Wyrok NSA, sygn. akt I OSK 945/14
Naczelny Sąd Administracyjny
Data orzeczenia: 2015-12-04 00:00:00+01:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Uchylono zaskarżony wyrok i oddalono skargę
Powołane przepisy: article: art. 37
journal: Dz.U. 2014 poz 1182
law: Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jednolity
article: art. 7, art. 77
journal: Dz.U. 2013 poz 267
law: Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - tekst jednolity
article: art. 188
journal: Dz.U. 2012 poz 270
law: Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity.

SENTENCJA

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Małgorzata Jaśkowska (spr.) Sędziowie: Sędzia NSA Małgorzata Pocztarek Sędzia del. WSA Ewa Kwiecińska Protokolant: starszy sekretarz sądowy Karolina Kubik po rozpoznaniu w dniu 4 grudnia 2015 roku na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 12 grudnia 2013 r. sygn. akt II SA/Wa 814/13 w sprawie ze skargi I. D. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2013 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku na nieprawidłowości w procesie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i oddala skargę, 2. odstępuje od zasądzenia zwrotu kosztów postępowania sądowego.


UZASADNIENIE

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 12 grudnia 2013 r. po rozpoznaniu skargi I. D. uchylił decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2013 r. nr [...], a także poprzedzającą ją decyzję tego organu z dnia [...] sierpnia 2012 r. w przedmiocie odmowy uwzględnienia skargi na przetwarzanie danych osobowych przez Burmistrza K., a także orzekł, że zaskarżona decyzja nie podlega wykonaniu w całości (sygn. akt II SA/Wa 814/13).

Sąd I instancji orzekał w następującym stanie sprawy.

W dniu 10 kwietnia 2012 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych (dalej również jako: GIODO) wpłynęła skarga I. D. na udostępnienie jego danych osobowych przez Burmistrza K. osobie nieupoważnionej. W treści skargi I. D. wskazał, iż w dniu 9 grudnia 2011 r. udał się do Urzędu Miasta w K. w celu odebrania nowego dowodu osobistego i wówczas dostęp do jego danych zawartych w ww. dokumencie miała E. K. - pracownik Urzędu Miasta w K.

Decyzją z dnia [...] sierpnia 2012 r. GIODO odmówił uwzględnienia skargi.

Następnie na skutek wniosku o ponowne rozpatrzenie sprawy GIODO decyzją z dnia [...] stycznia 2013 r. utrzymał w mocy zaskarżoną decyzję. Uzasadniając swoje rozstrzygnięcie organ wskazał, że przesłankę legalizującą przetwarzanie danych osobowych skarżącego stanowi art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (obecnie tekst jedn. Dz. U. z 2014 r., poz. 1182 ze zm). Zgodnie bowiem z konstytucyjnie uregulowaną zasadą legalizmu, organy władzy publicznej działają na podstawie i w granicach prawa. Ramy prawne dla Burmistrza K. - jako organu właściwego do wydania skarżącemu dowodu osobistego, określają przepisy ustawy z dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych (tekst Dz. U. z 2006 r., Nr 139, poz. 993 ze zm.).

Po przeprowadzeniu postępowania wyjaśniającego i zebraniu materiału dowodowego GIODO uznał za nieuzasadniony zarzut skarżącego dotyczący przetwarzania jego danych osobowych zawartych w dowodzie osobistym przez pracownika Urzędu Miasta w K. – E. K., bez stosownego upoważnienia. Organ ustalił bowiem, że E. K. w zakresie swoich obowiązków m.in. wydawała interesantom dowody osobiste. Nadto stosownie do treści art. 37 ustawy o ochronie danych osobowych, posiadała ona nadane przez administratora danych, tj. Burmistrza K. w dniu 8 września 2010 r. upoważnienie do przetwarzania danych osobowych zawartych w tych dokumentach (karta nr 10 akt administracyjnych).

Od powyższej decyzji I. D. złożył skargę wnosząc o jej uchylenie. Skarżący zakwestionował prawidłowość wydanych przez GIODO decyzji. Stwierdził, że wydane zostały bez poszanowania prawa strony i nie są zgodne z materiałem dowodowym zgromadzonym w aktach sprawy.

