II SA/Wa 150/24

II SA/Wa 150/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-08-28
orzeczenie nieprawomocne
Data wpływu
2024-02-01
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Ewa Radziszewska-Krupa /przewodniczący sprawozdawca/
Łukasz Krzycki
Sławomir Fularski
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję w części
Powołane przepisy
Dz.U. 2024 poz 935
art. 145 par. 1 pkt 1 lit. c,  art. 200,  art. 209
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa (spr.), Sędzia WSA Łukasz Krzycki, Sędzia WSA Sławomir Fularski, po rozpoznaniu w trybie uproszczonym w dniu 28 sierpnia 2024 r. sprawy ze skargi E. R. W. prowadzącej działalność gospodarczą pod nazwą Psycholog mgr E. R. W. na punkt 1 i 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla punkt 1 i 2 zaskarżonej decyzji; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącej E. R. W. prowadzącej działalność gospodarczą pod nazwą Psycholog mgr E. R. W. kwotę 200 (słownie: dwieście) złotych, tytułem zwrotu kosztów postępowania.
Uzasadnienie
I. Stan sprawy przedstawia się następująco:
1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] listopada 2023r. nr [...] - po przeprowadzeniu postępowania administracyjnego w sprawie skargi M. D. (zwana dalej "Uczestniczką") na nieprawidłowości w procesie przetwarzania Jej danych osobowych oraz danych osobowych Jej małoletniej córki J. D. (zwana dalej "Córką") – udzielił E. W. prowadzącej działalność gospodarczą pod nazwą Psycholog mgr E. W. w [...](zwana dalej "Skarżącą"):
- 1) upomnienia za naruszenie art. 9 ust. 1 w zw. z art. 5 ust. 1 lit. a RODO, polegające na wykorzystaniu bez podstawy prawnej danych osobowych Uczestniczki i Jej Córki w wydanej [....] lutego 2021r. prywatnej opinii psychologicznej (zwana dalej "Opinią"),
- 2) upomnienia za naruszenie art. 14 ust. 1 i ust. 2 RODO, polegające niespełnieniu wobec Uczestniczki i Jej Córki obowiązku informacyjnego wynikającego z ww. przepisów;
- 3) w pozostałym zakresie odmówił uwzględnienia wniosku.
W podstawie prawnej decyzji powołano: art. 104 § 1 ustawy z 14 czerwca 1960r. Kodeks postępowania administracyjnego (Dz.U. z 2023r., poz. 775; zwana dalej "k.p.a."), art. 7 ust. 1 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781, zwana dalej "u.o.d.o."), art. 5 ust. 1, art. 9 ust. 1, art. 14 ust. 1 i 2, art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 4.05.2016, str. 1, Dz.Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz.Urz. UE L 74 z 4.03.2021, str. 35; zwane dalej "RODO").
W uzasadnieniu decyzji wskazano, że do UODO wpłynęła skarga Uczestniczki na nieprawidłowości w procesie przetwarzania Jej danych osobowych oraz danych osobowych jej Córki przez Skarżącą, które polegały na użyciu danych osobowych Uczestniczki i Jej Córki w celu wydania Opinii bez podstawy prawnej i braku spełnienia obowiązku informacyjnego, o którym mowa w art. 14 RODO. W treści skargi wskazano, że były mąż Uczestniczki zlecił Skarżącej sporządzenie Opinii, dotyczącej sytuacji Córki i zachowania Uczestniczki względem Córki i byłego męża. Uczestniczka w związku z tym wniosła o usunięcie danych osobowych i spełnienie wobec Niej i Córki obowiązku informacyjnego.
Prezes UODO ustalił, że Skarżąca sporządziła [...] lutego 2021r. na zlecenie byłego męża uczestniczki Opinię, która dotyczyła zachowania Uczestniczki względem Córki i byłego męża oraz sytuacji Córki. Opinia powstała na podstawie materiału przedstawionego przez byłego męża, bez osobistego badania Uczestniczki i Jej Córki. Opinia obejmuje dane osobowe takie, jak: imię i nazwisko, dane dotyczące ewentualnego popełnienia czynów karalnych oraz stan zdrowia w sferze psychicznej i została sporządzona przy pomocy: zdjęć z wizerunkiem Uczestniczki i jej Córki, nagraniami ich głosu, opinii z przedszkola o Córce i wpływie, jaki wywiera na Jej rozwój Uczestniczka. Opinia zawiera również informacje dotyczące stanu cywilnego Uczestniczki. Skarżąca nie miała osobistego kontaktu z Uczestniczką, nie dysponowała Jej zgodą na przetwarzanie Jej danych osobowych ani nie działała jako biegły sądowy i nie miała zlecenia upoważnionego organu na sporządzenie Opinii. Uczestniczka dowiedziała się o Opinii w trakcie jednego z toczących się między Nią a byłem mężem postępowań, do których przedłożył on Opinię. Skarżąca nie spełniła wobec Uczestniczki i jej Córki obowiązku informacyjnego, o którym mowa w art. 14 RODO.
