II SA/Wa 2163/14

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska Sędziowie WSA Janusz Walawski Anna Mierzejewska (spr.) Protokolant starszy sekretarz sądowy Dorota Kwiatkowska po rozpoznaniu na rozprawie w dniu 10 lipca 2015 r. sprawy ze skargi Prezydenta [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2014 r. nr [...] w przedmiocie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych - oddala skargę - Generalny Inspektor Ochrony Danych Osobowych decyzją [...] z dnia [...] października 2014 r., na podstawie art. 138 § 1 pkt 1 i pkt 2 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2013 r., poz. 267 ze zm.) oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 i pkt 2 oraz art. 22 w związku z art. 7 pkt 5, art. 23 ust 1, art. 24 ust. 1 pkt 1 i pkt 2, art. 26 ust. 1 pkt 1 oraz art. 31 ust. 1 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182), po przeprowadzeniu postępowania administracyjnego o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2014 r. nr [...], nakazującą usunięcie uchybień w procesie przetwarzania danych osobowych przez Prezydenta Miasta W.: I. uchylił zaskarżoną decyzję w zakresie nakazu określonego w pkt I pkt 1, pkt 2, oraz pkt 3 i umorzył postępowanie w tym zakresie, II. w pozostałym zakresie utrzymał w mocy zaskarżoną decyzję. W uzasadnieniu decyzji organ podał, że dniu [...] czerwca 2014 r. GIODO wydał decyzję [...], nakazującą Prezydentowi Miasta W. z siedzibą w W. usunięcie uchybień w procesie przetwarzania danych osobowych w zakresie: 1. zmodyfikowania klauzuli obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182), zamieszczonej na formularzu wniosku o wydanie spersonalizowanej [...] karty miejskiej/hologramu w taki sposób, aby wynikało z niej jednoznacznie, że administratorem danych osobowych przekazywanych za pomocą ww. formularza, w przypadku, gdy osoba wnioskuje wyłącznie o hologram [...] lub hologram [...], jest wyłącznie Prezydent W., w terminie 30 dni od dnia, w którym decyzja stanie się ostateczna, 2. uzupełnienie klauzuli obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182), zamieszczonej na formularzu wniosku o wydanie spersonalizowanej [...] karty miejskiej/hologramu poprzez wskazanie, dla weryfikacji jakich konkretnie uprawnień będą przetwarzane dane osobowe pozyskiwane za pomocą przedmiotowego formularza, w terminie 30 dni od dnia, w którym decyzja stanie się ostateczna, 3. zaprzestanie pozyskiwania do wglądu danych w zakresie: numer identyfikatora podatkowego (NIP) podatnika, informacja o wybranym przez podatnika sposobie opodatkowania, a ponadto danych osobowych małżonka podatnika w zakresie: NIP, imię, nazwisko, data urodzenia oraz adres miejsca zamieszkania, w związku z weryfikowaniem uprawnień do otrzymania "[...]" lub "[...]", w terminie 30 dni od dnia, w którym decyzja stanie się ostateczna. 4. zaprzestanie przekazywania danych osobowych osób ubiegających się o "[...]" lub "[...]" do Ministerstwa Finansów w celu dokonania weryfikacji w Centralnym Rejestrze Podmiotów - Krajowej Ewidencji Podatników, czy osoby te posiadały na dzień [...] grudnia roku poprzedzającego rok, w którym złożyły wniosek o hologram, adres miejsca zamieszkania na terenie W., w terminie od dnia, w którym decyzja stanie się ostateczna, 5. zaprzestanie pozyskiwania danych osobowych z Centralnego Rejestru Podmiotów - Krajowej Ewidencji Podatników w celu weryfikowania uprawnień do otrzymania "[...]" lub "[...]", w terminie od dnia, w którym decyzja stanie się ostateczna. W pozostałym zakresie postępowanie umorzono. W dniu 14 lipca 2014 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął wniosek pełnomocnika Prezydenta Miasta W. o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora nr [...]. We wskazanym wniosku pełnomocnik Prezydenta Miasta W. zarzucił zaskarżonej decyzji naruszenie prawa materialnego, tj. art. 2 ust. 2 i art. 7 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182), zwanej dalej "ustawą" oraz art. 7 i 77 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2013 r., poz. 267 ze zm.), zwanej dalej "k.p.a.", oraz wniósł o uchylenie zaskarżonej decyzji w zakresie pkt I ppkt 3, 4 i 5 oraz umorzenie postępowania w tym zakresie. W uzasadnieniu wnioskodawca podniósł, że: 1. w procesie weryfikacji uprawnień do otrzymania "[...]" lub "[...]", polegającym na wglądzie w zeznanie podatkowe lub urzędowe potwierdzenie odbioru (UPO) nie dochodzi do przetwarzania danych osobowych. Wgląd w dokument przedstawiony przez osobę zainteresowaną służy weryfikacji uprawnienia do zniżki, a konkretnie sprawdzeniu, czy osoba ta rozlicza się z podatku dochodowego w W. Prezydent W. posiada już określony zestaw danych osobowych zainteresowanego, a weryfikacja polega jedynie na wglądzie w przedstawiony przez niego dokument. Dlatego też, nie tylko nie dochodzi tu do przetwarzania danych osobowych w rozumieniu art. 7 pkt 2 ustawy, ale w ogóle przepisy ustawy nie mają do owego wglądu zastosowania. Przede wszystkim Prezydent W. nie zbiera tych danych w procesie weryfikacji uprawnień. Jedyną informacją, jaka wynika z wglądu w zeznanie i którą Prezydent W. sprawdza (choć jej nie utrwala w żaden sposób) jest potwierdzenie, że dana osoba rozlicza się z podatków w W. Informacja ta jednak nie trafia do zbioru danych Prezydenta W., 2. nawet gdyby uznać, że ustawa ma zastosowanie do procedury wglądu w zeznanie podatkowe/UPO, to nie dochodzi tu do przetwarzania danych osobowych. Zgodnie z art. 7 pkt 2 ustawy, przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Intencją ustawodawcy było objęcie definicją przetwarzania danych całego zakresu czynności, które mogą być wykonane na danych osobowych. Pierwszą czynnością musi być jednak pozyskanie danych; tymczasem w omawianym przypadku nie dochodzi do pozyskania danych, o których mowa w nakazie sformułowanym w pkt I ppkt 3 zaskarżonej decyzji. Istotą wglądu w celu weryfikacji uprawnień jest bowiem jedynie sprawdzenie cech dokumentu pod kątem jego wiarygodności oraz imienia i nazwiska zainteresowanego. Podczas weryfikacji nie dochodzi do utrwalenia jakichkolwiek informacji, zarówno tych zawartych w dokumentach przedstawionych przez zainteresowanego, jak i informacji potwierdzającej uprawnienia zainteresowanego, 3. zgodnie z art. 7 k.p.a., w toku postępowania organy administracji publicznej stoją na straży praworządności, z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Z kolei art. 77 § 1 k.p.a. stanowi, że organ administracji publicznej jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. W niniejszej sprawie GIODO nie zbadał charakteru podstaw prawnych współpracy pomiędzy Prezydentem W. a Ministrem Finansów. Analizując umowę zawartą w dniu [...] listopada 