I OSK 1098/06

I OSK 1098/06 - Wyrok NSA
Data orzeczenia
2007-06-29
orzeczenie prawomocne
Data wpływu
2006-07-26
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Izabella Kulig -Maciszewska /przewodniczący/
Jerzy Krupiński
Wojciech Chróścielewski /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 183/06 - Wyrok WSA w Warszawie z 2006-04-11
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2002 nr 153 poz 1270
art. 184
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi.
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Izabella Kulig-Maciszewska Sędziowie sędzia NSA Wojciech Chróścielewski (spr.) sędzia NSA Jerzy Krupiński Protokolant Anna Krakowiecka po rozpoznaniu w dniu 15 czerwca 2007 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej R. P. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 11 kwietnia 2006 r. sygn. akt II SA/Wa 183/06 w sprawie ze skargi R. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 11 kwietnia 2006 r., II SA/Wa 183/06, oddalił skargę R. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] nr [...] w przedmiocie przetwarzania danych osobowych. Wyrok został wydany w następujących okolicznościach sprawy. W dniu 16 maja 2005 r. R. P. złożył do Generalnego Inspektora Ochrony Danych Osobowych skargę na N. Sp. z o.o. w [...]. Stwierdził w niej, że po zakończeniu korzystania z usług tego Zakładu wystąpił o wydanie mu dokumentacji medycznej dotyczącej jego i jego rodziny, gdyż uznał, że Zakład nie może przechowywać tej dokumentacji, a będzie ona potrzebna wyłącznie jemu i jego rodzinie. Wskazał, że Zakład zaoferował mu jedynie wydanie kopii tej dokumentacji. Jako podstawę prawną przetwarzania danych osobowych pacjentów Zakładu, jej Dyrektor podała skarżącemu rozporządzenie Ministra Zdrowia z 10 sierpnia 2001 r. w sprawie rodzajów dokumentacji medycznej w zakładach opieki zdrowotnej, sposobu jej prowadzenia oraz szczegółowych warunków jej udostępniania (Dz. U. nr 88, poz. 966 ze zm.). Skarżący uznał, że przepisy tego rozporządzenia, a także będące jego podstawą przepisy ustawy o zakładach opieki zdrowotnej, nie upoważniają do przetwarzania danych osobowych osób, które pacjentami zakładu opieki zdrowotnej już nie są.
Decyzją z dnia [...] Generalny Inspektor Ochrony Danych Osobowych odmówił uwzględnienia wniosku skarżącego. Organ wskazał, że stosownie do art. 27 ust. 2 ustawy o ochronie danych osobowych dopuszczalne jest przetwarzanie danych o stanie zdrowia, jeśli przepis szczególny innej ustawy zezwala na to przetwarzanie bez zgody osoby, której dane dotyczą i stwarza pełne gwarancje ich ochrony. Takie przepisy są zawarte w ustawie z 30 sierpnia 1991 r. o zakładach opieki zdrowotnej, ustawie z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty (Dz. U. z 2005 r. nr 226, poz. 1943 ze zm.), a także w rozporządzeniu Ministra Zdrowia z dnia z 10 sierpnia 2001 r. Organ uznał, że każdy zakład opieki zdrowotnej i lekarz zobowiązany jest do prowadzenia tej dokumentacji (art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej i art. 41 ust. 1 o ustawy o zawodzie lekarza i lekarza dentysty). Przepisy tych ustaw gwarantują pełną ochronę tym danym (odpowiednio art. 18 ust. 2 i art. 41 ust. 1). Odnośnie żądania skarżącego udostępnienia mu oryginałów dokumentacji medycznej Generalny Inspektor Ochrony Danych Osobowych uznał, że nie ma on kompetencji do nakazywania udostępniania dokumentów, lecz jedynie danych, i to tylko w razie stwierdzenia naruszenia przepisów o ochronie danych osobowych. Żaden przepis ustawy nie uprawnia też osoby, której dane dotyczą, do żądania udostępniania dokumentów będących nośnikami danych, lecz jedynie samych danych. Generalny Inspektor nie uznał też zarzutu uniemożliwienia skarżącemu zapoznania się z danymi go dotyczącymi, gdyż z akt sprawy jednoznacznie wynika, iż administrator danych sporządził kserokopie dokumentacji skarżącego i umożliwił mu jej odbiór. Skarżący z tej możliwości nie skorzystał.
We wniosku o ponowne rozpatrzenie sprawy R. P. zarzucił powyższej decyzji, że jest rażąco sprzeczna z obowiązującym prawem, tj. Konstytucją RP, dyrektywą 95/46 EC Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób w związku z automatycznym przetwarzaniem danych osobowych oraz swobodnego przepływu tych danych (Dyrektywa), Konwencją o Ochronie Praw Człowieka i Podstawowych Wolności (Konwencja), ustawą o ochronie danych osobowych, ustawą o zawodzie lekarza i lekarza dentysty, rozporządzeniem, Kodeksem postępowania administracyjnego.
