I OSK 3240/15

Naczelny Sąd Administracyjny w składzie następującym: Przewodniczący Sędzia NSA Małgorzata Jaśkowska (spr.), Sędzia NSA Aleksandra Łaskarzewska, Sędzia del. WSA Agnieszka Miernik, Protokolant Starszy inspektor sądowy Kamil Wertyński, po rozpoznaniu w dniu 27 października 2017 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezydenta m. st. Warszawy od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 lipca 2015 r. sygn. akt II SA/Wa 2163/14 w sprawie ze skargi Prezydenta m. st. Warszawy na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 2 października 2014 r. [...] w przedmiocie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od Prezydenta m. st. Warszawy na rzecz Generalnego Inspektora Ochrony Danych Osobowych kwotę 180 (sto osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 15 lipca 2015 r., sygn. akt II SA/Wa 2163/14 oddalił skargę Prezydenta m. st. Warszawy na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 2 października 2014 r., nr [...] wydaną w przedmiocie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych. Wyrok ten zapadł na tle następującego stanu faktycznego i prawnego sprawy. Upoważnieni przez Generalnego Inspektora Ochrony Danych Osobowych (powoływanego dalej jako GIODO) inspektorzy przeprowadzili kontrolę w Urzędzie Miasta Stołecznego Warszawy przy pl. Bankowym 3/5 w celu ustalenia zgodności przetwarzania danych osobowych osób ubiegających się o "Kartę Warszawiaka" lub "Kartę Młodego Warszawiaka" z ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (aktualnie Dz. U. z 2016 r. poz. 922 – powoływaną dalej jako ustawa o ochronie danych osobowych) oraz rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r., Nr 100, poz. 1024 – zwanym dalej rozporządzeniem). W toku kontroli odebrano od pracowników Urzędu Miasta ustne wyjaśnienia, skontrolowano systemy informatyczne oraz dokonano oględzin pomieszczeń, w których odbywa się̨ przetwarzanie danych osobowych. Na podstawie zgromadzonego w toku kontroli materiału dowodowego ustalono, że w procesie przetwarzania danych osobowych Prezydent m.st. Warszawy, jako ich administrator, naruszył przepisy o ochronie danych osobowych. W związku z tym dniu 26 czerwca 2014 r. GIODO wydał decyzję [...], nakazującą Prezydentowi Miasta Stołecznego Warszawy usunięcie uchybień w procesie przetwarzania danych osobowych w zakresie: 1. zmodyfikowania klauzuli obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 ustawy o ochronie danych osobowych, zamieszczonej na formularzu wniosku o wydanie spersonalizowanej warszawskiej karty miejskiej/hologramu w taki sposób, aby wynikało z niej jednoznacznie, że administratorem danych osobowych przekazywanych za pomocą wspomnianego formularza, w przypadku, gdy osoba wnioskuje wyłącznie o hologram Karta Warszawiaka lub hologram Karta Młodego Warszawiaka, jest wyłącznie Prezydent m.st. Warszawy, w terminie 30 dni od dnia, w którym decyzja stanie się ostateczna, 2. uzupełnienia klauzuli obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 ustawy o ochronie danych osobowych, zamieszczonej na formularzu wniosku o wydanie spersonalizowanej warszawskiej karty miejskiej/hologramu poprzez wskazanie, dla weryfikacji jakich konkretnie uprawnień będą przetwarzane dane osobowe pozyskiwane za pomocą przedmiotowego formularza, w terminie 30 dni od dnia, w którym decyzja stanie się ostateczna, 3. zaprzestania pozyskiwania do wglądu danych w zakresie: numeru identyfikatora podatkowego (NIP) podatnika, informacji o wybranym przez podatnika sposobie opodatkowania, a ponadto danych osobowych małżonka podatnika w zakresie: numeru NIP, imienia, nazwiska, daty urodzenia oraz adresu miejsca zamieszkania, w związku z weryfikowaniem uprawnień do otrzymania "Karty Warszawiaka" lub "Karty Młodego Warszawiaka", w terminie 30 dni od dnia, w którym decyzja stanie się ostateczna, 4. zaprzestania przekazywania danych osobowych osób ubiegających się o "Kartę Warszawiaka" lub "Kartę Młodego Warszawiaka" do Ministerstwa Finansów w celu dokonania weryfikacji w Centralnym Rejestrze Podmiotów - Krajowej Ewidencji Podatników, czy osoby te posiadały na dzień 31 grudnia roku poprzedzającego rok, w którym złożyły wniosek o hologram, adres miejsca zamieszkania na terenie m.st. Warszawy, w terminie od dnia, w którym decyzja stanie się ostateczna, 5. zaprzestania pozyskiwania danych osobowych z Centralnego Rejestru Podmiotów - Krajowej Ewidencji Podatników w celu weryfikowania uprawnień do otrzymania "Karty Warszawiaka" lub "Karty Młodego Warszawiaka", w terminie od dnia, w którym decyzja stanie się ostateczna. W pozostałym zakresie postępowanie umorzono. W dniu 14 lipca 2014 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął wniosek pełnomocnika Prezydenta Miasta Stołecznego Warszawy o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora nr DIS-DEC-600/14/48641. We wniosku tym pełnomocnik Prezydenta Miasta Stołecznego Warszawy zarzucił zaskarżonej decyzji naruszenie prawa materialnego, tj. art. 2 ust. 2 i art. 7 pkt 2 ustawy o ochronie danych osobowych oraz art. 7 i art. 77 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (aktualnie t.j. Dz. U. z 2017 r. poz. 1257 – powoływanej dalej jako k.p.a.) oraz wyniósł o uchylenie zaskarżonej decyzji w zakresie punktu 1, podpunktów 3, 4 i 5 oraz umorzenie postępowania w tym zakresie. W uzasadnieniu wniosku wskazywano m. in., że w procesie weryfikacji uprawnień do otrzymania "Karty Warszawiaka" lub "Karty Młodego Warszawiaka" polegającym na wglądzie w zeznanie podatkowe lub urzędowe potwierdzenie odbioru (UPO) nie dochodzi do przetwarzania danych osobowych podlegającego przepisom ustawy. Wgląd w dokument przedstawiony przez osobę zainteresowaną służy weryfikacji i uprawnienia do zniżki, a konkretnie sprawdzeniu, czy osoba ta rozlicza się z podatku dochodowego w Warszawie. Prezydent m. st. Warszawy posiada już określony zestaw danych osobowych zainteresowanego, a weryfikacja polega jedynie na wglądzie w przedstawiony przez niego dokument. Dlatego też, nie tylko nie dochodzi tu do przetwarzania danych osobowych w rozumieniu art. 7 pkt 2 ustawy, ale w ogóle przepisy ustawy nie mają do owego wglądu zastosowania. Przede wszystkim Prezydent m.st. Warszawy nie zbiera tych danych w procesie weryfikacji uprawnień. Jedyną informacją, jaka wynika z wglądu w zeznanie i którą Prezydent m. st. Warszawy sprawdza (choć jej nie utrwala w żaden sposób) jest potwierdzenie, że dana osoba rozlicza się z podatków w Warszawie. Informacja ta jednak nie trafia do zbioru danych Prezydenta m.st. Warszawy. Argumentowano również, że nawet gdyby uznać, że ustawa ma zastosowanie do procedury wglądu w zeznanie podatkowe/UPO, to nie dochodzi tu do przetwarzania danych osobowych. Zgodnie z art. 7 pkt 2 ustawy o ochronie danych osobowych, przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Intencją ustawodawcy było objęcie definicją przetwarzania danych całego zakresu czynności, które mogą być wykonane na danych osobowych. Pierwszą czynnością musi być jednak pozyskanie danych. Tymczasem w omawianym przypadku nie dochodzi do pozyskania danych, o których mowa w nakazie sformułowanym w punkcie 1 podpunkcie 3 zaskarżonej decyzji. W ocenie Prezydenta Warszawy, istotą wglądu w celu weryfikacji uprawnień jest bowiem jedynie sprawdzenie cech dokumentu pod kątem jego wiarygodności oraz imienia i nazwiska zainteresowanego. Podczas weryfikacji nie dochodzi do utrwalenia jakichkolwiek informacji, zarówno tych zawartych w dokumentach przedstawionych przez zainteresowanego, jak i informacji potwierdzającej uprawnienia zainteresowanego. Poza tym Prezydent m. st. Warszawy wskazywał na uchybienia w zakresie przeprowadzenia postępowania dowodowego (art. 7 i 77 § 1 k.p.a.) twierdząc, że GIODO nie zbadał charakteru podstaw prawnych współpracy pomiędzy Prezydentem m. st. Warszawy a Ministrem Finansów. Analizując umowę zawartą w dniu 23 listopada 2013 r. GIODO doszedł jedynie do wniosku, że de facto nie miała ona charakteru umowy powierzenia przetwarzania danych osobowych. Prezydent m. st. Warszawy w toku postępowania wskazywał, iż nawet gdyby uznać, że zastosowano nieprawidłowo konstrukcję powierzenia przetwarzania danych, a w istocie doszło do przekazania danych osobowych pomiędzy dwoma administratorami danych, to jeszcze nie oznacza nieważności takiej czynności. Należy bowiem zbadać, czy administratorzy legitymują się co najmniej jedną z podstaw prawnych określonych w art. 23 ust. 1 ustawy. Wnioskodawca twierdził przy tym, że przesłanki legalności po stronie przekazującego i odbiorcy powinny zostać poddane odrębnej analizie. Dobrowolnie i świadomie wyrażona zgoda na weryfikację danych daje Prezydentowi m. st. Warszawy pełne prawo do weryfikacji uprawnień, poprzez uzyskanie potwierdzenia zarówno na podstawie wglądu w zeznanie podatkowe/UPO jak i na podstawie informacji od Ministra Finansów. Ponadto GIODO uznał również przesłankę wynikającą z art. 23 ust. 1 pkt 2 przyznając, że akty prawa miejscowego w powiązaniu z odpowiednimi przepisami ustaw samorządowych oraz przepisami konstytucyjnymi, stanowią podstawę do weryfikacji uprawnień w ramach programu. GIODO nie wyjaśnił jednak, dlaczego uznaje przekazywanie przez Prezydenta m.st. Warszawy danych Ministrowi Finansów oraz uzyskiwanie od niego potwierdzenia faktu rozliczania się w urzędzie skarbowym na terenie m.st. Warszawy, za sprzeczne z prawem. Poza powyższym Prezydent m. st. Warszawy podnosił, że GIODO uznał, iż wymiana danych i informacji z Ministrem Finansów nie może mieć miejsca z uwagi na przepisy dotyczące ewidencji podatników. W art. 14 ust. 2 pkt 2 ustawy z dnia 13 października 1995 r. o zasadach ewidencji i identyfikacji podatników i płatników (aktualnie t.j. Dz. U. z 2017 r. poz. 869 – powoływanej dalej jako ustawa o zasadach ewidencji i identyfikacji podatników i płatników) mowa jest natomiast o dwóch rodzajach czynności: weryfikacji danych oraz porównaniu ich z rejestrami urzędowymi. Prowadzony przez Prezydenta m.st. Warszawy zbiór danych o nazwie "Posiadacze Karty Warszawiaka i Karty Młodego Warszawiaka" nie jest rejestrem urzędowym, zatem dane z CRP KEP (Centralny Rejestr Podmiotów Krajowej Ewidencji Podatników) nie mogą być przedmiotem porównania z danymi z tego zbioru. GIODO nie wyjaśnił jednak, dlaczego Prezydent m. st. Warszawy nie może dokonywać weryfikacji danych, o której mowa w tym przepisie. Zdaniem wnioskodawcy, nie stoi na przeszkodzie takiej weryfikacji ograniczona lista odbiorców danych z CRP KEP określona w art. 15 ust. 2 ww. ustawy (nie figurują na niej organy jednostek samorządu terytorialnego). Weryfikacja uprawnień do zniżki nie prowadziła bowiem do przekazania Prezydentowi m.st. Warszawy jakichkolwiek danych zawartych z CRP KEP, a jedynie do weryfikacji, o której mowa we wspomnianym art. 14 ust. 2 pkt 2. Powyższa kwestia powinna zostać wyjaśniona, ponieważ nie jest wykluczone, że intencją ustawodawcy było stworzenie możliwości weryfikacji danych w CRP KEP przez podmioty niewymienione w art. 15 ust. 2 ww. ustawy, W konkluzji wniosku wskazano, że Prezydent m.st. Warszawy zrealizuje nakazy określone w pkt 1-2 decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia 26 czerwca 2014 r. nr [...]