Prezes UODO zaznaczył, że z adnotacji zawartej pod Opinią wynika, że dokumenty przekazał były mąż Uczestniczki, które oddano po realizacji zlecenia, a wszelkie sporządzone notatki zniszczono. Informacje przekazane elektronicznie usunięto, z uwagi na RODO.
Prezes UODO wyjaśnił, że zgodnie z definicją zawartą w art. 4 RODO, dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Możliwą do zidentyfikowania osobą fizyczną jest osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego, jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Przetwarzanie danych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie (art. 4 pkt 2 RODO).
Przepisy RODO określają obowiązki administratora, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych RODO. Przepisem uprawniającym administratorów do przetwarzania danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty, a każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te, co do zasady, są równoprawne, a spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bo proces przetwarzania danych będzie zgodny z RODO także wówczas, gdy administrator wykaże spełnienie innej z ww. przesłanek. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) przetwarzanie danych osobowych jest dopuszczalne m.in. wtedy, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO).
Przesłanki legalności przetwarzania szczególnych kategorii danych osobowych, w tym danych osobowych dotyczących zdrowia, określono w art. 9 ust. 2 RODO i mają one charakter autonomiczny. Do uznania, że proces przetwarzania danych osobowych przez administratora za zgodny z prawem, wystarczy spełnienie jednej z tych przesłanek. Sformułowany w art. 9 ust. 2 RODO katalog okoliczności legalizujących proces przetwarzania szczególnych kategorii danych obejmuje m.in. zgodę osoby, której dane dotyczą (art. 9 ust. 2 lit. a RODO). Do szczególnych kategorii danych osobowych, zgodnie z art. 9 ust. 1 RODO, zaliczyć należy dane osobowe ujawniające m.in. dane dotyczące zdrowia. Motyw 35 RODO stanowi, że do danych dotyczących zdrowia, należy zaliczyć wszystkie dane o stanie zdrowia osoby, której dane dotyczą, ujawniające informacje, o przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia osoby, której dane dotyczą. Do danych takich należą ponadto informacje o danej osobie fizycznej zbierane podczas jej rejestracji do usług opieki zdrowotnej lub podczas świadczenia jej usług opieki zdrowotnej; numer, symbol lub oznaczenie przypisane danej osobie fizycznej w celu jednoznacznego zidentyfikowania tej osoby fizycznej do celów zdrowotnych; informacje pochodzące z badań laboratoryjnych lub lekarskich części ciała lub płynów ustrojowych, w tym danych genetycznych, próbek biologicznych; wszelkie informacje, na przykład o chorobie, niepełnosprawności, ryzyku choroby, historii medycznej, leczeniu klinicznym lub stanie fizjologicznym lub biomedycznym osoby, której dane dotyczą, niezależnie od ich źródła, którym może być na przykład lekarz lub inny pracownik służby zdrowia, szpital, urządzenie medyczne lub badanie diagnostyczne in vitro.
Dane osobowe, zgodnie z zasadą zgodności z prawem, rzetelności i przejrzystości wyrażoną w art. 5 ust. 1 lit. a RODO, muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. O zasadzie przejrzystości mówi także motyw 39 RODO "dla osób fizycznych powinno być przejrzyste, że dotyczące ich dane osobowe są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane oraz w jakim stopniu te dane osobowe są lub będą przetwarzane. Zasada przejrzystości wymaga, by wszelkie informacje i wszelkie komunikaty związane z przetwarzaniem tych danych osobowych były łatwo dostępne i zrozumiałe oraz sformułowane jasnym i prostym językiem. Zasada ta dotyczy w szczególności informowania osób, których dane dotyczą, o tożsamości administratora i celach przetwarzania oraz innych informacji mających zapewnić rzetelność i przejrzystość przetwarzania w stosunku do osób, których sprawa dotyczy, a także prawa takich osób do uzyskania potwierdzenia i informacji o przetwarzanych danych osobowych ich dotyczących. Osobom fizycznym należy uświadomić ryzyka, zasady, zabezpieczenia i prawa związane z przetwarzaniem danych osobowych oraz sposoby wykonywania praw przysługujących im w związku z takim przetwarzaniem. W szczególności konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania".