2013 r. GIODO doszedł jedynie do wniosku, że de facto nie miała ona charakteru umowy powierzenia przetwarzania danych osobowych. Prezydent W. w toku postępowania wskazywał, iż nawet gdyby uznać, że zastosowano nieprawidłowo konstrukcję powierzenia przetwarzania danych, a w istocie doszło do przekazania danych osobowych pomiędzy dwoma administratorami danych, to jeszcze nie oznacza nieważności takiej czynności. Należy bowiem zbadać, czy administratorzy legitymują się co najmniej jedną z podstaw prawnych określonych w art. 23 ust. 1 ustawy. Wnioskodawca stoi przy tym na stanowisku, że przesłanki legalności po stronie przekazującego i odbiorcy powinny zostać poddane odrębnej analizie. Dobrowolnie i świadomie wyrażona zgoda na weryfikację danych daje Prezydentowi W. pełne prawo do weryfikacji uprawnień, poprzez uzyskanie potwierdzenia zarówno na podstawie wglądu w zeznanie podatkowe/UPO jak i na podstawie informacji od Ministra Finansów. Ponadto GIODO uznał również przesłankę wynikającą z art. 23 ust. 1 pkt 2 przyznając, że akty prawa miejscowego w powiązaniu z odpowiednimi przepisami ustaw samorządowych oraz przepisami konstytucyjnymi, stanowią podstawę do weryfikacji uprawnień w ramach programu. GIODO nie wyjaśnił jednak, dlaczego uznaje przekazywanie przez Prezydenta W. danych Ministrowi Finansów oraz uzyskiwanie od niego potwierdzenia faktu rozliczania się w urzędzie skarbowym na terenie W., za sprzeczne z prawem, 4. GIODO uznał, że wymiana danych i informacji z Ministrem Finansów nie może mieć miejsca z uwagi na przepisy dotyczące ewidencji podatników. W art. 14 ust. 2 pkt 2 ustawy z dnia 13 października 1995 r. o zasadach ewidencji i identyfikacji podatników i płatników jest natomiast mowa o dwóch rodzajach czynności: weryfikacji danych oraz porównaniu ich z rejestrami urzędowymi. Prowadzony przez Prezydenta W. zbiór danych o nazwie "Posiadacze [...] i [...]" nie jest rejestrem urzędowym, zatem dane z [...] nie mogą być przedmiotem porównania z danymi z tego zbioru. GIODO nie wyjaśnił jednak, dlaczego Prezydent W. nie może dokonywać weryfikacji danych, o której mowa w tym przepisie. Zdaniem wnioskodawcy, nie stoi na przeszkodzie takiej weryfikacji ograniczona lista odbiorców danych z [...] określona w art. 15 ust. 2 ww. ustawy (nie figurują na niej organy jednostek samorządu terytorialnego). Weryfikacja uprawnień do zniżki nie prowadziła bowiem do przekazania Prezydentowi W. jakichkolwiek danych zawartych z [...], a jedynie do weryfikacji, o której mowa we wspomnianym art. 14 ust. 2 pkt 2. Powyższa kwestia powinna zostać wyjaśniona, ponieważ nie jest wykluczone, że intencją ustawodawcy było stworzenie możliwości weryfikacji danych w [...] przez podmioty niewymienione w art. 15 ust. 2 ww. ustawy, 5. Prezydent W. zrealizuje nakazy określone w pkt 1-2 decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2014 r. nr [...]. W dniu 29 sierpnia 2014 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęło pismo pełnomocnika Prezydenta Miasta W. z dnia [...] sierpnia 2014 r. (znak:[...]), informujące o uzupełnieniu obowiązku informacyjnego zamieszczonego na formularzu wniosku o wydanie spersonalizowanej [...] karty miejskiej/hologramu, poprzez wydanie Zarządzenia Nr [...] Dyrektora Zarządu [...] z dnia [...] sierpnia 2014 r. w sprawie zasad i trybu przyjmowania wniosków o wydanie potwierdzenia uprawnień do Biletu [...], Biletu [...], Ulgowego Biletu [...] oraz dla realizacji Programu "[...]" (formularze wniosków stanowią załączniki do ww. Zarządzenia). Po ponownym zapoznaniu się z całością materiału zgromadzonego w sprawie Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje. Zgodnie z art. 26 ust. 1 pkt 1 ustawy, administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem. Zgodnie zaś z art. 31 ust. 1 ustawy, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (art. 31 ust. 2 ustawy). W przypadku zatem, gdy administrator danych skorzysta z upoważnienia wynikającego z brzmienia powołanego przepisu, dochodzi do zlecenia "na zewnątrz" przetwarzania danych osobowych. Podmiot, któremu administrator danych powierzył przetwarzanie danych osobowych, może je jednak przetwarzać wyłącznie w przewidzianym umową zakresie i w określonym w umowie celu (art. 31 ust. 2 ustawy). Jak ustalono, w dniu [...] listopada 2013 r. pomiędzy Prezydentem W. a Ministrem Finansów została zawarta "umowa powierzenia przetwarzania danych osobowych" w sprawie współpracy w zakresie weryfikacji uprawnień osób zamierzających skorzystać z przyznanych zniżek lub ulg na zasadach określonych uchwałami Rady W. Zgodnie z postanowieniami ww. umowy, Prezydent W. oraz Minister Finansów powierzają sobie wzajemnie dane osobowe do przetwarzania, tj. Prezydent W. - podając dane osobowe osób ubiegających się o wydanie "[...]" lub "[...]" w zakresie: imię, nazwisko, nr PESEL, a w przypadku cudzoziemców: imię, nazwisko, datę urodzenia oraz NIP - kieruje do Ministra Finansów zapytanie czy dana osoba, posiadała na dzień [...] grudnia roku poprzedzającego rok, w którym złożyła wniosek o hologram, adres miejsca zamieszkania na terenie W. Natomiast Minister Finansów uzupełnia przekazane dane osobowe poprzez podanie w kolumnie dotyczącej miejsca zamieszkania "tak", w przypadku gdy dana osoba posiadała w Centralnym [...] na dzień [...] grudnia roku poprzedzającego rok, w którym złożyła wniosek o hologram, adres miejsca zamieszkania na terenie W. lub "nie", w przypadku gdy takiego adresu nie posiadała. Jak wynika z w ww. umowy, przekazane przez Ministra Finansów dane są wykorzystane przez Prezydenta W. wyłącznie w celu rozpatrzenia wniosków osób zainteresowanych przyznaniem zniżek lub ulg przy zakupie biletów komunikacji miejskiej określonych w uchwałach Rady W. z dnia [...] października 2013 r.: Nr [...] i [...]