I OSK 757/18

SENTENCJA Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Iwona Bogucka (spr.) Sędziowie NSA Olga Żurawska - Matusiak del. WSA Jakub Zieliński Protokolant starszy sekretarz sądowy Julia Chudzyńska po rozpoznaniu w dniu 15 października 2019 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej D. J., H. J. i H. J. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 sierpnia 2017 r. sygn. akt II SA/Wa 1676/16 w sprawie ze skargi D. J., H. J. i H. J. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2016 r. nr [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną UZASADNIENIE Zaskarżonym wyrokiem z 8 sierpnia 2017 r., sygn. II SA/Wa 1676/16 Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę D. J., H. J. i H. J. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] lipca 2016 r. nr [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...], [...]. Decyzją tą GIODO, po rozpoznaniu wniosku o ponowne rozpatrzenie sprawy zakończonej decyzją tego organu z 29 września 2013 r.: 1. utrzymał dotychczasową decyzję w mocy w zakresie dotyczącym nakazania NIK spełnienia wobec D. J., H. J. i H. J. obowiązku informacyjnego, o którym mowa w art. 33 ust. 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r., poz. 922; dalej jako: "u.o.d.o."), poprzez poinformowanie ich o zakresie przetwarzania ich danych osobowych (pkt 1b, pkt 2b i pkt 3b zaskarżonej decyzji), 2. uchylił dotychczasową decyzję w zakresie dotyczącym nakazania NIK spełnienia wobec D. J., H. J. i H. J. obowiązku informacyjnego, o którym mowa w art. 33 ust. 1 u.o.d.o., poprzez poinformowanie ich o celu, sposobie przetwarzania oraz sposobie udostępniania ich danych osobowych, w tym o informacji o odbiorcach lub kategoriach odbiorców, którym ww. dane były lub są udostępniane (pkt 1a, c i d, pkt 2a, c i d oraz pkt 3a, c i d zaskarżonej decyzji) i w tym zakresie odmówił uwzględnienia wniosku, 3. uchylił dotychczasową decyzję w zakresie dotyczącym nakazania Rektorowi Uniwersytetu Medycznego im. P. w W. spełnienia wobec D. J. obowiązku informacyjnego, o którym mowa w art. 33 ust. 1 u.o.d.o. (pkt 4 zaskarżonej decyzji) i w tym zakresie odmówił uwzględnienia wniosku, 4. w pozostałym zakresie utrzymał dotychczasową decyzję w mocy. W skardze kasacyjnej D. J., H. J. i H. J. zaskarżyli wyrok Sądu I instancji w całości, wnosząc o jego uchylenie i zasądzenie zwrotu kosztów postępowania. Sądowi I instancji zarzucono naruszenie: I. przepisów prawa materialnego, a mianowicie: 1. art. 29 ust. 1 pkt 2 lit. i) ustawy z 23 grudnia 1994 r. o Najwyższej Izbie Kontroli (Dz.U. 1995 Nr 13, poz. 59), tj. z 24 lutego 2017 r. (Dz.U. z 2017 r. poz. 524; dalej jako: ustawa o NIK), w związku art. 29 ustawy o NIK w brzmieniu z przed zmiany ustawy o NIK nadanym ustawą o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482) oraz w związku z art. 6 Kpa i art. 2 ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482), zgodnie z którym "Do postępowań kontrolnych niezakończonych do dnia wejścia w życie ustawy sporządzeniem wystąpienia pokontrolnego, stosuje się dotychczasowe przepisy", przez błędne zastosowanie, a to w następstwie zaakceptowania przez WSA poglądu GIODO wyrażonego w decyzji GIODO, że NIK, przed wejściem w życie art. 29 ust. 1 pkt. 2 lit. i) ustawy o NIK, miał prawo do pozyskiwania oraz przetwarzania danych osobowych określonych 27 ust. 1 u.o.d.o., podczas, gdy wskazany przepis art. 29 ust. 1 pkt. 2 lit. i) ustawy o NIK został wprowadzony do ustawy o NIK w wyniku przyjęcia ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482) i posiada moc obowiązującą od dnia 2 czerwca 2012 r., czyli wszedł w życie po dacie wszczęcia postępowania przez GIODO, a jednocześnie z przepisów przejściowych ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482) wynika, że "Do postępowań kontrolnych niezakończonych do dnia wejścia w życie ustawy sporządzeniem wystąpienia pokontrolnego, stosuje się dotychczasowe przepisy", co skłania do wniosku, że tym bardziej do postępowań kontrolnych zakończonych do dnia wejścia w życie ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482) sporządzeniem wystąpienia pokontrolnego (jak miało to miejsce w analizowany stanie faktycznym) należy stosować dotychczasowe przepisy ustawy o NIK z wyłączeniem art. 29 ust. 1 pkt. 2 lit. i) ustawy o NIK; 2. art. 29 ust. 1 pkt. 2 lit. i) ustawy o NIK w związku art. 29 ustawy o NIK oraz w związku z art. 23 ust. 1 pkt 2 i pkt 4, art. 27 ust. 1, i art. 27 ust. 2 pkt 2 u.o.d.o. przez ich błędne zastosowanie w analizowanej sprawie indywidualnej i błędne przyjęcie