>Orzecznictwo>NSA>2010 >

II SA/Wa 725/09→I OSK 242/10

WYROK

W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ

dnia 15 grudnia 2010 r.

Naczelny Sąd Administracyjny na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 3 listopada 2009r. sygn. akt II SA/Wa 725/09 w sprawie ze skargi B. M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2009 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku w sprawie przetwarzania danych osobowych

oddala skargę kasacyjną.

Uzasadnienie
Wyrokiem z dnia 3 listopada 2009 r. Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu skargi B. M., uchylił decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2009 r. oraz poprzedzającą ją decyzję z dnia [...] grudnia 2008 r. w przedmiocie odmowy uwzględnienia wniosku w sprawie przetwarzania danych osobowych.
W uzasadnieniu wyroku Sąd I przyjął następujące okoliczności faktyczne i prawne:
B. M. wniosła do Biura Generalnego Inspektora Ochrony Danych Osobowych skargę na niezgodne z prawem przetwarzanie jej danych osobowych przez Starostę P., w tym na udostępnienie jej danych osobom nieupoważnionym. Skarżąca wskazała, iż Zarząd Powiatu P. naruszył przepis art. 27 ust. 1 ustawy o ochronie danych osobowych poprzez zlecenie osobom fizycznym: W. M., W. K. – K. i K. M. sporządzenia "raportu zbiorczego obejmującego ocenę sytuacji w zakresie przestrzegania standardów wychowania i opieki w Domu Dziecka w K. – B., wskazanie przyczyn zaistniałej sytuacji oraz opracowanie programu naprawczego w przedmiotowym zakresie". Wskazane osoby nie miały pisemnego upoważnienia organu powiatowego do przeprowadzenia nadzoru placówki w dniu jego rozpoczęcia oraz nie były uprawnione do wglądu w dokumentację pracowniczą skarżącej, zawierającą m.in. dane o jej stanie zdrowia.
W toku przeprowadzonego postępowania Generalny Inspektor Ochrony Danych Osobowych uzyskał od Starosty P., reprezentującego Zarząd Powiatu P., wyjaśnienia, z których wynikało, że zgodnie z art. 112 ust. 8 ustawy o pomocy społecznej starosta sprawuje nadzór nad działalnością rodzinnej opieki zastępczej, ośrodków adopcyjno-opiekuńczych, jednostek specjalistycznego poradnictwa, w tym rodzinnego, oraz ośrodków wsparcia, domów pomocy społecznej, placówek opiekuńczo-wychowawczych i ośrodków interwencji kryzysowej. Starosta wskazał również, iż był uprawniony do przeprowadzenia czynności nadzorczych poprzez zlecenie ich wykonania niezależnemu zespołowi ekspertów na podstawie umowy cywilnoprawnej. W związku z powyższym w dniu [...] kwietnia 2006 r. w P. doszło do zawarcia trzech umów o dzieło pomiędzy Powiatem P., w imieniu którego działał Starosta P., a W. M., W. K. – K. i K. M. Celem każdej z umów było wykonanie dzieła polegającego na sporządzeniu diagnozy dotyczącej realizacji zadań w zakresie standardów wychowania i opieki Domu Dziecka w K. – B., a także opracowanie programu naprawczego. Osoby opracowujące program naprawczy miały dostęp do tzw. "danych wrażliwych" dotyczących stanu zdrowia skarżącej, zawartych w dokumentacji pracowniczej. Umowy o dzieło zostały sporządzone w formie pisemnej w trakcie wykonywania nadzoru.
W wyniku dokonanych ustaleń Generalny Inspektor w dniu [...] grudnia 2008 r. wydał decyzję odmawiającą uwzględnienia wniosku skarżącej, wskazując, że działanie Starosty P. było usankcjonowane przepisem art. 23 ust. 1 pkt 2 i 4 w zw. z art. 31 ust. 1 i 2 ustawy o ochronie danych osobowych.
