II SA/Wa 679/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA – Agnieszka Góra – Błaszczykowska Sędzia WSA – Stanisław Marek Pietras (spraw.) Sędzia WSA – Ewa Radziszewska – Krupa Protokolant specjalista – Aleksandra Weiher po rozpoznaniu na rozprawie w dniu 11 października 2019 r. sprawy ze skargi Prezesa Instytutu Pamięci Narodowej – Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął wniosek Instytutu Pamięci Narodowej Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu w przedmiocie nakazania [...] Uniwersytetowi [...] w [...], przywrócenia stanu zgodnego z prawem, poprzez udostępnienie na rzecz IPN danych osobowych przetwarzanych w celu identyfikacji tożsamości osób, które straciły życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r. określonych w art. 53f ust. 2 ustawy z dnia 18 grudnia 1998 r. o Instytucie Pamięci Narodowej – Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu (tekst jedn. Dz. U. z 2018 r. poz. 2032). W uzasadnieniu wskazano, że na mocy porozumienia z [...] września 2012 r. zawartego przez IPN z [...]U[...], utworzona została Polska Baza Genetyczna Ofiar Totalitaryzmów, w której zaczęto gromadzić materiał biologiczny oraz dane i informacje dotyczące krewnych ofiar totalitaryzmów, których miejsce pochówku nie jest znane (materiał porównawczy), a także dane i informacje dotyczące odnalezionych w wyniku prac poszukiwawczych prowadzonych przez IPN zwłok i szczątków domniemanych ofiar totalitaryzmów (materiał dowodowy/ekshumacyjny). IPN wyjaśnił, że na mocy ww. porozumienia administratorem danych zawartych w utworzonej bazie stał się [...]U[...], a w wyniku zawartego [...] listopada 2015 r. aneksu do ww. porozumienia [...]U[...], zobowiązał się do dokonywania genetycznej identyfikacji ofiar. Podniesiono następnie, że zgodnie z art. 53h ust. 1 i 2 ustawy o IPN, [...]U[...], jako administrator danych zawartych w Polskiej Bazie Genetycznej Ofiar Totalitaryzmów, przetwarza dane (w tym dane osobowe) podlegające bezpośrednio przekazaniu do Bazy Materiału Genetycznego IPN i jest jednocześnie zobowiązany do aktualizacji przekazanych danych w okresach trzymiesięcznych. Dalej wskazano, że [...] września 2016 r. Prezes IPN zwrócił się do Rektora [...]U[...] o wykonanie obowiązku określonego w art. 53h ust. 1 ustawy o IPN i przekazanie wymaganych danych i informacji. W związku z brakiem informacji zwrotnej, Prezes IPN [...] listopada 2016 r. wystosował ponowną prośbę o wykonanie ustawowego obowiązku przekazania danych i informacji. IPN wyjaśnił, że w toku dalszej korespondencji z [...]U[...] nie otrzymał wnioskowanych danych, przez co pismem z [...] marca 2017 r. zwrócił się po raz ostatni z wnioskiem do [...]U[...] o wykonanie obowiązku z art. 53h ust. 1 ustawy o IPN. Wskazał, że na wniosek ten, [...]U[...] pismem z [...] kwietnia 2017 r., odmówił przekazania jakichkolwiek innych danych (poza przekazanymi wcześniej informacjami w ujęciu statystycznym oraz kserokopiami ankiet historycznych i protokołów pobrania materiału porównawczego, nie stanowiącymi w ocenie IPN informacji i danych tożsamych z tymi wskazanymi w art. 53f ust. 2 ustawy o IPN) do Bazy Materiału Genetycznego IPN. W dalszej części stwierdzono, że stanowisko [...]U[...] wyrażone w kierowanych do niego pismach (w odpowiedzi na omawiany powyżej wniosek) nie zasługuje na uwzględnienie. W ocenie IPN, [...]U[...] w latach 2012 i 2013 uzyskał na podstawie porozumienia zawartego [...] września 2012 r. z IPN większość posiadanych w Polskiej Bazie Genetycznej Ofiar Totalitaryzmów danych w związku z pozyskiwaniem w wyniku prowadzonych przez IPN prac poszukiwawczych i ekshumacyjnych na Cmentarzu Wojskowym na [...] w [...], próbek materiału dowodowego i porównawczego i w myśl § 2 ust 2 tego porozumienia stał się "właścicielem" i administratorem danych osobowych zgromadzonych w ww. bazie. Dopiero w czerwcu 2014 r. prokurator Oddziałowej Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu w [...] wszczął śledztwo w sprawie [...] i w ramach tego śledztwa zlecił badania genetyczne wykorzystując materiał biologiczny zgromadzony w Polskiej Bazie Genetycznej Ofiar Totalitaryzmów. IPN wyraził pogląd, że [...]U[...] nie utracił statusu administratora danych osobowych przez fakt, iż po zgromadzeniu danych osobowych w Polskiej Bazie Genetycznej Ofiar Totalitaryzmów, zostało wszczęte śledztwo i prokurator zarządził badania genetyczne zgromadzonego tam materiału biologicznego (wcześniej, jak wyjaśnił IPN, w toku prowadzonej korespondencji z [...]U[...] podmiot ten odmówił przekazania tych danych osobowych, które pozostają w związku z postępowaniami karnymi prowadzonymi przez prokuratorów IPN, z uwagi na to, że nie jest on dysponentem tych danych). Tym samym, ze względu na niewykonanie przez [...]U[...] ustawowego obowiązku przekazania danych, w tym danych osobowych określonych w art. 53f ust. 2 ustawy o IPN, wniosek o nakazanie [...]U[...] przywrócenia stanu zgodnego z prawem poprzez udostępnienie danych osobowych określonych w treści wniosku jest konieczny i uzasadniony. Wobec powyższego Generalny Inspektor Ochrony Danych Osobowych prowadząc postepowanie wyjaśniające ustalił, że [...] września 2012 r. pomiędzy [...]U[...], a IPN zostało zawarte porozumienie (dalej Porozumienie), mocą którego [...]U[...] utworzył Polską Bazę Genetyczną Ofiar Totalitaryzmów. Aneksem do Porozumienia z [...] listopada 2015 r. ustalono, że w celu realizacji Porozumienia [...]U[...] zobowiązuje się m.in. do udzielenia IPN dostępu do PBGOT, na zasadach określonych w odrębnej umowie. [...]U[...] przetwarza w PBGOT materiał porównawczy (wymazy z jamy ustnej) pobrany od osób, które dobrowolnie zgłosiły się celem odnalezienia i identyfikacji członków ich rodzin, którzy zginęli podczas wojny oraz w okresie międzywojennym. Materiał ten jest obecnie przez [...]U[...] wyłącznie przechowywany, nie są tworzone na jego podstawie profile genetyczne. Zakres danych przetwarzanych w PBGOT nie jest tożsamy z zakresem danych wskazanym w art. 53f ust. 2 ustawy o IPN. Zakres ten obejmuje imię i nazwisko, adres zamieszkania lub pobytu, adres do korespondencji, seria i nr dowodu osobistego, nr telefonu, informacje na temat kodu genetycznego oraz informacje o stanie zdrowia w zakresie wykonanych przeszczepów i przetaczania krwi (informacje wpływające na profil genetyczny) z tym, że informacje odnośnie kodu genetycznego powstają w momencie stworzenia profilu genetycznego w danym systemie. [...]U[...]