Decyzją z dnia [...] Generalny Inspektor Ochrony Danych Osobowych utrzymał w mocy swoją decyzję z dnia [...] i podtrzymał zawartą w niej argumentację. Powołał się też na potwierdzoną wyrokiem Trybunału Konstytucyjnego z dnia 19 lutego 2002 r. zasadę, że w drodze przepisów wykonawczych możliwe jest regulowanie kwestii o charakterze drugorzędnym.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie skarżący zarzucił zaskarżonej decyzji naruszenie szeregu przepisów ustawy o ochronie danych osobowych, i wzniósł o stwierdzenie jej nieważności, ewentualnie o jej uchylenie. Ponownie uznał, że przetwarzanie danych osobowych byłych pacjentów narusza art. 27 ust. 1 ustawy o ochronie danych osobowych, art. 24 ust. 1 pkt 2, art. 25 ust. 1 pkt 2, art. 26 ust. 1 pkt 2, art. 29 ust. 4 - gdyż przetwarzanie takie jest pozbawione legalnego celu, art. 27 ust. 2 pkt 2 i 7, gdyż "rozsiewanie" takiej dokumentacji po zakładach, z usług, których się korzystało, uniemożliwia ochronę danych. Skarżący uznał, że przywołane w zaskarżonej decyzji przepisy rangi ustawowej nie stanowią podstawy do przetwarzania przez zakład jego danych osobowych. Wskazane ustawy nie zawierają takiego przepisu, a rozporządzenie nie jest ustawą. Powołane przepisy dotyczą danych aktualnych, a nie byłych pacjentów. Powołał się też na inną decyzję organu, w której nakazano usunięcie danych przetwarzanych przez zakład opieki zdrowotnej niedysponujący deklaracją wyboru lekarza.
W odpowiedzi na skargę organ podtrzymał argumenty zawarte w zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie oddalając skargę zważył, iż organ administracji zasadnie powołał się na art. 18 ust. 1 i 2 ustawy z dnia 30 sierpnia 1991 r. o zakładach opieki zdrowotnej (Dz. U. nr 91, poz. 48 ze zm.). Przepisy te stanowią, że zakład opieki zdrowotnej zobowiązany jest prowadzić dokumentację medyczną osób korzystających ze świadczeń zdrowotnych zakładu. Zakład opieki zdrowotnej zapewnia ochronę danych zawartych w tej dokumentacji. Przepis ten spełnia wymagania z art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych, a dodatkowo - jego ustęp 2 potwierdza wymaganą przez ustawę o ochronie danych osobowych konieczność zapewnienia tym danym pełnej ochrony. Spór między organem, a skarżącym dotyczy głównie tego, czy przepis ten uprawnia do przetwarzania danych osób, które pacjentami zakładu opieki zdrowotnej już nie są. Sąd uznał, że redakcja art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej może budzić wątpliwości, co do przedmiotowego zakresu przetwarzanych danych osobowych. Zdaniem Sądu jednak ze sformułowania "...osób korzystających..." trudno wyciągnąć jakiekolwiek stanowcze wnioski, co do czasowego ograniczenia prawa do przetwarzania tych danych jedynie do chwili, gdy podmiot danych jest pacjentem zakładu opieki zdrowotnej. Dlatego niezbędne jest odwołanie się do wykładni celowościowej tego przepisu oraz uwzględnienie kontekstu normatywnego, w jakim Zakład funkcjonuje. Każdy zakład prowadzić musi dokumentację swych pacjentów i udostępniać ją właściwym organom państwowym i samorządowym w zakresie niezbędnym do wykonywania kontroli i nadzoru, a także Ministrowi Zdrowia, sądom i prokuratorom w związku z prowadzonym postępowaniem (art 18 ust. 3 pkt 3 i 4). Gdyby podzielić stanowisko skarżącego, że dotyczy to wyłącznie aktualnych pacjentów byłoby to niemożliwe. Uprawnienie do przetwarzania danych byłych pacjentów zakładu jeszcze wyraźniej uwidacznia się wobec obowiązku udostępniania dokumentacji medycznej organom państwowym w zakresie niezbędnym do wykonywania kontroli i nadzoru (art. 18 ust. 3 pkt 3 ustawy o zakładach opieki zdrowotnej). Osoba, której dane dotyczą nie jest wyłącznym dysponentem swoich danych o stanie zdrowia. Prawo do ochrony tych danych nie jest absolutne, przepisy ustawy, jak i ustaw szczególnych wyznaczają, bowiem ramy prawne dla legalnego przetwarzania takich danych. Prawo to chroni ponadto, na gruncie publicznoprawnym, Generalny Inspektor Ochrony Danych Osobowych. Nie stanowi naruszenia tego prawa, ani instytucji tajemnicy lekarskiej przetwarzanie danych w ramach legalnie wyznaczonego i społecznie akceptowalnego celu. Zdaniem Sądu zasadnie organ odwołuje się do przepisów wykonawczych, tj. przywołanego wyżej rozporządzenia, w celu wykazania, że art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej dotyczy nie tylko dokumentacji medycznej osób będących aktualnymi pacjentami. Okoliczność, że wyrokiem z dnia 28 listopada 2005 r. Trybunał Konstytucyjny, w sprawie o sygnaturze akt K 22/05 uznał za niezgodne z Konstytucją przepisy art. 18 ust. 6 i 7 ustawy o zakładach opieki zdrowotnej, a także § 53 ust. 3 zdanie drugie, § 54 ust. 6 oraz § 54a rozporządzenia, nie podważa zasadności odwołania się do jego przepisów. Trybunał nie zakwestionował bowiem przepisów rozporządzenia określających obowiązek archiwizowania dokumentacji medycznej ani jego termin. Zatem art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej uprawnia do przetwarzania przez zakład danych osobowych skarżącego pomimo zadeklarowania przez niego, że z usług zakładu nie będzie już korzystał. W przepisie tym chodziło bowiem z pewnością o ustanowienie podstawy prawnej dla przetwarzania danych przez zakład opieki zdrowotnej niezależnie od obecnego statusu osoby korzystającej w przeszłości z usług zakładu. Uprawnienie Zakładu do przetwarzania danych osobowych byłych pacjentów wynika wprost z art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej, natomiast odwołanie się do przepisów rozporządzenia jest zasadne tylko o tyle, że potwierdzają one zastosowaną przez organ wykładnię przepisów tej ustawy.
