II SA/Wa 2138/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Maria Werpachowska, Sędziowie WSA Ewa Kwiecińska, Iwona Maciejuk (spr.), Protokolant sekretarz sądowy Marcin Borkowski, po rozpoznaniu na rozprawie w dniu 21 czerwca 2018 r. sprawy ze skargi M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz M. kwotę 680 (sześćset osiemdziesiąt) złotych, tytułem zwrotu kosztów postępowania. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] sierpnia 2017 r. nr [...], na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257), zwanej dalej k.p.a., art. 12 pkt 2, art. 18 ust. 1 pkt 1 oraz art. 22 w związku z art. 24 ust. 1 pkt 1, pkt 3, pkt 4 oraz art. 40 ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922), zwanej dalej u.o.d.o., w punkcie I nakazał M., usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez dopełnienie wobec osób biorących udział w Projekcie "[...]", dofinansowanym ze środków Mechanizmu Finansowego Europejskiego Obszaru Gospodarczego 2009-2014 obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 pkt 1, pkt 3 oraz pkt 4 ustawy, tj. poinformować ww. osoby o: 1) adresie swojej siedziby i pełnej nazwie, 3) prawie dostępu do treści swoich danych oraz ich poprawiania, 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej, w terminie 30 dni od dnia, w którym niniejsza decyzja stanie się ostateczna. W punkcie II decyzji, w pozostałym zakresie postępowanie umorzył. W uzasadnieniu organ wskazał, że na podstawie materiału dowodowego zgromadzonego w toku kontroli ustalono, że w procesie przetwarzania danych osobowych M., jako administrator danych, naruszył przepisy o ochronie danych osobowych. Uchybienia te polegały na: 1) niedopełnieniu wobec osób biorących udział w Projekcie "[...]", dofinansowanym ze środków Mechanizmu Finansowego EOG 2009-2014 obowiązku informacyjnego (art, 24 ust. 1 pkt 1, pkt 3 oraz pkt 4 ustawy), 2) niezgłoszeniu do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych zbioru danych, w którym są przetwarzane ww. dane osobowe (art. 40 ustawy). Zgodnie art. 24 ust. 1 pkt 1, pkt 3 oraz pkt 4 ustawy, w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku, 3) prawie dostępu do treści swoich danych oraz ich poprawiania, 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Natomiast zgodnie z art. 7 pkt 4 ustawy, ilekroć w ustawie jest mowa o administratorze danych - rozumie się przez to organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. GIODO wskazał, że analiza materiału dowodowego zebranego w sprawie wykazała, że ramy prawne dla Mechanizmu Finansowego na lata 2009 — 2014 zostały określone w umowie międzynarodowej "Memorandum of Understanding" (dalej: MoU) Wdrażania Mechanizmu Finansowego Europejskiego Obszaru Gospodarczego (EOG) na lata 2009 - 2014 zawartej w dniu 10 czerwca 2011 r. pomiędzy Islandią, Księstwem Lichtensteinu, Królestwem Norwegii a Rzeczypospolitą Polską. Niniejsza umowa jest stosowana łącznie z następującymi dokumentami (art. 2 MoU): Protokołem 38b do Umowy o EOG dotyczącym Mechanizmu Finansowego EOG na lata 2009 - 2014; Regulacjami w sprawie wdrażania Mechanizmu Finansowego EOG na lata 2009 - 2014, wydanymi przez Państwa - Darczyńców (dalej: Regulacje); umowami w sprawie programu, które będą zawierane dla każdego programu oraz wszelkimi wytycznymi przyjętymi przez Komitet Mechanizmu Finansowego EOG zgodnie z Regulacjami. Organem zarządzającym Mechanizmem Finansowym EOG jest Komitet Mechanizmu Finansowego, Komitet założony przez Stały Komitet Państw EFTA. Państwo - Beneficjent (Rzeczypospolita Polska) zobowiązany był na podstawie MoU (a także Regulacji) wyznaczyć Krajowy Punkt Kontaktowy, którego zadaniem jest koordynacja i nadzór nad wdrażaniem programów. W Polsce funkcję Krajowego Punktu Kontaktowego pełni Minister właściwy ds. rozwoju regionalnego (obecnie Minister Rozwoju i Finansów). Zgodnie z załącznikiem A pkt 1 MoU, zakres funkcji i obowiązków Krajowego Punktu Kontaktowego, którym jest Ministerstwo Rozwoju zostały określone w szczególności w art. 4.3 Regulacji, zgodnie z którym m.in.: ponosi ogólną odpowiedzialność za realizację celów wytyczonych w ramach Mechanizmu Finansowego EOG na lata 2009 - 2014, jak również za jego wdrażanie w RP. Pełni on rolę punktu kontaktowego i jest odpowiedzialny za realizację MoU. MoU określiło również ramy wdrażania Mechanizmu wraz z obszarami programowymi, przypisując dla poszczególnych programów ich operatorów: dla obszaru programu Ochrona różnorodności biologicznej i ekosystemów operatorem programu zostało M. z pomocą Narodowego Funduszu Ochrony Środowiska