II SA/Wa 2280/14

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska Sędziowie WSA Janusz Walawski Anna Mierzejewska (spr.) Protokolant starszy sekretarz sądowy Dorota Kwiatkowska po rozpoznaniu na rozprawie w dniu 10 lipca 2015 r. sprawy ze skargi Ministra [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2014 r. nr [...] w przedmiocie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych - oddala skargę - Generalny Inspektor Ochrony Danych Osobowych, decyzją [...] z dnia [...] października 2014 r., na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2013 r., poz. 267 ze zm.) oraz art. 12 pkt 2, art. 18 ust. 1 pkt 2 i art. 22 w zw. z art. 23 ust. 1 i ust. 4 oraz art. 31 ust. 1 i ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182), po przeprowadzeniu postępowania administracyjnego w sprawie z wniosku Ministra Finansów o ponowne rozpatrzenie sprawy zakończonej decyzją GIODO z dnia [...] czerwca 2014 r., nakazującą usunięcie uchybień w procesie przetwarzania danych osobowych przez Ministra Finansów utrzymał w mocy zaskarżoną decyzję. W uzasadnieniu decyzji organ podał, że w dniu [...] czerwca 2014 r GIODO wydał decyzję nakazującą Ministrowi Finansów przywrócenie stanu zgodnego z prawem poprzez nieudostępnianie Prezydentowi [...] danych ze zbioru Centralny Rejestr Podmiotów – Krajowa Ewidencja Podatników w celu weryfikacji uprawnień do wydania Karty [...] lub Karty Młodego [...] od dnia kiedy decyzja stanie się ostateczna. W stosunku do decyzji Minister Finansów złożył wniosek o ponowne rozpatrzenie sprawy. W ocenie Ministra Finansów, Generalny Inspektor naruszył następujące przepisy: art. 23 ust. 1 pkt 4 - 5 i ust. 4 ustawy o ochronie danych osobowych, gdyż nie zastosował tego przepisu i uznał, że Minister Finansów nie może przetwarzać danych osobowych dla wypełnienia prawnie usprawiedliwionego celu. We wniosku wskazano bowiem, że podejmując się zadania związanego z weryfikacją danych dotyczących miejsca zamieszkania osób ubiegających się o Kartę [...], Minister Finansów miał na uwadze cel Programu "[...] Karta Rodziny", dla którego Miasto [...] podjęło stosowne działania. Uchwała Nr [...] z dnia [...] października 2013 r. w sprawie przyjęcia Programu precyzyjnie określa jego cele, którymi są przede wszystkim tworzenie przyjaznych warunków rozwoju rodzin z dziećmi, wzmacnianie funkcji rodzin, rozwijanie możliwości spędzania wolnego czasu rodziców z dziećmi, promowanie pozytywnego wizerunku rodziny. Wykonanie uchwały zostało powierzone Prezydentowi [...]. Odzwierciedleniem zasadności podjętych uchwał miasta i ich społecznego charakteru są wyniki referendum, które dało wotum zaufania dla Prezydenta [...]. W ocenie Ministra Finansów działanie, które wynika z podjętych Uchwał Rady Miasta znajduje uzasadnienie w społecznym aspekcie podejmowanych decyzji. Następnie wskazano, że - jak wynika ze zgromadzonego materiału - Minister Finansów, podejmując się weryfikacji danych przekazywanych na potrzeby realizacji ww. Programu nie ujawnił otrzymanych danych osobom lub podmiotom postronnym. Przetwarzanie danych miało miejsce zgodnie z obowiązującymi przepisami, pomiędzy podmiotami, które zgłaszając swoje bazy danych do GIODO, dopełniły wszelkich starań bezpiecznego ich przetwarzania w określonym celu. Minister Finansów podtrzymał także zarzut, że Generalny Inspektor nie odniósł się dostatecznie do przesłanki usprawiedliwionego celu realizowanych przez administratora danych i nie zastosował tego przepisu w stanie faktycznym niniejszej sprawy. Ponadto, zdaniem Ministra Finansów, Generalny Inspektor odmówił dopuszczenia wnioskowanych na tę okoliczność dowodów, czym naruszył art. 7 Kpa i tym samym nie wyjaśnił stanu faktycznego. Dopuszczenie bowiem wskazanych dowodów "pozwoliłoby Ministrowi Finansów wykazać, że faktycznie miało miejsce przetwarzanie danych osobowych a nie udostępnianie danych oraz wyjaśniło cel społeczny, dobro publiczne (przesłanki z art. 23 ust. 1 pkt 4 - 5 i ust. 4 ustawy o ochronie danych osobowych)". Następnie we wniosku o ponowne rozpatrzenie sprawy wskazano na naruszenie art. 7 pkt 2 ustawy o ochronie danych osobowych w związku z art. 31 ww. ustawy poprzez przyjęcie, że Minister Finansów udostępnił dane, a nie przetwarzał dane osobowe w rozumieniu tego przepisu. Zdaniem Ministra Finansów Generalny Inspektor w uzasadnieniu decyzji wprowadza zwrot "udostępnienia" przez Ministra Finansów Prezydentowi [...] danych ze zbioru CRP KEP w celu weryfikacji uprawnień do wydania "Karty [...] lub Karty Młodego [...]". Prezydent [...] przekazał dane do weryfikacji Ministrowi Finansów. W tym kontekście istotne pozostają ustalenia stanu faktycznego, czy Minister Finansów udostępnił dane i jakie, czy też Prezydent [...] w ramach udostępnienia samoistnie "korzystał" z danych zawartych w CRP KEP. Jeżeli tak, to w jaki sposób. Odnosi się do zarzutów sprecyzowanych w wyjaśnieniach Ministra Finansów, ale dokonuje ich interpretacji bez powołania się na konkretne ustalenia, wyjaśnienia i dowody zgromadzone w sprawie. Kolejny wskazany we wniosku zarzut dotyczy niedokonania przez Generalnego Inspektora pogłębionej analizy prawnej umowy z dnia [...] listopada 2013 r. i ograniczenie jej do wskazanych w trakcie postępowania kontrolnego podstaw prawnych oraz ich zakwestionowania. Jak również nieodniesienie się do treści art. 23 ust. 4 ustawy o ochronie danych osobowych w kontekście wskazanych w trakcie postępowania kontrolnego decyzji GIODO np. [...] z dnia [...] września 2010 r., [...] z dnia [...] listopada 2008 r. Generalny Inspektor pominął podniesiony w wyjaśnieniach zarzut dotyczący nierozpatrzenia przetwarzania danych osobowych przez Ministra Finansów w kontekście spełnienia przesłanki z art. 23 ust. 1 pkt 4-5 i ust.4 ustawy. Stwierdzenie takie nie może być podstawą do dokonywania wykładni gramatycznej przepisów, na podstawie których zawarto umowę, gdyż nie został ustalony stan faktyczny (art. 77 § 1 Kpa, w związku z art. 107 § 3 Kpa). Minister Finansów nie zgodził się również z wykładnią, że przesłanka zgody na przetwarzanie dotyczy podmiotu, dla którego została udzielona, gdyż jego zdaniem, z treści przepisu art. 23 ust. 1 ustawy o ochronie danych osobowych nie wynika taki warunek. Osoba składająca Wniosek o wydanie Spersonalizowanej [...] Karty Miejskiej (hologram) dla osoby zamieszkałej na terenie [...], która rozliczyła podatek dochodowy od osób fizycznych w W. oraz chce skorzystać ze zniżek i ulg wyraża zgodę na weryfikację uprawnień przewidzianych w Uchwałach Rady [...], w tym dla potrzeb realizacji Programu. Za nietrafne uznano również ustalenie, że przekazanie danych przez Ministra Finansów nastąpiło w dniu [...] listopada 2013 r. tj. przed datą rozpoczęcia przyjmowania ww. wniosków ([...] grudnia 2013 r.), gdyż wskazana umowa została zawarta w dniu [...] listopada 2013 r. Pliki z danymi przed datą zawarcia umowy były przekazywane do Ministra Finansów, a nie od Ministra Finansów. Zdaniem wnioskodawcy, Generalny Inspektor formułując dodatkowy zarzut naruszenia tajemnicy skarbowej naruszył przepisy o właściwości tj. art. 19 Kpa. Ponadto, zdaniem Ministra Finansów w CRP KEP nie są gromadzone takie wyrażenia, jak: "TAK", "NIE", "X", a tym samym nie są one objęte tajemnicą skarbową. Gdyby nawet uznać, iż ww. wyrażenia objęte są tajemnicą skarbową, to należy wskazać, iż udostępnienie danych dotyczyło organu tj. Prezydenta [...], który na podstawie art. 294 ustawy z dnia 29 sierpnia 1997 r. ustawy - Ordynacja podatkowa (Dz. U. z 2012 r., poz. 749 z późn. zm.) jest obowiązany do przestrzegania tajemnicy skarbowej. Również do przestrzegania tajemnicy skarbowej obowiązani są pracownicy urzędów obsługujący ten organ. W ocenie Ministra Finansów, należy tak interpretować przepisy o tajemnicy skarbowej, aby znaleźć miejsce dla bezkolizyjnej realizacji konstytucyjnego uprawnienia dostępu do informacji publicznej. Wskazówkę w tej mierze daje przepis art. 5 ust. 1 ustawy o dostępie do informacji publicznej traktujący nie o wyłączeniu, ale tylko o ograniczeniu prawa do informacji publicznej w zakresie i na zasadach określonych w przepisach o ochronie informacji niejawnych oraz o ochronie tajemnic ustawowo chronionych (do tej grupy należy tajemnica skarbowa). Minister Finansów nie udzielał informacji o podatnikach tylko otrzymał pliki dotyczące mieszkańców W. ubiegających się min. o zniżki przyznane na podstawie Uchwał Rady [...]