I OSK 991/19

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Tamara Dziełakowska Sędziowie sędzia NSA Iwona Bogucka (spr.) sędzia NSA Małgorzata Pocztarek po rozpoznaniu w dniu 12 maja 2020 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej Fundacji [...] z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 5 grudnia 2018 r. sygn. akt II SA/Wa 457/18 w sprawie ze skargi Fundacji [...] z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2018 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 5 grudnia 2018 r., II SA/Wa 457/18, oddalił skargę Fundacji [...] z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] stycznia 2018 r. nr [...] w przedmiocie przetwarzania danych osobowych. Wyrok zapadł w następującym stanie faktycznym i prawnym: Inspektorzy upoważnieni przez Generalnego Inspektora Ochrony Danych Osobowych (dalej jako: "GIODO") przeprowadzili w Fundacji [...] z siedzibą w W. (dalej jako: "Fundacja") przy ul. S. nr [...] lok. [...], pod sygn. akt [...], kontrolę zgodności przetwarzania danych osobowych z przepisami ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r., poz. 922; dalej jako: "ustawa") oraz rozporządzenia Ministra Spraw Wewnętrznych i Administracji z 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024; dalej jako: "rozporządzenie"). Na podstawie zgromadzonego materiału dowodowego ustalono, że w procesie przetwarzania danych osobowych Fundacja, jako administrator danych, naruszyła przepisy o ochronie danych osobowych. Uchybienia te polegały na nieuwzględnieniu w opracowanej i wdrożonej w Fundacji dokumentacji stanowiącej politykę bezpieczeństwa, informacji zawierających: wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe; wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych; opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; sposób przepływu danych pomiędzy poszczególnymi systemami (§ 4 pkt 1 – 4 rozporządzenia). W związku z powyższym w dniu 17 października 2017 r. GIODO wszczął z urzędu postępowanie administracyjne w celu wyjaśnienia okoliczności sprawy, a w odpowiedzi na zawiadomienie o wszczęciu postępowania administracyjnego Prokurent Fundacji pismem z 2 listopada 2017 r. złożył wyjaśnienia, w których nie zgodził się ze wskazanymi uchybieniami, zarzucając m.in. brak podstawy do wskazywania w polityce bezpieczeństwa informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe w związku z powierzeniem przetwarzania danych. Ponadto wyjaśnił, że do przetwarzania danych osobowych w Fundacji wykorzystywane są wszystkie programy wchodzące w skład pakietu biurowego MS Office oraz że w Fundacji nie następuje przepływ danych pomiędzy systemami. Zaskarżoną decyzją GIODO, działając na podstawie art. 104 § 1 k.p.a., art. 12 pkt 2, art. 18 ust. 1 pkt 1, art. 22 ustawy w zw. z § 4 pkt 1 – 4 rozporządzenia: 1) nakazał Fundacji przywrócenie stanu zgodnego z prawem przez uzupełnienie dokumentacji stanowiącej politykę bezpieczeństwa w zakresie informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe w związku z powierzeniem przetwarzania danych Grupie [...] sp. z o.o. z siedzibą w K. oraz w zakresie opisu struktury zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi, w terminie 14 dni od dnia w którym decyzja stanie się ostateczna; 2) w pozostałym zakresie umorzył postępowanie. W uzasadnieniu decyzji wskazano, że politykę bezpieczeństwa w Fundacji stanowi dokument o nazwie "Polityka bezpieczeństwa danych osobowych Fundacji [...]". Polityka bezpieczeństwa to dokument, który powinien być dostosowany do konkretnych warunków osobowych u określonego administratora danych. Przedmiotowa kontrola była pierwszą przeprowadzaną przez GIODO w Fundacji, w związku z powyższym polityka bezpieczeństwa Fundacji nie była przedmiotem oceny przeprowadzanej przez GIODO. W toku kontroli ustalono, że Fundacja przetwarza dane osobowe m.in. za pomocą poczty elektronicznej, w zasobach serwera pocztowego. Hostingodawcą powyższego serwera jest Grupa [...] sp. z o.o. z siedzibą w K., na podstawie zatwierdzonego regulaminu płatnych usług strefa.pl oraz umowy o powierzeniu przetwarzania danych osobowych, podpisanej przez Fundację. Z analizy powyższej polityki bezpieczeństwa wynika, że zawiera ona niepełny wykaz budynków, pomieszczeń lub części pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe, albowiem brakuje informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe w związku z realizacją wyżej wskazanej umowy. Tym samym Fundacja tylko częściowo spełnia wymóg, o którym mowa w § 4 pkt 1 rozporządzenia, bowiem w polityce bezpieczeństwa nie zostały uwzględnione budynki i pomieszczenia, w których przetwarzane są dane osobowe w związku z ich powierzeniem Grupie [...] sp. z o.o. Podstawą prawną do żądania umieszczenia w polityce bezpieczeństwa Fundacji wykazu budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe w związku z realizacją wyżej wskazanej umowy o powierzeniu przetwarzania danych osobowych, jest przepis § 4 pkt 1 rozporządzenia, zgodnie z którym polityka bezpieczeństwa powinna zawierać kompletny wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe, wobec których Fundacji przysługuje status administratora danych osobowych, niezależnie od tego czy pomieszczenia te znajdują się w siedzibie administratora danych, czy poza tą siedzibą. Zgodnie z analogiczną interpretacją GIODO utrwaloną w 2007 r. w wytycznych pn. "ABC bezpieczeństwa danych osobowych przetwarzanych przy użyciu systemów informatycznych", "Określając obszar przetwarzania danych osobowych, należy pamiętać, iż zgodnie z ustawą, przetwarzaniem danych osobowych nazywamy jakiekolwiek operacje wykonywane na danych osobowych, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W związku z powyższym, określanie obszaru pomieszczeń, w którym przetwarzane są dane osobowe, powinno obejmować zarówno te miejsca, w których wykonuje się operacje na nich (wpisuje, modyfikuje, kopiuje), jak również te, gdzie przechowuje się wszelkie nośniki informacji zawierające dane osobowe (szafy z dokumentacją papierową bądź komputerowymi nośnikami informacji z kopiami zapasowymi danych, stacje komputerowe, serwery i inne urządzenia komputerowe, jak np. macierze dyskowe, na których dane osobowe są przetwarzane na bieżąco). Zgodnie z treścią § 4 pkt 1 rozporządzenia miejsce przetwarzania danych osobowych powinno być określone poprzez wskazanie budynków, pomieszczeń lub części pomieszczeń, w których przetwarza się dane osobowe. Do obszaru przetwarzania danych należy zaliczyć również pomieszczenia, gdzie składowane są uszkodzone komputerowe nośniki danych (taśmy, dyski, płyty CD, niesprawne komputery i inne urządzenia z nośnikami zawierającymi dane osobowe). Do obszaru przetwarzania danych osobowych ich administrator powinien zaliczyć również miejsce w sejfie bankowym, archiwum itp., jeśli wykorzystywane są one np. do przechowywania elektronicznych nośników informacji zawierających kopie zapasowe danych przetwarzanych w systemie informatycznym czy też do składowania innych nośników danych." W związku z powyższym nie można zgodzić się z wyjaśnieniami Fundacji, w których podnoszony jest brak podstawy do wskazywania w polityce bezpieczeństwa informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe w związku z powierzeniem przetwarzania danych. Natomiast zgodnie z § 4 pkt 3 rozporządzenia, polityka bezpieczeństwa zawiera w szczególności opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi. Z informacji zawartych w załączniku nr 2 do polityki bezpieczeństwa danych osobowych zatytułowanym "Wykaz zbiorów danych osobowych" wynika, że Fundacja w ramach prowadzonej działalności przetwarza dane osobowe w zbiorach danych o nazwach: "Kandydaci", "Pracownicy", "Umowy cywilnoprawne", "Wolontariusze", "Osoby współpracujące", "Darczyńcy", "Rejestr korespondencji", "Newsletter", "Kontrahenci", "Książka kontroli", "Monitoring", "Kliencie" oraz "Zbiory powierzone". Z analizy polityki bezpieczeństwa w Fundacji wynika, że w punkcie: Struktura zbiorów danych osobowych, zawiera ona jedynie zapis, że "Szczegółowy opis struktury zbiorów danych osobowych określonych w załączniku nr 2 wraz ze wskazaniem poszczególnych pół informacyjnych i powiązań między nimi znajduje się w dokumentacji technicznej będącej w posiadaniu Informatyka i autorów oprogramowania". Na podstawie powyższych ustaleń, jak również przedstawionych przez Fundację wyjaśnień uznano, że Fundacja nie spełnia wymogu określonego w § 4 pkt 3 rozporządzenia i w związku z powyższym wskazane uchybienie nie może zostać uznane za usunięte. Zgodnie bowiem z cytowanymi przez Fundację w ww. piśmie wytycznymi pn. "ABC bezpieczeństwa danych osobowych przetwarzanych przy użyciu systemów informatycznych": "opisy poszczególnych pól informacyjnych w strukturze zbioru danych powinny jednoznacznie wskazywać, jakie kategorie danych są w nich przechowywane. Opis pola danych, gdy możliwa jest niejednoznaczna interpretacja jego zawartości, powinien wskazywać nie tylko kategorię danych, ale również format jej zapisu i/lub określone w danym kontekście znaczenie." Ponadto, zgodnie z wymogiem wskazanym w § 4 pkt 3 rozporządzenia, konieczne jest sporządzenie opisu struktury każdego ze zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi, przy czym zgodnie z art. 7 pkt 1 ustawy, przez zbiór danych rozumie się każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Opis w polach danych