i Gospodarki Wodnej. Zgodnie z art. 1.5 ust. 1 lit. r Regulacji, Operator Programu to podmiot publiczny lub prywatny, komercyjny lub niekomercyjny, jak również organizacje pozarządowe, na których spoczywa odpowiedzialność za przygotowanie i wdrożenie programu. Operator Programu jest odpowiedzialny za realizację Rezultatów, określonych w załączniku B do MoU. Zgodnie z art. 4.7 Regulacji, Operator Programu jest odpowiedzialny za przygotowanie i wdrażanie programu zgodnie z zasadami gospodarności, wydajności i skuteczności, m.in. za: przyjmowanie wniosków, wybór projektów do wsparcia finansowego oraz podpisywanie umów w sprawie projektu dla każdego zatwierdzonego projektu; weryfikację wyników projektu oraz czy wydatki zadeklarowane przez beneficjentów zostały faktycznie poniesione oraz są one poniesione zgodnie z Regulacjami, umową w sprawie programu oraz odpowiednimi przepisami prawa krajowego i unijnego. GIODO wskazał, że nie można zgodzić się z twierdzeniem, że "zapis Porozumienia pomiędzy Krajowym Punktem Kontaktowym a M., które stanowi, że Krajowy Punkt Kontaktowy powierza Operatorowi Programu zadania związane z przygotowaniem i wdrażaniem Programu PL02 "Ochrona różnorodności biologicznej i ekosystemów w ramach Mechanizmu Finansowego EOG 2009-2014 należy interpretować jako powierzenie przetwarzania danych osobowych zgodnie z art. 31 ustawy o ochronie danych osobowych". Organ podał, że zleceniobiorcą danych może być podmiot, któremu na podstawie pisemnej umowy powierzono przetwarzanie danych, czyli powierzono pewien zbiór danych w ściśle określonym celu i zakresie. Jeżeli proces przetwarzania danych osobowych rozpoczyna się z momentem ich pozyskiwania, to nie może ulegać wątpliwości, że w niniejszej sprawie Minister Rozwoju Regionalnego nie decydował o celach i środkach przetwarzania danych osobowych, gdyż danych tych (a tym bardziej zbioru danych) w chwili zawierania umowy z M. nie posiadał. GIODO stwierdził, że dopiero w umowie zawartej w dniu [...] sierpnia 2014 r. M. podjął samodzielnie decyzję, że w celu rozliczenia się przez Polski Klub Ekologiczny z Projektu niezbędne będzie pozyskanie danych osobowych uczestników Projektu. W umowie tej został określony zakres oraz cel przetwarzania danych osobowych uczestników Projektu. Przetwarzanie ww. danych osobowych rozpoczęło się po zawarciu umowy z dnia [...] sierpnia 2014 r. W niniejszej sprawie podmiotem, któremu powierzono przetwarzanie danych osobowych, jest jedynie [...]. Jak ustalono w toku kontroli w ww. podmiocie pozyskanie danych uczestników Projektu jest niezbędne w celu rozliczenia się z Projektu i wymóg ten został wyraźnie wskazany w umowie z dnia [...] sierpnia 2014 r. Gdyby nie ten wymóg [...] nie pozyskiwałby danych osobowych uczestników Projektu. Organ wskazał, że w art. 6 umowy z dnia [...] sierpnia 2014 r. nr [...] zawartej między M. a [...] określono "Warunki przyznania dofinansowania na rzecz Projektu", a wśród nich dokumenty potwierdzające należytą i zgodną z Planem WTdrażania Projektu (PWP) realizację zakładanych działań i osiąganie planowanych wskaźników. Dokumentem potwierdzającym zrealizowanie przez Polski Klub Ekologiczny: warsztatów, szkoleń, konferencji, seminariów, programów edukacyjnych mogą być kopie list obecności lub wystawione przez placówkę potwierdzenia realizacji zajęć ze wskazaną liczbą osób oraz dokumentacja fotograficzna. Zgodnie z zapisami umowy zawartej w dniu [...] sierpnia 2014 r. pomiędzy M., w imieniu którego działa Narodowy Fundusz Ochrony Środowiska i Gospodarki Wodnej a [...], [...] w ramach realizacji Projektu zobowiązany jest do przechowywania dokumentacji związanej z realizacją Projektu przez kolejnych 5 lat od zatwierdzenia przez Operatora Programu (M.) programu raportu końcowego z realizacji Projektu wszelkie dokumenty (art. 7 ust. 1 pkt 8 umowy). Z analizy materiału dowodowego zebranego w sprawie wynika zatem, że administratorem danych uczestników Projektu jest M. (Operator Programu), natomiast [...] jest podmiotem, któremu zgodnie z art. 31 ustawy na podstawie umowy zawartej w dniu 12 sierpnia 2014 r. powierzono przetwarzanie danych osobowych. W odniesieniu do programu pn. "Ochrona różnorodności biologicznej i ekosystemów" Operator Programu – M. będąc odpowiedzialny na podstawie MoU i Regulacji za przygotowanie i wdrożenie Programu, jak też za jego realizację konkretyzował cele i środki przetwarzania danych osobowych, o których mowa w art. 7 ust. 4 ustawy. Organ w toku kontroli ustalił, że pracownicy [...] prowadzą działania edukacyjne nt. ekosystemu Doliny Rzeki [...] położonej w obszarze Natura 2000 wobec dzieci szkół podstawowych z trzech województw (śląskiego, małopolskiego oraz podkarpackiego). Działania edukacyjne dla dzieci są przeprowadzane w Muzeum Przyrodniczym w [...]