We wniosku o ponowne rozpatrzenie sprawy B. M. podniosła, że Generalny Inspektor Ochrony Danych Osobowych uczynił podmiotem jej skargi Starostę Powiatu P., a nie Zarząd Powiatu P., zaś przedmiotem - wyłącznie wgląd osób nadzorujących w dokumentację pracowniczą skarżącej zawierającą informacje o stanie jej zdrowia, podczas gdy właściwym przedmiotem skargi był "szereg innych czynności" dokonywanych podczas nadzoru.
Decyzją z dnia [...] marca 2009 r. Generalny Inspektor Danych Osobowych utrzymał w mocy zaskarżoną decyzję. Odnosząc się do zarzutów wniosku o ponowne rozpatrzenie sprawy Generalny Inspektor podniósł, że używając w zaskarżonej decyzji stwierdzenia, iż skarga dotyczyła przetwarzania danych osobowych skarżącej przez Starostę P. działał prawidłowo. Stwierdzenie to miało na celu wskazanie osoby uprawnionej do reprezentacji Zarządu Powiatu P., na czele którego stoi Starosta P. uprawniony do jego reprezentacji, co wynika z art. 26 ust. 2 ustawy o samorządzie powiatowym. Natomiast z art. 34 ust. 1 tej ustawy wynika, iż starosta organizuje pracę zarządu powiatu i starostwa powiatowego, kieruje bieżącymi sprawami powiatu oraz reprezentuje powiat na zewnątrz. Organ wskazał, iż w zaskarżonej decyzji nie odnosił się do legalności przetwarzania danych osobowych pracowników bądź wychowanków Domu Dziecka w K. – B., a w związku z tym nie wskazywał również podmiotu posiadającego uprawnienie do administrowania danymi. Mając na uwadze kwestię sprawowania przez skarżącą funkcji Dyrektora Domu Dziecka w K. – B., na podstawie uchwały o numerze [...] z dnia [...] grudnia 2004 r., podjętej przez Zarząd Powiatu P., organ stwierdził, iż podstawą prawną upoważniającą Starostę (posiadającego status pracodawcy w stosunku do skarżącej) do przetwarzania jej danych osobowych jest Kodeks pracy. Dom Dziecka w K. – B. jest jednostką organizacyjną powiatu i Starosta P., reprezentujący Zarząd Powiatu P., będąc jednocześnie pracodawcą, jest administratorem danych skarżącej – Dyrektora wymienionej placówki. Administrator danych może, w świetle art. 31 ust. 1 ustawy o ochronie danych osobowych, powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Organ wskazał także, iż podczas prowadzonego postępowania w tej sprawie Generalny Inspektor odniósł się tylko i wyłącznie do czynności nadzorczych, które miały ścisły związek z przetwarzaniem danych osobowych skarżącej, nie zaś innych osób (pracowników i wychowanków), których, jak zarzuca skarżąca, dane osobowe były podczas realizacji tych czynności przetwarzane. Odnosząc się do kwestii podmiotów uprawnionych do przeprowadzania czynności nadzorczych w placówkach opiekuńczo-wychowawczych, organ stwierdził, iż wojewoda nie jest jedynym organem o uprawnieniach nadzorczo-kontrolnych w pomocy społecznej. Generalny Inspektor nie odniósł się w decyzji do treści wyroku Sądu Okręgowego w P. z dnia [...] stycznia 2008 r. przywracającego skarżącą do pracy, w którym Sąd ten odniósł się także do kwestii uprawnień osób nadzorujących Dom Dziecka w K. – B., ze względu na niewielki wpływ tego orzeczenia na treść decyzji.
