Source: https://odoserwis.pl/j/874/wyrok-wojewodzkiego-sadu-administracyjnego-w-lodzi-z-dnia-12-lutego-2019-roku
Timestamp: 2019-03-20 16:19:28+00:00
Document Index: 12691150

Matched Legal Cases: ['art. 30', 'art. 1', 'art. 21', 'art. 3', 'art. 3', 'art. 134', 'art. 52', 'art. 3', 'art. 37', 'art. 53', 'art. 4', 'art. 13', 'art. 13', 'art. 1', 'SA/Lu ', 'art. 1', 'art. 6', 'art. 6', 'art. 6', 'art. 1', 'art. 1', 'art. 61', 'art. 1', 'art. 61', 'art. 6', 'art. 30', 'art. 49', 'art. 32', 'art. 30', 'art. 49', 'art. 32', 'art. 30', 'art. 5', 'art. 30', 'art. 30', 'art. 151']

Wyrok Wojewódzkiego Sądu Administracyjnego w Łodzi z dnia 12 lutego 2019 roku | odoserwis.pl
II SAB/Łd 181/18
Administrator Danych, Rejestr Czynności Przetwarzania, Rejestr Kategorii Czynnosci Przetwarzania, Dostęp Do Informacji Publicznej,
Dnia 12 lutego 2019 roku Wojewódzki Sąd Administracyjny w Łodzi – Wydział II w składzie następującym: Przewodnicząca Sędzia WSA Jolanta Rosińska (spr.) Sędziowie Sędzia WSA Agnieszka Grosińska Sędzia NSA Paweł Janicki Protokolant St. sekretarz sądowy Anna Łyżwa po rozpoznaniu na rozprawie w dniu 12 lutego 2019 roku sprawy ze skargi P. G. na bezczynność Prezydenta Miasta Ł. w przedmiocie wniosku o udostępnienie informacji publicznej - oddala skargę. a.bł.
Pismem z dnia 23 listopada 2018 r. P.G. wniósł do Wojewódzkiego Sądu Administracyjnego w Łodzi skargę na bezczynność Prezydenta Miasta Ł. w przedmiocie wniosku o udostępnienie informacji publicznej. Skarżący wyjaśnił, że pismem z dnia 15 czerwca 2018 r. zwrócił się w formie elektronicznej o udostępnienie m.in. rejestru czynności przetwarzania oraz rejestru kategorii czynności przetwarzania; informacji z jaką datą rozpoczęto w urzędzie prace nad rejestrami oraz dokumentu na podstawie którego rozpoczęto prace nad ww. rejestrami, a także wskazania czynności przetwarzania, za które odpowiada Wydział Edukacji. Wspomnianych rejestrów, dokumentu oraz informacji jednak nie otrzymał. Wobec tego wniósł o zobowiązanie organu do niezwłocznego udostępnienia wnioskowanej informacji publicznej oraz zasądzenie kosztów postępowania.
W odpowiedzi na skargę Prezydent Miasta Ł. wniósł o jej oddalenie. Organ wyjaśnił, że odpowiedź na wniosek z dnia 15 czerwca 2018 r. skarżący otrzymał mailem z dnia 28 czerwca 2018 r. Rejestry czynności przetwarzania i rejestry kategorii czynności przetwarzania, o udostępnienie których wnosił skarżący, stanowią natomiast dokumentację wewnętrzną wspomagającą pracę administratora i inspektora ochrony danych w zakresie wdrażania odpowiednich środków technicznych i organizacyjnych, tak aby przetwarzanie odbywało się zgodnie z przepisami rozporządzenia oraz gwarantowało realizację zasady rozliczalności przed organem nadzoru. Z uwagi na fakt, że powyższe rejestry zawierają ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, nie podlegają ujawnianiu i powszechnemu dostępowi. Organ podkreślił, że powyższy pogląd wyraził również w komentarzu do rozporządzenia dr Paweł Fajgielski, według którego rejestr czynności przetwarzania, w odróżnieniu od rejestru zbiorów (prowadzonego przez organ nadzorczy oraz przez administratora bezpieczeństwa informacji na podstawie u.o.d.o.1997), nie ma charakteru jawnego i powszechnie dostępnego, a charakter wewnętrzny. Oznacza to, że rejestr czynności przetwarzania nie powinien być publikowany na stronach internetowych administratora ani udostępniany na żądanie zainteresowanych osób, bowiem przepis nakazuje jedynie udostępnianie rejestru organowi nadzorczemu. Brak jawności rejestru wynika m.in. z treści informacji w nim zawartych, które wymagają ochrony przed ujawnieniem osobom nieuprawnionym. Dotyczy to przede wszystkim informacji na temat