przez GIODO, a następnie przez WSA, że NIK, w analizowanym stanie faktycznym miał podstawy prawne do przetwarzania danych osobowych, w tym danych osobowych określonych w art. 27 ust. 1 u.o.d.o., a tym samym, błędne przyjęcie przez GIODO, a następnie WSA, że NIK miał kompetencje do przetwarzania danych osobowych, w tym danych osobowych określonych w art. 27 ust. 1 u.o.d.o. i, że dane te przetwarzał zgodnie z obowiązującymi przepisami prawa; 3. art. 2 ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482), zgodnie z którym "Do postępowań kontrolnych niezakończonych do dnia wejścia w życie ustawy sporządzeniem wystąpienia pokontrolnego, stosuje się dotychczasowe przepisy", przez jego błędne zastosowanie, a to w następstwie zaakceptowania przez WSA poglądu GIODO wyrażonego w decyzji GIODO, że NIK, przed wejściem w życie art. 29 ust. 1 pkt. 2 lit. i) ustawy o NIK, miał prawo do pozyskiwania oraz przetwarzania danych osobowych określonych 27 ust. 1 u.o.d.o.; 4. art. 29 ustawy o NIK, w brzmieniu przed nowelizacją w drodze ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482), tj. w brzmieniu przed dniem 2 czerwca 2012 r., w związku z art. 23 ust. 1 pkt 2 i pkt 4, art. 27 ust. 1, i art. 27 ust. 2 pkt 2 u.o.d.o., przez jego błędne zastosowanie w analizowanej sprawie i błędne przyjęcie przez GIODO, a następnie przez WSA, że NIK, w analizowanym stanie faktycznym, miał podstawy prawne do przetwarzania danych osobowych, w tym danych osobowych określonych w art. 27 ust. 1 u.o.d.o., a tym samym, błędne przyjęcie przez GIODO, a następnie WSA, że NIK miał kompetencje do przetwarzania danych osobowych, w tym danych osobowych określonych w art. 27 ust. 1 u.o.d.o. i, że dane te przetwarzał zgodnie z obowiązującymi przepisami prawa; 5. art. 27 ust. 1, i art. 27 ust. 2 pkt 2 u.o.d.o. przez ich błędne zastosowanie w analizowanej sprawie indywidualnej i błędne przyjęcie przez GIODO, a następnie przez WSA, że NIK, w analizowanym stanie faktycznym, miał podstawy prawne do przetwarzania danych osobowych, przed dniem 2 czerwca 2012 r., tj. przed dniem wejścia w życie art. 29 ust. 1 pkt. 2 lit. i) ustawy o NIK, który został wprowadzony do ustawy o NIK w wyniku przyjęcia ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482); 6. art. 12 u.o.d.o. oraz art. 18 u.o.d.o. przez ich niewłaściwe zastosowanie i uznanie przez GIODO, a następnie przez WSA, że [patrz cytat: strona numer 39 Decyzji GIODO] "[...] Generalny Inspektor Ochrony Danych Osobowych – co podkreślono również w zaskarżonej decyzji – w ramach kompetencji przyznanych mu przez art. 12 ustawy, nie jest uprawniony do ingerowania w zawartość akt prowadzonych przez inne uprawnione do tego, na podstawie odrębnych przepisów prawa, podmioty. Nie jest władny bowiem oceniać przydatności określonych danych dla potrzeb ww. kontroli [...]", w kontekście stanu prawnego, w którym osoby, których danych osobowe, w tym dane określone w art. 27 ust. 1 u.o.d.o. nie mają możliwości kwestionowania zasadności przetwarzania danych osobowych w procesie kontroli NIK, na podstawie innych przepisów, w tym przede wszystkim przepisów ustawy o NIK, bowiem takiej możliwości nie przewidują przepisy ustawy o NIK, a w szczególności przepisy art. 53 do art. 61 ustawy o NIK, które umożliwiają wyłącznie "[...] kierownikowi jednostki kontrolowanej [...]" kwestionowanie wyników kontroli i to zawartych wyłącznie w wystąpieniu pokontrolnym. Uznanie braku kompetencji GIODO w tym zakresie prowadzi do sytuacji znacznego ograniczenia konstytucyjnych praw i wolności obywateli, a także prowadzi w istocie do sytuacji, w której brak jest procedury umożliwiającej kontrolę nad NIK w zakresie przetwarzania danych osobowych, w tym danych określonych art. 27 ust. 1 u.o.d.o.; 7. art. 53 do art. 61 ustawy o NIK, przez ich całkowicie niewłaściwe zastosowanie, w wyniku przyjęcia, że osoby fizyczne, których dane osobowe są przetwarzane, bez podstawy prawnej, w procesie kontroli NIK, mogą złożyć zastrzeżenia do wniosków pokontrolnych NIK, skoro uprawnienie w tym zakresie posiada wyłącznie "[...] kierownik jednostki kontrolowanej [...]", czyli w analizowanym przypadku Minister Skarbu Państwa, bowiem celem kontroli, będącej przedmiotem rozstrzygania w niniejszej sprawie indywidualnej była kontrola w Ministerstwie Skarbu Państwa, przebiegu procesu prywatyzacji T. Kopalni Surowców Mineralnych "B." spółka z o.o. w S. [dalej jako: TKSM "B."], co w istocie prowadzi, według koncepcji GIODO zaakceptowanej przez WSA, do ograniczenia konstytucyjnych praw i wolności osoby, której dane są przetwarzane w