Skarżący dopatruje się naruszenia przez Zakład art. 24 ust. 1 pkt 2, art. 25 ust. 1 pkt 2, art. 26 ust. 1 pkt 2, art. 27 ust. 2 pkt 7, art. 29 ust. 4. Zdaniem Sądu zarzuty te nie zasługują na uwzględnienie. Zakres postępowania administracyjnego wyznaczył wniosek skarżącego, niedopuszczalne jest rozszerzanie zakresu żądania w trakcie postępowania odwoławczego, gdyż byłoby to sprzeczne z zasadą dwuinstancyjności postępowania administracyjnego. Żądania te mogą być przedmiotem postępowania. Trudno też dopatrzyć się w zaskarżonej decyzji naruszeń zasad określonych w przywołanych przez skarżącego aktach prawa międzynarodowego i Konstytucji RP. Zarzuty takie nie zostały, co prawda zawarte w skardze do Sądu, ale przeanalizowane przez Sąd z urzędu na uznanie nie zasługują. Sąd uznając za uprawnione - z powodów wyżej określonych - przetwarzanie danych byłych pacjentów na podstawie art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej, uznał, że wspólnie z ustawą tworzy ona spójny, zgodny z wymaganiami Konstytucji i aktów prawa międzynarodowego wiążących Polskę, system prawny. Dyrektywa w art. 8 ust. 1 zakazuje co prawda przetwarzania danych dotyczących stanu zdrowia, ale już ust. 3 tego artykułu przewiduje od powyższego zakazu wyjątek. Zezwala on bowiem ustawodawcy krajowemu na ustanowienie podstawy przetwarzania danych medycznych, gdy przetwarzanie danych wymagane jest m.in. dla celów zarządzania opieką zdrowotną, jak również w przypadkach, gdy dane są przetwarzane przez podmiot służby zdrowia zgodnie z przepisami prawa krajowego lub zasadami określonymi przez właściwe krajowe instytucje, podlegające obowiązkowi zachowania tajemnicy zawodowej lub przez inną osobę również zobowiązaną do zachowania tajemnicy. Taki cel przetwarzania danych, z obowiązkiem zachowania tajemnic określonych we właściwych przepisach, przewiduje ustawa o zakładach opieki zdrowotnej w art. 18 ust. 3 pkt 3. Istotnym elementem zarządzania opieką zdrowo tną jest przecież kontrola i nadzór nad jednostkami wykonującymi tę opiekę.