. Przed rozpoczęciem zajęć edukacyjnych pracownik [...] wysyła na adres szkoły za pośrednictwem poczty elektronicznej formularz karty wycieczki. Wypełniona przez pracownika szkoły karta wycieczki jest przekazywana pracownikowi Partnera projektu (pracownikowi Muzeum Przyrodniczego). W sekretariacie muzeum opiekun wycieczki potwierdza udział w zajęciach edukacyjnych podając nazwę i adres szkoły, datę, liczbę uczniów oraz składając podpis. Karty wycieczki, listy obecności oraz potwierdzenia udziału w zajęciach edukacyjnych są odbierane przez pracownika [...]. Ww. dokumenty pozyskiwane są w celach dowodowych dla Narodowego Funduszu Ochrony Środowiska i Gospodarki Wodnej (potwierdzenia wykonania Projektu). W ramach Projektu [...] występuje także m.in. do jednostek samorządu terytorialnego, szkół z propozycją udziału w warsztatach, seminariach oraz konferencjach dla pracowników ww. podmiotów. Podmioty zainteresowane udziałem w ww. spotkaniach przesyłają za pośrednictwem poczty elektronicznej na skrzynkę pocztową [...] wypełnione zgłoszenia uczestnika. Przed spotkaniem osoby wypełniają listy obecności. Ponadto w trakcie ww. spotkań pracownik [...] wykonuje zdjęcia w celach dowodowych (w celu potwierdzenia odbycia spotkania). Organ stwierdził, że M. jako administrator danych winien dopełnić wobec ww. osób obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 pkt 1, pkt 3 oraz pkt 4 ustawy, tj. poinformować o: 1) adresie swojej siedziby i pełnej nazwie, 3) prawie dostępu do treści swoich danych oraz ich poprawiania, 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Nadto organ podał, że pozostałe uchybienie polegające na niezgłoszeniu do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych zbioru danych, w którym są przetwarzane dane osobowe uczestników Projektu stało się bezprzedmiotowe. Zgodnie bowiem z art. 43 ust. 1 a ustawy, obowiązkowi rejestracji zbiorów danych osobowych, z wyjątkiem zbiorów zawierających dane, o których mowa w art. 27 ust. 1, nie podlega administrator danych, który powołał administratora bezpieczeństwa informacji i zgłosił go Generalnemu Inspektorowi do rejestracji. Z uwagi na fakt, że w zbiorze danych, w którym przetwarzane dane osobowe uczestników Projektu nie są przetwarzane dane osobowe, o których mowa w art. 27 ust. 1 ustawy, a M. powołał administratora bezpieczeństwa informacji i zgłosił go Generalnemu Inspektorowi do rejestracji zgłoszenie powołanego zbioru danych stało się niecelowe. M. we wniosku o ponowne rozpatrzenie sprawy zarzucił błędne ustalenia faktyczne w zakresie uznania, że administratorem danych osobowych jest M., w sytuacji, gdy organ winien za administratora danych uznać Ministra Rozwoju Regionalnego. Zarzucił też m.in. naruszenie art. 156 § 1 pkt 5 k.p.a. poprzez nakazanie wykonania obowiązku wobec osób będących przedmiotem postępowania w sytuacji, gdy M. nie dysponuje, ani nie ma możliwości zdobycia danych adresowych tych osób, niewskazanie imion i nazwisk osób, wobec których Minister ma obowiązek informacyjny, naruszenie art. 7, art. 77, art. 80, art. 107 § 3 k.p.a. poprzez nieuwzględnieniu w uzasadnieniu decyzji wszystkich argumentów przedstawionych przez M. Minister podniósł, że zakres zebranych danych, który został ustalony przez GIODO w trakcie kontroli w [...], nie pozwala na skuteczne skontaktowanie się z osobami, których dane dotyczą i przekazanie informacji, o których mowa w art. 24 u.1 pkt 1, 3 i 4 u.o.d.o.. Nie wszystkie osoby podały swoje dane kontaktowe (e-mail,numer telefonu). Podobnie na liście obecności są podane jedynie imiona, nazwiska osób oraz miejsce pracy. Brak jest telefonów i adresów korespondencyjnych, które pozwoliłyby na skontaktowanie się z tymi osobami. Należy też mieć na uwadze, że skontaktowanie się osobami, które podały swoje służbowe adresy e-mail, lub jedynie ówczesne miejsce pracy, również może być niemożliwe, ponieważ od momentu zebrania danych, osoby te mogły rozwiązać stosunek pracy z tym pracodawcą. Minister stwierdził, że decyzja jest także niemożliwa do wykonania w odniesieniu do dzieci biorących udział w zajęciach edukacyjnych w ramach Projektu. Karty i listy uczestników wycieczki w dniu 7 września 2015 r. zawierające dane osobowe opiekunów wycieczki i dzieci (uczniów klas I-VI) zostały wypełnione i przekazane przez szkołę podstawową i podpisane przez dyrektora