procesie kontroli NIK; 8. art. 7 Konstytucji Rzeczypospolitej Polski przez naruszenie zasady zakazu domniemania kompetencji organów administracyjnych, w tym przypadku NIK do przetwarzania danych osobowych określonych art. 27 ust. 1 u.o.d.o., w wyniku błędnego przyjęcia przez GIODO, a następnie WSA, że NIK miał kompetencje do przetwarzania danych osobowych, w tym danych osobowych określonych w art. 27 ust. 1 u.o.d.o. i, że dane te przetwarzał zgodnie z obowiązującymi przepisami prawa przed dniem 2 czerwca 2012 r., tj. przed dniem wejścia w życie art. 29 ust. 1 pkt. 2 lit. i) ustawy o NIK, który został wprowadzony do ustawy o NIK w wyniku przyjęcia ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482). II. przepisów postępowania mające istotny wpływ na wynik sprawy, a mianowicie: 1. art. 134 § 1 p.p.s.a. przez pominięcie, przez WSA, rozpatrzenia zarzutu zawartego w skardze, co do naruszenia przez GIODO: a/ art. 12 u.o.d.o. oraz art. 18 u.o.d.o., przez ich niewłaściwe zastosowanie i uznanie przez GIODO [patrz cytat: strona numer 39 Decyzji GIODO], że "[...] Generalny Inspektor Ochrony Danych Osobowych – co podkreślono również w zaskarżonej decyzji – w ramach kompetencji przyznanych mu przez art. 12 ustawy, nie jest uprawniony do ingerowania w zawartość akt prowadzonych przez inne uprawnione do tego, na podstawie odrębnych przepisów prawa, podmioty. Nie jest władny bowiem oceniać przydatności określonych danych dla potrzeb ww. kontroli [...]", czego następstwem było wydanie przez GIODO zaskarżanej decyzji z naruszeniem prawa materialnego, pomimo że jakkolwiek WSA nie był związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, to jednak powołana okoliczność objęta była granicami sprawy i miała bezpośredni wypływ na jej całokształt i istotę; b/ art. 53 do art. 61 ustawy o NIK, przez ich całkowicie niewłaściwe zastosowanie i uznanie przez GIODO, że osoby fizyczne, których dane osobowe są przetwarzane, bez podstawy prawnej, w procesie kontroli NIK, mogą złożyć zastrzeżenia do wniosków pokontrolnych NIK, podczas gdy uprawnienie w tym zakresie posiada wyłącznie "[...] kierownik jednostki kontrolowanej [...]", czego następstwem było wydanie przez GIODO zaskarżanej decyzji z naruszeniem prawa materialnego, pomimo że jakkolwiek WSA nie był związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, to jednak powołana okoliczność objęta była granicami sprawy i miała bezpośredni wypływ na jej całokształt i istotę. 2. art. 141 § 4 p.p.s.a. w związku z art. 134 § 1 p.p.s.a. przez nieodniesienie się w uzasadnieniu zaskarżonego wyroku do zarzutów podniesionych w skardze, tj. wyjaśnienia, dlaczego WSA przyjął kompetencję NIK do przetwarzania danych osobowych określonych art. 27 ust. 1 u.o.d.o., przed dniem 2 czerwca 2012 r., tj., przed wejściem w życie przepisu art. 29 ust. 1 pkt. 2 lit. i) ustawy o NIK, który został wprowadzony do ustawy o NIK w wyniku przyjęcia ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482), czyli wszedł w życie po dacie wszczęcia postępowania przez GIODO, w szczególności w kontekście treści przepisów przejściowych ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482], z których wynika, że "Do postępowań kontrolnych niezakończonych do dnia wejścia w życie ustawy sporządzeniem wystąpienia pokontrolnego, stosuje się dotychczasowe przepisy", co skłania do wniosku, że tym bardziej do postępowań kontrolnych zakończonych do dnia wejścia w życie ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482) sporządzeniem wystąpienia pokontrolnego (jak miało to miejsce w analizowany stanie faktycznym) należy stosować dotychczasowe przepisy ustawy o NIK z wyłączeniem art. 29 ust. 1 pkt. 2 lit. i) ustawy o NIK; 3. art. 145 § 1 pkt 1 lit. c) p.p.s.a. przez ich niezastosowanie, skutkujące oddaleniem skargi w trybie art. 151 p.p.s.a., a to w następstwie przeprowadzenia przez WSA kontroli zaskarżonej decyzji GIODO w sposób nieprawidłowy, przez zaakceptowanie przeprowadzonej nieprawidłowo przez GIODO oceny materiału dowodowego zgromadzonego w sprawie – nieprawidłowo tj. w sposób sprzeczny z zasadami określonymi w przepisach Kpa, tj. art. 7 Kpa., art. 8 Kpa, art. 77 Kpa oraz art. 107 § 1 i § 3 Kpa, w wyniku przyjęcia, że brak jest podstaw do podważenia stanowiska GIODO [patrz cytat: strona numer 47 decyzji GIODO] "[...] iż w materiale dowodowym nie znalazły potwierdzenia zarzuty skarżących dotyczące niewłaściwego zabezpieczenia ich danych zarówno przez NIK jak i Ministerstwo Skarbu Państwa [...]" skoro GIODO jednocześnie uznało, [patrz cytat: strona numer 44 Decyzji GIODO] "[...] że