Na rozprawie w dniu 11 kwietnia 2006 r. skarżący powołał się na wspomniany wyrok Trybunału Konstytucyjnego z dnia 28 listopada 2005 r. poddający, jego zdaniem, w wątpliwość legalność zaskarżonej decyzji. Sąd doszedł jednak do wniosku, że wyrok ten niczego nie zmienia w niniejszej sprawie. Organ w sposób nieuprawniony dopatruje się w przepisach rozporządzenia alternatywnej, samoistnej podstawy do takiego przetwarzania danych przez zakład. Przepisy rozporządzenia dotyczą jedynie kwestii o charakterze technicznym, wykonawczym wobec przyznanego w przepisie rangi ustawowej upoważnienia do przetwarzania danych "wrażliwych". Skoro tak, to wyrok Trybunału Konstytucyjnego pozostaje bez wpływu na prawidłowość oceny, że przetwarzanie danych skarżącego przez zakład jest dopuszczalne. W tej sytuacji niezasadne jest formułowanie zarzutu, że w niniejszej sprawie zaszły przesłanki wznowienia postępowania określone w art. 145 § 1 pkt 1 lit. "b" ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. nr 153, poz. 1270 ze zm., powoływanej dalej jako p.p.s.a.) w związku z art. 145a k.p.a. Jednakże nawet gdyby Trybunał Konstytucyjny zakwestionował przepisy stanowiące podstawę zaskarżonej decyzji, to Sąd orzekający w sprawie nie mógłby uchylić tej decyzji bez żądania skarżącego wznowienia tego postępowania zgłoszonego w oparciu o art. 145a k.p.a. Sąd nie może bowiem działać z urzędu w tym zakresie, zastąpić nijako skarżącego w zgłoszeniu przez niego żądania wznowienia postępowania i domniemywać, że złożyłby on takie żądanie, skoro nie złożył go. Uchylenie decyzji w oparciu o art. 145 § 1 pkt 1 lit. "b" Prawa o postępowaniu przed sądami administracyjnymi byłoby w takiej sytuacji niedopuszczalne. W końcu zauważyć też należy, że art. 145a k.p.a. przewiduje termin zgłoszenia wniosku o wznowienie postępowania - wynosi on jeden miesiąc od dnia wejścia w życie wyroku Trybunału Konstytucyjnego. Przywołany wyrok Trybunału Konstytucyjnego wszedł w życie - stosownie do art. 190 ust. 3 Konstytucji - w dniu ogłoszenia, tj. 7 grudnia 2005 r. (Dz. U. nr 239, poz. 2020), a Sąd orzekający w niniejszej sprawie wydał wyrok w dniu 11 kwietnia 2006 r. Także z tego więc względu uchylenie zaskarżonej decyzji byłoby niewłaściwe. Z powyższych powodów nie zasługują na uznanie zarzuty zawarte w skardze, a dotyczące naruszenia zasad prawa procesowego. Organ wyjaśnił skarżącemu przesłanki, którymi kierował się przy podejmowaniu zaskarżonej decyzji, skarżący był też poinformowany o podjętych przez organ działaniach procesowych, w końcu powiadomiony też został o zakończeniu postępowania i swoich prawach jako strony.
W skardze kasacyjnej od tego wyroku R. P., wniósł o jego uchylenie i przekazanie sprawy do ponownego rozpoznania. Nadto wniósł na podstawie art. 234 Traktatu ustanawiającego Wspólnotę Europejską z dnia 25 marca 1957 r. o skierowanie przez Naczelny Sąd Administracyjny, jako sąd krajowy, którego orzeczenia nie podlegają zaskarżeniu według prawa wewnętrznego, do Europejskiego Trybunału Sprawiedliwości pytania dotyczącego wykładni, czy długotrwałe przechowywanie danych o stanie zdrowia osoby niezgadzającej się na to, przez podmiot, który przestał wykonywać świadczenia zdrowotne na rzecz tej osoby, jest zgodne z art. 8 ust. 1 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady oraz z art. 8 ust. 2 Europejskiej Konwencji Praw Człowieka.
Zaskarżonemu wyrokowi zarzucono:
1) naruszenia prawa materialnego poprzez błędną wykładnię następujących przepisów: art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych; art. 40 ust 1, ust. 2 "u końca", ust. 3 ustawy z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty, art. 18 ust. 1 ustawy z dnia 30 sierpnia 1991 r. o zakładach opieki zdrowotnej oraz art. 47, art. 51 ust 1 i ust. 2, art. 31 ust. 1 i ust. 3 Konstytucji Rzeczypospolitej Polskiej, a także art. 8 ust. 1 Konwencji o ochronie praw człowieka i podstawowych wolności (Dz. U. z 1993 r. Nr 61, poz, 284 ze zm.);
2) naruszenie, zgodnie z pkt 1 art. 174 p.p.s.a., w zw. z art. 249 Traktatu ustanawiającego Wspólnotę Europejską z dnia 25 marca 1957 r. (Dz. U. z 2004 r. nr 90, poz. 864/2 ze zm.) z uwzględnieniem bezpośrednich krajowych skutków sądowych, art. 234 Traktatu, oraz w zw. z art. 91 ust. 2 Konstytucji, wobec wykroczenia art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych poza zezwolenia określone art. 8 ust. 2, ust. 3 i ust. 4 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Official Journal Nr L 281 z 23 listopada 1995 r., s. 31), prawa materialnego przez Wojewódzki Sąd Administracyjny poprzez błędną wykładnię stosowanego w przedmiotowej sytuacji prawnej bezpośrednio przepisu artykułu 8 ust. 1 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady;
3) naruszenie prawa materialnego poprzez niewłaściwe zastosowanie art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej, a także przepisów: art. 27 ust. 2 pkt 7, art. 29 ust. 4 oraz art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych;
4) naruszenie przepisów postępowania, które miały istotny wpływ na wynik sprawy. Sąd naruszył następujące przepisy p.p.s.a.: art. 145 § 1 pkt 1 lit. a, art. 183 § 2 pkt 5, art. 141 § 4 oraz art. 145 § 1 pkt 1 lit. b w zw. z wyrokiem Trybunału Konstytucyjnego z dnia 28 listopada 2005 r., K 22/05, (Dz. U. nr 239, poz. 2020).