szkoły (załącznik nr [...] do protokołu kontroli [...]). Generalny Inspektor Ochrony danych Osobowych decyzją z dnia [...] października 2017 r. nr [...], na podstawie art. 138 § 1 pkt 1 k.p.a., utrzymał w mocy własną decyzję z dnia [...] sierpnia 2017 r. Organ podtrzymał stanowisko, że administratorem danych osób biorących udział w Projekcie "[...]", dofinansowanym ze środków Mechanizmu Finansowego Europejskiego Obszaru Gospodarczego 2009-2014 (zwanego dalej także Projektem) jest M. Odnosząc się do powołanych przez M. postanowień (MoU, Porozumienia) organ wskazał, że nie odnoszą się one w żadnej swojej części do przetwarzania danych osobowych uczestników Projektu. W powołanych przez Ministra dokumentach nie został określony zakres oraz cel przetwarzania ww. danych osobowych. GIODO stwierdził, że ponoszenie całkowitej odpowiedzialności za osiąganie celów wyznaczonych dla MF EOG 2009- 2014 oraz za realizację MF EOG 2009-2014 w Państwie Beneficjencie zgodnie z Regulacjami, a także powierzenie Operatorowi Programu (M.) zadań związanych z przygotowaniem i wdrażaniem Programu w żadnym stopniu nie może być utożsamiane ze zleceniem przetwarzania danych osobowych uczestników Projektu. Minister Rozwoju Regionalnego nie decydował o celach i środkach przetwarzania danych osobowych. M. podjął samodzielnie decyzję, że w celu rozliczenia się przez [...] z Projektu niezbędne będzie pozyskanie danych osobowych uczestników Projektu. W umowie tej został określony zakres oraz cel przetwarzania danych osobowych uczestników Projektu. GIODO odnosząc się do zarzutów braku możliwości wykonania decyzji wskazał, że dane osobowe uczestników Projektu były pozyskiwane przez [...] w celu rozliczenia się z Projektu. Stwierdził, że [...] , jako podmiot, któremu M. powierzył przetwarzanie danych, winien pozyskać na zlecenie M. taki zakres danych, który będzie niezbędny do ustalenia tożsamości osób biorących udział w Projekcie. GIODO podkreślił, że ustalenie tożsamości tych osób jest niezbędne w celu potwierdzenia przez te osoby udziału w Projekcie realizowanym ze środków pochodzących z EOG 2009-2014. GIODO wskazał jednocześnie, że zakresem kontroli, która miała miejsce w [...] objęto wyłącznie przetwarzanie danych osobowych w postaci papierowej z wyłączeniem przetwarzania danych osobowych w systemie informatycznym. GIODO uznał, że w sytuacji, gdy Minister ma dostęp do dokumentacji zarówno w wersji papierowej oraz w systemie informatycznym, nieuzasadnione jest kwestionowanie braku możliwości wykonania decyzji. GIODO nie zgodził się z Ministrem, że zakres danych osobowych, który został ustalony przez GIODO w trakcie kontroli w [...] nie pozwala na skuteczne skontaktowanie się z osobami, których dane dotyczą i przekazanie informacji, o których mowa w art. 24 ust. 1 pkl, pkt 3 i pkt 4 ustawy. GIODO nie zgodził się też z twierdzeniem, że "dane osobowe uczniów zostały pozyskane do [...] tylko za pośrednictwem dyrektora szkoły". Wskazał, że w trakcie spotkań, konferencji, wycieczek pracownik [...] wykonuje zdjęcia w celach dowodowych (m.in. w celu potwierdzenia odbycia spotkania, konferencji, wycieczki), co stanowi dopełnienie postanowień zawartych w art. 6 umowy z dnia [...] sierpnia 2014 r (pozyskanie dokumentacji fotograficznej). Mając na uwadze powyższe dana w zakresie wizerunku pozyskiwana jest bezpośrednio od uczestników Projektu. GIODO wskazał, że dopełnienie obowiązku informacyjnego jest jednym z podstawowych obowiązków nałożonych na administratora danych osobowych przez ustawę o ochronie danych osobowych. Jeżeli administrator danych zdecydował się na pozyskanie danych osobowych uczestników winien dopełnić ten obowiązek przed zbieraniem danych osobowych, najpóźniej jednak w chwili ich zbierania. GIODO stwierdził, że nie może wskazywać, w jaki konkretny sposób podmiot zobowiązany ma ten obowiązek dopełnić. Wybór sposobu wykonania tego obowiązku został pozostawiony administratorowi danych. Wskazanie przez organ konkretnego sposobu dopełnienia obowiązku ograniczyłoby swobodę podmiotu w doborze tych środków. Wskazał też, że powiadomienie, o którym mowa w art. 24 ust. 1 ustawy, dokonuje nie zawsze sam administrator danych, lecz często działający w jego imieniu podmiot na podstawie umowy wskazanej w art. 31 ust. 1 ustawy. Organ nie zgodził się z zarzutem, że decyzja nie jest jednoznaczna w zakresie określenia obowiązku strony. Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2017 r. nr [...] stała się przedmiotem skargi M. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Minister wniósł o uchylenie w całości zaskarżonej i poprzedzającej ją decyzji. Zarzucił naruszenie: naruszenie: 1) art. 7, art. 77 § 1 oraz art. 80 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257), dalej zwany "k.p.a.", przez błędne ustalenie stanu faktycznego dotyczącego Systemu 2) art. 11 i art. 107 § 3 k.p.a. przez brak uwzględnienia w uzasadnieniu decyzji wszystkich argumentów przedstawianych przez Ministra Środowiska oraz brak wskazania przyczyn z powodu, których niektórym dowodom odmówiono wiarygodności i mocy dowodowej, a innym dano wiarę; 3) art. 156 § 1 pkt 5 oraz art. 107 § 1 pkt 5 k.p.a. przez wydanie decyzji nakazującej Ministrowi Środowiska wykonanie obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 pkt 1, pkt 3 oraz pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922), dalej zwanej "u.o.d.o.", wobec osób będących przedmiotem postępowania, w sytuacji, gdy M. nie dysponuje, ani nie ma możliwości zdobycia danych adresowych tych osób; 4) art. 7 pkt 4 u.o.d.o. przez przyjęcie, iż M. jest administratorem danych osobowych będących przedmiotem niniejszego postępowania, podczas, gdy za administratora takiego Organ powinien był uznać Ministra Rozwoju Regionalnego; 5) art. 18 ust. 1 u.o.d.o. poprzez niewskazanie wobec, których osób - wskazanych z imienia i nazwiska - biorących udział w [...] regionu M. ma obowiązek wykonać obowiązek informacyjny, o którym mowa w art. 24 ust. 1 pkt 1, pkt 3 oraz pkt 4 u.o.d.o., w sytuacji, gdy zgodnie z art. 18 ust. 1 u.o.d.o. Organ jest obowiązany dokładnie i bez żadnych wątpliwości wskazać zakres naruszenia przez wskazanie osób z imienia i nazwiska, w stosunku, do których nie doszło do wykonania powyższych obowiązków; 6) art. 18 ust. 1 u.o.d.o. poprzez niewskazanie w sentencji decyzji czy rzekome naruszenie przez M. obowiązków, o których mowa w art. 24 ust. 1 pkt 4 u.o.d.o. polegało na braku poinformowania o dobrowolności podania danych osobowych, czy też wskazywane przez organ osoby miały obowiązek podania danych osobowych i jaka była po temu podstawa prawna, podczas gdy zgodnie z art. 18 ust. 1 u.o.d.o. wskazywane przez organ naruszenie powinno być jednoznacznie określone i nie powinno być oparte o alternatywę rozłączną w sytuacji, gdy organ stwierdził określone naruszenie. Skarżący na podstawie art. 106 § 3 P.p.s.a. wniósł o przeprowadzenie dowodów uzupełniających załączonych do skargi na okoliczność, iż M. nie jest administratorem danych osobowych osób biorących w Projekcie "[...]". W obszernym uzasadnieniu skarżący rozszerzył argumentację w zakresie podniesionych zarzutów. Podniósł m.in., że GIODO nie odniósł się merytorycznie do podniesionej przez M. kwestii dotyczącej zapisu § 1 ust. 1 porozumienia KPK-M., które wyraźnie stanowi, że "KPK powierza Operatorowi Programu zadania związane z przygotowaniem i wdrażaniem Programu PL02 "Ochrona różnorodności biologicznej i ekosystemów" w ramach Mechanizmu Finansowego EOG 2009-2014, zwanego dalej "Programem", a Operator Programu zobowiązuje się zadania te wykonać". Skarżący podniósł, że przyjmując nawet, iż KPK, zawierając porozumienie z M. i powierzając mu zadania związane z przygotowaniem i wdrażaniem Programu, wykonywał jedynie dyspozycję art. 5.8 Regulacji, GIODO powinien był konsekwentnie przyjąć, że zawierając umowę z beneficjentem, Operator Programu realizował dyspozycję zawartą w art. 6.7 Regulacji. Stanowi on, że dla każdego zatwierdzonego projektu Operator Programu zawiera z beneficjentem umowę w sprawie projektu, a w ust. 3 wskazuje jej minimalny zakres. W tym kontekście należy zwrócić uwagę na zapis art. 6.7 ust. 3 lit. a) zgodnie z którym umowa w sprawie projektu zawiera postanowienia dotyczące "zobowiązań dotyczących sprawozdawczości, które umożliwiają Operatorowi Programu przestrzeganie własnych zobowiązań w zakresie sprawozdawczości względem KMF i Krajowego Punktu Kontaktowego". M. podniósł też m.in., że GIODO niezgodnie ze stanem faktycznym twierdzi, że M. podjął samodzielnie decyzję, że w celu rozliczenia się przez [...] z Projektu niezbędne będzie pozyskanie danych osobowych uczestników Projektu. Argumentem na poparcie tej tezy ma być fakt zatwierdzenia przez M. wzoru umowy. Tymczasem wzór zatwierdzony przez M. (załączony do wniosku o ponowne rozpatrzenie sprawy) nie zawiera zapisów dotyczących sposobu dokumentowania zrealizowania przedsięwzięć, są one ustalane indywidualnie dla każdego z projektów przez NFOŚiGW. GIODO nie dokonał jednak analizy zapisów wzoru umowy, arbitralnie i bezpodstawnie przyjmując tezę o samodzielnej decyzji M. dotyczącej sposobu dokumentowania liczby