II SA/Wa 1476/12

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj (sprawozdawca), Sędziowie WSA Adam Lipiński, Eugeniusz Wasilewski, Protokolant, referent stażysta Katarzyna Skurzyńska, po rozpoznaniu na rozprawie w dniu 9 stycznia 2013 r. sprawy ze skargi N. S.A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2012 r. nr [...] w przedmiocie umorzenia postępowania prowadzonego w związku ze zgłoszeniem zmian w zbiorze danych o nazwie "Rejestr Osób Uposażonych [...]" oraz w związku z wnioskiem o wydanie decyzji w sprawie ww. zgłoszenia – oddala skargę – Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] maja 2012 r. nr [...], na podstawie art. 138 § 1 pkt 1 oraz art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. nr 98, poz. 1071 ze zm.) - dalej: K.p.a., oraz art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2002 r. nr 101, poz. 926 ze zm.), utrzymał w mocy własną decyzję z dnia [...] marca 2012 r. nr [...] umarzającą w całości postępowanie prowadzone w związku ze zgłoszeniem zmian w zbiorze danych o nazwie "REJESTR OSÓB UPOSAŻONYCH [...]" z dnia [...] września 2011 r. oraz w związku z wnioskiem z dnia [...] stycznia 2012 r. o wydanie decyzji w sprawie ww. zgłoszenia, złożonych przez [...] Powszechne Towarzystwo Emerytalne S.A. z siedzibą w W. W uzasadnieniu powyższej decyzji Generalny Inspektor Ochrony Danych Osobowych wskazał, że w postępowaniu zakończonym decyzją umarzają z dnia [...] marca 2012 r. ustalił, iż wnioskodawca nie jest administratorem danych osobowych przetwarzanych w przedmiotowym zbiorze. Na Towarzystwie nie ciążył więc obowiązek zgłaszania zmian w zbiorze, a Generalny Inspektor Ochrony Danych Osobowych nie miał podstawy prawnej do wpisania tych zmian w rejestrze ani do wydania decyzji rozstrzygającej sprawę co do istoty. We wniosku o ponowne rozpatrzenie sprawy, zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2012 r. [...] Powszechne Towarzystwo Emerytalne S.A. z siedzibą w W. (dalej jako Towarzystwo), podtrzymało swoje stanowisko prezentowane w sprawie, podkreślając, iż przymiot nie tylko faktycznej, ale i prawnej niezależności administratora danych przysługuje w istocie Towarzystwu, a nie [...] Otwartemu Funduszowi Emerytalnemu z siedzibą w W. (dalej jako Fundusz). Skoro Towarzystwu przysługiwał status strony w przedmiotowym postępowaniu, to brak było podstaw do umorzenia postępowania w sprawie na podstawie art. 105 § 1 K.p.a. Strona odwołująca się wskazała na nierówne traktowanie przez organ poszczególnych podmiotów, co skutkuje uniemożliwieniem Towarzystwu kierowania do członków Funduszu oferty marketingowej swoich produktów, podczas gdy inne towarzystwa emerytalne mają taką możliwość. Generalny Inspektor Ochrony Danych Osobowych po ponownym rozpatrzeniu sprawy nie znalazł podstaw do uwzględnia wniosku o ponowne rozpatrzenie sprawy i rozstrzygnięciem z dnia [...] maja 2012 r. utrzymał zaskarżoną decyzję w mocy. W motywach rozstrzygnięcia organ wskazał, iż w przedmiotowej sprawie fundamentalne znaczenie ma kwestia, komu przysługuje status administratora danych osobowych przetwarzanych w zbiorze danych o nazwie "REJESTR OSÓB UPOSAŻONYCH [...]" - Towarzystwu czy Funduszowi. Stosownie bowiem do treści art. 41 ust. 2 ustawy o ochronie danych osobowych, obowiązek zgłoszenia zmian dokonanych w zbiorze danych osobowych ciąży na administratorze danych. Zgodnie zaś z art. 7 pkt 4 ww. ustawy przez administratora danych rozumie się "organ, jednostkę organizacyjną, podmiot lub osobę (...) decydujące o celach i środkach przetwarzania danych osobowych". Organ podkreślił, iż w świetle przepisów ustawy o organizacji i funkcjonowaniu funduszy emerytalnych fundusz emerytalny