Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Maria Werpachowska, Sędziowie WSA Ewa Kwiecińska, Iwona Maciejuk (spr.), Protokolant sekretarz sądowy Marcin Borkowski, po rozpoznaniu na rozprawie w dniu 21 czerwca 2018 r. sprawy ze skargi M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz M. kwotę 680 (sześćset osiemdziesiąt) złotych, tytułem zwrotu kosztów postępowania.
Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] sierpnia 2017 r. nr [...], na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257), zwanej dalej k.p.a., art. 12 pkt 2, art. 18 ust. 1 pkt 1 oraz art. 22 w związku z art. 24 ust. 1 pkt 1, pkt 3, pkt 4 oraz art. 40 ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922), zwanej dalej u.o.d.o., w punkcie I nakazał M., usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez dopełnienie wobec osób biorących udział w Projekcie "[...]", dofinansowanym ze środków Mechanizmu Finansowego Europejskiego Obszaru Gospodarczego 2009-2014 obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 pkt 1, pkt 3 oraz pkt 4 ustawy, tj. poinformować ww. osoby o: 1) adresie swojej siedziby i pełnej nazwie, 3) prawie dostępu do treści swoich danych oraz ich poprawiania, 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej, w terminie 30 dni od dnia, w którym niniejsza decyzja stanie się ostateczna. W punkcie II decyzji, w pozostałym zakresie postępowanie umorzył.
W uzasadnieniu organ wskazał, że na podstawie materiału dowodowego zgromadzonego w toku kontroli ustalono, że w procesie przetwarzania danych osobowych M., jako administrator danych, naruszył przepisy o ochronie danych osobowych. Uchybienia te polegały na: 1) niedopełnieniu wobec osób biorących udział w Projekcie "[...]", dofinansowanym ze środków Mechanizmu Finansowego EOG 2009-2014 obowiązku informacyjnego (art, 24 ust. 1 pkt 1, pkt 3 oraz pkt 4 ustawy), 2) niezgłoszeniu do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych zbioru danych, w którym są przetwarzane ww. dane osobowe (art. 40 ustawy). Zgodnie art. 24 ust. 1 pkt 1, pkt 3 oraz pkt 4 ustawy, w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku, 3) prawie dostępu do treści swoich danych oraz ich poprawiania, 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Natomiast zgodnie z art. 7 pkt 4 ustawy, ilekroć w ustawie jest mowa o administratorze danych - rozumie się przez to organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych.
GIODO wskazał, że analiza materiału dowodowego zebranego w sprawie wykazała, że ramy prawne dla Mechanizmu Finansowego na lata 2009 - 2014 zostały określone w umowie międzynarodowej "Memorandum of Understanding" (dalej: MoU) Wdrażania Mechanizmu Finansowego Europejskiego Obszaru Gospodarczego (EOG) na lata 2009 - 2014 zawartej w dniu 10 czerwca 2011 r. pomiędzy Islandią, Księstwem Lichtensteinu, Królestwem Norwegii a Rzeczypospolitą Polską. Niniejsza umowa jest stosowana łącznie z następującymi dokumentami (art. 2 MoU): Protokołem 38b do Umowy o EOG dotyczącym Mechanizmu Finansowego EOG na lata 2009 - 2014; Regulacjami w sprawie wdrażania Mechanizmu Finansowego EOG na lata 2009 - 2014, wydanymi przez Państwa - Darczyńców (dalej: Regulacje); umowami w sprawie programu, które będą zawierane dla każdego programu oraz wszelkimi wytycznymi przyjętymi przez Komitet Mechanizmu Finansowego EOG zgodnie z Regulacjami. Organem zarządzającym Mechanizmem Finansowym EOG jest Komitet Mechanizmu Finansowego, Komitet założony przez Stały Komitet Państw EFTA. Państwo - Beneficjent (Rzeczypospolita Polska) zobowiązany był na podstawie MoU (a także Regulacji) wyznaczyć Krajowy Punkt Kontaktowy, którego zadaniem jest koordynacja i nadzór nad wdrażaniem programów. W Polsce funkcję Krajowego Punktu Kontaktowego pełni Minister właściwy ds. rozwoju regionalnego (obecnie Minister Rozwoju i Finansów). Zgodnie z załącznikiem A pkt 1 MoU, zakres funkcji i obowiązków Krajowego Punktu Kontaktowego, którym jest Ministerstwo Rozwoju zostały określone w szczególności w art. 4.3 Regulacji, zgodnie z którym m.in.: ponosi ogólną odpowiedzialność za realizację celów wytyczonych w ramach Mechanizmu Finansowego EOG na lata 2009 - 2014, jak również za jego wdrażanie w RP. Pełni on rolę punktu kontaktowego i jest odpowiedzialny za realizację MoU. MoU określiło również ramy wdrażania Mechanizmu wraz z obszarami programowymi, przypisując dla poszczególnych programów ich operatorów: dla obszaru programu Ochrona różnorodności biologicznej i ekosystemów operatorem programu zostało M. z pomocą Narodowego Funduszu Ochrony Środowiska i Gospodarki Wodnej. Zgodnie z art. 1.5 ust. 1 lit. r Regulacji, Operator Programu to podmiot publiczny lub prywatny, komercyjny lub niekomercyjny, jak również organizacje pozarządowe, na których spoczywa odpowiedzialność za przygotowanie i wdrożenie programu. Operator Programu jest odpowiedzialny za realizację Rezultatów, określonych w załączniku B do MoU. Zgodnie z art. 4.7 Regulacji, Operator Programu jest odpowiedzialny za przygotowanie i wdrażanie programu zgodnie z zasadami gospodarności, wydajności i skuteczności, m.in. za: przyjmowanie wniosków, wybór projektów do wsparcia finansowego oraz podpisywanie umów w sprawie projektu dla każdego zatwierdzonego projektu; weryfikację wyników projektu oraz czy wydatki zadeklarowane przez beneficjentów zostały faktycznie poniesione oraz są one poniesione zgodnie z Regulacjami, umową w sprawie programu oraz odpowiednimi przepisami prawa krajowego i unijnego.