zastosowanych zabezpieczeń, które powinny być objęte tajemnicą (Paweł Fajgielski, Komentarz: Ogólne rozporządzenie o ochronie danych osobowych, Ustawa o ochronie danych osobowych. Wolters Kluwer Polska Sp. z o.o. 2018). Z tych względów, w ocenie organu, rejestry te są dokumentami wewnętrznymi. Za takim podejściem przemawia również obowiązujące orzecznictwo Naczelnego Sądu Administracyjnego, zgodnie z którym nie stanowią informacji publicznej i nie podlegają udostępnianiu na podstawie ustawy o dostępie do informacji publicznej dokumenty wewnętrzne, które nie są skierowane do podmiotów zewnętrznych. Dokumenty takie służą wymianie informacji, zgromadzeniu niezbędnych materiałów, uzgadnianiu poglądów i stanowisk, mogą określać zasady działania w określonych sytuacjach; mogą też być fragmentem przygotowań do powstania aktu będącego formą działalności danego podmiotu (wyrok NSA z dnia 18 sierpnia 2010r. , I OSK 851/10). Ponadto, organ zauważył, że rejestr czynności przetwarzania wpisuje się w politykę bezpieczeństwa Urzędu Miasta Ł. i jest dokumentem wewnętrznym opracowanym w związku z koniecznością wypełnienia obowiązku m. in. w zakresie udokumentowania stosowanych przez administratora środków technicznych, wykazu zabezpieczeń fizycznych i technicznych, miejsc, gdzie dane są przetwarzane oraz programów zastosowanych do przetwarzania danych osobowych. Zdaniem Generalnego Inspektora Danych Osobowych, który na stronie internetowej w zakładce: "Wskazówki dla administratora danych", polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznym to dokumenty wewnętrzne, które powinny być udostępniane jedynie ograniczonemu kręgowi osób (https://giodo.goy.pl/pl/222/9906). Powyższą argumentację wzmacnia okoliczność, że dostęp do ww. rejestrów został określony w art. 30 ust. 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE - ogólne rozporządzenie o ochronie danych (Dz. Urz. UE L 119 z 4.05.2016, str. 1), zgodnie z którym administrator lub podmiot przetwarzający oraz - gdy ma to zastosowanie - przedstawiciel administratora lub podmiotu przetwarzającego udostępniają rejestr na żądanie organu nadzorczego. W konsekwencji oznacza to, że rejestry te nie podlegają udostępnieniu na podstawie przepisów ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej, gdyż zgodnie z art. 1 ust. 2 ww. ustawy, jej przepisy nie naruszają przepisów innych ustaw określających odmienne zasady i tryb dostępu do informacji będących informacjami publicznymi. Ponadto, skarżący uzyskał informację o publikatorze dokumentu na podstawie, którego rozpoczęto prace nad ww. rejestrami gdyż dokumentem tym było rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE - ogólne rozporządzenie o ochronie danych (Dz. Urz. UE L 119 z 4.05.2016, str. 1). Zdaniem organu czynności przetwarzania oraz kategorie czynności przetwarzania również nie stanowią informacji publicznej w rozumieniu przepisów ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej, bowiem zawarte są w ww. rejestrach.
Zgodnie z art. 21 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej do skarg rozpatrywanych w postępowaniach o udostępnienie informacji publicznej stosuje się przepisy ustawy Prawo o postępowaniu przed sądami administracyjnymi. Stosownie do art. 3 § 1 p.p.s.a. sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Kontrola ta obejmuje także orzekanie w sprawach ze skarg na bezczynność w przypadkach określonych w pkt 1 – 4a. (art. 3 § 2 pkt 8 p.p.s.a.). W ramach kontroli działalności administracji publicznej sąd uprawniony jest do badania, czy nie doszło do naruszenia przepisów prawa materialnego i przepisów postępowania, nie będąc przy tym związanym zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 p.p.s.a.).