jest osobą prawną, a przedmiotem jego działalności jest gromadzenie środków pieniężnych, ich lokowanie, z przeznaczeniem na wypłatę członkom funduszu po osiągnięciu przez nich wieku emerytalnego i wypłata okresowych emerytur kapitałowych – art. 2 ust. 1 i 2 ustawy o organizacji i funkcjonowaniu funduszy emerytalnych. Z kolei zgodnie z art. 3 ust. 1 i 2 ww. ustawy towarzystwo emerytalne jest organem funduszu i jako organ zarządza nim i reprezentuje w stosunkach z osobami trzecimi. Jak stanowi art. 20 powołanej ustawy, z chwilą wpisania do właściwego rejestru fundusz nabywa osobowość prawną, zaś towarzystwo staje się organem funduszu. W świetle ww. przepisów, towarzystwo emerytalne, podejmując działania w zakresie zarządzania funduszem i reprezentując go na zewnątrz, działa jako jego organ w imieniu i na rzecz funduszu. W świetle powyższego nie sposób uznać za prawidłową argumentacji przedstawionej przez wnioskodawcę w toku postępowania, na poparcie tezy, że status administratora danych osobowych osób, na rzecz których ma nastąpić wypłata środków niewykorzystanych po śmierci członka otwartego funduszu emerytalnego przetwarzanych w przedmiotowym zbiorze przysługuje Towarzystwu. Prowadzi ono bowiem do stwierdzenia, że fundusz emerytalny nie może być administratorem jakichkolwiek danych osobowych. Stwierdzenie takie pozostaje zaś w oczywistej sprzeczności ze stanowiskiem, jakie zajął Wojewódzki Sąd Administracyjny w wyroku z dnia 28 maja 2009 r. w sprawie o sygnaturze akt II SA/Wa 234/09, czy głosami przedstawicieli doktryny. Komentatorzy wprost wskazują wśród podmiotów prywatnych, którym może przysługiwać status administratora danych fundusz emerytalny, podkreślając jednocześnie, że "(...) to właśnie te podmioty posiadają status administratora danych, natomiast administratorami nie są osoba lub osoby pełniące funkcje kierownicze (dyrektor, prezes, zarząd itd.) (...)" (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Warszawa 2011, str. 374-375). Ponadto we wniosku o ponowne rozpatrzenie sprawy wnioskodawca wskazał, iż zmiana podejścia w kwestii administratora danych, tj. uznanie, że administratorem wszystkich danych przetwarzanych przez Fundusz jest Towarzystwo, jest wynikiem wnikliwej analizy poglądów doktryny. Z treści pisma skierowanego do Generalnego Inspektora Ochrony Danych Osobowych w dniu [...] września 2011 r. wynika, iż analiza ta ukierunkowana jest dążeniem Towarzystwa do wykazania istnienia podstawy prawnej umożliwiającej mu kierowanie do członków Funduszu marketingu bezpośredniego produktów własnych Towarzystwa. Jeżeliby bowiem uznać, iż to Towarzystwo jest administratorem danych uczestników Funduszu to wówczas mogłoby ono, pomimo nieposiadania zgody tych osób na przetwarzanie ich danych w celach marketingowych, kierować do nich swój marketing na podstawie art. 23 ust. 1 pkt 5 ustawy. Generalny Inspektor Ochrony Danych Osobowych nie zgodził się z argumentem przedstawionym we wniosku o ponowne rozpatrzenie sprawy, zgodnie z którym, jeżeli nawet adresatem decyzji będzie Fundusz, to cały ciężar, w tym finansowy, jej urzeczywistnienia poniesiony zostanie przez Towarzystwo. Odnosząc się do podniesionego przez wnioskodawcę zarzutu nierównego traktowania podmiotów organ podkreślił, iż każde zgłoszenie zbioru danych do rejestracji rozpatrywane jest w indywidualnym postępowaniu rejestracyjnym w oparciu o zebrany w jego toku materiał dowodowy. W niektórych przypadkach za administratora danych osobowych przetwarzanych w związku z członkowstwem w funduszu emerytalnym, np. członków funduszu uznane może być towarzystwo emerytalne. Status ten może przysługiwać towarzystwu działającemu we własnym imieniu