. W ocenie Ministra Finansów weryfikacja otrzymanych plików w kontekście zawartej Umowy nie narusza tajemnicy skarbowej. W ocenie Ministra Finansów organy administracji publicznej działają na zasadzie legalizmu (art. 7 konstytucji Rzeczypospolitej Polskiej). W tym miejscu należy wskazać, iż GIODO nie ma kompetencji do stwierdzenia, że Minister Finansów naruszył przepisy o tajemnicy skarbowej, a tym samym ustawę o zasadach ewidencji i identyfikacji podatników i płatników. W zakresie kompetencji GIODO pozostaje ustawa o ochronie danych osobowych, nie zaś orzekanie o tajemnicy skarbowej. Wnioskodawca podtrzymał również zarzut naruszenia art. 61 ust. 4 Kpa, tj. uznania za strony postępowania tylko Ministra Finansów i Prezydenta [...], podczas gdy zdaniem ww. osoby, których dane (otrzymane z ZTM) były weryfikowane przez Ministra Finansów, są również stronami wskazanego postępowania. Nadto wskazuje, że Generalny Inspektor w protokole z kontroli, jak również w decyzji nie wyjaśnia, ani nie dokonuje ustaleń, jaki plik został przekazany z ZTM, jaka była jego wielkość, ile osób wystąpiło o wydanie spersonalizowanej [...] Karty Miejskiej, czy osoby te wyraziły zgodę lub nie na przetwarzanie ich danych osobowych i wreszcie nie podaje ich nazwisk i imion, czyli danych które mogą mieć znaczenie dla ustalenia, czy osoby te są lub czy mogą być stronami postępowania tak na gruncie ustawy, jak i Kpa. Po ponownym zapoznaniu się z całością materiału zgromadzonego w sprawie Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje. Na wstępie należy ponownie zwrócić uwagę, że Minister Finansów w ramach swoich zadań prowadzi Centralny Rejestr Podmiotów - Krajową Ewidencję Podatników (CRP KEP) na podstawie ustawy z dnia 13 października 1995 r. o zasadach ewidencji i identyfikacji podatników i płatników (Dz. U. 2012 r., poz. 1314 z późn. zm.). Wskazana ustawa określa, w jakim celu ww. rejestr jest prowadzony, jakie podmioty mają do niego dostęp oraz jakim podmiotom dane z CRP KEP są udostępniane. Z tych względów należało rozważyć, czy ustawa o ochronie danych osobowych powinna mieć zastosowanie do danych przetwarzanych w tym rejestrze, bowiem w myśl art. 5 ustawy "jeżeli przepisy odrębnych ustaw, które odnoszą się do przetwarzania danych przewidują dalej idącą ich ochronę, niż wynika to z niniejszej ustawy, stosuje się przepisy tych ustaw". Jednakże z uwagi na szereg rozbieżności w doktrynie i orzecznictwie (np. Paweł Barta, Paweł Litwiński "Ustawa o ochronie danych osobowych. Komentarz", Wydawnictwo C.H.Beck 2009 s. 80-86) dotyczących przedmiotowego wyłączenia, jak również stanowisko stron przedmiotowego postępowania konsekwentnie powołujących się na przepisy ustawy, Generalny Inspektor ocenił wskazany stan faktyczny nie tylko w świetle przepisów sektorowych regulujących działanie CRP KEP, ale również materialnych przepisów ustawy. Analiza powyższych przepisów prowadzi do wniosku, że brak jest podstaw prawnych do udostępniania przez Ministra Finansów Prezydentowi [...] danych dotyczących posiadania przez konkretne osoby adresu zamieszkania na terenie [...] ze zbioru Centralny Rejestr Podmiotów - Krajowa Ewidencja Podatników w celu weryfikacji uprawnień do wydania "Karty [...]" lub "Karty Młodego [...]". Oceniając przedmiotową sprawę na gruncie przepisów o ochronie danych osobowych należy wskazać, że zgodnie z wyrażoną w art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych zasadą legalności, administrator danych powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, w tym obowiązku zapewnienia, aby dane były przetwarzane zgodnie z prawem. Koniecznym warunkiem każdego, co do zasady, przetwarzania danych jest spełnienie przez administratora danych choćby jednej ze wskazanych w art. 23 przesłanek, uchylających zakaz przetwarzania danych. Zgodnie z art. 23 ust. 1 ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (art. 23 ust. 4 ustawy). Jak już wskazano, podstawą prowadzenia CRP KEP, jak również przetwarzania danych osobowych wchodzących w skład tego rejestru są przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników. W świetle ustawy o ochronie danych jest to zatem przesłanka wynikająca z art. 23 ust. 1 pkt 2 tej ustawy. W myśl art. 14 ust. 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, CRP KEP służy: 1) gromadzeniu wybranych danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz 0 danych wynikających: a) ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów, b) z niektórych dokumentów związanych z obowiązkami wynikającymi z przepisów podatkowych; 2) weryfikacji danych, o których mowa w pkt 1, oraz porównaniu ich z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów. Natomiast jak już wskazano uprzednio, podmiotami upoważnionymi na mocy ustawy do ciągłego wykorzystywania w związku z realizacją celów i zadań ustawowych danych CRP KEP są minister właściwy do spraw finansów publicznych, dyrektorzy izb skarbowych, naczelnicy urzędów skarbowych, Szef Służby Celnej, dyrektorzy izb celnych, naczelnicy urzędów celnych, organy kontroli skarbowej oraz Generalny Inspektor Informacji Finansowej (art. 14a ustawy o zasadach ewidencji i identyfikacji podatników i płatników). Odmienną sytuację stanowi udostępnianie danych m.in. sądom, prokuratorom, organom podatkowym, organom celnym, przedstawicielom Najwyższej Izby Kontroli, Policji, Agencji Bezpieczeństwa Wewnętrznego, Centralnego Biura Antykorupcyjnego, Służby Kontrwywiadu Wojskowego i Żandarmerii Wojskowej - w związku z prowadzonym postępowaniem, co następuje na ich żądanie (art. 15 ust. 2 ustawy) (patrz. T. Lewandowski, P. Ostojski Zasady ewidencji i identyfikacji płatników i podatników. Komentarz, LexisNexis, 2013). W świetle powyższych przepisów za niezasadny należy uznać zarzut, iż Generalny Inspektor naruszył przepisy art. 23 ust. 1 pkt 4 - 5 i ust. 4 ustawy o ochronie danych osobowych, gdyż nie zastosował tego przepisu i uznał, że Minister Finansów nie może przetwarzać danych osobowych dla wypełnienia prawnie usprawiedliwionego celu i odmówił dopuszczenia wnioskowanych na tę okoliczność dowodów (należy przy tym zauważyć, że art. 23 ust. 1 pkt 4 stanowi podstawę przetwarzania danych osobowych, gdy jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego Należy w tym miejscu jeszcze raz podkreślić, że przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników w sposób szczególny określają, w jakim celu CRP KEP jest prowadzony, jakie podmioty mają do niego dostęp oraz jakim podmiotom dane z ww. rejestru są udostępniane, stanowią zatem uregulowanie szczególne zwłaszcza w zakresie ograniczenia kręgu podmiotów, którym dane mogą być udostępniane. Z tych względów istnienie usprawiedliwionego celu lub też realizacja zadań dla dobra publicznego istniejąca po stronie podmiotu, któremu dane są udostępniane nie stanowią wystarczających przesłanek do przekazania takich danych. Dlatego też analiza tych przesłanek