W odpowiedzi na skargę GIODO wniósł o jej oddalenie. Wskazał, że z postępowania przeprowadzonego w sprawie wynika, iż E. K. została upoważniona do przetwarzania danych osobowych w zakresie dotyczącym dowodów osobistych. Upoważnienie obejmowało prawo dostępu do tego typu danych odnośnie do czynności faktycznej, jaką jest wydanie dowodu osobistego osobie zgłaszającej się po jego odbiór.

Wspomnianym na wstępie wyrokiem Wojewódzki Sąd Administracyjny w Warszawie uwzględnił skargę.

Uzasadniając orzeczenie Sąd I instancji zaznaczył, że istota sporu sprowadza się do oceny, czy administrator danych – Burmistrz K., który w postępowaniu o wydanie nowego dowodu osobistego był niewątpliwie administratorem danych osobowych skarżącego, przetwarzał je legalnie, działając przez osobę trzecią, tj. swojego pracownika.

W ocenie WSA w Warszawie, organ nieprawidłowo uznał, iż E. K. posiadała stosowne upoważnienie do przetwarzania danych osobowych skarżącego, zważywszy, iż zakresu upoważnienia nie można domniemywać. Z treści przedłożonego przez Burmistrza K. pełnomocnictwa wynika jedynie to, że E. K. została upoważniona "do czynności faktycznej, jaką jest fizyczne wydanie dowodu osobistego osobie zgłaszającej się po odbiór". Stąd też Sąd I instancji doszedł do wniosku że nie posiadała ona prawidłowego upoważnienia do przetwarzania danych osobowych skarżącego. Wykładnia językowa tak zakreślonego upoważnienia daje podstawę do twierdzenia, że E. K. uprawniona została jedynie do czynności pomocniczych, tj. fizycznego podania dokumentu petentowi, po zweryfikowaniu jego tożsamości i odszukaniu dokumentu przez osobę trzecią, która posiada pełne uprawnienia do przetwarzania danych osobowych, tj. do wglądu w dokumenty i ich treść. Taki wniosek wynika, zdaniem Sądu, także z oświadczenia Burmistrza K. z dnia 15 czerwca 2012 r. (k. 9 akt administracyjnych).

Sąd I instancji zauważył, że prowadząc postępowanie wyjaśniające, organ zaniechał ustalenia i wyjaśnienia, czy w dniu 9 grudnia 2011 r., kiedy to skarżący w siedzibie Urzędu wyraził wolę odebrania dowodu osobistego, E. K. pracowała w obecności osób trzecich, które posiadały stosowne upoważnienie Burmistrza do przetwarzania danych osobowych skarżącego, czy też, przekraczając zakres upoważnienia Burmistrza, czynności wykonywała samodzielnie. O przeprowadzenie takich ustaleń wnosił skarżący. Zdaniem WSA w Warszawie organ nie wziął też pod uwagę wyjaśnień Burmistrza, z których wynika wprost, że zakres upoważnienia E. K. jest ograniczony do czynności pomocniczych.

Sąd I instancji wskazał ponadto, że stosownie do art. 38 ustawy o ochronie danych osobowych, administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane, przez kogo przetwarzane. W myśl art. 36 ustawy oraz rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji, przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), Burmistrz winien był wprowadzić "Politykę bezpieczeństwa" przetwarzania danych osobowych w Urzędzie Miasta K. Administrator danych jest też zobowiązany do prowadzenia dokumentacji, opisującej sposób przetwarzania danych oraz środki techniczne i organizacyjne, zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych, objętych ochroną. Rozpoznając przedmiotową sprawę, organ zaniechał ustalenia, czy i jakie zarządzenia zostały w tym zakresie przez Burmistrza K. wydane. GIODO nie ustalił też, według jakiego systemu chronione są dane osobowe w Urzędzie Miasta K. w postępowaniu o wydanie dowodów osobistych, kto prowadzi ewidencję osób upoważnionych do przetwarzania danych, czy osoby te przeszły stosowne szkolenie i czy złożyły zapewnienie zachowania tajemnicy.