uczestników projektu. Jak wyjaśniono organowi w trakcie kontroli w M., zapisy umowy dotyczące konieczności przestawienia list obecności lub wystawione przez placówkę potwierdzenia realizacji zajęć ze wskazaną liczbą osób oraz dokumentacji fotograficznej zostały dodane przez NFOŚiGW, bez wiedzy i zgody M. Zgodnie z Porozumieniem pomiędzy M. a NFOŚiGW, umowę w sprawie Projektu z beneficjentem na wzorze zatwierdzonym przez Operatora Programu zawiera Narodowy Fundusz (§ 9 pkt. 4 Porozumienia). Zatem to nie M. zdecydował o celach i środkach przetwarzania danych osobowych w ramach projektu, ponieważ, nie był autorem i nie zatwierdził zapisów umowy dotyczących przedstawienia list uczestników i dokumentacji fotograficznej. Niezrozumiałe jest dla skarżącego także przytoczenie przez GIODO postanowień art. 7 ust. 1 pkt 8 umowy obligujących Beneficjenta do przechowywania dokumentacji związanej z realizacją Projektu przez kolejnych 5 lat od zatwierdzenia przez Operatora Programu raportu końcowego z realizacji Projektu. Zapis ten jest bowiem konsekwencją postanowień § 7 pkt 28 Porozumienia KPK-M., które zobowiązuje Operatora Programu do przechowywania całości dokumentacji związanej z realizacją Programu, w okresie realizacji Programu i przez okres 5 lat od przyjęcia przez Darczyńców raportu końcowego dla Programu w związku z § 11 ust. 5 Porozumienia KPK-M., które stanowi o tym, że Operator Programu zobowiązuje się umożliwić niezwłocznie na żądanie podmiotów uprawnionych do przeprowadzania audytu i kontroli pełny dostęp do wszelkich informacji, dokumentów i miejsc związanych z realizacją Programu oraz projektów realizowanych przez beneficjentów. GIODO nie odniósł się również do kwestii dotyczącej sprzeczności (do której doszłoby w przypadku uznania Ministra Środowiska za administratora danych osobowych) pomiędzy dobrowolnością powierzenia przetwarzania danych osobowych (co wynika z art. 31 ust. u.o.d.o.) a ciążącym na Operatorze Programu obowiązkiem udostępniania wszelkich danych Krajowemu Punktowi Kontaktowemu oraz innym podmiotom nadrzędnym w systemie realizacji MF EOG, co szczegółowo omówiono w piśmie M. z [...] sierpnia 2017 r. Decyzja jest też nieprecyzyjna i nie wskazuje w jaki sposób w ogóle M. ma zdobyć dane adresowe osób biorących udział w Projekcie "[...]", w przypadku gdy M. nie dysponuje takimi danymi. Decyzja ta jest więc w znacznym zakresie w ogóle niewykonalna. Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie podtrzymując ustalenia dokonane w zaskarżonej decyzji. Wskazał m.in., że nie zgadza się ze stanowiskiem skarżącego, że "posiadanie przez Krajowy Punkt Kontaktowy uprawnień kontrolnych wobec M. oraz Beneficjentów w ramach realizowanych Programów i projektów daje podstawy do uznania Krajowego Punktu Kontaktowego za administratora danych osobowych (§ 7 pkt 17 Porozumienia)". Odnosząc się do ww. stanowiska GIODO stwierdził, że prawo do kontroli realizacji Programu oraz poszczególnych Projektów nie może być utożsamiane z przyznaniem danemu podmiotowi statusu administratora danych w przedmiotowym zakresie. Nie zasługuje także na aprobatę stanowisko skarżącego, że "na Operatorze Programu ciąży obowiązek udostępniania wszelkich danych Krajowemu Punktowi Kontaktowemu oraz podmiotom nadrzędnym w systemie realizacji MF EOG". Jak ustalono w toku czynności kontrolnych w Ministerstwie Rozwoju (sygn. [...]) M. m.in. za pośrednictwem systemu informatycznego o nazwie "DoRIS" przekazuje do Ministra Rozwoju wyłącznie dane statystyczne (okresowe raporty finansowe) nie zawierające danych osobowych uczestników Projektu. Zgodnie bowiem z art. 4.7 ust. 1 lit. p Regulacji, Operator Programu (M.) jest odpowiedzialny za przygotowanie i wdrożenie programu zgodnie z zasadami wydajności i skuteczności, a w szczególności za zapewnienie wprowadzania danych statystycznych odpowiednich dla danego projektu w celu prowadzenia bazy danych sprawozdawczych zgodnie z Podręcznikiem Operatora Programu (załącznik 9 Regulacji). Z ww. jednoznacznie wynika, że na M. nie został nałożony obowiązek udostępnienia wszelkich danych Krajowemu Punktowi Kontaktowemu oraz innym podmiotom nadrzędnym w systemie realizacji Mechanizmu Finansowego EOG, tylko danych statystycznych niezawierających danych osobowych uczestników Projektu. Odnosząc się do zarzutu niewykonalności decyzji GIODO ponownie wskazał, że [...] winien pozyskać na zlecenie M. taki zakres danych, który będzie niezbędny do ustalenia tożsamości osób biorących udział w Projekcie. Ustalenie tożsamości tych osób jest niezbędne w celu potwierdzenia przez te osoby udziału w Projekcie realizowanym ze środków pochodzących z EOG 2009-2014. Wojewódzki Sąd Administracyjny w Warszawie na rozprawie w dniu 21 czerwca 2018 r., uwzględnił, na podstawie art. 106 § 3 P.p.s.a., wniosek skarżącego o przeprowadzenie dowodów uzupełniających z dokumentów stanowiących załączniki do skargi. Pełnomocnik skarżącego wniósł o zasądzenie zwrotu kosztów postępowania sądowego. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Skarga podlegała uwzględnieniu, choć nie wszystkie podniesione w niej zarzuty okazały się zasadne. Przede wszystkim wskazania wymaga, że Sąd za prawidłowe uznał ustalenia organu ochrony danych osobowych, co do tego, że administratorem danych osobowych osób biorących udział w Projekcie "[...]" jest M. Zarzuty skargi w postaci błędnych ustaleń faktycznych i niewłaściwej oceny organu w tym zakresie Sąd uznał zatem za niezasadne. Nie doszło tym samym do naruszenia w tym zakresie art. 7, 77 § 1, 80, czy art. 11 k.p.a. Organ ustalając, że to M. jest administratorem danych osobowych nie naruszył przy tym art. 107 § 3 k.p.a., albowiem w sposób wyczerpujący i wystarczający w ocenie Sądu wykazał to w uzasadnieniu decyzji. Ustalenia organu w tym zakresie nie budzą wątpliwości Sądu. Dokumenty załączone do skargi, z których przeprowadzono dowody uzupełniające, w żaden sposób ustaleń tych nie zmieniają. Administratorem danych osobowych w świetle u.o.d.o. jest podmiot decydujący o celach i środkach przetwarzania danych osobowych (art. 7 pkt 4 u.o.d.o.). Odnosząc się do zarzutów skargi wskazania wymaga, że okoliczność, iż Krajowy Punkt Kontaktowy, czyli minister właściwy do spraw rozwoju regionalnego ponosi ogólną odpowiedzialność za realizację celów wytyczonych w ramach Mechanizmu Finansowego EOG na lata 2009-2014, jak i za jego wdrażanie w RP (jest odpowiedzialny za realizację Memorandum of Understanding (MoU) nie oznacza, że podmiot ten zdecydował o celach i środkach przetwarzania danych osób, o których mowa w decyzji, tj. osób biorących udział w Projekcie "[...]". Także to, że § 1 ust. 1 Porozumienia Krajowego Punktu Kontaktowego z M. mówi o powierzeniu Operatorowi Programu, a zatem M., przygotowania i wdrożenia Programu PLO2 "Ochrona różnorodności biologicznej i ekosystemów" w ramach Mechanizmu Finansowego EOG 2009-2014, a Operator Programu zobowiązuje się te zadania wykonać, nie oznacza, że to Krajowy Punkt Kontaktowy jest administratorem danych osób biorących udział w Projekcie, a M. tylko podmiotem, któremu powierzono przetwarzanie danych. Z całości akt sprawy, w tym w szczególności z umowy nr [...] z dnia [...] sierpnia 2014 r. w sprawie Projektu "[...]" zawartej pomiędzy M. (Operatorem Programu) w imieniu którego działał Narodowy Fundusz Ochrony Środowiska i Gospodarki Wodnej a [...] w [...] Koło Miejskie w [...] (Beneficjent) wynika jednoznacznie (art. 6 umowy), że wśród warunków przyznania dofinansowania wymieniono pozyskanie danych uczestników Projektu. Odnosząc się do zarzutów skargi dotyczących tego, że M. zatwierdził inny wzór umowy (który nie zawierał zapisów dotyczących sposobu dokumentowania zrealizowania przedsięwzięć) wskazania wymaga, że to jaki był wzór umowy nie ma żadnego znaczenia w sprawie. Kwestia odpowiedzialności podmiotu działającego w imieniu M., który zawarł umowę w dniu [...] sierpnia 2014 r. , co do podnoszonych przez M. we wskazanym zakresie kwestii, nie jest przedmiotem niniejszej sprawy i nie wpływa na jej wynik. Ustalenie organu, że to M. podjął decyzję, że w celu rozliczenia się z Projektu konieczne jest pozyskanie danych uczestników, jest na gruncie treści tej umowy, bezsporne. Prawidłowo GIODO stwierdził, że umowa ta stanowiła o rozpoczęciu przetwarzania danych osobowych, a M. wedle tej umowy zasadnie uznany został przez GIODO za podmiot decydujący o celach i środkach przetwarzania danych, a zatem za administratora danych osobowych w rozumieniu art. 7 pkt 4 u.o.d.o. Także to, że Operator Programu, czyli M. zobowiązał się zgodnie z § 11 ust. 5 Porozumienia zawartego pomiędzy Krajowym Punktem Kontaktowym a M. umożliwić na żądanie podmiotów uprawnionych do przeprowadzania audytu i kontroli pełny dostęp do wszelkich informacji, dokumentów i miejsc związanych z realizacją Programu oraz projektów realizowanych przez beneficjentów, nie zmienia prawidłowości ustaleń GIODO. Kwestia kontroli działań Operatora Programu (M.) przez Krajowy Punkt Kontaktowy nie stanowi o tym, że to Krajowy Punkt Kontaktowy, czyli minister właściwy do spraw rozwoju regionalnego zdecydował o przetwarzaniu (zbieraniu i przechowywaniu) danych