przedmiotowy protokół został udostępniony w trybie ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej [...]", co w istocie oznacza, że protokół kontroli NIK, zawierający dane osobowe skarżących został wydany pełnomocnikowi, nie ze względu na okoliczność bycia pełnomocnikiem D. J., ale ze względu na prawo dostępu do danych osobowych regulowane przez przepisy ustawy z 6 września 2001 r. o dostępie do informacji publicznej (Dz.U. Nr 112, poz, 1198), tj. z 13 października 2016 r. (Dz.U. z 2016 r. poz. 1764) [dalej jako: uoddip], a więc został wydany jako informacja publiczna, co nie daje się pogodzić z tezą, jak przyjął to GIODO oraz WSA, że wskazane dane zostały właściwie zabezpieczone, bowiem dane osobowe udostępniane jako informacja publiczna ipso facto oraz ipso iure są jawne, skoro każdemu przysługuje, prawo dostępu do informacji publicznej, zwane dalej "prawem do informacji publicznej", a od osoby wykonującej prawo do informacji publicznej nie wolno żądać wykazania interesu prawnego lub faktycznego (art. 2 uoddip); 4. art. 145 § 1 pkt 1 lit. c) p.p.s.a. przez ich niezastosowanie, skutkujące oddaleniem skargi w trybie art. 151 p.p.s.a., a to w następstwie przeprowadzenia przez WSA kontroli zaskarżonej decyzji GIODO w sposób nieprawidłowy, poprzez zaakceptowanie przeprowadzonej nieprawidłowo przez GIODO oceny materiału dowodowego zgromadzonego w sprawie – nieprawidłowo, tj. w sposób sprzeczny z zasadami określonymi w przepisach Kpa, tj. art. 7 Kpa., art. 8 Kpa, art. 77 Kpa oraz art. 107 § 1 i § 3 Kpa, w wyniku przyjęcia, iż brak jest podstaw do podważenia stanowiska GIODO [patrz cytat: strona numer 45 Decyzji GIODO] "[...] z przesłanych przez Kierownika Urzędu Stanu Cywilnego w B. za pismem z dnia 11 stycznia 2007 r. (k. 520 akt sprawy) kserokopii dokumentów związanych z postępowaniem w sprawie zmiany nazwiska. Panu D. J. przysługuje zatem prawo dostępu do dokumentów, których kopie zostały przesłane NIK z uwagi na fakt, iż stanowią one część akt postępowania w sprawie zmiany nazwiska, w którym posiadał status strony w rozumieniu art. 28 Kpa. Zgodnie zaś z art. 73 § 1 Kpa, strona ma prawo wglądu w akta sprawy, sporządzania z nich notatek, kopii lub odpisów [...]", czyli przyjęcia tego ustalenia w sposób bezkrytyczny oraz bez pogłębionej analizy i refleksji materiału dowodowego, zarówno ze strony GIODO, jak i następnie WSA z uwagi na to, że ani GIODO, ani WSA nie przeprowadził analizy czy w istocie D. J. zapoznawał się z aktami postępowania w sprawie zmiany nazwiska oraz nawet, gdyby się zapoznawał z aktami postępowania, co jest mało wiarygodne wobec wyjaśnień i oświadczeń D. J. złożonych do akt sprawy przez pełnomocnika, które jeszcze raz potwierdzam, iż D. J. nie miał świadomości i wiedzy na temat okoliczności swojego urodzenia oraz ustalenia ojcostwa, i dowiedział się o tych okolicznościach właśnie z akt kontroli i protokołu kontroli, to czy, zapoznając się z aktami postępowania uzyskał by informacje ujęte w protokole kontroli NIK dotyczące intymnych sfer życia prywatnego jego rodziców, w tym matki, tj. [patrz cytat strona numer 109 protokołu kontroli NIK]. 5. art. 145 § 1 pkt 1 lit. c) p.p.s.a. przez ich niezastosowanie, skutkujące oddaleniem skargi w trybie art. 151 p.p.s.a., a to w następstwie przeprowadzenia przez WSA kontroli zaskarżonej decyzji GIODO w sposób nieprawidłowy, przez zaakceptowanie przeprowadzonej nieprawidłowo przez GIODO oceny materiału dowodowego zgromadzonego w sprawie – nieprawidłowo, tj. w sposób sprzeczny z zasadami określonymi w przepisach Kpa, tj. art. 7 Kpa., art. 8 Kpa, art. 77 Kpa oraz art. 107 § 1 i § 3 Kpa, w wyniku przyjęcia, iż brak jest podstaw do podważenia stanowiska GIODO, który nie wziął pod uwagę jak istotnych dowodów tj. wypowiedzi przedstawicieli NIK znajdujących się w aktach postępowania GIODO [patrz: http://www.nik.gov.pl/aktualnosci/nik-o-danych-osobowych-debata.html ], [patrz: tzw. "zrzuty" ze strony internetowej w aktach sprawy] oraz na stronie internetowej http://www,nik.gov.pl/aktualnosci/nik-o-danych-osobowych-debata.html, gdzie znajduje się wypowiedź rzecznika prasowego NIK P. B.; 6. art. 145 § 1 pkt 1 lit. c) p.p.s.a. przez ich niezastosowanie, skutkujące oddaleniem skargi w trybie art. 151 p.p.s.a., a to w następstwie przeprowadzenia przez WSA kontroli zaskarżonej decyzji GIODO w sposób nieprawidłowy, przez zaakceptowanie przeprowadzonej nieprawidłowo przez GIODO oceny materiału dowodowego zgromadzonego w sprawie – nieprawidłowo, tj. w sposób sprzeczny z zasadami określonymi w przepisach Kpa, tj. art. 7 