i na własny rachunek np. w zakresie w jakim przetwarza dane tych osób dla własnych celów marketingowych, gdy osoba, której dane dotyczą wyrazi na to zgodę. Towarzystwo może być również administratorem danych potencjalnych klientów. Tego typu zbiory danych, służące celom marketingowym, wpisane są do prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych rejestru zbiorów danych osobowych. W takich właśnie przypadkach, jako administrator danych oznaczone jest towarzystwo emerytalne. Organ podniósł, że w przypadku przedmiotowego zbioru danych, jak również w przypadku zbiorów danych o nazwach: "Rejestr członków [...]" oraz "Rejestr stosunków majątkowych współmałżonków/ek członków [...]" nie powinno budzić wątpliwości, że status administratora danych osobowych w nich przetwarzanych przysługuje Funduszowi. Generalny Inspektor Ochrony Danych Osobowych podniósł, iż zgodnie z art. 41 ust. 4 ustawy o ochronie danych osobowych do zgłaszania zmian stosuje się odpowiednio przepisy o rejestracji zbiorów danych. Sam wpis do rejestru ma charakter czynności materialno-technicznej, a Generalny Inspektor Ochrony Danych Osobowych nie wydaje decyzji administracyjnej w przedmiocie wpisania zmiany w zbiorze, gdyż w obowiązującym stanie prawnym brak jest przepisu prawa materialnego przewidującego taką formę załatwienia sprawy w tym zakresie. Natomiast forma decyzji administracyjnej została przewidziana przez ustawodawcę jedynie w przypadku spełnienia jednej z przesłanek, o których mowa w art. 44 ust. 1 w zw. z art. 41 ust. 4 powołanej ustawy – jest to decyzja odmawiająca rejestracji zmian w zbiorze danych. Adresatem ww. decyzji może być wyłącznie podmiot zobowiązany do zgłoszenia Generalnemu Inspektorowi Ochrony Danych Osobowych zmiany w zbiorze, tj. administrator danych osobowych. W świetle przedstawionego stanu prawnego, orzecznictwa oraz powołanych poglądów doktryny, organ stwierdził, iż brak jest podstawy prawnej do wydania w niniejszej sprawie decyzji administracyjnej załatwiającej sprawę przez rozstrzygnięcie jej co do istoty w zakresie żądania wnioskodawcy, co z kolei obligowało Generalnego Inspektora Ochrony Danych Osobowych do wydania na podstawie art. 105 § 1 K.p.a. decyzji o umorzeniu postępowania w całości. Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2012 r. stała się przedmiotem skargi wniesionej przez pełnomocnika Towarzystwa do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżonej decyzji strona skarżąca zarzuciła: 1) naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 7 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, poprzez błędne przyjęcie, iż administratorem danych osobowych przetwarzanych w zbiorze danych osobowych o nazwie "REJESTR OSÓB UPOSAŻONYCH [...]" jest Fundusz a nie skarżące Towarzystwo, 2) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 8, art. 11, art. 107 § 1 K.p.a.: a) odmienne rozstrzygnięcie w zakresie czterech zbiorów danych osobowych, w stosunku do których został uwzględniony wniosek Towarzystwa w sprawie aktualizacji danych rejestrowych poprzez wpisanie do rejestru prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych strony skarżącej jako administratora danych osobowych przy jednoczesnym odmiennym rozstrzygnięciu w stosunku do pozostałych trzech zbiorów danych osobowych, w stosunku do których wniosek Towarzystwa nie został uwzględniony, mimo iż w przypadku wszystkich siedmiu zbiorów danych osobowych istniał ten sam stan faktyczny i prawny, co narusza zasadę pogłębiania zaufania uczestników postępowania do władzy publicznej, wyrażoną w art. 8 K.p.a., b) brak wyjaśnienia powodów odmiennego rozstrzygnięcia, o którym mowa w pkt a) powyżej, w uzasadnieniu decyzji