w przedmiotowym postępowaniu nie wydaje się istotna dla podjętego rozstrzygnięcia. Niemniej jednak Generalny Inspektor dokonując ponownie analizy zebranego w przedmiotowej sprawie materiału dowodowego (biorąc pod uwagę również upływ czasu od pierwotnego ustalenia stanu faktycznego) przesłuchał w charakterze świadków wnioskowane przez Ministra Finansów osoby na okoliczności podnoszone w tym piśmie. Przesłuchani w charakterze świadków Pani R. D. Naczelnik Wydziału Ewidencji Podmiotów i Komunikacji Elektronicznej w Departamencie Administracji Podatkowej w Ministerstwie Finansów oraz Pan M. T. Główny Specjalista w Departamencie Informatyzacji Usług Publicznych w Ministerstwie Finansów opisali sposób dokonywania weryfikacji danych przekazywanych z Zarządu Transportu Miejskiego w W. (ZTM) w oparciu o dane zawarte w Centralnym Rejestrze Podmiotów - Krajowej Ewidencji Podatników, wskazując również, że weryfikacja jest w dalszym ciągu realizowana. Pani R. D. wyjaśniła również, że przy zwrocie danych do Prezydenta [...] za pośrednictwem ZTM Minister Finansów nie przekazywał informacji dotyczących miejsca składania i rozliczania zeznań podatkowych składanych przez osoby ubiegające się o zniżkę ("Karta [...]" i "Karta Młodego [...]"). Minister Finansów nie udostępnia też informacji o miejscu zamieszkania. Wyrażenie "TAK" lub "NIE" nie pozwala na ustalenie miejsca zamieszkania danej osoby, bowiem osób o tym samym imieniu i nazwisku może być więcej niż jedna. Według ww. nie są też udostępniane informacje stanowiące tajemnicę skarbową, z uwagi na to że informacje "Tak", "Nie" nie są objęte CRP KEP oraz formularzami zgłoszeń identyfikacyjnych/aktualizacyjnych oraz formularzami deklaracji podatkowych. Ponadto, wskazała, że Minister Finansów przystępując do współpracy z Prezydentem [...] kierował się dobrem publicznym. Pan M.T. wskazał natomiast, że weryfikacja danych w Ministerstwie Finansów przynosi korzyści mieszkańcom [...] polegające na uzyskaniu ulg oraz przyspiesza proces uzyskania tych ulg. Natomiast przesłuchani w charakterze świadków: Pan S. S. Doradca Zarządu w Urzędzie [...] oraz Pan D. S. Kierownik Działu w Zarządzie Transportu Miejskiego w W. zwrócili głównie uwagę na korzyści wynikające ze współpracy Prezydenta [...] z Ministrem Finansów polegające na znacznym uproszczeniu formalności związanych z uzyskaniem uprawnień do zniżek (Karta [...] i Karta Młodego [...]), jak również na korzyści płynące z samych ulg, takie jak finansowa, czy motywacja do płacenia podatków w W. Wskazane wyjaśnienia nie wniosły zasadniczych zmian w zakresie ustalonego w przedmiotowej sprawie stanu faktycznego, poza potwierdzeniem, iż w dalszym ciągu weryfikacja uprawnień do ulg odbywa się w oparciu o dane z CRP KEP. Ponadto, potwierdziły zaprezentowane już stanowiska Ministra Finansów. Reasumując, Generalny Inspektor nie zgadza się z zaprezentowanym przez Ministra Finansów stanowiskiem, że dane zawarte w CRP KEP mogą być przetwarzane (w tym również udostępniane) na podstawie przesłanek o których mowa w art. 23 ust. 1 pkt 4 i pkt 5 ustawy o ochronie danych osobowych, w sytuacji gdy istnieją przepisy szczególne przewidujące dalej idącą ich ochronę, zwłaszcza w zakresie ograniczenia kręgu podmiotów mających dostęp do danych zgromadzonych w tym rejestrze. Na marginesie należy wspomnieć, że przyjęcie odmiennego stanowiska prowadziłoby w konsekwencji do możliwości skorzystania przez osoby, których dane dotyczą z uprawnień, o których mowa w art. 32 ust. 1 pkt 7 i pkt 8 ustawy tj. prawa do wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania ich danych ze względu na ich szczególną sytuację oraz wniesienia sprzeciwu wobec przetwarzania ich danych w przypadkach, gdy administrator danych zamierzałby je przetwarzać w celach marketingowych lub wobec przekazywania ich danych osobowych innemu administratorowi danych. W przypadku skorzystania z uprawnień, skutkowałoby to koniecznością usunięcia danych osobowych. W odniesieniu do kolejnego zarzutu należy stwierdzić, że sformułowany w decyzji nakaz nieudostępniania Prezydentowi [...] danych ze zbioru Centralny Rejestr Podmiotów - Krajowa Ewidencja Podatników w celu weryfikacji uprawnień do wydania "Karty [...]" lub "Karty Młodego [...]", miał na celu wskazanie, jakie konkretnie działania Ministra Finansów stanowią w ocenie Generalnego Inspektora naruszenie przepisów. Minister Finansów nie odpowiada za dane, które zostały mu przekazane przez Prezydenta [...] za pośrednictwem ZTM, bowiem nie staje się administratorem tych danych, nie można też z punktu widzenia przepisów stwierdzić, że wprowadza je do swojego zbioru, chociaż fizycznie dane te zostają przeniesione na serwer bazy danych CRP KEP na czas, w którym realizowany jest proces (najogólniej mówiąc) weryfikacji danych zgodnie z ustalonymi parametrami. Ten moment stanowi pierwszy krok do przetwarzania danych zawartych w CRP KEP niezgodnie z celem prowadzenia tego Rejestru, zmierzający do udostępnienia Prezydentowi [...] (za pośrednictwem ZTM) danych o następującej treści: imię nazwisko, PESEL (lub NIP, data urodzenia w przypadku osób zagranicznych), posiadanie adresu miejsca zamieszkania w W. (rezultat weryfikacji na "TAK"), nieposiadanie adresu miejsca zamieszkania w W. (lub niezgodność cech danych z danymi w Rejestrze - status weryfikacji "NIE"). Przy czym technicznie odbywa się to tylko poprzez dopisanie do danych przekazanych z ZTM statusów "TAK", "NIE", "X" (w przypadku osoby zmarłej). Dlatego też nakaz dotyczy nieudostępniania danych, nie zaś przetwarzania, które jest pojęciem szerszym i obejmującym wszelkie operacje dokonywane na danych. Generalny Inspektor skonkretyzował nakaz w zaskarżonej decyzji, stąd niezrozumiałe są podniesione we wniosku zarzuty do jego treści. Generalny Inspektor nakazał nieudostępnianie ze zbioru CPR KEP danych, które służą Prezydentowi do przyznania lub nie wyżej wskazanych ulg na przejazdy komunikacją miejską. Oczywistym jest, że weryfikacja uprawnień do ulg jest zadaniem Prezydenta [...], który przyjął jako kryteria dla tych ulg miejsce zamieszkania i miejsce płacenia podatków w W. Tymczasem Minister Finansów przekazuje Prezydentowi [...], wynikające z CRP KEP dane, wzbogacone o informację dotyczącą posiadania przez wskazaną osobę adresu miejsca zamieszkania na terenie [...] (weryfikacja danych dokonywana przez Ministra Finansów może być traktowana jedynie jako jeden z etapów weryfikacji uprawnień dokonywanych przez Prezydenta w celu przyznania ulg). W odniesieniu do kolejnego zarzutu należy ponownie wskazać, że w określonych w przepisach celach prowadzenia CRP KEP nie mieści się dokonywanie dowolnej weryfikacji danych na zlecenie innych podmiotów (w oparciu o dane zawarte w tym rejestrze). Możliwość weryfikacji została bowiem ograniczona do rejestrów urzędowych prowadzonych na podstawie odrębnych przepisów. Prowadzony przez Zarząd Transportu Miejskiego w W. zbiór danych osobowych o nazwie "Spersonalizowane [...] Karty Miejskie", nie jest takim rejestrem. Rejestry urzędowe są bowiem definiowane w przepisach, na podstawie których są prowadzone (np. przepisy o statystyce publicznej) i nie wydaje się zasadne rozszerzanie tego pojęcia do wszelkich zbiorów prowadzonych przez podmioty publiczne. Takie rozumienie prowadziłoby bowiem do wniosku, że wszystkie podmioty realizujące zadania publiczne z którymi wiąże się przetwarzanie danych osobowych w zbiorach danych miałyby możliwość weryfikacji posiadanych danych i porównywania ich z CRP KEP (a tym samym także z danymi pozyskanymi z rejestru PESEL). W ten sposób można by obejść szereg regulacji prawnych, w tym również przepisy dotyczące