Kpa., art. 8 Kpa, art. 77 Kpa oraz art. 107 § 1 i § 3 Kpa, w wyniku przyjęcia, że brak jest podstaw do podważenia stanowiska GIODO [patrz: strona numer 40 Decyzji GIODO], iż podnoszony przez pełnomocnika skarżących zarzut, w przedmiocie treści materiału dowodowego dotyczący kwestii udostępnienia danych przez wzywane przez NIK podmioty, w zakresie szerszym niż żądał NIK, nie jest istotne dla rozstrzygnięcia sprawy, podczas gdy właśnie niezgodnie z prawem pozyskanie, a następnie przetwarzanie i udostępnianie przez NIK danych wykraczających poza dane niezbędne do przeprowadzenia kontroli w zakresie procesu prywatyzacji TKSM "B." a dotyczących prywatnych i intymnych sfer życia D. J., H. J. oraz H. J., jest kluczową do ustalenia kwestią przedmiotowego postępowania. W uzasadnieniu zarzutów skargi kasacyjnej podkreślono, że punktem wyjścia jest odmienne od stanowiska organu i Sądu I instancji stwierdzenie, iż po stronie NIK brak było kompetencji do przetwarzania danych osobowych, w tym danych osobowych określonych w art. 27 ust. 1 u.o.d.o., przed dniem 2 czerwca 2012 r., tj. przed dniem wejścia w życie art. 29 ust. 1 pkt. 2 lit. i) ustawy o NIK, który został wprowadzony do ustawy o NIK w wyniku przyjęcia ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482). NIK przed 2 czerwca 2012 r. nie miał uprawnienia do pozyskiwania i przetwarzania danych osobowych określonych w art. 27 ust. 1 u.o.d.o. Okoliczność tę potwierdzają: - pismo GIODO z 20 listopada 2008 r. do Druku sejmowego nr 1349 z 30 września 2008 r. [patrz: pismo GIODO z 20 listopada 2008 r. do Druku sejmowego nr 1349]. Zgodnie z tym pismem GIODO wyraźnie wskazuje, że art. 29 ust. 1 pkt 2 lit. i wprowadza nowe uprawnienia i kompetencje dla przedstawicieli NIK, negując jednocześnie konieczność nadania uprawnień przedstawicielom NIK do przetwarzania wszystkich kategorii danych osobowych określonych w art. 27 ust. 1 u.o.d.o. Stanowisko wskazane w tym piśmie odbiega od stanowiska prezentowanego przez GIODO i przyjętego przez WSA w zaskarżonym wyroku, co do kompetencji NIK przetwarzania danych osobowych określonych w art. 27 ust. 1 u.o.d.o.; - "Biuletyn Kancelarii Sejmu, Biuro Komisji Sejmowych z posiedzenia: Komisji Do Spraw Kontroli Państwowej (NR 48)", w którym zawarto informację z pierwszego czytania komisyjnego projektu ustawy o zmianie ustawy o Najwyższej Izby Kontroli /druk nr 1349/ [patrz: "Biuletyn Kancelarii Sejmu, Biuro Komisji Sejmowych Z posiedzenia: Komisji Do Spraw Kontroli Państwowej (NR 48)"]. Na stronie 13 powołanego dokumentu znajduje się stanowisko zastępcy generalnego inspektora ochrony danych osobowych, który wyraźnie wskazał, że "jeśli chodzi o zastrzeżenie drugie, to należy przypomnieć, że do tej pory określone było, że inspektorzy NIK przeprowadzają kontrolę na podstawie odpowiednio określonego zakresu. W proponowanym rozwiązaniu zakres ten jest szerszy. Obawiamy się więc, czy dostęp do kodów genetycznych, do danych szczególnie wrażliwych – zwłaszcza w świetle rozwiązania mówiącego o upublicznieniu – jest dobrą propozycją. Czy wspomniane dane mogłyby być upubliczniane? Czy w świetle art. 26 naszej ustawy i odpowiedniego przepisu dyrektywy jest to rozwiązanie adekwatne, proporcjonalne i celowe? Do sprawy tej podchodzimy z troską, ponieważ jednym z obszarów naszej działalności jest rozpatrywanie skarg, jakakolwiek skarga na niezbyt precyzyjny i niezgodny z prawem europejskim akt prawny może skończyć się pytaniem danej osoby skierowanym do Europejskiego Trybunału Sprawiedliwości. Chcielibyśmy, aby każdy akt prawny był tak opracowany, żeby nie powstawały żadne nieścisłości. I tym tylko kieruje się w swych uwagach generalny inspektor ochrony danych osobowych."; - wydawnictwo NIK "Kontrola Państwowa Rocznik LV - Numer 1 (330) - Styczeń - Luty 2010 r." [patrz: "Kontrola Państwowa Rocznik LV - Numer 1 (330) - Styczeń - Luty 2010 r."]. Na stronie 42 - 43 powołanego dokumentu znajduje się następujące stwierdzenie dotyczące nowelizacji ustawy o NIK "Trudności spowodowane ograniczonym dostępem do informacji chronionych ustawowym sekretem czasem uniemożliwiały kontrolerom NIK wykonanie przypisanych im zadań. Kontrolując przedsiębiorcę, należało uzyskać jego zgodę, aby móc zapoznać się z materiałami objętymi tajemnicą przedsiębiorstwa. W rezultacie to nie kontroler, lecz kontrolowany decydował o przebiegu czynności i zakresie badań kontrolnych. Podobnie rzecz się przedstawiała przy kontroli środków wydawanych w służbie zdrowia. Tajemnica lekarska i ochrona danych osobowych uniemożliwiały na przykład stwierdzenie, czy