W konsekwencji, Sąd I instancji za przedwczesną uznał ocenę organu, iż w przedmiotowej sprawie zaistniała przesłanka legalizująca przetwarzanie danych osobowych, określona w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych.

Określając wytyczne dla organu WSA w Warszawie wskazał, że ponownie rozpoznając sprawę, organ uzupełni i przeprowadzi postępowanie wyjaśniające na wskazane okoliczności, a ponadto ustali, czy w dniu 9 grudnia 2011 r. E. K., na podstawie upoważnienia Burmistrza działała samodzielnie, obsługując interesantów, w tym skarżącego, czy też wypełniała czynności pomocnicze w obecności osoby w pełni uprawnionej do przetwarzania danych osobowych. Dokonując tych ustaleń, organ, stosownie do art. 39 ustawy, zażąda od Burmistrza, będącego administratorem danych, ewidencji osób upoważnionych do przetwarzania danych osobowych i listy ich obecności w pracy w dniu zdarzenia, tj. w dniu 9 grudnia 2011 r.

Od powyższego wyroku skargę kasacyjną złożył Generalny Inspektor Ochrony Danych Osobowych wnosząc o uchylenie zaskarżonego orzeczenia w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie.

Zaskarżonemu wyrokowi zarzucono:

1. naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt 1 lit c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2012 r., poz. 270 ze zm., dalej jako; p.p.s.a), w związku z art. 7 i 77 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2013 r., poz. 267 ze zm., dalej jako: k.p.a.), wobec błędnego uznania, iż ustalając stan faktyczny w stopniu pozwalającym na dokonanie rozstrzygnięcia w sprawie, organ miał obowiązek ustalić w szczególności: czy administrator danych opracował dokumentację opisującą sposób przetwarzania danych oraz środki techniczno - organizacyjne, zapewniające ochronę przetwarzanych danych osobowych, odpowiednią do zagrożeń oraz kategorii danych, objętych ochroną, "według jakiego systemu chronione są dane osobowe w Urzędzie Miasta K. w postępowaniu o wydanie dowodów osobistych", kto prowadzi ewidencję osób upoważnionych do przetwarzania danych, czy osoby te przeszły stosowne szkolenie, czy złożyły zapewnienie zachowania tajemnicy, co skutkowało uchyleniem decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2013 r. oraz poprzedzającej ją decyzji z dnia [...] sierpnia 2012 r., gdy tymczasem powyższe okoliczności, których ustalenia organ zaniechał, nie miały znaczenia dla sprawy, gdyż wychodziły poza zakres wyznaczony treścią wniosku (skargi) wszczynającego postępowanie administracyjne,

2. naruszenie przepisów prawa materialnego, tj. art. 37 ustawy o ochronie danych osobowych poprzez jego niewłaściwe zastosowanie do ustalonego stanu faktycznego, poprzez błędne uznanie, że upoważnienie z dnia 8 września 2010 r. do przetwarzania danych osobowych, udzielone przez Burmistrza K. E. K., obejmuje wyłącznie czynność techniczną wydania dowodu osobistego osobie zgłaszającej się po jego odbiór, nie obejmuje natomiast takich czynności, jak wgląd w treść dokumentów, a tym samym uznanie, że administrator danych naruszył ten przepis poprzez dopuszczenie do przetwarzania danych osobowych skarżącego osobę nieposiadającą stosownego upoważnienia, podczas gdy upoważnienie z dnia 8 września 2010 r. obejmuje także wgląd w treść dokumentów.

W uzasadnieniu skargi kasacyjnej GIODO wskazał, że zgodnie z art. 22 ustawy o ochronie danych osobowych postępowanie w sprawach uregulowanych w ustawie prowadzi się według przepisów k.p.a., o ile przepisy ustawy nie stanowią inaczej. Stosownie zaś do art. 61 § 1 k.p.a. postępowanie administracyjne wszczyna się na żądanie strony lub urzędu. Zakres prowadzonego postępowania administracyjnego toczącego się przed GIODO na skutek wniosku osoby, której dane dotyczą, wyznaczony jest treścią skargi. Organ nie podejmuje wówczas takich samych działań, jak w postępowaniu prowadzonym z urzędu. Skarżący w treści swojej skargi zakwestionował udostępnienie jego danych osobowych przez Burmistrza K. na rzecz osoby nieupoważnionej – E. K. Stąd też postępowanie wyjaśniające ograniczało się do ustalenia okoliczności związanych z zakresem przedmiotowym skargi. Nie zachodziła konieczność zażądania od Burmistrza m.in. kserokopii listy obecności, kopii opinii radcy prawnego, czy też odbierania wyjaśnień w zakresie, w jakim dana osoba była zatrudniona.