powinien umożliwiać jednoznaczną interpretację jego zawartości. Jednocześnie na podstawie przedstawionych wyjaśnień uznano, że pozostałe uchybienia stanowiące przedmiot postępowania administracyjnego, są bezprzedmiotowe, bowiem z wyjaśnień wynika, że do przetwarzania danych osobowych w Fundacji wykorzystywane są wszystkie programy wchodzące w skład pakietu biurowego MS Office, zatem wskazane zostały programy zastosowane do przetwarzania tych danych. Ponadto, z przedstawionych informacji wynika, że w Fundacji nie następuje przepływ danych pomiędzy poszczególnymi systemami, dlatego informacja o sposobie przepływu danych nie znalazła się w polityce bezpieczeństwa. Skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie na decyzję złożyła Fundacja. W odpowiedzi na skargę organ wniósł o jej oddalenie. Uzasadniając oddalenie skargi Sąd I instancji wskazał, że polityka bezpieczeństwa powinna zawierać kompletny wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe, wobec których Fundacji przysługuje status administratora danych osobowych i niezależnie od tego, czy pomieszczenia te znajdują się w siedzibie administratora danych, czy poza tą siedzibą. Jako przykład może służyć przytoczona przez organ analogiczna interpretacja GIODO zawarta w 2007 r. w wytycznych pn. "ABC bezpieczeństwa danych osobowych przetwarzanych przy użyciu systemów informatycznych". Sąd I instancji podkreślił również, że w myśl § 4 pkt 3 rozporządzenia, polityka bezpieczeństwa zawiera w szczególności opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi. Sąd I instancji stwierdził, że z załącznika nr 2 do polityki bezpieczeństwa danych osobowych zatytułowanego "Wykaz zbiorów danych osobowych" wynika, że Fundacja w ramach prowadzonej działalności przetwarza dane osobowe w zbiorach danych o wskazanych tam nazwach. Jak wynika z analizy polityki bezpieczeństwa w Fundacji, w punkcie "Struktura zbiorów danych osobowych", zawiera ona jedynie zapis, że "Szczegółowy opis struktury zbiorów danych osobowych określonych w załączniku nr 2 wraz ze wskazaniem poszczególnych pól informacyjnych i powiązań między nimi znajduje się w dokumentacji technicznej będącej w posiadaniu Informatyka i autorów oprogramowania". Zatem Fundacja nie spełnia wymogu określonego w cytowanym wyżej przepisie, bowiem zgodnie z wytycznymi "ABC bezpieczeństwa danych osobowych przetwarzanych przy użyciu systemów informatycznych": "..opisy poszczególnych pól informacyjnych w strukturze zbioru danych powinny jednoznacznie wskazywać, jakie kategorie danych są w nich przechowywane. Opis pola danych, gdy możliwa jest niejednoznaczna interpretacja jego zawartości, powinien wskazywać nie tylko kategorię danych, ale również format jej zapisu i/lub określone w danym kontekście znaczenie." Powyższe potwierdza również stanowisko doktryny (vide: Ochrona danych osobowych, Komentarz LEX, Janusz Barta, Paweł Fajgielski, Ryszard Markiewicz, Warszawa 2015 strony 708-710). Ponadto, konieczne jest sporządzenie opisu struktury każdego ze zbiorów danych, wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi, przy czym zgodnie z art. 7 pkt 1 ustawy, przez zbiór danych rozumie się każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Opis pola danych powinien umożliwiać jednoznaczną interpretację jego zawartości. Stąd też, w ocenie Sądu I instancji, nie sposób się zgodzić z zarzutem, że przepisy prawa nakazują czynienie powyższego wyłącznie w odniesieniu do programów, w których przetwarzane są dane osobowe, bowiem zgodnie z § 4 pkt 3 rozporządzenia, polityka bezpieczeństwa powinna zawierać opis struktury zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi, a nie programów, w których dane są przetwarzane. W prowadzonej przez Fundację polityce bezpieczeństwa wymienione zostały zbiory danych, jednakże skarżąca nie odniosła się do opisu struktury powyższych zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązań między nimi, natomiast odniosła się m. in. do "opisu struktury zbiorów programu Outlook", który nie jest wskazany w zawartym w polityce bezpieczeństwa Fundacji wykazie zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych. Zatem zarzut sporządzenia opisu struktury programów wykorzystywanych do przetwarzania danych zamiast opisu struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi, jest błędny. Sąd I instancji stwierdził również, że stanowiące podstawę przedstawionej interpretacji wymogów wynikających z § 4 pkt 1 i 3 rozporządzenia wytyczne "ABC bezpieczeństwa danych osobowych przetwarzanych przy użyciu systemów informatycznych" są znane skarżącej i w wybranym przez Fundację zakresie zostały zacytowane w piśmie z 2 listopada 2017 r. Zatem z jednej strony Fundacja