II SA/Wa 457/18

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA – Stanisław Marek Pietras (spraw.) Sędzia WSA – Sławomir Antoniuk Asesor WSA – Maria Werpachowska Protokolant – specjalista Elwira Sipak po rozpoznaniu na rozprawie w dniu 5 grudnia 2018 r. sprawy ze skargi Fundacji [...] z siedzibą w [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2018 r. nr [...] w przedmiocie przetwarzania danych osobowych – oddala skargę – Inspektorzy upoważnieni przez Generalnego Inspektora Ochrony Danych Osobowych przeprowadzili w Fundacji [...] z siedzibą w W. przy ul. [...] pod sygn. akt [...], kontrolę zgodności przetwarzania danych osobowych z przepisami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych ( tekst jedn. Dz. U. z 2016 r., poz. 922) oraz rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024). Zakresem tej kontroli objęto przetwarzanie danych osobowych przez Fundację [...] w trakcie której odebrano ustne wyjaśnienia od Prokurenta Fundacji oraz skontrolowano systemy informatyczne służące do przetwarzania danych osobowych, zaś stan faktyczny szczegółowo opisano w protokole kontroli, który został podpisany przez Prokurenta Fundacji. Na podstawie zgromadzonego materiału dowodowego ustalono, że w procesie przetwarzania danych osobowych Fundacja, jako administrator danych, naruszyła przepisy o ochronie danych osobowych. Uchybienia te polegały na nieuwzględnieniu w opracowanej i wdrożonej w Fundacji dokumentacji stanowiącej politykę bezpieczeństwa, informacji zawierających: wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe; wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych; opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; sposób przepływu danych pomiędzy poszczególnymi systemami (§ 4 pkt 1 – 4 rozporządzenia). W związku z powyższym w dniu [...] października 2017 r. Generalny Inspektor Ochrony Danych Osobowych wszczął z urzędu postępowanie administracyjne w niniejszej sprawie w celu wyjaśnienia okoliczności sprawy, a w odpowiedzi na zawiadomienie o wszczęciu postępowania administracyjnego Prokurent Fundacji pismem z [...] listopada 2017 r. złożył wyjaśnienia, w których nie zgodził się ze wskazanymi uchybieniami, zarzucając m.in. brak podstawy do wskazywania w polityce bezpieczeństwa informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe w związku z powierzeniem przetwarzania danych. Ponadto wyjaśnił, że do przetwarzania danych osobowych w Fundacji wykorzystywane są wszystkie programy wchodzące w skład pakietu biurowego MS Office oraz że w Fundacji nie następuje przepływ danych pomiędzy systemami. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2018 r. nr [...], działając na podstawie art. 104 § 1 k.p.a., art. 12 pkt 2, art. 18 ust. 1 pkt 1, art. 22 ustawy o ochronie danych osobowych w zw. z § 4 pkt 1 –4 rozporządzenia Ministra Spraw Wewnętrznych i Administracji w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych: 1) nakazał Fundacji [...] z siedzibą w W. przy ul. [...], przywrócenie stanu zgodnego z prawem poprzez uzupełnienie dokumentacji stanowiącej politykę bezpieczeństwa w zakresie informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe w związku z powierzeniem przetwarzania danych Grupa [...] sp. z o.o. z siedzibą w K. oraz w zakresie opisu struktury zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi, w terminie 14 dni od dnia w którym decyzja stanie się ostateczna; 2) w pozostałym zakresie umorzył postępowanie. W uzasadnieniu – powołując się na opisany powyżej stan faktyczny – podał, że zgodnie z § 4 rozporządzenia polityka bezpieczeństwa, o której mowa w § 3 ust. 1, zawiera w szczególności: 1) wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe; 2) wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych; 3) opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; 4) sposób przepływu danych pomiędzy poszczególnymi systemami;. Politykę bezpieczeństwa w Fundacji stanowi dokument o nazwie "Polityka bezpieczeństwa danych osobowych Fundacji [...]". W związku z powyższym podniesiono na wstępie, że polityka bezpieczeństwa to dokument, który powinien być dostosowany do konkretnych warunków osobowych u określonego administratora danych. Przedmiotowa kontrola była pierwszą przeprowadzaną przez Generalnego Inspektora w Fundacji, w związku z powyższym polityka bezpieczeństwa Fundacji nie była (wbrew twierdzeniom Prokurenta Fundacji) przedmiotem oceny przeprowadzanej przez Generalnego Inspektora. W toku kontroli ustalono, że Fundacja przetwarza dane osobowe m.in. za pomocą poczty elektronicznej, w zasobach serwera pocztowego. Hostingodawcą powyższego serwera jest Grupa [...] sp. z o.o. z siedzibą w K., na podstawie zatwierdzonego regulaminu płatnych usług strefa.pl oraz umowy o powierzeniu przetwarzania danych osobowych, podpisanej przez Fundację. Z analizy powyższej polityki bezpieczeństwa wynika, że zawiera ona niepełny wykaz budynków, pomieszczeń lub części pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe. W powyższym wykazie brakuje informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe w związku z realizacją wyżej wskazanej umowy. Zatem Fundacja tylko częściowo spełnia wymóg, o którym mowa w § 4 pkt 1 rozporządzenia, bowiem w polityce bezpieczeństwa nie zostały uwzględnione budynki i pomieszczenia, w których przetwarzane są dane osobowe w związku z ich powierzeniem Grupie [...] sp. z o.o. Podstawą prawną do żądania umieszczenia w polityce bezpieczeństwa Fundacji wykazu budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe w związku z realizacją wyżej wskazanej umowy o powierzeniu przetwarzania danych osobowych, jest przepis § 4 pkt 1 rozporządzenia, zgodnie z którym polityka bezpieczeństwa powinna zawierać kompletny wykaz budynków, pomieszczeń łub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe wobec których Fundacji przysługuje status administratora danych osobowych, niezależnie od tego czy pomieszczenia te znajdują się w siedzibie administratora danych, czy poza tą siedzibą. Zgodnie z analogiczną interpretacją Generalnego Inspektora Ochrony Danych Osobowych utrwaloną w 2007 r. w wytycznych pn. "ABC bezpieczeństwa danych osobowych przetwarzanych przy użyciu systemów informatycznych", "Określając obszar przetwarzania danych osobowych, należy pamiętać, iż zgodnie z ustawą, przetwarzaniem danych osobowych nazywamy jakiekolwiek operacje wykonywane na danych osobowych, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W związku z powyższym, określanie obszaru pomieszczeń, w którym przetwarzane są dane osobowe, powinno obejmować zarówno te miejsca, w których wykonuje się operacje na nich (wpisuje, modyfikuje, kopiuje), jak również te, gdzie przechowuje się wszelkie nośniki informacji zawierające dane osobowe (szafy z dokumentacją papierową bądź komputerowymi nośnikami informacji z kopiami zapasowymi danych, stacje komputerowe, serwery i inne urządzenia komputerowe, jak np. macierze dyskowe, na których dane osobowe są przetwarzane na bieżąco). Zgodnie z treścią § 4 pkt 1 rozporządzenia miejsce przetwarzania danych osobowych powinno być określone poprzez wskazanie budynków, pomieszczeń lub części pomieszczeń, w których przetwarza się dane osobowe. Do obszaru przetwarzania danych należy zaliczyć również pomieszczenia, gdzie składowane są uszkodzone komputerowe nośniki danych (taśmy, dyski, płyty CD, niesprawne komputery i inne urządzenia z nośnikami zawierającymi dane osobowe). Do obszaru przetwarzania danych osobowych ich administrator powinien zaliczyć również miejsce w sejfie bankowym, archiwum itp., jeśli wykorzystywane są