udostępniania danych ze wspomnianego rejestru PESEL. Odnosząc się natomiast ponownie do zarzutów dotyczących zakwestionowania umowy z dnia [...] listopada 2013 r. zawartej pomiędzy Ministrem Finansów i Prezydentem [...], jako umowy powierzenia przetwarzania danych i niedokonania pogłębionej analizy prawnej tego dokumentu, należy przypomnieć, że zgodnie z art. 31 ust. 1 ustawy, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (art. 31 ust. 2 ustawy). Powołany wyżej art. 31 ustawy upoważnia administratora do powierzenia, w drodze zawartej w formie pisemnej umowy, przetwarzania tych danych innemu podmiotowi. W przypadku zatem, gdy administrator skorzysta z takiej możliwości, dochodzi do zlecenia "na zewnątrz" przetwarzania danych. Podmiot, któremu administrator powierzył przetwarzanie danych, może je jednak przetwarzać wyłącznie w przewidzianym umową zakresie i w określonym w umowie celu (art. 31 ust. 2 ustawy). Wskazane przepisy regulują więc status podmiotu, który zawarł z administratorem danych umowę o przetwarzanie danych osobowych i przetwarza dane osobowe w imieniu administratora danych. Jak ustalono, w dniu 22 listopada 2013 r. wpłynęły do Ministerstwa Finansów trzy egzemplarze umowy powierzenia przetwarzania danych osobowych, podpisane przez Prezydenta [...]. Umowa powierzenia przetwarzania danych osobowych w sprawie współpracy w zakresie weryfikacji uprawnień osób zamierzających skorzystać z przyznanych zniżek lub ulg na zasadach określonych uchwałami Rady [...] została podpisana przez Ministra Finansów (w zastępstwie przez Sekretarza Stanu), w dniu [...] listopada 2013 r. Jak wynika z treści tej umowy, Minister Finansów oraz Prezydent [...] powierzają sobie wzajemnie do przetwarzania dane osobowe tj. Prezydent [...] (podając dane osobowe w zakresie: imię, nazwisko, nr PESEL, a w przypadku cudzoziemców: imię, nazwisko, datę urodzenia oraz NIP) kieruje do Ministra Finansów zapytanie czy osoba, która chce skorzystać ze zniżek i ulg przewidzianych w uchwałach Rady [...] posiadała na dzień 31 grudnia, adres miejsca zamieszkania na terenie [...]. W tym miejscu należy jeszcze raz podkreślić, że Minister Finansów jako administrator danych zawartych w systemie CRP KEP nie realizuje poprzez powierzenie danych osobowych Prezydentowi [...] swoich zadań. Dlatego niedopuszczalne jest wykorzystanie instytucji powierzenia przetwarzania danych w sytuacji kiedy faktycznie dochodzi do udostępniania danych innemu administratorowi danych dla realizacji jego celów. Ww. umowa nie może stanowić podstawy powierzenia przetwarzania danych, bowiem Minister Finansów nie powierzył, ale udostępnił przetwarzane dane innemu administratorowi danych. Jest to w istocie umowa regulująca sposób wymiany informacji pomiędzy ww. podmiotami, a nie instytucja, o której mowa w art. 31 ustawy o ochronie danych osobowych. Natomiast w odniesieniu do przesłanki zgody, jako podstawy udostępnienia danych przez Ministra Finansów Prezydentowi [...], należy podnieść, że zgoda wyrażana na Wniosku o wydanie spersonalizowanej karty miejskiej/hologramu dotyczy Prezydenta [...] oraz Zarządu Transportu Miejskiego w W. Możną ją zatem rozpatrywać i analizować jedynie jako podstawę prawną przetwarzania danych przez te podmioty. Przy czym w myśl art. 7 pkt 5 ustawy, ilekroć w ustawie jest mowa o zgodzie osoby, której dane dotyczą - rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie. Klauzula zgody musi być czytelna i jasna. Wyrażający zgodę musi mieć pełną świadomość tego, na co się godzi. Musi też posiadać swobodę w doborze celu, dla którego realizacji posłużą jego dane. Zgodnie ze stanowiskiem doktryny zgoda na przetwarzanie danych osobowych "powinna być wyrażona jasno i powinna być skonkretyzowana. Udzielający zgody musi być zorientowany o jakie dane chodzi i o jakie ich przetwarzanie". Ponadto zgoda nie może "odnosić się do bliżej nieokreślonych danych osobowych, które miałyby być przetwarzane w bliżej nieokreślonym celu, czy do bliżej nieokreślonych czynności" (J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych - komentarz", Kraków 2007, str. 443 i 444). Niniejsze stanowisko znajduje też potwierdzenie w orzecznictwie sądów administracyjnych. W orzeczeniu z dnia 4 kwietnia 2003 r. (II SA 2135/02, omówienie Mon. Pr. 2003, nr 10, s.435) Naczelny Sąd Administracyjny podkreślił, że "zgoda na przetwarzanie danych osobowych musi mieć charakter wyraźny, a jej wszystkie aspekty muszą być jasne dla podpisującego w momencie jej wyrażenia. Czynności takiej nie konwaliduje późniejsze poinformowanie o treści regulaminu, ani możliwość zgłoszenia zastrzeżeń wobec pewnych form przetwarzania danych". Ponadto, co istotne w niniejszej sprawie, zgodnie ze stanowiskiem doktryny "Jeżeli osoba zbierająca czy w inny sposób przetwarzająca dane osobowe zwraca się o zgodę, musi to zostać sformułowane w sposób jednoznaczny i wyróżniać się spośród innych pochodzących od tej osoby informacji i oświadczeń" (J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych - komentarz", Kraków 2007, str. 384). Sposób interpretacji pojęcia zgody został też wskazany w wyroku z dnia 11 kwietnia 2003 r., sygn. akt II SA 3942/02, Naczelny Sąd Administracyjny wskazał, że "w przypadku oświadczenia woli dotyczącego różnych celów przetwarzania (...) zgoda winna być wyrażona wyraźnie pod każdym z tych celów przetwarzania". Jak zatem wynika z ww. przepisów samo określenie "zgoda na weryfikację uprawnień" do ulg nie może stanowić podstawy do przetwarzania danych osobowych przez Ministra Finansów, bowiem nie spełnia wymaganych warunków. Ponownie też należy zauważyć, że zastosowanie przesłanki jaką jest zgoda na przetwarzanie danych wyklucza również to, że pierwsze przekazanie danych z Ministerstwa Finansów miało miejsce w dniu [...] listopada 2013 r. tj. przed datą rozpoczęcia przyjmowania ww. wniosków o wydanie spersonalizowanej karty miejskiej/hologramu ([...] grudnia 2013 r.), na których dopiero możliwe jest wyrażenie zgody. Nie można również zgodzić się ze stanowiskiem Ministra Finansów, że Generalny Inspektor podnosząc jako wzmocnienie swojej argumentacji zarzut ewentualnego naruszenia tajemnicy skarbowej działa niezgodnie z przepisami dotyczącymi swej właściwości. Jako organ powołany do spraw ochrony danych osobowych, które niejednokrotnie są objęte innymi prawnie chronionymi tajemnicami, musi brać pod uwagę w swoich rozstrzygnięciach także inne, poza przepisami o ochronie danych osobowych, regulacje prawne bezpośrednio lub pośrednio wpływające na poziom ochrony danych osobowych. Z tych względów nie można zgodzić się ze stanowiskiem Ministra Finansów, że informacje w zakresie posiadania, bądź nie, przez posiadaczy spersonalizowanej [...] Karty Miejskiej adresu miejsca zamieszkania na terenie [...], udostępniane Prezydentowi [...] z CRP KEP, nie są objęte tajemnicą skarbową z uwagi na wąski zakres udzielanych informacji. Informacje te bowiem wprost wskazują na to, czy dane osoby zamieszkują na terenie [...]