określa interpretację przedstawioną w powyższych wytycznych jako absurdalną, zaś z drugiej powołuje się na nie w skierowanym do organu piśmie. W skardze kasacyjnej skarżąca zaskarżyła wyrok Sądu I instancji w całości, wnosząc o jego zmianę przez uwzględnienie skargi i stwierdzenie nieważności zaskarżonej decyzji jako wydanej z rażącym naruszeniem prawa, ewentualnie o jego uchylenie i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, a także o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych. Skarżąca kasacyjnie zrzekła się przy tym przeprowadzenia rozprawy. Ponadto, na podstawie art. 61 § 3 p.p.s.a. w zw. z art. 193 p.p.s.a. złożyła wniosek o wstrzymanie wykonania zaskarżonej decyzji podnosząc, że w obecnym stanie prawnym nie istnieją już podstawy prawne, na których oparto zaskarżoną decyzję. W związku z tym nie jest możliwe w ogóle wykonanie zaskarżonej decyzji, gdyż decyzja zawiera wadę powodującą jej nieważność z mocy prawa, tj. nakazy sprzeczne z przepisami prawa powszechnie obowiązującego i to nawet w dniu jej wydawania. Sądowi I instancji zarzucono naruszenie: 1. prawa materialnego, tj.: a) art. 18 ust. 1 ustawy przez jego błędną wykładnię i uznanie, że u skarżącej (administratora danych) doszło do naruszenia prawa w zakresie ochrony danych osobowych i w konsekwencji błędne oddalenie skargi i utrzymanie w mocy wyroku WSA w Warszawie; b) art. 7 pkt. 4 ustawy przez jego błędną wykładnię i uznanie że administratorem danych osobowych skarżącej jest nie tylko ona sama, ale także Grupa [...] sp. z o.o. z siedzibą w K., podczas kiedy definicja administratora danych odnosi się tylko do indywidulanych podmiotów, wskazując, że jest to organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych, i że w związku z tym dokumentacja ochrony danych skarżącej musi także zawierać wskazanie informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe w związku z ich powierzeniem Grupie [...] sp. z o.o. z siedzibą w K.; c) art. 31 ust. 1 ustawy przez jego całkowite pominięcie przy ocenie stanu faktycznego i niezastosowanie w sytuacji, kiedy to każdy indywidulany administrator danych opracowuje stosowną dokumentację ochrony danych osobowych niezbędną dla siebie i zgodną z przepisami prawa, a wzajemne ich stosunki zawierane są w pisemnej umowie w zakresie powierzenia przetwarzania danych, co w konsekwencji doprowadziło do nakazania skarżącej obowiązku wpisania do jej polityki bezpieczeństwa ochrony danych osobowych zakresu informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe Grupy [...] sp. z o.o. z siedzibą w K., podczas kiedy wskazany dokument w postaci polityki bezpieczeństwa jest dokumentem Fundacji, a nie Grupy [...] sp. z o.o. z siedzibą w K.; d) § 4 pkt 1-4 rozporządzenia przez jego błędną wykładnię i w konsekwencji uznanie, że polityka bezpieczeństwa skarżącej winna być uzupełniona w zakresie informacji o budynkach, pomieszczeniach lub częściach pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe w Grupie [...] sp. z o.o. z siedzibą w K. oraz w zakresie opisu struktury zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi. 2. przepisów postępowania przed sądami administracyjnymi, które mogło mieć istotny wpływ na wynik sprawy, tj. a) art. 145 § 1 pkt 1 pkt 2 oraz § 1 pkt 1 lit. a) i c) p.p.s.a. przez oddalenie skargi w sytuacji, kiedy zaskarżona decyzja wydana została z naruszeniem art. 156 § 1 pkt 2 k.p.a. tj. z rażącym naruszeniem prawa oraz art. 156 § 1 pkt 7 k.p.a., gdyż zawierała wadę powodującą jej nieważność z mocy prawa, bowiem zawierała nakaz przywrócenia stanu zgodnego z prawem, przy czym przepisy wówczas istniejącego prawa w ogóle tego nie wymagały, a sam stan prawny w chwili wydawania zaskarżonego wyroku nie istniał; b) art. 145 § 1 pkt 1 lit. a) i c) p.p.s.a. w zw. z art. 7, 77 § 1 i art. 80 k.p.a., których to naruszenie miało istotny wpływ na treść zaskarżonego wyroku, przez bezzasadne i dowolne uznanie, że dokumentacja skarżącej w zakresie ochrony danych osobowych nie odpowiadała przepisom prawa bez dokładnego, a w zasadzie bez jakiegokolwiek wyjaśnienia stanu faktycznego niezbędnego do załatwienia sprawy, bez wyczerpującego zebrania i rozpatrzenia materiału dowodowego i z błędnym przyjęciem, że stan wskazany przez organ I instancji został udowodniony w całokształcie materiału dowodowego, co doprowadziło do oddalenia skargi i utrzymania w obrocie prawnym całkowicie błędnej decyzji tego organu; c) art. 145 § 1 pkt 1 lit. b) p.p.s.a. w zw. z art. 33 § 3 k.p.a. przez oddalenie skargi i utrzymanie w mocy zaskarżonej decyzji mimo, że osoba podpisująca zaskarżoną decyzję w imieniu organu jak i odpowiedź na skargę z 21 marca 2018 r, nie załączyła do nich oryginału