. Profile genetyczne wykonywane są przez Zakład Genetyki Sądowej [...]U[...] wyłącznie w przypadku prowadzonych przez IPN śledztw. Z tego powodu [...]U[...] nie dysponuje profilami genetycznymi wszystkich (pozostałych) osób, od których pobrano materiał genetyczny. W przypadkach, gdy PBGOT jest wykorzystywana przez Zakład Genetyki Sądowej [...]U[...] na potrzeby śledztw prokuratorskich IPN, materiał porównawczy jest włączany do postępowań na podstawie postanowień prokuratorskich. Stworzone na podstawie tego materiału profile genetyczne stanowią dowody w postępowaniu karnym. Dane osobowe osób, od których pobrano materiał porównawczy w ramach postępowań prokuratorskich wyodrębnione są funkcjonalnie za pomocą odpowiedniego znacznika w systemie informatycznych [...]U[...] (w tym samym systemie funkcjonuje PBGOT). Pismem z [...] września 2016 r. Prezes IPN zwrócił się do [...]U[...] o wykonanie obowiązku określonego w art. 53h ust. 1 ustawy o IPN, zgodnie z którym podmiot będący administratorem bazy materiału genetycznego lub bazy materiału biologicznego przechowywanego w celu identyfikacji tożsamości osób, o których mowa w art. 53b, przekazuje do Bazy (Baza Materiału Genetycznego IPN), informacje o posiadanych próbkach materiału genetycznego lub biologicznego oraz dotyczące ich dane i informacje określone w art. 53f ust. 2. W związku z czym [...]U[...] przekazał do IPN kopie ankiet osób, od których pobrano materiał genetyczny oraz dane statystyczne dotyczące prowadzonych przez Zakład Genetyki Sądowej [...]U[...] badań. Prezes IPN uszczegóławiając ww. wniosek zwrócił się o przekazanie m.in. następujących danych osobowych: informacji o ilości posiadanego materiału porównawczego od krewnych ofiar, z podaniem ich danych takich jak imię i nazwisko, data i miejsce urodzenia, imiona rodziców, nazwisko panieńskie matki, miejsce zamieszkania, nr telefonu, adres e-mail, informację o stopniu pokrewieństwa z ofiarą, informację o miejscu i dacie pobrania materiału porównawczego, oznaczenie materiału porównawczego, a także o informację o stanie zaawansowania badań genetycznych w odniesieniu do krewnych ofiar lub daty identyfikacji. W treści przedmiotowego wniosku Prezes IPN powołał się na współpracę IPN z [...]U[...] w ramach projektu "Poszukiwania nieznanych miejsc pochówku ofiar terroru komunistycznego 1944 – 1956", a także w związku z utworzoną w tym celu PBGOT, która nie została utworzona w ramach projektu "Poszukiwania nieznanych miejsc pochówku ofiar terroru komunistycznego 1944 – 1956". [...]U[...] przetwarza w PBGOT dane osobowe osób, których krewni stracili życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r. i miejsce ich pochowania nie jest znane, w zakresie ich imion, nazwisk, adresów do korespondencji oraz informacji na temat kodu genetycznego (w odniesieniu do osób, dla których został wykonany profil genetyczny). [...]U[...] nie przetwarza w PBGOT danych osobowych osób, od których pobrano materiał porównawczy w zakresie daty i miejsca ich urodzenia, imion rodziców, nazwiska panieńskiego matki, adresów e-mail i [...]U[...] nie prowadzi żadnych innych zbiorów danych osobowych, co do których obowiązany jest do udostępnienia danych IPN na podstawie art. 53h ust. 1 ustawy o IPN. W tej sytuacji Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] grudnia 2017 r. nr [...], działając na podstawie art. 12 pkt 2, art. 22, art. 26 oraz art. 27 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r., poz. 922) w zw. z art. 53h, 53i oraz 71 ustawy z dnia 18 grudnia 1998 r. o Instytucie Pamięci Narodowej – Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu (tekst jedn. Dz. U. z 2016 r., poz. 1575), nakazał [...] Uniwersytetowi [...] w [...] przywrócenie stanu zgodnego z prawem, poprzez udostępnienie na rzecz Instytutu Pamięci Narodowej – Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu, przetwarzanych w "Polskiej Bazie Genetycznej Ofiar Totalitaryzmów" danych osobowych przetwarzanych w celu identyfikacji tożsamości osób, które straciły życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r. określonych w art. 53 f ust. 2 ustawy o IPN, tj.: 1) danych i informacji osobach, których krewni stracili życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r. i miejsce ich pochowania nie jest znane, obejmujących: imię, nazwisko, adres do korespondencji, oznaczenie materiału genetycznego, określenie stopnia pokrewieństwa z krewnymi, jego imię i nazwisko, datę urodzenia i imię ojca; 2) wyniki badań genetycznych, w tym wyniki badań określających profile genetyczne ustalone na podstawie pobranego materiału biologicznego ze zwłok, szczątków lub prochów ludzkich oraz na podstawie pobranego materiału biologicznego od krewnych ofiar, a także wyniki przeprowadzonych badań porównawczych. Wnioskiem z dnia [...] grudnia 2019 r. o ponowne rozpatrzenie sprawy, [...]U[...] wniósł o uchylenie zaskarżonej decyzji w całości i umorzenie postępowania, względnie zmianę decyzji poprzez odmowę uwzględnienia wniosku IPN. [...]U[...] zarzucił organowi naruszenie art. 71 ustawy o IPN w zw. z art. 6 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2018 r. poz. 2096 ze zm.) poprzez przyjęcie, że ma kompetencje do wydania decyzji w sprawie, podczas gdy z treści art. 71 ustawy o IPN wynika, iż ustawę z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922), zwaną dalej ustawą z 29 sierpnia 1997 r., stosuje się wyłącznie do prowadzenia Bazy, o której mowa w art. 53f ustawy o IPN. Ponadto [...]U[...] zarzucił organowi naruszenie art. 2 ust. 1 w zw. z art. 6 ust. 1 i 2 ustawy z 29 sierpnia 1997 r. poprzez nieprawidłowe przyjęcie, iż zakresem ustawy o ochronie danych osobowych objęte są informacje o osobach zmarłych, a także art. 53h