II SA/Wa 352/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Piotr Borowiecki, Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), , Protokolant specjalista Marcin Kwiatkowski, po rozpoznaniu na rozprawie w dniu 16 lipca 2019 r. sprawy ze skargi Dyrektora Izby Administracji Skarbowej w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2018 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Dyrektor Izby Administracji Skarbowej w [...] zaskarżył w całości do Wojewódzkiego Sądu Administracyjnego w [...] decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2018 roku odmawiającą uwzględnienia wniosku o udostępnienie przez Agencję Restrukturyzacji i Modernizacji Rolnictwa danych osobowych beneficjentów pomocy finansowej w ramach operacji Premie dla Młodych Rolników. Zaskarżonej decyzji zarzucił naruszenie art. 6 ust. 1 i ust. 3 Rozporządzenia Parlamentu Europejskiego i Rady (UE) [...] z dnia [...] kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy [...] (ogólne rozporządzenie o ochronie danych osobowych) poprzez odmowę udostępnienia danych, wskutek bezzasadnego uznania, że Dyrektor Izby Administracji Skarbowej w [...] nie uzasadnił wniosku o udostępnienie danych osobowych. Mając to na uwadze wniósł o uchylenie zaskarżonej decyzji i zasądzenie na rzecz strony Skarżącej kosztów postępowania według norm przepisanych. W uzasadnieniu skargi szczegółowo przedstawiono stan sprawy. W odpowiedzi na skargę Urząd Ochrony Danych Osobowych wniósł o jej oddalenie i podtrzymał w całości stanowisko, wyrażone w zaskarżonej decyzji. Stan faktyczny sprawy przedstawia się następująco: W sprawie jest bezsporne, że ARiMR przetwarza dane osobowe beneficjentów pomocy finansowej w ramach operacji "Premie dla młodych rolników", poddziałania "Pomoc w rozpoczęciu działalności gospodarczej młodych rolników", objętego Programem Rozwoju Obszarów Wiejskich [...] - [...] na podstawie ustawy z dnia [...] lutego 2015 r. o wspieraniu rozwoju obszarów wiejskich z udziałem środków Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich w ramach Programu Rozwoju Obszarów Wiejskich na lata [...] – [...] (Dz. U. z 2018 r. poz. 627) w zw. z zapisami rozporządzenia Ministra Rolnictwa i Rozwoju Wsi z dnia [...] lipca 2015 r. w sprawie szczegółowych warunków i trybu przyznawania, wypłaty oraz zwrotu pomocy finansowej na operacje typu "Premie dla młodych rolników", w ramach poddziałania "Pomoc w rozpoczęciu działalności gospodarczej na rzecz młodych rolników" objętego Programem Rozwoju Obszarów Wiejskich na lata [...] (Dz. U. z 2015 r. poz. 982 ze zm.). Dane te są przetwarzane dla celów przyznawania, wypłaty oraz zwrotu pomocy finansowej. Zakres przetwarzanych danych obejmuje informacje wnioskowane przez Dyrektora. Szeregiem pism: z dnia [...] października 2017 r., z dnia [...] października 2017 r., z dnia [...] kwietnia 2018 r. i z dnia [...] lipca 2018 r. (znak: [...]), Dyrektor zwrócił się do ARiMR z wnioskiem o udostępnienie z ww. zbioru (opisanego w pkt 1) danych osobowych beneficjentów pomocy finansowej w następującym zakresie: imiona i nazwiska beneficjentów, adresy beneficjentów, numery NIP/PESEL beneficjentów, daty złożenia wniosków o przyznanie pomocy, daty wydania decyzji o przyznaniu pomocy, kwoty udzielonej pomocy z podziałem na środki pochodzące z budżetu Unii Europejskiej i środki krajowe oraz z podaniem sumarycznym tych kwot. W podanych wnioskach, jako podstawę prawną żądania wskazywano konsekwentnie art. 46 ust. 1 i 2 w zw. z art. 2 ust. 1 i art. 25 ust. 1 pkt 4, 