. Odnosząc się do powyższego należy wskazać, że instytucja powierzenia przetwarzania danych daje administratorowi danych możliwość zlecenia innemu podmiotowi wykonywania wszelkich operacji na danych osobowych, takich jak: zbieranie, utrwalanie, przechowywanie itp. Jednakże podkreślić należy, że wszystkie te operacie powinny być wykonywane na rzecz administratora danych na danych w tych celach powierzonych. W opisanym wyżej stanie faktycznym Prezydent W. przekazuje Ministrowi Finansów dane osobowe osób ubiegających się o "[...]" lub "[...]", jednak celem przekazania tych danych nie jest w istocie wykonywanie w imieniu i na rzecz Prezydenta W. operacji na powierzonych danych osobowych, ale pozyskanie dodatkowych informacji o osobach, których przekazane dane dotyczą, ze zbioru prowadzonego przez Ministra Finansów, jako administratora danych. W związku z powyższym należy stwierdzić, że przedmiotem umowy powierzenia przetwarzania danych osobowych zawartej w dniu [...] listopada 2013 r. pomiędzy Prezydentem W. a Ministrem Finansów, wbrew jej nazwie, nie jest w istocie powierzenie przetwarzania danych osobowych w myśl art. 31 ust. 1 ustawy, lecz udostępnienie danych innemu podmiotowi w celu pozyskania danych z prowadzonego przez niego zbioru danych. W uzasadnieniu decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2014 r., nr [...], słusznie zatem wskazano, że zawarta w dniu [...] listopada 2013 r. pomiędzy Prezydentem W. a Ministrem Finansów umowa powierzenia przetwarzania danych osobowych w sprawie współpracy w zakresie weryfikacji uprawnień osób zamierzających skorzystać z przyznanych zniżek lub ulg na zasadach określonych uchwałami Rady W., nie stanowi dla Prezydenta W. podstawy, o której mowa w art. 31 ust. 1 ustawy, do przekazywania Ministrowi Finansów danych osobowych osób ubiegających się o "[...]" lub "[...]". Ponadto w związku z tym, że Prezydent W. nie przetwarza pozyskanych od Ministra Finansów danych osobowych w imieniu i na rzecz Ministra Finansów, lecz wykorzystuje je do realizacji własnych celów (weryfikacja uprawnień do otrzymania "[...]" lub "[...]"), ww. umowa nie stanowi również podstawy, o której mowa w art. 31 ust. 1 ustawy, do pozyskiwania przez Prezydenta W. danych dotyczących zamieszkiwania na terenie W. przez osoby ubiegające się o hologram (poprzez wskazanie "tak" lub "nie"). W związku z powyższym, Prezydent W. w odniesieniu do przedmiotowych danych nie posiada statusu podmiotu, któremu powierzono ich przetwarzanie w myśl art. 31 ustawy. Podsumowując powyższe rozważania należy stwierdzić, że w omawianym przypadku dochodzi do udostępniania przez Prezydenta W. danych osobowych osób ubiegających się o "[...]" lub "[...]" Ministrowi Finansów w celu pozyskania dodatkowych informacji o osobach, których przekazane dane dotyczą, ze zbioru prowadzonego przez Ministra Finansów oraz do udostępniania przez Ministra Finansów z [...] Prezydentowi W. informacji na temat zamieszkiwania na terenie W. przez osoby ubiegające się o hologram (poprzez wskazanie "tak" lub "nie") w celu weryfikacji uprawnień do otrzymania "[...]" lub "[...]". Jak słusznie podnosi wnioskodawca, przetwarzanie danych osobowych, w tym ich udostępnianie, wymaga spełnienia jednej z przesłanek określonych w art. 23 ust. 1 ustawy. Jednocześnie zgodnie z zasadą legalizmu wyrażoną w art. 7 Konstytucji Rzeczypospolitej Polskiej, organy władzy publicznej działają na podstawie i w granicach prawa. Podmioty publiczne są zobowiązane do przetwarzania danych osobowych dla realizacji określonych ustawowo celów. W analizowanym przypadku dochodzi do wykorzystywania danych osobowych pochodzących ze zbioru Centralny Rejestr [...] dla celów realizacji projektu "[...]" i "[...]". Centralny Rejestr Podmiotów - Krajowa Ewidencja Podatników jest prowadzony przez Ministra Finansów na podstawie ustawy z dnia 13 października 1995 r. o zasadach ewidencji i identyfikacji podatników i płatników (Dz. U. z 2012 r., poz. 1314 z późn. zm.). Wskazana ustawa określa, w jakim celu CRP KEP jest prowadzony, jakie podmioty mają do niego dostęp oraz jakim podmiotom dane z CRP KEP są udostępniane. W myśl art. 14 ust. 2 powołanej ustawy, CRP KEP służy: 1) gromadzeniu wybranych danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających: a) ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów, b) z niektórych dokumentów związanych z obowiązkami wynikającymi z przepisów podatkowych; 2) weryfikacji danych, o których mowa w pkt 1, oraz porównaniu ich z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów. Według zaś założeń ustawodawcy CRP KEP powinien zapewnić: 1) identyfikację podmiotów przez gromadzenie danych ewidencyjnych pochodzących z rejestru PESEL, 2) identyfikację podatników w ramach całego kraju przez gromadzenie i weryfikację danych wynikających ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów, 3) spójność i poprawność dla całego systemu ewidencji podatników przez zintegrowanie w jednym miejscu pochodzących z różnych urzędów skarbowych danych ewidencyjnych podmiotów, 4) usprawnienie i przyspieszenie procesu rejestracji podmiotów i nadawania NIP oraz wykorzystywanie danych w nim zgromadzonych do realizacji celów i zadań ustawowych, tj.: Ministrowi Finansów, dyrektorom izb skarbowych, naczelnikom urzędów skarbowych, Szefowi Służby Celnej, dyrektorom izb celnych, naczelnikom urzędów celnych, organom kontroli skarbowej oraz Generalnemu Inspektorowi Informacji Finansowej (zob. uzasadnienie projektu ustawy nowelizującej z 29 lipca 2011 r., druk sejmowy nr 4159, www.seim.gov.pl. Zgodnie z art. 14a ustawy o zasadach ewidencji i identyfikacji podatników i płatników, podmiotami upoważnionymi na mocy ustawy do ciągłego wykorzystywania danych z CRP KEP w związku z realizacją celów i zadań ustawowych są: Minister Finansów, dyrektorzy izb skarbowych, naczelnicy urzędów skarbowych, Szef Służby Celnej, dyrektorzy izb celnych, naczelnicy urzędów celnych, organy kontroli skarbowej oraz Generalny Inspektor Informacji Finansowej. Odmienną sytuację stanowi udostępnianie danych m.in. sądom, prokuratorom, organom podatkowym, organom celnym, przedstawicielom Najwyższej Izby Kontroli, Policji, Agencji Bezpieczeństwa Wewnętrznego, Centralnego Biura Antykorupcyjnego, Służby Kontrwywiadu Wojskowego i Żandarmerii Wojskowej - w związku z prowadzonym postępowaniem, co następuje na ich żądanie (art. 15 ust. 2 ww. ustawy). Mając na uwadze powyższe wskazać należy, że w żadnym z ww. celów funkcjonowania CRP KEP nie mieści się dokonywanie weryfikacji danych, które nie pochodzą z rejestrów urzędowych, na zlecenie innych podmiotów w oparciu o dane w nim zawarte. Ustawodawca ograniczył bowiem możliwość porównywania danych zgromadzonych w CRP KEP z innymi danymi wyłącznie do rejestrów urzędowych prowadzonych na podstawie odrębnych przepisów. Rejestry urzędowe są zaś definiowane w przepisach, na podstawie których są prowadzone. Nie ulega wątpliwości, że zbiór danych o nazwie "Posiadacze [....] i [...]" (nr zgłoszenia [...] nie jest rejestrem urzędowym. Zatem, skoro z przepisów regulujących funkcjonowanie CRP KEP nie wynika możliwość wykorzystywania danych w nim zgromadzonych w celu weryfikowania uprawnień do zniżek lub ulg przewidzianych w ramach programu "[...]" i "[...]" prowadzonego przez Prezydenta W., Minister Finansów nie ma podstaw prawnych do przetwarzania danych osobowych zgromadzonych w rejestrze CRP KEP w ww. celu, w tym do ich udostępniania z przedmiotowego zbioru dla ww. celów. W konsekwencji Prezydent W. nie jest uprawniony do pozyskiwania tych danych dla realizacji celu, jakim jest weryfikacja uprawnień do otrzymania hologramu "[...]" lub "[...]". Ponadto, skoro Minister Finansów nie jest uprawniony do wykorzystywania danych zgromadzonych w CRP KEP w celu dokonywania weryfikacji, czy osoby ubiegające się o "[...]" lub "[...]" posiadały na dzień 31 grudnia roku poprzedzającego rok, w którym złożyły wniosek o hologram, adres miejsca zamieszkania na terenie W., po stronie Prezydenta W. brak jest również podstaw do udostępniania Ministrowi Finansów danych osobowych osób ubiegających się o hologram w celu przeprowadzenia takiej weryfikacji. Ponadto, mając na uwadze treść art. 15 ust. 