lub urzędowo poświadczonego odpisu pełnomocnictwa, co wskazuje że zarówno decyzja jak i odpowiedź na skargę zostały podpisane przez osobą nieuprawnioną, a zatem wydane i sporządzone zostały z rażącym naruszeniem prawa. W uzasadnieniu skargi kasacyjnej wskazano, że ze względu na fakt, iż zaskarżona decyzja jest ostateczna lecz nieprawomocna, a jej wykonanie nie jest możliwe ze względu na to, że z dniem 25 maja 2018 r. utraciły moc przepisy, na podstawie których wydano zaskarżoną decyzję i według których miało nastąpić przywrócenie stanu zgodnego z prawem – słuszny jest wniosek o wstrzymanie wykonania zaskarżonej decyzji. Wniosek jest zasadny, ponieważ nie ma już możliwości przywrócenia stanu zgodnego z prawem, gdyż odpadły stosowne podstawy prawne. Zdaniem skarżącej kasacyjnie organ I instancji bez jakiejkolwiek głębszej refleksji pominął lub też świadomie zauważyć nie chciał, że przepisy ustawy odnoszą się ściśle do każdego z administratorów danych osobowych. Zarówno bowiem przepisy ustawy jak i przepisy rozporządzenia odnoszą się tylko do administratorów danych, a nie podmiotów z którymi ci administratorzy współpracują. Każdy zatem administrator danych indywidualnie musi opracować w zakresie ochrony danych osobowych stosowną dokumentację. Na tę dokumentację składają się polityka bezpieczeństwa, a także instrukcja zarządzania systemem informacyjnym służącym do przetwarzania danych osobowych (§ 3 ust. 1 rozporządzenia). Tak więc dokumenty te i ich stosowna zawartość muszą odpowiadać stanowi faktycznemu występującemu u każdego z administratorów danych indywidulanie. Prawidłowy stan winien zatem być taki, że zarówno skarżąca jak i Grupa [...] sp. z o.o. z siedzibą w K. winny posiadać stosowną dokumentację. W polityce bezpieczeństwa każdy z tych podmiotów wskazuje informację o budynkach, pomieszczeniach lub częściach pomieszczeń, w których są przetwarzane dane osobowe. Dotyczy to jednak tylko tych budynków i pomieszczeń, które są w posiadaniu administratora danych. Z kolei powierzenie przetwarzania danych innemu podmiotowi zostało przez ustawodawcę wprost uregulowane w art. 31 ust. 1 ustawy. Odbywa się to na podstawie umowy (obowiązkowo w formie pisemnej), w której obie strony regulują swoje wzajemnie prawa i obowiązki. Jest to oczywiste, ponieważ w sytuacji obszernie prowadzonej działalności gospodarczej nie jest możliwym utrzymywanie w stanie aktualnym wykazu budynków i pomieszczeń wszystkich swoich kontrahentów. Skarżąca kasacyjnie wskazała również na dość "swobodne" traktowanie stanu faktycznego przez organ I instancji i nakazanie przywrócenia stanu zgodnego z prawem tylko w stosunku do Grupy [...] sp. z o.o. w siedzibą w K., a pominięcie w wydanej decyzji innych podmiotów współpracujących ze skarżącą, które analogicznie przetwarzają dane osobowe. Pominięto choćby bank, w którym skarżąca ma rachunek bankowy, firmę księgową, która prowadzi obsługę księgową dla skarżącej i posiada dane osobowe kontrahentów skarżącej, czy kancelarię prawną, która na rzecz skarżącej świadczy obsługę prawną. W ocenie skarżącej kasacyjnie wydana decyzja jest chęcią odwetu za czynności podejmowane przez skarżącą w zakresie swoich statutowych uprawnień. Statutowym zadaniem Fundacji jest bowiem chronienie obywateli i ich edukacja w zakresie bezpieczeństwa w szerokim zakresie, tj. począwszy od bezpieczeństwa fizycznego, a na elektronicznym i cybernetycznym kończąc. W tym zakresie skarżąca wystąpiła wcześniej w trybie przepisów ustawy do organu o udzielenie odpowiedzi na zadane mu pytania. Udzielona odpowiedź wskazała niezbicie na fakt, że organ powołany ustawowo do przestrzegania zasad ochrony danych osobowych sam ich nie przestrzega, w tym nie posiada właściwej dokumentacji ochrony danych osobowych i zgłoszonych do GIODO (sam do siebie) stosownych zbiorów danych osobowych, w których przetwarza dane osobowe. W bezpośrednim następstwie tego wszczęto kontrolę u skarżącej, a wskazane nieprawidłowości są nieprawidłowościami wskazanymi w jej ocenie tylko "na siłę", aby kontrola zakończyła się wykazaniem stanu niezgodnego z prawem. Zdaniem skarżącej kasacyjnie zarówno organ jaki i Sąd I instancji popełniły poważny błąd, który przełożył się na stan sprawy i miał radykalny wpływ na jej wynik. Otóż GIODO dopuścił się świadomego pominięcia istotnych dla sprawy okoliczności, a Sąd I instancji tego faktu nie zauważył. Stwierdzony przez organ stan, że zawarty w polityce bezpieczeństwa zapis, iż w punkcie struktura zbiorów – zawiera ona jedynie zapis, że "Szczegółowy opis struktury zbiorów danych osobowych określonych w załączniku nr 2 wraz ze wskazaniem poszczególnych pól informacyjnych i powiązań między nimi znajduje się w