osobowych, o celach i środkach tego przetwarzania. Dokonał tego M. w drodze umowy z dnia [...] sierpnia 2014 r., o której była mowa już wyżej. Odnosząc się natomiast do zarzutów skargi w zakresie nierozpatrzenia i nierozważenia przez GIODO w sposób wszechstronny argumentacji wniosku o ponowne rozpatrzenie sprawy dotyczącej kwestii możliwości wykonania punktu pierwszego decyzji z dnia 25 sierpnia 2017 r., Sąd zarzuty te uznał za zasadne. Zdaniem Sądu, w tym zakresie organ ochrony danych osobowych naruszył art. 7, art. 77 § 1, art. 80, jak również art. 107 § 3 k.p.a., co mogło mieć istotny wpływ na wynik sprawy. Zauważyć należy, że M. wprost wskazał we wniosku o ponowne rozpatrzenie sprawy, że nie dysponuje danymi adresowymi osób, których nakaz dotyczy i nie ma możliwości zdobycia tych adresów. Wskazywał też, że nie wszystkie osoby biorące udział w Projekcie podawały e-mail lub numer telefonu i że brak jest możliwości skutecznego skontaktowania się z nimi w celu wykonania nakazu. Argumentów tych organ ochrony danych osobowych nie rozważył należycie. W zaskarżonej decyzji GIODO stwierdził natomiast, że M. (a właściwie [...] na zlecenie M.) powinien pozyskać taki zakres danych, który będzie niezbędny do ustalenia tożsamości osób biorących udział w Projekcie. Wydaje się, że stanowi to – wprawdzie zawarty w uzasadnieniu zaskarżonej decyzji – ale jednak mimo wszystko nakaz pozyskania szerszego zakresu danych niż był zbierany przez M., co stoi w sprzeczności z zasadą adekwatności danych. Administrator danych nie powinien bowiem pozyskiwać szerszego zakresu danych niż jest niezbędny do osiągnięcia celu przetwarzania. GIODO stwierdził przy tym, że ustalenie tożsamości tych osób jest niezbędne w celu potwierdzenia przez te osoby udziału w Projekcie realizowanym ze środków pochodzących z EOG 2009-2014, w sytuacji, gdy z ustaleń GIODO nie wynika, aby M. kwestionował udział tych osób w Projekcie. Nadto, zagadnienie to (dotyczące należytego bądź nienależytego wykonania umowy przez Beneficjenta (Polski Klub Ekologiczny) nie było przedmiotem niniejszej sprawy, która dotyczy przetwarzania danych osobowych. Z akt sprawy i zaskarżonej decyzji wynika, że dane były pozyskiwane w celu rozliczenia się w ramach Projektu. Jeśli ten cel został zrealizowany, nie wydaje się, aby celowe - na gruncie u.o.d.o. - było pozyskiwanie dodatkowych danych osobowych i nakazywanie (w uzasadnieniu decyzji) dokonania tego przez administratora danych. Sąd nie podziela twierdzenia organu, że w sytuacji, gdy strona twierdzi, że nie ma możliwości wykonania nakazu zawartego w decyzji i wskazuje jednoznacznie na powyższe, organ nie jest zobowiązany określić, w jaki sposób administrator danych ma ten nakaz wykonać. W zaskarżonej decyzji organ wskazał, że kontrolą w Polskim Klubie Ekologicznym objęto wyłącznie przetwarzanie danych osobowych w postaci papierowej (z wyłączeniem przetwarzania danych osobowych w systemie informatycznym). Tym bardziej nie jest zrozumiałe przekonanie organu, co do możliwości wykonania przez M. zawartego w decyzji nakazu dopełnienia obowiązku informacyjnego. Jeśli w ocenie organu zakres danych, które zostały pozyskane w ramach umowy z dnia [...] sierpnia 2014 r. pozwala na skuteczne skontaktowanie się przez M. z osobami uczestniczącymi w Projekcie w celu realizacji obowiązku informacyjnego, to organ powinien to w decyzji wykazać. Wydana przez organ decyzja musi być bowiem wykonalna. Organ nie rozważył wszechstronnie zarzutów wniosku o ponowne rozpatrzenie sprawy dotyczących wykonalności decyzji z dnia [...] sierpnia 2017 r., co mogło mieć istotny wpływ na wynik sprawy. Dotychczasowa zaś ocena organu, co do możliwości wykonania przez M. nakazu dopełnienia obowiązku informacyjnego, o którym mowa w decyzji, była oceną dowolną, a zatem naruszającą art. 80 k.p.a., które to uchybienie mogło mieć istotny wpływ na wynik sprawy. Potwierdzeniem powyższego jest uzasadnienie zaskarżonej decyzji, które w odniesieniu do kwestii wykonalności decyzji nie spełnia wymogów art. 107 § 3 k.p.a. Ponownie rozpoznając sprawę organ uwzględni rozważania przedstawione wyżej. Z tych względów Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 145 § 1 pkt 1 lit. c ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2017 r., poz. 1369 ze zm.) orzekł jak w punkcie 1 wyroku. O zwrocie kosztów postępowania, jak w punkcie 2 wyroku, Sąd orzekł na podstawie art. 200 w zw. z art. 205 powołanej ustawy. Do kosztów tych Sąd zaliczył wpis sądowy w wysokości 200 zł i wynagrodzenie pełnomocnika skarżącego w wysokości 480 zł.