umarzającej postępowanie, jak również utrzymującej w mocy tę decyzję, co narusza zasadę wyjaśniania zasadności przesłanek, którymi kieruje się organ przy rozstrzyganiu sprawy, wyrażoną w art. 11 K.p.a. oraz obowiązek uzasadnienia faktycznego i prawnego decyzji administracyjnej, wyrażony w art. 107 § 1 K.p.a., 3) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 28 K.p.a. poprzez uznanie, iż skarżącemu Towarzystwu nie przysługuje status strony, a co za tym idzie naruszenie 105 § 1 K.p.a. przez jego nieuprawnione zastosowanie w niniejszej sprawie, będące konsekwencją uznania, iż skarżącemu nie przysługuje status strony, 4) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 15 K.p.a. poprzez nieodniesienie się przez organ do wszystkich zarzutów podniesionych we wniosku o ponowne rozpoznanie sprawy, wynikające z braku przeprowadzenia ponownej analizy i rozstrzygnięcia w rozpoznawanej sprawie, co prowadzi do naruszenia zasady dwuinstancyjności postępowania administracyjnego wyrażonej w art. 15 K.p.a. W związku w powyższym strona skarżąca wniosła o uchylenie zaskarżonej decyzji w całości oraz zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. W uzasadnieniu skargi podniesiono m.in., że w przypadku wniosków dotyczących zbiorów danych osobowych: a) Rejestr pełnomocników członków [...], b) Rejestr świadczeniobiorców, c) Rejestr korespondencji, d) Potencjalni klienci, Generalny Inspektor Ochrony Danych Osobowych uznał, iż zgłoszenie zostało dokonane przez Towarzystwo jako uprawniony podmiot, przyznał mu status administratora (a co za tym idzie strony) i dokonał wpisu zmian, zgodnie z wnioskami aktualizacyjnymi. Natomiast w odniesieniu do trzech zbiorów danych osobowych, w tym zbioru objętego skarżoną niniejszą skargą decyzją, organ wskazał, iż w sprawie brak adresata decyzji, a postępowanie stało się bezprzedmiotowe i podlega umorzeniu na podstawie art. 105 § 1 K.p.a. Generalny Inspektor Ochrony Danych Osobowych dokonał jednak merytorycznego rozstrzygnięcia sprawy co do istoty, uznał bowiem, że administratorem danych osobowych jest Fundusz, nie zaś skarżące Towarzystwo i z tego względu w sprawie brak adresata decyzji. Zdaniem strony skarżącej Towarzystwu przysługuje przymiot administratora danych osobowych. Towarzystwo zakwestionowało również ocenę organu, iż skarżącemu nie przysługiwał status strony. Skoro bowiem wpis do rejestru ma charakter deklaratoryjny, to w momencie dokonania zgłoszenia zmian (co potwierdziła praktyka organu w odniesieniu do niektórych wniosków składanych przez skarżącą spółkę), Skarżącemu przysługiwał status administratora danych osobowych. Gdyby nawet uznać, iż nie przysługiwał mu status administratora danych osobowych, to z całą pewnością mógł występować jako strona (art. 28 K.p.a.) w niniejszej sprawie. Postępowanie wywołane wnioskiem skarżącego o wpis zmian do rejestru z dnia [...] września 2011 r. dotyczyło bowiem interesu prawnego lub obowiązku skarżącego, zaś podstawę materialnoprawną w tym zakresie stanowią przepisy ustawy o dostępie do informacji publicznej. Ponadto wydając decyzję o umorzeniu postępowania, z uwagi na brak podstawy prawnej, organ naruszył przepisy K.p.a., w szczególności art. 8 i 10 K.p.a. w zw. z art. 73 K.p.a. Odmawiając zaś Towarzystwu statusu strony, organ naruszył art. 28 K.p.a., a w konsekwencji i art. 105 § 1 K.p.a. Także wobec uznania przez organ, że przymiot administratora danych osobowych przysługuje Funduszowi, Generalny Inspektor Ochrony Danych Osobowych powinien był zawiadomić ten Fundusz o toczącym się postępowaniu i umożliwić Funduszowi czynny udział w sprawie. Naruszenie zaś zasady udziału strony w postępowaniu jest przesłanką wznowienia