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, zgodnie z którym dane zgromadzone w CRP KEP udostępnia się m.in. organom podatkowym, należy wskazać na marginesie, że Prezydent W. wykonując uchwały Rady Miasta W. Nr [...] oraz nr [...] (w sprawie opłat za usługi przewozowe środkami lokalnego transportu zbiorowego w W.), nie występuje jako organ podatkowy w myśl przepisów ustawy z dnia 12 stycznia 1991 r. o podatkach i opłatach lokalnych (Dz. U. 2010 r. Nr 95 poz. 613 z późn. zm.). Odnosząc się natomiast do zarzutu, jakoby Generalny Inspektor Ochrony Danych Osobowych nie zbadał, czy Minister Finansów oraz Prezydent W. legitymują się co najmniej jedną z przesłanek określonych w art. 23 ust. 1 ustawy, które umożliwiałyby wymianę danych niezbędną do weryfikacji uprawnień do otrzymania hologramu "[...]" lub "[...]", należy wskazać, że przepisy ustawy o zasadach ewidencji identyfikacji podatników i płatników, w zakresie dotyczącym celu przetwarzania danych zgromadzonych w CRP KEP, jak również udostępniania danych z przedmiotowego rejestru, przewidują dalej idącą ochronę niż wynikająca z ustawy o ochronie danych osobowych. Dlatego też, stosownie do art. 5 ustawy, przepisy te wyłączają stosowanie przepisów ustawy o ochronie danych osobowych odnoszących się do kwestii dopuszczalności przetwarzania danych osobowych (art. 23 ustawy). We wniosku o ponowne rozpatrzenie sprawy pełnomocnik Prezydenta W. wskazał ponadto, że prowadzony przez Prezydenta W. zbiór danych "[...]" (nr zgłoszenia [...]) nie jest wprawdzie rejestrem urzędowym, co powoduje, że dane z CRP KEP nie mogą być przedmiotem porównania z danymi z tego zbioru, jednakże Generalny Inspektor Ochrony Danych Osobowych nie wyjaśnił dlaczego Prezydent W. nie może dokonywać weryfikacji danych, o której mowa w art. 14 ust. 2 pkt 2 ustawy; weryfikacja ta nie prowadzi bowiem do przekazania Prezydentowi W. jakichkolwiek danych zawartych z CRP KEP. Odnosząc się do powyższego należy wskazać, że przekazywane przez Ministra Finansów informacje w ramach wymiany danych z Prezydentem W. potwierdzają (lub nie) fakt zamieszkiwania na terenie W. przez osoby, których zapytanie dotyczy (zapytanie zawiera dane tych osób w zakresie: imię, nazwisko, nr PESEL, a w przypadku cudzoziemców: imię, nazwisko, datę urodzenia oraz NIP). Są to zatem informacje dotyczące zidentyfikowanych osób w związku z czym, stosownie do treści art. 6 ust. 1 ustawy, stanowią one dane osobowe w rozumieniu ustawy. Odnosząc się natomiast do argumentacji, że Generalny Inspektor Ochrony Danych Osobowych nie wyjaśnił, dlaczego Prezydent W. nie może dokonywać weryfikacji danych, o której mowa w art. 14 ust. 2 pkt 2 ustawy, należy ponownie wskazać na treść art. 14 ust.1 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, który stanowi, że CRP KEP służy: 1) gromadzeniu wybranych danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających: a) ze zgłoszeń identyfikacyjnych aktualizacyjnych podmiotów, b) z niektórych dokumentów związanych z obowiązkami wynikającymi z przepisów podatkowych; 2) weryfikacji danych, o których mowa w pkt 1, oraz porównaniu ich z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów. Jak wynika z treści przytoczonego przepisu, weryfikacja, o której w nim mowa (pkt 2), dotyczy wyłącznie danych, które są gromadzone w CRP KEP (o których mowa w pkt 1 ww. artykułu). Z tego względu nie jest możliwe, aby dane zgromadzone w CRP KEP były wykorzystywane do dokonywania weryfikacji danych dotyczących osób ubiegających się o hologram - zgromadzonych w zborze danych o nazwie "Posiadacze [...] i [...]" (nr zgłoszenia [...]). Ponadto, po dokonaniu ponownej analizy materiału dowodowego zgromadzonego w niniejszej sprawie, Generalny Inspektor Ochrony Danych Osobowych uwzględnił przedstawione przez pełnomocnika Prezydenta W. argumenty dotyczące sposobu weryfikowania uprawnień do otrzymania "[...]" lub "[...]", z których wynika, że: weryfikacja uprawnień do otrzymania hologramu "[...] " lub "[...]" na podstawie okazanej przez wnioskodawcę kopii pierwszej strony zeznania podatkowego następuje jedynie poprzez wgląd w informacje zawarte w tym dokumencie, którego celem jest wyłącznie potwierdzenie, że osoba wnioskująca o hologram rozlicza się z podatku dochodowego we właściwym urzędzie skarbowym na terenie W.; w procesie weryfikacji uprawnień, nie dochodzi natomiast do utrwalania żadnych danych, ani tym bardziej do dalszego przetwarzania danych zawartych w okazanej do wglądu kopii pierwszej strony zeznania podatkowego. Biorąc pod uwagę powyższe, Generalny Inspektor Ochrony Danych Osobowych rozpoznając ponownie sprawę uznał, że określony przez Prezydenta W. sposób weryfikacji uprawnień do otrzymania "[...]" lub "[...]", polegający wyłącznie na wglądzie w informacje zawarte w kopii pierwszej strony zeznania podatkowego celem potwierdzenia, że osoba wnioskująca o hologram rozlicza się z podatku dochodowego we właściwym urzędzie skarbowym na terenie W., nie prowadzi do pozyskania danych osobowych, które byłyby nieadekwatne w stosunku do celów, dla których są zbierane, a tym samym nie narusza zasady adekwatności zawartej w art. 26 ust. 1 pkt 3 ustawy. Jednocześnie na podstawie przedstawionych przez pełnomocnika dowodów należy uznać, iż Prezydent W. usunął pozostałe uchybienia stanowiące przedmiot postępowania administracyjnego zakończonego decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 201 r. nr [...], tj.: zmodyfikowana została klauzula obowiązku informacyjnego, o którym mowa w art. 24 w art. 24 § 1 ustawy, zamieszczona na formularzu wniosku o wydanie spersonalizowanej [...] karty miejskiej/hologramu (...) w taki sposób, że wskazano, iż administratorem danych osobowych przekazywanych za pomocą ww. formularza, w przypadku, gdy osoba wnioskuje wyłącznie o hologram [...] lub hologram [...], jest wyłącznie Prezydent W., uzupełniona została klauzula obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 ustawy, zamieszczona na formularzu wniosku o wydanie spersonalizowanej [...] karty miejskiej/hologramu (...) poprzez wskazanie, że dane osobowe pozyskiwane za pomocą przedmiotowego