7 i 10 ustawy z dnia 16 listopada 2016 r. o Krajowej Administracji Skarbowej (Dz. U. z 2018 r. poz. 508 ze zm.), zwanej dalej ustawą o KAS, i zapisy rozporządzenia Rady Ministrów z dnia [...] lipca 2017 r. w sprawie współpracy Krajowej Administracji Skarbowej z niektórymi podmiotami (Dz. U. z 2017 r. poz. [...]). Zakres kompetencji organów Krajowej Administracji Skarbowej, zwanej dalej również KAS, określony został w art. 2 ust. 1 ustawy o KAS bardzo szeroko. Dyrektor zwrócił jednak uwagę przede wszystkim na przepisy art. 2 ust 1 pkt 7, 8 i 10 powołanego aktu prawnego, które do zadań organów KAS zaliczają: prowadzenie działalności informacyjnej i edukacyjnej w zakresie przepisów prawa podatkowego i celnego (art. 2 ust. 1 pkt 7), wykonywanie audytu, czynności audytowych i urzędowego sprawdzenia (art. 2 ust. 1 pkt 8), a także prowadzenie działalności analitycznej, prognostycznej i badawczej dotyczącej zjawisk występujących we właściwości KAS oraz analizy ryzyka (art. 2 ust. 1 pkt 10). Uzasadniając odmowę uwzględnienia wniosku Dyrektora, ARiMR wyjaśniła m.in., że z treści wystąpienia Dyrektora nie wynika, że żądane dane są niezbędne, adekwatne i ich zakres nie będzie wykraczał poza cele, dla których zostaną pozyskane. Zdaniem organu I instancji Dyrektor w swoim wniosku w żaden sposób nie uprawdopodobnił, że brak żądanych danych uniemożliwi lub choćby utrudni w znacznym stopniu realizację jego ustawowych obowiązków. Bez wątpienia wymogu w tym zakresie nie spełnia lakoniczne stwierdzenie, że wnioskowane przez Dyrektora dane są niezbędne dla realizacji zadań KAS, określonych w art. 2 ust. 1 ustawy o Krajowej Administracji Skarbowej. Dyrektor w istocie nie sformułował celu pozyskania żądanych danych. Zdaniem ARMiR nie sposób przyjąć, że dążenie do wykonania nałożonych nań zadań i obowiązków ustawowych legalizuje każde działanie, które w subiektywnej ocenie Dyrektora temu służy. Po przeprowadzeniu postępowania administracyjnego w przedmiotowej sprawie, Prezes Urzędu Ochrony Danych Osobowych w dniu [...] grudnia 2018 r. wydał decyzję administracyjną, mocą której odmówił uwzględnienia wniosku, skierowanego do ARiMR. Decyzja ta stała się przedmiotem zaskarżenia do tutejszego Sądu. Na wstępie uzasadnienia decyzji podkreślono, że jakkolwiek wniosek Dyrektora do ARiMR o udostępnienie danych skierowany został w okresie poprzedzającym wejście w życie przepisów ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm., zwanej dalej również ustawą), oraz RODO, tj. przed dniem 25 maja 2018 r., jego zasadność została oceniona w świetle ww. unormowań, obowiązujących na dzień wydawania niniejszego rozstrzygnięcia. Postępowanie w przedmiotowej sprawie zostało bowiem zainicjowane już w okresie obowiązywania ww. regulacji (pierwsze pismo w przedmiotowej sprawie, inicjujące niniejsze postępowanie, wpłynęło do Urzędu Ochrony Danych Osobowych w dniu [...] lipca 2018 r.). Prezes UODO jest organem właściwym w sprawie ochrony danych osobowych i organem nadzorczym w rozumieniu RODO (art. 34 ust. 1 i 2 ustawy). Prezes UODO prowadzi postępowania w sprawie naruszenia przepisów o ochronie danych osobowych (art. 60 ustawy), przy czym w sprawach nieuregulowanych w ustawie, do postępowań administracyjnych przed Prezesem UODO, w szczególności unormowanych w rozdziale 7 ustawy - postępowań w sprawie naruszenia przepisów o ochronie danych osobowych, stosuje się ustawę z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm., zwaną dalej również Kpa - art. 7 ust. 1 ustawy). Stosownie do art. 57 