postępowania, uzasadniającą uchylenie decyzji przez sąd administracyjny, bez względu na to czy miało ono, czy też nie miało, wpływu na wynik sprawy. Skarżące Towarzystwo w szczególności podniosło, iż podkreślany w uzasadnieniu skarżonej decyzji przymiot nie tylko faktycznej, ale i prawnej niezależności administratora danych osobowych przysługuje w istocie Towarzystwu, a nie [...], który w ramach swoich kompetencji do zarządzania i reprezentowania tego Funduszu, samodzielnie podejmuje decyzje o celach i środkach przetwarzania danych osobowych w przedmiotowym zbiorze. Nie zmienia powyższego fakt, iż Towarzystwo, podejmując decyzje, działa w imieniu i na rzecz Funduszu. Dokonując odmiennej oceny w tym zakresie, organ dopuścił się naruszenia art. 7 pkt 4 ustawy o ochronie danych osobowych, co miało niewątpliwie wpływ na wynik sprawy. Towarzystwo nie kwestionuje, iż zgodnie z ustawą z dnia 28 sierpnia 1997 r. o organizacji i funkcjonowaniu funduszy emerytalnych, stroną umowy o członkostwo w funduszu emerytalnym jest fundusz emerytalny, niemniej jednak powszechne towarzystwo emerytalne przetwarza dane osobowe członków funduszu emerytalnego na podstawie tej właśnie umowy oraz w ramach zarządzania funduszem emerytalnym, nie zaś na mocy powierzenia przetwarzania danych osobowych przez fundusz emerytalny, ale właśnie działając za ten fundusz. Fundusz emerytalny jako taki nie dokonuje samodzielnie czynności przetwarzania danych, wszystkie czynności faktyczne i prawne wykonywane są przez powszechne towarzystwo emerytalne. Zgodnie z orzecznictwem, administratorem danych osobowych nie jest każdy dysponent tych danych, a tylko ten, kto decyduje o celach i środkach ich przetwarzania (Wyrok NSA z 30 stycznia 2002 r. sygn. akt II SA 1098/01). Zatem przymiot podejmowania niezależnych decyzji przysługuje właśnie powszechnemu towarzystwu. Fundusz emerytalny, choć posiadający osobowość prawną z mocy ustawy, stanowi jedynie zbiór aktywów, kaleką osobę prawną, której osobowość prawną ustawodawca nadał w sposób instrumentalny nie w celu wykreowania nowego podmiotu prawnego, lecz wyodrębnienia podmiotowej masy majątkowej, celem zabezpieczenia jej nienaruszalności, nie posiada natomiast własnej struktury, narzędzi, środków, które pozwalałyby na "samodzielne" prowadzenie działalności. Ponadto zgodnie z art. 51 ust. 1 ww. ustawy, powszechne towarzystwo emerytalne przechowuje i archiwizuje dokumenty i inne nośniki informacji funduszu emerytalnego, którym zarządza. A zatem powszechne towarzystwo emerytalne (w tym i skarżący) przetwarza dane osobowe związane z członkostwem w funduszu emerytalnym, znajdujące się w wyżej powołanych dokumentach lub nośnikach informacji w ramach zarządzania funduszem emerytalnym oraz wypełniając obowiązki wynikające z przepisów dotyczących OFE (a zatem jako administrator danych osobowych), nie zaś na mocy powierzenia przetwarzania danych osobowych przez fundusz emerytalny. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie oraz podtrzymał argumentację przedstawioną w uzasadnieniu zaskarżonej decyzji, a także przedstawił wywody świadczące o niezasadności zarzutów skargi. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Innymi słowy, sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga analizowana pod tym kątem nie zasługuje na uwzględnienie. W niniejszej sprawie Generalny Inspektor Ochrony Danych Osobowych, na podstawie art. 105 § 1 K.p.a., umorzył postępowanie w przedmiocie zgłoszenia, złożonego przez [...] Powszechne Towarzystwo Emerytalne S.A. z siedzibą w W., zmian w zbiorze danych o nazwie "REJESTR OSÓB UPOSAŻONYCH [...]", przyjmując iż wniosek nie pochodzi od administratora danych osobowych. W świetle powyższego istota sprawy w niniejszym postępowaniu sprowadzała się do ustalenia tego, któremu z podmiotów grupy kapitałowej [...], działających na podstawie przepisów ustawy z dnia 28 sierpnia 1997 r. o organizacji i funkcjonowaniu funduszy emerytalnych (Dz. U. nr 139, poz. 934 ze zm.), przysługuje status administratora danych w rozumieniu art. 7 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2002 r. nr 101, poz. 926 ze zm.) w zakresie prowadzenia zbioru danych osobowych – rejestr osób uposażonych [...]