Jak podniesiono w uzasadnieniu skargi kasacyjnej, z chwilą zakończenia wykonywania świadczeń zdrowotnych wygasał uprawnienie do przechowywania danych o stanie zdrowia osoby, która z tą chwilą przestaje być osobą korzystającą ze świadczeń zdrowotnych przechowującego. Osoba ta ma prawo decydować o dalszym postępowaniu z danymi. Ich przechowywanie wymaga więc jej zgody. Skarżący uważa, że dane o stanie zdrowia należą do najsilniej chronionej kategorii danych osobowych. Chronione są najwyższej rangi aktami prawnymi prawa polskiego oraz prawa europejskiego. Dlatego przepisy prawa materialnego i przepisy o postępowaniu, gdy służą ograniczaniu swobody dysponowania danymi o stanie własnego zdrowia, powinny być ściśle przestrzegane. Nie powinny być interpretowane swobodnie i rozszerzająco na niekorzyść prawa do prywatności. Postępowanie Sądu I instancji nie spełniło tych wymagań. Sąd nie przeprowadził na rozprawie kontroli zgodności ograniczenia autonomii informacyjnej z wymogami Konstytucji, Europejskiej Konwencji Praw Człowieka oraz Dyrektywy 95/46/WE.
Z zawartego w art. 27 ust. 1 ustawy o ochronie danych osobowych zakazu przetwarzania danych o stanie zdrowia bez związku z wykonywaniem usług medycznych, wobec niespełnienia innych przesłanek, pośrednio wynika brak prawa udostępniania danych bez tego związku. Skoro nie wolno przetwarzać danych bez świadczenia usług, to nie wolno i udostępniać. Ustęp 3 artykułu 18 ustawy o zakładach opieki zdrowotnej określa obowiązek udostępniania, a nie przechowywania. Przepis ten, w przeciwieństwie do ust. 1, nie określa czasu przechowywania danych. Wyprowadzanie więc z niego obowiązku przetwarzania danych po zakończeniu świadczeń zdrowotnych jest bezpodstawne.
Zdaniem skarżącego, Sąd pominął kwestię naruszenia tajemnicy lekarskiej przetwarzaniem danych o stanie zdrowia przez osoby nie zobowiązane do przestrzegania tajemnicy lekarskiej wobec danych skarżącego (art. 40 ust. 1, ust. 2 in fine, ust. 3 ustawy o zawodach lekarza i lekarza dentysty; art. 23, art. 24, art. 28, art. 29 Kodeksu etyki lekarskiej), w sytuacji faktycznej, w której lekarz prowadzący dokumentację przeszedł na emeryturę.
Skarżący uważa, że art. 27 ust. 2 pkt 7 ustawy o ochronie danych osobowych określa gwarancje ochrony danych osobowych, które wykraczają temporalnie poza chwilę zakończenia świadczeń zdrowotnych. Nawet jeżeli dane są po tej chwili przetwarzane w oparciu o inny przepis o mniejszych wymogach ochronnych, podmiot, który wcześniej przetwarzał je na podstawie tego punktu, zobowiązany jest tym punktem do dalszej ochrony danych w sposób w nim określony, czyli do zapewnienia im pełnej ochrony. Przepis ust. 4 art. 29 ustawy o ochronie danych osobowych ma zastosowanie w sprawie, bo zabrania instytucjom takim jak Narodowy Fundusz Zdrowia wykorzystywania i udostępnionych im danych, w sytuacji, gdy udostępniający nie miał prawa ich udostępniania w jakimkolwiek celu. W sytuacji faktycznej, która była przedmiotem postępowania, pojawiła się zapowiedź takiego udostępnienia. Dopuszcza je również Sąd w uzasadnieniu wyroku. Skarżący nie jest stroną jakiejkolwiek umowy z Narodowym Funduszem Zdrowia, a w szczególności ubezpieczeniowej i uważa, że na podstawie tego przepisu może żądać zaniechania przetwarzania swych danych przez tę instytucję, gdyby zostały one bezprawnie jej udostępnione. Nie ustalono czy doszło do udostępnienia. Ponadto przepis ten ma zastosowanie w sprawie jako wyraz generalnej zasady związania celem przetwarzania danych. Wzmacnia ochronę z art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych.
W wyniku pominięcia części wymogów art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych oraz w wyniku błędnej, celowościowej wykładni rozszerzającej art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej, Sąd niewłaściwie zastosował drugi z tych przepisów. Przepis art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej nie powinien być stosowany w odniesieniu do sytuacji faktycznej, w której przechowuje się dokumentację medyczną osoby niekorzystającej ze świadczeń zdrowotnych zakładu przechowującego dokumentację. Skarżący uważa, że pkt 7 ust. 2 art. 27 ustawy o ochronie danych osobowych określa gwarancje ochrony danych osobowych, które wykraczają temporalnie poza chwilę zakończenia świadczeń zdrowotnych. Nawet jeżeli dane są po tej chwili przetwarzane w oparciu o inny przepis o mniejszych wymogach ochronnych, podmiot, który wcześniej przetwarzał je na podstawie tego punktu, zobowiązany jest tym punktem do dalszej ochrony danych w sposób w nim określony, czyli do zapewnienia im pełnej ochrony.
