III OSK 426/21

SENTENCJA Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Tamara Dziełakowska Sędziowie Sędzia NSA Rafał Stasikowski Sędzia del. WSA Dariusz Chaciński (spr.) po rozpoznaniu w dniu 3 grudnia 2021 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skarg kasacyjnych Prezesa Urzędu Ochrony Danych Osobowych i Ministra Środowiska od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 21 czerwca 2018 r. sygn. akt II SA/Wa 2138/17 w sprawie ze skargi Ministra Środowiska na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi kasacyjne. UZASADNIENIE Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 21 czerwca 2018 r. II SA/Wa 2138/17, po rozpoznaniu skargi Ministra Środowiska na decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] października 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych: 1. uchylił zaskarżoną decyzję; 2. zasądził koszty postępowania. Od powyższego wyroku zostały wniesione dwie skargi kasacyjne: przez Prezesa Urzędu Ochrony Danych Osobowych oraz przez Ministra Środowiska. Prezes Urzędu Ochrony Danych Osobowych, zaskarżając wyrok w całości, zarzucił mu naruszenie: I. prawa materialnego: 1. art. 145 § 1 pkt 1 lit. a) p.p.s.a. w zw. z art. 24 ust. 1 pkt 1, pkt 3 oraz pkt 4 w zw. z art. 26 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.; dalej: uodo), poprzez uznanie, że na Ministrze Środowiska, jako na administratorze danych, nie spoczywa konieczność spełnienia obowiązku informacyjnego wobec osób biorących udział w projekcie "[...]", w sytuacji kiedy to Minister Środowiska, jako administrator danych, ma obowiązek udzielić tym osobom informacji określonych w art. 24 ust. 1 pkt 1, pkt 3 i pkt 4 uodo; 2. art. 145 § 1 pkt 1 lit. a) p.p.s.a. w zw. z art. 18 ust. 1 uodo poprzez uznanie, że Minister Środowiska nie dysponuje danymi osób biorących udział w projekcie "[...]" w zakresie pozwalającym na dopełnienie obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 pkt 1, pkt 3 oraz pkt 4 uodo; II. przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy: 1. art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. poprzez uchylenie zaskarżonej decyzji pomimo, że wbrew ocenie Sądu I instancji nie była ona wydana z naruszeniem wskazanych przepisów k.p.a.; 2. art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. 106 § 3 w zw. z art. 113 § 1 p.p.s.a. poprzez nieprzeprowadzenie dowodu uzupełniającego z urzędu w postaci przedstawienia pełnej dokumentacji zawierającej dane osobowe uczestników projektu "[...]" przetwarzane przez [...] Klub [...], mimo że dowód ten ma istotne znaczenie dla rozstrzygnięcia sporu i nie spowodowałby nadmiernego przedłużenia postępowania, a brak jego przeprowadzenia doprowadził do ustalenia błędnego stanu faktycznego; 3. art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. 156 § 1 pkt 5 oraz art. 107 § 3 pkt 5 k.p.a. poprzez stwierdzenie, że decyzja była niewykonalna, w sytuacji gdy Minister Środowiska jako administrator danych osobowych posiada dostęp do danych osób, wobec których powinien zrealizować obowiązek informacyjny. W oparciu o powyższe zarzuty skarżący kasacyjnie organ wniósł o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, o zasądzenie zwrotu kosztów postępowania, a także o rozpoznanie skargi kasacyjnej na rozprawie. Minister Środowiska natomiast, zaskarżając wyrok w całości, zarzucił mu naruszenie: I. przepisów postępowania: 1. art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2017 r. poz. 2188, ze zm.), oraz art. 3 § 1 i § 2 pkt 1, art. 133 § 1, art. 134 § 1, art. 135, art. 141 § 4, art. 145 § 1 pkt 1 lit. a, b i c, art. 153 p.p.s.a., których naruszenie miało istotny wpływ na wynik sprawy, gdyż doprowadziło Sąd do zaniechania uchylenia decyzji poprzedzającej zaskarżoną decyzję, niezauważeniu wszystkich wad zaskarżonej decyzji oraz decyzji ją poprzedzającej, wskazaniu w uzasadnieniu wyroku błędnych wytycznych dotyczących dalszego sposobu prowadzenia postępowania, oraz niedostrzeżenie naruszenia przepisów