. W świetle postanowień ustawy o ochronie danych osobowych podmiotem, na którego przepisy prawa materialnego nakładają szereg obowiązków z zakresu przetwarzania danych osobowych, jest administrator danych osobowych (przykładowo art. 24, 26, 27 ww. ustawy). To na administratorze danych, zgodnie z art. 40 i art. 41 ust. 2 tej ustawy ciąży obowiązek zgłoszenia organowi Ochrony Danych Osobowych zbioru danych, a także dokonywanych w tym zbiorze zmian. Na podstawie art. 7 pkt 4 powołanej ustawy, za administratora danych należy uznać organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3 (w tym osobę prawną przetwarzającą dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych), decydujące o celach i środkach przetwarzania danych osobowych. Badając problematykę administrowania danymi osobowymi w realiach niniejszej sprawy należało odnieść się do zapisów ustawy z dnia 28 sierpnia 1997 r. o organizacji i funkcjonowaniu funduszy emerytalnych (t. j. Dz. U. z 2010 r. nr 34, poz. 189). Zgodnie z postanowieniami art. 2 ust. 1 i 2 ww. ustawy, Fundusz (OFE) jest osobą prawną, której przedmiotem działalności jest gromadzenie środków pieniężnych i ich lokowanie, z przeznaczeniem na wypłatę członkom funduszu po osiągnięciu przez nich wieku emerytalnego. Natomiast w świetle art. 3 ust. 1-3 powołanej ustawy, organem funduszu jest towarzystwo emerytalne. Towarzystwo tworzy fundusz oraz, jako jego organ, zarządza nim i reprezentuje w stosunkach z osobami trzecimi. Towarzystwo reprezentuje fundusz w sposób określony dla reprezentacji towarzystwa w jego statucie. Fundusz posiada osobowość prawną, o czym stanowi art. 20 ust. 1 i 2 tej ustawy - Fundusz nabywa osobowość prawną z chwilą wpisania do rejestru funduszy i z tą chwilą towarzystwo (jako podmiot tworzący fundusz) staje się organem funduszu. Zatem Towarzystwo wykonuje czynności prawne i faktyczne wynikające z zarządzania Funduszem i jego reprezentacji, na zasadach określonych w statucie. Jednakże to Fundusz jest osobą prawną, która realizuje założenia statutowe zgodnie z przedmiotem działalności określonym w statucie. Ustawa o organizacji i funkcjonowaniu funduszy emerytalnych zastrzegła w art. 19 ust. 1 i 2, że do dnia wpisania funduszu do rejestru funduszy, towarzystwo dokonuje czynności prawnych, mających na celu utworzenie funduszu, we własnym imieniu i na własny rachunek, zaś z chwilą wpisania funduszu do rejestru funduszy, fundusz wstępuje w prawa i obowiązki towarzystwa z tytułu umowy z depozytariuszem. Skoro zatem Fundusz posiada osobowość prawną, to jest podmiotem praw i obowiązków, któremu przysługują wszelkie atrybuty procesowe w postępowaniu administracyjnym. W tym jest administratorem danych członków przystępujących do OFE i to na Funduszu spoczywa obowiązek wywiązywania się z obowiązków administratora danych nałożonych ustawą o ochronie danych osobowych. W znaczeniu prawnym Towarzystwo jest jedynie wyrazicielem woli Funduszu. Przez to nie przejmuje jego uprawnień i obowiązków lecz, jako organ Funduszu, uzewnętrznia jego wolę i reprezentuje go w stosunkach prawnych, których stroną jest Fundusz, jako osoba prawna (art. 27 ust. 1 – towarzystwo