W skardze skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie B. M. podniosła, że jej skarga inicjująca postępowanie Generalnego Inspektora nie dotyczyła Starosty P., który zdaniem organu był uprawniony do przeprowadzenia czynności nadzorczych poprzez zlecenie ich wykonywania niezależnemu zespołowi ekspertów. Zdaniem skarżącej, takie stwierdzenie jest nieuprawnione w świetle przepisów prawa, bowiem nie istnieje podstawa prawna do zlecania czynności kontrolnych na podstawie umów cywilnoprawnych przez Starostę, a tym bardziej przez Zarząd Powiatu. Ustawa o pomocy społecznej wyraźnie wskazuje, kto z ramienia Starosty może wykonywać czynności nadzorczo-kontrolne w jednostkach pomocy społecznej. Ponadto stanowisko Generalnego Inspektora, dotyczące Starosty jako administratora danych osobowych skarżącej jest niesłuszne, bowiem nie wnosiła ona skargi dotyczącej działalności Starosty jako osoby wykonującej czynności z zakresu prawa pracy, lecz działań Zarządu.
W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując argumentację zaprezentowaną w uzasadnieniu zaskarżonej decyzji.
Uwzględniając skargę Wojewódzki Sąd Administracyjny w Warszawie w pierwszej kolejności zwrócił uwagę, że z ustawy o ochronie danych osobowych nie wynika zakaz przetwarzania danych osobowych, lecz obowiązek przestrzegania zakresu i trybu ich przetwarzania. Zgodnie bowiem z art. 1 ust. 2 ustawy dane osobowe mogą być przetwarzane, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą, lub dobru osób trzecich. Stosownie do treści art. 7 pkt 2 ustawy przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Zakres przetwarzania danych osobowych określa art. 23 ust. 1 ustawy o ochronie danych osobowych. W przypadku spełnienia choćby jednej z przesłanek wymienionych w art. 23 tej ustawy, administrator jest uprawniony do udostępnienia innym podmiotom zgromadzone przez siebie dane osobowe.
Sąd I instancji zwrócił uwagę na treść art. 26 ust. 1 pkt 1 i 2 ustawy, w świetle których, administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem i zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami. Wyrażona w ten sposób zasada legalności dotyczy nie tylko postanowień ustawy o ochronie danych osobowych (w szczególności art. 23), ale wszelkich norm prawa. Zgodność z prawem dotyczy przestrzegania zarówno przepisów prawa materialnego, jak i przepisów dotyczących postępowania.
Sąd przyjął, że skarżąca kwestionuje legalność przetwarzania zarówno jej danych osobowych, jak i danych wychowawców oraz podopiecznych Domu Dziecka w K. –B. przez osoby fizyczne, którym na podstawie umów cywilnoprawnych Powiat P., reprezentowany przez Zarząd, zlecił dokonanie oceny sytuacji w zakresie przestrzegania standardów wychowania i opieki w placówce, wskazanie przyczyn zaistniałej sytuacji oraz opracowanie programu naprawczego, sporządzenie diagnozy dotyczącej oceny realizacji zadań w zakresie standardów wychowania i opieki w placówce oraz opracowanie programu naprawczego. O ile Generalny Inspektor uznał, iż przetwarzanie danych osobowych skarżącej we wskazanych okolicznościach było zgodne z prawem, albowiem uprawnienia nadzorcze starosty w stosunku do placówek opiekuńczo wychowawczych wynikają z art. 112 ust. 8 ustawy o pomocy społecznej, zaś zlecenie przez organ powiatowy przetwarzania danych osobowych osobom trzecim było możliwe w oparciu o umowę cywilnoprawną zgodnie z art. 31 ust. 1 i 2 ustawy o ochronie danych osobowych, to w ocenie Sądu I instancji rozstrzygnięcie organu opiera się na błędnej wykładni powyższych przepisów prawa materialnego.