formularza będą przetwarzane dla weryfikacji uprawnień objętych ww. wnioskiem, a przewidzianych w konkretnie przywołanych uchwałach Rady W. tj.: uchwale Nr [...] Rady W. z dnia [...] października 2013 r. (...), uchwale [...] Rady W. z dnia [...] marca 2008 r. (...) i uchwale Nr [...] Rady Miasta W. z dnia [...] października 2013 r. w sprawie przyjęcia programu "[...]" (...). Z powyższych względów decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2014 r., nr [...], w zakresie nakazu określonego w pkt I ppkt 1, ppkt 2 i ppkt 3, została uchylona i umorzono postępowanie w tym zakresie. Jak stanowi bowiem art. 138 § 1 pkt 2 k.p.a., organ odwoławczy wydaje decyzję, w której: uchyla zaskarżoną decyzję w całości albo w części i w tym zakresie orzeka co do istoty sprawy bądź uchylając tę decyzję - umarza postępowanie pierwszej instancji. Natomiast w myśl art. 140 k.p.a., w sprawach nieuregulowanych w art. 136-139 w postępowaniu przed organami odwoławczymi mają odpowiednie zastosowanie przepisy o postępowaniu przed organami pierwszej instancji. Z tych względów, organ odwoławczy może wydać decyzję umarzającą postępowanie w pierwszej instancji wówczas, gdy postępowanie to stało się bezprzedmiotowe, przy czym idzie tu o tzw. obiektywną bezprzedmiotowość postępowania pierwszoinstancyjnego, o której mowa w art. 105 § 1 k.p.a. - wyrok NSA z dnia 9 stycznia 1985 r., III SA 1105/84, RNGA 1986, nr 2, s. 37; GAP 1987, nr 5, s. 43, w którym stwierdzono, że: "Art. 138 § 1 pkt 2 k.p.a. nie precyzuje wyraźnie przyczyn umorzenia w postępowaniu odwoławczym postępowania pierwszej instancji. Wydaje się jednak oczywiste, że umarzając postępowanie organu I instancji, organ odwoławczy kieruje się przesłankami określonymi w art. 105 § 1 k.p.a., czyli spowodowaną jakimikolwiek przyczynami - bezprzedmiotowością postępowania." (A. Wróbel Komentarz aktualizowany do art. 138 Kodeksu postępowania administracyjnego, Lex/el. 2012 nr 121168). Ponadto, jak wskazał Naczelny Sąd Administracyjny w wyroku z dnia 24 stycznia 2013 r., I OSK 1827/11 (http://orzeczenia.nsa.gov.pl/): "(...) rozstrzygając sprawę, z wniosku w trybie art. 127 § 3 k.p.a. organ nie ocenia legalności swej poprzedniej decyzji, lecz ponownie rozpoznaje sprawę w jej całokształcie. Oznacza to, że jeżeli strona wykonała nałożone na nią nakazy, organ obowiązany jest, po potwierdzeniu tego, wobec zmiany stanu faktycznego, wydać decyzję na podstawie art. 138 § 1pkt 2 kpa. Powyższa decyzja stała się przedmiotem skargi wniesionej do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której skarżący wniósł o uchylenie zaskarżonej decyzji, o zasądzenie kosztów oraz o wstrzymanie wykonania zaskarżonej decyzji. Zaskarżonej decyzji zarzucił: 1) Naruszenie przepisów prawa materialnego, tj. art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 roku ochronie danych osobowych (dalej "UODO") w zw. z art. 14 ust. 2 pkt 2 ustawy z dnia 13 października 1995 r. o zasadach ewidencji i identyfikacji podatników i płatników (dalej "UZEIPP") poprzez ich błędne zastosowanie polegające na uznaniu, że weryfikacja danych w Centralnym Rejestrze Podmiotów - Krajowej Ewidencji Podatników (dalej "CRP KEP") nie obejmuje możliwości weryfikacji uprawnień do zniżek w dobrowolnych projektach i programach organizowanych przez organy administracji publicznej w ramach działalności o charakterze organizatorskim; 2) naruszenie przepisu prawa materialnego, tj. art. 23 ust. 1 pkt 1 UODO poprzez uznanie, że na podstawie zgody na przetwarzanie danych osobowych udzielanej Skarżącemu przez osoby ubiegające się o [...] oraz [...], skarżący nie był uprawniony do udostępniania danych osobowych tych osób Ministrowi Finansów w celu odpytania CRP KEP, czy osoba, której dotyczy zapytanie posiadała w Centralnym Rejestrze Podmiotów - Krajowej Ewidencji Podatników na dzień 31 grudnia adres miejsca zamieszkania na terenie W.; 3) naruszenie przepisu prawa materialnego, tj. art. 23 ust. 1 pkt 4 UODO poprzez jego niezastosowanie, a tym samym uznanie, że przesłanka wykonywania zadań dla dobra publicznego nie stanowi samodzielnej podstawy prawnej do weryfikacji przez Prezydenta W. w CRP KEP uprawnień do zniżek; 4) naruszenie przepisu prawa materialnego, tj. art. 23 ust. 1 pkt 5 UODO poprzez jego niezastosowanie a tym samym uznanie, że Prezydent W. i Minister Finansów nie mają usprawiedliwionego celu w weryfikacji uprawnień do zniżek za przejazdy; 5) naruszenie przepisu postępowania, tj. art. 28 kodeksu postępowania administracyjnego poprzez nieuznanie Ministra Finansów za stronę niniejszego postępowania, pomimo, iż weryfikacja uprawnień do zniżek odbywa się poprzez wymianę informacji pomiędzy Skarżącym a Ministrem Finansów na podstawie łączącej strony umowy; 6) naruszenie przepisów postępowania, tj. art. 7 i 77 §1 kodeksu postępowania administracyjnego poprzez brak należytej weryfikacji podstaw prawnych współpracy pomiędzy Skarżącym a Ministrem Finansów, jak również nieuwzględnienie w toku prowadzonego postępowania interesu społecznego i słusznego interesu obywateli. W uzasadnieniu skargi podkreślono między innymi, że działania o charakterze władczym charakteryzujące administrację reglamentacyjno-porządkową wymagają ścisłego uporządkowania ustawowego, zaś działania niewładcze są działaniami w granicach prawa, ale często znajdujące swoje oparcie wyłącznie w ogólnych normach zadaniowych. Program i przyjęte w ramach jego realizacji projekty należą w sposób oczywisty do kategorii działań organizatorskich, a przede wszystkim korzystanie z nich oparte jest na pełnej dobrowolności. Przepisy UZEIPP w zakresie działań o charakterze organizatorskim nie mają pierwszeństwa przed UODO, a weryfikacja danych opiera się na kilku przesłankach wymienionych w art. 23 ust 1 UODO. W ocenie skarżącego nie można zgodzić się, że przepisy UZEIPP zakazują weryfikacji danych w formie przyjętej w projekcie. Podkreślono, że spełniona została przesłanka legalności przetwarzania danych osobowych, o której mowa w art. 23 ust. 1 pkt 2 UODO, tj. realizacja uprawnień wynikających z przepisów prawa. Zgodnie z art. 14 ust. 2 UZEIPP, CRP KEP służy: 1) gromadzeniu wybranych danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających: ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów, b) z niektórych dokumentów związanych z obowiązkami wynikającymi z przepisów podatkowych; 2. weryfikacji danych, o których mowa w pkt 1, oraz porównaniu ich z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów. Art. 14a wskazuje, jakim podmiotom należącym do administracji skarbowej mogą zostać przekazane dane z CRP KEP a art. 15 ust. 2 UZEIPP wskazuje inne podmioty uprawnione do otrzymywania tych danych. Zarówno art. 14a, jak