Prezes UODO, odnosząc się do kwestii przetwarzania przez Skarżącą danych osobowych na potrzeby sporządzenia Opinii, wskazał, że art. 2 ust. 2 RODO przewiduje wyłączenia stosowania przepisów RODO, ale nie wyłączają stosowania RODO przez osoby prowadzące działalności gospodarczą polegającą na wykonywaniu zawodu psychologa. Oznacza to, że dane osobowe przetwarzane w ramach prywatnej praktyki psychologicznej podlegają ochronie przewidzianej przepisami RODO. Aktem prawnym regulującym zasady i warunki wykonywania zawodu psychologa jest ustawa z 8 czerwca 2001r. o zawodzie psychologów i samorządzie zawodowym psychologów (Dz.U. z 2019r., poz. 1026, zwana dalej "u.z.p.s.z.p."). Art. 12 u.z.p.s.z.p. wskazuje, że podjęcie usług psychologicznych następuje za zgodą osoby (klienta) lub grupy osób (klientów) stanowiących podmiot diagnozowania i oddziaływania psychologicznego, z zastrzeżeniem ust. 2 i 3 (ust. 1). Zgoda nie jest wymagana w przypadkach określonych w przepisach Kodeksu karnego, Kodeksu postępowania karnego oraz w ustawie z 19 sierpnia 1994r. o ochronie zdrowia psychicznego (Dz.U. z 2018r., poz. 1878 ze zm., zwana dalej "u.o.z.p.") (ust. 2). Zgoda na przeprowadzenie badań nie jest wymagana także w stosunku do osób podlegających kwalifikacji wojskowej, kierowanych do specjalności i funkcji zgodnie z kryteriami doboru takich osób do poszczególnych specjalności wojskowych, oraz osób ubiegających się o przyjęcie do zawodowej służby wojskowej (ust. 3).
Prezes UODO wskazał, że z ustalonego stanu faktycznego wynika, że Opinię sporządzono w drodze zlecenia byłego męża Uczestniczki i ojca Córki. W celu sporządzenia Opinii były mąż Uczestniczki dostarczył Skarżącej informacje dotyczące ww. osób, w tym ich dane osobowe. Skarżąca, wykorzystując dane osobowe uczestniczki i Jej Córki musiała legitymować się podstawą przetwarzania danych osobowych, o których mowa w art. 6 ust. 1 i art. 9 ust. 2 RODO. Analiza materiału dowodowego sprawy nie wykazała, by Skarżąca wykazała istnienie jakiejkolwiek przesłanki wskazanej w ww. przepisach RODO, w tym uzyskania zgody na przetwarzanie danych osobowych Uczestniczki i jej Córki, dokonanej w warunkach określonych w art. 7 w związku z art. 6 ust 1 lit. a i art. 9 ust. 2 lit. a RODO. Skarżąca przetwarzała dane osobowe Uczestniczki i Jej Córki na potrzeby Opinii bez podstawy prawnej.
Postępowanie administracyjne prowadzone przez Prezesa UODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji przywracającej stan zgodny z prawem na podstawie art. 58 ust. 2 RODO. Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego art. 58 ust. 2 RODO, który służy przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. Organ w ww. zakresie dopatrzył się naruszenia przepisów związanych z ochroną danych osobowych Uczestniczki, w związku z czym udzielił Skarżącej upomnienia za naruszenie art. 9 ust. 1 w zw. z art. 5 ust. 1 lit. a RODO, bo użycie danych osobowych zawartych w Opinii z [...] lutego 2021r. nie miało podstawy prawnej.