Analiza art. 112 ust. 5 i 8 ustawy o pomocy społecznej doprowadziła Sąd I instancji do wniosku, że ustawodawca tylko staroście - jako organowi administracji publicznej - przyznał uprawnienia do wydawania decyzji administracyjnych w indywidualnych sprawach z zakresu opieki społecznej. Przeniesienie tych uprawnień jest ograniczone podmiotowo i może zostać uczynione na rzecz kierownika centrum pomocy społecznej lub innych pracowników centrum. Wskazane kompetencje stanowią lex specialis w stosunku do ogólnych unormowań art. 38 ust. 2 ustawy o samorządzie powiatowym. Starosta jest również organem nadzoru wobec rodzin zastępczych i powiatowych jednostek organizacyjnych pomocy społecznej. Sąd wyjaśnił, że pojęcie nadzoru nierozerwalnie łączy się z kontrolą. Uprawnienia nadzorcze obejmują prawo ustalenia stanu faktycznego, porównania zaistniałej w toku kontroli sytuacji z normą prawną i stosowania władczych form działania (wydawania decyzji, wystąpień) w celu przywrócenia naruszonego wzorca określonego przepisami prawa. Wymienione formy działania przysługują tylko i wyłącznie organom administracji publicznej, zarówno państwowej, jak i samorządowej. Mogą być zatem dokonywane tylko przez organy do tego ustawowo umocowane bądź też aparat urzędniczy organu, jeżeli przepisy kompetencyjne na to zezwalają. Organy administracji publicznej działają tylko i wyłącznie na podstawie przepisów prawa powszechnie obowiązującego (ogólna zasada wyrażona w art. 6 kpa).
Sąd I instancji zauważył, że z kserokopii odpisu "Materiału Zbiorczego/Raportu" wynika, że zespół ekspertów dokonywał w okresie od dnia [...] marca 2006 r. do dnia [...] maja 2006 r. niezapowiedzianych "wizytacji" Domu Dziecka w K. – B., podczas których zapoznawał się m.in. z dokumentacją pracowników placówki, dokumentacją wychowanków, kartami pobytu dziecka w placówce. Zakres dokonywanych czynności wskazuje, zdaniem Sądu, jednoznacznie na dokonywanie czynności kontrolnych, do wykonywania których osoby te, niezależnie od posiadanych kwalifikacji zawodowych, nie były w świetle obowiązujących przepisów uprawnione. Wbrew twierdzeniom Generalnego Inspektora, działań nadzorczych osób niebędących pracownikami powiatowego centrum pomocy rodzinie nie może legalizować ani natychmiastowa potrzeba uzdrowienia sytuacji w placówce podległej Staroście P., ani powierzenie tych uprawnień w drodze czynności cywilnoprawnych specjalistom spoza administracji Powiatu. Wprawdzie na podstawie art. 31 ust. 1 i 2 ustawy o ochronie danych osobowych, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych, jednakże unormowanie to nie może mieć zastosowania do czynności zastrzeżonych do wyłącznej kompetencji organów administracji publicznej.
Jednocześnie Sąd I instancji stwierdził, że na podstawie art. 84 kpa organ administracji publicznej może zwrócić się do biegłego lub biegłych o wydanie opinii, gdy w sprawie wymagane są wiadomości specjalistyczne. W takim przypadku przetwarzanie danych osobowych przez biegłego specjalistę uzyskuje przymiot legalności. Biegły nie jest powołany do ustalenia stanu faktycznego, lecz naświetlenia i wyjaśnienia okoliczności sprawy wskazanych przez organ administracji publicznej z punktu widzenia posiadanych przez niego wiadomości. Dokonywanie ustaleń kontrolnych nie należy jednak do biegłego specjalisty, lecz do samego organu.
W konsekwencji Sąd I instancji stwierdził, że Generalny Inspektor Ochrony Danych Osobowych bezzasadnie przyjął, iż przetwarzanie danych osobowych skarżącej przez zespół specjalistów na zlecenie Zarządu Powiatu P. było uzasadnione przesłankami wskazanymi w art. 23 ust. 1 pkt 2 i 4 ustawy o ochronie danych osobowych.
W skardze kasacyjnej skierowanej do Naczelnego Sądu Administracyjnego, Generalny Inspektor Ochrony Danych Osobowych, reprezentowany przez pełnomocnika w osobie radcy prawnego, podniósł zarzut naruszenia przepisów prawa materialnego, polegającego na błędnym zastosowaniu art. 145 § 1 pkt 1 lit. a) p.p.s.a. jako podstawy uchylenia zaskarżonej decyzji poprzez przyjęcie, że Generalny Inspektor Ochrony Danych Osobowych dokonał błędnej wykładni i niewłaściwe zastosował przepisy prawa materialnego, tj. art. 23 ust. 1 pkt 2 i 4 oraz art. 31 ust. 1 i 2 ustawy o ochronie danych osobowych, a także art. 112 ust. 8 ustawy o pomocy społecznej.