i 15 ust. 2 nie mają żadnego związku z celami wskazanymi w art. 14 ust. 2, ponieważ cele dla których przekazuje się dane z rejestru innym podmiotom zostały wyraźnie określone: służą one działalności tych organów a nie weryfikacji danych w CRP KEP. Należy zwrócić uwagę, że w art. 14 ust 2 pkt 2 UZEIPP jest mowa o dwóch rodzajach czynności: weryfikacji danych oraz porównaniu ich z rejestrami urzędowymi. Czynności te - w ocenie Skarżącego - należy traktować odrębnie, jako samodzielne oraz niezależne kategorie działań. Nie budzi wątpliwości, iż w zakresie gromadzenia wybranych danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających ze zgłoszeń identyfikacyjnych oraz określonych dokumentów podatkowych Minister właściwy do spraw finansów publicznych współpracuje z naczelnikami urzędów skarbowych, co wynika wprost z art. 14 ust. 3 oraz 8 UZZEIP. Wątpliwości pojawiają się w odniesieniu do celów i działań wskazanych w art. 14 ust. 2 pkt 2 w zakresie uznania, z jakimi podmiotami minister właściwy do spraw finansów publicznych uprawniony jest współpracować w ramach ich realizacji, przy czym podkreślenia raz jeszcze wymaga fakt, iż w ocenie Skarżącego weryfikacja danych oraz porównanie danych zgromadzonych w CRP KEP z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów stanowią odrębne działania. Analizując w pierwszej kolejności czynności w zakresie porównywania danych z CRP KEP z rejestrami urzędowymi, zdefiniowania wymaga, w jaki sposób rozumiemy pojęcie "rejestru urzędowego". Rozstrzygnięcie tej kwestii rodzić może szereg trudności, z uwagi na brak legalnej definicji tego pojęcia. Pomocniczo należałoby stosować definicję zawartą w art. 3 pkt. 5 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne zgodnie z którą przez rejestr publiczny rozumieć należy rejestr, ewidencję, wykaz, listę, spis albo inną formę ewidencji, służące do realizacji zadań publicznych, prowadzone przez podmiot publiczny na podstawie odrębnych przepisów ustawowych. Wydaje się, iż zbiór danych osób ubiegających się o wydanie [...] i [...], prowadzony przez Skarżącego, z uwagi na brak podstawy ustawowej nie jest rejestrem urzędowym (rejestrem publicznym), natomiast Skarżący na żadnym etapie podstępowania nie wskazywał interpretacji odmiennej, jak również nie upatrywał w porównywaniu danych zgromadzonych w CRP KEP z rejestrami urzędowymi prowadzonymi na podstawie odrębnych podstawy do sprawdzenia czy osoby ubiegające się o wydanie [...] lub [...] posiadały w roku poprzedzającym złożenie wniosku miejsce zamieszkania na terenie W. Natomiast, odnosząc się do celu w postaci weryfikacji danych zgromadzonych w CRP KEP pokreślenia wymaga fakt, iż ustawodawca w żaden sposób nie ograniczył kręgu podmiotów, z którymi minister właściwy do spraw finansów publicznych uprawniony jest współpracować w celu jego realizacji. Należy zatem przyjąć, iż weryfikacja danych stanowi tym samym odrębny cel, o najszerszym zakresie, do realizacji którego podmiot prowadzący CRP KEP uprawniony jest bez ograniczeń przewidzianych w ustawie, w szczególności w zakresie podmiotów, z którymi może on współpracować dla jego realizacji. Za nieuzasadnione zatem należałoby uznać wykazywanie przez GIODO związku pomiędzy weryfikacją danych, o której mowa w art. 14 ust. 2 pkt 2 UZZEIP, a katalogiem podmiotów wskazanych w art. 15 ust. 2 UZZEIP. O ile bowiem minister do spraw finansów publicznych uprawniony jest udostępniać dane podmiotom wskazanym w art. 15 ust. 2 UZZEIP w celu realizacji przyznanych im kompetencji ustawowych, o tyle takie podmiotowe ograniczenie nie może mieć zastosowania do weryfikacji danych o której mowa w art. 14 ust 2 pkt 2 UZZEIP .Dodatkowo na podstawie art. 23 ust 1 pkt 1 , skarżący posiada legitymację do udostępniania danych osób ubiegających się o wydanie [...] i [...]. Kierowanie zapytania do Ministra Finansów ma na celu wyłącznie potwierdzenie prawidłowości tych informacji. Art. 14 ust 2 pkt 2 UZEIPP nie precyzuje kto może korzystać z owej weryfikacji nie ogranicza możliwości weryfikacji do konkretnych podmiotów, wobec tego nieprawidłowa jest interpretacja zgodnie z którą weryfikacja może być dokonywana tylko przez porównanie danych z danymi zgromadzonymi przez podmioty o których mowa w art. 15 ust 2 pkt 2 UZEIPP. Podkreślono, że weryfikacja danych, o których mowa w art. 14 ust.2 pkt 2 UZEIPP stanowi uprawnienie administratora danych jakim jest Prezydent W. do przetwarzania danych (w tym ich udostępnienia do CRP KEP) w rozumieniu art. 23 ust 1 pkt 2 UDDO. Wskazano również, że dane były przetwarzane za zgodą. W odpowiedzi na skargę organ wniósł o jej oddalenie. W uzasadnieniu odpowiedzi na skargę podkreślił , że nie zmienia faktu do charakteru umowy fakt, że celem pozyskiwania danych z CRP KEP przez Prezydenta W. była jedynie weryfikacja prawdziwości posiadanych przez niego danych dotyczących osób ubiegających się o "[...]" lub "[...]". Wskazał, że nie można się zgodzić, że weryfikacja prawdziwości danych uczestników projektu z wykorzystaniem danych z CRP KEP odbywała się w granicach przewidzianych przez art. 14 ust 2 pkt 2 UZEIPP. Weryfikacja, o której mowa w tym przepisie dotyczy wyłącznie danych, które są zgodne z ww. ustawą gromadzone w CRP KEP. Wskazał ponadto , że przekazywanie danych pomiędzy Prezydentem W. a Ministrem Finansów nie stanowi powierzenia przetwarzania danych osobowych w rozumieniu art. 31 ustawy, bez udostępnienia danych – w analizowanej sprawie dochodzi do udostępnienia przez Prezydenta W. danych osobowych osób ubiegających się o "[...]" lub "[...]". Celem przekazywania danych przez Prezydenta W. Ministrowi Finansów nie jest w istocie zlecenie Ministrowi Finansów wykonywanie na rzecz Prezydenta W. operacji na przekazanych danych osobowych, ale uzyskanie dodatkowych informacji o osobach, których przekazane dane dotyczą ze zbioru prowadzonego przez Ministra Finansów, ponadto Prezydent W. również nie przetwarza pozyskanych od Ministra Finansów danych osobowych na rzecz Ministra Finansów, lecz wykorzystuje je do realizacji własnego celu. W ocenie GIODO zawarta w dniu [...] listopada 2013 r. pomiędzy Prezydentem W. a Ministrem Finansów "umowa powierzenia przetwarzania danych osobowych" nie jest umową, o której mowa w art. 31 ustawy, ale jest to wzajemne udostępnianie danych osobowych, zaś udostępnianie danych z CRP KEP może odbywać się wyłącznie na zasadach określonych w ustawie o zasadach ewidencji i identyfikacji podatników i płatników. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 i 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta sprawowana jest pod względem zgodności z prawem. Oznacza to, iż przedmiotem sprawy sądowoadministracyjnej jest ocena przez Sąd prawidłowości prowadzenia przez organ administracji publicznej postępowania administracyjnego oraz zapadłego w tym postępowaniu rozstrzygnięcia. W ocenie Sądu zaskarżona decyzja nie narusza prawa. Z treści art. 1 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2002 r. nr 101, poz. 926 ze zm.) wynika, iż przysługujące każdemu prawo do ochrony dotyczących go danych osobowych nie ma charakteru absolutnego, bowiem przetwarzanie danych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich w zakresie i trybie określonym ustawą. Ochrona danych osobowych nie powinna zatem posiadać prymatu pierwszeństwa i funkcjonować w oderwaniu od przepisów służących ochronie innych wartości. Przepis art. 12 ww. ustawy statuuje główne zadania i kompetencje Generalnego Inspektora Ochrony Danych Osobowych, który pełni zarówno funkcję organu kontrolującego poprawność przetwarzania danych osobowych zgodnie z obowiązującymi przepisami oraz rzecznika interesów poszczególnych osób i interesów publicznych, jak i organu, który w tym zakresie został wyposażony we władcze kompetencje wydawania decyzji administracyjnych i rozpatrywania skarg w sprawach wykonania przepisów o ochronie danych osobowych. Stosownie do treści art. 7 pkt 2 ww. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W świetle art. 23 ust. 1 ww. ustawy, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (ust. 4). Zgodnie z art. 26 ust 1 u.o.d.o administrator danych, przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane były przetwarzane zgodnie z prawem: Zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2. 1. Merytorycznie poprawne i adekwatne w stosunku do celów , w jakich są przetwarzane 2. Przechowywane w postaci umożliwiającej identyfikację osób których dotyczą , nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania. W przedmiotowej sprawie doszło do wykorzystywania danych osobowych pochodzących ze zbioru Centralny Rejestr Podmiotów - Krajowa Ewidencja Podatników (CRP KEP) prowadzonego przez Ministra Finansów dla celów realizacji projektu "[...]" i "[...]" przyjętego uchwałami Rady W. z dnia [...] października 2013 r. Nr [...] i Nr [...], a konkretnie w celu weryfikacji uprawnień do otrzymania "[...]" lub "[...]". W celu uzyskania danych z CRP KEP na potrzeby ww. projektu, Prezydent W. - podając dane osobowe osób ubiegających się o wydanie "[...]" lub "[...]" w zakresie: imię, nazwisko, nr PESEL, a w przypadku cudzoziemców: imię, nazwisko, datę urodzenia oraz NIP - kieruje do Ministra Finansów zapytanie, czy dana osoba, posiadała na dzień 31 grudnia roku poprzedzającego rok, w którym złożyła wniosek o hologram "[...]" lub "[...]" (dalej również "hologram"), adres miejsca zamieszkania na terenie W. Natomiast Minister Finansów uzupełnia przekazane dane osobowe poprzez podanie w kolumnie dotyczącej miejsca zamieszkania "tak", w przypadku gdy dana osoba posiadała w Centralnym Rejestrze Podmiotów - Krajowej Ewidencji Podatników (CRP KEP) na dzień 31 grudnia roku poprzedzającego rok, w którym złożyła wniosek o hologram, adres miejsca zamieszkania na terenie W. lub "nie", w przypadku gdy takiego adresu nie posiadała. Centralny Rejestr Podmiotów - Krajowa Ewidencja Podatników (CRP KEP) jest prowadzony przez Ministra Finansów na podstawie ustawy z dnia 13 października 1995 r. o zasadach ewidencji i identyfikacji podatników i płatników (Dz. U. z 2012 r., poz. 1314 z późn. zm.). Powołana ustawa określa m.in. w jakim celu CRP KEP jest prowadzony, jakie podmioty mają do niego dostęp oraz jakim podmiotom dane z CRP KEP są udostępniane. W myśl art. 14 ust. 2 powołanej ustawy, CRP KEP służy: 1) gromadzeniu wybranych danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających: a) ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów, b) z niektórych dokumentów związanych z obowiązkami wynikającymi z przepisów podatkowych; 2) weryfikacji danych, o których mowa w pkt 1, oraz porównaniu ich z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów. Podmiotami upoważnionymi do ciągłego wykorzystywania danych z CRP KEP w związku z realizacją celów i zadań ustawowych, zgodnie z art. 14a ustawy o zasadach ewidencji i identyfikacji podatników i płatników, są: Minister Finansów, dyrektorzy izb skarbowych, naczelnicy urzędów skarbowych, Szef Służby Celnej, dyrektorzy izb celnych, naczelnicy urzędów celnych, organy kontroli skarbowej oraz Generalny Inspektor Informacji Finansowej. Natomiast inne podmioty - ściśle wyartykułowane w art. 15 ust. 2 ww. ustawy - m.in. sądy, prokuratorzy, organy podatkowe, organy celne, przedstawiciele Najwyższej Izby Kontroli, Policji, Agencji Bezpieczeństwa Wewnętrznego, Centralnego Biura Antykorupcyjnego, Służby Kontrwywiadu Wojskowego i Żandarmerii Wojskowej - mogą wystąpić o ich udostępnienie. W tym miejscu należy również wskazać, że dane zgromadzone w CRP KEP objęte są tajemnicą skarbową (z wyłączeniem NIP i REGON). Stanowi o tym art. 15 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, który określa też krąg podmiotów zobowiązanych do przestrzegania tajemnicy skarbowej. Należy zatem wnioskować, że inne podmioty - niewymienione w tym przepisie - nie są upoważnione do wystąpienia o udostępnienie danych z CRP KEP. Wynika to z konieczności zagwarantowania ochrony danych objętych tajemnicą skarbową zgromadzonych w CRP KEP. Jak wynika zatem z wyżej powołanych przepisów, Prezydent W. jest wprawdzie upoważniony do wystąpienia o udostępnienie danych z CRP KEP, jednak wyłącznie, gdy działa jako organ podatkowy w związku z prowadzonym postępowaniem. Należy jednak podkreślić, że Prezydent W. wykonując uchwały Rady Miasta W. Nr [...] oraz nr [...](w sprawie opłat za usługi przewozowe środkami lokalnego transportu zbiorowego w W.), nie występuje w roli organu podatkowego w myśl przepisów ustawy z dnia 12 stycznia 1991 r. o podatkach i opłatach lokalnych (Dz. U. 2010 r. Nr 95 poz. 613 z późn. zm.). Zatem, Prezydent W. nie jest upoważniony do występowania na podstawie art. 15 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, o udostępnienie danych z CRP KEP dla potrzeb realizacji projektu "[...]" i "[...]". Ponadto należy wskazać, że przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników, w zakresie dotyczącym celu przetwarzania danych zgromadzonych w CRP KEP, jak również udostępniania danych z przedmiotowego rejestru, przewidują dalej idącą ochronę niż wynikająca z ustawy o ochronie danych osobowych. Dlatego też, stosownie do art. 5 ustawy, do przetwarzania danych w ww. zakresie stosuje się przepisy tej ustawy. Przepisy te wyłączają stosowanie przepisów ustawy o ochronie danych osobowych odnoszących się do kwestii dopuszczalności przetwarzania danych osobowych (art. 23 ustawy). Biorąc