Co do zasady, warunkiem dopuszczalności skargi do wojewódzkiego sądu administracyjnego jest – jak to wynika z przepisu art. 52 § 1 p.p.s.a. – wyczerpanie środków zaskarżenia, jeżeli służyły one skarżącemu w postępowaniu przed właściwym organem administracji publicznej, przy czym dotyczy to także skargi na bezczynność organu, o której mowa w art. 3 § 2 pkt 8 p.p.s.a. Jednakże w przypadku skargi na bezczynność organu, której przedmiotem jest dostęp do informacji skarga nie musi być poprzedzona żadnym środkiem zaskarżenia na drodze administracyjnej. Brak jest bowiem podstaw do występowania z wezwaniem do usunięcia naruszenia prawa oraz wykazywania, że złożone zostało ponaglenie w trybie, o którym mowa w art. 37 § 1 K.p.a. w zw. z art. 53 ust. 2b p.p.s.a. (por. wyrok Naczelnego Sądu Administracyjnego z dnia 24 maja 2006r., sygn. akt I OSK 601/05 dostępny w Centralnej Bazie Orzeczeń Sądów Administracyjnych, na stronie internetowej http://orzeczenia.nsa.gov.pl). Tym samym bezspornie przedmiotowa skarga jest dopuszczalna i podlega merytorycznemu rozpatrzeniu.
Przedmiotem skargi w niniejszej sprawie jest bezczynność Prezydenta Miasta Ł. w przedmiocie udostępnienia informacji publicznej żądanej w we wniosku skarżącego z dnia 15 czerwca 2018 r. w zakresie rejestru czynności przetwarzania i rejestru kategorii czynności przetwarzania, w tym czynności za które odpowiada Wydział Edukacji oraz wskazania daty rozpoczęcia prac nad rejestrami wraz z dokumentem, na podstawie którego rozpoczęto prace.
Przypomnieć w tym miejscu należy, że z bezczynnością mamy do czynienia wówczas, gdy w prawnie określonym terminie organ nie podjął żadnych czynności w sprawie lub gdy wprawdzie prowadził postępowanie w sprawie, jednakże – mimo istnienia ustawowego obowiązku – nie zakończył go wydaniem stosownego aktu lub nie podjął stosownej czynności (vide T. Woś [w:] T. Woś, H. Knysiak – Molczyk, M. Romańska, Postępowanie sądowoadministracyjne. Komentarz. Warszawa 2010, s. 70). O bezczynności organu na gruncie przepisów u.d.i.p. można mówić wyłącznie wówczas, gdy adresatem wniosku jest podmiot zobowiązany do udzielenia informacji publicznej. Niezbędnym warunkiem skargi do sądu administracyjnego na bezczynność jest wniesienie tejże skargi przez podmiot, od którego pochodzi wniosek lub osobę przez tenże podmiot upoważnioną. Ponadto, żądana informacja musi mieć charakter informacji publicznej.
Zaznaczyć należy, że niewątpliwe Prezydent Miasta Ł., do którego skierowano wniosek o udostępnienie informacji publicznej, jest podmiotem obowiązanym do udostępniania tego rodzaju informacji, bowiem stosownie do treści art. 4 ust. 1 u.d.i.p. do udostępniania informacji publicznej zobowiązane są władze publiczne oraz inne podmioty wykonujące zadania publiczne, w szczególności: organy władzy publicznej, organy samorządów gospodarczych i zawodowych, podmioty reprezentujące zgodnie z odrębnymi przepisami Skarb Państwa, podmioty reprezentujące państwowe osoby prawne albo osoby prawne samorządu terytorialnego oraz podmioty reprezentujące inne państwowe jednostki organizacyjne albo jednostki organizacyjne samorządu terytorialnego, podmioty reprezentujące inne osoby lub jednostki organizacyjne, które wykonują zadania publiczne lub dysponują majątkiem publicznym oraz osoby prawne, w których Skarb Państwa, jednostki samorządu terytorialnego lub samorządu gospodarczego albo zawodowego mają pozycję dominującą w rozumieniu przepisów o ochronie konkurencji i konsumentów.