ust. 1 ustawy o IPN poprzez jego zastosowanie w sytuacji, gdy z ustalonego stanu faktycznego sprawy wynika, że [...]U[...] przekazał posiadane z art. 53f ust. 2 ustawy o IPN informacje w formie ankiet. Zarzucono również naruszenie art. 156 § 1 pkt 5 k.p.a. poprzez wydanie decyzji, która w dniu jej wydania była niewykonalna, bowiem w jej pkt 1 nakazano udostępnienie na rzecz IPN informacji obejmujących określenie stopnia pokrewieństwa z krewnymi, jego imię i nazwisko, datę urodzenia i imię ojca, podczas gdy [...]U[...] takich informacji nie gromadził i nie posiada. [...]U[...] podniósł nadto naruszenie przez organ art. 53h ust. 1 w zw. z art. 53 ust. 2 pkt 3 ustawy o IPN poprzez błędne przyjęcie, że badania porównawcze mieszczą się w zakresie badań genetycznych, podczas gdy wynikiem badań genetycznych są profile genetyczne, zaś badania porównawcze są czynnościami realizowanymi na profilach genetycznych, a nadto badania porównawcze stanowią dodatkowe czynności zlecane podmiotom określonym w art. 53f ust. 9 ustawy. W konsekwencji [...]U[...] zarzucił organowi naruszenie art. 7, 77, 80 k.p.a. i błędne ustalenie stanu faktycznego sprawy wskutek pominięcia okoliczności, że prokuratorzy IPN otrzymali po zakończeniu badań wyniki badań genetycznych, w tym opracowane profile genetyczne, co sprawia, że podmiot wskazany w decyzji jest już dysponentem tych danych a także wskutek przyjęcia, że [...]U[...] jest administratorem elementów bazy danych obejmujących profile genetyczne wykonane na potrzeby prowadzonych przez IPN śledztw, podczas gdy [...]U[...] działa w ramach zlecenia i w zakresie wynikającym z postanowień wydanych w toku postępowań prokuratorów. W uzasadnieniu wniosku [...]U[...] podkreślił w szczególności, iż zakres danych przetwarzanych w PBGOT nie jest tożsamy z zakresem danych wskazanym w art. 53f ust. 2 ustawy o IPN. Profile genetyczne wykonywane są przez Zakład Genetyki Sądowej [...]U[...] wyłącznie w przypadku prowadzonych przez IPN śledztw. Z tego powodu [...]U[...] nie dysponuje profilami genetycznymi wszystkich (pozostałych) osób, od których pobrano materiał genetyczny. [...]U[...] nie przetwarza w PBGOT danych osobowych osób, od których pobrano materiał porównawczy w zakresie daty i miejsca ich urodzenia, imion rodziców, nazwiska panieńskiego matki, adresów e-mail. Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2019 r. nr [...], mając za podstawę art. 138 § 1 pkt 2 k.p.a. w zw. z art. art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000 ze zm.) w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723) oraz art. 57 ust. 1 lit. a) i f) i art. 6 ust. 1, art. 9 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1) w zw. z art. 71 ustawy z dnia 18 grudnia 1998 r. o Instytucie Pamięci Narodowej – Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu (Dz. U. z 2018 r. poz. 2032), uchylił zaskarżoną decyzję w całości i odmówił uwzględnienia wniosku. W uzasadnieniu – wskazując na opisany powyżej stan faktyczny – podał, że zgodnie z art. 18 ust. 1 ustawy z 29 sierpnia 1997 r., Generalny Inspektor w przypadku naruszenia przepisów o ochronie danych osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Z kolei stosownie do art. 57 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1), bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym (lit. i). Zgodnie z art. 4 pkt 1 RODO, dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (osobie, której dane dotyczą); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Zgodnie natomiast z art. 4 pkt 2 RODO, przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Z kolei zgodnie z art. 6 ust. 1 RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Zgodnie z art. 9 ust. 1 RODO, zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Z kolei zgodnie z art. 9 ust. 2 RODO, ust. 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków: a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1; b) przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą; c) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody; d) przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą; e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą; f) przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy; g) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą; h) przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3; i) przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową; j) przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą. Zgodnie z art. 71 ustawy o IPN w działalności Instytutu Pamięci określonej w art. 1 tej ustawy, z wyjątkiem prowadzenia Bazy, o której mowa w art. 53f, nie stosuje się przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. W zakresie przedmiotowej sprawy znajduje zatem zastosowanie ustawa o ochronie danych osobowych, gdyż wniosek IPN skierowany do Generalnego Inspektora dotyczy odmowy udostępnienia mu przez [...]U[...] informacji, które w ocenie IPN podmiot ten winien był udostępnić na podstawie art. 53h ust. 1 ustawy o IPN. Zgodnie z ust 1. tego przepisu podmiot będący administratorem bazy materiału genetycznego lub bazy materiału biologicznego przechowywanego w celu identyfikacji tożsamości osób, o których mowa w art. 53b (tj. osób, które straciły życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r.), przekazuje do Bazy (Baza Materiału Genetycznego IPN - art. 53f ust. 1 omawianej ustawy), zw. dalej BMG IPN, informacje o posiadanych próbkach materiału genetycznego lub biologicznego oraz dotyczące ich dane i informacje określone w art. 53f ust. 2. Artykuł ten (53f ustawy o IPN) stanowi w ustępie pierwszym, że w celu prowadzenia prac poszukiwawczych oraz identyfikacji tożsamości osób, o których mowa w art. 53b, w Instytucie Pamięci tworzy się Bazę Materiału Genetycznego, zwaną dalej "Bazą", której administratorem w rozumieniu ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r. poz. 922) jest Prezes Instytutu Pamięci. Zgodnie z ust. 2 baza ta (BMG IPN) obejmuje: 1) dane i informacje o osobach, których krewni stracili życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r. i