one np. do przechowywania elektronicznych nośników informacji zawierających kopie zapasowe danych przetwarzanych w systemie informatycznym czy też do składowania innych nośników danych." W związku z powyższym nie można zgodzić się z wyjaśnieniami Fundacji, w których podnoszony jest brak podstawy do wskazywania w polityce bezpieczeństwa informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe w związku z powierzeniem przetwarzania danych. Natomiast zgodnie z § 4 pkt 3 rozporządzenia, polityka bezpieczeństwa zawiera w szczególności opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi Z informacji zawartych w załączniku nr 2 do polityki bezpieczeństwa danych osobowych zatytułowanym "Wykaz zbiorów danych osobowych" wynika, że Fundacja w ramach prowadzonej działalności przetwarza dane osobowe w zbiorach danych o nazwach: "Kandydaci", "Pracownicy" "Umowy cywilnoprawne", "Wolontariusze", "Osoby współpracujące", "Darczyńcy", "Rejestr korespondencji", "Newsletter", "Kontrahenci", "Książka kontroli", "Monitoring", "Kliencie" oraz "Zbiory powierzone". Z analizy polityki bezpieczeństwa w Fundacji wynika, że w punkcie: Struktura zbiorów danych osobowych, zawiera ona jedynie zapis, że "Szczegółowy opis struktury zbiorów danych osobowych określonych w załączniku nr 2 wraz ze wskazaniem poszczególnych pół informacyjnych i powiązań między nimi znajduje się w dokumentacji technicznej będącej w posiadaniu Informatyka i autorów oprogramowania". Na podstawie powyższych ustaleń, jak również przedstawionych przez Fundację wyjaśnień uznano, że Fundacja nie spełnia wymogu określonego w § 4 pkt 3 rozporządzenia i w związku z powyższym wskazane uchybienie nie może zostać uznane za usunięte. Zgodnie bowiem z cytowanymi przez Fundację w wyżej wymienionym piśmie wytycznymi pn. "ABC bezpieczeństwa danych osobowych przetwarzanych przy użyciu systemów informatycznych": "..opisy poszczególnych pól informacyjnych w strukturze zbioru danych powinny jednoznacznie wskazywać, jakie kategorie danych są w nich przechowywane. Opis pola danych, gdy możliwa jest niejednoznaczna interpretacja jego zawartości, powinien wskazywać nie tylko kategorię danych, ale również format jej zapisu i/lub określone w danym kontekście znaczenie." Ponadto zgodnie z wymogiem wskazanym w § 4 pkt 3, konieczne jest sporządzenie opisu struktury każdego ze zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi, przy czym zgodnie z art 7 pkt 1 ustawy, przez zbiór danych rozumie się każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony łub podzielony funkcjonalnie. Opis w pola danych powinien umożliwiać jednoznaczną interpretację jego zawartości. Jednocześnie na podstawie przedstawionych wyjaśnień uznano, że pozostałe uchybienia stanowiące przedmiot postępowania administracyjnego, są bezprzedmiotowe, bowiem z wyjaśnień wynika, że do przetwarzania danych osobowych w Fundacji wykorzystywane są wszystkie programy wchodzące w skład pakietu biurowego MS Office, zatem wskazane zostały programy zastosowane do przetwarzania tych danych. Ponadto z przedstawionych w powyższym piśmie informacji wynika, że w Fundacji nie następuje przepływ danych pomiędzy poszczególnymi systemami, dlatego informacja o sposobie przepływu danych nie znalazła się w polityce bezpieczeństwa. Stosownie do art. 105 § 1 k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części. Reasumując, przesłanką umorzenia postępowania na podstawie art. 105 § 1 k.p.a. jest bezprzedmiotowość postępowania "z jakiejkolwiek przyczyny", czyli z każdej przyczyny powodującej brak jednego z elementów materialnego stosunku prawnego w odniesieniu do jego strony podmiotowej lub przedmiotowej (vide: wyrok Naczelnego Sądu Administracyjnego z dnia 21 stycznia 1999 r. sygn. akt SA/Sz 1029/97. Skoro zatem pozostałe uchybienia stwierdzone w toku kontroli zostały uznane za bezprzedmiotowe, postępowanie w tym zakresie należało umorzyć. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie, Fundacja [...] z siedziba w W. wniosła o stwierdzenie nieważności zaskarżonej decyzji, jako wydanej z rażącym naruszeniem prawa, ewentualnie uchylenie jej w całości oraz o zasądzenie kosztów postępowania, rozpoznanie sprawy w trybie uproszczonym i rozpoznanie sprawy także pod nieobecność skarżącego lub jego pełnomocnika zarzucając: I. naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy: 1. tj. art. 104 § 1 k.p.a. poprzez jego niewłaściwe zastosowanie i wydanie decyzji administracyjnej nakazującej przywrócenie stanu zgodnego z prawem w sprawie, w której decyzja ta w ogóle nie mogła być wydana, 2.tj. art. 105 § 1 k.p.a. poprzez jego niezastosowanie co do punktu 1 i 3 zawiadomienia o wszczęciu postępowania z dnia [...] października 2017 r. i nie umorzenie w konsekwencji postępowania także i w tym zakresie, II. Naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy: 1. tj. art. 18 ust. 1 ustawy o ochronie danych osobowych poprzez jego niewłaściwe zastosowanie i w konsekwencji uznanie, że organ winien wydać decyzję administracyjną nakazującą przywrócenie stanu zgodnego z prawem u skarżącego podczas, kiedy taka potrzeba w ogóle nie zachodziła, co doprowadziło w konsekwencji do nakazania wykonania zbędnych czynności i nie wymaganych przez prawo, 2. tj. § 4 pkt 1 rozporządzenia Ministra Spraw Wewnętrznych i Administracji w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych poprzez jego błędną wykładnię i w konsekwencji uznanie, że polityka bezpieczeństwa skarżącego winna być uzupełniona w zakresie informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar w którym przetwarzane są dane osobowe w związku z powierzeniem przetwarzania danych Grupie [...] sp. z o.o. z siedzibą w K. oraz w zakresie opisu struktury zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi W uzasadnieniu co do pkt I.1 podano, że polityka bezpieczeństwa skarżącego winna być uzupełniona w zakresie informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar w którym przetwarzane są dane osobowe w związku z powierzeniem przetwarzania danych Grupie [...] sp. z o.o. z siedzibą w K. jest zarzutem absurdalnym i nie mającym oparcia w żadnej normie prawnej. W szczególności nie wynika taka konieczność ze wskazanej przez organ w zaskarżonej decyzji normy prawnej zawartej w § 4 pkt 1 rozporządzenia. Treść rozporządzenia odnosi się bowiem tylko do wykazu budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe, ale u administratora danych. Żaden przepis nie wymaga aby w dokumentacji administratora danych znajdowały się zapisy dotyczące innego administratora. To obowiązkiem tego drugiego podmiotu, czyli Grupy [...] sp. z o.o. z siedzibą w K. jest opracowanie także stosownej dokumentacji dotyczącej ochrony danych osobowych, która taki wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe u niego będzie zawierała. Ważne, aby administrator danych posiadał z takim podmiotem, któremu powierza przetwarzanie danych zawartą w formie pisemnej umowę powierzenia przetwarzania danych. W przypadku skarżącego posiada on takową umowę z Grupą [...] sp. z o.o. z siedzibą w K., czego organ w swojej decyzji nie kwestionował. Ponadto organ nakazał uzupełnienie dokumentacji w postaci polityki bezpieczeństwa o wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe o informacje o Grupie [...] sp. z o.o. z siedzibą w K., ale nie nakazał tego już w stosunku do innych podmiotów z którymi administrator danych (skarżący) posiada także zawarte umowy powierzenia przetwarzania danych osobowych (np. biuro rachunkowe prowadzące obsługę księgową). Następuje zatem dualizm i wewnętrzna sprzeczność zaleceń organu