. W dniu 29 sierpnia 2014 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęło pismo pełnomocnika Prezydenta Miasta Stołecznego Warszawy z dnia 27 sierpnia 2014 r. (znak: [...]), informujące o uzupełnieniu obowiązku informacyjnego zamieszczonego na formularzu wniosku o wydanie spersonalizowanej warszawskiej karty miejskiej/hologramu, poprzez wydanie Zarządzenia Nr 18/2014 Dyrektora Zarządu Transportu Miejskiego z dnia 1 sierpnia 2014 r. w sprawie zasad i trybu przyjmowania wniosków o wydanie potwierdzenia uprawnień do Biletu Warszawiaka, Biletu Młodego Warszawiaka, Ulgowego Biletu Warszawiaka oraz dla realizacji Programu "Warszawska Karta Rodziny" (formularze wniosków stanowią załączniki do ww. Zarządzenia). Decyzją z dnia 2 października 2014 r., DIS/DEC-964/14/77489 Generalny Inspektor Ochrony Danych Osobowych po przeprowadzeniu postępowania administracyjnego o ponowne rozpatrzenie sprawy zakończonej swoją decyzją z dnia 26 czerwca 2014 r. nr [...]5, nakazującą usunięcie uchybień w procesie przetwarzania danych osobowych przez Prezydenta Miasta Stołecznego Warszawy uchylił zaskarżoną decyzję w zakresie nakazu określonego w punkcie 1, podpunktach 1, 2 i 3 i umorzył postępowanie w tym zakresie. W pozostałym zakresie zaskarżona decyzja została utrzymana w mocy. W uzasadnieniu decyzji GIODO wskazywał, że zgodnie z art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych, administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem. Zgodnie zaś z art. 31 ust. 1 ustawy, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (art. 31 ust. 2 ustawy). W przypadku zatem, gdy administrator danych skorzysta z upoważnienia wynikającego z brzmienia powołanego przepisu, dochodzi do zlecenia "na zewnątrz" przetwarzania danych osobowych. Podmiot, któremu administrator danych powierzył przetwarzanie danych osobowych, może je jednak przetwarzać wyłącznie w przewidzianym umową zakresie i w określonym w umowie celu (art. 31 ust. 2 ustawy). Z ustaleń poczynionych przez GIODO wynika tymczasem, że w dniu 27 listopada 2013 r. została zawarta pomiędzy Prezydentem m.st. Warszawy a Ministrem Finansów "umowa powierzenia przetwarzania danych osobowych" w sprawie współpracy w zakresie weryfikacji uprawnień osób zamierzających skorzystać z przyznanych zniżek lub ulg na zasadach określonych uchwałami Rady m.st. Warszawy. Zgodnie z postanowieniami wspomnianej umowy, Prezydent m.st. Warszawy oraz Minister Finansów powierzają sobie wzajemnie dane osobowe do przetwarzania, tj. Prezydent m.st. Warszawy - podając dane osobowe osób ubiegających się o wydanie "Karty Warszawiaka" lub "Karty Młodego Warszawiaka" w zakresie: imienia, nazwiska, nr PESEL, a w przypadku cudzoziemców: imienia, nazwiska, daty urodzenia oraz NIP-u - kieruje do Ministra Finansów zapytanie czy dana osoba, posiadała na dzień 31 grudnia roku poprzedzającego rok, w którym złożyła wniosek o hologram, adres miejsca zamieszkania na terenie m.st. Warszawy. Natomiast Minister Finansów uzupełnia przekazane dane osobowe poprzez podanie w kolumnie dotyczącej miejsca zamieszkania "tak", w przypadku gdy dana osoba posiadała w Centralnym Rejestrze Podmiotów Krajowej Ewidencji Podatników (CRP KEP) na dzień 31 grudnia roku poprzedzającego rok, w którym złożyła wniosek o hologram, adres miejsca zamieszkania na terenie m.st. Warszawy lub "nie", w przypadku gdy takiego adresu nie posiadała. Jak wynika ze wspomnianej umowy, przekazane przez Ministra Finansów dane są wykorzystane przez Prezydenta m.st. Warszawy wyłącznie w celu rozpatrzenia wniosków osób zainteresowanych przyznaniem zniżek lub ulg przy zakupie biletów komunikacji miejskiej określonych w uchwałach Rady Miasta Stołecznego Warszawy z dnia 3 października 2013 r.: Nr LXVI/1806/2013 i Nr LXVI/1807/13. W związku z tym GIODO wskazał, że instytucja powierzenia przetwarzania danych daje administratorowi danych możliwość zlecenia innemu podmiotowi wykonywania wszelkich operacji na danych osobowych, takich jak: zbieranie, utrwalanie, przechowywanie itp. Jednakże podkreślić należy, że wszystkie te operacje powinny być wykonywane na rzecz administratora danych i na danych w tych celach powierzonych. W opisanym wyżej stanie faktycznym Prezydent m. st. Warszawy przekazuje Ministrowi Finansów dane osobowe osób ubiegających się o "Kartę Warszawiaka" lub "Kartę Młodego Warszawiaka", jednak celem przekazania tych danych nie jest w istocie wykonywanie w imieniu i na rzecz Prezydenta m.st. Warszawy operacji na powierzonych danych osobowych, ale pozyskanie dodatkowych informacji o osobach, których przekazane dane dotyczą, ze zbioru prowadzonego przez Ministra Finansów, jako administratora danych. W związku z powyższym stwierdzono, że przedmiotem umowy powierzenia przetwarzania danych osobowych zawartej w dniu 27 listopada 2013 r. pomiędzy Prezydentem m. st. Warszawy a Ministrem Finansów, wbrew jej nazwie, nie jest w istocie powierzenie przetwarzania danych osobowych w myśl art. 31 ust. 1 ustawy, lecz udostępnienie danych innemu podmiotowi w celu pozyskania danych z prowadzonego przez niego zbioru danych. W uzasadnieniu wcześniejszej decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia 26 czerwca 2014 r., nr DIS-DEC-600/14/48641, słusznie zatem wskazano, że zawarta pomiędzy Prezydentem m. st. Warszawy a Ministrem Finansów umowa powierzenia przetwarzania danych osobowych w sprawie współpracy w zakresie weryfikacji uprawnień osób zamierzających skorzystać z przyznanych zniżek lub ulg na zasadach określonych uchwałami Rady m. st. Warszawy, nie stanowi dla Prezydenta m.st. Warszawy podstawy, o której mowa w art. 31 ust. 1 ustawy, do przekazywania Ministrowi Finansów danych osobowych osób ubiegających się o "Kartę Warszawiaka" lub "Kartę Młodego Warszawiaka". Ponadto w związku z tym, że Prezydent m. st. Warszawy nie przetwarza pozyskanych od Ministra Finansów danych osobowych w imieniu i na rzecz Ministra Finansów, lecz wykorzystuje je do realizacji własnych celów (weryfikacja uprawnień do otrzymania "Karty Warszawiaka" lub "Karty Młodego Warszawiaka"), to wspomniana umowa nie stanowi podstawy, o której mowa w art. 31 ust. 1 ustawy, do pozyskiwania przez Prezydenta m. st. Warszawy danych dotyczących zamieszkiwania na terenie m. st. Warszawy przez osoby ubiegające się o hologram (poprzez wskazanie "tak" lub "nie"). W związku z powyższym, Prezydent m.st. Warszawy w odniesieniu do przedmiotowych danych nie posiada statusu podmiotu, któremu powierzono ich przetwarzanie w myśl art. 31 ustawy. Konkludując tę część wywodu GIODO stwierdził, że w omawianym przypadku dochodzi do udostępniania przez Prezydenta m. st. Warszawy danych osobowych osób ubiegających się o "Kartę Warszawiaka" lub "Kartę Młodego Warszawiaka" Ministrowi Finansów w celu pozyskania dodatkowych informacji o osobach, których przekazane dane dotyczą, ze zbioru prowadzonego przez Ministra Finansów oraz do udostępniania przez Ministra Finansów z CRP KEP Prezydentowi m. st. Warszawy informacji na temat zamieszkiwania na terenie m. st. Warszawy przez osoby ubiegające się o hologram (poprzez wskazanie "tak" lub "nie") w celu weryfikacji uprawnień do otrzymania "Karty Warszawiaka" lub "Karty Młodego Warszawiaka". W dalszej części uzasadnienia decyzji wskazywano, że Prezydent m. st. Warszawy słusznie wskazuje, że w analizowanym przypadku dochodzi do wykorzystywania danych osobowych pochodzących ze zbioru Centralny Rejestr Podmiotów - Krajowa Ewidencja Podatników (CRP KEP) dla celów realizacji projektu "Karta Warszawiaka" i "Karta Młodego Warszawiaka". Centralny Rejestr Podmiotów - Krajowa Ewidencja Podatników jest prowadzony przez Ministra Finansów na podstawie ustawy o zasadach ewidencji i identyfikacji podatników i płatników. Ustawa ta określa, w jakim celu CRP KEP jest prowadzony, jakie podmioty mają do niego dostęp oraz jakim podmiotom dane z CRP KEP są udostępniane. W myśl art. 14 ust. 2 powołanej ustawy, CRP KEP służy: 1) gromadzeniu wybranych danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających: a) ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów, b) z niektórych dokumentów związanych z obowiązkami wynikającymi z przepisów podatkowych; 2) weryfikacji danych, o których mowa w pkt 1, oraz porównaniu ich z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów. Według zaś założeń ustawodawcy CRP KEP powinien zapewnić: 1) identyfikację podmiotów przez gromadzenie danych ewidencyjnych pochodzących z rejestru PESEL, 2) identyfikację podatników w ramach całego kraju przez gromadzenie i weryfikację danych wynikających ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów, 3) spójność i poprawność dla całego systemu ewidencji podatników przez zintegrowanie w jednym miejscu pochodzących z różnych urzędów skarbowych danych ewidencyjnych podmiotów, 4) usprawnienie i przyspieszenie procesu rejestracji podmiotów i nadawania NIP oraz wykorzystywanie danych w nim zgromadzonych do realizacji celów i zadań ustawowych, tj.: Ministrowi Finansów, dyrektorom izb skarbowych, naczelnikom urzędów skarbowych, Szefowi Służby Celnej, dyrektorom izb celnych, naczelnikom urzędów celnych, organom kontroli skarbowej oraz Generalnemu Inspektorowi Informacji Finansowej (zob. uzasadnienie projektu ustawy nowelizującej z 29 lipca 2011 r., druk sejmowy nr 4159, www.seim.gov.pl. Zgodnie z art. 14a ustawy o zasadach ewidencji i identyfikacji podatników i płatników, podmiotami upoważnionymi na mocy ustawy do ciągłego wykorzystywania danych z CRP KEP w związku z realizacją celów i zadań ustawowych są: Minister Finansów, dyrektorzy izb skarbowych, naczelnicy urzędów skarbowych, Szef Służby Celnej, dyrektorzy izb celnych, naczelnicy urzędów celnych, organy kontroli skarbowej oraz Generalny Inspektor Informacji Finansowej. Odmienną sytuację stanowi udostępnianie danych m.in. sądom, prokuratorom, organom podatkowym, organom celnym, przedstawicielom Najwyższej Izby Kontroli, Policji, Agencji Bezpieczeństwa Wewnętrznego, Centralnego Biura Antykorupcyjnego, Służby Kontrwywiadu Wojskowego i Żandarmerii Wojskowej - w związku z prowadzonym postępowaniem, co następuje na ich żądanie (art. 15 ust. 2 ww. ustawy). Mając na uwadze powyższe wskazano, że w żadnym ze wspomnianych celów funkcjonowania CRP KEP nie mieści się dokonywanie weryfikacji danych, które nie pochodzą z rejestrów urzędowych, na zlecenie innych podmiotów w oparciu o dane w nim zawarte. Ustawodawca ograniczył bowiem możliwość porównywania danych zgromadzonych w CRP KEP z innymi danymi wyłącznie do rejestrów urzędowych prowadzonych na podstawie odrębnych przepisów. Rejestry urzędowe są zaś definiowane w przepisach, na podstawie których są prowadzone. Nie ulega wątpliwości, że zbiór danych o nazwie "Posiadacze Karty Warszawiaka i Karty Młodego Warszawiaka" (nr zgłoszenia R 027406/13) nie jest rejestrem urzędowym. Skoro z przepisów regulujących funkcjonowanie CRP KEP nie wynika możliwość wykorzystywania danych w nim zgromadzonych w celu weryfikowania uprawnień do zniżek lub ulg przewidzianych w ramach programu "Karta Warszawiaka" i "Karta Młodego Warszawiaka" prowadzonego przez Prezydenta m. st. Warszawy, Minister Finansów nie ma podstaw prawnych do przetwarzania danych osobowych zgromadzonych w rejestrze CRP KEP w tym celu, w tym do ich udostępniania z przedmiotowego zbioru dla wspomnianych celów. W konsekwencji Prezydent m. st. Warszawy nie jest uprawniony do pozyskiwania tych danych dla realizacji celu, jakim jest weryfikacja uprawnień do otrzymania hologramu "Karta Warszawiaka" lub "Karta Młodego Warszawiaka". Ponadto, skoro Minister Finansów nie jest uprawniony do wykorzystywania danych zgromadzonych w CRP KEP w celu dokonywania weryfikacji, czy osoby ubiegające się o "Kartę Warszawiaka" lub "Kartę Młodego Warszawiaka" posiadały na dzień 31 grudnia roku poprzedzającego rok, w którym złożyły wniosek o hologram, adres miejsca zamieszkania na terenie m.st. Warszawy, po stronie Prezydenta m.st. Warszawy brak jest również podstaw do udostępniania Ministrowi Finansów danych osobowych osób ubiegających się o hologram w celu przeprowadzenia takiej weryfikacji. Poza powyższym GIODO wskazywał, że mając na uwadze treść art. 15 ust. 