W ocenie GIODO zbędnym było prowadzenie postępowania ukierunkowanego na zbadanie cyt.: "według jakiego systemu chronione są dane osobowe w Urzędzie Miasta K. w postępowaniu o wydanie dowodów osobistych, kto prowadzi ewidencję osób upoważnionych do przetwarzania danych, czy osoby te przeszły stosowne szkolenie, czy złożyły zapewnienie zachowania tajemnicy itp." Okoliczności te wykraczają bowiem poza zakres skargi, która dotyczyła udostępnienia danych osobowych skarżącego konkretnej osobie nieupoważnionej.

Ponadto organ uznał za błędne ustalenie przez Sąd I instancji zakresu upoważnienia udzielonego E. K. przez Burmistrza. W ocenie organu ww. dokument upoważnia ją do przetwarzania danych osobowych osób zgłaszających się po odbiór dowodu osobistego i wbrew twierdzeniom WSA w Warszawie nie ogranicza się wyłącznie do podania dokumentu. Zawężenie wykładni treści ww. upoważnienia sprowadzałoby się do potraktowania ww. pracownicy urzędu jako osoby, która wyłącznie może podać dokument, nie zaznajamiając się z jego treścią, a zatem byłoby to wbrew intencjom administratora danych.

W odpowiedzi na skargę kasacyjną I. D. wniósł o oddalenie skargi kasacyjnej, jako że jest oderwana od jego korespondencji w sprawie i od uzasadnienia wyroku.

Naczelny Sąd Administracyjny zważył, co następuje.

Skarga kasacyjna zasługuje na uwzględnienie.

Na wstępie należy wskazać, że postępowanie kasacyjne oparte jest na zasadzie związania Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej i podstawami zaskarżenia wskazanymi w tej skardze. Sąd ten, w odróżnieniu od Sądu I instancji, nie bada całokształtu sprawy z punktu widzenia stanu prawnego, który legł u podstaw zaskarżonego orzeczenia. Bada natomiast zasadność przedstawionych w skardze kasacyjnej zarzutów. Zakres kontroli jest zatem określony i ograniczony wskazanymi w skardze kasacyjnej przyczynami wadliwości prawnej zaskarżonego wyroku wojewódzkiego sądu administracyjnego. Jedynie w przypadku, gdyby zachodziły przesłanki powodujące nieważność postępowania sądowoadministracyjnego określone w art. 183 § 2 p.p.s.a., NSA mógłby podjąć działania z urzędu, niezależnie od zarzutów wskazanych w skardze. Takie przesłanki w niniejszej sprawie nie występują.

Skarżący kasacyjnie organ zarzucił zaskarżonemu wyrokowi zarówno naruszenie przepisów postępowania, jak też przepisów prawa materialnego.

W ocenie strony wnoszącej skargę kasacyjną naruszenie przez Sąd I instancji przepisów postępowania tj. art. 7 i art. 77 § 1 k.p.a. polegało na uznaniu, że postępowanie wyjaśniające Generalnego Inspektora Ochrony Danych Osobowych, przeprowadzone zostało w zbyt wąskim zakresie, niepozwalającym na rozstrzygnięcie sprawy. Zdaniem natomiast GIODO wskazane przez Sąd I instancji ustalenia na okoliczność m.in. czy administrator danych opracował dokumentację opisującą sposób przetwarzania danych oraz środki techniczno - organizacyjne, zapewniające ochronę przetwarzanych danych osobowych, kto prowadzi ewidencję osób upoważnionych do przetwarzania danych, a także czy osoby te przeszły stosowne szkolenie, czy złożyły zapewnienie zachowania tajemnicy, nie były istotne dla prawidłowego rozstrzygnięcia rozpoznawanej sprawy.