postępowania dokonanych przez organ, a to art. 28 k.p.a., art. 7, art. 10 § 1 k.p.a., art. 61 § 4, art. 109 § 1 i art. 145 § 1 pkt 4 k.p.a., oraz art. 145 § 1 pkt 1 lit. b oraz art. 135 p.p.s.a. w zw. z art. 7 pkt 4, art. 12 pkt 2, art. 18 ust. 1 pkt 1, art. 22, art. 24 ust. 1 pkt 1, pkt 3, pkt 4 i art. 40 uodo, poprzez nieuchylenie zaskarżonej decyzji i decyzji ją poprzedzającej, mimo tego, że postępowanie zakończone zaskarżoną decyzją dotyczyło interesu prawnego lub obowiązku Ministra Rozwoju Regionalnego (Ministra właściwego do spraw rozwoju regionalnego), Narodowego Funduszu Ochrony Środowiska i Gospodarki Wodnej oraz [...] Klubu E., a organ powinien na podstawie przepisów k.p.a. zapewnić tym stronom czynny udział w postępowaniu, czego zaniechał, a więc w sprawie zaistniały bezwzględne przesłanki do uchylenia zaskarżonej decyzji oraz decyzji ją poprzedzającej na podstawie art. 145 § 1 pkt 1 lit. b oraz 135 p.p.s.a., czego Sąd nie dostrzegł i nie uchylił wskazanych decyzji z naruszeniem przepisów postępowania; 2. art. 7, art. 77 § 1 art. 80 oraz. art. 107 § 3 k.p.a. w związku z art. 6 ust. 1 i 2 oraz art. 31 ust. 1 i 2 uodo poprzez błędne ustalenie, że Krajowy Punkt Kontaktowy (KPK - minister właściwy do spraw rozwoju) w systemie realizacji Mechanizmu Finansowego Europejskiego Obszaru Gospodarczego 2009-2014 (MF EOG), na podstawie umów i porozumień zawartych w tym systemie nie ma dostępu do wszystkich danych objętych systemem, w tym danych osobowych, podczas gdy z tych umów i porozumień tworzących MF EOG wynika, że KPK na podstawie umów i porozumień ma dostęp do wszystkich danych, w tym danych osobowych, a więc również danych osobowych zbieranych przez [...] Klub [...] w ramach Projektu, i KPK może w każdym momencie przeprowadzić kontrolę i pozyskać dane osobowe uczestników Projektu lub zażądać tych danych, a to narzędzie prawne jest skuteczne wobec [...] Klubu [...]; 3. art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w zw. z art. 7 pkt 4 uodo oraz art. 6 ust. 1 i 2 oraz art. 31 ust. 1 i 2 uodo poprzez nieustalenie oraz niewskazanie w uzasadnieniu zaskarżonej decyzji na podstawie jakich dowodów organ uznał daną okoliczność za udowodnioną, tj. w zakresie uznania, że Minister Środowiska decyduje o celach i środkach przetwarzania takich danych osobowych jak: e-mail, nr telefonu, adres, miejsce pracy i innych danych uczestników Projektu zbieranych przez [...] Klub [...], a także że Minister Środowiska zlecił zbieranie tych danych, w sytuacji, gdy z umowy z dnia [...] sierpnia 2014 r., na którą organ się powoływał jako podstawę zbierania danych osobowych, wskazując Ministra Środowiska jako administratora danych, wynika, że na jej podstawie mogły być gromadzone jedynie listy obecności, a takie dane jak: e-mail, nr telefonu, adres, miejsce pracy, dane szkół i imię dane uczestników Projektu nie miały być gromadzone na jej podstawie, a więc to nie Minister Środowiska decydował o celach i środkach przetwarzania tych danych, ale wyłącznie [...] Klub [...], który samodzielnie podjął decyzję o gromadzeniu tych danych, w sytuacji gdy na podstawie danych w postaci samej listy nie można w ogóle ustalić tożsamości danej osoby fizycznej, jak słusznie przyjął w uzasadnieniu wyroku Sąd; 4. art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w zw. z art. 2 ust. 1 i 2 uodo poprzez nieustalenie, w jaki sposób Minister Środowiska zlecił, aby dane osobowe oraz jakie dane osobowe uczestników Projektu były lub mogły być przetwarzane w zbiorach danych, podczas gdy z zebranego materiału dowodowego nie wynika, aby Minister Środowiska zlecał, aby dane uczestników Projektu były lub mogły być przetwarzane w zbiorach danych osobowych, a w szczególności taka możliwość nie wynika z umowy dnia [...] sierpnia 2014 r. zawartej między Ministerstwem Środowiska a [...] Klubem [...]m; 5. art. 7, art. 8 § 1, art. 9, art. 11 oraz art. 107 § 3 k.p.a. w zw. z art. 6 ust. 1 i 2 oraz art. 31 ust. 1 uodo poprzez przedstawienie przez organ i zaakceptowanie