opłacone ze środków publicznych usługi medyczne w ogóle zostały wykonane. Przyjęta przez Sejm zmiana w art. 29 ust. 2, zgodnie z którą dostęp do wszelkich dokumentów i materiałów zawierających informacje stanowiące tajemnicę ustawowo chronioną może być wyłączony lub ograniczony jedynie na podstawie innych ustaw, spowoduje wyeliminowanie takich sytuacji w przyszłości. Ponadto, nie będzie już konieczności zabiegania o uwzględnienie NIK w katalogu podmiotów, którym przysługuje dostęp do nowo tworzonej tajemnicy ustawowej. Nie oznacza to oczywiście dowolności przy sięganiu po informacje chronione. Barierą będzie przecież ustawowo określony zakres kompetencji kontrolnych, już istniejące ograniczenia w dostępie NIK do tajemnic oraz obowiązek zachowania tajemnicy ustawowej przez kontrolera." Tym samym sam NIK, w redagowanym przez siebie dokumencie przyznaje, że dopiero wskutek nowelizacji ustawą o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482) uzyskał kompetencję do przetwarzania danych osobowych określonych ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482); - treść Druku sejmowego 257 z 31 stycznia 2012 r. wyraźnie wskazuje, że dopiero przepis art. 29 ust. 1 pkt. 2 lit. i) ustawy o NIK, który został wprowadzony w wyniku przyjęcia ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482) upoważnił NIK do przetwarzania danych osobowych określonych w art. 27 ust. 1 u.o.d.o. [patrz: Druk sejmowy 257 z 31 stycznia 2012 r.]. Do wskazanego druku sejmowego 257 z 31 stycznia 2012 r. została załączona "Opinia prawna w sprawie zgodności z prawem Unii Europejskiej poselskiego projektu ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z dnia 10 lutego 2012 r.", z którego wynika, że w drodze ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482) nastąpiło poszerzenie katalogu uprawnień kontrolnych NIK o możliwość przetwarzania danych osobowych określonych w art. 27 ust. 1 u.o.d.o. [patrz: "Opinia prawna w sprawie zgodności z prawem Unii Europejskiej poselskiego projektu ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 10 lutego 2012 r.]. Dodatkowo do wskazanego druku sejmowego 257 z 31 stycznia 2012 r. zostało załączone pismo GIODO z 9 marca 2012 r., z którego wynika stanowisko GIODO, że to w drodze ustawy o zmianie ustawy o Najwyższej Izbie Kontroli z 22 stycznia 2010 r. (Dz. U. Nr 227, poz. 1482) wprowadził nowy zakres uprawnień kontrolnych – kompetencji przedstawicieli NIK do przetwarzania danych osobowych określonych w art. 27 ust. 1 u.o.d.o. [patrz: Pismo GIODO z 9 marca 2012 r.]. Stanowisko wskazane w tym piśmie odbiega od stanowiska prezentowanego przez GIODO i przyjętego przez WSA w zaskarżonym wyroku, co do kompetencji NIK przetwarzania danych osobowych określonych w art. 27 ust. 1 u.o.d.o. W odpowiedzi na skargę kasacyjną Generalny inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, oceniając zarzuty jako bezzasadne. Naczelny Sąd Administracyjny rozważył, co następuje: Zgodnie z art. 183 § 1 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r., poz. 1302 ze zm., dalej: p.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, z urzędu biorąc pod uwagę tylko nieważność postępowania. W niniejszej sprawie nie stwierdzono żadnej z przesłanek nieważności wymienionych w art. 183 § 2 p.p.s.a., wobec czego rozpoznanie sprawy nastąpiło w granicach zgłoszonych podstaw i zarzutów skargi kasacyjnej. Ponieważ postępowanie sądowe w sprawie zostało wszczęte po dniu 15 sierpnia 2015 r., do uzasadnienia wyroku Naczelnego Sądu Administracyjnego zastosowanie znajduje przepis art. 193 zdanie drugie p.p.s.a., zgodnie z którym uzasadnienie wyroku oddalającego skargę kasacyjną zawiera ocenę zarzutów skargi kasacyjnej. Przepis ten stanowi lex specialis w relacji do art. 141 § 4 p.p.s.a. i ogranicza wymogi, jakie musi spełniać uzasadnienie wyroku do rozpoznania zarzutów kasacyjnych, co skutkuje pominięciem opisu ustaleń faktycznych i argumentacji prawnej podawanej przez organy i Sąd I instancji. Stosownie do przepisu art. 176 p.p.s.a. skarga kasacyjna winna zawierać zarówno przytoczenie podstaw kasacyjnych, jak i ich uzasadnienie. Przytoczenie podstaw kasacyjnych oznacza konieczność konkretnego wskazania tych przepisów, które zostały naruszone w ocenie wnoszącego skargę kasacyjną, co ma istotne znaczenie ze względu na zasadę związania Sądu II instancji granicami skargi kasacyjnej. Rozpoznana w tych granicach skarga kasacyjna nie okazała się skuteczna, albowiem wyrok Sądu I instancji, mimo częściowo niepełnej argumentacji, odpowiada prawu. Jakkolwiek w skardze kasacyjnej