Udostępnianie informacji publicznej na wniosek następuje bez zbędnej zwłoki i nie później niż w terminie 14 dni - art. 13 ust. 1 u.d.i.p. Jeżeli informacja publiczna nie może być udostępniona w terminie określonym w ust. 1, podmiot obowiązany do jej udostępnienia powiadamia w tym terminie o powodach opóźnienia oraz o terminie, w jakim udostępni informację, nie dłuższym jednak niż 2 miesiące od dnia złożenia wniosku (art. 13 ust. 2 u.d.i.p.).
W sytuacji zaś, gdy wnioskodawca żąda udzielenia informacji, która nie jest informacją publiczną lub stanowi taką informacją publiczną, w stosunku do której tryb dostępu odbywa się na odrębnych zasadach (art. 1 ust. 2 u.d.i.p.), organ nie ma obowiązku wydawania decyzji o odmowie udzielenia informacji, lecz zawiadamia jedynie wnoszącego, że żądane dane nie mieszczą się w pojęciu objętym przedmiotową ustawą (por. wyrok NSA Ośrodek Zamiejscowy w Lublinie z 20 czerwca 2002 r., II SA/Lu 507/02 – dostępne jw.).
W dalszej kolejności wskazać trzeba, że pojęcie informacji publicznej zostało określone przez ustawodawcę w art. 1 ust. 1 i art. 6 u.d.i.p. W świetle powyższych regulacji informacją publiczną jest każda informacja o sprawach publicznych, a w szczególności o sprawach wymienionych w art. 6 u.d.i.p. Informacją publiczną jest każda wiadomość wytworzona lub odnoszona do władz publicznych, a także wytworzona lub odnoszona do innych podmiotów wykonujących funkcje publiczne w zakresie wykonywania przez nie zadań władzy publicznej i gospodarowania mieniem komunalnym lub mieniem Skarbu Państwa. Informacja publiczna dotyczy sfery faktów. Jest nią treść dokumentów wytworzonych przez organy władzy publicznej, treść wystąpień i ocen przez nie dokonywanych, niezależnie, do jakiego podmiotu są one kierowane i jakiej sprawy dotyczą (vide: wyrok NSA z dnia 28 lutego 2013r. sygn. akt I OSK 2904/12; wyrok WSA w Rzeszowie z dnia 17 stycznia 2013r. sygn. akt II SAB/Rz 48/12, https://orzeczenia.nsa.gov.pl). Przepis art. 6 u.d.i.p. wprowadza przykładowy katalog informacji i dokumentów stanowiących informację publiczną w rozumieniu art. 1 ust. 1 u.d.i.p. Jego podstawową funkcją jest wskazanie najbardziej typowych kategorii informacji publicznych. Stanowi on nie tylko niezbędną konkretyzację postanowień art. 1 ust. 1 u.d.i.p. i doprecyzowuje zakres przedmiotowy u.d.i.p., ale także ułatwia wykładnię przepisów u.d.i.p. w kontekście regulacji art. 61 Konstytucji RP, której jest równocześnie rozwinięciem (por. wyrok NSA z dnia 2 grudnia 2015 r., sygn. akt I OSK 2337/15, Lex nr 1999914).