Zdaniem skarżącego, Sąd naruszył art. 145 § 1 pkt 1 lit. a p.p.s.a. przez nieuchylenie decyzji mimo dokonanych w postępowaniu administracyjnym naruszeń art. 107 § 1 i § 3 k.p.a., czyli naruszenia wymogu zawarcia w decyzji jej właściwego uzasadnienia. Brak właściwego uzasadnienia stworzył przeszkodę kontroli decyzji w postępowaniu administracyjnym. W trakcie rozprawy sądowoadministracyjnej także nie umożliwiono wyjaśnienia ponownie wskazywanego braku uzasadnienia decyzji. Skarżący uważa, że w ten sposób pozbawiono go możności obrony swych praw, co wypełnia przesłanki nieważności postępowania określone art. 183 § 2 pkt 5 p.p.s.a.
Ponadto, Sąd naruszył art. 141 § 4 p.p.s.a. przez wydanie wyroku bez zawarcia w uzasadnieniu podstawy prawnej określającej dopuszczalny czas przetwarzania danych, mimo że bez tej podstawy nie można rozstrzygać w przedmiotowej sprawie, czyli stwierdzać, czy po 2 latach od zakończenia świadczenia usług medycznych, zakład ma prawo przechowywania danych osobowych, czy też nie.
Sąd naruszył także przepis art. 145 § 1 pkt 1 lit. b p.p.s.a., przez nieuchylenie decyzji mimo wyroku Trybunału Konstytucyjnego z dnia 28 listopada 2005 r. Orzeczono niezgodność z Konstytucją przepisu, który bez wątpienia był podstawą decyzji, i który został jako jej podstawa prawna jednoznacznie wskazany w uzasadnieniu decyzji. Tym samym orzeczono również niezgodność z Konstytucją wskazanego rozporządzenia w całości, do czasu wejścia w życie nowelizacji przepisu delegacyjnego, ponieważ było ono aktem niesamoistnym. Po wejściu w życie nowelizacji przepisu delegacyjnego dalej niekonstytucyjne i pozbawione mocy będą, do czasu wejścia w życie nowego rozporządzenia, wskazane przez Trybunał przepisy rozporządzenia. Rozporządzenie było podstawą prawną zaskarżonej decyzji Na jego podstawie Generalny Inspektor Ochrony Danych Osobowych określił legalny czas przetwarzania danych na 20 lat. Uchylenie decyzji, po zapadnięciu wyroku o niezgodności z Konstytucją przepisu delegacyjnego i tym samym rozporządzenia, czyli przepisów stanowiącego podstawę prawną decyzji, było obowiązkiem sądu administracyjnego. Skarżący złożył o to wniosek w oparciu o art. 145 § 1 pkt 1 lit. b p.p.s.a. lecz uchylenie winno było odbyć się i bez takiego wniosku.
W złożonej odpowiedzi na skargę kasacyjną Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie.
Na rozprawie przed Naczelnym Sądem Administracyjnym skarżący ponowił wniosek o skierowanie zapytania prejudycjalnego, a także złożył na piśmie "dodatkowe uzasadnienie podstaw kasacyjnych.
Naczelny Sąd Administracyjny zważył, co następuje:
Sąd rozpoznający niniejszą sprawę nie widzi żadnej potrzeby wystąpienia do Trybunału Sprawiedliwości z pytaniem w trybie art. 234. Traktatu Ustanawiającego Wspólnotę Europejską (Dz.U. z 2004 r. nr 90, poz. 864/2) o ważność i wykładnię art. 8 dyrektywy 95/46/We Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. UE L95.281.31), ponieważ żadne wyjaśnienie kwestii prawa wspólnotowego nie ma i nie może mieć wpływu na wynik rozpoznawanej sprawy.