ust. 1 lit. a) RODO, bez uszczerbku dla innych zadań, określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia. Instrumentami realizacji zadań, przewidzianych w art. 57 ust. 1 RODO są w szczególności określone w art. 58 ust. 2 RODO, uprawnienia naprawcze, w tym możliwość nakazania administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu (art. 58 ust. 2 lit. d). Następnie organ II instancji dokonał analizy art. 4 i 6 RODO i skonkludował, że mając na uwadze status wnioskującego o udostępnienie danych Dyrektora -tj. organu władzy, koniecznym warunkiem uznania jego żądania za zasadne byłoby stwierdzenie, że legitymuje się przesłanką z art. 6 ust. 1 lit c) RODO. Tymczasem, mając na uwadze treść wniosków Dyrektora skierowanych pod adresem ARiMR, jak również treść jego wyjaśnień, złożonych w postępowaniu przez Prezesem UODO, organ II instancji ocenił, że ww. warunek nie został w niniejszej sprawie spełniony. Wnioski i wyjaśnienia, jakkolwiek zawierające obszerne wywody, dotyczące szerokiego zakresu kompetencji Dyrektora, określonego przepisami ustawy o KAS (w szczególności art. 46 w zw. z art. 2 ust. 1 ustawy o KAS), nie zawierały jednak informacji pozwalających na jednoznaczne stwierdzenie, czy Dyrektor istotnie podejmuje konkretne działania, a jeżeli tak, to jakie i w jakiej konkretnie sprawie/sprawach, w obszarze ściśle określonych kompetencji - i których konkretnie spośród szeroko przez niego opisywanych, jak również, czy wnioskowane przez niego informacje są niezbędne z punktu widzenia realizacji ww. działań. Tym samym Prezes Urzędu Ochrony Danych Osobowych podzielił argumentację, przedstawioną w niniejszej sprawie przez ARiMR, a wskazującą na brak należytego uzasadnienia wniosku Dyrektora. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie zasługiwała na uwzględnienie. Sąd podzielił całkowicie ocenę prawną zaistniałego stanu faktycznego, dokonaną przez organy rozpatrujące sprawę. W myśl art. 46 ustawy o KAS, organy administracji rządowej i samorządowej, państwowe osoby prawne oraz państwowe i samorządowe jednostki organizacyjne są obowiązane współdziałać z organami KAS, nieodpłatnie udostępniać organom KAS informacje w sprawach indywidualnych oraz udzielać im pomocy, w tym pomocy technicznej, przy wykonywaniu ich zadań (ust. 1). Przy wykonywaniu zadań organy KAS są uprawnione do nieodpłatnego korzystania z informacji zgromadzonych w aktach spraw, zbiorach danych, ewidencjach i rejestrach przez organy administracji rządowej i samorządowej, sądy, prokuraturę, państwowe i samorządowe jednostki organizacyjne oraz państwowe osoby prawne, w tym również z informacji zapisanych w postaci elektronicznej, z zastrzeżeniem odrębnych przepisów (art. 46 ust. 2 ustawy o KAS). Przepis art. 25 ust. 1 pkt 4, 7 i 10 ustawy o KAS stanowi, że do zadań dyrektora izby administracji skarbowej należy wykonywanie czynności audytowych (pkt 4), prowadzenie działalności informacyjnej i edukacyjnej w zakresie przepisów prawa podatkowego i celnego, w tym zapobiegającej nieprawidłowemu wypełnianiu obowiązków podatkowych i celnych (pkt 7) i prowadzenie działalności analitycznej, prognostycznej i badawczej dotyczącej zjawisk występujących we właściwości KAS oraz analizy ryzyka (pkt 10). Sąd podziela stanowisko organów, że z treści wystąpienia Skarżącego nie wynikało, iż żądane dane są niezbędne, adekwatne i ich zakres nie będzie wykraczał poza cele, dla których zostaną pozyskane. Skarżący w swoim wniosku w żaden sposób nie uprawdopodobnił, że brak żądanych danych