Trybunał Konstytucyjny w wyroku z dnia 13 listopada 2013 r. sygn. akt P 25/12 stwierdził, że w doktrynie prawnej i orzecznictwie pojęcie informacji publicznej i sprawy publicznej jest rozumiane szeroko. Podlega ono ustaleniu nie tylko na podstawie art. 1 ust. 1 u.d.i.p., lecz także, a nawet przede wszystkim, na podstawie art. 61 Konstytucji. Skoro prawo do informacji publicznej ma charakter konstytucyjny, to ustawy je dookreślające powinny być interpretowane w taki sposób, aby gwarantować obywatelom i innym jednostkom szerokie uprawnienia w tym zakresie, a wszelkie wyjątki powinny być rozumiane wąsko. Wymienione przepisy są podstawą przyjęcia, że informację publiczną stanowi każda wiadomość wytworzona przez szeroko rozumiane władze publiczne i osoby pełniące funkcje publiczne lub odnosząca się do władz publicznych, a także wytworzona lub odnosząca się do innych podmiotów wykonujących funkcje publiczne w zakresie wykonywania przez nie zadań władzy publicznej i gospodarowania mieniem komunalnym lub majątkiem Skarbu Państwa Informacją publiczną jest zatem treść dokumentów odnoszących się do organu władzy publicznej, związanych z nim bądź go dotyczących. Z tego szerokiego zakresu przedmiotowego informacji publicznej wyłączeniu podlegają jednak treści zawarte w dokumentach wewnętrznych, rozumiane jako informacje o charakterze roboczym (zapiski, notatki), które zostały utrwalone w formie tradycyjnej lub elektronicznej i stanowią pewien proces myślowy, proces rozważań, etap wypracowywania finalnej koncepcji, przyjęcia ostatecznego stanowiska przez pojedynczego pracownika lub zespół. W ich przypadku można bowiem mówić o pewnym stadium na drodze do wytworzenia informacji publicznej. Od dokumentów urzędowych w rozumieniu art. 6 ust. 2 u.d.i.p. odróżnia się zatem dokumenty wewnętrzne służące wprawdzie realizacji jakiegoś zadania publicznego, ale nieprzesądzające o kierunkach działania organu. Dokumenty takie służą wymianie informacji, zgromadzeniu niezbędnych materiałów, uzgadnianiu poglądów i stanowisk. Nie są jednak wyrazem stanowiska organu, wobec czego nie stanowią informacji publicznej.
Odnosząc powyższe do stanu faktycznego niniejszej sprawy przyznać należy rację organowi, że żądane przez skarżącego rejestry czynności przetwarzania oraz rejestry kategorii przetwarzania nie stanowią informacji publicznej, stąd poinformowanie w tej kwestii skarżącego w piśmie z dnia 28 czerwca 2018 r. skutecznie uwolniło organ od zarzutu bezczynności.
Wyjaśnienia wymaga, że obowiązek prowadzenia rejestru czynności wynika z art. 30 ust. 1 ogólnego rozporządzenia o ochronie danych osobowych (RODO), który stanowi, że każdy administrator oraz - gdy ma to zastosowanie – przedstawiciel administratora prowadzą rejestr czynności przetwarzania danych osobowych, za które odpowiadają".
W rejestrze tym, zgodnie z dalszą treścią ww. artykułu, powinny znaleźć się następujące informacje: a) imię i nazwisko lub nazwa oraz dane kontaktowe administratora oraz wszelkich współadministratorów, a także gdy ma to zastosowanie – przedstawiciela administratora oraz inspektora ochrony danych; b) cele przetwarzania; c) opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych; d) kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych; e) gdy ma to zastosowanie, przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja odpowiednich zabezpieczeń; f) jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych; g) jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1.
Natomiast podmioty przetwarzające, oraz – gdy ma to zastosowanie – ich przedstawiciele, zgodnie z art. 30 ust. 2 RODO, zobowiązani są do prowadzenia rejestru kategorii czynności przetwarzania wykonywanych w imieniu zlecających im je administratorów danych. W rejestrze kategorii czynności przetwarzania powinny być zawarte: a) imię i nazwisko lub nazwa oraz dane kontaktowe podmiotu przetwarzającego lub podmiotów przetwarzających oraz każdego administratora, w imieniu którego działa podmiot przetwarzający, a gdy ma to zastosowanie – przedstawiciela administratora lub podmiotu przetwarzającego oraz inspektora ochrony danych; b) kategorie przetwarzań dokonywanych w imieniu każdego z administratorów; c) gdy ma to zastosowanie – przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja odpowiednich zabezpieczeń; d) jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust.1.
Celem obowiązku określonego w art. 30 RODO jest zatem zapewnienie - zarówno przez administratora oraz podmioty przetwarzające, jak i przez organ nadzorczy - zgodności z RODO (art. 5 ust. 2 RODO), czyli z wskazanymi w tym akcie prawnym zasadami i warunkami przetwarzania danych osobowych.
Jak podkreśla Prezes UODO prowadzone przez administratorów i przetwarzających rejestry pozwalają im usystematyzować wykonywane czynności oraz całościowo spojrzeć na wykonywane operacje przetwarzania danych osobowych pod względem zgodności m.in. z wymaganiami prawnymi (por. Wskazówki i wyjaśnienia dotyczące obowiązku rejestrowania czynności i kategorii czynności przetwarzania określnego w art. 30 ust. 1 i 2 RODO, dostępne na www.uodo.gov.pl). Rejestry mają ponadto ułatwić organowi nadzorczemu kontrolę wszystkich procesów przetwarzania danych w organizacji.