przez Sąd wewnętrznie sprzecznej interpretacji art. 31 ust. 1 uodo, w której raz do powierzenia danych osobowych konieczne jest istnienie zbioru danych osobowych w momencie powierzenia i brak takiego zbioru w momencie powierzenia wyklucza możliwość powierzenia zbioru danych, tj. w relacji Ministerstwo Rozwoju Regionalnego Ministerstwo Środowiska, a w innym przypadku nie jest to konieczne, tj. w relacji Ministerstwo Środowiska [...] Klub [...], a w takim wypadku możliwe jest zlecenie stworzenia zbioru danych osobowych; 6. art. 7, art. 77 § 1 art. 80 oraz art. 107 § 3 k.p.a., art. 8 § 1, art. 9, art. 11 oraz art. 107 § 3 k.p.a. w zw. z art. 2 ust. 1 i 2, art. 6 ust. 1 i 2, art. 7 pkt 1, 4 oraz art. 31 ust. 1 i 2 uodo poprzez błędne ustalenie przez organ, że do rozliczenia Projektu niezbędne było zbieranie danych osobowych, a w szczególności w zbiorze danych osobowych, i Minister Środowiska powierzył na piśmie w drodze umowy [...] Klubowi E. przetwarzanie danych osobowych, podczas gdy z umowy z dnia [...] sierpnia 2014 r. wynika, że do rozliczenia Projektu wystarczające było tylko wystawienie przez placówkę potwierdzenia realizacji zajęć ze wskazaniem liczby osób oraz dokumentacja zdjęciowa, a tym podmiotem, który samodzielnie decydował, który ze sposób rozliczenia umowy wybrać był [...] Klub [...], i jego samodzielny wybór na listę obecności jako podstawy rozliczenia, nawet jeżeli uznać, że sama lista obecności mogła zawierać dane osobowe w rozumieniu art. 6 uodo, był jego wyborem, a więc to [...] Klub [...] samodzielnie bez żadnej ingerencji Ministra Środowiska zarówno wskazywał jakie konkretnie osoby fizyczne będą uczestniczyły w projekcie oraz określił czy uczestnictwo to będzie związane z podpisaniem listy obecności, czy też nie, a zatem to [...] Klub [...] decydował o celach i środkach przetwarzania danych osobowych konkretnych osób fizycznym uczestniczących w projekcie, a nie Minister Środowiska; 7. art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w zw. z art. 6 ust. 1 i 2, art. 31 ust. 1 uodo w zw. z art. 1, art. 353 § 1 i 2, art. 3531 Kodeksu cywilnego poprzez przyjęcie, że Minister Środowiska w umowie z [...] sierpnia 2014 r. samodzielnie decydował o celu i środkach przetwarzania danych osobowych oraz powierzył dane osobowe, a w szczególności zbiór danych osobowych, [...] Klubowi [...], podczas gdy w tej umowie cywilnoprawnej na zasadzie swobody umów [...] Klub [...] i Minister Środowiska wspólnie i w porozumieniu określili jako dwa niezależne podmioty treść i warunki umowy i z umowy tej nie wynika (w szczególności z jej art. 6), że [...] Klub [...] w ogóle musi zbierać i przekazywać Ministrowi Środowiska dane osobowe, a więc dane dotyczące konkretnej osoby fizycznej, bo [...] Klub [...] może w celu wykazania realizacji Projektu zbierać i ewentualnie przekazać tylko wystawione przez placówkę potwierdzenia realizacji zajęć ze wskazaną liczbą osób oraz dokumentację fotograficzną, przy czym z umowy w żaden sposób nie wynika, że dokumentacja fotograficzna ma w ogóle obejmować wizerunek osób fizycznych, a więc to [...] Klub [...] decydował o celach i środkach przetwarzania przez siebie gromadzonych danych, gdyż to on zdecydował o gromadzeniu listy obecności, a nie zdecydował się na drugi dozwolony sposób wykazania realizacji Projektu, który nie wymagał wypełnienia listy obecności; 8. art. 7, art. 8 § 1, art. 9, art. 11, art. 77 § 1 oraz art. 80 k.p.a. art. 107 § 3 k.p.a. w zw. z art. 6 ust. 1, 2 i 3 uodo w zw. z art. 7 pkt 4 uodo poprzez uznanie przez organ wbrew materiałowi dowodowemu i zasadom doświadczenia życiowego, że gdyby nie wymóg wskazany w art. 6 umowy z dnia [...] sierpnia 2014 r. dotyczący rozliczenia Projektu [...] Klub [...] nie pozyskiwałby danych osobowych uczestników Projektu, podczas gdy dane te były niezbędne [...] Klubowi [...] do zorganizowania szkoleń, a nie tylko do rozliczenia się z Projektu, na co wskazuje szerszy zakres danych zbieranych przez [...] Klub [...] niż wskazany w