miejsce ich pochowania nie jest znane: a) imię i nazwisko, b) adres do korespondencji, c) oznaczenie materiału genetycznego i miejsce jego przechowywania, d) określenie stopnia pokrewieństwa z krewnym, jego imię i nazwisko, datę urodzenia i imię ojca oraz stopień wojskowy, e) wskazanie okoliczności mogących służyć odnalezieniu miejsca pochowania i ustaleniu tożsamości, w szczególności dotyczących aresztowania, miejsc osadzenia oraz organów bezpieczeństwa państwa i ich funkcjonariuszy prowadzących postępowania w sprawach krewnego. Tymczasem z wyjaśnień przedłożonych w sprawie przez IPN oraz treści Porozumienia PBGOT wynika, iż PBGOT stanowi bazę danych przetwarzanych w celach identyfikacji tożsamości osób, o których mowa w art. 53b ustawy o IPN. Z treści Porozumienia wynika, że porozumienie to zostało zawarte cyt.: "Mając na względzie pamięć ofiar zbrodni systemów totalitarnych i dążąc do ograniczenia ich porażającej bezimienności, będącej jednym z przejawów zaprzeczenia człowieczeństwa pomordowanych". Jednocześnie nazwa bazy - Polska Baza Genetyczna Ofiar Totalitaryzmów wskazuje jakie dane podlegają gromadzeniu w niej. Podobnie IPN wyjaśnił, że na mocy porozumienia z [...] września 2012 r. zawartego przez IPN z [...]U[...] utworzona została Polska Baza Genetyczna Ofiar Totalitaryzmów, w której zaczęto gromadzić materiał biologiczny oraz dane i informacje dotyczące krewnych ofiar totalitaryzmów, których miejsce pochówki nie jest znane (materiał porównawczy) oraz materiał biologiczny oraz dane i informacje dotyczące odnalezionych w wyniku prac poszukiwawczych prowadzonych przez IPN zwłok i szczątków domniemanych ofiar totalitaryzmów (materiał dowodowy/ekshumacyjny). IPN wyjaśnił, że na mocy ww. porozumienia administratorem danych zawartych w utworzonej bazie stał się [...]U[...], a w wyniku zawartego [...] listopada 2015 r. aneksu do ww. porozumienia [...]U[...] zobowiązał się do dokonywania genetycznej identyfikacji ofiar. Tym samym [...]U[...], jako administrator danych osobowych zgromadzonych w PBGOT jest obowiązany udostępniać na rzecz IPN ww. dane zgodnie z art. 53h, jako że PBGOT jest bazą danych w rozumieniu ww. przepisu. Odnosząc się w tym miejscu do zarzutów [...]U[...] dotyczących tego, iż nie gromadzi i nie posiada informacji, o których mowa w pkt 1 zaskarżonej ww. decyzji, a także tego, że prokuratorzy IPN otrzymali po zakończeniu badań wyniki badań genetycznych, w tym opracowane profile genetyczne, co sprawia, że podmiot wskazany w decyzji jest już dysponentem tych danych, jak również tego, że [...]U[...] nie jest administratorem elementów bazy danych obejmujących profile genetyczne wykonane na potrzeby prowadzonych przez IPN śledztw wskazano, iż zarzuty [...]U[...] są w pełni zasadne, a wydana ww. decyzja z dnia [...] grudnia 2017 r. wadliwa ze względów podniesionych przez [...]U[...] we wniosku o ponowne rozpatrzenie sprawy. Jak bowiem wynika z przeprowadzonych w siedzibie [...]U[...] czynności kontrolnych i stanowiska [...]U[...] prezentowanego zarówno w toku postępowania pierwszoinstancyjnego, jak i w ww. wniosku o ponowne rozpatrzenie sprawy, zakres danych przetwarzanych w PBGOT nie jest tożsamy z zakresem danych wskazanym w art. 53f ust. 2 ustawy o IPN. Powyższe powoduje, iż zaskarżona decyzja jest błędna. Zakres ten (dane przetwarzane w PBGOT) obejmuje bowiem imię i nazwisko, adres zamieszkania lub pobytu, adres do korespondencji, seria i nr dowodu osobistego, nr telefonu, informacje na temat kodu genetycznego oraz informacje o stanie zdrowia w zakresie wykonanych przeszczepów i przetaczania krwi (informacje wpływające na profil genetyczny), z tym, że informacje odnośnie kodu genetycznego powstają w momencie stworzenia profilu genetycznego w danym systemie [...]U[...]. Profile genetyczne wykonywane są zaś przez Zakład Genetyki Sądowej [...]U[...] wyłącznie w przypadku prowadzonych przez IPN śledztw. Z tego powodu [...]U[...] nie dysponuje profilami genetycznymi osób, od których pobrano materiał genetyczny (za wyjątkiem tych, które zidentyfikowane zostały w związku z prowadzonymi przez IPN postępowaniami). Z uwagi na powyższe w przedmiotowej sprawie brak jest podstaw uzasadniających nakazanie [...]U[...] udostępnienia na rzecz IPN danych i informacji odnoszących się do niezidentyfikowanych próbek porównawczych materiału genetycznego (tj. pozyskanych od osób próbek, dla których nie został stworzony profil genetyczny pozwalający na jednoznaczne stwierdzenie, że konkretna osoba jest krewnym osoby, która straciła życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r.). Niezależnie jednak od gromadzenia przez [...]U[...] w PBGOT materiału porównawczego (wymazy z jamy ustnej) pobranego od osób, które dobrowolnie zgłosiły się celem odnalezienia i identyfikacji członków ich rodzin, którzy zginęli podczas wojny oraz w okresie międzywojennym (który to materiał jest obecnie przez [...]U[...] wyłącznie przechowywany, a nie są tworzone na jego podstawie profile genetyczne), Zakład Genetyki Sądowej [...]U[...] sporządza profile genetyczne osób, których krewni stracili życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r., wyłącznie w przypadku prowadzonych przez IPN śledztw. Tym samym w niniejszej sprawie brak było podstaw prawnych do uwzględnienia wniosku IPN i wydania decyzji nakazującej [...]U[...] udostępnienie na rzecz IPN danych i informacji odnoszących się do niezidentyfikowanych próbek porównawczych materiału genetycznego (tj. pozyskanych od osób próbek, dla których nie został stworzony profil genetyczny pozwalający na jednoznaczne stwierdzenie, że konkretna osoba jest krewnym osoby, która straciła życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r.), jak również i danych przetwarzanych przez [...]U[...] w związku z prowadzonymi przez prokuratorów IPN śledztwami (w tym w sprawie o sygn. akt [...]). Dlatego też należało zaskarżoną decyzję z dnia [...] grudnia 2017 r. uchylić w całości i odmówić uwzględnienia wniosku IPN. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie, skarżący Prezes Instytutu Pamięci Narodowej – Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu wniósł o uchylenie zaskarżonej zarzucając naruszenie: 1) art. 107 § 3 k.p.a. poprzez ogólne, lakoniczne uzasadnienie zaskarżonej decyzji, które nie pozwala zrozumieć przesłanek jakimi kierował się organ wydając skarżoną decyzję, 2) art. 107 § 3 k.p.a. poprzez arbitralne wydanie odmiennej decyzji wobec decyzji z dnia [...] grudnia 2017 r. przy tak samo ustalonym stanie faktycznym sprawy, 3) art. 6, 7 i 9 k.p.a. w związku z art. 53h ust. 1 ustawy o IPN poprzez błędne ustalenie podstawy faktycznej wniosku IPN z dnia [...] czerwca 2017 r. co doprowadziło do odmowy uwzględnienia wniosku, 4) art. 53 f ust. 1, art. 53h ust. 1 ustawy o IPN w związku z art. 156 § 1 pkt 5 k.p.k. poprzez stwierdzenie, że udostępnienie określonych informacji prokuratorom IPN na potrzeby prowadzonych śledztw zwalnia [...]U[...] z obowiązku określonego w art. 53h ust. 1 ustawy o IPN, 5) art. 138 § 1 pkt 2 k.p.a. poprzez uchylenie w całości decyzji z dnia [...] grudnia 2017 r. i odmowę uwzględnienia wniosku podczas gdy organ powinien uchylić decyzję w części i częściowo uwzględnić żądanie (w zakresie danych wskazanych w art. 53h ust. 1 ustawy o IPN, które przetwarzane są przez [...]U[...]). W uzasadnieniu – wskazując na opisany powyżej stan faktyczny – powołał się na treść art. 107 § 3 k.p.a. i stwierdził, że uzasadnienie zaskarżonej decyzji powyższych wymogów nie spełnia, bowiem organ powtarza obszerne fragmenty z uzasadnienia decyzji z dnia [...] grudnia 2017 r. (uwzględniającej żądanie IPN) oraz przytacza regulacje RODO w sytuacji, kiedy na podstawie art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000) postępowania wszczęte i niezakończone przed dniem wejścia w życie tej ustawy, prowadzone są na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 z późn. zm.) zgodnie z zasadami określonymi w k.p.a. Próba wyjaśnienia powodów rozstrzygnięcia zawarta jest w dwóch akapitach, których treść jest lakoniczna i ogólna i z całą pewnością uzasadnienie skarżonej decyzji nie wypełnia zasady przekonywania. Organ przy powtórzeniu stanu faktycznego ustalonego podczas wydawania decyzji z dnia [...] grudnia 2017 r., arbitralnie podjął zupełnie odmienne rozstrzygniecie i nie wyjaśnił dlaczego tak postąpił. Prezes UODO nie odniósł się również do zebranych w sprawie dowodów. Nie wymienił zebranych dowodów w treści decyzji. Nie wskazał, którym daje wiarę, a którym wiary odmawia i dlaczego. Dowody powinny być nie tylko zebrane ale również rozpatrzone. W dalszej części wskazując na treść wniosku z dnia [...] czerwca 2017 r., powołał się na treść art. 53h ust. 1 ustawy o IPN. Na podstawie zawartego w dniu [...] września 2012 r. przez IPN i [...]U[...] porozumienia [...]U[...] utworzył Polska Bazę Genetyczną Ofiar Totalitaryzmów. Baza miała składać się z bazy materiału porównawczego oraz bazy materiału ekshumacyjnego. Stosownie do § 2 ust. 2 porozumienia, właścicielem i administratorem bazy oraz zgromadzonego materiału badawczego został [...]U[...] i w związku z tym przejął odpowiedzialność i obowiązki określone przepisami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. W dniu [...] listopada 2015 r. strony zmieniły porozumienie rozszerzając zakres obowiązków [...]U[...] m.in. o genetyczną identyfikację ofiar. Podczas czynności kontrolnych przeprowadzonych w [...]U[...], GIODO ustalił, że zakres danych przetwarzanych w bazie PUB obejmuje: imię i nazwisko, adres zamieszkania lub pobytu, adres do korespondencji, serię i nr dowodu osobistego, nr telefonu, informacje na temat kodu genetycznego oraz informacje o stanie zdrowia w zakresie wykonanych przeszczepów i przetaczania krwi (informacje wpływające na profil genetyczny). Informacje odnośnie kodu genetycznego powstają w momencie stworzenia profilu genetycznego w danym systemie [...]U[...]. Do rejestracji został zgłoszony także zbiór danych osobowych pod nazwą "Polska Baza Genetyczna Ofiar Totalitaryzmu" (nr księgi: [...]). W zbiorze jako zakres danych wskazano m.in. dane dotyczące imion rodziców, dat i miejsc urodzenia osób poszukiwanych (zmarłych), (pismo Departamentu Inspekcji GIODO z dnia [...] września 2017 r., [...]). Z pisma wynika również, że w bazie [...]U[...] przechowywany jest materiał porównawczy w postaci pobranych wymazów z jamy ustnej. Wymazy z jamy ustanej nazwane w piśmie materiałem porównawczym są w istocie materiałem genetycznym (w § 2 pkt 1 rozporządzenia Ministra Zdrowia z dnia 19 grudnia 2016 r. w sprawie sposobu pobierania materiału genetycznego oraz warunków i sposobów jego przechowywania wskazano, że materiał genetyczny od dawców pobiera się w postaci wymazu ze śluzówki policzków przy użyciu jednorazowych sterylnych zestawów - Dz.U. z 2016 r., poz. 2179). Zatem na podstawie powyższego, nie było żadnych przeszkód aby nakazać [...]U[...] przekazanie do Bazy IPN informacji o posiadanych próbkach materiału genetycznego (wymazach z jamy ustnej) wraz z dotyczącymi ich danymi i informacjami w postaci imienia i nazwiska osoby, od której pochodzą oraz adresu do korespondencji a także daty urodzenia osoby poszukiwanej/zmarłej i imienia jej ojca (art. 53h ust. 1 w związku z art. 53f ust. 2 ustawy o IPN). Przeprowadzona kontrola wykazała bowiem, że [...]U[...] powyższe dane posiada. Wraz z powyższymi danymi powinny zostać przekazane wszelkie wyniki badań genetycznych (zostały one wymienione w art. 53f ust. 2 pkt 3 ustawy o IPN, do którego to przepisu odsyła art. 53h ust. 1 ustawy o IPN. W piśmie Departamentu Inspekcji GIODO wskazano, że w zbiorze danych osobowych pod nazwą "Polska Baza Genetyczna Ofiar Totalitaryzmu" (nr księgi: [...]) zakres danych obejmuje m.in. dane dotyczące imion rodziców, dat i miejsc urodzenia osób poszukiwanych (zmarłych). Nie wiadomo więc, czy w bazie nie są przewarzane inne dane, o których mowa w art. 53f ust. 2, w szczególności pozostałe dane wskazane w art. 53f ust. 2 pkt 1d ustawy o IPN (stopień pokrewieństwa z krewnym zmarłym, jego imię i nazwisko oraz stopień wojskowy). Gdyby okazało się, że dane powyższe znajdują się w posiadaniu [...]U[...], powinny być również