dokumentacji technicznej będącej w posiadaniu informatyka i autorów oprogramowania" nie spełnia wymogu rozporządzenia jest całkowicie błędny i chybiony. Wskazany w polityce bezpieczeństwa zapis jest bowiem zgodny ze stanem faktycznym. We wcześniejszych kontrolach prowadzonych przez ten organ na podstawie dokładnie tego samego zapisu GIODO wnosił o dostarczenie mu dla potrzeb kontroli dokumentacji będącej w posiadaniu owego informatyka jak i autorów oprogramowania. We wszystkich wcześniejszych kontrolach te same zapisy znalazły akceptację organu. Dziwi zatem obecnie okoliczność, że przy kontroli podjętej u skarżącej, takie same zapisy są kwestionowane. Kluczowym argumentem w tej sprawie jest jednakże to, że GIODO celowo pominął dostarczone mu w trakcie kontroli dokumenty w postaci stron od 21 do 24 załącznika nr 3 do Polityki bezpieczeństwa danych osobowych skarżącej. Na tych to stronach zgodnie z wytycznymi dotyczącymi opracowania i wdrożenia polityki bezpieczeństwa udostępnionymi przez Zespół Rzecznika Prasowego Biura GIODO zawarto właśnie opis tekstowy struktury zbiorów programu pocztowego Outlook. Wyraźnie wskazano tam, jak ma wyglądać opis struktury zbiorów wskazujący zawartość poszczególnych pól informacyjnych i powiązań między nimi. W ocenie skarżącej organ winien więc w oparciu o powyższe argumenty postępowanie umorzyć jako bezprzedmiotowe, także co do punktu 1 zaskarżonej decyzji. Skarżąca kasacyjnie podała również, że biura spółki P. sp. z o.o. znajdują się dokładnie w tym samym lokalu, co czynności kontrole wykonane w stosunku do skarżącej. Podczas kontroli w tym podmiocie GIODO nie kwestionował nigdy zapisów, których niewłaściwość obecnie zarzuca skarżącej. Ponadto w przypadku spółki P. sp. z o.o. była dokładnie taka sama sytuacja, gdyż spółka ta zawarła umowę powierzenia z firmą T. W tym przypadku GIODO nigdy nie zażądał, aby podać w dokumentacji ochrony danych osobowych adresów pod jakimi T. przetwarza dane. Co jeszcze ciekawsze to fakt, że spółka P. sp. z o.o. także korzysta z usług Grupy [...] sp. z o.o. w zakresie usług hostingowych. Ta dwoistość stanowiska organu I stopnia w stosunku do dwóch różnych podmiotów znajdujących się w tym samym pomieszczeniu i posiadających analogiczne dokumentacje ochrony danych osobowych musi być więc co najmniej zastanawiająca. Stanowi to wprost o dwóch różnych efektach ustaleń, wyników kontroli i rozstrzygnięć podejmowanych przez GIODO. W takiej sytuacji kiedy następuje "uznaniowość", nie można się z takim postępowaniem godzić. Postępowanie organów administracji musi bowiem się cechować stałością orzeczeń w takich samych stanach prawnych i faktycznych – z czym w niniejszej sprawie nie mamy do czynienia. W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie. Postanowieniem z 23 maja 2019 r., sygn. I OSK 991/19 Naczelny Sąd Administracyjny odmówił wstrzymania wykonania zaskarżonej decyzji. Naczelny Sąd Administracyjny rozważył, co następuje: Zgodnie z art. 183 § 1 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., dalej: p.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, z urzędu biorąc pod uwagę tylko nieważność postępowania. W niniejszej sprawie nie stwierdzono żadnej z przesłanek nieważności wymienionych w art. 183 § 2 p.p.s.a., wobec czego rozpoznanie sprawy nastąpiło w granicach zgłoszonych podstaw i zarzutów skargi kasacyjnej. Stosownie do art. 176 p.p.s.a. skarga kasacyjna winna zawierać zarówno przytoczenie podstaw kasacyjnych, jak i ich uzasadnienie. Przytoczenie podstaw kasacyjnych oznacza konieczność konkretnego wskazania tych przepisów, które zostały naruszone w ocenie wnoszącego skargę kasacyjną, co ma istotne znaczenie ze względu na zasadę związania Sądu II instancji granicami skargi kasacyjnej. Rozpoznana w tych granicach skarga kasacyjna nie okazała się skuteczna. Nie są uzasadnione zarzuty naruszenia przepisów postępowania. Nie znajduje potwierdzenia zarzut naruszenia art. 145 § 1 pkt 1 lit. b) p.p.s.a. w zw. z art. 33 § 3 k.p.a. Przepis art. 33 § 3 k.p.a. ma zastosowanie do pełnomocnika procesowego strony w postępowaniu administracyjnym, nie odnosi się do działania w imieniu organu administracji orzekającego w sprawie. Podstawą do udzielenia przez organ administracji pełnomocnictwa pracownikowi do załatwiania spraw w jego imieniu, a w szczególności do wydawania decyzji administracyjnych, jest przepis art. 268a k.p.a. W aktach sprawy znajduje się potwierdzone za zgodność z oryginałem pełnomocnictwo z 4 lipca 2016 r. udzielone w oparciu o art. 268a k.p.a. przez Generalnego Inspektora Ochrony Danych Osobowych D. K. zatrudnionej na stanowisku Zastępcy Dyrektora Departamentu Inspekcji w Biurze GIODO, obejmujące wydawanie