Prezes UODO, odnosząc się do nieprawidłowości w zakresie braku spełnienia przez Skarżącą obowiązku informacyjnego, o którym mowa w art. 14 RODO, wskazał, że w myśl tego przepisu administrator pozyskujący dane osobowe nie od osoby, której dane dotyczą, ma obowiązek udzielić wszystkich informacji wskazanych w art. 14 ust. 1 i 2 RODO - informacji dotyczących swojej tożsamości i danych kontaktowych oraz, gdy ma to zastosowanie, tożsamości i danych kontaktowych swojego przedstawiciela, gdy ma to zastosowanie - danych kontaktowych inspektora ochrony danych; celów przetwarzania, co do których mają posłużyć dane osobowe, oraz podstawę prawną przetwarzania; kategorii odnośnych danych osobowych; informacji o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; gdy ma to zastosowanie - informacji o zamiarze przekazania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia. Administrator poza informacjami, o których mowa w art. 14 ust. 1, podaje osobie, której dane dotyczą, następujące informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania wobec osoby, której dane dotyczą, tj. okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) - prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) RODO - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; informacje o prawie wniesienia skargi do organu nadzorczego; źródło pochodzenia danych osobowych, a gdy ma to zastosowanie - czy pochodzą one ze źródeł publicznie dostępnych; informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4 RODO, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. Ponadto administrator na mocy art. 12 ust. 1 RODO jest zobowiązany do realizacji ww. obowiązku informacyjnego m.in. w przejrzystej i łatwo dostępnej formie, a informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie. Administrator, zgodnie z zasadą rozliczalności określoną w art. 5 ust. 2 RODO, jest odpowiedzialny za przestrzeganie zasad dotyczących przetwarzania danych osobowych, w tym zasady przejrzystości, i musi być w stanie wykazać ich przestrzeganie.
Zdaniem Prezesa UODO Skarżąca nie wypełniła wobec Uczestniczki i jej Córki obowiązku informacyjnego wynikającego z art. 14 ust. 1 i 2 RODO. Ww. obowiązek zgodnie z art. 14 ust. 3 RODO powinien być spełniony przez administratora w rozsądnym terminie po pozyskaniu danych osobowych - najpóźniej w ciągu miesiąca - mając na uwadze konkretne okoliczności przetwarzania danych osobowych; jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą - najpóźniej przy pierwszej takiej komunikacji z osobą, której dane dotyczą; lub jeżeli planuje się ujawnić dane osobowe innemu odbiorcy - najpóźniej przy ich pierwszym ujawnieniu. Postępowanie Skarżącej związane z brakiem spełnienia obowiązku informacyjnego z art. 14 ust. 1 i 2 RODO stanowi naruszenie praw podmiotów danych (Uczestniczki i jej Córki) do informacji o dotyczących ich danych osobowych. Skarżąca nie poczyniła kroków w celu spełnienia ww. obowiązków informacyjnych.
Prezes UODO zdecydował, skoro Skarżąca nie przetwarza obecnie danych osobowych Uczestniczki i Jej Córki, na podstawie art. 58 ust. 2 RODO, o udzieleniu Skarżącej upomnienia za brak spełnienia obowiązku informacyjnego, o którym mowa w art. 14 ust. 1 i 2 RODO.
Prezes UODO, odnosząc się do nakazania Skarżącej usunięcia danych osobowych przetwarzanych bez podstawy prawnej, podniósł, że z materiału dowodowego sprawy wynika, że skro Skarżąca po realizacji zlecenia oddała byłemu mężowi Uczestniczki dokumenty przekazane na potrzeby wydania Opinii, a wszelkie notatki zniszczyła, zaś informacje przekazane elektronicznie usunęła, więc Skarżąca obecnie nie przetwarza żadnych danych osobowych, o których mowa w skardze.