uniemożliwi lub choćby utrudni w znacznym stopniu realizację jego ustawowych obowiązków. Całkowicie należy podzielić stanowisko, iż lakoniczne stwierdzenie, że wnioskowane przez Dyrektora dane są niezbędne dla realizacji zadań KAS, określonych w art. 2 ust. 1 ustawy o Krajowej Administracji Skarbowej, nie spełnia ustawowych przesłanek do przekazania żądanych danych osobowych. Skarżący nie sformułował precyzyjnie celu pozyskania żądanych danych. Na pewno nie można uznać, że samo w sobie dążenie do wykonania nałożonych nań zadań i obowiązków ustawowych, uprawnia Dyrektora do żądania i pozyskania danych, o których mowa we wniosku. Prawidłowo organ II instancji podczas rozpatrywania sprawy zastosował- jeszcze przed wejściem w życie- przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm., zwanej dalej również ustawą), oraz rozporządzenia Parlamentu Europejskiego i Rady (UE) [...] z dnia [...] kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy [...] (ogólne rozporządzenie o ochronie danych, Dz.U.UE.L.2016.119.1, zwanego dalej RODO), tj. przed dniem [...] maja 2018 r. Zasadność wniosku podlega ocenie w świetle ww. unormowań, obowiązujących na dzień wydawania zaskarżonego rozstrzygnięcia. Postępowanie w przedmiotowej sprawie zostało bowiem zainicjowane już w okresie obowiązywania ww. regulacji (pierwsze pismo w przedmiotowej sprawie wpłynęło do Urzędu Ochrony Danych Osobowych w dniu [...] lipca 2018 r.). Przepis art. 4 pkt 2 RODO definiuje przetwarzanie danych jako operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Zgodnie z art. 6 ust. 1 RODO, przetwarzanie danych (każda czynność mieszcząca się w tym pojęciu) jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą jest dzieckiem. Omawiany przepis zastrzega zarazem, że akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań (art. 6 ust. 1 RODO in fine). Zgodnie z art. 6 ust 3 RODO, podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona: a) w prawie Unii; lub b) w prawie państwa członkowskiego, któremu podlega administrator, przy czym cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania o którym mowa w ust. 1 lit. e) - musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe, dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania; oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego musi służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu. Organ zasadnie zaznaczył, że status wnioskującego o udostępnienie danych Dyrektora - tj. organu władzy publicznej – wymaga uznania za konieczne legitymowanie się przez niego przesłanką z art. 6 ust. 1 lit c) RODO. Sąd w całości podziela stanowisko organu II instancji, że w sprawie brak było podstaw do uznania, że ww. warunek został w niniejszej sprawie spełniony. Mimo obszerności wniosków i wyjaśnień skarżącego, zwłaszcza dotyczących znaczenia i uprawnień, wynikających z przepisów ustawy o KAS (w szczególności art. 46 w zw. z art. 2 ust. 1 ustawy o KAS), brak jest informacji pozwalających na jednoznaczne stwierdzenie, czy Dyrektor istotnie podejmuje konkretne działania, a jeżeli tak, to jakie i w jakiej konkretnie sprawie/sprawach, w obszarze ściśle określonych kompetencji (i których konkretnie, spośród szeroko przez niego opisywanych), jak również, czy wnioskowane przez niego informacje są niezbędne z punktu widzenia realizacji ww. działań. Z tego punktu widzenia zasadnie organy uznały, że wniosek Dyrektora nie został brak należycie uzasadniony. Wzmianka o tym, że lokalne media pisały o aferze w [...] Oddziale Regionalnym ARiMR, nie