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, zgodnie z którym dane zgromadzone w CRP KEP udostępnia się m.in. organom podatkowym, Prezydent m.st. Warszawy wykonując uchwały Rady Miasta Stołecznego Warszawy Nr LXVI/1807/2013 oraz nr LXVI/1806/2013 (w sprawie opłat za usługi przewozowe środkami lokalnego transportu zbiorowego w m.st. Warszawie), nie występuje jako organ podatkowy w myśl przepisów ustawy z dnia 12 stycznia 1991 r. o podatkach i opłatach lokalnych (Dz. U. 2010 r. Nr 95 poz. 613 z późn. zm.). Odnosząc się natomiast do zarzutu, jakoby Generalny Inspektor Ochrony Danych Osobowych nie zbadał, czy Minister Finansów oraz Prezydent m.st. Warszawy legitymują się co najmniej jedną z przesłanek określonych w art. 23 ust. 1 ustawy, które umożliwiałyby wymianę danych niezbędną do weryfikacji uprawnień do otrzymania hologramu "Karta Warszawiaka" lub "Karta Młodego Warszawiaka", wskazywano, że przepisy ustawy o zasadach ewidencji identyfikacji podatników i płatników, w zakresie dotyczącym celu przetwarzania danych zgromadzonych w CRP KEP, jak również udostępniania danych z przedmiotowego rejestru, przewidują dalej idącą ochronę niż wynikająca z ustawy o ochronie danych osobowych. Dlatego też, stosownie do art. 5 ustawy, przepisy te wyłączają stosowanie przepisów ustawy o ochronie danych osobowych odnoszących się do kwestii dopuszczalności przetwarzania danych osobowych (art. 23 ustawy). GIODO podał również, że we wniosku o ponowne rozpatrzenie sprawy Prezydent m. st. Warszawy wskazał, że prowadzony przez niego zbiór danych "Posiadacze Karty Warszawiaka i Karty Młodego Warszawiaka" (nr zgłoszenia R 027406/13) nie jest wprawdzie rejestrem urzędowym, co powoduje, że dane z CRP KEP nie mogą być przedmiotem porównania z danymi z tego zbioru, jednakże Generalny Inspektor Ochrony Danych Osobowych nie wyjaśnił dlaczego Prezydent m. st. Warszawy nie może dokonywać weryfikacji danych, o której mowa w art. 14 ust. 2 pkt 2 ustawy; weryfikacja ta nie prowadzi bowiem do przekazania Prezydentowi m. st. Warszawy jakichkolwiek danych zawartych z CRP KEP. Odnosząc się do tego argumentu GIODO wskazał, że przekazywane przez Ministra Finansów informacje w ramach wymiany danych z Prezydentem m. st. Warszawy potwierdzają (lub nie) fakt zamieszkiwania na terenie Warszawy przez osoby, których zapytanie dotyczy (zapytanie zawiera dane tych osób w zakresie: imienia, nazwiska, numeru PESEL, a w przypadku cudzoziemców: imienia, nazwiska, daty urodzenia oraz NIP-u). Są to zatem informacje dotyczące zidentyfikowanych osób w związku z czym, stosownie do treści art. 6 ust. 1 ustawy, stanowią one dane osobowe w rozumieniu ustawy. Odnosząc się natomiast do argumentacji, że GIODO nie wyjaśnił, dlaczego Prezydent m. st. Warszawy nie może dokonywać weryfikacji danych, o której mowa w art. 14 ust. 2 pkt 2 ustawy, wskazano ponownie na treść art. 14 ust. 1 ustawy o zasadach ewidencji i identyfikacji podatników i płatników. Z treści przytoczonego przepisu wynika, że weryfikacja, o której w nim mowa (pkt 2), dotyczy wyłącznie danych, które są gromadzone w CRP KEP (o których mowa w pkt 1 tego artykułu). Z tego względu nie jest możliwe, aby dane zgromadzone w CRP KEP były wykorzystywane do dokonywania weryfikacji danych dotyczących osób ubiegających się o hologram - zgromadzonych w zborze danych o nazwie "Posiadacze Karty Warszawiaka i Karty Młodego Warszawiaka" (nr zgłoszenia R 027406/13). W dalszej części uzasadnienia decyzji wskazywano, że po dokonaniu ponownej analizy materiału dowodowego zgromadzonego w niniejszej sprawie, GIODO uwzględnił przedstawione przez Prezydenta m.st. Warszawy argumenty dotyczące sposobu weryfikowania uprawnień do otrzymania "Karty Warszawiaka" lub "Karty Młodego Warszawiaka", z których wynika, że: weryfikacja uprawnień do otrzymania hologramu "Karta Warszawiaka" lub "Karta Młodego Warszawiaka" na podstawie okazanej przez wnioskodawcę kopii pierwszej strony zeznania podatkowego następuje jedynie poprzez wgląd w informacje zawarte w tym dokumencie, którego celem jest wyłącznie potwierdzenie, że osoba wnioskująca o hologram rozlicza się z podatku dochodowego we właściwym urzędzie skarbowym na terenie m. st. Warszawy; w procesie weryfikacji uprawnień, nie dochodzi natomiast do utrwalania żadnych danych, ani tym bardziej do dalszego przetwarzania danych zawartych w okazanej do wglądu kopii pierwszej strony zeznania podatkowego. Z tego też względu, GIODO uznał, że określony przez Prezydenta m. st. Warszawy sposób weryfikacji uprawnień do otrzymania "Karty Warszawiaka" lub "Karty Młodego Warszawiaka", polegający wyłącznie na wglądzie w informacje zawarte w kopii pierwszej strony zeznania podatkowego celem potwierdzenia, że osoba wnioskująca o hologram rozlicza się z podatku dochodowego we właściwym urzędzie skarbowym na terenie m. st. Warszawy, nie prowadzi do pozyskania danych osobowych, które byłyby nieadekwatne w stosunku do celów, dla których są zbierane, a tym samym nie narusza zasady adekwatności zawartej w art. 26 ust. 1 pkt 3 ustawy. Jednocześnie na podstawie przedstawionych przez Prezydenta m. st. Warszawy dowodów uznano, że organ ten usunął pozostałe uchybienia stanowiące przedmiot postępowania administracyjnego zakończonego decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia 26 czerwca 201 r. nr DIS-DEC-600/14/48641, tj.: zmodyfikowana została klauzula obowiązku informacyjnego, o którym mowa w art. 24 w art. 24 § 1 ustawy, zamieszczona na formularzu wniosku o wydanie spersonalizowanej warszawskiej karty miejskiej/hologramu (...) w taki sposób, że wskazano, iż administratorem danych osobowych przekazywanych za pomocą ww. formularza, w przypadku, gdy osoba wnioskuje wyłącznie o hologram Karta Warszawiaka lub hologram Karta Młodego Warszawiaka, jest wyłącznie Prezydent m.st. Warszawy, uzupełniona została klauzula obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 ustawy, zamieszczona na formularzu wniosku o wydanie spersonalizowanej warszawskiej karty miejskiej/hologramu (...) poprzez wskazanie, że dane osobowe pozyskiwane za pomocą przedmiotowego formularza będą przetwarzane dla weryfikacji uprawnień objętych ww. wnioskiem, a przewidzianych w konkretnie przywołanych uchwałach Rady m.st. Warszawy tj.: uchwale Nr LXVI/1806/2013 Rady m.st. Warszawy z dnia 3 października 2013 r. (...), uchwale XXVI/858/2008 Rady m.st. Warszawy z dnia 13 marca 2008 r. (...) i uchwale Nr LXVI/1808/2013 Rady Miasta Stołecznego Warszawy z dnia 3 października 2013 r. w sprawie przyjęcia programu "Warszawska Karta Rodziny" (...). Z tych też względów decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia 26 czerwca 2014 r., nr DIS-DEC-600/14/48641, w zakresie nakazu określonego w punkcie 1, podpunktach 1, 2 i 3 została uchylona i umorzono postępowanie w tym zakresie. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie Prezydent M. St. Warszawy wniesiono o uchylenie decyzji i zarzucono jej: 1) naruszenie przepisów prawa materialnego, tj. art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w związku z art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników poprzez ich błędne zastosowanie polegające na uznaniu, że weryfikacja danych w Centralnym Rejestrze Podmiotów Krajowej Ewidencji Podatników nie obejmuje możliwości weryfikacji uprawnień do zniżek w dobrowolnych projektach i programach organizowanych przez organy administracji publicznej w ramach działalności o charakterze organizatorskim, 2) naruszenie przepisu prawa materialnego, tj. art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych poprzez uznanie, że na podstawie zgody na przetwarzanie danych osobowych udzielanej skarżącemu przez osoby ubiegające się o "Kartę Warszawiaka" oraz "Kartę Młodego Warszawiaka", skarżący nie był uprawniony do udostępniania danych osobowych tych osób Ministrowi Finansów w celu odpytania CRP KEP, czy osoba, której dotyczy zapytanie posiadała w Centralnym Rejestrze Podmiotów - Krajowej Ewidencji Podatników na dzień 31 grudnia adres miejsca zamieszkania na terenie m.st. Warszawy, 3) naruszenie przepisu prawa materialnego, tj. art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych poprzez jego niezastosowanie, a tym samym uznanie, że przesłanka wykonywania zadań dla dobra publicznego nie stanowi samodzielnej podstawy prawnej do weryfikacji przez Prezydenta m. st. Warszawy w CRP KEP uprawnień do zniżek, 4) naruszenie przepisu prawa materialnego, tj. art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych poprzez jego niezastosowanie a tym samym uznanie, że Prezydent m. st. Warszawy i Minister Finansów nie mają usprawiedliwionego celu w weryfikacji uprawnień do zniżek za przejazdy; 5) naruszenie przepisu postępowania, tj. art. 28 k.p.a., poprzez nieuznanie Ministra Finansów za stronę niniejszego postępowania, pomimo, iż weryfikacja uprawnień do zniżek odbywa się poprzez wymianę informacji pomiędzy skarżącym a Ministrem Finansów na podstawie łączącej strony umowy, 6) naruszenie przepisów postępowania, tj. art. 7 i 77 § 1 k.p.a. poprzez brak należytej weryfikacji podstaw prawnych współpracy pomiędzy skarżącym a Ministrem Finansów, jak również nieuwzględnienie w toku prowadzonego postępowania interesu społecznego i słusznego interesu obywateli. W uzasadnieniu skargi argumentowano m.in., że działania o charakterze władczym charakteryzujące administrację reglamentacyjno-porządkową wymagają ścisłego uporządkowania ustawowego, zaś działania niewładcze są działaniami w granicach prawa, ale często znajdujące swoje oparcie wyłącznie w ogólnych normach zadaniowych. Program i przyjęte w ramach jego realizacji projekty należą w sposób oczywisty do kategorii działań organizatorskich, a przede wszystkim korzystanie z nich oparte jest na pełnej dobrowolności. Przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników w zakresie działań o charakterze organizatorskim nie mają pierwszeństwa przed ustawą o ochronie danych osobowych, a weryfikacja danych opiera się na kilku przesłankach wymienionych w art. 23 ust 1 ustawy o ochronie danych osobowych. W ocenie Prezydenta m. st. Warszawy nie można zgodzić się ze stanowiskiem, zgodnie z którym przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników zakazują weryfikacji danych w formie przyjętej w projekcie. Spełniona bowiem została przesłanka legalności przetwarzania danych osobowych, o której mowa w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, tj. realizacja uprawnień wynikających z przepisów prawa. Zgodnie z art. 14 ust. 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, CRP KEP służy: 1) gromadzeniu wybranych danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających: a) ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów, b) z niektórych dokumentów związanych z obowiązkami wynikającymi z przepisów podatkowych; 2. weryfikacji danych, o których mowa w pkt 1 oraz porównaniu ich z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów. Z kolei, art. 14a wskazuje, jakim podmiotom należącym do administracji skarbowej mogą zostać przekazane dane z CRP KEP, a art. 15 ust. 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników wskazuje inne podmioty uprawnione do otrzymywania tych danych. Zarówno art. 14a, jak i 15 ust. 2 nie mają żadnego związku z celami wskazanymi w art. 14 ust. 2, ponieważ cele dla których przekazuje się dane z rejestru innym podmiotom zostały wyraźnie określone: służą one działalności tych organów a nie weryfikacji danych w CRP KEP. W skardze do Sądu administracyjnego I instancji zwracano także uwagę, że w art. 14 ust 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników mowa jest o dwóch rodzajach czynności. Mianowicie - weryfikacji danych oraz porównaniu ich z rejestrami urzędowymi. Czynności te - w ocenie Prezydenta M. St. Warszawy - należy traktować odrębnie, jako samodzielne oraz niezależne kategorie działań. Jego zdaniem, nie budzi wątpliwości, że w zakresie gromadzenia wybranych danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających ze zgłoszeń identyfikacyjnych oraz określonych dokumentów podatkowych Minister właściwy do spraw finansów publicznych współpracuje z naczelnikami urzędów skarbowych, co wynika wprost z art. 14 ust. 3 oraz 8 ustawy o zasadach ewidencji i identyfikacji podatników i płatników. Wątpliwości pojawiają się w odniesieniu do celów i działań wskazanych w art. 14 ust. 2 pkt 2 w zakresie uznania, z jakimi podmiotami minister właściwy do spraw finansów publicznych uprawniony jest współpracować w ramach ich realizacji, przy czym podkreślenia raz jeszcze wymaga fakt, iż w ocenie Prezydenta M. St. Warszawy weryfikacja danych oraz porównanie danych zgromadzonych w CRP KEP z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów stanowią odrębne działania. Odnosząc się kolejno do celu w postaci weryfikacji danych zgromadzonych w CRP KEP Prezydent m. St. Warszawy podkreślał, że ustawodawca w żaden sposób nie ograniczył kręgu podmiotów, z którymi minister właściwy do spraw finansów publicznych uprawniony jest współpracować w celu jego realizacji. Należy zatem przyjąć, iż weryfikacja danych stanowi tym samym odrębny cel, o najszerszym zakresie, do realizacji którego podmiot prowadzący CRP KEP uprawniony jest bez ograniczeń przewidzianych w