. Ustawodawca określił, że dane zawarte w CRP KEP (z wyłączeniem NIP i REGON), w tym dotyczące miejsca zamieszkania, są objęte tajemnicą skarbową, nie różnicując tych danych z uwagi na zakres, czy źródło pochodzenia. W tym miejscu warto przytoczyć tezę wyroku Wojewódzkiego Sądu Administracyjnego w Poznaniu z dnia 20 listopada 2008 r. (IV SA/Po 319/2008), która brzmi: "Nie jest istotne czy strona chce jedynie potwierdzenia określonego faktu czy też uzyskania określonej informacji. Powyższe nie ma wpływu na fakt, iż dane zawarte w aktach podatkowych są objęte tajemnica skarbową (...)". O objęciu danych zgromadzonych w CRP KEP tajemnicą skarbową (z wyłączeniem NIP i REGON) stanowi art. 15 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, który określa również krąg podmiotów zobowiązanych do przestrzegania tajemnicy skarbowej, jak również wskazuje podmioty wyłącznie uprawnione do uzyskania danych z CRP KEP. Jak zatem należy wnioskować, inne podmioty - niewymienione w tym przepisie - nie są upoważnione do wystąpienia o udostępnienie wskazanych danych. Podyktowane jest to właśnie koniecznością zagwarantowania ochrony danych objętych tajemnicą skarbową. Należy zatem podkreślić, że to przepisy prawa stanowią o objęciu danych tajemnicą skarbową, między innymi z uwagi na źródło, z którego pochodzą tj. najogólniej mówiąc z dokumentów związanych z obowiązkami podatkowymi. Pogląd taki znajduje również odzwierciedlenie w orzecznictwie: "Zakres tajemnicy skarbowej wynika z samej ustawy - z mocy prawa - i jest niezależny od decyzji organu o oznaczeniu dokumentów stosowną pieczątka i adnotacją" (postanowienie NSA z 3 września 2013 r., II FSK 1271/2013, LexisNexis nr 7433922). W odniesieniu zaś do zarzutów naruszenia przez Generalnego Inspektora art. 61 ust. 4 k.p.a., art. 77 k.p.a., poprzez nieuwzględnienie w toku postępowania interesów osób, których dane (otrzymane z ZTM) były weryfikowane przez Ministra Finansów, a tym samym nieuznanie tych osób za strony przedmiotowego postępowania, należy ponownie wskazać, że zgodnie z art. 28 k.p.a. stroną jest każdy, czyjego interesu prawnego lub obowiązku dotyczy postępowanie albo kto żąda czynności organu ze względu na swój interes prawny lub obowiązek. Przedmiotowe postępowanie administracyjne zostało wszczęte zgodnie z art. 17 ust. 1 ustawy o ochronie danych osobowych, na skutek stwierdzenia naruszenia przepisów o ochronie danych osobowych na podstawie wyników kontroli przeprowadzonych u ww. administratorów danych. Ustawa o ochronie danych osobowych wprost wskazuje, wobec jakich podmiotów Generalnemu Inspektorowi przysługują uprawnienia kontrolne tj. w stosunku do administratorów danych oraz podmiotów, którym powierzono przetwarzanie danych osobowych na podstawie art. 31 ustawy. Z tych samych przepisów należy wywieść przymiot strony w postępowaniu administracyjnym prowadzonym na podstawie wyników kontroli, bowiem postępowanie dotyczy obowiązków tych właśnie podmiotów. Jednocześnie, należy podkreślić, że w toku przeprowadzonej kontroli Generalny Inspektor nie kontrolował realizacji wynikających z tych przepisów obowiązków wobec konkretnych osób, których dane są przetwarzane (sytuacja każdej z takich osób może być odmienna). Na podstawie ustawy o ochronie danych osobowych, osobom, których dane dotyczą, przysługuje szereg uprawnień w zakresie kontroli przetwarzania danych, w tym, złożenia skargi do Generalnego Inspektora Ochrony Danych Osobowych na działania niezgodne z prawem. Odpowiadając na zarzuty Ministra Finansów w zakresie nieuwzględnienia interesów osób, których dane dotyczą należy także zaznaczyć, że osoby te nie miały żadnego wpływu, a nawet jak należy sądzić na podstawie dokonanych ustaleń, nie miały informacji co do sposobu przeprowadzenia weryfikacji tj. udostępnienia dotyczących ich danych przez Ministra Finansów z CRP KEP. Należy przy tym zasygnalizować, że ZTM przekazał do Ministra Finansów dane wszystkich użytkowników [...] Karty Miejskiej (także tych, którzy mieszkają poza [...]), a nie tylko tych którzy zechcieli skorzystać z uprawnień do ulg. Zgodnie z przedstawioną argumentacją także tym osobom przysługiwałoby prawo strony w przedmiotowej sprawie. Podsumowując należy dodać, że celem przeprowadzonej kontroli, a następnie prowadzonego na podstawie jej wyników postępowania, było zbadanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych przez Ministra Finansów (będącego administratorem danych przetwarzanych w CRP KEP). Natomiast wydana decyzja miała na celu przywrócenie stanu zgodnego z prawem. Taki, znajdujący zresztą uzasadnienie w powołanych przepisach prawa, sposób postępowania daje Generalnemu Inspektorowi możliwość realnego wpływu na ochronę danych osobowych, a zatem na realizację jego ustawowych zadań. Jednocześnie należy wskazać, iż rozpatrywanie spraw konkretnych osób, których dane są przetwarzane niezgodnie z przepisami ustawy o ochronie danych osobowych, odbywa się w innym trybie. Powyższa decyzja stała się przedmiotem skargi wniesionej do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której skarżący wniósł o uchylenie zaskarżonej decyzji oraz decyzji ją poprzedzającej, oraz wniósł o wstrzymanie jej wykonalności. Zaskarżonej decyzji zarzucił: naruszenie przepisów prawa materialnego, tj. art. 1 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn.zm. (dalej "UODO") poprzez jego niezastosowanie i uznanie przez GIODO, że przetwarzanie danych osobowych nie może mieć miejsca ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich, tj. mieszkańców W.; naruszenie prawa materialnego przepisu, UODO przez błędną wykładnię wykładnie i niezastosowanie tego przepisu oraz uznanie przez GIODO, że Minister Finansów zawierając umowę z Prezydentem [...] nie działał dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych naruszenie art. ust. 4 UODO poprzez jego niezastosowanie i nierozpoznanie sprawy w kontekście art. 7 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2013 r. poz. 267, z późn. zm.) (dalej "KPA"). Powołany przepis ust. 4 UODO stanowi, że za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5 UODO, uważa się w szczególności: marketing bezpośredni własnych produktów lub usług, dochodzenie roszczeń z tytułu prowadzonej działalności; naruszenie prawa materialnego przez błędną wykładnię art. 5 UODO i uznanie przez GIODO, że przepisy ustawy z dnia 13 października 1995 r. o zasadach ewidencji i identyfikacji podatników i płatników (Dz. U. z 2012 r. poz. 1314 z późn.zm) (dalej "UZEIPP") są przepisami szczególnymi i wyłączają stosowanie UODO; 5) naruszenie prawa materialnego, tj. art. 23 ust. 1 pkt 2 UODO w związku z art. 14 ust. 2 UZEIPP, poprzez błędne ich zastosowanie polegające na uznaniu, że Minister Finansów nie może weryfikować danych w Centralnym Rejestrze Podatników - Krajowej Ewidencji Podatników (dalej "CRP KEP") w ramach współpracy z organem samorządu terytorialnego - Prezydentem [...], jeżeli współpraca ta odbywa się z zachowaniem wymogów prawa i jest prowadzona dla dobra publicznego, tj. dla dobra mieszkańców W. w ramach działalności o charakterze społecznym; naruszenie art. 15 ust. 1 UZEIPP, poprzez błędną wykładnię i uznanie przez GIODO, że przekazanie Prezydentowi [...] informacji "TAK", "NIE" i "X" stanowi naruszenie tajemnicy skarbowej; naruszenie przepisów postępowania, tj. art. 28, art. 7, art. 10 i 77 §1 KPA , poprzez: błędną ocenę stanu faktycznego oraz materiału dowodowego zebranego w sprawie, sprzeczność ustaleń GIODO z zebranym w sprawie materiałem dowodowym, brak analizy podstaw prawnych w kontekście dobra mieszkańców W., brak w decyzji analizy interesu społecznego poprzez pryzmat działania organu administracji jakim jest Minister Finansów, który jest obligowany do działania dla dobra publicznego, a także słusznego interesu wszystkich obywateli w tym mieszkańców W., naruszenie zasady czynnego udziału strony, o której mowa w art. 10 KPA w każdym stadium postępowania, brak wyjaśnienia, czy wprowadzanie do CRP KEP danych osobowych otrzymanych od Prezydenta jest przetwarzaniem danych osobowych czy jest to czynność techniczna. W uzasadnieniu skargi Minister Finansów nie zgodził się ze stanowiskiem Generalnego Inspektora, iż jako organ władzy publicznej, który realizuje swoje zadania w interesie całego kraju i dla dobra wszystkich jego obywateli, nie powinien, kierując