art. 6 ww. umowy; 9. art. 7, art. 77 § 1, art. 8 § 1, art. 9, art. 11, art. 77 § 1, art. 80 k.p.a. oraz art. 107 § 3 k.p.a. w zw. z art. 141 § 1 p.p.s.a. w zakresie uznania, że z całości akt sprawy, w tym w szczególności z umowy z dnia [...] sierpnia 2014, wynika jednoznacznie (art. 6 umowy), że wśród warunków przyznania dofinansowania wymieniono pozyskanie danych osobowych uczestników Projektu, podczas gdy z żadnego dokumentu dostępnego w aktach postępowania nie wynika, że warunkiem przyznania dofinansowania było pozyskanie danych osobowych uczestników Projektu, a w szczególności nie wynika to z art. 6 ww. umowy; 10. art. 7, art. 8 § 1, art. 9, art. 11, art. 77 § 1 oraz art. 80 k.p.a. art. 107 § 3 k.p.a. w zw. z art. 6 ust. 1, 2 i 3 oraz art. 7 pkt 4 uodo poprzez przyjęcie przez organ, że samo imię i nazwisko (również w formie nieczytelnego podpisu) bez dodatkowych danych może być w każdym przypadku uznane za dane osobowe w rozumieniu ustawy, podczas gdy samo imię i nazwisko w żaden sposób bez dodatkowych danych nie może być uznane za dane osobowe w rozumieniu przepisów uodo i jak wynika z zarówno z uzasadnienia decyzji organu, jak i uzasadnienia Sądu nie jest ono wystarczające do ustalenia tożsamości konkretnej osoby fizycznej, co jest warunkiem uznania jakichkolwiek informacji za dane osobowe, a biorąc pod uwagę, że na podstawie art. 6 umowy z [...] sierpnia 2014 r., na którą powołuje się organ uzasadniając uznanie Ministra Środowiska za administratora danych, nie przewidywano zbierania innych danych, należy wskazać, że na podstawie umowy z [...] sierpnia 2014 r. w ogóle nie miały być gromadzone dane pozwalające na ustalenie bezpośrednio lub pośrednio tożsamości konkretnej osoby fizycznej; II. prawa materialnego: 1. art. 6 ust. 1, 2 i 3 uodo poprzez przyjęcie, że samo imię i nazwisko (również w formie nieczytelnego podpisu) bez dodatkowych danych może być w każdym przypadku uznane za dane osobowe w rozumieniu przepisów uodo, podczas, gdy samo imię i nazwisko w żaden sposób bez dodatkowych danych nie może być uznane za dane osobowe w rozumieniu przepisów uodo, gdy nie jest ono wystarczające do ustalenia tożsamości konkretnej osoby fizycznej, a określenie tożsamości konkretnej osoby fizycznej na podstawie imienia i nazwiska wymagałoby nadmiernych kosztów, czasu lub działań; 2. błędną wykładnię art. 6 ust. 1, 2 i 3, art. 7 pkt 1 i 2 i 4 uodo oraz art. 31 ust. 1 i 2 uodo poprzez przyjęcie, że administrator danych, powierzając określone dane osobowe podmiotowi przetwarzającemu na podstawie art. 31 ust. 1 i 2 uodo jest również administratorem danych zebranych poza zakresem i celem przewidzianym w umowie powierzenia, podczas gdy prawidłowa wykładnia wskazanych przepisów powinna być taka, że jeżeli podmiot przetwarzający przetwarza dane poza zakresem i celem określonym w umowie powierzenia staje się on administratorem danych niezależnie od administratora powierzającego dane, gdyż to podmiot przetwarzający w takim wypadku w stosunku do tych danych decydujące o celach i środkach przetwarzania danych osobowych; 3. przez błędną wykładnię art. 7 pkt 4 uodo przez przyjęcie, że rozwiązanie prawne ukształtowane na podstawie umów i porozumień stwarzające danemu podmiotowi skuteczne prawo wobec innego podmiotu lub podmiotów posiadających dane osobowe do kontroli, nadzoru, pozyskiwania danych osobowych oraz innego przetwarzania danych osobowych nie czyni tego podmiotu, który ma takie uprawnienia, administratorem danych w rozumieniu art. 7 pkt 4 u.o.d.o., podczas gdy prawidłowa wykładnia wskazanego przepisu powinna być taka, że tak ukształtowane uprawnienia czyni dany podmiot administratorem danych osobowych, gdyż podmiot ten może przetwarzać te dane osobowe niezależnie woli podmiotu posiadającego fizycznie te dane osobowe, a więc decyduje on o celach i środkach przetwarzania danych osobowych; 4. przez błędną wykładnię art. 7 pkt 4 w zw. z art. 6 ust. 1, 2 i 3 uodo w zw. z art. 31 ust. 1 i 2 uodo przez przyjęcie przez Sąd w ślad