ustawie, w szczególności w zakresie podmiotów, z którymi może on współpracować dla jego realizacji. Za nieuzasadnione zatem należałoby uznać wykazywanie przez GIODO związku pomiędzy weryfikacją danych, o której mowa w art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, a katalogiem podmiotów wskazanych w art. 15 ust. 2 tej ustawy. W konkluzji uzasadnienia skargi wskazano, że weryfikacja danych, o których mowa w art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, stanowi uprawnienie administratora danych jakim jest Prezydent m. st. Warszawy do przetwarzania danych (w tym ich udostępnienia do CRP KEP) w rozumieniu art. 23 ust 1 pkt 2 ustawy ochronie danych osobowych. Wskazano również, że dane były przetwarzane za zgodą. W odpowiedzi na skargę GIODO wniósł o jej oddalenie, wskazując przy tym, że charakteru umowy nie zmienia fakt, że celem pozyskiwania danych z CRP KEP przez Prezydenta m. st. Warszawy była jedynie weryfikacja prawdziwości posiadanych przez niego danych dotyczących osób ubiegających się o "Kartę Warszawiaka" lub "Kartę Młodego Warszawiaka". Jego zdaniem, nie można się także zgodzić ze stanowiskiem, że weryfikacja prawdziwości danych uczestników projektu z wykorzystaniem danych z CRP KEP odbywała się w granicach przewidzianych przez art. 14 ust 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników. Weryfikacja, o której mowa w tym przepisie dotyczy wyłącznie danych, które są zgodne z tą ustawą gromadzone w CRP KEP. Poza powyższym GIODO wskazywał, że przekazywanie danych pomiędzy Prezydentem m. st. Warszawy, a Ministrem Finansów nie stanowi powierzenia przetwarzania danych osobowych w rozumieniu art. 31 ustawy o ochronie danych osobowych, bez udostępnienia danych. W analizowanej sprawie dochodzi do udostępnienia przez Prezydenta m. st. Warszawy danych osobowych osób ubiegających się o "Kartę Warszawiaka" lub "Kartę Młodego Warszawiaka". Celem przekazywania danych przez Prezydenta M. St. Warszawy Ministrowi Finansów nie jest w istocie zlecenie Ministrowi Finansów wykonywanie na rzecz Prezydenta m.st. Warszawy operacji na przekazanych danych osobowych, ale uzyskanie dodatkowych informacji o osobach, których przekazane dane dotyczą ze zbioru prowadzonego przez Ministra Finansów, ponadto Prezydent m. st. Warszawy również nie przetwarza pozyskanych od Ministra Finansów danych osobowych na rzecz Ministra Finansów, lecz wykorzystuje je do realizacji własnego celu. W ocenie GIODO zawarta w dniu 27 listopada 2013 r. pomiędzy Prezydentem m. st. Warszawy a Ministrem Finansów "umowa powierzenia przetwarzania danych osobowych" nie jest umową, o której mowa w art. 31 ustawy, ale jest to wzajemne udostępnianie danych osobowych, zaś udostępnianie danych z CRP KEP może odbywać się wyłącznie na zasadach określonych w ustawie o zasadach ewidencji i identyfikacji podatników i płatników. Wojewódzki Sąd Administracyjny w Warszawie oddalając zaskarżanym wyrokiem skargę Prezydenta m. st. Warszawy we wstępie przywołał szereg przepisów ustawy o ochronie danych osobowych znajdujących zastosowanie w rozpatrywanej sprawie. Następnie stwierdził, że doszło w niej do wykorzystywania danych osobowych pochodzących ze zbioru Centralny Rejestr Podmiotów - Krajowa Ewidencja Podatników (CRP KEP) prowadzonego przez Ministra Finansów dla celów realizacji projektu "Karta Warszawiaka" i "Karta Młodego Warszawiaka" przyjętego uchwałami Rady m. st. Warszawy z dnia 3 października 2013 r. Nr LXVI/1808/2013 i Nr LXVI/1806/2013, a konkretnie w celu weryfikacji uprawnień do otrzymania "Karty Warszawiaka" lub "Karty Młodego Warszawiaka". W celu uzyskania danych z CRP KEP na potrzeby wspomnianego projektu, Prezydent m.st. Warszawy - podając dane osobowe osób ubiegających się o wydanie "Karty Warszawiaka" lub "Karty Młodego Warszawiaka" w zakresie imienia, nazwiska, nr PESEL, a w przypadku cudzoziemców: imienia, nazwiska, daty urodzenia oraz NIP - kieruje do Ministra Finansów zapytanie, czy dana osoba, posiadała na dzień 31 grudnia roku poprzedzającego rok, w którym złożyła wniosek o hologram "Karta Warszawiaka" lub "Karta Młodego Warszawiaka" (dalej również "hologram"), adres miejsca zamieszkania na terenie m. st. Warszawy. Natomiast Minister Finansów uzupełnia przekazane dane osobowe poprzez podanie w kolumnie dotyczącej miejsca zamieszkania "tak", w przypadku gdy dana osoba posiadała w Centralnym Rejestrze Podmiotów - Krajowej Ewidencji Podatników (CRP KEP) na dzień 31 grudnia roku poprzedzającego rok, w którym złożyła wniosek o hologram, adres miejsca zamieszkania na terenie m.st. Warszawy lub "nie", w przypadku gdy takiego adresu nie posiadała. Sąd I instancji wskazał, że Centralny Rejestr Podmiotów - Krajowa Ewidencja Podatników (CRP KEP) jest prowadzony przez Ministra Finansów na podstawie ustawy o zasadach ewidencji i identyfikacji podatników i płatników. W myśl art. 14 ust. 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, CRP KEP służy określonym w nim celom. Podmiotami upoważnionymi do ciągłego wykorzystywania danych z CRP KEP w związku z realizacją celów i zadań ustawowych, zgodnie z art. 14a ustawy o zasadach ewidencji i identyfikacji podatników i płatników, są: Minister Finansów, dyrektorzy izb skarbowych, naczelnicy urzędów skarbowych, Szef Służby Celnej, dyrektorzy izb celnych, naczelnicy urzędów celnych, organy kontroli skarbowej oraz Generalny Inspektor Informacji Finansowej. Natomiast inne podmioty - ściśle wyartykułowane w art. 15 ust. 2 ww. ustawy - m.in. sądy, prokuratorzy, organy podatkowe, organy celne, przedstawiciele Najwyższej Izby Kontroli, Policji, Agencji Bezpieczeństwa Wewnętrznego, Centralnego Biura Antykorupcyjnego, Służby Kontrwywiadu Wojskowego i Żandarmerii Wojskowej - mogą wystąpić o ich udostępnienie. W tym miejscu Wojewódzki Sąd Administracyjny w Warszawie wskazał, że dane zgromadzone w CRP KEP objęte są tajemnicą skarbową (z wyłączeniem NIP i REGON). Stanowi o tym art. 15 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, który określa też krąg podmiotów zobowiązanych do przestrzegania tajemnicy skarbowej. Należy zatem wnioskować, że inne podmioty - niewymienione w tym przepisie - nie są upoważnione do wystąpienia o udostępnienie danych z CRP KEP. Wynika to z konieczności zagwarantowania ochrony danych objętych tajemnicą skarbową zgromadzonych w CRP KEP. W ocenie Sądu I instancji, z powołanych przepisów wynika zatem, że Prezydent m. st. Warszawy jest wprawdzie upoważniony do wystąpienia o udostępnienie danych z CRP KEP, jednak wyłącznie, gdy działa jako organ podatkowy w związku z prowadzonym postępowaniem. W związku z tym podkreślono, że Prezydent m. st. Warszawy wykonując uchwały Rady Miasta Stołecznego Warszawy Nr LXVI/1807/2013 oraz nr LXVI/1806/2013 (w sprawie opłat za usługi przewozowe środkami lokalnego transportu zbiorowego w m.st. Warszawie), nie występuje w roli organu podatkowego w myśl przepisów ustawy z dnia 12 stycznia 1991 r. o podatkach i opłatach lokalnych (Dz. U. 2010 r. Nr 95 poz. 613 z późn. zm.). Zatem, nie jest on jest upoważniony do występowania na podstawie art. 15 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, o udostępnienie danych z CRP KEP dla potrzeb realizacji projektu "Karta Warszawiaka" i "Karta Młodego Warszawiaka". Poza powyższym wskazano, że przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników, w zakresie dotyczącym celu przetwarzania danych zgromadzonych w CRP KEP, jak również udostępniania danych z przedmiotowego rejestru, przewidują dalej idącą ochronę niż wynikająca z ustawy o ochronie danych osobowych. Dlatego też, stosownie do art. 5 ustawy, do przetwarzania danych we wspomnianym zakresie stosuje się przepisy tej ustawy. Przepisy te wyłączają stosowanie przepisów ustawy o ochronie danych osobowych odnoszących się do kwestii dopuszczalności przetwarzania danych osobowych (art. 23 ustawy o ochronie danych osobowych). Z uwagi na powyższe wskazano, że skoro z przepisów regulujących funkcjonowanie CRP KEP nie wynika możliwość wykorzystywania danych w nim zgromadzonych w celu weryfikowania uprawnień do zniżek lub ulg przewidzianych w ramach programu "Karta Warszawiaka" i "Karta Młodego Warszawiaka" prowadzonego przez Prezydenta m. st. Warszawy, Minister Finansów nie ma podstaw prawnych do przetwarzania danych osobowych zgromadzonych w rejestrze CRP KEP we wspomnianym celu, w tym do ich udostępniania z przedmiotowego zbioru. Ponadto, Prezydent m. st. Warszawy nie jest uprawniony do pozyskiwania tych danych dla realizacji celu, jakim jest weryfikacja uprawnień do otrzymania hologramu "Karta Warszawiaka" lub "Karta Młodego Warszawiaka", a co za tym idzie, brak jest podstaw do udostępniania danych uczestników programu "Karta Warszawiaka" lub "Karta Młodego Warszawiaka" w celu pozyskania informacji o tych osobach z CRP KEP. Podkreślono przy tym, że z treści art. 14 ust. 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników wynika, że CRP KEP służy określonym celom, w tym weryfikacji danych, o których mowa w pkt 1, oraz porównaniu ich z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów. Wobec tego weryfikacja, o której w nim mowa (w pkt 2) dotyczy wyłącznie danych, które są gromadzone w CRP KEP, tj.: danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów oraz z niektórych dokumentów związanych z obowiązkami wynikającymi z przepisów podatkowych. Dlatego też, skoro ustawa o zasadach ewidencji i identyfikacji podatników i płatników nie przewiduje takiej możliwości, brak jest podstaw do wykorzystywania danych zgromadzonych w CRP KEP w celu dokonywania weryfikacji danych dotyczących osób ubiegających się o hologram "Karta Warszawiaka" lub "Karta Młodego Warszawiaka" - zgromadzonych w zbiorze danych o nazwie "Posiadacze Karty Warszawiaka i Karty Młodego Warszawiaka" (nr zgłoszenia R 027406/13). W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, przekazywane przez Ministra Finansów informacje w ramach wymiany danych z Prezydentem m.st. Warszawy potwierdzają (lub nie) fakt zamieszkiwania na terenie Warszawy przez osoby, których dotyczy zapytanie kierowane przez Prezydenta m.st. Warszawy. Zapytanie to zawiera dane identyfikujące te osoby w zakresie imienia, nazwiska, nr PESEL, a w przypadku cudzoziemców: imienia, nazwiska, daty urodzenia oraz NIP-u. W związku z powyższym przekazywane przez Ministra Finansów informacje na temat zamieszkiwania (bądź nie) na terenie Warszawy przez osoby, których zapytanie dotyczy, odnoszą się do zidentyfikowanych osób. Nie budzi zatem wątpliwości Sądu I instancji, że stosownie do treści art. 6 ust. 1 ustawy, informacja na temat zamieszkiwania (bądź nie) na terenie Warszawy przez zidentyfikowaną osobę, stanowi dane osobowe w rozumieniu ustawy. W związku z powyższym należy stwierdzić, iż w ramach współpracy pomiędzy Prezydentem m.st Warszawy a Ministrem Finansów miało miejsce udostępnianie danych osobowych z CRP KEP na potrzeby projektu "Karta Warszawiaka" i "Kartę Młodego Warszawiaka", do którego to udostępnienia ma zastosowanie art. 15 ustawy o zasadach ewidencji i identyfikacji podatników i płatników określający m.in. katalog podmiotów, którym mogą zostać udostępnione dane z CRP KEP. Faktu tego nie zmienia okoliczność, że celem pozyskiwania danych z CRP KEP przez Prezydenta m.st. Warszawy była jedynie weryfikacja prawdziwości posiadanych przez niego danych dotyczących osób ubiegających się o "Kartę Warszawiaka" lub "Kartę Młodego Warszawiaka" (pozyskanych od osób, których dotyczą). Podkreślono przy tym, że umowa zawarta w dniu 23 listopada 2013 r. nie miała charakteru umowy powierzenia przetwarzania danych osobowych, bowiem nie spełnia ona warunków opisanych w art. 31 ustawy o ochronie danych osobowych. Wobec tego przekazywanie danych pomiędzy Prezydentem m. st. Warszawy, a Ministrem Finansów nie stanowi powierzenia przetwarzania danych osobowych w rozumieniu art. 31 ustawy o ochronie danych osobowych, lecz udostępnienie danych. Powołany przepis upoważnia administratora danych do powierzenia przetwarzania danych osobowych innemu podmiotowi w drodze umowy zawartej na piśmie. Istotą instytucji powierzenia przetwarzania danych jest jednak to, że wszystkie zlecone przez administratora danych operacje na danych powinny