się interesem grupy tych obywateli udostępniać posiadanych przez siebie danych, zebranych i przetwarzanych w ściśle określonych w przepisach prawa celach. Zdaniem Ministra Finansów, Generalny Inspektor stosując przepisy ustawy o ochronie danych osobowych powinien za każdym razem wyważać dobra, które legły u jej podstaw. Prawo do ochrony danych osobowych, jako jeden z elementów prawa do ochrony, ma swoje źródła w przepisach, art. 47, art. 49, art. 50 i art. 51 Konstytucji RP. Następnie Skarżący zarzucił, że przy wydawaniu zaskarżonej decyzji nie uwzględniono zeznań świadków, którzy potwierdzili, że weryfikacja danych otrzymanych od Zarządu Transportu Miejskiego w W. umożliwiła sprawną realizację projektu. Współpraca ta, zwłaszcza w pierwszym okresie, przyspieszyła uzyskanie hologramu i znacząco uprościła formalności przy składaniu wniosku o uzyskanie hologramu. Według ww. w praktyce prawo do ochrony danych osobowych ulega ograniczeniu z uwagi na interes publiczny lub usprawiedliwiony interes innych osób. Zdaniem strony skarżącej w niniejszej sprawie, tak Minister Finansów, jak i Prezydent [...], jako organy publiczne, działające dla dobra publicznego zawierając umowę powierzenia przetwarzania danych nie naruszyli prawa, a umożliwili mieszkańcom W. szybszą realizację przyznanych im przez z Radę [...] uprawnień, np. ulg przy zakupie biletów. Oznacza to, że została spełniona przesłanka z art. 1 ust. 2 ustawy. W kolejnej części uzasadnienia podniesiono, że Generalny Inspektor nie zastosował przepisu art. 23 ust. 1 pkt 4 ustawy i nie dokonał oceny stanu faktycznego ani prawnego pod kątem stwierdzenia, czy weryfikacja danych osobowych na podstawie umowy powierzenia przetwarzania danych z dnia [...] listopada 2013 r. miała na celu realizację interesu społecznego i słusznego interesu obywateli. Wskazał , że interes prawny mieszkańców W. polega na tym, że na podstawie Uchwał Rady [...], które są prawem miejscowym, nabyli oni konkretne uprawnienia, np. w postaci ulg w zakupie biletów, których realizacji mogą dochodzić w drodze sądowej. Jest to więc interes prawny wynikający z przepisów prawa materialnego (Uchwał Rady [...]). Ponadto, współpraca miedzy Ministrem Finansów a Prezydentem [...] w realizacji Uchwał Rady [...] w ocenie Ministra Finansów stanowi usprawiedliwiony cel w rozumieniu przepisów ustawy o ochronie danych osobowych. Zdaniem Skarżącego Generalny Inspektor nie odniósł się do tej przesłanki, czym naruszył art. 107 § 3 k.p.a., poprzez brak w uzasadnieniu decyzji odniesienia się do podnoszonych w trakcie postępowania argumentów a uwzględnienie tej przesłanki mogło mieć wpływ na rozstrzygnięcie. W uzasadnieniu kolejnego zarzutu powołując się na wyrok NSA z dnia 19 listopada 2001 r, sygn. akt II SA 2702/00 (niepublikowany), wskazujący że termin "usprawiedliwione cele" jest zwrotem niedookreślonym i stanowi klauzulę generalną w znaczeniu funkcjonalnym. Minister Finansów przekonuje, że Generalny Inspektor powinien dokonać oceny, czy współpraca między Prezydentem [...] a Ministrem Finansów leży w interesie publicznym i jest dokonywana dla dobra publicznego. Minister Finansów, jako organ władzy publicznej działa na podstawie i w granicach prawa. Jednak nie wyklucza to w konkretnym stanie faktycznym, stosowania przez Generalnego Inspektora pewnego luzu decyzyjnego uzasadniającego ocenę indywidualną, a także przyjęcie pewnych zasad postępowania, niesformułowanych w przepisach prawa. Generalny Inspektor nie zastosował indywidualnej oceny stanu faktycznego. Nie rozważył również, czy przepis art. 1 ust. 2 ustawy o ochronie danych osobowych może stanowić samodzielny przesłankę legitymującą przetwarzanie danych osobowych. Minister Finansów nie zgadza się również ze stanowiskiem Generalnego Inspektora, że dane zawarte w CRP KEP nie mogą być udostępniane na podstawie przesłanek, o których mowa m.in. w art. 23 ust. 1 pkt 4 i pkt 5 ustawy o ochronie danych osobowych, w sytuacji, gdy istnieją przepisy szczególne przewidujące dalej idącą ich ochronę, zwłaszcza w zakresie ograniczenia kręgu podmiotów mających dostęp do danych zgromadzonych w tym rejestrze (art. 15 ustawy o zasadach ewidencji i identyfikacji podatników i płatników). Skarżący stoi na stanowisku, że przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników dopuszczają weryfikację danych realizowaną pomiędzy Prezydentem [...] a Ministrem Finansów, przy czym charakter umowy (umowa powierzenia lub umowa o udostępnianie danych pomiędzy dwoma administratorami danych) ma tu znaczenie drugorzędne W związku z powyższym spełniona została przesłanka legalności przetwarzania danych osobowych, o której mowa w art. 23 ust. 1 pkt 2 ustawy, tj. realizacja uprawnień wynikająca z przepisu prawa. Skarżący uważa również za nieuzasadnione stanowisko Generalnego Inspektora, iż weryfikacja, o której mowa w art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, nie dotyczy danych dotyczących osób ubiegających się o hologram - zgromadzonych w zbiorze danych o nazwie "Posiadacze Karty [...] i Karty Młodego [...]. W jego ocenie weryfikacja danych oraz porównanie danych zgromadzonych w CRP KEP z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów stanowią odrębne działania, a ustawodawca w żaden sposób nie ograniczył kręgu podmiotów, z którymi minister właściwy do spraw finansów publicznych uprawniony jest współpracować w celu jego realizacji. Przyjęto zatem, że weryfikacja danych stanowi tym samym odrębny cel, o najszerszym zakresie, do realizacji którego podmiot prowadzący CRP KEP uprawniony jest bez ograniczeń przewidzianych w ustawie, w szczególności w zakresie podmiotów, z którymi może on współpracować dla jego realizacji. Za nieuzasadnione zatem uznano wykazywanie przez Generalnego Inspektora związku pomiędzy weryfikacją danych, o której mowa w art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, a katalogiem podmiotów wskazanych w art. 15 ust. 2 tej ustawy. Następnie Skarżący podkreślił, iż w ramach współpracy w zakresie odpytywania CRP KEP o figurowanie danej osoby w tym rejestrze, Prezydentowi [...] nie były udostępniane jakiekolwiek dane tam zgromadzone. Prezydent [...] bowiem posiadał już te informacje, a weryfikacja ich prawdziwości odbywała się w granicach przewidzianych przez art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników. Minister Finansów nie zgadza się również z zarzutem naruszenia art. 15 ust. 1 ustawy o zasadach ewidencji i identyfikacji podatników i płatników przede wszystkim z uwagi na zakres przekazywanych informacji tj. wyrażenia "TAK", "NIE" i "X". Zgodnie z art. 15 ust. 1 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, dane zgromadzone w CRP KEP są objęte tajemnicą skarbową, z wyjątkiem NIP oraz numeru identyfikacyjnego REGON. W CRP KEP nie są gromadzone takie wyrażenia, jak: "TAK", "NIE", "X", a tym samym nie są one objęte tajemnicą skarbową - wszystkie informacje były przekazywane Prezydentowi Miasta [...] w trybie weryfikacji. Gdyby nawet uznać, iż ww. wyrażenia objęte są tajemnicą skarbową, to należy wskazać, iż udostępnienie danych dotyczyło organu tj. Prezydenta [...], który na podstawie art. 294 ustawy z dnia 29 sierpnia 1997 r. ustawy - Ordynacja podatkowa ( Dz. U. z 2012 r. poz. 749, z późn. zm.) jest obowiązany do przestrzegania tajemnicy skarbowej. Minister Finansów nie udzielał informacji o podatnikach - nie przekazywał Prezydentowi [...] informacji o adresach miejsca zamieszkania - tylko otrzymał do weryfikacji pliki dotyczące mieszkańców W. ubiegających się m.in. o zniżki przyznane na podstawie Uchwał Rady [...]