za organem, że kilka niezależnych organów i podmiotów nie może być uznanych za administratora tych samych danych osobowych i w wyniku tego prowadzenie postępowania w taki sposób, że uznanie jednego organu lub podmiotu za administratora danych wyklucza, aby inny organ lub podmiot mógł być uznany za administratora tych samych danych osobowych, podczas gdy wskazane przepisy nie wykluczają uznania kilku organów i podmiotów za administratorów tych samych danych osobowych. Skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku w całości i uchylenie decyzji Generalnego Inspektora Ochrony Danych Osobowych z [...] października 2017 r. oraz poprzedzającej ją decyzji Generalnego Inspektora Ochrony Danych Osobowych z [...] sierpnia 2017 r., ewentualnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, a także o zasądzenie kosztów postępowania, w tym kosztów zastępstwa prawnego według norm przepisanych. Wniósł też o przeprowadzenie rozprawy. Naczelny Sąd Administracyjny zważył, co następuje. Zgodnie z art. 174 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.) – p.p.s.a. – skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie; 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, albowiem zgodnie z art. 183 § 1 p.p.s.a. rozpoznając sprawę w granicach skargi kasacyjnej, bierze z urzędu pod rozwagę jedynie nieważność postępowania. Przesłanki nieważności określone w art. 183 § 2 p.p.s.a. w tej sprawie nie wystąpiły. Kontrolując zatem zgodność z prawem zaskarżonego wyroku w granicach skarg kasacyjnych, Naczelny Sąd Administracyjny ograniczył tę kontrolę do wskazanych w nich zarzutów. Rozpatrywane pod tym kątem skargi kasacyjne nie mają usprawiedliwionych podstaw. Zgodnie z art. 193 zdanie drugie p.p.s.a. uzasadnienie wyroku oddalającego skargę kasacyjną zawiera ocenę zarzutów skargi kasacyjnej. Zatem Naczelny Sąd Administracyjny nie przedstawia w uzasadnieniu wyroku oddalającego skargę kasacyjną opisu ustaleń faktycznych i argumentacji prawnej podawanej przez organ i Sąd I instancji. Zauważyć na początku należy, że jeśli skarga kasacyjna oparta jest na obydwu podstawach kasacyjnych, co do zasady rozpatrzeniu w pierwszej kolejności podlegać powinny zarzuty dotyczące naruszenia przepisów postępowania, albowiem zarzuty dotyczące naruszenia prawa materialnego mogą być oceniane przez Naczelny Sąd Administracyjny wówczas, gdy stan faktyczny sprawy i motywy rozstrzygnięcia nie budzą wątpliwości. Odnosząc się do zarzutów postawionych przez Prezesa Urzędu Ochrony Danych Osobowych (PUODO) stwierdzić należy, że w tym przypadku istnieje konieczność uczynienia wyjątku od powyższej zasady i wyjścia w rozważaniach od pierwszego (pkt I.1. skargi kasacyjnej), a zarazem podstawowego zarzutu postawionego w ramach pierwszej podstawy kasacyjnej (art. 174 pkt 1 p.p.s.a.), gdyż zarzut ten pozostaje w ścisłym związku z późniejszymi zarzutami "procesowymi". PUODO twierdzi bowiem, że Sąd I instancji uznał, że na Ministrze Środowiska, jako na administratorze danych, nie spoczywa konieczność spełnienia obowiązku informacyjnego wobec osób biorących udział w projekcie "[...]", co ma świadczyć o naruszeniu art. 24 ust. 1 pkt 1, 3 i 4 w zw. z art. 26 ust. 1 pkt 3 uodo. Już sama teza tego zarzutu jest fałszywa, bowiem Sąd I instancji nie stwierdził, że na Ministrze Środowiska, jako na administratorze danych, nie spoczywa (co do zasady) obowiązek informacyjny wobec osób biorących udział w projekcie. Sąd I instancji uznał natomiast, że organ wydając zaskarżoną decyzję nie wykazał, że spełnienie tego obowiązku jest możliwe na podstawie danych, jakimi dysponuje administrator (Minister Środowiska), a zatem, że wykonanie decyzji nakładającej taki obowiązek jest możliwe. To nie to samo, co unicestwienie przez Sąd I instancji ustawowego obowiązku informacyjnego ciążącego na administratorze, jak zdaje się twierdzić PUODO. W końcowych rozważaniach Sąd I instancji stwierdził, że "Jeśli w ocenie organu zakres danych, które zostały pozyskane w ramach umowy z dnia [...] sierpnia 2014 r. pozwala na skuteczne skontaktowanie się przez Ministra Środowiska z osobami uczestniczącymi w Projekcie w celu realizacji obowiązku informacyjnego, to organ powinien to w decyzji wykazać. Wydana przez organ decyzja musi być bowiem wykonalna. (...) Dotychczasowa zaś ocena organu, co do możliwości wykonania przez Ministra Środowiska nakazu dopełnienia obowiązku informacyjnego, o którym mowa w decyzji, była oceną dowolną, a zatem naruszającą art. 80 k.p.a., które to uchybienie mogło mieć istotny wpływ na wynik sprawy. Potwierdzeniem powyższego jest uzasadnienie zaskarżonej decyzji, które w odniesieniu do kwestii wykonalności decyzji nie spełnia wymogów art. 107 § 3 k.p.a." Tymczasem z własnego zaniechania, wytkniętego przez Sąd I instancji, PUODO robi zarzut pod adresem tegoż Sądu, że naruszył art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. 106 § 3 w zw. z art. 113 § 1 p.p.s.a. poprzez nieprzeprowadzenie dowodu uzupełniającego z urzędu w postaci przedstawienia pełnej dokumentacji zawierającej dane osobowe uczestników projektu "[...]" przetwarzane przez [...] Klub [...], mimo że dowód ten ma istotne znaczenie dla rozstrzygnięcia sporu (pkt II.2. skargi kasacyjnej). Sam organ przyznaje więc, że przeprowadzenie takiego dowodu ma istotne znaczenie dla rozstrzygnięcia sprawy, a więc nie może to być dowód uzupełniający, w rozumieniu art. 106 § 3 p.p.s.a., tym bardziej, że mógłby być to dowód z szeregu dokumentów, o nieznanej Sądowi treści. "Obowiązek przeprowadzenia prawidłowego postępowania administracyjnego obciąża organ administracyjny. Ewentualne dowody, które może przeprowadzać sąd administracyjny na podstawie art. 106 § 3 p.p.s.a., nie mają na celu zastępowania organu w prawidłowym wywiązaniu się z tego obowiązku. Nie mają one zatem zmierzać do prawidłowego ustalania przez sąd stanu faktycznego niezbędnego do rozstrzygnięcia sprawy administracyjnej i wydania decyzji, lecz jedynie do dokonania przez sąd "kontroli działalności administracji publicznej", tj. oceny zgodności z prawem zaskarżonej decyzji" (wyrok NSA z 29.10.2021 r. II GSK 1467/21, LEX nr 3257909). "Nieprzeprowadzenie dowodu z dokumentu, tak jak wskazuje to przepis art. 106 § 3 p.p.s.a., nie może być oceniane jako naruszenie prawa procesowego i to naruszenie, mające istotny wpływ na wynik sprawy" (wyrok NSA z 22.06.2021 r. II OSK 2754/18, LEX nr 3210325). Skoro tak, to zarzuty podniesione w punktach II.1.i II.3 skargi kasacyjnej również nie mają usprawiedliwionych podstaw. Natomiast o poprawnym zastosowaniu art. 18 ust. 1 i art. 24 ust. 1 pkt 1, 3 i 4 uodo (pkt I.2. skargi kasacyjnej) będzie można mówić dopiero po prawidłowym ustaleniu stanu faktycznego przez organ. Poza tym, za pomocą tych przepisów nie jest możliwe kwestionowanie ustaleń, czy Minister Środowiska dysponuje (lub nie) danymi osób biorących udział w projekcie. Niewątpliwie natomiast słuszne jest stanowisko Sądu I instancji, że cyt. "nakaz pozyskania szerszego zakresu danych niż był zbierany przez Ministra Środowiska, (...) stoi w sprzeczności z zasadą adekwatności danych." Jeśli bowiem okazałoby się, że dane osobowe zebrane przez administratora były wystarczające dla realizacji celu, w jakim były zbierane, to dalsze poszerzanie tych danych (np. poprzez dodatkowe pozyskiwanie adresów osób uczestniczących w projekcie), tylko w celu wypełnienia obowiązku informacyjnego, rzeczywiście byłoby naruszeniem zasady adekwatności danych (zob. art. 26 ust. 1 pkt 3 uodo). Aktualnie podobną zasadę wyraża również art. 11 ust. 1 RODO. Jeśli natomiast chodzi o skargę kasacyjną Ministra Środowiska (który to podmiot po przekazaniu skargi kasacyjnej dwukrotnie zmieniał nazwę – obecnie Minister Klimatu i Środowiska) zauważyć należy ogólnie, że w zakresie zarzutów opartych na drugiej podstawie kasacyjnej (art. 174 pkt 2 p.p.s.a.) nie spełnia ona ustawowych wymogów. "Naczelny Sąd Administracyjny prezentuje w swym orzecznictwie pogląd, że w świetle art. 174 p.p.s.a. tworzenie niespójnej