przekazane w trybie art. 53h ust. 1 ustawy o IPN do Bazy Materiału Genetycznego. Dalej podniesiono, że wykorzystywanie posiadanych w bazie [...]U[...] danych osobowych na potrzeby prowadzonych śledztw prokuratorskich i przekazywanie prokuratorom IPN wyników badań genetycznych lub innych danych, w żaden sposób nie zwalnia [...]U[...] z obowiązku przekazywania do Bazy Materiału Genetycznego informacji, o których mowa w art. 53h ust. 1 ustawy o IPN. W art. 53h ust. 1 ustawy o IPN jest mowa o przekazaniu do Bazy IPN informacji o posiadanych próbkach materiału genetycznego lub biologicznego oraz dotyczących ich danych i informacji określonych w art. 53f ust. 2. Przekazywania tych informacji prokuratorom IPN nie można utożsamiać z przekazywaniem ich do Bazy. Czym innym jest przekazanie posiadanych informacji i danych na potrzeby prowadzonych śledztw a czym innym przekazanie ich do Bazy Materiału Genetycznego, która została utworzona w celu prowadzenia prac poszukiwawczych oraz identyfikacji tożsamości osób, o których mowa w art. 53b ustawy o IPN (art. 53f ust. 1 ustawy o IPN). Jak wskazano w uzasadnieniu do poselskiego projektu ustawy o zmianie ustawy o IPN: "Nieodłącznym elementem prowadzonych prac poszukiwawczych i ekshumacji jest identyfikacja odnajdywanych zwłok lub szczątków ludzkich. W tym celu w Instytucie tworzy się Bazę Materiału Genetycznego. Baza Materiału Genetycznego będzie obejmowała zarówno dane i informacje o krewnych ofiar, jak dane i informacje o zwłokach lub szczątkach osób, które straciły życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r. Przechowywanie materiału genetycznego pobranego zarówno od żyjących krewnych, jak i z odnalezionych zwłok i szczątków ludzkich Instytut będzie zlecał uczelni medycznej lub uczelni prowadzącej działalność dydaktyczną i badawczą w dziedzinie nauk medycznych albo innym podmiotom uprawnionym do prowadzenia badań porównawczych materiału genetycznego na podstawie odrębnych przepisów. Natomiast w Bazie przechowywane będą oznaczenia pobranego materiału genetycznego i miejsce jego przechowywania, jak również wyniki badań genetycznych". Intencją ustawodawcy było więc, aby wszystkie niezbędne do prowadzenia prac poszukiwawczych i identyfikacji informacje znajdowały się w Bazie Materiału Genetycznego. Prezes UODO w zaskarżonej decyzji w żaden sposób nie dokonał wykładni art. 156 § 5 Kodeksu postępowania karnego. Dysponowanie przez prokuratora aktami w postępowaniu przygotowawczym odbywa się w reżimie prawa i postępowania karnego, natomiast przekazywanie do Bazy Materiału Genetycznego informacji o posiadanych próbkach materiału genetycznego lub biologicznego oraz dotyczących ich danych i informacji określonych w art. 53f ust. 2 ustawy o IPN następuje w reżimie prawa administracyjnego. Zatem wszelkie posiadane przez [...]U[...] dane, o których mowa w art. 53h ust. 1 ustawy o IPN, a które zostały udostępnione prokuratorom powinny być również przekazane do Bazy Materiału Genetycznego. Rozdział 6a - Poszukiwanie miejsc spoczynku osób, które straciły życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r., - obecnej ustawy o IPN, został dodany na podstawie art. 1 pkt 27 ustawy z dnia 29 kwietnia 2016 r. o zmianie ustawy o Instytucie Pamięci Narodowej - Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu oraz niektórych innych ustaw (Dz. U. z 2016 r., poz. 749). W uzasadnieniu do projektu tej ustawy wskazano, że "projekt przewiduje wprowadzenie szczegółowej regulacji w zakresie prowadzenia przez Instytut prac poszukiwawczych miejsc spoczynku osób, które straciły życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r. Objęcie pracami poszukiwawczymi miejsc spoczynku ofiar sprzed 1939 r., tj. od dnia [...] listopada 1917 r. jest podyktowane potrzebą uwzględnienia ofiar zbrodni sowieckich na Polakach, w tym zagładę polskich ziemian na dalekich [...] oraz polskie ofiary głodu na [...]. Regulacje zawarte w dodawanym rozdziale 6a (art. 1 pkt 21 projektu) są wynikiem problemów, z jakimi musiał zmierzyć się Instytut przede wszystkim podczas prac poszukiwawczych prowadzonych na tzw. [...] na Cmentarzu Wojskowym na [...] oraz na cmentarzu na [...] przy ul. [...] w [...] (...). Na Państwie spoczywa również obowiązek ścigania zbrodni przeciwko Narodowi Polskiemu i obowiązek odnalezienia szczątków ofiar tych zbrodni, oraz zorganizowanie godnego ich pochówku. To dług, który Polska jest zobowiązana spłacić swoim bohaterom za ich niezłomną walkę i złożoną ofiarę". Mając więc na uwadze intencje ustawodawcy w zakresie stworzenia odpowiednich regulacji umożlwiających odnalezienie, identyfikację i godny pochówek osób, które straciły życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r. i dokonując jednocześnie wykładni funkcjonalnej, w szczególności aksjologicznej przepisów rozdziału 6a ustawy o IPN wskazano, że do Bazy Materiału Genetycznego powinny zostać przekazane posiadane przez inne podmioty informacje, o których mowa w art. 53h ust. 1 ustawy o IPN. Dysponowanie w Bazie Materiału Genetycznego niepełnymi danymi nie powala na wykonywanie przez IPN ustawowych obowiązków w zakresie poszukiwania miejsc spoczynku i identyfikacji osób, które straciły życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych. Na koniec stwierdzono, że według art. 138 § 1 pkt 2 k.p.a., organ odwoławczy wydaje decyzję, w której uchyla zaskarżoną decyzję w całości albo w części i w tym zakresie orzeka co do istoty sprawy albo uchylając tę decyzję – umarza postępowanie pierwszej instancji w całości albo w części. W związku z przedstawianą argumentacją, Prezes UODO nie powinien uchylać decyzji w całości i odmawiać uwzględnienia wniosku. Powinien uchylić decyzję w części dotyczącej tych danych, którymi [...]U[...] nie dysponuje i których nie może przekazać w trybie art. 53h ust. 1 ustawy o IPN. W odpowiedzi na skargę, Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, a wskazując na dotychczasowe ustalenia faktyczne i prawne dodał, że z dniem 25 maja 2018 r., wraz z wejściem w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z 29 sierpnia 1997 r., zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych). Zatem wejście w życie RODO, aktu stosowanego wprost w porządku krajowym, przewidującego materialne przepisy regulujące przetwarzanie danych osobowych, nie jest możliwe stosowanie materialnych przepisów krajowej ustawy uchylonej, regulującej tożsame kwestie. RODO weszło w życie z dniem 25 maja 2018 r. i nie przewiduje żadnych wyłączeń jego stosowania do określonych stanów prawnych czy zdarzeń, jak również nie przewiduje delegacji do ewentualnego uchwalenia w porządku krajowym przepisów zakładających wyłączenie jego stosowania w określonych sytuacjach. Tym samym jedynym aktem prawym regulującym zasady przetwarzania danych osobowych i mającym zastosowanie do przetwarzania danych osobowych po dniu 25 maja 2018 r. jest RODO. Konsekwencją powyższego jest to, iż art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. przewiduje stosowanie wyłącznie przepisów proceduralnych ustawy z dnia 29 sierpnia 1997 r., jak art. 12, art. 22 i art. 18 tej ustawy. Zgodnie bowiem z art. 87 ust. 1 Konstytucji RP, źródłami powszechnie obowiązującego prawa Rzeczypospolitej Polskiej są Konstytucja, ustawy, ratyfikowane umowy międzynarodowe oraz rozporządzenia. Z kolei zgodnie z art. 91 ust. 3 Konstytucji RP, jeżeli wynika to z ratyfikowanej przez Rzeczpospolitą Polską umowy konstytuującej organizację międzynarodową, prawo przez nią stanowione jest stosowane bezpośrednio, mając pierwszeństwo w przypadku kolizji z ustawami. Chybiony jest również zarzut dotyczący tego, iż wszelkie posiadane przez [...]U[...] dane, o których mowa w art. 53h ust. 1 ustawy o IPN, a które zostały udostępnione prokuratorom, powinny być również przekazane do Bazy Materiału Genetycznego. Jak bowiem wynika z materiału dowodowego niniejszego sprawy i co zostało wskazane w zaskarżonej decyzji, prokuratorzy IPN otrzymali po zakończeniu badań, wyniki badań genetycznych, w tym opracowane profile genetyczne, co sprawia, że [...]U[...] nie jest już dysponentem tych danych. Nie można zatem nakazać określonemu podmiotowi udostępnienie danych, których ten nie posiada, gdyż się ich wyzbył – przekazał innemu podmiotowi. Co więcej, profile genetyczne wykonywane są przez Zakład Genetyki Sądowej [...]U[...] wyłącznie w przypadku prowadzonych przez IPN śledztw. Z tego powodu [...]U[...] nie dysponuje profilami genetycznymi osób, od których pobrano materiał genetyczny. Wyjątek stanowią te, które zidentyfikowane zostały w związku z prowadzonymi przez IPN postępowaniami, a które zostały już, jak wyżej wskazano, przekazane prokuratorom IPN. Podobnie, jak oświadczył [...]U[...] i co zostało ustalone w toku czynności kontrolnych przeprowadzonych przez inspektorów GIODO, również ankiety od osób żyjących, od których pobrano próbki materiału genetycznego (wymazy z jamy ustnej) zawierające dane tych osób, wnioskowane przez IPN, zostały już IPN przekazane w formie kopii ankiet tych osób, na skutek wniosku IPN z września 2016 r., skierowanego do [...]U[...]. Ustalenia inspektorów organu dokonane w toku czynności kontrolnych dotyczące zakresu danych osobowych, jakie zawiera PBGOT nie wykluczają jednoczesnych ustaleń dotyczących tego, że dane składające się na tę bazę, a pochodzące z ankiet, przekazano już do IPN w formie kopii tych ankiet – ankiet osób, od których pobrano materiał genetyczny. W ankietach tych, jak ustalono, znajdują się oprócz danych dotyczących tych osób również informacje dotyczące osób poszukiwanych (zmarłych), w tym m. in. imiona rodziców, data i miejsce urodzenia. Rację ma zatem pełnomocnik IPN, iż wnioskowane dane osób, od których pobrano materiał genetyczny co do zasady są przetwarzane przez [...]U[...]. Istotnym jednak dla zaskarżonego rozstrzygnięcia niniejszej sprawy była okoliczność, iż IPN wnioskowane dane już otrzymał. Tym samym bezzasadne jest twierdzenie pełnomocnika IPN dotyczące tego, że nie było przeszkód, aby nakazać [...]U[...] przekazanie do bazy IPN informacji o posiadanych próbkach materiału genetycznego (wymazach z jamy ustnej) wraz z dotyczącymi ich danymi i informacjami w postaci imienia i nazwiska osób, od której pochodzą oraz adresu do korespondencji, a także daty urodzenia osoby poszukiwanej/zmarłej i imienia jej ojca. Niecelowe bowiem byłoby nakazanie [...]U[...] udostępnienie IPN ww. danych skoro IPN dane te już otrzymał w formie kopii ankiet. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2016 r., poz. 1066), sąd administracyjny sprawuje wymiar sprawiedliwości m.in. poprzez kontrolę działalności administracji publicznej pod względem zgodności z prawem. Innymi słowy, wojewódzki sąd administracyjny nie orzeka co do istoty sprawy w zakresie danego przypadku, lecz jedynie kontroluje legalność rozstrzygnięcia zapadłego w tym postępowaniu, z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga analizowana pod tym kątem podlega oddaleniu, bowiem została wydana zgodnie z prawem. Na samym wstępie wskazać należy, że z dniem 25 maja 2018 r., wraz z wejściem w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych i postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r., prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z 29 sierpnia 1997 r., zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Zatem wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne, co wynika z treści art. 160 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Stąd też wejście w życie RODO, aktu stosowanego wprost w porządku krajowym, przewidującego materialne przepisy regulujące przetwarzanie danych osobowych, nie jest możliwe stosowanie materialnych przepisów krajowej ustawy uchylonej, regulującej tożsame kwestie. RODO weszło w życie z dniem 25 maja 2018 r. i nie przewiduje żadnych wyłączeń jego stosowania do określonych stanów prawnych czy zdarzeń, jak również nie przewiduje delegacji do ewentualnego uchwalenia w porządku krajowym przepisów zakładających wyłączenie jego stosowania w określonych sytuacjach. Tym samym jedynym aktem prawym regulującym zasady przetwarzania danych osobowych i mającym zastosowanie do przetwarzania danych osobowych po