. Następnie Skarżący stwierdził, iż zastosowana wykładania gramatyczna przepisu art. 15 ustawy zasadach ewidencji i identyfikacji podatników i płatników, dotycząca tajemnicy skarbowej oraz stanowisko Generalnego Inspektora, w ocenie Ministra Finansów jest nietrafne i narusza ww. przepisy i zasady prawa. Przytaczając orzecznictwo dotyczące konieczności badania tajemnicy skarbowej w odniesieniu do konkretnego stanu faktycznego, Skarżący podsumował, że Generalny Inspektor nie ma kompetencji do stwierdzenia, że Minister Finansów naruszył przepisy o tajemnicy skarbowej. W dalszej części uzasadnienia skarżący sformułował zarzut naruszenia art. 28 i art. 10 k.p.a. poprzez nieuznanie go za stronę postępowania prowadzonego wobec Prezydenta [...] ([...]), przy czym należy zauważyć, że omyłkowo powołał się na sygnaturę postępowania i decyzji będącej przedmiotem niniejszej skargi. Ponadto, powtórzył zarzut dotyczący niedopuszczenia w charakterze stron niniejszego postępowania mieszkańców W., co narusza zasadę czynnego udziału strony w każdym stadium postępowania. Skarżący wskazał też na naruszenie art. 7 k.p.k., zarzucając Generalnemu Inspektorowi, m.in. że nie zbadał charakteru współpracy pomiędzy Prezydentem [...] a Ministrem Finansów, przyjmując jedynie, iż umowa powierzenia przetwarzania danych osobowych zawarta W dniu [...] listopada 2013 r. nie miała charakteru urnowy powierzenia przetwarzania danych osobowych. Z kolei za naruszeniem art. 77 § 1 k.p.k., zdaniem Skarżącego, przemawia niewyjaśnienie przez Generalnego Inspektora, czy wprowadzanie przez Ministra Finansów danych osobowych przekazanych przez ZTM na serwer bazy danych w CRP KEP jest przetwarzaniem danych w rozumieniu art. 7 pkt 2 ustawy, czy czynnością techniczną, która odbywa się tylko poprzez dopisanie do danych przekazanych z ZTM statusów "TAK", "NIE", "X". W ocenie Ministra Finansów GIODO, nie można raz powoływać się na udostępnianie danych, a raz na przetwarzanie danych. Podniesione w skardze przez Skarżącego argumenty, że decyzja Generalnego Inspektów Ochrony Danych Osobowych z dnia [...] października 2014 r. nr [...] utrzymująca w mocy decyzję z dnia [...] czerwca 2014 r. nr [...], naruszyła przepisy prawa materialnego oraz przepisy postępowania, nie zasługują na uwzględnienie. Zgodnie z wyrażoną w art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych zasadą legalności, administrator danych powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, w tym obowiązku zapewnienia, aby dane były przetwarzane zgodnie z prawem. Podkreślił, że istota sporu sprowadza się to tego, czy w świetle obowiązujących przepisów prawa brak jest podstaw do udostępnienia przez Ministra Finansów Prezydentowi [...] danych dotyczących posiadania przez konkretne osoby adresu zamieszkania na terenie [...] ze zbioru Centralnego Rejestru Podmiotów – Krajowa Ewidencja Podatników w celu weryfikacji uprawnień do wydania "Karty [...]" lub "Karty Młodego [...]". W odpowiedzi na skargę organ wniósł o jej oddalenie powołując argumenty jak w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 i 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta sprawowana jest pod względem zgodności z prawem. Oznacza to, iż przedmiotem sprawy sądowo-administracyjnej jest ocena przez Sąd prawidłowości prowadzenia przez organ administracji publicznej postępowania administracyjnego oraz zapadłego w tym postępowaniu rozstrzygnięcia. W ocenie Sądu zaskarżona decyzja nie narusza prawa. Z treści art. 1 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) wynika, iż przysługujące każdemu prawo do ochrony dotyczących go danych osobowych nie ma charakteru absolutnego, bowiem przetwarzanie danych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich w zakresie i trybie określonym ustawą. Ochrona danych osobowych nie powinna zatem posiadać prymatu pierwszeństwa i funkcjonować w oderwaniu od przepisów służących , ochronie innych wartości. Przepis art. 12 ww. ustawy statuuje główne zadania i kompetencje Generalnego Inspektora Ochrony Danych Osobowych, który pełni zarówno funkcję organu kontrolującego poprawność przetwarzania danych osobowych zgodnie z obowiązującymi przepisami oraz rzecznika interesów poszczególnych osób i interesów publicznych, jak i organu, który w tym zakresie został wyposażony we władcze kompetencje wydawania decyzji administracyjnych i rozpatrywania skarg w sprawach wykonania przepisów o ochronie danych osobowych. Stosownie do treści art. 7 pkt 2 ww. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W świetle art. 23 ust. 1 ww. ustawy, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (ust. 4). Zgodnie z art. 26 ust 1 u.o.d.o administrator danych, przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób których dane dotyczą, a w szczególności jest obowiązany zapewnić aby dane były: 1. przetwarzane zgodnie z prawem, 2. zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2, 3. merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane, 4. przechowywane w postaci umożliwiającej identyfikację osób których dotyczą , nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania W przedmiotowej sprawie doszło do wykorzystywania danych osobowych pochodzących ze zbioru Centralny Rejestr Podmiotów - Krajowa Ewidencja Podatników (CRP KEP) prowadzonego przez Ministra Finansów dla celów realizacji projektu "Karta [...]" i "Karta Młodego [...]" przyjętego uchwałami Rady [...] z dnia [...] października 2013 r. Nr [...] i Nr [...], a konkretnie w celu weryfikacji uprawnień do otrzymania "Karty [...]" lub "Karty Młodego [...]. W celu uzyskania danych z CRP KEP na potrzeby ww. projektu, Prezydent [...] - podając dane osobowe osób ubiegających się o wydanie "Karty [...]" lub "Karty Młodego [...]" w zakresie: imię, nazwisko, nr PESEL, a w przypadku cudzoziemców: imię, nazwisko, datę urodzenia oraz NIP - kieruje do Ministra Finansów zapytanie, czy dana osoba, posiadała na dzień 31 grudnia roku poprzedzającego rok, w którym złożyła wniosek o hologram "Karta [...]" lub "Karta Młodego [...]" (dalej również "hologram"), adres miejsca zamieszkania na terenie [...]. Natomiast Minister Finansów uzupełnia przekazane dane osobowe poprzez podanie w kolumnie dotyczącej miejsca zamieszkania "tak", w przypadku gdy dana osoba posiadała w Centralnym Rejestrze Podmiotów - Krajowej Ewidencji Podatników (CRP KEP) na dzień 31 grudnia roku poprzedzającego rok, w którym złożyła wniosek Podstawą prowadzenia CRP KEP, jak również przetwarzania danych osobowych wchodzących w skład tego rejestru są przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników. W myśl art. 14 ust. 