Zarzut ten, zdaniem Naczelnego Sądu Administracyjnego, zasługuje na uwzględnienie.

Generalny Inspektor Ochrony Danych Osobowych jest organem do spraw ochrony danych osobowych. Jego podstawowe zadania i kompetencje zostały wymienione w art. 12 ustawy o ochronie danych osobowych. Jednym z zadań GIODO, określonym w art. 12 ust. 2 ustawy o ochronie danych osobowych, jest rozpoznawanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Przedmiotem takiej skargi może być na przykład brak dbałości administratora o merytoryczną poprawność przetwarzanych danych, przetwarzanie tych danych w innym celu niż ten, dla którego zostały zebrane, bezpodstawne nieudostępnianie danych. Niewątpliwie skarga może dotyczyć również podejrzenia przetwarzania danych przez osobę nieuprawnioną.

Jeżeli zatem określona osoba zgłasza GIODO nieprawidłowości w zakresie przetwarzania danych osobowych, jest on zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie, czy dane osobowe są w istocie przetwarzane, jeżeli tak, to w jakim celu i czy proces ten następuje z poszanowaniem przepisów ustawy o ochronie danych osobowych. GIODO wszczyna i prowadzi postępowanie na wniosek strony według przepisów k.p.a. i rozstrzyga sprawę indywidualną strony w zakresie objętym jej wnioskiem, wydając w tym zakresie decyzję administracyjną (por. wyrok WSA w Warszawie z dnia 9 listopada 2011 r., sygn. akt II SA/Wa 1363/11). Autorem wniosku o wszczęcie takiego postępowania może być wyłącznie podmiot posiadający interes prawny, tzn. co do zasady osoba, według której jej dane osobowe przetwarzane są niezgodnie z prawem. Taka sytuacja miała miejsce w rozpoznawanej sprawie. Skarżący złożył do GIODO skargę na Burmistrza Miasta K. wskazując, że udostępnił on jego dane osobowe osobie nieuprawnionej (E. K.). W związku z tym organ ochrony danych osobowych przeprowadził stosowne postępowanie wyjaśniające, w ramach którego ustalił, że E. K. została upoważniona przez Burmistrza, na podstawie art. 37 ustawy o ochronie danych osobowych, do przetwarzania danych osobowych w zakresie dotyczącym dowodów osobistych. Ponadto z zebranych przez GIODO oświadczeń Burmistrza Miasta K. w sposób bezsprzeczny wynika zakres upoważnienia udzielonego wspomnianej osobie.

Należy podkreślić, że w skardze, która zainicjowała postępowanie organu ochrony danych osobowych, skarżący wskazał jedynie na opisane wyżej uchybienia związane z przetwarzaniem jego danych osobowych przez E. K. – pracownika Urzędu Miasta K., która w ocenie skarżącego nie miała stosownego upoważnienia. W trakcie postępowania wyjaśniającego skarżący również nie podnosił innych okoliczności. Stąd też, w ocenie Naczelnego Sądu Administracyjnego, organ przeprowadził rzetelnie i w sposób wyczerpujący postępowanie dowodowe w zakresie pozwalającym na rozstrzygnięcie indywidualnej sprawy, wszczętej skargą I. D.

Tym samym stwierdzenie Sądu I instancji o naruszeniu przez organ art. 7 i art. 77 § 1 k.p.a. nie znajduje uzasadnienia w materiale dowodowym zgromadzonym w aktach sprawy.

Naczelny Sąd Administracyjny wskazuje, że sygnalizowane przez stronę, a także opisane przez Sąd I instancji nieprawidłowości w procesie przetwarzania danych osobowych w zakresie szerszym niż zbadanie poprawności przetwarzania danych osobowych skarżącego, mogłoby ewentualnie prowadzić do wszczęcia przez Generalnego Inspektora Ochrony Danych Osobowych postępowania z urzędu. Nie oznacza to jednak, że można czynić zarzut organowi ochrony danych osobowych, że niejako przy okazji rozpoznawania skargi wniesionej w indywidualnej sprawie, nie przeprowadził z urzędu kontroli pod kątem przestrzegania ogólnych zasad związanych z przetwarzaniem danych osobowych, w przypadku braku zarzutów co do tych kwestii. Innymi słowy GIODO wydając zaskarżoną decyzję mógł odnieść się wyłącznie do sytuacji prawnej skarżącego wynikającej z wydarzenia, które było przedmiotem skargi, a nie do innych zagadnień dotyczących organizacji systemu ochrony danych osobowych w Urzędzie Miasta K.