być wykonywane na rzecz administratora danych, na danych w tych celach przez niego powierzonych. W analizowanym przypadku dochodzi natomiast do udostępniania przez Prezydenta m. st. Warszawy danych osobowych osób ubiegających się o "Kartę Warszawiaka" lub "Kartę Młodego Warszawiaka" Ministrowi Finansów w celu pozyskania informacji o osobach, których przekazane dane dotyczą, ze zbioru prowadzonego przez Ministra Finansów oraz do udostępniania. Sąd I instancji podzielił stanowisko GIODO, zgodnie z którym, celem przekazywania danych przez Prezydenta m. st. Warszawy Ministrowi Finansów nie jest w istocie zlecenie Ministrowi Finansów wykonywania na rzecz Prezydenta m.st. Warszawy operacji na przekazanych danych osobowych, ale uzyskanie dodatkowych informacji o osobach, których przekazane dane dotyczą, ze zbioru prowadzonego przez Ministra Finansów, jako administratora danych. Ponadto, Prezydent m. st. Warszawy również nie przetwarza pozyskanych od Ministra Finansów danych osobowych na rzecz Ministra Finansów, lecz wykorzystuje je do realizacji własnego celu, którym jest weryfikacja uprawnień do otrzymania "Karty Warszawiaka" lub "Karty Młodego Warszawiaka". Z tych względów zawarta pomiędzy Prezydentem m.st. Warszawy, a Ministrem Finansów "umowa powierzenia przetwarzania danych osobowych" w sprawie współpracy w zakresie weryfikacji uprawnień osób zamierzających skorzystać z przyznanych zniżek lub ulg na zasadach określonych uchwałami Rady m. st. Warszawy, nie stanowi, wbrew jej nazwie, umowy powierzenia przetwarzania danych, o której mowa w art. 31 ustawy o ochronie danych osobowych. W związku z tym, w ramach współpracy pomiędzy Prezydentem m.st. Warszawy, a Ministrem Finansów dochodzi do wzajemnego udostępniania danych osobowych. Odnosząc się kolejno do zarzutu naruszenia art. 28 k.p.a. Wojewódzki Sąd Administracyjny w Warszawie wskazał, że w przedmiocie bezpodstawnego wykorzystywania danych z CRP KEP na potrzeby prowadzonego przez Prezydenta m. st. Warszawy projektu "Karta Warszawiaka" i "Karta Młodego Warszawiaka" Generalny Inspektor Ochrony Danych Osobowych wszczął postępowanie nie tylko w stosunku do Prezydenta m. st. Warszawy, ale również wobec Ministra Finansów (sprawa została zakończona decyzją z 29 października 2014 r. nr DIS/DEC-1025/14/84761 dot. DIS-K-421/11/14). Dodano przy tym, że Minister Finansów miał prawo brać czynny udział w każdym stadium prowadzonego wobec niego postępowania, a przed wydaniem decyzji miał możliwość wypowiedzieć się co do zebranych dowodów i materiałów oraz zgłoszonych żądań (o czym był informowany na piśmie na każdym z etapów postępowania). Wobec powyższego Minister Finansów nie był pozbawiony prawa udziału w postępowaniu prowadzonym przez Generalnego Inspektora Ochrony Danych Osobowych, a dotyczącym bezpodstawnego przetwarzania danych osobowych. Skargą kasacyjną z dnia 8 października 2015 r. zaskarżono wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 lipca 2015 r. w całości, zarzucając mu na podstawie art. 174 pkt 1 i 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2017 r. poz. 1369 ze zm. – powoływanej dalej jako p.p.s.a.): I. Naruszenie przepisów prawa materialnego, tj.: 1. art. 5 w związku z art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych poprzez jego błędne zastosowanie i uznanie, że w odniesieniu do weryfikacji danych znajdujących się w Centralnym Rejestrze Podmiotów - Krajowej Ewidencji Podatników nie mają zastosowania przepisy ustawy o ochronie danych osobowych i w konsekwencji uznanie, że na podstawie zgody na przetwarzanie danych osobowych udzielanej skarżącemu przez osoby ubiegające się o Kartę Warszawiaka oraz Kartę Młodego Warszawiaka, skarżący nie był uprawniony do przetwarzania danych osobowych tych osób w celu weryfikacji poprzez odpytanie w CRP KEP czy osoba, której dotyczy zapytanie posiadała w CRP - KEP na dzień 31 grudnia poprzedniego roku adres zamieszkania na terenie m. st. Warszawy; 2. art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w związku z art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników poprzez jego błędne zastosowanie polegające na uznaniu, że weryfikacja danych w CRP KEP nie obejmuje możliwości ustalenia uprawnień do zniżek w dobrowolnych projektach i programach organizowanych przez organy jednostek samorządu terytorialnego w ramach działalności o charakterze organizatorskim; II. Naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: 1. art. 145 § 1 pkt 1 lit. "c" p.p.s.a., poprzez nieuwzględnienie skargi złożonej przez pełnomocnika skarżącego i nieuchylenie decyzji pomimo naruszenia przez organ przepisów postępowania, tj.: art. 7 i 77 k.p.a., polegającego na przyjęciu, że organ należycie zweryfikował podstawy prawne współpracy pomiędzy skarżącym, a Ministrem Finansów, jak również uwzględnił w toku prowadzonego postępowania interes społeczny oraz słuszny interes obywateli; 2. art. 141 § 4 p.p.s.a. w związku z art. 3 § 1 i 2 p.p.s.a. i art. 1 § 1 ustawy z dnia 25 lipca 2002 roku - Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2016 r., poz. 1066 ze zm. – powoływanej dalej jako p.u.s.a.) oraz art. 145 § 1 pkt 1 lit. "c" p.p.s.a. poprzez niewskazanie w uzasadnieniu wyroku przesłanek, którymi kierował się Sąd I Instancji oddalając skargę w zakresie wskazanym w punktach 3, 4 oraz 6 skargi, co uniemożliwia skarżącemu kontrolę rozstrzygnięcia Sądu I Instancji w tym zakresie. Z uwagi na powyższe wniesiono o: 1. uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie (art. 185 § 1 p.p.s.a.), 2. zasądzenie na rzecz skarżącego kosztów postępowania według norm przepisanych. Ponadto: 1. na podstawie art. 61 § 3 p.p.s.a. wniesiono o wstrzymanie przez Naczelny Sąd Administracyjny wykonania zaskarżonej decyzji, z uwagi na to, że jej wykonanie spowoduje trudne do odwrócenia skutki; 2. na podstawie art. 111 § 2 p.p.s.a. wniesiono o połączenie sprawy objętej niniejszą skargą oraz sprawy objętej skargą kasacyjną złożoną przez Ministra Finansów od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 lipca 2015 r. (sygn. akt II SA/Wa 2280/14) do ich łącznego rozpoznania i rozstrzygnięcia, z uwagi na to, że pozostają one ze sobą w związku. Na wstępie uzasadnienia skargi kasacyjnej podano cele i założenia programu "Warszawska Karta Rodziny" oraz przywołano niektóre elementy dotychczasowego postępowania prowadzonego w rozpatrywanej sprawie. W ramach uwag wstępnych do uzasadnienia prawnego wskazano, że przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników nie uniemożliwiają wymiany informacji pomiędzy skarżącym, a Ministrem Finansów, co więcej – gdyby nawet wprowadzały ograniczenia w wymianie danych zgromadzonych w CRP KEP, to i tak nie wyłączałyby zastosowania różnych, określonych w art. 23 ust. 1 ustawy o ochronie danych osobowych podstaw prawnych wymiany danych osobowych. Podkreślono przy tym, że głównym celem administracyjnoprawnej regulacji ochrony praw jednostki jest ochrona przed nadużywaniem przez władzę uprawnień o charakterze władczym. Tymczasem w niniejszej sprawie mamy do czynienia ze sferą działań organizatorskich administracji, a udział mieszkańców Warszawy w Programie odbywa się na zasadzie całkowitej dobrowolności. Wskazywano, że w toku postępowania skarżący argumentował, że należy odróżnić działanie organów w sferze reglamentacyjno-porządkowej, w której posługują się one głównie instrumentami o charakterze władczym, od działań o charakterze organizatorskim i prestacyjnym (administracja świadcząca), w ramach których wykorzystuje się głównie środki oddziaływania o charakterze nie władczym. W ocenie autora skargi kasacyjnej, powyższe nie oznacza, że w sferze np. administracji świadczącej podmiot administracji może działać poza prawem. Są to działania "w granicach prawa", ale niekoniecznie znajdujące szczegółowe oparcie w konkretnych przepisach. Podstawą działań niewładczych o charakterze społeczno-organizatorskim mogą być normy zadaniowe oraz normy określające kompetencje organów administracyjnych. W konkluzji uwag wstępnych wskazano, że program i przyjęte w ramach jego realizacji projekty należą do kategorii działań organizatorskich, a przede wszystkim - jak wspomniano - korzystanie z nich oparte jest na pełnej dobrowolności. Mieszkańcy Warszawy nie są zobowiązani do korzystania z przyznanych uprawnień, nie ma więc tu mowy o jakimkolwiek przymusie, a tym samym o władczym działaniu administracji samorządowej. Sąd I instancji podzielił stanowisko GIODO w zakresie uznania, że powyższa argumentacja nie może mieć zastosowania do czynności weryfikacji uprawnień przy pomocy rejestru podatników. Skarżący stoi na odmiennym stanowisku, zgodnie z którym przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników w zakresie działań o charakterze organizatorskim nie mają pierwszeństwa przed ustawą o ochronie danych osobowych, a weryfikacja danych opiera się na kilku przesłankach wymienionych w art. 23 ust. 1 ustawy o ochronie danych osobowych. Niezależnie od powyższego skarżący kwestionuje pogląd, zgodnie z którym przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników zakazują weryfikacji danych w formie przyjętej w Programie. W ramach części szczegółowej uzasadnienia skargi kasacyjnej przywołano następujące argumenty prawne i faktyczne. Odnośnie do przesłanek legalności przetwarzania danych osobowych wskazano, że podstawy prawne przetwarzania danych osobowych wymienione w art. 23 ust. 1 ustawy o ochronie danych osobowych mają charakter równorzędny i autonomiczny. Wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Nie ma również przeszkód, aby przetwarzanie danych było oparte o kilka podstaw prawnych jednocześnie. Istotną okolicznością przy ocenie podstaw prawnych jest podkreślana już kilkakrotnie w skardze dobrowolność uczestnictwa mieszkańców Warszawy w Projektach oraz fakt, że Program i Projekty należą do sfery działań organizatorskich o charakterze nie władczym. W zakresie zarzutu naruszenia art. 5 w związku z art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych wskazano, że zgodnie z art. 5 tej ustawy, jeżeli przepisy odrębnych ustaw, które odnoszą się do przetwarzania danych, przewidują dalej idącą ochronę niż wynika to z przepisów ustawy o ochronie danych osobowych, stosuje się przepisy tych ustaw. Zgodnie z poglądem ugruntowanym w doktrynie oraz orzecznictwie, przepisy ustawy przewidującej dalej idącą ochronę nie wyłączają stosowania ustawy o ochronie danych osobowych w całości, a jedynie w zakresie, w jakim zapewniają ochronę dalej idącą niż przepisy o ochronie danych osobowych. Z tego względu, jak również z uwagi na treść art. 15 ust. 