pod uwagę powyższe należy wskazać, że skoro z przepisów regulujących funkcjonowanie CRP KEP nie wynika możliwość wykorzystywania danych w nim zgromadzonych w celu weryfikowania uprawnień do zniżek lub ulg przewidzianych w ramach programu "[...]" i "[...]" prowadzonego przez Prezydenta W., Minister Finansów nie ma podstaw prawnych do przetwarzania danych osobowych zgromadzonych w rejestrze CRP KEP w ww. celu, w tym do ich udostępniania z przedmiotowego zbioru dla ww. celów. Ponadto, Prezydent W. nie jest uprawniony do pozyskiwania tych danych dla realizacji celu, jakim jest weryfikacja uprawnień do otrzymania hologramu "[...]" lub "[...]", a co za tym idzie, brak jest podstaw do udostępniania danych uczestników programu "[...]" lub "[...]" w celu pozyskania informacji o tych osobach z CRP KEP. Należy podkreślić że z treści art. 14 ust. 2 UZEIPP wynika, że CRP KEP służy: 1) gromadzeniu wybranych danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających: a) ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów, b) z niektórych dokumentów związanych z obowiązkami wynikającymi z przepisów podatkowych; 2) weryfikacji danych, o których mowa w pkt 1, oraz porównaniu ich z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów. Wobec powyższego weryfikacja, o której w nim mowa (pkt 2) dotyczy wyłącznie danych, które są gromadzone w CRP KEP, tj.: danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów oraz z niektórych dokumentów związanych z obowiązkami wynikającymi z przepisów podatkowych. Dlatego też, skoro ustawa o zasadach ewidencji i identyfikacji podatników i płatników nie przewiduje takiej możliwości, brak jest podstaw do wykorzystywania danych zgromadzonych w CRP KEP w celu dokonywania weryfikacji danych dotyczących osób ubiegających się o hologram "[...]" lub "[...]" - zgromadzonych w zbiorze danych o nazwie "Posiadacze [...] i [...]" (nr zgłoszenia [...]). W ocenie Sądu przekazywane przez Ministra Finansów informacje w ramach wymiany danych z Prezydentem W. potwierdzające (lub nie) fakt zamieszkiwania na terenie W. przez osoby, których dotyczy zapytanie kierowane przez Prezydenta W. Zapytanie to zawiera dane identyfikujące te osoby w zakresie: imię, nazwisko, nr PESEL, a w przypadku cudzoziemców: imię, nazwisko, datę urodzenia oraz NIP. W związku z powyższym przekazywane przez Ministra Finansów informacje na temat zamieszkiwania (bądź nie) na terenie W. przez osoby, których zapytanie dotyczy, dotyczą zidentyfikowanych osób. Nie budzi zatem żadnych wątpliwości, że stosownie do treści art. 6 ust. 1 ustawy, informacja na temat zamieszkiwania (bądź nie) na terenie W. przez zidentyfikowaną osobę, stanowi dane osobowe w rozumieniu ustawy. W związku z powyższym należy stwierdzić, iż w ramach współpracy pomiędzy Prezydentem W. a Ministrem Finansów miało miejsce udostępnianie danych osobowych z CRP KEP na potrzeby projektu "[....]" i "[...]", do którego to udostępnienia ma zastosowanie art. 15 UZEIPP określający m.in. katalog podmiotów, którym mogą zostać udostępnione dane z CRP KEP. Powyższego faktu nie zmienia okoliczność, że celem pozyskiwania danych z CRP KEP przez Prezydenta W. była jedynie weryfikacja prawdziwości posiadanych przez niego danych dotyczących osób ubiegających się o "[...]" lub "[...]" (pozyskanych od osób, których dotyczą). Podkreślić również należy że umowa powierzenia przetwarzania danych osobowych zawarta w dniu [...] listopada 2013 r. nie miała charakteru umowy powierzenia przetwarzania danych osobowych., bowiem nie spełnia ona warunków opisanych w art. 31 u.o.d.o. Wobec powyższego przekazywanie danych pomiędzy Prezydentem W. a Ministrem Finansów nie stanowi powierzenia przetwarzania danych osobowych w rozumieniu art. 31 ustawy, lecz udostępnienie danych. Powołany przepis upoważnia administratora danych do powierzenia przetwarzania danych osobowych innemu podmiotowi w drodze umowy zawartej na piśmie. Istotą instytucji powierzenia przetwarzania danych jest jednak to, że wszystkie zlecone przez administratora danych operacje na danych powinny być wykonywane na rzecz administratora danych, na danych w tych celach przez niego powierzonych. W analizowanym przypadku dochodzi natomiast do udostępniania przez Prezydenta W. danych osobowych osób ubiegających się o "[...]" lub "[...]" Ministrowi Finansów w celu pozyskania informacji o osobach, których przekazane dane dotyczą, ze zbioru prowadzonego przez Ministra Finansów oraz do udostępniania. Należy zgodzić się z GIODO, że przekazywania danych przez Prezydenta W. Ministrowi Finansów nie jest w istocie zlecenie Ministrowi Finansów wykonywania na rzecz Prezydenta W. operacji na przekazanych danych osobowych, ale uzyskanie dodatkowych informacji o osobach, których przekazane dane dotyczą, ze zbioru prowadzonego prowadzonego przez Ministra Finansów, jako administratora danych. Ponadto, Prezydent W. również nie przetwarza pozyskanych od Ministra Finansów danych osobowych na rzecz Ministra Finansów, lecz wykorzystuje je do realizacji własnego celu, którym jest weryfikacja uprawnień do otrzymania "[...]" lub "[...]". Z powyższych względów zawarta w dniu [...] listopada 2013 r. pomiędzy Prezydentem W. a Ministrem Finansów "umowa powierzenia przetwarzania danych osobowych" w sprawie współpracy w zakresie weryfikacji uprawnień osób zamierzających skorzystać z przyznanych zniżek lub ulg na zasadach określonych uchwałami Rady W., nie stanowi, wbrew jej nazwie, umowy powierzenia przetwarzania danych, o której mowa w art. 31 ustawy. W związku z powyższym, w ramach współpracy pomiędzy Prezydentem W. a Ministrem Finansów dochodzi do wzajemnego udostępniania danych osobowych. Natomiast, odnosząc się do zarzutu naruszenia art. 28 kpa, należy wskazać, że w przedmiocie bezpodstawnego wykorzystywania danych z CRP KEP na potrzeby prowadzonego przez Prezydenta W. projektu "[...]" i "[...]" Generalny Inspektor Ochrony Danych Osobowych wszczął postępowanie nie tylko w stosunku do Prezydenta W., ale również wobec Ministra Finansów (sprawa została zakończona decyzją z [...] października 2014 r. nr [...] dot.[...]). Minister Finansów miał prawo brać czynny udział w każdym stadium prowadzonego wobec niego postępowania, a przed wydaniem decyzji miał możliwość wypowiedzieć się co do zebranych dowodów i materiałów oraz zgłoszonych żądań (o czym był informowany na piśmie na każdym z etapów postępowania). Wobec powyższego Minister Finansów nie był pozbawiony prawa udziału w postępowaniu prowadzonym przez Generalnego Inspektora Ochrony Danych Osobowych, a dotyczącym bezpodstawnego przetwarzania danych osobowych. Mając powyższe na uwadze na podstawie art. 151 ppsa Wojewódzki Sąd Administracyjny orzekł jak w sentencji