prowadzi działalność wyłącznie w formie spółki akcyjnej). Brak własnych organów zarządzających, co wynika ze specyfiki prawnej funkcjonowania Otwartych Funduszy Emerytalnych, nie uprawnia podmiotu założycielskiego – Towarzystwa – do przejmowania uprawnień Funduszu w postępowaniach administracyjnych (podobnie WSA w Warszawie w wyroku z dnia 28 maja 2009 r. sygn. akt II SA/Wa 234/09). Nie bez przyczyny zatem ustawodawca w art. 89 ust. 1 powołanej ustawy wprost nakazuje funduszowi prowadzenie rejestru członków funduszu, zawierającego podstawowe dane osobowe członków, dane o wpłatach składek do funduszu i otrzymanych wypłatach transferowych oraz przeliczeniach tych składek i wypłat transferowych na jednostki rozrachunkowe, dane o aktualnym stanie środków na rachunkach, a w pracowniczych funduszach – także dane o aktualnym stanie akcji na rachunkach ilościowych. Problematyką właściwości administratora danych osobowych w ramach przystąpienia do OFE zajmował się już Naczelny Sad Administracyjny, który w wyroku z dnia 31 stycznia 2012 r. sygn. akt I OSK 1317/11 (przywołane wyroki znajdują się na stronie https://cbois.nsa.gov.pl) stwierdził, iż cyt.: "Według art. 7 pkt 4 tej ustawy, przez administratora danych rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, o której mowa w art. 3, decydującą o celach i środkach przetwarzania danych osobowych. Administratorem danych osobowych jest więc jedynie taki dysponent danych, który decyduje o celach i środkach ich przetwarzania. Powołany przepis w swej treści posługuje się pojęciem "przetwarzania danych osobowych", a zatem konieczne jest także odwołanie się do ustawowej definicji tego pojęcia, gdyż "cele" i "środki" należy zawsze odnosić do procesu przetwarzania danych osobowych. Stosownie do art. 7 pkt 2 tej ustawy przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Należy podkreślić, że ustawa używa pojęcia "przetwarzanie danych osobowych", a zatem posługuje się określeniem wskazującym na dokonywanie (tu i teraz) czynności czy operacji na danych osobowych. Z samej treści "Deklaracji przystąpienia do [...] Otwartego Funduszu Emerytalnego" wynika wprost, że [...] Otwarty Fundusz Emerytalny jest podmiotem decydującym o celach i środkach ich przetwarzania". Mając powyższe rozważania na uwadze, należy stwierdzić, że Generalny Inspektor Ochrony Danych Osobowych w toku powadzonego postępowania prawidłowo uznał, iż to właśnie [...] Otwarty Fundusz Emerytalny jest w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych administratorem danych osobowych zbioru danych członków tego Funduszu i to ten właśnie podmiot, jako osoba prawna, jest jedynie uprawniony do dokonywania zmian w rejestrze osób uposażonych [....], w szczególności, iż zmiana dotyczy administratora tego zbioru. Na uwzględnienie nie zasługują również zarzuty skargi dotyczące naruszenia przez Generalnego Inspektora Ochrony Danych Osobowych przepisów procesowych. Zwrócić należy uwagę, iż przepisy ustawy o ochronie danych osobowych zawierają normy prawne o charakterze procesowym, które w sposób odmienny niż K.p.a. regulują kwestię wydania decyzji administracyjnej. Mianowicie art. 44 ust. 1 ww. ustawy stanowi, iż Generalny Inspektor wydaje decyzję o odmowie rejestracji zbioru danych (a poprzez art. 41 ust. 2 i 4 tej ustawy o odmowie zmiany), jeżeli: 1) nie zostały spełnione wymogi określone w art. 41 ust. 1, 2) przetwarzanie danych naruszałoby zasady określone w art. 23-28, 3) urządzenia i systemy informatyczne służące do przetwarzania zbioru danych zgłoszonego do rejestracji nie spełniają podstawowych warunków technicznych i organizacyjnych, określonych w przepisach, o których mowa w art. 39a. Powyższy