata zastanie (§ 3). Stosownie do art. 43 Kpa w przypadku nieobecności adresata pismo doręcza się, za pokwitowaniem, dorosłemu domownikowi, sąsiadowi lub dozorcy domu, jeżeli osoby te podjęły się oddania pisma adresatowi. O doręczeniu pisma sąsiadowi lub dozorcy zawiadamia się adresata, umieszczając zawiadomienie w oddawczej skrzynce pocztowej lub gdy to nie jest możliwe, w drzwiach mieszkania. Zgodnie z art. 44 Kpa w razie niemożności doręczenia pisma w sposób wskazany w art. 42 i 43 zawiadomienie o pozostawieniu pisma wraz z informacją o możliwości jego odbioru w terminie siedmiu dni licząc od dnia pozostawienia zawiadomienia w miejscu określonym w § 1 umieszcza się w oddawczej skrzynce pocztowej lub, gdy nie jest to możliwe, na drzwiach mieszkania adresata, jego biura lub innego pomieszczenia, w którym adresat wykonuje swoje czynności zawodowe, bądź w widocznym miejscu przy wejściu na posesję adresata (§ 2). W przypadku niepodjęcia przesyłki w terminie, o którym mowa w § 2. pozostawia się powtórne zawiadomienie o możliwości odbioru przesyłki w terminie nie dłuższym niż czternaście dni od daty pierwszego zawiadomienia (§ 3). Doręczenie uważa się za dokonane z upływem ostatniego dnia okresu, o którym mowa w § 1. Powtórzyć należy, że doręczenie stanowi czynność procesową organu administracji publicznej, z którą przepisy Kpa wiążą skutki prawne. Art. 44 Kpa przewiduje doręczenie zwane zastępczym, stwarzające domniemanie doręczenia, po zaistnieniu dwóch przesłanek, którymi są: niemożność doręczenia pisma w sposób wskazany w art. 42 i 43 Kpa oraz umieszczenie w określonych miejscach zawiadomienia o pozostawieniu pisma wraz z informacją o możliwości jego odbioru. Generalny Inspektor prawidłowo stwierdził w zaskarżonej decyzji, że przetwarzanie danych osobowych Skarżących polegające na doręczeniu przez Urząd korespondencji w kwestionowane przez Skarżące sposób wynika wprost z ww. przepisów Kpa. dlatego to przetwarzanie legalizuje przesłanka określona w art. 23 ust. 1 pkt 2 ustawy, co jest zgodne z konstytucyjnie uregulowaną zasadą legalizmu, według której organy władzy publicznej, a takim organem niewątpliwie jest Wojewoda [...], działają na podstawie i w granicach prawa. GIODO w niniejszym postępowaniu nie jest uprawniony do badania prawidłowości czynności podejmowanych przez Wojewodę [...] w celu doręczenia Skarżącym pism, tj. czy prawidłowo zastosował art. 44 Kpa, tzn. czy rzeczywiście zaistniała niemożność doręczenia oraz czy kwestionowane zawiadomienie pozostawiono w prawidłowych miejscach. Podkreślenia wymaga, że organ do spraw ochrony danych osobowych nic może ingerować w toku postępowań prowadzonych na podstawie odrębnych przepisów prawa przez uprawnione na podstawie tych przepisów podmioty ani oceniać zasadności czynności podejmowanych w toku takich postępowań. Na uzasadnienie tego stanowiska powołać można stanowisko Naczelnego Sądu Administracyjnego zawarte w uzasadnieniu wyroku z dnia 2 marca 2001 r. (sygn. akt II SA 401/00) uznał: "(...) Generalny Inspektor nie jest organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, służb, czy sądów, których orzeczenia podlegają ocenom w toku instancji, czy w inny sposób określony odpowiednimi procedurami". Ponadto NSA w wyroku z dnia 26 lutego 2009 r. (sygn. akt I OSK 544/2008) stwierdził: "Generalny Inspektor Ochrony Danych Osobowych nie może kontrolować postępowań prowadzonych przez inne organy". Wobec powyższego niezasadny jest zarzut podniesiony w skardze, że "GIODO nie zbadał, czy były podjęte jakiekolwiek próby doręczenia korespondencji urzędowej skarżącym, które skończyły się niepowodzeniem i występowała