decyzji i postanowień dotyczących postępowań prowadzonych w Departamencie Inspekcji Biura GIODO. Zaskarżona do sądu decyzja została podpisana z upoważnienia GIODO przez osobę legitymującą się tym upoważnieniem. Sąd I instancji nie miał żadnych podstaw do zastosowania art. 145 § 1 pkt 1 lit. b) p.p.s.a., skoro nie wykazano zaistnienia w postępowaniu administracyjnym żadnej z przesłanek wznowienia postępowania. Wydanie decyzji z rażącym naruszeniem prawa, zarzucane w skardze kasacyjnej, nie jest przesłanką wznowienia. Nie jest uzasadniony zarzut naruszenia art. 145 § 1 pkt 2 i pkt 1 lit. c) p.p.s.a. w zw. z art. 156 pkt 7 k.p.a. uzasadniany zmianą stanu prawnego. Nie jest zrozumiałe, na jakiej podstawie w skardze kasacyjnej przesłana nieważności z art. 156 § 1 pkt 7 k.p.a. została utożsamiona ze skutkami zmiany stanu prawnego w zakresie regulacji ochrony danych osobowych. Nie wskazano żadnego przepisu, z którego taka nieważność miałaby wynikać. Sąd administracyjny badając legalność działania organu administracji, kontroluje zaskarżoną decyzję na datę jej wydania, wedle wówczas obowiązującego stanu prawnego i przyjętych ustaleń faktycznych. Odwoływanie się w skardze kasacyjnej do tego, że w dacie orzekania przez Sąd I instancji, stan prawny uległ zmianie, nie ma żadnego znaczenia, prawodawca nie wprowadził dla tej sytuacji żadnej normy szczególnej, która uzasadniałaby zarzut nieważności decyzji. Postępowanie administracyjne zostało wszczęte 17 października 2017 r. i zakończone decyzją z [...] stycznia 2018 r., a zatem przed zmianą stanu prawnego. Nie uzasadniają uwzględnienia skargi kasacyjnej także zarzuty naruszenia art. 145 § 1 pkt 1 lit. c) p.p.s.a w zw. z art. 7, 77 i 80 k.p.a., nakierowane na wadliwość ustaleń faktycznych. Dla ich wykazania w uzasadnieniu skargi kasacyjnej wskazano na "pominięcie" przez organ stron 21-24 załącznika nr 3 do Polityki bezpieczeństwa, które zawierają opis tekstowy struktury zbiorów programu pocztowego Outlook. Materiał ten znajduje się w aktach sprawy. Nie niweczy on jednak ustaleń organu, że chociaż Fundacja przetwarza dane w 13 zbiorach, to dokument Polityki bezpieczeństwa nie zawiera opisu struktury tych zbiorów danych, nie wskazuje zawartości poszczególnych pól informacyjnych i powiązań między nimi. Każdy zbiór danych prowadzonych przez Fundację, zawiera uporządkowany zestaw danych osobowych, które są dostępne według przyjmowanych kryteriów, opisy pól powinny umożliwiać określenie zawartości tych zbiorów. Moduł "kontakty" dostępny w programie pocztowym, którego opis pól informacyjnych został przedstawiony w pkt VIII załącznika nr 3, nie odpowiada żadnemu ze zbiorów danych przetwarzanych przez Fundację, zgodnie z wykazem zbiorów danych osobowych. Na ocenę prawidłowości poczynionych w sprawie ustaleń faktycznych i przeprowadzonego postępowania wyjaśniającego nie mogą także mieć wpływu argumenty skargi kasacyjnej odwołujące się do odmiennej praktyki przyjmowanej przez organ przy kontroli innych podmiotów. Przyczyną bezskuteczności tych argumentów jest brak wskazania naruszonych w tym zakresie przepisów – art. 8 § 2 czy art. 81a § 1 k.p.a., ze względu na brak wskazania naruszonych przepisów, zarzuty nie poddają się weryfikacji. Z analogicznych względów nie podlega rozpatrzeniu argument uzasadnienia skargi kasacyjnej, skierowany przeciwko uzasadnieniu wyroku Sądu I instancji, nie połączono go bowiem z zarzutem naruszenia jakiegokolwiek przepisu, w szczególności nie wskazano na art. 141 § 4 p.p.s.a. Ocena skuteczności zarzutów naruszenia art. 145 § 1 pkt 1 lit. a) i pkt 2 p.p.s.a. w zw. z art. 156 § 1 pkt 2 k.p.a. zależy natomiast od uprzedniego rozpatrzenia zarzutów naruszenia przepisów prawa materialnego. Nie mógł odnieść skutku zarzut błędnej wykładni art. 18 ust. 1 ustawy o ochronie danych osobowych w brzmieniu obowiązującym w dacie wydania decyzji, albowiem nie został uzasadniony, nie wskazano naruszonych dyrektyw interpretacyjnych, nie określono prawidłowego rozumienia przepisu, zarzut w tym zakresie pozbawiony jest też uzasadnienia. Natomiast w zakresie, w jakim zarzucono jego niewłaściwe zastosowanie, jego skuteczność zależy od rozpoznania zarzutów naruszenia przepisów, będących podstawą nałożonego obowiązku. Przepis art. 18 ust. 1 ustawy ma bowiem w zakresie hipotezy charakter blankietowy, jego zastosowanie zależy od stwierdzenia naruszenia przepisów o ochronie danych osobowych. W niniejszej sprawie są to przepisy rozporządzenia regulującego treść dokumentacji przetwarzania danych prowadzonej przez administratora danych. Pozbawione podstaw i uzasadnienia są zarzuty naruszenia § 4 pkt 2 i 4 rozporządzenia, albowiem uchybień w tym zakresie GIODO nie