sformułowano zarzuty naruszenia wielu przepisów prawa, to ich uzasadnienie koncentruje się na jednej kwestii, związanej z tezą, że przed dniem wejścia w życie art. 29 ust. 1 pkt 2 lit. i) ustawy o NIK przy prowadzeniu kontroli inspektorzy NIK nie mieli prawa do przetwarzania danych osobowych, o jakich mowa w art. 27 ust. 1 u.o.d.o., a przepis ten, ze względu na przyjęte reguły intertemporalne, nie mógł mieć zastosowania w postępowaniu prowadzonym przez NIK. Argument skargi kasacyjnej odwołujący się do braku podstaw stosowania w postępowaniu przed NIK art. 29 ust. 1 pkt 2 lit. i) ustawy o NIK jest niewątpliwie trafny, nie uzasadnia jednak jej uwzględnienia, albowiem ani GIODO, ani Sąd I instancji nie wskazali na ten przepis jako podstawę przetwarzania danych osobowych w postępowaniu kontrolnym NIK. Przepis ten, ponieważ nie był stosowany w sprawie, nie mógł zostać naruszony. Wskazano natomiast w decyzji GIODO, co zaakceptował Sąd I instancji, że także przed nowelizacją ustawy o NIK, organ ten był uprawniony do przetwarzania danych osobowych w zakresie, w jakim umożliwiał to przepis art. 29 ust. 1 pkt 2 lit. f) ustawy o NIK, upoważniający do zasięgania w związku z kontrolą informacji oraz żądania dokumentów od jednostek niekontrolowanych. Uznano przy tym, że w zakresie danych wskazanych w art. 27 ust. 1 u.o.d.o., podstawę do ich przetwarzania w takiej sytuacji stanowi art. 27 ust. 2 pkt 2 u.o.d.o., zgodnie z którym przetwarzanie jest dopuszczalne, jeżeli przepis ustawy szczególnej zezwala na przetwarzanie takich danych bez zgody osoby, której dotyczą i stwarza pełne gwarancje ochrony. Natomiast przepis art. 23 ust. 1 pkt 4 u.o.d.o. co do zasady dopuszcza przetwarzanie danych, gdy jest to niezbędne do wykonywania określonych prawem zadań realizowanych dla dobra publicznego. Zasadność tego stanowiska może budzić wątpliwości, nie ma ono jednak istotnego wpływu na rozstrzygnięcie sprawy, przedmiotem kontroli GIODO była bowiem określona forma przetwarzania danych osobowych, nie dotyczyła ona etapu prowadzenia postępowania kontrolnego przez NIK i zbierania materiałów. Zarówno pojęcie danych osobowych, jak i ich przetwarzania, mają w ustawie o ochronie danych osobowych szeroki zakres. Przez dane osobowe rozumie się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (art. 6 ust. 1 u.o.d.o.). Zgodnie z definicją legalną przetwarzania zawartą w art. 7 pkt 2 u.o.d.o. przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Należy zwrócić uwagę, że przedmiotem kontroli organu ochrony danych osobowych nie była legalność i prawidłowość postępowania kontrolnego przeprowadzonego przez NIK, nie była nim także prawidłowość dokumentacji sporządzonej przez NIK. Nadto działania podjęte przez GIODO miały miejsce już po przeprowadzeniu kontroli przez NIK, sporządzeniu protokołu z kontroli i przekazaniu akt kontroli do archiwum. Skarga kasacyjna posługuje się przy tym zbiorczym określeniem "przetwarzania danych", przez co pomija istotne okoliczności sprawy związane z przedmiotem kontroli GIODO. Zastrzeżenia skarżących kasacyjnie odnoszą się do danych dotyczących ich relacji rodzinnych i danych z zakresu akt stanu cywilnego, jakie znalazły się w posiadaniu NIK, i zostały częściowo zawarte w sporządzonym w wyniku kontroli materiale. Akta postępowania NIK i sporządzony protokół stanowią zbiór danych w rozumieniu art. 7 pkt 1 u.o.d.o. Generalny Inspektor Ochrony Danych Osobowych podjął działania na podstawie ówcześnie obowiązującej ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, której instrumenty nie służą ochronie dóbr osobistych, ale ochronie danych osobowych. Katalog instrumentów przysługujących organowi ochrony danych osobowych określa art. 18 u.o.d.o. Na jego podstawie GIODO, w przypadku naruszenia przepisów o ochronie danych osobowych, był uprawniony do nakazania przywrócenia stanu zgodnego z prawem. Decyzja wydawana na tej podstawie powinna dotyczyć konkretnego działania lub zaniechania, określonego w szczególności w art. 18 ust. 1 pkt 1-6 u.o.d.o., jej celem zaś było osiągnięcie stanu zgodnego z prawem. Stan ten mógł być oczywiście zrealizowany w dacie orzekania i w jego wyniku, poprzez wydanie decyzji organ nie był w stanie zmienić stanu przeszłego. Rozważenia zatem wymaga, jaka postać przetwarzania danych osobowych przez NIK miała miejsce w dacie orzekania i czy ta postać przetwarzania była zgodna z prawem. Należy się zgodzić z zarzutami skargi kasacyjnej, że organ ochrony danych osobowych był uprawniony do władczego, za pośrednictwem wydanej decyzji, wkraczania w zakwestionowaną