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, określającego katalog podmiotów, którym udostępniane są dane zgromadzone w CRP KEP, o ile zasadnym wydaje się wyłączenie stosowania przepisów ustawy o ochronie danych osobowych w zakresie, w jakim ustawa o zasadach ewidencji i identyfikacji podatników i płatników określa zasady udostępniania danych, o tyle brak jest podstaw do zastosowania takiego wyłączenia w odniesieniu do wykorzystania danych w celu weryfikacji. W dalszej kolejności podnoszono, że Sąd I instancji podzielił stanowisko prezentowane przez GIODO, zgodnie z którym skarżący nie był uprawniony do dokonywana weryfikacji danych osób ubiegających się o wydanie "Karty Warszawiaka" i ,,Karty Młodego Warszawiaka" w zakresie potwierdzenia miejsca zamieszkania tych osób. W związku z tym podkreślono, że Prezydent m. st. Warszawy posiadał takie uprawnienie, które wynikało bezpośrednio z treści zgody na przetwarzanie danych osobowych, która udzielana była w ramach uzupełniania wniosku o wydanie spersonalizowanych kart. Argumentując legalność weryfikacji danych osobowych osób ubiegających się o otrzymanie Karty Warszawiaka lub Karty Młodego Warszawiaka odwołano się również do treści art. 47 Konstytucji RP, zgodnie z którym każdy ma prawo ochrony życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. Nawiązując do orzecznictwa Trybunału Konstytucyjnego wskazano, że ochrona życia prywatnego obejmuje także autonomię informacyjną, rozumianą przez Trybunał jako prawo do samodzielnego decydowania o ujawnianiu innym informacji dotyczących swojej osoby, a także prawo do sprawowania kontroli nad takimi informacjami, jeżeli znajdują się w posiadaniu innej osoby (wyr. TK z 19.2.2002 r., U 3/01, OTK-A 2002, Nr 1, poz. 3). W dalszej kolejności wskazano na kwestię możliwości ograniczania autonomii informacyjnej jednostki podając, że zgodnie z orzecznictwem Trybunału Konstytucyjnego (wyrok z dnia 21 listopada 1995 r., sygn. akt K 12/95) po pierwsze, ustawowe ograniczenie wolności może nastąpić tylko wówczas, gdy dopuszczone jest w sposób wyraźny w innych przepisach konstytucyjnych, bądź gdy konieczne jest zharmonizowanie tej wolności z innymi normami, zasadami lub wartościami konstytucyjnymi. Po drugie, ustawowe ograniczenia wolności wprowadzane mogą być tylko w niezbędnym zakresie. Ustawodawca może ingerować w sferę wolności obywatela tylko w razie konieczności i tylko w koniecznym zakresie. Ograniczenia są dopuszczalne, jeżeli umożliwiają ochronę bezpieczeństwa państwa, porządku publicznego, zdrowia, moralności publicznej, środowiska albo wolności lub praw innych osób. Muszą one być jednak zgodne z zasadą proporcjonalności. W tym świetle – w ocenie Prezydenta m. st. Warszawy – brak jest podstawy do pominięcia lub ograniczenia przez Sąd I instancji okoliczności udzielenia przez osoby ubiegające się o wydanie Karty Warszawiaka lub Karty Młodego Warszawiaka zgody, która obejmowała prawo do weryfikacji uprawnień do otrzymania zniżek i ulg. Zdaniem Prezydenta m. st. Warszawy powyższe rozważania prowadzą do wniosku, że organ ten weryfikując dane zainteresowanych w CRP KEP działał na podstawie udzielonej mu zgody, do respektowania której zobowiązany jest przepisami prawa. Odnosząc powyższe do rozstrzygnięcia GIODO i twierdzeń, co do braku uprawnienia skarżącego do weryfikacji danych udostępnianych przez osoby ubiegające się̨ o Kartę Warszawiaka lub Kartę Młodego Warszawiaka w oparciu o świadomą i dobrowolną zgodę zainteresowanych, nie ulega wątpliwości, że przyjęcie stanowiska GIODO mogłoby prowadzić do pogwałcenia konstytucyjnych praw jednostki oraz wprowadzenia ograniczeń autonomii informacyjnej, które nie znajdują̨ jakichkolwiek podstaw w obowiązujących przepisach prawa. Uzasadniając kolejno zarzut naruszenia art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w związku z art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników wskazywano, że przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników dopuszczają weryfikację danych realizowaną pomiędzy Prezydentem m. st. Warszawy a Ministrem Finansów, przy czym charakter umowy (umowa powierzenia lub umowa o udostępnianie danych pomiędzy dwoma administratorami danych) ma tu znaczenie drugorzędne. W związku z powyższym – w ocenie Prezydenta m. st. Warszawy - spełniona została przesłanka legalności przetwarzania danych osobowych, o której mowa w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, tj. realizacja uprawnień wynikających z przepisu prawa. Negując w dalszej kolejności stanowisko zawarte w uzasadnieniu zaskarżonego wyroku, zgodnie z którym, z przepisów regulujących funkcjonowanie CRP KEP nie wynika możliwość wykorzystywania danych w nim zgromadzonych w celu weryfikacji uprawnień do zniżek lub ulg przewidzianych w ramach programu "Karta Warszawiaka" i "Karta Młodego Warszawiaka" wskazywano na przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników przewidujące kilka celów funkcjonowania bazy CRP KEP. W szczególności zwrócono uwagę na treść art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, w którym jest mowa o dwóch rodzajach czynności: weryfikacji danych oraz porównaniu ich z rejestrami urzędowymi. Czynności te - w ocenie skarżącego - należy traktować odrębnie, jako samodzielne oraz niezależne kategorie działań. Analizując czynności w zakresie porównywania danych z CRP KEP z rejestrami urzędowymi, podjęto próbę zdefiniowania pojęcia rejestru urzędowego. Sięgnięto przy tym pomocniczo do definicji zawartej w art. 3 pkt 5 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (t.j. Dz. U. z 2017 r. poz. 570 ze zm. – powoływanej dalej jako ustawa o informatyzacji), zgodnie z którą przez rejestr publiczny rozumieć należy rejestr, ewidencję, wykaz, listę, spis albo inną formę ewidencji, służące do realizacji zadań publicznych prowadzone przez podmiot publiczny na podstawie odrębnych przepisów ustawowych. W tym kontekście wskazano, że zbiór danych osób ubiegających się o wydanie Karty Warszawiaka i Karty Młodego Warszawiaka, prowadzony przez Prezydenta m. st. Warszawy, z uwagi na brak podstawy ustawowej nie jest rejestrem urzędowym (rejestrem publicznym), natomiast skarżący na żadnym etapie postępowania nie wskazywał interpretacji odmiennej, jak również nie upatrywał w porównywaniu danych zgromadzonych w CRP KEP z rejestrami urzędowymi prowadzonymi na podstawie odrębnych podstawy do sprawdzenia czy osoby ubiegające się̨ o wydanie Karty Warszawiaka lub Karty Młodego Warszawiaka posiadały w roku poprzedzającym złożenie wniosku miejsce zamieszkania na terenie Warszawy. Odnosząc się kolejno do celu, za jaki przyjęto weryfikację danych zgromadzonych w CRP KEP podkreślano, że ustawodawca w żaden sposób nie ograniczył kręgu podmiotów, z którymi minister właściwy do spraw finansów publicznych uprawniony jest współpracować w celu jego realizacji. Należy zatem przyjąć, że weryfikacja danych stanowi tym samym odrębny cel, o najszerszym zakresie, do realizacji którego podmiot prowadzący CRP KEP uprawniony jest bez ograniczeń przewidzianych w ustawie, w szczególności w zakresie podmiotów, z którymi może on współpracować dla jego realizacji. Za pozbawione podstaw należy uznać stanowisko Sądu I instancji w zakresie istnienia związku pomiędzy weryfikacją danych, o której mowa w art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, a katalogiem podmiotów wskazanych w art. 15 ust. 2 tej ustawy. O ile bowiem minister do spraw finansów publicznych uprawniony jest udostępniać dane podmiotom wskazanym w art. 15 ust. 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników w celu realizacji przyznanych im kompetencji ustawowych, o tyle takie podmiotowe ograniczenie nie może mieć zastosowania do weryfikacji danych, o której mowa w art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników. Dodatkowo, na podstawie art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, skarżący posiadał legitymację do udostępnienia danych osób ubiegających się od wydanie Karty Warszawiaka i Karty Młodego Warszawiaka, trudno zatem przypisać działaniom skarżącego bezprawny charakter. Poza tym wskazano, że 15 ust. 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników określa katalog podmiotów, którym mogą zostać udostępnione dane zgromadzone w CRP KEP. Udostepnienie danych ma przy tym charakter czynności faktycznej i może nastąpić w dowolny sposób - istotne jest tylko, żeby w wyniku tej czynności odbiorca danych uzyskał faktyczny dostęp do danych i władztwo nad tymi danymi. Nie ulega jednak wątpliwości, że skarżącemu dane zgromadzone w CRP KEP nie były udostępnianie. Nie uzyskiwał on faktycznego dostępu do tych danych, a jedynie w oparciu o dane przez siebie posiadane, na przetwarzanie których posiadał wyraźną zgodę podmiotu, dane te weryfikował. W konkluzji uzasadniania zarzutów naruszenia przepisów prawa materialnego podkreślono, że Prezydent m. st. Warszawy już na etapie otrzymywania od osoby ubiegającej się o Kartę Warszawiaka lub Kartę Młodego Warszawiaka posiadał informację co do miejsca zamieszkania tej osoby, które to dane były elementem wniosku o wydanie spersonalizowanej karty warszawskiej karty miejskiej/hologramu, a kierowanie do Ministra Finansów zapytanie miało na celu wyłącznie potwierdzenie prawdziwości tych informacji. Tym samym celem skarżącego nie było uzyskanie tych danych, co stanowiłoby warunek konieczny dla uznania tej operacji za przetwarzanie danych. Wskazano również, że identyczna sytuacja ma miejsce w przypadku weryfikacji danych poprzez okazanie formularza PIT, a GIODO w decyzji pierwszej instancji uznał, że jest to działanie zgodne z prawem. Skarżący nie widzi żadnej różnicy pomiędzy weryfikacją posiadanych już danych poprzez okazanie formularza PIT, a weryfikacją posiadanych już danych za pośrednictwem CRP KEP. Podkreślono, że w ramach współpracy z Ministrem Finansów w zakresie odpytywania CRP KEP o figurowanie danej osoby w tym rejestrze, skarżącemu nie były udostępniane jakiekolwiek dane tam zgromadzone. Skarżący posiadał bowiem już te informacje, a weryfikacja ich prawdziwości odbywała się w granicach przewidzianych przez art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników. W zakresie uzasadniania zarzutów naruszenia przepisów postępowania, które miały istotny wpływ na wynik postępowania wskazano na naruszenie przez GIODO standardów postępowania dowodowego. Zdaniem Prezydenta m. st. Warszawy, GIODO, nie zbadał charakteru współpracy pomiędzy skarżącym, a Ministrem Finansów, przyjmując jedynie, że umowa powierzenia przetwarzania danych osobowych nie miała takiego charakteru, ponieważ celem tego przekazania nie jest w rzeczywistości wykonywanie w imieniu i na rzecz Prezydenta m. st. Warszawy operacji na powierzonych danych osobowych, ale pozyskanie dodatkowych informacji o osobach, których przekazane dane dotyczą ze zbioru prowadzonego przez Ministra Finansów. W związku z powyższym przedmiotem umowy powierzenia przetwarzania danych osobowych zawartej pomiędzy Prezydentem m. st. Warszawy, a Ministrem Finansów, wbrew jej nazwie, nie jest powierzenie przetwarzania danych osobowych w myśl art. 31 ust. 1 ustawy, lecz udostępnienie danych innemu podmiotowi w celu pozyskania danych z prowadzonego przez niego zbioru danych. Wskazywano, że skarżący w toku postępowania podnosił, że nawet gdyby uznać, że zastosowano nieprawidłowo konstrukcję powierzenia przetwarzania danych, a w istocie doszło do przekazania danych osobowych pomiędzy dwoma administratorami danych, to jeszcze nie oznacza nieważności takiej czynności, bowiem jak wyjaśniono powyżej, skarżący legitymował się kilkoma podstawami prawnymi przetwarzania (w tym ich udostępniania) określonymi w art. 23 ust. 1 ustawy o ochronie danych osobowych. W zakresie uzasadnienia zarzutu naruszania przez Sąd I instancji art. 141 § 4 p.p.s.a. w związku z art. 3 § 1 i 2 p.p.s.a. i art. 1 § 1 p.u.s.a. wskazano na nieodniesienie się w uzasadnieniu zaskarżonego wyroku do wszystkich zarzutów Prezydenta m. st. Warszawy przez co został on pozbawiony możliwości skontrolowania toku rozumowania Sądu, a także nie ma możliwości polemizowania z jego oceną stanu faktycznego i prawnego. Końcowo podano uzasadnienie wniosku o wstrzymanie wykonania w całości zaskarżonych decyzji oraz wniosku o połączenie spraw do ich łącznego rozpoznania i rozstrzygnięcia. W uzasadnieniu wniosku o połącznie spraw od łącznego rozpoznania i rozstrzygnięcia wskazano, że zarówno cechy podmiotowe jak i przedmiotowe sprawy objętej niniejszą skargą, jak również sprawy objętej skargą Ministra Finansów od wyroku WSA w Warszawie z dnia 15 lipca 2015 r. (sygn. akt II SA/Wa 2280/14) dotyczą tego samego stanu faktycznego, materiału dowodowego, a strony obu postepowań łączy stosunek prawny, a ich żądania są podobne. Połączenie obu tych spraw przyspieszy zatem ich rozpoznanie. W odpowiedzi na skargę kasacyjną z dnia 3 listopada 2015 r. GIODO wniósł o jej oddalenie, podzielając w całości stanowisko zawarte w zaskarżonym wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie. Odnosząc się do zarzutów naruszenia prawa materialnego powtórzono argumenty prezentowane w przez ten organ na etapie postępowania administracyjnego, jak również zawarte w uzasadnieniu zaskarżonego wyroku. Odnośnie do zarzutów naruszania przez Sąd I instancji przepisów procesowych wskazano, że GIODO podejmując rozstrzygnięcie w przedmiotowej sprawie miał na względzie interes społeczny i słuszny interes obywateli ubiegających się o otrzymanie Karty Warszawiaka lub Karty Młodego Warszawiaka, jednakże był jednocześnie obowiązany wydać rozstrzygnięcie zgodne z przepisami prawa materialnego. Postanowieniem z dnia 4 grudnia 2015 r., sygn. akt I OSK 3240/15 Naczelny Sąd Administracyjny oddalił wniosek o wstrzymanie wykonania zaskarżonej decyzji zawarty w