W ocenie Naczelnego Sądu Administracyjnego na uwzględnienie zasługuje również zarzut naruszenia przez Sąd I instancji art. 37 ustawy o ochronie danych osobowych, który stanowi, że do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. Niewłaściwe zastosowanie tego przepisu przez Sąd I instancji, zdaniem skarżącego kasacyjnie organu, polegało na błędnym uznaniu, że upoważnienie Burmistrza Miasta K. z dnia 8 września 2010 r. udzielone E. K. (k. 10 akt administracyjnych) umożliwiało jej jedynie wykonywanie czynności technicznych polegających na wydaniu dowodu osobistego osobie zgłaszającej się po jego odbiór.

Stanowisko Sądu I instancji w tej kwestii jest nieuprawnione i nie koresponduje z treścią opisanego upoważnienia. NSA zwraca uwagę, że Burmistrz K. upoważnił E. K. – zatrudnioną w Urzędzie Miasta w K. - do "przetwarzania danych osobowych w zakresie dotyczącym dowodów osobistych. Upoważnienie obejmuje prawo do dostępu do w/w danych w zakresie czynności faktycznej, jaką jest fizyczne wydanie dowodu osobistego osobie zgłaszającej się po jej odbiór". Zdaniem NSA upoważnienie to ma szerszy zakres niż wskazany przez WSA w Warszawie w zaskarżonym wyroku. Obejmuje ono czynności techniczne związane z wydaniem dowodu osobistego, a zatem również działania związane z weryfikacją tożsamości osoby zgłaszającej się po jego odbiór. NSA zauważa, że działaniem przekraczającym ramy upoważnienia mogłoby być przetwarzanie przez wymienioną osobę danych osobowych w ramach czynności prawnych, ale takich E. K. w niniejszej sprawie nie dokonywała. Ponadto z art. 37 cyt. ustawy nie wynika, że administrator danych może upoważnić do przetwarzania danych wyłącznie pracownika określonej jednostki organizacyjnej. Można co prawda mieć wątpliwości, czy upoważnienie obejmuje również czynność odbioru poprzedniego dowodu, ale jak wynika z akt sprawy do czynności takiej wobec skarżącego nie doszło.

Wskazać ponadto trzeba, że wbrew stanowisku skarżącego, upoważnienie Burmistrza K. nie ogranicza czynności w nim wskazanych do podejmowania ich tylko w obecności innych pracowników. Słuszne jest zatem stanowisko przedstawione w skardze kasacyjnej, że brak jest w niniejszej sprawie konieczności żądania od administratora danych dokumentów tj. kopii listy obecności, kopii opinii radcy prawnego, czy też odbierania wyjaśnień w zakresie stanowiska, na jakim jest zatrudniona E. K.

Biorąc pod uwagę powyższe Naczelny Sąd Administracyjny, działając na podstawie art. 188 p.p.s.a. (w brzmieniu nadanym ustawą z dnia 9 kwietnia 2015 r. o zmianie ustawy - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2015 r., poz. 658) uchylił zaskarżony wyrok. Jednocześnie uznając, że istota sprawy jest dostatecznie wyjaśniona uznał, że skarga I. D. nie zasługuje na uwzględnienie i na podstawie art. 151 p.p.s.a. ją oddalił.

Na podstawie art. 207 § 2 p.p.s.a odstąpiono od orzeczenia o obowiązku zwrotu przez I. D. na rzecz organu kosztów postępowania, z uwagi na trudną sytuację, w jakiej znajduje się skarżący, o czym świadczy przyznanie mu przez WSA w Warszawie prawa pomocy.