W uzasadnieniu skargi kasacyjnej jej autor wskazał, że nie może zgodzić się z poglądem Sądu I instancji, że działań nadzorczych nie legalizuje potrzeba natychmiastowego uzdrowienia sytuacji w placówce podległej Staroście P. Zaistniała w domu dziecka kryzysowa sytuacja stwarzała podstawę do wszczęcia postępowania nadzorczego w stosunku do placówki na podstawie art. 112 ust. 8 ustawy o pomocy społecznej. Starosta miał prawo zlecić dokonanie określonych czynności w ramach postępowania nadzorczego osobom trzecim, a z treści art. 31 ust. 1 i 2 ustawy o ochronie danych osobowych wynika, że mógł zlecić im także przetwarzanie danych osobowych. GIODO zwrócił również uwagę, że zgodnie z art. 118 ustawy o pomocy społecznej starosta wykonuje zadania nadzorcze przy pomocy powiatowego centrum pomocy rodzinie, jednak nie jest wyłączona możliwość korzystania z pomocy osób trzecich.
Powołując takie zarzuty w ramach podstawy kasacyjnej, o której mowa w art. 174 pkt 1 p.p.s.a. Główny Inspektor Ochrony Danych Osobowych wniósł o uchylenie zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania przez Sąd I instancji, ewentualnie o wydanie wyroku na podstawie art. 188 p.p.s.a.
W odpowiedzi na skargę kasacyjną B. M. wniosła o jej oddalenie.
Naczelny Sąd Administracyjny zważył, co następuje:
Skarga kasacyjna nie ma usprawiedliwionych podstaw.
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U.Nr 153, poz. 1270 z późn. zm.) – zwanej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej z urzędu biorąc pod uwagę jedynie nieważność postępowania. W niniejszej sprawie żadna z przesłanek wymienionych w art. 183 § 2 p.p.s.a. nie wystąpiła, stąd też kontrola instancyjna ograniczała się jedynie do zbadania zasadności zarzutów podniesionych w skardze kasacyjnej, a poza kontrolą pozostawała natomiast zgodność orzeczenia z innymi przepisami prawa.
Skarga kasacyjna oparta została na podstawie kasacyjnej, o której mowa w art. 174 pkt 1 p.p.s.a., w ramach której postawiono zarzut naruszenia prawa materialnego, polegający na błędnej wykładni i niewłaściwym zastosowaniu przepisów art. 23 ust. 1 pkt 2 i 4 oraz art. 31 ust. 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn.: Dz.U. z 2002 r. Nr 101, poz. 926 z późn. zm.), a także art. 112 ust. 8 ustawy z dnia 12 marca 2004 r. o pomocy społecznej (Dz.U.Nr 64, poz. 593 z późn. zm.).
W pierwszej kolejności warto wskazać, że wydając zaskarżony wyrok Sąd I instancji przyjął na podstawie załączonej do skargi kserokopii odpisu "Materiału Zbiorczego/Raportu" sporządzonego przez W. M. – psychologa, Dyrektora Centrum [...] "[...]" w P., trenera rekomendowanego przez Polskie Towarzystwo Psychologiczne w Warszawie, W. K. – psychologa, K. M. – pedagoga, socjoterapeutę w Centrum [...]"[...]" w P., że osoby te dokonywały w okresie od dnia [...] marca 2006 r. do dnia [...] maja 2006 r. niezapowiedzianych "wizytacji" Domu Dziecka w K. – B., w toku których zapoznawały się m.in. z dokumentacją pracowników placówki, dokumentacją wychowanków, kartami pobytu dziecka w placówce. W ocenie Sądu I instancji zakres dokonywanych przez specjalistów czynności wskazywał w sposób jednoznaczny na ich kontrolny charakter w ramach uprawnień nadzorczych.