zawartych w zaskarżonej decyzji. Co zaś się tyczy nakazu uzupełnienia dokumentacji o opis struktury zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi wskazano, że nakaz ten jest niewłaściwy w związku ze stwierdzonym u skarżącego stanem faktycznym. W zawiadomieniu o wszczęciu postępowania w punkcie 2 organ wskazał, że w trakcie czynności kontrolnych stwierdzono że dane osobowe w Fundacji przetwarzane są m. in. w arkuszach Microsoft Excel oraz Microsoft Outlook. Skarżący w swoim piśmie z [...] listopada 2017 r. szczegółowo wyjaśnił, że w programie Excel nie są przetwarzane u niego dane osobowe, a zatem nie ma takiego wymogu. Przepisy prawa nakazują bowiem czynienie powyższego wyłącznie w odniesieniu do programów w których dane są przetwarzane. Z kolei polityka bezpieczeństwa zawiera dokładny opis struktury zbiorów programu Outlook, ale organ całkowicie i zapewne świadomie pominął przy formułowaniu tego zarzutu strony 21 do 24 załącznika nr 3 do polityki bezpieczeństwa skarżącego, a w tych pominiętych stronach dokumentacji (kopia dokumentacji została wykonana przez organ w trakcie kontroli i stanowi załącznik nr B2 do protokołu kontroli) znajduje się właśnie szczegółowych opis programu Outlook. Zatem stan faktyczny ustalony przez organ nie jest zgodny ze stanem wskazanym w zaskarżonej decyzji. Z kolei szczegółowy opis programu Płatnik znajduje się na stronie internetowej autorów tego programu, co też zostało organowi wyjaśnione. Znamiennym przy tym jest fakt, że organ nie żądał tego wykazu, a jedynie ograniczył się tylko do stwierdzenia, że dokumentacja takowego opisu nie zawiera. Nie jest także żadnym błędem opracowanej dokumentacji wskazywanie przez administratora danych w punkcie I. załącznika nr 3 do polityki bezpieczeństwa, że: "Szczegółowy opis struktury zbiorów danych osobowych określonych w załączniku nr 2 wraz ze wskazaniem poszczególnych pól informacyjnych i powiązań między nimi znajduje się w dokumentacji technicznej będącej w posiadaniu Informatyka i autorów oprogramowania". Powyższe jest bowiem jak najbardziej zgodne z prawdą, co powoduje że dokumenty posiadane przez skarżącego są opracowane prawidłowo. W dalszej części odniesiono się do kwestii wielokrotnych kontroli prowadzonych przez organ, które przy analogicznych zapisach w dokumentacji, jak u kontrolowanego, nie były nigdy wcześniej kwestionowane. Wyjaśniono, że w swoim piśmie z [...] listopada 2017 r. faktycznie wskazywał na wielokrotne wcześniejsze kontrole GIODO, jednak nie miał na myśli wielokrotnych wcześniejszych kontroli w samej Fundacji, gdyż one nie następowały (co wytknął organ w swojej decyzji), a jedynie kontrole prowadzone wielokrotnie wcześniej u innych podmiotów, które posiadają analogiczne dokumentacje jak strona skarżąca, w tym w firmie [...] sp. z o.o. w której prokurent skarżącego jest Prezesem Zarządu. Co ważne biura spółki [...] sp. z o.o. znajdują się dokładnie w tym samym lokalu, co czynności kontrole wykonane w stosunku do Fundacji. Podczas kontroli w tym podmiocie GIODO nie kwestionował nigdy zapisów, których niewłaściwość obecnie zarzuca skarżącemu. Ponadto w przypadku spółki [...] sp. z o.o., była dokładnie taka sama sytuacja, gdyż spółka ta zawarła umowę powierzenia z firmą [...]