Przepis art. 18 ust. 1 ustawy z 30 sierpnia 1991 r. o zakładach opieki zdrowotnej (Dz.U. nr 9, poz. 408 z późn. zm.). stanowi, iż zakład opieki zdrowotnej obowiązany jest prowadzić dokumentację medyczną osób korzystających ze świadczeń zdrowotnych zakładu. Jednocześnie w myśl ust. 2 tego samego artykułu zakład taki zapewnia ochronę danych zawartych w owej dokumentacji medycznej. Z przepisów tych, na co trafnie zwrócił uwagę Sąd I instancji, nie wynika, czy dotyczą one wyłącznie dokumentacji medycznej aktualnych pacjentów, czy też także dokumentacji medycznej byłych pacjentów. Jednak regulacja zawarta w ustępie 3 tego samego artykułu przesądza, w sposób niebudzący wątpliwości o tym, iż dokumentacja medyczna prowadzona przez zakład opieki zdrowotnej winna w nim być nadal przechowywana po zakończeniu procesu leczenia, czy też nawet po zakończeniu korzystania przez danego pacjenta z usług zakładu. Zgodnie bowiem z ust. 3 pkt 2 tego artykułu zakład udostępnia dokumentację "zakładom opieki zdrowotnej, jednostkom organizacyjnym innych zakładów i osobom wykonującym zawód medyczny poza zakładami opieki zdrowotnej, jeżeli dokumentacja ta jest niezbędna do zapewnienia ciągłości świadczeń zdrowotnych". Z brzmienia tego przepisu wynika bezspornie, że może on mieć zastosowanie także do byłych pacjentów danego zakładu opieki zdrowotnej, którzy leczą się w innym zakładzie, a dokumentacja medyczna z poprzedniego zakładu jest potrzebna dla kontynuacji procesu leczenia. Zgodnie z art. 18 ust 3 pkt 3 tej samej ustawy zakład udostępnia dokumentację właściwym do spraw zdrowia organom państwowym oraz samorządu lekarskiego niezbędną do wykonywania kontroli i nadzoru. W myśl zaś pktu 4 tego artykułu i paragrafu udostępnia także owa dokumentację Ministrowi Zdrowia i Opieki Społecznej, sądom, prokuratorom oraz sądom i rzecznikom odpowiedzialności zawodowej w związku z prowadzonym postępowaniem. Także inne punkty art. 18 ust. 3 ustawy o zakładach opieki zdrowotnej, a zwłaszcza punkt 6 (udostępnianie dokumentacji organom rentowym oraz zespołom orzekania o stopniu niepełnosprawności) utwierdzają, że obowiązkiem zakładu opieki zdrowotnej jest nie tylko prowadzenie dokumentacji aktualnych pacjentów, ale także jej przechowywanie niezależnie od tego czy korzystają nadal z usług medycznych tego zakładu. W przeciwnym przypadku niemożliwa byłaby realizacja postanowień zawartych w art. 18 ust. 3 ustawy o zakładach opieki zdrowotnej.
Przedstawione wyżej względy przesądzają o tym, że podniesione w skardze kasacyjnej zarzuty nie posiadają usprawiedliwionych podstaw.
Art. 27 ust. 1 pkt 2 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. nr 101, poz. 926 z późn. zm.) zezwala m.in. na przetwarzanie danych osobowych dotyczących stanu zdrowia jeżeli przepis szczególny innej ustawy, zezwala na przetwarzania takich danych bez zgody osoby, której dane dotyczą i stwarza pełne gwarancje ich ochrony. Owym przepisem szczególnym jest wskazany wyżej art. 18 ust. 3 ustawy o zakładach opieki zdrowotnej. Wbrew twierdzeniom skarżącego, żeby udostępniać dane zawarte w dokumentacji medycznej trzeba tą dokumentacje przechowywać. Skarżący podniósł zarzut naruszenia wskazanego art. 27 ust. 1 pkt 2 ustawy o ochronie danych osobowych w zw. z art. 40 ust. 1, ust. 2 in fine, ust. 3 ustawy o zawodach lekarza i lekarza dentysty oraz art. 23, art. 24, art. 28, i art. 29 Kodeksu etyki lekarskiej wskazując jedynie, iż Sąd I instancji nie rozważył sytuacji w której lekarz prowadzący dokumentację przeszedł na emeryturę. Okoliczność ta nie może mieć w sprawie żadnego znaczenia bowiem tajemnica lekarska obowiązuje nie tylko lekarza prowadzącego danego pacjenta ale wszystkich lekarzy i uzyskane przez nich w związku z wykonywaniem zawodu informacje o pacjentach. Dodać można, iż mimo obszerności skargi kasacyjnej zarzut ten nie posiada praktycznie żadnego uzasadnienia, a Naczelny Sąd Administracyjny związany na podstawie art. 183 § 1 p.p.s.a. granicami skargi kasacyjnej nie może domniemywać woli, czy też intencji skarżącego. Wbrew twierdzeniom skarżącego zaskarżony wyrok nie narusza też wskazanych przez niego przepisów Konstytucji RP - art. 47, art. 51 ust. 1 i ust. 2, art. 31 ust. 1 i 3. Przechowywanie dokumentacji medycznej tych przepisów nie narusza. W szczególności zaś art. 18 ustawy o zakładach opieki zdrowotnej przesądza o tym, że przechowywanie dokumentacji medycznej aktualnych i byłych pacjentów dotyczy informacji o obywatelach niezbędnych w demokratycznym państwie prawnym w rozumieniu art. 51 ust. 2 Konstytucji. Owo przechowywanie dokumentacji medycznej nie narusza też art. 8 ust. 1 Konwencji o ochronie praw człowieka i podstawowych wolności (Dz.U. z 1993 r. nr 61, poz. 284 z poźn. zm.), który daje każdemu prawo do poszanowania swojego życia prywatnego i rodzinnego, swojego mieszkania i korespondencji, tym bardziej, że ust. 2 tego artykułu przewiduje odstępstwo od tego prawa w przepadkach przewidzianych przez ustawy a mających m. in. na celu ochronę zdrowia.