dniu 25 maja 2018 r. jest rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1) (RODO). W konsekwencji zatem, art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. przewiduje stosowanie wyłącznie przepisów proceduralnych ustawy z dnia 29 sierpnia 1997 r., jak art. 12, art. 22 i art. 18 tej ustawy. Zgodnie bowiem z art. 87 ust. 1 Konstytucji RP, źródłami powszechnie obowiązującego prawa Rzeczypospolitej Polskiej są Konstytucja, ustawy, ratyfikowane umowy międzynarodowe oraz rozporządzenia. Z kolei zgodnie z art. 91 ust. 3 Konstytucji RP, jeżeli wynika to z ratyfikowanej przez Rzeczpospolitą Polską umowy konstytuującej organizację międzynarodową, prawo przez nią stanowione jest stosowane bezpośrednio, mając pierwszeństwo w przypadku kolizji z ustawami. Wobec powyższego rację należy przyznać organowi, że Z kolei stosownie do treści art. 71 ustawy z dnia 18 grudnia 1998 r. o Instytucie Pamięci Narodowej – Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu (tekst jedn. Dz. U. z 2018 r., poz. 2932), w działalności Instytutu Pamięci określonej w art. 1 przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1) stosuje się do prowadzenia Bazy. Z kolei w myśl art. 53f ust. 1 ustawy, w celu prowadzenia prac poszukiwawczych oraz identyfikacji tożsamości osób, o których mowa w art. 53b, w Instytucie Pamięci tworzy się Bazę Materiału Genetycznego, zwaną dalej "Bazą", której administratorem jest Prezes Instytutu Pamięci, zaś zgodnie z ust. 2 tegoż przepisu, Baza obejmuje: 1) dane i informacje o osobach, których krewni stracili życie wskutek walki z narzuconym systemem totalitarnym lub wskutek represji totalitarnych lub czystek etnicznych w okresie od dnia [...] listopada 1917 r. do dnia [...] lipca 1990 r. i miejsce ich pochowania nie jest znane: a) imię i nazwisko, b) adres do korespondencji, c) oznaczenie materiału genetycznego i miejsce jego przechowywania, d) określenie stopnia pokrewieństwa z krewnym, jego imię i nazwisko, datę urodzenia i imię ojca oraz stopień wojskowy, e) wskazanie okoliczności mogących służyć odnalezieniu miejsca pochowania i ustaleniu tożsamości, w szczególności dotyczących aresztowania, miejsc osadzenia oraz organów bezpieczeństwa państwa i ich funkcjonariuszy prowadzących postępowania w sprawach krewnego. Natomiast na podstawie art. 53h ust. 1 ustawy, podmiot będący administratorem bazy materiału genetycznego lub bazy materiału biologicznego przechowywanego w celu identyfikacji tożsamości osób, o których mowa w art. 53b, przekazuje do Bazy informacje o posiadanych próbkach materiału genetycznego lub biologicznego oraz dotyczące ich dane i informacje określone w art. 53f ust. 2. W rozpoznawanej sprawie – jak wynika z wyjaśnień przedłożonych przez Instytut Pamięci Narodowej – Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu oraz treści Porozumienia w sprawie utworzenia Polskiej Bazy Genetycznej oraz przede wszystkim aneksu nr [...] do Porozumienia, PBGOT stanowi bazę danych przetwarzanych w celach identyfikacji tożsamości osób. Tym samym zakres danych przetwarzanych w PBGOT nie jest tożsamy z zakresem danych wskazanym w art. 53 f ust. 2 ustawy o IPN. Zakres ten (dane przetwarzane przez PBGOT) obejmuje bowiem miedzy innymi imię i nazwisko, adres zamieszkania lub pobytu, adres do korespondencji, seria i nr dowodu osobistego, nr telefonu, informacje na temat kodu genetycznego oraz informacje o stanie zdrowia w zakresie wykonywanych przeszczepów i przetaczania krwi z tym, że informacje odnośnie kodu genetycznego powstają w momencie stworzenia profilu genetycznego w danym systemie [...]U[...]. Profile genetyczne wykonywane są zaś przez Zakład Genetyki Sądowej [...]U[...] wyłącznie w przypadku prowadzonych przez IPN śledztw. Z tego powodu [...]U[...] nie dysponuje profilami genetycznymi osób, od których pobrano materiał genetyczny za wyjątkiem tych, które zostały zidentyfikowane w związku z prowadzonymi przez IPN postępowaniami. Nie można zatem nakazać określonemu podmiotowi udostępnienie danych, których ten nie posiada, gdyż się ich wyzbył, tj. przekazał innemu podmiotowi. Ponadto profile genetyczne wykonywane są przez Zakład Genetyki Sądowej [...]U[...] wyłącznie w przypadku prowadzonych przez IPN śledztw. Z tego powodu [...]U[...] nie dysponuje profilami genetycznymi osób, od których pobrano materiał genetyczny, a wyjątek stanowią te, które zidentyfikowane zostały w związku z prowadzonymi przez IPN postępowaniami, a które zostały już, jak wyżej wskazano, przekazane prokuratorom IPN. Podobnie również ankiety od osób żyjących, od których pobrano próbki materiału genetycznego (wymazy z jamy ustnej) zawierające dane tych osób, wnioskowane przez IPN, zostały już IPN przekazane w formie kopii ankiet tych osób, na skutek wniosku IPN z września 2016 r., skierowanego do [...]U[...]. Ustalenia inspektorów organu dokonane w toku czynności kontrolnych dotyczące zakresu danych osobowych, jakie zawiera PBGOT nie wykluczają jednoczesnych ustaleń dotyczących tego, że dane składające się na tę bazę, a pochodzące z ankiet, przekazano już do IPN w formie kopii tych ankiet – ankiet osób, od których pobrano materiał genetyczny. W ankietach tych, jak ustalono, znajdują się oprócz danych dotyczących tych osób również informacje dotyczące osób poszukiwanych (zmarłych), w tym m. in. imiona rodziców, data i miejsce urodzenia. Istotnym zatem dla zaskarżonego rozstrzygnięcia jest okoliczność, iż IPN wnioskowane dane już otrzymał. Tym samym nie zasługuje na uwzględnienie zarzut, że nie było przeszkód, aby nakazać [...]U[...] przekazanie do bazy IPN informacji o posiadanych próbkach materiału genetycznego (wymazach z jamy ustnej) wraz z dotyczącymi ich danymi i informacjami w postaci imienia i nazwiska osób, od której pochodzą oraz adresu do korespondencji, a także daty urodzenia osoby poszukiwanej/zmarłej i imienia jej ojca. Z tego mianowicie powodu, że IPN dane te już otrzymał w formie kopii ankiet. W tym stanie rzeczy, na podstawie art. 151 w zw. z art. 132 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2018, poz. 1302), należało orzec jak w sentencji wyroku.