formę przetwarzania danych osobowych, pod warunkiem jednak, że przetwarzanie to naruszało prawo, wobec czego wymagane było przywrócenie stanu zgodnego z przepisami. Stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji przez organ ochrony danych osobowych, nie ma natomiast podstaw do ingerencji tego organu, jeżeli stan naruszenia prawa ustał. W trakcie kontroli prowadzonej przez GIODO ustalono, czego skarga kasacyjna nie kwestionuje, że NIK zakończył swoje czynności, akta zawierające przedmiotowe dane osobowe podlegają archiwizacji i jest to wyłączna forma przetwarzania danych prowadzona w związku z realizacją obowiązku nałożonego przez przepisy o archiwizacji. Przetwarzanie danych sprowadzało się wobec tego do ich przechowywania i wymagało oceny, czy stan ten jest zgodny z przepisami prawa, wydanie jakichkolwiek nakazów z katalogu przewidzianego w art. 18 ust. 1 u.o.d.o. byłoby możliwe, gdy ich realizacja miałaby usunąć stan niezgodny z przepisami. Wobec powyższego należy zwrócić uwagę, że w dacie orzekania przez organ ochrony danych osobowych NIK był uprawniony do przetwarzania, a zatem także przechowywania danych osobowych. Zgodnie z art. 29 ust. 1 pkt 2 lit. i) ustawy o NIK w brzmieniu obowiązującym w dacie wydania decyzji ostatecznej, przedstawiciele NIK mają prawo do przetwarzania danych osobowych, z wyjątkiem danych ujawniających poglądy polityczne, przekonania religijne lub filozoficzne, jak również danych o kodzie genetycznym, nałogach lub życiu seksualnym. Zarzuty skargi kasacyjnej nie dotyczą żadnej z kategorii danych wyłączonych w tym przepisie od przetwarzania. Przechowywane przez NIK dane nie obejmują także danych wrażliwych wymienionych w art. 27 ust. 1 u.o.d.o. Katalog danych wyłączonych od przetwarzania w art. 29 ust. 1 pkt 2 lit. i) ustawy o NIK nie obejmuje przy tym wymienionych w art. 27 ust. 1 u.o.d.o danych dotyczących orzeczeń wydanych w postępowaniu sądowym i administracyjnym. W ocenie Naczelnego Sądu Administracyjnego oznacza to, że upoważnienie do przetwarzania danych osobowych przez przedstawicieli NIK obejmuje także część danych "wrażliwych" (w szczególności dotyczących orzeczeń wydanych w postępowaniu sądowym lub administracyjnym) i było możliwe w dacie orzekania przez GIODO na podstawie art. 27 ust. 2 pkt 2 w zw. z art. 29 ust. 1 pkt 2 lit. i) ustawy o NIK. Wobec zakończenia postępowania kontrolnego NIK, przepisy przejściowe z art. 2 ustawy z 22 stycznia 2010 r. o zmianie ustawy o NIK nie stały temu na przeszkodzie. W tej sytuacji, niezależnie od trafności argumentacji podanej przez GIODO i Sąd I instancji, organ ochrony danych osobowych nie miał podstaw do podejmowania działań nakierowanych na przywrócenie stanu zgodnego z prawem, przechowywanie przedmiotowych danych osobowych skarżących, dotyczących ich stosunków rodzinnych, pozbawionych odniesienia do pochodzenia rasowego lub etnicznego, nie naruszało prawa. Na legalność tego stanu nie ma wpływu, czy dane te były skarżącemu kasacyjnie D. J. znane, skoro dotyczą jego danych osobowych. Zasadne jest także stanowisko, że forma udostępnienia protokołu kontroli NIK D. J. na wniosek jego pełnomocnika w trybie dostępu do informacji publicznej, pozbawiona anonimizacji w zakresie danych osobowych dotyczących jego pochodzenia nie świadczy o dopuszczeniu się uchybień w zakresie ochrony danych. Pod względem procesowym działanie pełnomocnika jest działaniem w imieniu strony i na jej rzecz. Organ ochrony danych osobowych nie mógł natomiast nałożyć w trybie decyzji zakazu udostępniania informacji publicznej na przyszłość jak też obwarować jej obowiązkiem stosowania środków zabezpieczających przekraczających rozwiązania przyjęte w ustawie o dostępie do informacji publicznej. Zgodnie z art. 5 ust. 2 ustawy z 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2019 r., poz. 1429), prawo do informacji podlega ustawowemu ograniczeniu ze względu na prywatność osoby fizycznej, zakres kontrowersyjnych danych wskazywany w skardze kasacyjnej mieści się w pojęciu "prywatności" i nie wymagał wydania decyzji wzmacniającej to ograniczenie. Nie uzasadniały także uchylenia wyroku Sądu I instancji zarzuty naruszenia art. 53-61 ustawy o NIK, przedmiotem sprawy administracyjnej nie było postępowanie kontrolne NIK, ale to, czy stwierdzona forma przetwarzania danych osobowych będących w posiadaniu NIK narusza prawo i wymaga władczej ingerencji organu ochrony danych osobowych. Mając na uwadze podane argumenty, Naczelny Sąd Administracyjny, na podstawie art. 184 p.p.s.a. orzekł jak w sentencji o oddaleniu skargi kasacyjnej.