stwierdził, na tej podstawie nie nałożono żadnych obowiązków, a postępowanie w tym zakresie zostało umorzone jako bezprzedmiotowe. Nie doszło również do wadliwego zastosowania przepisu § 4 pkt 1 i 3 rozporządzenia w ustalonym stanie faktycznym. Fundacja, zgodnie z art. 40 ustawy dokonała zgłoszenia do rejestracji zbiorów przetwarzanych danych osobowych. Zgodnie z art. 41 ust. 1 pkt 3a ustawy, zgłoszenia obejmowały także opis kategorii osób, których dane dotyczą, oraz zakres przetwarzanych danych. Z obowiązkiem tym koreluje przepis § 4 pkt 3 rozporządzenia, który wymaga, aby dokumentacja prowadzona przez administratora danych zawierała opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązań między nimi. Opis pól informacyjnych powinien precyzyjnie wskazywać kategorie przechowywanych danych. Analiza zgłoszeń zbiorów danych do rejestracji wskazuje, że w przypadkach poszczególnych zbiorów przetwarzaniu podlegały zróżnicowane, ale jednocześnie wielorakie dane. Stan ten powinien znaleźć odzwierciedlenie w obligatoryjnym dokumencie, jakim jest Polityka bezpieczeństwa danych osobowych. Powinny w niej zostać wskazane poszczególne grupy informacji oraz istniejące między nimi relacje, w celu pełnej identyfikacji danych przetwarzanych w zbiorze. Wymóg wskazania powiązań między polami informacyjnymi oznacza wskazanie tych wszystkich danych znajdujących się w zbiorze, które poprzez występujące relacje można skojarzyć z określoną osobą. Jak wyżej wskazano, treść załącznika nr 3 do tego dokumentu nie odzwierciedla struktury prowadzonych przez Fundację zbiorów danych, ani wzajemnych relacji (powiązań) pomiędzy polami danych. Z tego względu nie można zarzucić GIODO naruszenia art. 18 ust. 1 pkt 1 ustawy w zw. z § 4 pkt 3 rozporządzenia, stwierdzone naruszenie dawało podstawę do nałożenia obowiązku zmiany istniejącego stanu rzeczy przez nakazanie uzupełnienia Polityki bezpieczeństwa w omówionym zakresie. Nie doszło także do naruszenia § 4 pkt 1 rozporządzenia, zgodnie z którym Polityka bezpieczeństwa powinna zawierać wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane. Prowadzenie dokumentacji, o jakiej mowa w rozporządzeniu wydanym w oparciu o delegację z art. 39a ustawy, jest związane z obowiązkiem administratora do stosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych. To administrator danych jest podmiotem zobowiązanym do prowadzenia dokumentacji, o czym stanowi art. 36 ustawy. Zgodnie z art. 31 ust. 1 ustawy, administrator może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot ten, jakkolwiek nie staje się w wyniku powierzenia administratorem danych, zgodnie z art. 31 ust. 3 ustawy, również powinien spełnić wymagania określone w przepisach wydanych na podstawie delegacji z art. 39a ustawy i w tym zakresie ponosi odpowiedzialność jak administrator danych. Stosownie jednak do art. 31 ust. 4 ustawy, w przypadku powierzenia przetwarzania danych innemu podmiotowi, odpowiedzialność za przestrzeganie przepisów ustawy w dalszym ciągu spoczywa na administratorze, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową. Nie jest wobec tego trafny zarzut naruszenia art. 7 pkt 4 ustawy, w sprawie GIODO nie przyjął i nie miał podstaw do przyjęcia, że w zakresie określonym umową z Fundacją, spółka stała się administratorem powierzonych danych, nie wynika to także z zawartej umowy o powierzeniu przetwarzania danych z 4 lipca 2017 r. i przyjętych w niej definicji określających pozycję stron. Nie doszło także do naruszenia art. 31 ust. 1 ustawy, obowiązek podmiotu, któremu powierzono przetwarzanie, do przestrzegania wymagań określonych w rozporządzeniu, ma samodzielne umocowanie w art. 31 ust. 3 ustawy, ale nie świadczy to o zmianie jego statusu i zastąpienia administratora danych w jego obowiązkach. Obszar pomieszczeń, w których przetwarzane są dane, obejmuje miejsca, w których wykonywane są operacje przetwarzania w rozumieniu ustawy, a więc zbierania, utrwalania, przechowywania, opracowywania, zmieniania, udostępniania, usuwania. Jeżeli czynności te są wykonywane na serwerach udostępnianych administratorowi danych, to lokalizacja przeprowadzenia tych czynności powinna zostać określona zgodnie z § 4 pkt 1 rozporządzenia. Wobec braku podstaw do uwzględniania zarzutów naruszenia prawa materialnego, nie mogły w konsekwencji odnieść skutku zarzuty naruszenia art. 145 § 1 pkt 2 p.p.s.a. w zw. z art. 156 § 1 pkt 2 k.p.a. i art. 145 § 1 pkt 1 lit. a) p.p.s.s. Mając na uwadze podane argumenty, Naczelny Sąd Administracyjny, na podstawie art. 184 p.p.s.a. orzekł jak w sentencji o oddaleniu skargi kasacyjnej. Podstawą do rozpoznania skargi kasacyjnej na posiedzeniu niejawnym był przepis art. 182 § 2 i 3 p.p.s.a.