zbitki przepisów - szeregu norm prawnych, które miał rzekomo naruszyć Sąd I instancji, nie wskazując konkretnie na czym polega naruszenie każdej z tych norm, jest nieprawidłowe (por. wyrok NSA z 20.02.2014 r. II GSK 1933/12, LEX nr 1495128; wyrok NSA z 15 grudnia 2011 r. II FSK 1053/10, LEX nr 1151234 oraz wyrok NSA z 16 listopada 2011 r. II FSK 916/10, LEX nr 1165383). Z taką sytuacją mamy do czynienia w niniejszej sprawie, gdzie multiplikowane są np. zarzuty naruszenia art. 7, art. 77 § , art. 80 oraz. art. 107 § 3 k.p.a. w kontekście różnych okoliczności, a na dodatek w powiązaniu z przepisami materialnymi, a podstaw kasacyjnych nie można mieszać. Precyzyjne odniesienie się do tych zarzutów nie jest więc możliwe. Zwrócić należy w związku z tym uwagę tylko na kilka najistotniejszych kwestii. Po pierwsze, nietrafny jest zarzut zawarty w pkt I.1. skargi kasacyjnej, że "postępowanie zakończone zaskarżoną decyzją dotyczyło interesu prawnego lub obowiązku Ministra Rozwoju Regionalnego (Ministra właściwego do spraw rozwoju regionalnego), Narodowego Funduszu Ochrony Środowiska i Gospodarki Wodnej oraz [...] Klub [...], a organ powinien na podstawie przepisów k.p.a. zapewnić tym stronom czynny udział w postępowaniu, czego zaniechał, a więc w sprawie zaistniały bezwzględne przesłanki do uchylenia zaskarżonej decyzji oraz decyzji ją poprzedzającej na podstawie art. 145 § 1 pkt 1 lit. b oraz art. 135 p.p.s.a." W zaskarżonej decyzji za administratora danych osobowych organ uznał Ministra Środowiska i na niego, a nie na inne podmioty nałożył obowiązek informacyjny. Takie rozstrzygnięcie nie dotyczy interesu prawnego innych podmiotów, a gdyby nawet, to powyższy zarzut mogłyby skutecznie podnosić tylko podmioty "pominięte" w postępowaniu. "Przesłanka wznowieniowa z art. 145 § 1 pkt 4 k.p.a. może stanowić podstawę uchylenia decyzji tylko wówczas, gdy powołuje się na nią podmiot uprawniony do skorzystania z tej przesłanki, to jest ten, który bez własnej winy nie został dopuszczony do udziału w postępowaniu, ewentualnie następca prawny takiego podmiotu. Inne podmioty nie mogą się skutecznie na tę okoliczność powoływać" (zob. wyrok NSA z 16.05.2019 r. II OSK 1647/17, LEX nr 2699062). W tej sytuacji kluczowe jest rozstrzygnięcie, czy Minister Środowiska (według nomenklatury podmiotu z chwili wydawania zaskarżonej decyzji) rzeczywiście został poprawnie uznany za administratora danych osobowych uczestników projektu i czy właściwie oceniono dowody na tę okoliczność. Osobną kwestią jest natomiast to, czy decyzja nakładająca obowiązek informacyjny na administratora danych osobowych była wykonalna, co omówiono już wyżej, przy okazji podstaw kasacyjnych PUODO. Zgodnie z art. 7 pkt 4 uodo przez administratora danych rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. Jak ustalił organ, a ustalenia te podzielił Sąd I instancji, ramy prawne dla Mechanizmu Finansowego na lata 2009 - 2014 zostały określone w umowie międzynarodowej "Memorandum of Understanding" (MoU). Umowa ta jest stosowana łącznie z następującymi dokumentami (art. 2 MoU): Protokołem 38b do Umowy o EOG dotyczącym Mechanizmu Finansowego EOG na lata 2009 - 2014; Regulacjami w sprawie wdrażania Mechanizmu Finansowego EOG na lata 2009 - 2014, wydanymi przez Państwa - Darczyńców (dalej: Regulacje); umowami w sprawie programu, które będą zawierane dla każdego programu oraz wszelkimi wytycznymi przyjętymi przez Komitet Mechanizmu Finansowego EOG zgodnie z Regulacjami. Państwo - Beneficjent (Rzeczypospolita Polska) zobowiązany był na podstawie MoU (a także Regulacji) wyznaczyć Krajowy Punkt Kontaktowy, którego zadaniem jest koordynacja i nadzór nad wdrażaniem programów. W Polsce funkcję Krajowego Punktu Kontaktowego (KPK) pełnił Minister właściwy ds. rozwoju regionalnego. MoU określiło również ramy wdrażania Mechanizmu wraz z obszarami programowymi, przypisując dla poszczególnych programów ich operatorów: dla obszaru programu Ochrona różnorodności biologicznej i ekosystemów