bezwzględna konieczność zastosowania doręczenia zastępczego". Odnosząc się do zarzutu dotyczącego naruszenia przez Wojewodę [...] w niniejszej sprawie art. 36 ustawy o ochronie danych osobowych, wskazać należy, że według tego przepisu administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Według doktryny: "Zadania te powinny być realizowane przez zastosowanie odpowiednich, należy przez to rozumieć skutecznych, środków technicznych i organizacyjnych. Ustawodawca nie przesądza, jakie to mają być środki. Mogą być one różnego rodzaju (...). Administrator powinien dzięki nim wyeliminować wystąpienie (...) szkodliwych zdarzeń, a gdy to niemożliwe - maksymalnie ograniczyć ryzyko ich pojawienia się. (...) podejmowane przez administratorów środki (...) można i należy dopasowywać je do konkretnych okoliczności i warunków przetwarzania. (J. Barta, P. Fajgielski, R. Markiewicz, "Ochrona danych osobowych. Komentarz", Wolters Kluwer Polska Sp. z o.o., 5.wydanie, Warszawa 2011, s. 619-620). Powtórzyć należy, że w niniejszej sprawie zawiadomienia zawierające informacje o zaistnieniu niemożności doręczenia pism Wojewody [...] i o miejscu, w którym można je odebrać w terminie 14 dni, zostały zabezpieczone przed zniszczeniem "koszulkami foliowymi", natomiast ich treść nie była widoczna, gdyż została zasłonięta kartą zawierającą jedynie dane nadawcy i adresatów, czyli Skarżących, do których zawiadomienia były skierowane. Odnosząc się do zarzutu naruszenia w zaskarżonej decyzji art. 51 i art. 52 ustawy o ochronie danych osobowych "poprzez brak zajęcia stanowiska w sprawie, przy ewidentnym naruszeniu prawa przez organ Wojewody [...]", powtórzyć należy, że w rozpatrywanej sprawie Generalny Inspektor nie stwierdził istnienia stanu niezgodności z prawem w dacie wydania zaskarżonej decyzji, w tym naruszenia ww. przepisów ustawy przez Wojewodę [...]. Z uwagi na powyższe nie było podstaw do zastosowania w sprawie art. 19 ustawy, który stanowi, że w razie stwierdzenia, że działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem danych wyczerpuje znamiona przestępstwa określonego w ustawie, Generalny Inspektor kieruje do organu powołanego do ścigania przestępstw zawiadomienie o popełnieniu przestępstwa, dołączając dowody dokumentujące podejrzenie. Zdecydowanie podkreślić należy, że ww. ustawa nie uprawnia GIODO do kończenia prowadzonego postępowania poprzez skierowanie w formie decyzji administracyjnej zawiadomienia do organów ścigania o popełnieniu przestępstwa. Stanowisko to potwierdza orzecznictwo sądowoadministracyjne (wyrok NSA z dnia 19 listopada 2001 r., sygn. akt II SA 2702/00; wyrok WSA w Warszawie z dnia 13 listopada 2009 r., sygn. II SA/Wa 612/2009). Również przypomnieć należy, że Generalny Inspektor Ochrony Danych Osobowych nie jest uprawniony, do rozpoznania sprawy w postępowaniu administracyjnym na podstawie art. 51 uodo, który reguluje odpowiedzialność karną za czyn określony w tym przepisie prawa. W ocenie Sądu podkreślić należy, że na drodze decyzji administracyjnej Generalny Inspektor Ochrony Danych Osobowych może stosować nakazy w razie naruszenia obowiązków zabezpieczenia zbioru danych. Natomiast jeżeli Skarżące uważają, że w związku z kwestionowanym działaniem Wojewody [...] doszło do popełnienia przestępstwa, mogą złożyć stosowne zawiadomienie do organów ścigania, które dysponują uprawnieniami śledczymi i szerszymi niż GIODO instrumentami prawnymi umożliwiającymi wykazanie, czy Wojewoda dopuścił się przestępstwa. Mając powyższe na uwadze na powyższe na uwadze na podstawie art. 151 ppsa Wojewódzki Sąd Administracyjny w Warszawie orzekł jak w sentencji.