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, CRP KEP służy: 1) gromadzeniu wybranych danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających: a) ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów, b) z niektórych dokumentów związanych z obowiązkami wynikającymi z przepisów podatkowych; 2) weryfikacji danych, o których mowa w pkt 1, oraz porównaniu ich z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów. Wskazane wyżej przesłanki stanowią podstawę przetwarzania danych osobowych przez Ministra Finansów, a przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników w sposób szczególny określają, w jakim celu CRP KEP jest prowadzony, jakie podmioty mają do mego dostęp oraz jakim podmiotom dane z ww. rejestru są udostępniane, stanowią zatem uregulowanie szczególne, o którym mowa w art. 5 ustawy, zwłaszcza w zakresie ograniczenia kręgu podmiotów, którym dane mogą być udostępniane. Należy w tym miejscu jednak podkreślić, że przesłanki usprawiedliwionego celu, czy też działania dla dobra publicznego, musiałyby istnieć po stronie administratora danych, czyli Ministra Finansów i wiązałyby się z koniecznością spełnienia wobec osób, których dane są przetwarzane w CRP KEP w takich celach obowiązku informacyjnego, o którym mowa w art. 25 ust. 1 ustawy. Co więcej osoba, której dane dotyczą, ma w przypadku przetwarzania jej danych na podstawie art. 23 ust. 1 pkt 4 i 5 ustawy, prawo złożenia sprzeciwu wobec przekazywania jej danych innemu administratorowi danych, jak również wniesienia żądania zaprzestania przetwarzania jej danych (art. 32 ust. 1 pkt 8 i 9 ustawy). Istnieje także obowiązek aktualizacji zgłoszenia zbioru danych osobowych w przypadku zmiany podstawy prawnej przetwarzania danych osobowych. Podkreślić należy że podmiotami upoważnionymi na mocy ustawy do ciągłego wykorzystywania, w związku i realizacją celów i zadań ustawowych, danych z CRP KEP są minister właściwy do spraw finansów publicznych, dyrektorzy izb skarbowych, naczelnicy urzędów skarbowych, Szef Służby Celnej, dyrektorzy izb celnych, naczelnicy urzędów celnych, organy kontroli skarbowej oraz Generalny Inspektor Informacji Finansowej (art. 14a ustawy o zasadach ewidencji i identyfikacji podatników I płatników). Odmienną sytuację stanowi udostępnianie danych m.in. sądom, prokuratorom, organom podatkowym, organom celnym, przedstawicielom Najwyższej Izby Kontroli, Policji, Agencji Bezpieczeństwa Wewnętrznego Centralnego Biura Antykorupcyjnego, Służby Kontrwywiadu | Wojskowego i Żandarmerii Wojskowej - w związku z prowadzonym postępowaniem, co następuje na ich żądanie (art. 15 ust. 2 ustawy) (patrz. T. Lewandowski, P. Ostojski Zasady ewidencji i identyfikacji płatników i podatników. Komentarz, LexisNexis, 2013). Dlatego też, skoro ustawa o zasadach ewidencji i identyfikacji podatników i płatników nie przewiduje takiej możliwości, brak jest podstaw do wykorzystywania danych zgromadzonych i w CRP KEP w celu dokonywania weryfikacji danych dotyczących osób ubiegających się o hologram "Karta [...]" lub "Karta Młodego [...]" - zgromadzonych w zbiorze danych o nazwie "Posiadacze Karty [...] i Karty Młodego [...]" (nr zgłoszenia [...]). W ocenie Sądu, należy zgodzić się z GIODO, że interpretacja przepisu art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników wskazująca, iż weryfikacja danych oraz porównanie danych zgromadzonych w CRP KEP z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów, stanowią oddzielne działania, a ustawodawca w żaden sposób nie ograniczył kręgu podmiotów z którymi minister właściwy do spraw finansów publicznych uprawniony jest współpracować w celu jego realizacji. Nie wydaje się, aby spójnik "oraz" użyty w tym przepisie występował w znaczeniu tzw. enumeracyjnym, czyli wyliczeniowym. Z kontekstu przepisu należałoby raczej wywnioskować, że intencją ustawodawcy było połączenie obu działań, jako jednego celu, któremu służy CRP KEP. Ustawodawca określił, że dane zawarte w CRP KEP (z wyłączeniem NIP i REGON), w tym dotyczące miejsca zamieszkania, są objęte tajemnicą skarbową, nie różnicując tych danych z uwagi na zakres, czy źródło pochodzenia. O objęciu danych zgromadzonych w CRP KEP tajemnicą skarbową (z wyłączeniem NIP i REGON) stanowi art. 15 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, który określa również krąg podmiotów zobowiązanych do przestrzegania tajemnicy skarbowej, jak również wskazuje podmioty wyłącznic uprawnione do uzyskania danych z CRP KEP. Z tych względów nie można zgodzić się ze stanowiskiem Ministra Finansów, że informacje w zakresie posiadania, bądź nie, przez posiadaczy spersonalizowanej [...] Karty Miejskiej adresu miejsca zamieszkania na terenie [...], udostępniane Prezydentowi [...] z CRP KEP, nie są objęte tajemnicą skarbową / uwagi na wąski zakres udzielanych informacji. Informacje te bowiem wprost wskazując na to, czy dane osoby zamieszkują na terenie [...], stanowią tajemnicę skarbową, o której mowa w art. 15 ustawy o zasadach ewidencji i identyfikacji podatników i płatników. W ocenie Sądu Generalny Inspektor w toku prowadzonego w niniejszej sprawie postępowania zbadał w sposób wyczerpujący charakter współpracy pomiędzy Skarżącym a Prezydentem [...] w wyniku czego wykazał, że przekazywanie danych pomiędzy Ministrem Finansów a Prezydentem [...] nie stanowi powierzenia przetwarzania danych osobowych w rozumieniu art. 31 ustawy, lecz udostępnienie danych. Powołany przepis upoważnia administratora danych do powierzenia przetwarzania danych osobowych innemu podmiotowi w drodze umowy zawartej na piśmie. Istotą instytucji powierzenia przetwarzania danych jest jednak to, że wszystkie zlecone przez administratora danych operacje na danych powinny być wykonywane na rzecz administratora danych, na danych w tych celach przez niego powierzonych. W analizowanym przypadku dochodzi natomiast do udostępniania przez Prezydenta [...] danych osobowych osób ubiegających się o "Kartę [...]" lub "Kartę Młodego [...]" Ministrowi Finansów w celu pozyskania informacji o osobach, których przekazane dane dotyczą, ze zbioru prowadzonego przez Ministra Finansów oraz do udostępniania przez Ministra Finansów z CRP KEP Prezydentowi [...] informacji na temat zamieszkiwania na terenie [...] przez osoby ubiegające się o hologram (poprzez wskazanie "tak" lub "nie") w celu weryfikacji uprawnień do otrzymania "Karty [...]" lub "Karty Młodego [...]". Celem przekazywania danych przez Prezydenta [...] Ministrowi Finansów nie jest w istocie zlecenie Ministrowi Finansów wykonywania na rzecz Prezydenta [...] operacji na przekazanych danych osobowych, ale uzyskanie dodatkowych informacji o osobach, których przekazane dane dotyczą, ze zbioru prowadzonego przez Ministra Finansów, jako administratora danych. Ponadto, Prezydent [...] również nie przetwarza pozyskanych od Ministra Finansów danych osobowych na rzecz Ministra Finansów, lecz wykorzystuje je do realizacji własnego celu, którym jest weryfikacja uprawnień do otrzymania "Karty [...]" lub "Karty Młodego [...]". Z powyższych względów zawarta w dniu [...] listopada 2013 r. pomiędzy Ministrem Finansów a Prezydentem [...] "umowa powierzenia przetwarzania danych osobowych" w sprawie współpracy w zakresie weryfikacji uprawnień osób zamierzających skorzystać z przyznanych zniżek lub ulg na zasadach określonych uchwałami Rady [...], nie stanowi, wbrew jej nazwie, umowy powierzenia przetwarzania danych, o której mowa w art. 31 ustawy. W związku z powyższym, w ramach współpracy pomiędzy Prezydentem [...] a Ministrem Finansów dochodzi do wzajemnego udostępniania danych osobowych. Natomiast jak wyżej wykazano, udostępnianie danych z CRP KEP może odbywać się wyłącznie na zasadach określonych w ustawie o zasadach ewidencji i identyfikacji podatników i płatników. Natomiast odnosząc się do zarzutu naruszenia art. 28 k.p.a. należy wskazać, że w przedmiocie bezpodstawnego wykorzystywania danych z CRP KEP na potrzeby prowadzonego przez Prezydenta [...] projektu "Karta [...]" i "Karta Młodego [...]" Generalny Inspektor Ochrony Danych Osobowych wszczął postępowanie nie tylko w stosunku do Ministra Finansów, ale również wobec Prezydenta [...]. Prezydent [...] miał prawo brać czynny udział w każdym stadium prowadzonego wobec niego postępowania, a przed wydaniem decyzji miał możliwość wypowiedzieć się co do zebranych dowodów i materiałów oraz zgłoszonych żądań (o czym był informowany na piśmie na każdym z etapów postępowania). Wobec powyższego Prezydent [...] nie był pozbawiony prawa udziału w postępowaniu prowadzonym przez Generalnego Inspektora Ochrony Danych Osobowych, a dotyczącym bezpodstawnego przetwarzania danych osobowych. Mając powyższe na uwadze, na podstawie art. 151 ppsa, Wojewódzki Sąd Administracyjny w Warszawie orzekł jak w sentencji.