2. Skarżąca w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na punkt 1 i 2 ww. decyzji Prezesa UODO zarzuciła naruszenie:
a) art. 7, art. 77 § 1 i art. 80 k.p.a. - przez niepodjęcie przez Prezesa UODO wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy, a w następstwie tego dowolną ocenę, w szczególności zaniechanie rozpatrzenia kontekstu wydania Opinii, co do ustalenia, kto był faktycznym klientem psychologa i wobec kogo Skarżąca miała obowiązek pozyskania zgody na przetwarzanie danych osobowych szczególnych kategorii oraz spełnienia obowiązku informacyjnego, w odniesieniu do specyfiki prowadzonej przez nią działalności w obszarze usług psychologicznych na rynku usług prywatnych;
b) art. 9 ust. 1 i 2 lit. a RODO w związku z art. 5 ust. 1 lit. a RODO w związku z art. 12 ust. 1 u.z.p.s.z.p. w związku z art. 17 ust. 2 ustawy z 6 listopada 2008r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. 2023r., poz. 1545 ze zm., zwana dalej "u.p.p.RPP.") w związku z art. 97 § 1 w związku z art. 98 § 1 k.r.o. - przez nieuwzględnienie, że Skarżąca przetwarzała przekazane jej dane osobowe Córki na podstawie zgody ojca dziecka (przedstawiciela ustawowego – byłego męża Uczestniczki), któremu w dacie przekazania materiałów do sporządzenia Opinii, aż do wykonania przez Skarżącą zlecenia, przysługiwała pełna władza rodzicielska, a informacje dotyczące Uczestniczki miały związek z okolicznościami wpisującymi się w zakres usługi psychologicznej związanej ze sporządzenie opinii dotyczącej Córki, a nie matki dziecka - na zlecenie ojca, będącego faktycznym klientem Skarżącej;
c) art. 14 ust. 1 i 2 RODO w związku z art. 14 ust. 5 lit. d RODO w związku z art. 12 ust. 1 w związku z art. 14 ust. 1 u.z.p.s.z.p. - przez brak uwzględnienia, ż klientem Skarżącej był ojciec dziecka, a usługa psychologiczna dotyczyła sporządzenia Opinii na podstawie materiałów dostarczonych przez ojca Córki i na jego zlecenie, a w związku z tym Skarżąca była obowiązana do zachowania tajemnicy zawodowej w zakresie udzielania informacji, kto jest jej klientem i świadczonej usługi psychologicznej, co wyłącza obowiązki informacyjne z art. 14 ust. 1 i 2 RODO;
d) art. 13 ust. 1 i 2 u.z.p.s.z.p. w związku z art. 5 ust. 1 lit. a RODO - przez odniesienie tych regulacji do Córki i Uczestniczki, gdy klientem Skarżącej był ojciec dziecka;
e) art. 58 ust. 2 lit. b RODO - przez jego zastosowanie i udzielenie upomnienia Skarżącej za naruszenie art. 9 ust. 1 w związku z art. 5 ust. 1 lit. a RODO, a także za naruszenie art. 14 ust. 1 i 2 RODO, mimo, że Skarżąca nie dopuściła się naruszenia przepisów o ochronie danych osobowych.
Skarżąca, mając powyższe zarzuty, wniosła o uchylenie ww. decyzji Prezesa UODO w części zaskarżonej (pkt 1 i 2), zasądzenie od organu na rzecz Skarżącej kosztów postępowania według norm prawem przepisanych. W uzasadnieniu skargi rozwinęła argumentację dotyczącą postawionych zarzutów.
3. Prezes UODO w odpowiedzi na skargę organ wniósł o jej oddalenie i odniósł się do zawartych w niej zarzutów.
II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
1. skargę należało uwzględnić.
2. Sąd na wstępie wyjaśnia, że zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2022r., poz. 2492 ze zm.) kontrola sądowa zaskarżonych decyzji, postanowień bądź innych aktów, wymienionych w art. 3 § 2 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024r., poz. 935 ze zm., zwana dalej "P.p.s.a.") sprawowana jest przez Sądy administracyjne w oparciu o kryterium zgodności z prawem. W związku z tym, aby wyeliminować z obrotu prawnego akt wydany przez organ administracji publicznej konieczne jest stwierdzenie, że doszło w nim do naruszenia bądź przepisu prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepisu postępowania w stopniu mogącym mieć istotny wpływ na rozstrzygnięcie, albo też przepisu prawa dającego podstawę do wznowienia postępowania, lub ewentualnie ustalenie, że decyzja lub postanowienie organu dotknięte jest wadą nieważności (art. 145 § 1 lit. a)-c) i § 2 P.p.s.a.).
Sąd w zakresie swojej właściwości ocenia więc zaskarżoną decyzję z punktu widzenia zgodności z przepisami postępowania administracyjnego oraz przepisami prawa materialnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu.
3. Zdaniem Sądu skarga analizowana z uwzględnieniem ww. przepisów zasługiwała na uwzględnienie wyłącznie z powodu naruszenia przez Prezesa UODO przepisów prawa procesowego zarzucanych w skardze, jednakowoż tylko w odniesieniu do danych osobowych szczególnej kategorii Córki Uczestniczki.