jest wystarczającym uzasadnieniem wniosku ani nie może stanowić o jego zasadności. Z wniosków Dyrektora nie wynika wprost, że prowadzi on jakiekolwiek postępowanie w tej sprawie, które mogłoby stanowić uzasadnioną potrzebę pozyskania od ARiMR pełnego zbioru danych wszystkich beneficjentów określonego programu finansowego. Zgodnie z motywem 31 Preambuły RODO, żądanie ujawnienia danych osobowych, z którym występują organy publiczne (którym dane osobowe mają być ujawnione w związku z ich prawnym obowiązkiem sprawowania funkcji publicznej - takie jak organy podatkowe, organy celne, finansowe jednostki analityki finansowej, niezależne organy administracyjne czy organy rynków finansowych regulujące i nadzorujące rynki papierów wartościowych) powinno zawsze mieć formę pisemną, być uzasadnione, mieć charakter wyjątkowy, nie powinno dotyczyć całego zbioru danych ani prowadzić do połączenia zbiorów danych, zaś przetwarzając otrzymane dane osobowe, takie organy powinny przestrzegać mających zastosowanie przepisów o ochronie danych, zgodnie z celami przetwarzania. Rację ma organ II instancji podkreślając, że podmiot, do którego organ publiczny zwraca się z wnioskiem o udostępnienie danych, może i powinien oczekiwać od wnioskodawcy należącego do tej kategorii, ponadprzeciętnej staranności w uzasadnieniu tego wniosku oraz wnikliwie analizować zakres podmiotowy tego żądania. Przyznanie organowi określonych kompetencji, których realizacja może wiązać się z pozyskiwaniem i dalszym przetwarzaniem danych osobowych, nie stanowi samo w sobie podstawy do pozyskania dowolnych danych w każdym czasie. Kompetencja do przetwarzania danych osobowych, wiąże się bowiem po stronie administratora z szeregiem obowiązków, których dopiero łączne spełnienie warunkuje uznanie przetwarzania za legalne. Zgodnie z art. 5 ust. 1 RODO, dane osobowe muszą być w szczególności: przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość") (lit. a), zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu") (lit. b), adekwatne, stosowne oraz ograniczone do tego, co "niezbędne do celów, w których są przetwarzane ("minimalizacja danych") (lit. c). Trafnie podkreślił organ, że przepis art. 5 ust. 2 RODO kształtuje po stronie administratora danych odpowiedzialność za przestrzeganie przepisów ust. 1 i obowiązek wykazania ich przestrzegania ("rozliczalność"). W motywie 39 Preambuły RODO podkreślono, że w szczególności konkretne cele przetwarzania danych osobowych powinny być wyraźne i uzasadnione w momencie ich zbierania, zaś dane osobowe powinny być adekwatne, stosowne i ograniczone do celów, dla których są one przetwarzane. W sytuacji braku konkretyzacji celu, istniejącego w chwili pozyskania danych (czego nie można utożsamiać z powołaniem się na generalną kompetencję do przetwarzania danych osobowych), brak jest w istocie informacji pozwalających na analizę zasadności tego żądania zarówno w kontekście niezbędności wnioskowanych danych z punktu widzenia realizacji deklarowanego celu, jak również adekwatności żądanych danych z punktu widzenia zakładanego efektu ich przetwarzania. Sąd podziela stanowisko organu, że w okolicznościach przedmiotowej sprawy, Dyrektor nie uzasadnił swojego wniosku o udostępnienie danych w sposób, który pozwalałby na stwierdzenie istnienia po jego stronie przesłanki ich pozyskania z art. 6 ust. 1 lit c) RODO, a zarazem ustalenie, że pozyskanie to odpowiada warunkom określonym w art. 5 ust. 1 lit a) - c) RODO. Tymczasem każda czynność odpowiadająca definicji przetwarzania danych