. W tym przypadku GIODO nigdy nie zażądał, aby podać w dokumentacji ochrony danych osobowych adresów pod jakimi [...] przetwarza dane. Stanowi to więc wprost o dwoistości ustaleń, wyników kontroli i rozstrzygnięć podejmowanych przez GIODO. W takiej sytuacji, kiedy następuje "uznaniowość", nie można się z takim postępowaniem zgodzić. Postępowanie organów administracji musi bowiem się cechować stałością orzeczeń w takich samych stanach prawnych i faktycznych z czym w niniejszej sprawie nie mamy do czynienia. Jednocześnie po kontroli zbioru "Ochrona Informacji Niejawnych" GIODO przekazał ten wniosek do departamentu rejestracji i opublikował ten fakt w swoim sprawozdaniu za rok 2015 pod pozycją 137 na stronie 325. Ponadto w spółce [...] sp. z o.o. funkcjonuje dokument polityki bezpieczeństwa z takimi samymi zapisami, jakich uchybienie wykazała w zaskarżonej decyzji GIODO w stosunku do Fundacji. Skoro więc w protokole kontroli w spółce [...] uchybień w tym zakresie nie wykazano, to dziwi dlaczego takie zastrzeżenia pojawiają się w stosunku do Fundacji. Na marginesie wskazano, że wskutek złożenia do organu wniosku w trybie ustawy o odstępie do informacji publicznej i udzielonej przez GIODO odpowiedzi powziął wiedzę, że sam organ nie przestrzega przepisów ustawy o ochronie danych osobowych. Jest to o tyle ważne, że przecież Generalny Inspektor Ochrony Danych Osobowych zgodnie z treścią art. 8 ust. 1 ustawy o ochronie danych osobowych jest organem do spraw ochrony danych osobowych. Jak więc organ do spraw ochrony sam w pierwszej kolejności winien przestrzegać przepisów ustawy regulujących także jego stanowisko. W dalszej kolejności GIODO na swojej stronie internetowej opublikował artykuł ostrzegający przed kontaktami z Fundacją [...]. Na powyższe Fundacja zareagowała natychmiast wzywając GIODO do opublikowania sprostowania i przeprosin oraz do usunięcia artykułu ją szkalującego ze strony internetowej GIODO. GIODO temu wezwaniu do dziś nie uczynił zadość, a w odpowiedzi na wezwanie Fundacji w trybie odwrotnym zarządził w niej kontrolę. Skarżący więc raz jeszcze podkreśla, że odbiera to jako swoistą karę za korzystanie przez niego z ustawowo przyznanych mu uprawnień, wynikających z ustawy o odstępie do informacji publicznej. Co zaś się tyczy naruszenie przepisów postępowania, które miało wpływ na wynik sprawy to wskazano, że skoro dokumentacja ochrony danych osobowych skarżącego nie zawiera wad i jest zgodna w pełni z prawem, przeto organ nie miał możliwości wydania decyzji administracyjnej nakazującej przywrócenie stanu zgodnego z prawem. Skoro jednak to uczynił, to niewątpliwe w sposób rażący naruszył przepisy postępowania, co ewidentnie miało wpływ na wynik sprawy. Po drugie organ w zaistniałej sytuacji całkowicie niewłaściwe nie umorzył postępowania w całości, albowiem stało się ono bezprzedmiotowe. Wskutek zgodnej z prawem dokumentacji ochronnych danych osobowych u skarżącego postępowanie w sprawie wszczęte wskutek zawiadomienia z dnia [...] października 2017 r. winno być w całości, a nie tylko w części umorzone, albowiem postępowanie w całości było bezprzedmiotowe. W odpowiedzi na skargę, Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, wskazując na dotychczasowe ustalenia faktyczne i prawne. W piśmie procesowym z dnia 9 kwietnia 2018 r.. skarżąca Fundacja podtrzymała zarzuty ze skargi i przeprowadziła polemikę z odpowiedzią Generalnego Inspektora Ochrony Danych Osobowych. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2016 r., poz. 1066), sąd administracyjny sprawuje wymiar sprawiedliwości m.in. poprzez kontrolę działalności administracji publicznej pod względem zgodności z prawem. Innymi słowy, wojewódzki sąd administracyjny nie orzeka co do istoty sprawy w zakresie danego przypadku, lecz jedynie kontroluje legalność rozstrzygnięcia zapadłego w tym postępowaniu, z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga analizowana pod tym kątem podlega oddaleniu, bowiem zaskarżona decyzja została wydana zgodnie z prawem. Stosownie do treści § 4 pkt 1) rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), polityka bezpieczeństwa, o której mowa w § 3 ust. 1, zawiera w szczególności wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe. Tymczasem jak ustalono w rozpoznawanej sprawie, w trakcie kontroli przeprowadzonej w dniach [...] lipca 2017 r. w Fundacji [...] z siedzibą w W. (miejsce przeprowadzenia czynności kontrolnych w [...] przy ul. [...]), politykę bezpieczeństwa w Fundacji stanowi dokument o nazwie "Polityka bezpieczeństwa danych osobowych Fundacji [...]". W wyniku czynności kontrolnych stwierdzono, że Fundacja przetwarza dane osobowe m.in. za pomocą poczty elektronicznej, w zasobach serwera pocztowego. Hostingodawcą powyższego serwera jest Grupa [...] sp. z o.o. z siedzibą w K., na podstawie zatwierdzonego regulaminu płatnych usług [...] oraz umowy o powierzeniu przetwarzania danych osobowych, podpisanej przez Fundację. Z analizy wyżej wymienionej polityki bezpieczeństwa kontrolerzy stwierdzili, że zawiera ona niepełny wykaz budynków, pomieszczeń lub części pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe, bowiem w wykazie brakuje informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe w związku z realizacją wyżej wskazanej umowy. Zatem – jak słusznie zauważył organ – Fundacja tylko częściowo spełnia wymóg, o którym mowa w powyższym przepisie, bowiem w polityce bezpieczeństwa nie zostały uwzględnione budynki i pomieszczenia, w których przetwarzane są dane osobowe w związku z ich powierzeniem Grupie [...] sp. z o.o. Natomiast polityka bezpieczeństwa powinna zawierać kompletny wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe wobec których Fundacji przysługuje status administratora danych osobowych i niezależnie od tego, czy pomieszczenia te znajdują się w siedzibie administratora danych, czy poza tą siedzibą. Jako przykład może służyć przytoczona przez organ analogiczna interpretacja Generalnego Inspektora Ochrony Danych Osobowych zawarta w 2007 r. w wytycznych pn. "ABC bezpieczeństwa danych osobowych przetwarzanych przy użyciu systemów informatycznych", "Określając obszar przetwarzania danych osobowych, należy pamiętać, zgodnie z ustawą, przetwarzaniem danych osobowych nazywamy jakiekolwiek operacjo wykonywane na danych osobowych, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W związku z powyższym, określanie obszaru pomieszczeń, w którym przetwarzane są dane osobowe, powinno obejmować zarówno te miejsca, w których wykonuje się operacje na nich (wpisuje, modyfikuje, kopiuje), jak również te, gdzie przechowuje się wszelkie nośniki informacji zawierające dane osobowe (szafy z dokumentacją papierową bądź komputerowymi nośnikami informacji z kopiami zapasowymi danych, stacje komputerowe, serwery i inne urządzenia komputerowe jak np. macierze dyskowe, na których dane osobowe są przetwarzane na bieżąco). Zgodnie z treścią § 4 pkt 1 rozporządzenia miejsce przetwarzania danych osobowych powinno być określone poprzez wskazanie budynków, pomieszczeń lub części pomieszczeń, w których przetwarza się dane osobowe. Do obszaru przetwarzania danych należy zaliczyć również pomieszczenia, gdzie składowane są uszkodzone komputerowe nośniki danych (taśmy, dyski, płyty CD, niesprawne komputery i inne urządzenia z nośnikami zawierającymi dane osobowe). Do obszaru przetwarzania danych osobowych ich administrator powinien zaliczyć również miejsce w sejfie bankowym, archiwum itp., jeśli wykorzystywane są one np. do przechowywania elektronicznych nośników informacji zawierających kopie zapasowe danych przetwarzanych w systemie informatycznym czy też do składowania innych nośników danych." Podobne stanowisko w tej mierze wskazuje doktryna (vide: Ochrona danych osobowych 6. wydanie Komentarz LEX Janusz Barta, Paweł Fajgielski, Ryszard Markiewicz Warszawa 2015 strona 706). Natomiast w myśl § 4 pkt) 3 rozporządzenia, polityka bezpieczeństwa, zawiera w szczególności opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi. W rozpoznawanej sprawie, z załącznika nr 2 do polityki bezpieczeństwa danych osobowych zatytułowanym "Wykaz