Chybiony jest także zarzut naruszenia art. 249 w zw. z art. 234 Traktatu ustanawiającego Wspólnotę Europejską (Dz.U. z 2004 r. nr 90. poz. 864/2 z późn. zm.). Skarżący upatruje go w tym, że skoro dyrektywa wiąże każe Państwo Członkowskie, to Sąd Państwa Członkowskiego, przed którym postawiono pytanie, może zwrócić się do Trybunału Sprawiedliwości o rozpatrzenie tego pytania - dotyczącego tego czy przechowywanie danych o stanie zdrowia byłego pacjenta, przez zakład opieki zdrowotnej jest zgodne z art. 8 ust. 1 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady w sprawie ochrony sposób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. UE.L . 95.281.31) oraz art 8 ust. 2 Europejskiej Konwencji Praw Człowieka. Skarżący nie wziął jednak pod uwagę tego, że owa Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady w art. 8 ust. 1 nakazuje Państwom Członkowskim zabranianie przetwarzania danych osobowych dotyczących m. in. stanu zdrowia, to jednak z jej ust. 3 wynika, że postanowienie ust. 1 nie ma zastosowania do przetwarzania danych, które jest wymagane "do celów medycyny prewencyjnej, diagnostyki medycznej, świadczenia opieki lub leczenia, lub też zarządzania opieką zdrowotną, jak również w przypadkach, gdy dane są przetwarzane przez pracownika służby zdrowia zgodnie z przepisami prawa krajowego lub zasadami określonymi przez właściwe krajowe instytucje podlegające obowiązkowi zachowania tajemnicy zawodowej lub przez inna osobę zobowiązaną do zachowania tej tajemnicy". Skoro więc dane skarżącego są przechowywane (przetwarzane) dla celów określonych w tym przepisie to nie istnieje żadna potrzeba zwrócenia się do Trybunału o wykładnię przepisu art. 8 ust. 1 Dyrektywy 95/46/WE. Dodać można, że ust. 4 art. 8 tej Dyrektywy nie ma w sprawie żadnego zastosowania.
Nie jest trafny także trzeci z podniesionych w skardze kasacyjnej zarzutów. Zakład opieki zdrowotnej może stosownie do art. 18 ust. 1 i 3 ustawy o zakładach opieki zdrowotnej prowadzić, a więc i przetwarzać, o czym była już mowa, dokumentację lekarską aktualnych i byłych pacjentów. Jest to zgodne z art. 27 ust. 2 pkt 7 ustawy o ochronie danych osobowych zezwalającym na przetwarzanie danych osobowych w celu świadczenia usług medycznych lub leczenia pacjentów przez wykwalifikowane osoby z zapewnieniem gwarancji ochrony danych osobowych. Z tego samego powodu nie został też naruszony art. 29 ust. 4 tej samej ustawy, ani też jej art. 26 ust. 1 pkt 2. Ust. 2 pkt 2 tego ostatniego przepisu zezwala bowiem na przetwarzanie danych osobowych z zachowaniem przepisów art. 23 i 25 ustawy. W myśl zaś art 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych przetwarzanie danych jest dopuszczalne, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, którym w rozpoznawanej sprawie jest art. 18 ust. 1 i 3 ustawy o zakładach opieki zdrowotnej.
Chybione są także podniesione w skardze kasacyjnej zarzuty naruszenia przepisów postępowania. Zaskarżona do Sądu decyzja posiadała w pełni zgodne z art. 107 § 1 i 3 k.p.a. uzasadnienie, zaś zarzut naruszenia art. 183 § 2 pkt 5 p.p.s.a. przez pozbawienie skarżącego możności obrony przed Sądem swych praw, w postaci wyjaśnienia ponownie braków uzasadnienia decyzji, w żadnym przypadku nie może być uznany za trafny. Rolą sądów administracyjnych jest kontrola legalności zaskarżonych do niego aktów nie zaś udzielanie skarżącemu odpowiedzi na zadawane przez niego pytania. Na marginesie można powtórzyć. że to art. 18 ust. 1 i 3 ustawy o zakładach opieki zdrowotnej stanowi podstawę przechowywania (przetwarzania) danych osobowych skarżącego - jego dokumentacji medycznej.
W rozpoznawanej sprawie kontrolowane przez Trybunał Konstytucyjny w wyroku z 28 listopada 2005 r., K 22/05, OTK-A 2005 nr 10, poz. 118, rozporządzenie Ministra Zdrowia z 10 sierpnia 2001 r. w sprawie rodzajów dokumentacji medycznej w zakładach opieki zdrowotnej, sposobu jej prowadzenia oraz szczegółowych warunków jej udostępniania (Dz. U. nr 88, poz. 966 ze zm.) nie stanowiło podstawy prawnej zaskarżonej decyzji.
Na marginesie należy zauważyć, iż rozważania Sądu I instancji dotyczące braku możliwości orzekania przez Sąd na podstawie art. 145 § 1 pkt 1 lit. b p.p.s.a. w zw. z art. 145a k.p.a. są błędne. Dla ewentualnego uchylenia decyzji w takim przypadku bez znaczenia jest okoliczność, że na podstawie art. 145a § 2 k.p.a. wznowienie postępowania następuje wyłącznie na żądanie strony złożone w terminie jednego miesiąca od dnia wejścia w życie orzeczenia Trybunału.
Mając na uwadze podniesione wyżej względy na podstawie art. 184 p.p.s.a. orzeczono jak w sentencji.