skardze kasacyjnej Prezydenta m. st. Warszawy wskazując, że organ ten nie wykazał spełnienia przesłanek określonych w art. 61 § 3 p.p.s.a. Naczelny Sąd Administracyjny zważył, co następuje. Skarga kasacyjna nie zasługuje na uwzględnienie. Przed merytorycznym odniesieniem się do podniesionych w niej zarzutów Naczelny Sąd Administracyjny wskazuje, że nie znajduje usprawiedliwionych podstaw do uwzględnienia wniosku o połączenie sprawy objętej niniejszą skargą oraz sprawy objętej skargą kasacyjną złożoną̨ przez Ministra Finansów od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 lipca 2015 r. (sygn. akt II SA/Wa 2280/14, sygn. akt NSA I OSK 3192/15) do ich łącznego rozpoznania lub także rozstrzygnięcia. Należy bowiem wskazać, że skoro na pojęcie sprawy sądowoadministracyjnej składają się elementy podmiotowe (podmioty mające interes prawny lub obowiązek prawny) i przedmiotowe (treść żądanego uprawnienia, treść obowiązku i podstawa faktyczna i prawna), oznacza to, że "w związku" - w rozumieniu art. 111 § 2 p.p.s.a. - pozostają sprawy, których cechy podmiotowe i przedmiotowe byłyby podobne lub identyczne. Podobieństwo to powinno odnosić się do żądań i przedmiotów rozstrzygnięć. W ocenie Naczelnego Sądu Administracyjnego w obu rozpatrywanych sprawach tego rodzaju sytuacja nie zachodzi, ponieważ zarówno zarzuty zawarte w obu skargach kasacyjnych, które w zasadniczy sposób wyznaczają obszar rozpoznawania obu spraw, jak i podmioty wnoszące skargi kasacyjne różną się od siebie. Nie może być zatem mowy ani o tożsamości przedmiotowej, ani podmiotowej obu spraw kasacyjnych. Stąd obie sprawy podlegają osobnemu rozpoznaniu i rozstrzygnięciu. Poza powyższym należy wskazać, że w postępowaniu kasacyjnym obowiązuje wynikająca z art. 183 § 1 p.p.s.a. zasada związania Naczelnego Sądu Administracyjnego podstawami i granicami zaskarżenia, wskazanymi w skardze kasacyjnej. Przytoczone w tym środku prawnym przyczyny wadliwości kwestionowanego orzeczenia determinują zakres kontroli dokonywanej w ramach nadzoru judykacyjnego. Do podjęcia działań z urzędu Naczelny Sąd Administracyjny zobowiązany jest jedynie w sytuacjach określonych w art. 183 § 2 p.p.s.a., które w tej sprawie nie występują. W skardze kasacyjnej zaskarżonemu orzeczeniu zarzucono naruszenie zarówno przepisów prawa procesowego, jak i materialnego. W takiej sytuacji w pierwszej kolejności Sąd poddaje stosownej analizie zasadność podnoszonych zarzutów naruszenia przepisów postępowania. Co do zasady bowiem weryfikacja prawidłowości wykładni lub zastosowania przepisów prawa materialnego jest możliwa jedynie w przypadku stwierdzenia braku uchybień natury procesowej, mogących mieć istotny wpływ na wynik sprawy. W rozpatrywanej sprawie zarzuty naruszenia prawa procesowego i materialnego łączą się jednak ze sobą w sposób umożliwiający poddanie ich wspólnej analizie prawnej. Zarzut naruszenia prawa materialnego w postaci niewłaściwego zastosowania art. 5 w związku z art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych oraz zarzut naruszenia art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w związku z art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników sprowadza się w istocie do kwestionowania zasadności przyjętego przez organ, jak również zaaprobowanego przez Sąd I instancji generalnego stanowiska, zgodnie z którym przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników, w zakresie dotyczącym celu przetwarzania danych zgromadzonych w Centralnym Rejestrze Podmiotów – Krajowej Ewidencji Podatników (CRP KEP), jak również udostępniania danych ze wspomnianego rejestru, przewidują dalej idącą ochronę niż wynikająca z ustawy o ochronie danych osobowych, a zatem - stosownie do treści art. 5 ustawy o ochronie danych osobowych - wyłączają w rozpatrywanym przypadku zastosowanie przepisów ustawy o ochronie danych osobowych odnoszących się do kwestii dopuszczalności przetwarzania danych osobowych (art. 23 ustawy). W ocenie Prezydenta m. st. Warszawy tego rodzaju stanowisko jest nieuprawnione. Jego zdaniem, błędnie bowiem przyjęto, że w odniesieniu do danych zawartych w CRP KEP nie znajduje zastosowania reżim prawny przewidziany na gruncie ustawy o ochronie danych osobowych i w konsekwencji także błędnie przyjęto, że zgoda udzielona organowi na przetwarzanie danych osobowych przez osoby ubiegające się o Kartę Warszawiaka oraz Kartę Młodego Warszawiaka nie uprawnia go do przetwarzania danych w celu weryfikacji w systemie CRP KEP miejsca zamieszkania osoby, której pytanie dotyczy na dzień 31 grudnia poprzedniego roku. Poza tym w ocenie organu nieuprawnione jest stanowisko, zgodnie z którym weryfikacja danych w CRP KEP nie obejmuje możliwości potwierdzenia uprawnień do zniżki w dobrowolnych projektach i programach organizowanych przez organy samorządowe w ramach wykonywania zadań o charakterze organizatorskim. Tak sformułowane zarzuty naruszenia prawa materialnego pozostają w ścisłym związku z podnoszonym w skardze kasacyjnej zarzutem naruszeniem przepisów procesowych mającym - w ocenie Prezydenta m. st. Warszawy - istotny wpływ na wynik sprawy. W szczególności dotyczy to zarzutu naruszenia art. 145 § 1 pkt 1 lit. "c" p.p.s.a., poprzez nieuwzględnienie skargi i nieuchylenie decyzji pomimo naruszenia przez organ przepisów postępowania, tj.: art. 7 i 77 k.p.a., polegającego na przyjęciu, że GIODO należycie zweryfikował podstawy prawne współpracy pomiędzy skarżącym organem, a Ministrem Finansów, jak również uwzględnił w toku prowadzonego postępowania interes społeczny oraz słuszny interes obywateli. Łącznej ocenie wraz z zarzutami naruszenia prawa materialnego mogą podlegać także pozostałe zarzuty podniesione w ramach naruszenia prawa procesowego, a więc art. 141 § 4 w związku z art. 3 § 1 i 2 p.p.s.a. i art. 1 § 1 p.u.s.a. oraz art. 145 § 1 pkt 1 lit. "c" p.p.s.a. poprzez niewskazanie w uzasadnieniu wyroku przesłanek, którymi kierował się Sąd I instancji oddalając skargę w zakresie wskazanym w punktach 3, 4 oraz 6 skargi, co uniemożliwia - w ocenie Prezydenta m. st. Warszawy - kontrolę rozstrzygnięcia Sądu I Instancji w tym zakresie. W punktach 3, 4 i 6 skargi organu z dnia 4 listopada 2014 r. kwestionowano bowiem zasadność uznania, że przesłanka wykonywania zadań dla dobra publicznego nie stanowi samodzielnej podstawy prawnej do weryfikacji przez Prezydenta m. st. Warszawy w CRP KEP uprawnień do zniżek, a także to, że Prezydent m. st. Warszawy i Minister Finansów nie mają usprawiedliwionego celu w weryfikacji uprawnień do zniżek za przejazdy oraz to, że organ nienależycie zweryfikował podstawę prawną współpracy między Prezydentem Warszawy i Ministrem Finansów, jak również nie uwzględnił w toku postępowania interesu społecznego i słusznego interesu obywateli. W istocie zatem – pomimo formalnego podziału na zarzuty naruszenia przepisów prawa materialnego i procesowego - ich treść uprawnia Sąd kasacyjny do poddania ich łącznej analizie prawnej. Oznacza to rezygnację z odniesienia się w pierwszej kolejności do zarzutów o charakterze procesowym, a następnie do zarzutów naruszenia prawa materialnego. Ścisły związek między nimi uzasadnia tym samym łączne odniesienie się wszystkich podnoszonych przez Prezydenta m. st. Warszawy zarzutów kasacyjnych. Przechodząc do merytorycznej oceny argumentacji podnoszonej przez Prezydenta m. st. Warszawy należy w pierwszym rzędzie przywołać odpowiednie unormowania rangi konstytucyjnej. W świetle art. 47 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz. U. Nr 78, poz. 483 z późn. zm. – powoływanej dalej jako Konstytucja) przewidującym prawo ochrony prywatności, każdy ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. Z kolei, w świetle art. 51 Konstytucji ustanawiającego - w ramach katalogu wolności i praw osobistych - prawo ochrony danych osobowych wskazano, że nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby (ust. 1). Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym (ust. 2). Każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych. Ograniczenie tego prawa może określić ustawa (ust. 3). Każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą (ust. 4). Zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa (ust. 5). W tym świetle należy stwierdzić, że ochrona danych osobowych jest jedną z podstawowych wartości znajdujących zakotwiczenie w polskiej regulacji konstytucyjnej (zob. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2004 r., s. 120 i nast.). Rozwinięcia wspomnianych dyrektyw konstytucyjnych dokonano na gruncie ustawy o ochronie danych osobowych, która w art. 1 wskazuje, że każdy ma prawo do ochrony dotyczących go danych osobowych, a ich przetwarzanie może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich w zakresie i trybie określonym ustawą. Zgodnie zaś z definicją legalną przewidzianą na gruncie art. 7 pkt 2 ustawy o ochronie danych osobowych przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Na gruncie art. 23 ust. 1 podpunkty od 1 do 5 ustawy o ochronie danych osobowych wskazano przy tym zamknięty katalog przypadków, w których przetwarzanie danych jest dopuszczalne. Może mieć ono miejsce wyłącznie wówczas, gdy: osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych; jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa; jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą; jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego; jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Z kolei, stosownie do treści art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych administrator danych, przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane były przetwarzane zgodnie z prawem. Poza tym należy zapewnić zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami; merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane; przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania (art. 26 ust.1 pkt 2-4). Przywołując następnie niekwestionowane - na gruncie rozpatrywanej sprawy - okoliczności faktyczne sprawy należy wskazać, że Prezydent m. st. Warszawy podając dane osobowe osób ubiegających się o wydanie "Karty Warszawiaka" lub "Karty Młodego Warszawiaka" w zakresie: imię, nazwisko, nr PESEL, a w przypadku cudzoziemców: imię, nazwisko, datę urodzenia oraz NIP, kierował do Ministra Finansów zapytanie, czy dana osoba, posiadała na dzień 31 grudnia roku poprzedzającego rok, w którym złożyła wniosek o hologram "Karta Warszawiaka" lub "Karta Młodego Warszawiaka", adres miejsca zamieszkania na terenie m. st. Warszawy. Natomiast Minister Finansów uzupełniał przekazane dane osobowe poprzez podanie w kolumnie dotyczącej miejsca zamieszkania "tak", w przypadku gdy dana osoba posiadała w Centralnym Rejestrze Podmiotów - Krajowej Ewidencji Podatników (CRP KEP) na dzień 31 grudnia roku poprzedzającego rok, w którym złożyła wniosek o hologram, adres miejsca zamieszkania na terenie m.st. Warszawy lub "nie", w przypadku gdy takiego adresu nie posiadała. W rozpatrywanej doszło zatem do faktycznego wykorzystywania danych osobowych pochodzących ze zbioru Centralny Rejestr Podmiotów - Krajowa Ewidencja Podatników (CRP KEP) prowadzonego przez Ministra Finansów dla celów realizacji projektu "Karta Warszawiaka" i "Karta Młodego Warszawiaka" przyjętego uchwałami Rady m.st. Warszawy z dnia 3 października 2013 r. Nr LXVI/1808/2013 i Nr LXVI/1806/2013 w celu weryfikacji uprawnień do ich otrzymania. Rejestr ten prowadzony jest przez Ministra Finansów na podstawie ustawy o zasadach ewidencji i identyfikacji podatników i płatników. W akcie tym przewidziano stosowne unormowania m.in. w zakresie celu, w jakim CRP KEP jest prowadzony, podmiotów mających do niego dostęp oraz podmiotów, którym dane z rejestru są udostępniane. Zgodnie z art. 14 ust. 