Prezes UODO nie rozważył bowiem w uzasadnieniu zaskarżonej decyzji po pierwsze, wobec kogo Skarżąca, prowadząca ww. działalność gospodarczą, miała obowiązek pozyskania zgody na przetwarzanie danych osobowych szczególnej kategorii Córki Uczestniczki i czy zgoda ta była wymagana wobec dziecka, skoro o Opinię wystąpił były mąż Uczestniczki, a zarazem ojciec Córki, który nie utracił władzy rodzicielskiej nad dzieckiem i to on wnioskował o Opinię, którą sporządziła Skarżąca.
Zdaniem Sądu racje ma Skarżąca, wskazując, że skoro Jej klientem był ojciec Córki, to nie można pomijać, że obowiązkiem psychologa – Skarżącej – było podjęcie konkretnych działań i powstrzymanie się od pewnych zachowań, które są związane z obowiązkiem zachowania tajemnicy zawodowej (psychologa, psychoterapeuty) wobec klienta. Nie można zatem wykluczyć, że wzięcie tej okoliczności pod uwagę doprowadziłoby organ nadzorczy do odmiennych wniosków i twierdzeń. Skoro bowiem ojciec dziecka małoletniego, występując do Skarżącej o ww. Opinię, wyraził de facto zgodę na przetwarzanie szczególnej kategorii danych osobowych własnego dziecka, to brak uwzględnienia tej okoliczność przez Prezesa UODO w zaskarżonej decyzji wskazuje, że już z tego względu zaskarżona decyzja jest nieprawidłowa i istniała potrzeba uchylenia w całości punktu pierwszego i drugiego decyzji, które odnoszą się zarówno do Uczestniczki, jak i Jej Córki.
Sąd nie kwestionuje prawidłowości stanowiska Prezesa UODO w zakresie wykorzystania przez Skarżącą bez podstawy prawnej danych osobowych Uczestniczki i niedopełnienia przez Skarżącą wobec Uczestniczki obowiązku informacyjnego w rozumieniu art. 14 ust. 1 i 2 RODO, ale uznaje, że w zaskarżonej decyzji zabrakło należytego rozważenia potrzeby zachowania przez Skarżącą tajemnicy zawodowej w rozumieniu art. 14 u.z.p.s.z.p. w związku ze sporządzaną Opinią. Należy też podkreślić, że skoro ojciec dziecka wyraził zgodę na przetwarzanie danych osobowych swojej Córki, to Prezes UODO nie mógł pominąć przepisu art. 17 ust 2 zd. 1 u.p.p.RPP oraz przepisów art. 97 § 1 i art. 98 § 1 k.r.o. i powinien się do nich odnieść w uzasadnieniu zaskarżonej decyzji.
Z art. 17 ust 2 zd. 1 u.p.p.RPP wynika, że przedstawiciel ustawowy pacjenta małoletniego, całkowicie ubezwłasnowolnionego lub niezdolnego do świadomego wyrażenia zgody, ma prawo do wyrażenia zgody, o której mowa w ust. 1.
Art. 97 § 1 k.r.o. stanowi, że jeżeli władza rodzicielska przysługuje obojgu rodzicom, każde z nich jest obowiązane i uprawnione do jej wykonywania. W art. 97 § 2 k.r.o. wskazano, że jednakże o istotnych sprawach dziecka rodzice rozstrzygają wspólnie; w braku porozumienia między nimi rozstrzyga sąd opiekuńczy.
Art. 98 § 1 k.r.o. stanowi, że rodzice są przedstawicielami ustawowymi dziecka pozostającego pod ich władzą rodzicielską. Jeżeli dziecko pozostaje pod władzą rodzicielską obojga rodziców, każde z nich może działać samodzielnie jako przedstawiciel ustawowy dziecka. W art. 98 § 2 wskazano, że jednakże żadne z rodziców nie może reprezentować dziecka: 1) przy czynnościach prawnych między dziećmi pozostającymi pod ich władzą rodzicielską; 2) przy czynnościach prawnych między dzieckiem a jednym z rodziców lub jego małżonkiem, chyba że czynność prawna polega na bezpłatnym przysporzeniu na rzecz dziecka albo że dotyczy należnych dziecku od drugiego z rodziców środków utrzymania i wychowania. Przepis art. 98 § 3 k.r.o. stanowi, że przepisy paragrafu poprzedzającego stosuje się odpowiednio w postępowaniu przed sądem lub innym organem państwowym., że Należało bowiem inaczej sformułować pkt 1 i 2 sentencji zaskarżonej decyzji.