Tymczasem z akt sprawy wynika, że w placówce już wcześniej, tj. w roku 2005, przeprowadzane były przez pracowników Wydziału Polityki Społecznej [...] Urzędu Wojewódzkiego kontrole realizacji zadań w zakresie wybranych elementów standardu wychowania i opieki w placówce opiekuńczo – wychowawczej, w toku których stwierdzono nieprawidłowości. Na tej podstawie Starosta P. uzyskał wiedzę, że ośrodek w K. – B. nie funkcjonuje prawidłowo. Stąd też na posiedzeniu w dniu [...] lutego 2006 r. Zarząd Powiatu postanowił przeznaczyć odpowiednie środki finansowe na zatrudnienie psychologów i pedagoga w celu "zdiagnozowania istniejącej sytuacji i opracowania programu naprawczego". Nie można zatem wykluczyć możliwości dokonania odmiennej oceny charakteru działań zespołu specjalistów skoro czynności kontrolne zostały już wcześniej przeprowadzone przez uprawnionych pracowników.
W skardze kasacyjnej brak jest jednak zarzutu dotyczącego prawidłowości ustaleń faktycznych, a więc i oceny charakteru zleconych zespołowi ekspertów czynności. Przyjęty przez Sąd I instancji stan faktyczny należy uznać za miarodajny i stanowiący punkt wyjścia do oceny prawidłowości zastosowania przepisów prawa materialnego.
Odnosząc się do zgłoszonych zarzutów naruszenia prawa materialnego, należy stwierdzić, iż są one nieuzasadnione.
Stosownie do art. 112 ust. 8 ustawy o pomocy społecznej starosta przy pomocy powiatowego centrum pomocy rodzinie sprawuje nadzór nad działalnością rodzinnej opieki zastępczej, ośrodków adopcyjno-opiekuńczych, jednostek specjalistycznego poradnictwa, w tym rodzinnego, oraz ośrodków wsparcia, domów pomocy społecznej, placówek opiekuńczo-wychowawczych i ośrodków interwencji kryzysowej. Nie ulega przy tym wątpliwości, że na podstawie art. 6 ust. 1 ustawy z dnia 5 czerwca 1998 r. o samorządzie powiatowym (tekst jedn.: Dz.U. z 2001 r. Nr 142, poz. 1592 z późn. zm.) powiat może w celu wykonywania zadań zawierać umowy z innymi podmiotami, w tym z osobami fizycznymi na podstawie umów o charakterze cywilnoprawnym. Słusznie jednak zauważył Sąd I instancji, że uprawnienia nadzorcze, których nieodłączną częścią są uprawnienia kontrolne, przysługują wyłącznie podmiotom wyraźnie umocowanym przepisem prawa, działającym w ramach struktur administracji publicznej. Jeśli zatem przyjąć, jak to uczynił Sąd I instancji, że działania zespołu specjalistów miały charakter czynności kontrolnych, to w konsekwencji należy stwierdzić, że osoby wchodzące w jego skład do dokonywania tych czynności nie były uprawnione.
Poza sporem pozostaje oczywiście, że zgodnie z art. 31 ust. 1 i ust. 2 ustawy o ochronie danych osobowych administrator danych może powierzyć innemu podmiotowi w drodze umowy zawartej na piśmie przetwarzanie danych w zakresie i w celu przewidzianym umową. W ocenie Naczelnego Sądu Administracyjnego przepis ten, na gruncie rozpoznawanej sprawy, nie mógł jednak stanowić podstawy do przetwarzania danych osobowych przez podmiot inny niż administrator danych lub inne podmioty, którym przepisy prawa przyznają uprawnienia nadzorczo-kontrolne. Wobec uznania, że umowy o dzieło zostały zawarte z ekspertami z naruszeniem art. 112 ust. 8 ustawy o pomocy społecznej w związku z art. 6 ust. 1 ustawy o samorządzie powiatowym, osoby te nie były uprawnione do dokonywania czynności kontrolnych w ramach nadzoru. Nie można zatem zaakceptować poglądu, aby osoby te były uprawnione do przetwarzania danych osobowych.