zbiorów danych osobowych" wynika, że Fundacja w ramach prowadzonej działalności przetwarza dane osobowe w zbiorach danych o nazwach: "Kandydaci", "Pracownicy" "Umowy cywilnoprawne", "Wolontariusze", "Osoby współpracujące", "Darczyńcy", "Rejestr korespondencji", "Newsletter", "Kontrahenci", "Książka kontroli", "Monitoring", "Kliencie" oraz "Zbiory powierzone". Jak wynika z analizy polityki bezpieczeństwa w Fundacji, w punkcie "Struktura zbiorów danych osobowych", zawiera ona jedynie zapis, że "Szczegółowy opis struktury zbiorów danych osobowych określonych w załączniku nr 2 wraz ze wskazaniem poszczególnych pól informacyjnych i powiązań między nimi znajduje się w dokumentacji technicznej będącej w posiadaniu Informatyka i autorów oprogramowania". Zatem Fundacja nie spełnia wymogu określonego w cytowanym wyżej przepisie, bowiem zgodnie z wytycznymi "ABC bezpieczeństwa danych osobowych przetwarzanych przy użyciu systemów informatycznych": "..opisy poszczególnych pól informacyjnych w strukturze zbioru danych powinny jednoznacznie wskazywać, jakie kategorie danych są w nich przechowywane. Opis pola danych, gdy możliwa jest niejednoznaczna interpretacja jego zawartości, powinien wskazywać nie tylko kategorię danych, ale również format jej zapisu i/lub określone w danym kontekście znaczenie." Powyższe potwierdza również stanowisko doktryny (vide: Ochrona i danych osobowych 6. wydanie Komentarz LEX Janusz Barta, Paweł Fajgielski, Ryszard Markiewicz Warszawa 2015 strony 708-710). Ponadto zgodnie z tym przepisem, konieczne jest sporządzenie opisu struktury każdego ze zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi, przy czym zgodnie z art. 7 pkt 1 ustawy, przez zbiór danych rozumie się każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Opis pola danych powinien umożliwiać jednoznaczną interpretację jego zawartości. Stąd też nie sposób się zgodzić z zarzutem, że przepisy prawa nakazują czynienie powyższego wyłącznie w odniesieniu do programów w których przetwarzane są dane osobowe, bowiem zgodnie z cytowanym już wyżej § 4 pkt) 3 rozporządzenia, polityka bezpieczeństwa powinna zawierać opis struktury zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi, a nie programów w których dane są przetwarzane. W prowadzonej przez Fundację polityce bezpieczeństwa wymienione zostały zbiory danych o nazwach "Kandydaci", "Pracownicy" "Umowy cywilnoprawne", "Wolontariusze", "Osoby wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych "Książka kontroli", "Monitoring", "Kliencie" oraz "Zbiory powierzone", jednakże skarżąca nie odniosła się do opisu struktury powyższych zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi, natomiast odniosła się m. in. do "opisu struktury zbiorów programu Outlook", który nie jest wskazany w zawartym w polityce bezpieczeństwa Fundacji wykazie zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych. Zatem zarzut sporządzenia opisu struktury programów wykorzystywanych przetwarzania danych zamiast opisu struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi, jest błędny. Na koniec zaś dodać należy, że stanowiące podstawę przedstawionej w zaskarżonej decyzji interpretacji wymogów wynikających z § 4 pkt 1 i 3 rozporządzenia wytyczne "ABC bezpieczeństwa danych osobowych przetwarzanych przy użyciu systemów informatycznych" są znane skarżącej i w wybranym przez Fundację zakresie zostały zacytowane w piśmie z dnia [...] listopada 2017 r. Zatem z jednej strony Fundacja określa interpretację przedstawione w powyższych wytycznych jako absurdalną, zaś z drugiej powołuje się na nie w skierowanym do Generalnego Inspektora piśmie. W tym stanie rzeczy, na podstawie art. 151 i art. 132 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2018, poz. 1302), należało orzec jak w sentencji wyroku.