Z uzasadnienia zaskarżonej decyzji nie wynika, że Prezes UODO uwzględnił unormowania wskazane w ww. przepisach, choć wiązały się one ściśle z wyrażeniem zgody na świadczenie usług psychologicznych wobec małoletnich. Skarżąca natomiast podkreśla, że w świetle art. 17 ust 2 u.p.p.RPP była uprawniona wobec Córki do przetwarzania jej danych osobowych – przekazanych przez przedstawiciela ustawowego Córki – gdyż posiadała zgodę na badanie lub udzielanie świadczenia zdrowotnego wyrażaną przez "przedstawiciela ustawowego pacjenta małoletniego". Skoro zatem Skarżąca taką zgodę uzyskała od ojca Córki – czego nie wzięto pod rozwagę w uzasadnieniu zaskarżonej decyzji - to należało uznać, że decyzja Prezesa UODO była już z tego powodu przedwczesna i naruszała art. 7 i art. 77 § 1 k.p.a. przez nienależyte rozważenie wszystkich istotnych w sprawie okoliczności faktycznych, które należało wziąć pod rozwagę w świetle obowiązujących przepisów prawa.
Sąd administracyjny podkreśla, że badający legalność decyzji wydawanych przez Prezesa UODO, nie może jako pierwszy, za organ, zajmować stanowiska, co do istotnych w sprawie okoliczności z punktu widzenia m.in. art. 58 ust. 2 lit. b) który zastosowana wobec Skarżącej w związku z przetwarzaniem danych osobowych Córki, tym bardziej, że Skarżąca w uzasadnieniu skargi trafnie podnosi, że skoro ustawodawca w art. 17 ust 2 u.p.p.RPP posłużył się liczbą pojedynczą ("przedstawiciel ustawowy"), to regulacji tej nie można pominąć przy wydawaniu zaskarżonej decyzji.
Skarżąca powołuje się ponadto na stanowisko doktryny w kwestii wykładni art. 97 i art. 98 § 1 k.r.o., podnosząc, że w istotnych sprawach dziecka nadal to jeden z rodziców może je reprezentować (P. Wicherek [w:] Kodeks rodzinny i opiekuńczy. Komentarz, red. M. Fras, M. Habdas, Warszawa 2021, s. 13) oraz, że zasada samodzielnej reprezentacji nie ma jednak zastosowania w przypadku istotnych spraw dziecka, jeżeli jedno z rodziców zgłosiło sprzeciw (G. Jędrejek [w:] Kodeks rodzinny i opiekuńczy. Komentarz aktualizowany, LEX/el. 2019, s 2).
Unormowania te, jak również ich wykładnia również nie były uwzględniane przez Prezesa UODO w rozpoznawanej sprawie w kontekście wyrażenia zgody przez ojca Córki na przetwarzanie danych osobowych małoletniej i czy w związku z tym rzeczywiście konieczne było w takim przypadku uzyskanie zgody Uczestniczki na przetwarzanie danych osobowych Jej Córki, dotyczących stanu zdrowia, czy też taka zgoda nie była potrzebna. Skoro Skarżąca wskazuje, że w związku z ww. przepisami (art. 17 ust 2 u.p.p.RPP, art. 97 i art. 98 § 1 k.r.o.) dysponowała podstawą prawną do przetwarzania danych osobowych dziecka, a zatem nie doszło do naruszenia przepisów ochrony danych osobowych (art. 5 ust. 1 lit. a RODO w związku z art. 9 ust. 1 RODO), to stanowisko z tego zakresu powinno znajdować się w uzasadnieniu zaskarżonej decyzji. To bowiem organ administracyjny, właściwy w zakresie ochrony danych osobowych, ma obowiązek rozważyć obowiązujące w sprawie małoletniego dziecka przepisy w kontekście udostępniania jego danych osobowych dotyczących stanu zdrowia przez jednego z rodziców, w celu sporządzenia przez psychologa Opinii wobec tego dziecka. Organ administracyjny powinien ponadto rozważaniom z ww. zakresu dać wyraz w uzasadnieniu zaskarżonej decyzji, tym bardziej, że zdecydował się na ukaranie upomnieniem Skarżącej, która wykonuje zawód psychologa i przy sporządzaniu Opinii ma obowiązek uwzględniać dobro dziecka, jego bezpieczeństwo oraz zdrowie psychiczne, a także przestrzegać tajemnicy zawodowej.