Jeśli idzie natomiast o zarzut naruszenia art. 23 ust. 1 pkt 2 i 4 ustawy o ochronie danych osobowych, to zauważyć należy, że niespornym jest, że Starosta w ramach przysługujących mu uprawnień nadzorczych upoważniony jest do przetwarzania danych osobowych na podstawie art. 23 ust.1,pkt 2 ustawy. W konkretnej sprawie trafnie zakwestionowane zostało, że uprawnienie to nie mogło być przez niego przekazane konkretnie oznaczonym podmiotom, które nie mogły wykonywać czynności kontrolnych w ramach nadzoru. Nie można także przyjąć, że w rozpoznawanej sprawie przetwarzanie danych osobowych było dopuszczalne, jako niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, jakim było opracowanie planu naprawczego dla domu dziecka.
Otóż stosownie do art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest niezbędne do wykonywania określonych prawem zadań realizowanych dla dobra publicznego. Przedmiotowa przesłanka dopuszczalności przetwarzania danych osobowych koresponduje zatem z ogólną zasadą zawartą w treści art. 1 ust. 2 ustawy o ochronie danych osobowych, w myśl której przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich.
Poza sporem pozostaje fakt, że ustawa o ochronie danych osobowych nie definiuje pojęcia dobra publicznego ani też nie precyzuje podmiotów mających wykonywać zadania dla dobra publicznego. Przyjmuje się, że dobru publicznemu służyć będzie realizacja zadań z zakresu bezpieczeństwa publicznego, walki z przestępczością czy udzielania pomocy ofiarom klęsk żywiołowych etc. (por. wyrok Naczelnego Sądu Administracyjnego z dnia 3 lipca 2009 r. o sygn. akt I OSK 1007/08, System Informacji Prawnej Lex nr 552257). Do podmiotów wykonujących zadania dla dobra publicznego zalicza się z kolei organy państwowe i organy samorządu terytorialnego oraz państwowe lub komunalne jednostki organizacyjne, a także podmioty wymienione w art. 3 ust. 2 ustawy o ochronie danych osobowych, a więc i osoby fizyczne. Należy jednak zauważyć, że fakt realizowania zadań dla dobra publicznego nie stanowi wartości nadrzędnej, która sama w sobie bezwzględnie legalizuje każde działanie związane z przetwarzaniem danych osobowych. Z brzmienia art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych wynika bowiem, że zadania realizowane dla dobra publicznego muszą być określone prawem. Zdaniem Naczelnego Sądu Administracyjnego oznacza to, że do przetwarzania danych osobowych uprawnia wyłącznie działanie legalne, a więc znajdujące oparcie w przepisie prawa, podjęte przez podmiot do działania umocowany i wykonujący czynności w ramach tego umocowania. Skoro zatem nie zostało podważone, że W. M., W. K. – K. i K. M. przetwarzały dane osobowe w związku z wykonywaniem czynności o charakterze kontrolnym w ramach nadzoru, a więc obowiązków, które nie mogły im zostać powierzone, na gruncie art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych, brak jest podstaw do przyjęcia, że przetwarzanie danych było uprawnione. Podkreślana przez Generalnego Inspektora Ochrony Danych Osobowych potrzeba opracowania programu naprawczego dla Domu Dziecka w B. – K. nie sankcjonowała bowiem przetwarzania danych osobowych przez osoby, którym czynności kontrolne w ramach nadzoru zostały zlecone w sposób wadliwy.
Reasumując, na tle przyjętego przez Sąd I instancji stanu faktycznego, zgłoszone w ramach podstawy kasacyjnej zarzuty naruszenia przepisów prawa materialnego nie mogą wywołać zamierzonego rezultatu w postaci uchylenia zaskarżonego wyroku.
W tym stanie rzeczy, skoro skarga kasacyjna nie została oparta na usprawiedliwionych podstawach, na mocy art. 184 p.p.s.a., Naczelny Sąd Administracyjny orzekł jak w sentencji.