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, CRP KEP służy: 1) gromadzeniu wybranych danych ewidencyjnych z rejestru PESEL dotyczących osób fizycznych objętych tym rejestrem oraz danych wynikających: a) ze zgłoszeń identyfikacyjnych i aktualizacyjnych podmiotów, b) z niektórych dokumentów związanych z obowiązkami wynikającymi z przepisów podatkowych; 2) weryfikacji danych, o których mowa w pkt 1, oraz porównaniu ich z rejestrami urzędowymi prowadzonymi na podstawie odrębnych przepisów. Podmiotami upoważnionymi do ciągłego wykorzystywania danych z CRP KEP w związku z realizacją celów i zadań ustawowych, zgodnie z art. 14a ustawy o zasadach ewidencji i identyfikacji podatników i płatników, są zaś: Minister Finansów, dyrektorzy izb skarbowych, naczelnicy urzędów skarbowych, Szef Służby Celnej, dyrektorzy izb celnych, naczelnicy urzędów celnych, organy kontroli skarbowej oraz Generalny Inspektor Informacji Finansowej. Natomiast inne podmioty - wymienione w art. 15 ust. 2. ustawy - m.in. sądy, prokuratorzy, organy podatkowe, organy celne, przedstawiciele Najwyższej Izby Kontroli, Policji, Agencji Bezpieczeństwa Wewnętrznego, Centralnego Biura Antykorupcyjnego, Służby Kontrwywiadu Wojskowego i Żandarmerii Wojskowej - mogą wystąpić o ich udostępnienie. Dane zgromadzone w CRP KEP są przy tym objęte tajemnicą skarbową (z wyłączeniem NIP i REGON). W art. 15 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, określono także krąg podmiotów zobowiązanych do przestrzegania tajemnicy skarbowej. Słuszne jest zatem stanowisko, zgodnie z którym inne podmioty - niewymienione w tym przepisie - nie są upoważnione do wystąpienia o udostępnienie danych z CRP KEP. Stanowi to bowiem konsekwencję konieczności zagwarantowania ochrony danych zgromadzonych w CRP KEP, które objęto tajemnicą skarbową. W świetle powyższych unormowań prawidłowe jest stanowisko Sądu I instancji, zawarte w uzasadnieniu zaskarżonego wyroku, zgodnie z którym Prezydent m.st. Warszawy jest upoważniony do wystąpienia o udostępnienie danych z rejestru CRP KEP, jednak wyłącznie w sytuacji, gdy działa jako organ podatkowy w związku z prowadzonym postępowaniem. Na gruncie rozpatrywanej sprawy działania Prezydent m.st. Warszawy jako organu samorządowego sprowadzały się zaś do wykonania uchwał Rady Miasta Stołecznego Warszawy Nr LXVI/1807/2013 oraz nr LXVI/1806/2013 w sprawie opłat za usługi przewozowe środkami lokalnego transportu zbiorowego w m.st. Warszawie. W związku z tym nie budzi wątpliwości Naczelnego Sądu Administracyjnego, że organ ten nie występował w analizowanym przypadku w charakterze organu podatkowego w rozumieniu przepisów ustawy z dnia 12 stycznia 1991 r. o podatkach i opłatach lokalnych (aktualnie - t.j. Dz. U. z 2017 r. poz. 1785). W konsekwencji zaś nie był on upoważniony do występowania na podstawie art. 15 ustawy o zasadach ewidencji i identyfikacji podatników i płatników, o udostępnienie danych z CRP-KEP dla potrzeb realizacji projektu "Karta Warszawiaka" i "Karta Młodego Warszawiaka". W konsekwencji podzielić należy również stanowisko Sądu I instancji, zgodnie z którym przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników, w zakresie dotyczącym celu przetwarzania danych zgromadzonych w CRP KEP, jak również udostępniania danych z tego rejestru, przewidują dalej idącą ochronę niż wynikająca z ustawy o ochronie danych osobowych. Dlatego też, stosownie do zasady przewidzianej na gruncie art. 5 ustawy o ochronie danych osobowych, do przetwarzania danych we wspomnianym wcześniej zakresie stosuje się przepisy ustawy o zasadach ewidencji i identyfikacji podatników i płatników. Z kolei, te przepisy wyłączają stosowanie unormowań ustawy o ochronie danych osobowych odnoszących się do kwestii dopuszczalności przetwarzania danych osobowych, w tym również wynikającej art. 23 ust. 1 pkt 2 tej ustawy, w którym mowa o realizacji uprawnień wynikających z przepisu prawa. W takiej sytuacji nie ma znaczenia, wielokrotnie podnoszona w skardze kasacyjnej okoliczność udzielenia przez podmiot zainteresowany otrzymaniem karty zgody na przetwarzanie danych osobowych, która to zgoda nie dotyczyła zresztą przekazywania danych innym podmiotom, ani tym bardziej ich pozyskiwania z bazy objętej odmienną regulacją prawną. W świetle powyższego należy przyjąć, że prawidłowe jest stanowisko GIODO wyrażone w decyzji z dnia 2 października 2014 r., a zaaprobowane w przez Sąd I instancji w zaskarżonym wyroku, zgodnie z którym z przepisów regulujących funkcjonowanie CRP KEP nie wynika możliwość wykorzystywania danych w nim zgromadzonych w celu weryfikowania uprawnień do zniżek lub ulg przewidzianych w ramach programu "Karta Warszawiaka" i "Karta Młodego Warszawiaka" prowadzonego przez Prezydenta m. st. Warszawy. Minister Finansów nie posiada bowiem podstawy prawnej do przetwarzania w tym celu danych osobowych zgromadzonych w rejestrze CRP KEP, w tym do ich udostępniania ze zbioru w ramach współpracy z organem samorządowym. Także Prezydent m.st. Warszawy nie jest uprawniony do pozyskiwania tych danych dla realizacji celu, jakim jest weryfikacja uprawnień do otrzymania hologramu "Karta Warszawiaka" lub "Karta Młodego Warszawiaka", a co za tym idzie, brak jest podstaw do udostępniania danych uczestników programu "Karta Warszawiaka" lub "Karta Młodego Warszawiaka" w celu pozyskania informacji o tych osobach z CRP KEP. Poza powyższym należy się zgodzić ze stanowiskiem Sądu I instancji, zgodnie z którym zapytanie kierowane przez Prezydenta m. st. Warszawy do Ministra Finansów obejmowało swoim zakresem dane identyfikujące osoby w zakresie imienia, nazwiska, numeru PESEL, a w przypadku cudzoziemców: imienia, nazwiska, daty urodzenia oraz numeru NIP. Z kolei, przekazywane przez Ministra Finansów informacje na temat zamieszkiwania (bądź nie) na terenie Warszawy przez osoby, których zapytanie dotyczyło, odnoszą się do zidentyfikowanych osób. Nie budzi zatem wątpliwości Naczelnego Sądu Administracyjnego, że informacja na temat zamieszkiwania (bądź nie) na terenie Warszawy przez zidentyfikowaną osobę, odnosi się do danych osobowych w rozumieniu art. 6 ust. 1 ustawy o ochronie danych osobowych. W ramach współpracy pomiędzy Prezydentem m. st. Warszawy a Ministrem Finansów miało zatem miejsce udostępnianie danych osobowych z CRP KEP na potrzeby projektu "Karta Warszawiaka" i "Kartę Młodego Warszawiaka". Okoliczności tej nie zmienia fakt, że celem pozyskiwania danych z CRP KEP przez Prezydenta m.st. Warszawy była jedynie weryfikacja prawdziwości posiadanych przez niego danych dotyczących osób ubiegających się o "Kartę Warszawiaka" lub "Kartę Młodego Warszawiaka" (pozyskanych od osób, których dotyczą). W ocenie Sądu kasacyjnego na takie rozumienie znajdujących zastosowanie na gruncie rozpatrywanej sprawy unormowań prawnych nie ma także wpływu podnoszony w ramach uwag wstępnych uzasadnienia skargi kasacyjnej argument, że działania Prezydenta m. st. Warszawy podejmowane w zakresie realizacji programu "Karta Warszawiaka" i "Kartę Młodego Warszawiaka" należą do zadań z zakresu tzw. administracji świadczącej, z czym wiąże się możliwość podejmowania – w określonych warunkach – działań nieznajdujących szczegółowego zakotwiczenia w przepisach prawa. Należy bowiem stwierdzić, że poczynając od regulacji konstytucyjnej (art. 2 w związku z art. 7 Konstytucji RP) poprzez inne akty niższego rzędu w ramach polskiego systemu prawnego obowiązuje zasada legalizmu, a więc działania organów na podstawie i w granicach prawa. W takim znaczeniu organ administracji publicznej odpowiedzialny za ochronę danych osobowych podejmując rozstrzygnięcie w tej sprawie musiał uwzględniać interes społeczny i słuszny interes obywateli ubiegających się o otrzymanie Karty Warszawiaka lub Karty Młodego Warszawiaka, jednakże był również obowiązany wydać rozstrzygniecie zgodne z przepisami prawa materialnego i własnymi kompetencjami. Innymi słowy, działanie w ramach tzw. administracji świadczącej nie może usprawiedliwiać niestosowania lub niewłaściwego stosowania przepisów prawa znajdujących zastosowanie w konkretnym przypadku. Prawo bowiem precyzyjnie wskazuje kiedy Prezydent m. st. Warszawy jest uprawniony do weryfikacji danych na podstawie informacji znajdujących się w CRP – KEP. Jak wspominano, możliwość taka istnieje jedynie w przypadku, kiedy działa on jako organ podatkowy. Tym samym nie jest uprawnione wykorzystywanie rejestru CRP – KEP do innych celów, takich jak m. in. weryfikacja danych uprawniających do otrzymania zniżki w transporcie publicznym. Tego rodzaju sytuacja nie może zostać zaakceptowana przez Naczelny Sąd Administracyjny nawet w sytuacji, gdy tego rodzaju postępowanie Prezydenta m. st. Warszawy motywowane było realizacją zadań prospołecznych i proobywatelskich mieszczących się w pojęciu administracji świadczącej. W świetle wszystkich podniesionych argumentów należy stwierdzić, że Generalny Inspektor Ochrony Danych Osobowych zasadnie nakazał Prezydentowi m. st. Warszawy zaprzestanie przekazywania danych osobowych osób ubiegających się o "Kartę Warszawiaka" lub "Kartę Młodego Warszawiaka" do Ministerstwa Finansów w celu dokonania weryfikacji w CRP - KEP, czy osoby te posiadały na dzień 31 grudnia roku poprzedzającego rok, w którym złożyły wniosek o hologram, adres miejsca zamieszkania na terenie m. st. Warszawy oraz zaprzestanie pozyskiwania danych osobowych z CRP- KEP w celu weryfikowania uprawnień do otrzymania "Karty Warszawiaka" lub "Karty Młodego Warszawiaka". Okoliczność ta została w prawidłowy sposób skontrolowana przez Wojewódzki Sąd Administracyjny w Warszawie w zaskarżonym wyroku. W związku z tym nie mogły zostać uznane za trafne zarzuty naruszenia prawa materialnego w postaci niewłaściwego zastosowania art. 5 w związku z art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych oraz naruszenia art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w związku z art. 14 ust. 2 pkt 2 ustawy o zasadach ewidencji i identyfikacji podatników i płatników. Poza tym za pozbawione usprawiedliwionych podstaw Naczelny Sąd Administracyjny uznaje sformułowane w skardze kasacyjnej zarzuty naruszenia prawa procesowego. Generalny Inspektor Ochrony Danych Osobowych należycie zweryfikował bowiem podstawy prawne współpracy pomiędzy Prezydentem m. st. Warszawy, a Ministrem Finansów, dochowując przy tym standardów procesowych przewidzianych na gruncie Kodeksu postępowania administracyjnego, także w zakresie realizacji zasady prawdy obiektywnej (art. 7 k.p.a.) oraz wymogów odnoszących się do postępowania dowodowego (art. 77 k.p.a.), co zostało prawidłowo skontrolowane przez Sąd I instancji w ramach zaskarżonego orzeczenia i doprowadziło do oddalenia skargi na podstawie art. 151 p.p.s.a., nie zaś jej uwzględnienia na podstawie art. 145 § 1 pkt 1 lit. "c" p.p.s.a. Sąd I instancji zawarł przy tym w uzasadnieniu zaskarżonego wyroku wszystkie elementy składające się na kompletne i merytoryczne stanowisko w tej sprawie. Nie można zatem podzielić poglądu, że w ramach zaskarżonego wyroku nie odniesiono się do zarzutów sformułowanych na gruncie punktów: 3, 4 i 6 skargi Prezydenta m. st. Warszawy z dnia 4 listopada 2014 r. Merytoryczne stanowisko Sądu I instancji, precyzyjnie wyrażone w ramach uzasadniania zaskarżonego wyroku odnosi się właśnie do tych zagadnień. Przesądzając bowiem okoliczność braku możliwości weryfikacji danych osobowych podmiotów wnioskujących o wydanie "Karty Warszawiaka" lub "Karty Młodego Warszawiaka" w systemie CRP- KEP Wojewódzki Sąd Administracyjny w Warszawie odniósł się tym samym do tych kwestii. Swoim stanowiskiem wprost potwierdził bowiem, że przesłanka wykonywania zadań dla dobra publicznego nie stanowi – na gruncie rozpatrywanej sprawy - samodzielnej podstawy prawnej do weryfikacji przez Prezydenta m. st. Warszawy w CRP KEP uprawnień do zniżek, a także to, że Prezydent m. st. Warszawy i Minister Finansów nie mają usprawiedliwionego celu w weryfikacji uprawnień do zniżek za przejazdy w tym systemie oraz zweryfikował podstawę prawną współpracy między tymi organami. Tym samym podniesione w skardze kasacyjnej w ramach naruszenia prawa procesowego zarzuty należało uznać za chybione. W tych okolicznościach sprawy należało zatem orzec na podstawie art. 184 p.p.s.a., jak w sentencji wyroku. O kosztach postępowania kasacyjnego orzeczono na podstawie art. 204 pkt 1 p.p.s.a. w związku z § 14 ust. 2 pkt 2 lit. b) rozporządzenia Ministra Sprawiedliwości z dnia 28 września 2002 r. w sprawie opłat za czynności radców prawnych oraz ponoszenia przez Skarb Państwa kosztów pomocy prawnej udzielonej przez radcę prawnego ustanowionego z urzędu (tekst jedn. Dz. U. z 2013 r., poz. 490 ze zm.).