przepis określa więc przesłanki warunkujące wydanie decyzji odmownej. W sytuacji, gdy którakolwiek z ww. przesłanek nie zostanie ziszczona organ nie ma podstaw do wydania decyzji w sprawie rejestracji zbioru. Ponadto ust. 2 ww. art. obliguje Generalnego Inspektora przy odmowie rejestracji zbioru danych w drodze decyzji administracyjnej, do nakazania: 1) ograniczenia przetwarzania wszystkich albo niektórych kategorii danych wyłącznie do ich przechowywania lub 2) zastosowania innych środków, o których mowa w art. 18 ust. 1. Zgodnie z art. 44 ust. 4 powołanej ustawy, administrator danych może zgłosić ponownie zbiór danych do rejestracji po usunięciu wad, które były powodem odmowy rejestracji zbioru. Zatem decyzję administracyjną w przedmiocie odmowy zamiany danych w rejestrze, o którym mowa w powołanym art. 44, organ Ochrony Danych Osobowych może wydać jedynie w stosunku do administratora danych, albowiem nie rozstrzyga jedynie o zasadności bądź nie wniosku, lecz nakłada obowiązek usunięcia nieprawidłowości w procesie przetwarzania danych osobowych. Oznacza to, iż adresatem decyzji odmownej może być tylko administrator danych. Wniosek każdego innego podmiotu, niebędącego administratorem danych zbioru danych osobowych, będzie czynił postępowanie wszczęte tym wnioskiem bezprzedmiotowym. Generalny Inspektor Ochrony Danych Osobowych nie może bowiem kierować decyzji związanej, o odmowie dokonania zmian w rejestrze i nakazania usunięcia naruszenia prawa, do podmiotu niebędącego administratorem przedmiotowego zbioru danych osobowych. Tym samym, w realiach niniejszej sprawy, nie można skutecznie czynić Generalnemu Inspektorowi zarzutu naruszenia art. 28 i art. 105 § 1 K.p.a., albowiem w ustawie o ochronie danych osobowych (tutaj lex specialis w stosunku do K.p.a.) próżno szukać podstawy prawnej zezwalanej organowi na rozstrzygnięcie o zasadności żądania wnioskodawcy w formie decyzji administracyjnej. Można natomiast przyznać rację skarżącemu Towarzystwu, iż Fundusz legitymuje się przymiotem strony w rozumieniu art. 28 K.p.a. (niewątpliwie posiada interes prawny) w postępowaniu zakończonym zaskarżoną i poprzedzająca ją decyzją. Wobec niezawiadomienia o toczącym się postępowaniu bez własnej winy Fundusz nie brał w nim udziału, co wyczerpuje przesłankę z art. 145 § 1 pkt 4 K.p.a. Jednakże trzeba mieć na uwadze, że w wyniku wznowienia postępowania, w realiach faktycznych niniejszej sprawy, mogłaby zapaść wyłącznie decyzja odpowiadająca w swej istocie decyzji dotychczasowej, co w świetle art. 146 § 2 K.p.a. wyklucza uchylenie zaskarżonej decyzji tylko z tego powodu. Kwestią pozostającą bez wpływu na trafność skarżonej decyzji był zarzucany brak odniesienia się przez organ do podstaw wydania odmiennych rozstrzygnięć dotyczących czterech zbiorów danych tego samego podmiotu. Wskazywane przez skarżącą decyzje nie mają bowiem mocy wiążącej w niniejszej sprawie. Również brak odniesienia się przez organ do wszystkich argumentów zawartych we wniosku o ponowne rozpoznanie sprawy, nie stanowi przesłanki uzasadniającej uchylenie skarżonej decyzji. Na tą problematykę należy bowiem spojrzeć przez pryzmat treści art. 145 § 1 ust. 1 lit. c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2012 r., poz. 270 ze zm.), zgodnie z którym uchylenie decyzji jest dopuszczalne tylko w przypadku naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy. Strona skarżąca nie wykazała zaś, aby brak odniesienia się do wszystkich argumentów wniosku o ponowne rozpoznanie sprawy, mogło mieć istotny, czy wręcz jakikolwiek wpływ na rozstrzygnięcie. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2012 r., poz. 270 ze zm.), orzekł, jak w sentencji wyroku.