operatorem programu zostało Ministerstwo Środowiska z pomocą Narodowego Funduszu Ochrony Środowiska i Gospodarki Wodnej. Operator programu był odpowiedzialny za przygotowanie i wdrożenie programu a także za realizację rezultatów, określonych w załączniku B do MoU. Te ustalenia są bezsporne. Bezsporne jest też to, że Narodowy Fundusz Ochrony Środowiska i Gospodarki Wodnej nie działał w tej sprawie samodzielnie, ale jako reprezentant Ministra Środowiska, na podstawie zawartej umowy. Jeśli zatem operator programu był odpowiedzialny za przygotowanie i wdrożenie programu, a także za realizację rezultatów, to jest oczywiste, że to właśnie Minister Środowiska, który pełnił powyższą funkcję, zawierając umowę z [...] Klubem [...] z [...] sierpnia 2014 r., decydował o celach i środkach przetwarzania danych osobowych (art. 7 pkt 4 uodo) ustalając, że w celu rozliczenia się wykonawcy z projektu niezbędne będzie pozyskanie danych osobowych uczestników projektu w postaci list obecności lub zdjęć (art. 6 umowy). Zasada swobody umów, na którą powołuje się Minister Środowiska (pkt I.7. skargi kasacyjnej), nie może zniekształcać oceny dokonywanej na gruncie prawa publicznego (na gruncie art. 7 pkt 4 uodo), że będąc operatorem projektu, czyli podmiotem odpowiedzialnym za przygotowanie i wdrożenie programu a także za realizację rezultatów, to Minister Środowiska wyznaczał cele i decydował o środkach przetwarzania danych osobowych, a zatem był administratorem danych osobowych. Kwestia, czy dane osobowe istniały już w chwili zawierania umowy jest bez znaczenia dla oceny, kto jest administratorem zebranych danych osobowych (nawet jeśli co innego wynika z części argumentacji organu), bo w tym wypadku cel i środki przetwarzania danych wyznaczał operator programu, jako podmiot odpowiedzialny za jego przygotowanie i realizację. Nie jest przy tym kwestionowana rola Ministra Środowiska jako operatora programu i fakt zawarcia umowy z [...] sierpnia 2014 r. z [...] Klubem [...]. Wbrew temu, co twierdzi skarżący kasacyjnie, wskazane zostały (i ocenione) także dowody, w oparciu o które przypisano skarżącemu kasacyjnie status administratora danych. Przekazanie przetwarzania danych innemu podmiotowi w drodze umowy (art. 31 ust. 1 uodo) nie prowadzi natomiast do zmiany statusu administratora danych osobowych, ani do zdjęcia z administratora odpowiedzialności za przestrzeganie ustawy (art. 31 ust. 4 uodo). Bez wątpienia też imiona i nazwiska z list obecności uczestników w zajęciach oraz ich zdjęcia stanowią dane osobowe, bowiem są nimi wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (art. 6 ust. 1 uodo). Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (art. 6 ust. 2 uodo). Jeśli przy tym wiadomo jest, z jakiego środowiska społecznego taka osoba się wywodzi (szkoła, nawet klasa), to nie można uznać, że zidentyfikowanie takiej osoby wymagałoby nadmiernych kosztów, czasu lub działań (art. 6 ust. 3 uodo). Co innego, jeśli chodzi o poszerzanie już zebranych danych osobowych, w celu wypełnienia obowiązku informacyjnego przez administratora, jeśli dotychczasowe dane osobowe byłyby w tym celu niewystarczające, o czym była już mowa wyżej. Sąd I instancji nie stwierdził też – wbrew temu, co twierdzi autor skargi kasacyjnej – że same listy obecności nie są wystarczające dla ustalenia tożsamości osób tam wymienionych, tylko że nie są wystarczające dla wypełnienia obowiązku informacyjnego nakazanego w decyzji. Mając to wszystko na uwadze, na podstawie art. 184 p.p.s.a. Naczelny Sąd Administracyjny oddalił skargi kasacyjne, jako pozbawione usprawiedliwionych podstaw. Sprawę rozpoznano na posiedzeniu niejawnym, w trybie określonym w art. 15zzs4 ust. 3 ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID - 19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. poz. 374 ze zm.), w brzmieniu nadanym przez art. 4 pkt 3 ustawy z dnia 28 maja 2021 r. o zmianie ustawy - Kodeks postępowania cywilnego oraz niektórych innych ustaw (Dz. U. z 2021 r., poz. 1090).