W kontekście obowiązku określonego w art. 30 ust. 1 RODO przyjąć należy, że czynności przetwarzania to zespół powiązanych ze sobą operacji na danych, wykonywanych przez jedną lub kilka osób, które można określić w sposób zbiorczy, w związku z celem, w jakim te czynności są podejmowane. Rejestr z kolei to opis poszczególnych zespołów operacji związanych zbiorczo z realizacją określonego celu przetwarzania. Rejestr kategorii czynności stanowi natomiast krótszą formę rejestru czynności przetwarzania i w odróżnieniu od rejestru czynności nie musi zawierać celów przetwarzania, opisu kategorii osób, których dane dotyczą, kategorii danych osobowych oraz kategorii odbiorców, którym dane osobowe zostały lub zostaną ujawnione.
Zdaniem Sądu powyższe przepisy i rozważania potwierdzają prawidłowość stanowiska organu, według którego prowadzone rejestry czynności przetwarzania oraz rejestry kategorii czynności przetwarzania (w tym te za które odpowiada Wydział Edukacji) nie stanowią informacji publicznej, lecz stanowią dokument o charakterze wewnętrznym - organizacyjnym i porządkowym. Warto bowiem zaznaczyć, że założeniem ustawy o dostępie do informacji publicznej było zapewnienie w drodze dostępu do informacji publicznej społecznej kontroli nad działalnością m.in. organów administracji publicznej (por. wyrok NSA z dnia 4 sierpnia 2015r. I OSK 1645/14, Lex nr 1770329). Cel ten winien być każdorazowo uwzględniany przy ocenie czy dana informacja ma charakter informacji publicznej. W przedmiotowej sprawie celem prowadzenia rejestrów jest, co zostało już wspomniane, usystematyzowanie wykonywanych operacji przetwarzania danych osobowych pod względem zgodności z wymaganiami prawnymi. Powyższa okoliczność przesądza o wewnętrznym i organizacyjnym charakterze wspomnianych rejestrów.
Ponadto, rozróżnić należy informację publiczną od nośnika tej informacji (por. wyrok NSA z dnia 2 grudnia 2015 r., sygn. akt I OSK 2337/15, Lex nr 1999914). Żądane rejestry nie zawierają informacji o sprawach publicznych, lecz informację o sposobie gromadzenia danych osobowych. Są więc nośnikiem informacji o charakterze wewnętrznym, porządkowym, ewidencyjnym, który ma służyć zapewnieniu m.in. porządku i bezpieczeństwa. Takie rejestry nie odnoszą się natomiast do publicznej sfery działania organu i jako takie nie zawierają informacji publicznej. Tym samym Sąd podziela stanowisko organu, zgodnie z którym żądane przez skarżącego rejestry nie podlegają udostępnieniu w trybie ustawy o dostępie do informacji publicznej.
Za niezasadną uznać także należy skargę w pozostałej części. Zaaprobować należy bowiem stanowisko organu, według którego w piśmie z dnia 28 czerwca 2018 r., zatem w terminie ustawowym, poinformował stronę o dacie podjęcia prac nad rejestrami czynności przetwarzania i wskazał dokument, na podstawie którego rozpoczęto te prace. Organ wskazał jednocześnie publikator tego dokumentu tj. rozporządzenia z dnia 27 kwietnia 2016 r., uwalniając się tym samym od zarzutu bezczynności w tym zakresie. Przepisy te są opublikowane i jako obowiązujące nie podlegają udostępnieniu w trybie określonym ustawą o dostępie do informacji publicznej. Z utrwalonego orzecznictwa sądowego wynika, że informacja o obowiązujących przepisach prawa nie podlega udostępnieniu w trybie ustawy o dostępie do informacji publicznej (zob. np. wyrok NSA z dnia 19 grudnia 2002 r., sygn. akt II SA 3301/02, dostępny w Centralnej Bazie Orzeczeń Sądów Administracyjnych, www.orzeczenia.nsa.gov.pl).
Wobec powyższych okoliczności Sąd oddalił skargę na podstawie art. 151 p.p.s.a.k.ż.