osobowych, musi znajdować oparcie przepisach normujących ten proces. Powołane przez Dyrektora przepisy art. 2 ust. 1 i art. 46 ust. 1 i 2 ww. aktu prawnego, kształtują jedynie generalne kompetencje organów KAS oraz związane z nimi obowiązki innych podmiotów w konkretnych przypadkach, w których organy KAS podejmują działania w obszarze tych kompetencji. Sąd podziela również zapatrywanie organu, że wniosek Dyrektora powinien mieć odpowiednie uzasadnienie i znajdować oparcie w stosownych przepisach ustawy o KAS. Jak wskazano w uzasadnieniu zaskarżonej decyzji oraz odpowiedzi na skargę, art. 47 ustawy o KAS normuje zakres, w którym organy mogą zbierać i poddawać procesowi dalszego przetwarzania dane osobowe. Zezwala on organom KAS na zbieranie i wykorzystywanie niezbędnych informacji zawierających dane osobowe oraz przetwarzanie tych danych, także bez wiedzy i zgody osoby, której dane dotyczą w związku z: 1) realizacją zadań z zakresu bezpieczeństwa publicznego, ważnego interesu ekonomicznego lub finansowego Rzeczypospolitej Polskiej lub Unii Europejskiej, 2) prowadzonymi postępowaniami w sprawach o przestępstwa lub wykroczenia, o których mowa w: a) ustawie z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach, b) ustawie z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, c) ustawie z dnia 29 września 1994 r. o rachunkowości, d) Kodeksie karnym w zakresie, o którym mowa w art. 2 ust. 1 pkt 15 i 16, a także w zakresie zadań określonych w art. 33 ust. 1 pkt 10 lit. c i d, e) ustawie z dnia 30 czerwca 2000 r. - Prawo własności przemysłowej, f) ustawie z dnia 29 listopada 2000 r. o obrocie z zagranicą towarami, technologiami i usługami o znaczeniu strategicznym dla bezpieczeństwa państwa, a także dla utrzymania międzynarodowego pokoju i bezpieczeństwa, g) ustawie z dnia 2 marca 2001 r. o wyrobie alkoholu etylowego oraz wytwarzaniu wyrobów tytoniowych, h) ustawie z dnia 23 lipca 2003 r. o ochronie zabytków i opiece nad zabytkami, i) ustawie z dnia 16 kwietnia 2004 r. o ochronie przyrody, j) ustawie z dnia 29 lipca 2005 r. o przeciwdziałaniu narkomanii, k) ustawie z dnia 18 października 2006 r. o wyrobie napojów spirytusowych oraz o rejestracji i ochronie oznaczeń geograficznych napojów spirytusowych, 1) ustawie z dnia 13 kwietnia 2016 r. o bezpieczeństwie obrotu prekursorami materiałów wybuchowych, 3) prowadzonymi postępowaniami w sprawach o przestępstwa skarbowe lub wykroczenia skarbowe, o których mowa w Kodeksie karnym skarbowym (ust. 1). Trafnie zauważył organ, że pozyskanie danych na warunkach odpowiadających wymogom art. 47 ust. 1 i 2 ustawy o KAS, a zarazem wymogom art. 6 ust. 1 lit c) RODO, uwarunkowane jest wykazaniem niezbędności i adekwatności wnioskowanych danych z punktu widzenia konkretnych, aktualnych, wedle stanu na dzień pozyskania tych danych, działań mieszczących się w, katalogu wymienionym w art. 47 ustawy o KAS. Sąd podziela konkluzję, że tylko odpowiednie uzasadnienie wniosku o udostępnienie danych stanowi konieczny warunek jego prawidłowej weryfikacji przez będącego jego adresatem administratora, który ponosiłby odpowiedzialność za naruszenie przepisów o ochronie danych osobowych, gdyby bezzasadnie uwzględnił żądanie w tym zakresie. Zdaniem Sądu, w świetle prawidłowych pod względem prawnym i faktycznym analiz orzekających w sprawie organów, wyczerpujących z punktu widzenia wymagań, stawianych uzasadnieniu decyzji, skargę należało oddalić na podstawie art.151 p.p.s.a. Zarzuty skargi okazały się bowiem całkowicie nieuzasadnione.