Sąd w związku z tym uznał za zasadne zarzuty skargi o naruszeniu art. 7, art. 77 § 1 i art. 107 § 1 i 3 k.p.a. i to w stopniu mogącym mieć istotny wpływ na wynik sprawy.
Prezes UODO, wydając zaskarżoną decyzję, nie rozważył ponadto czy nie istniała potrzeba wyłączenia stosowania art. 14 ust. 1 i 2 RODP (obowiązku informacyjnego wobec Córki) w związku z art. 14 ust. 5 lit. d RODO, w odniesieniu do świadczenia przez Skarżąca usługi psychologicznej, w związku z którą wymagane jest uwzględnianie dobra dziecka oraz potrzeby zachowania tajemnicy zawodowej w zakresie udzielania informacji, kto był klientem Skarżącej, stosownie do art. art. 12 ust. 1 i art. 14 ust. 1 u.z.p.s.z.p.
W świetle art. 12 ust. 1 u.z.p.s.z.p. podjęcie usług psychologicznych następuje za zgodą osoby (klienta) lub grupy osób (klientów) stanowiących podmiot diagnozowania i oddziaływania psychologicznego, z zastrzeżeniem ust. 2 i 3. Jakkolwiek Prezes UODO skoncentrował się w uzasadnieniu zaskarżonej decyzji na art. 12 ust. 2 u.z.p.s.z.p., tym niemniej pominął kwestię prawidłowej wykładni art. 12 ust. 1 u.z.p.s.z.p. w związku z art. 17 ust 2 u.p.p.RPP oraz art. 97 i art. 98 k.r.o., które odnoszą się do możliwości reprezentacji dziecka przez jednego z rodziców w istotnych sprawach dziecka. Sąd administracyjny, jeszcze raz podkreśli, że nie jest władny do zastępowania organu administracyjnego przy prawidłowej wykładni przepisów wiążących się z nałożeniem na Skarżącą sankcji upomnienia w związku z istniejącym, zdaniem Prezesa UODO, obowiązkiem informacyjnym wobec małoletniego dziecka – Córki, w imieniu której działał były mąż Uczestniczki, wyrażając de facto zgodę na podjęcie usług psychologicznych wobec swojej Córki.
Sąd zgadza się więc z argumentacją podnoszoną przez Skarżącą w skardze, że w kontekście w szczególności art. 12 ust. 1 u.z.p.s.z.p. oraz art. 17 ust 2 u.p.p.RPP i art. 97, art. 98 k.r.o., należy odróżnić klienta od bezpośredniego odbiorcy usług psychologicznych. Potwierdzeniem tego stanowiska jest projekt poselski nowej ustawy o zawodzie psychologa (Druk sejmowy nr 2113), gdzie w art. 2 pojawia się definicja klienta i bezpośredniego odbiorcy usług: "Ilekroć w niniejszej ustawie mowa o: 3) kliencie - rozumie się przez to osobę fizyczna, osobę prawną lub jednostkę organizacyjną nieposiadającą osobowości prawnej, no rzecz której psycholog podejmuje działania psychologiczne na podstawie zawartej umowy; 4) bezpośrednim odbiorcy usług psychologicznych - rozumie się przez to osobę fizyczną lub grupę osób fizycznych, wobec których psycholog podejmuje działania psychologiczne".
Tym samym, jakkolwiek Prezes UODO trafnie uznał w zaskarżonej decyzji, że odbiorcą usług była de facto osoba małoletnia – gdyż to Jej dotyczyła ww. Opinia - to jednak pominął istotną w sprawie okoliczność, że Córkę reprezentował i działał w jej imieniu i dla jej dobra ojciec – były mąż Uczestniczki, występując w roli klienta Skarżącej. Na mocy zaś art. 14 ust. 1 u.z.p.s.z.p. Skarżąca miała obowiązek zachować w tajemnicy wszelkie informacje dotyczące osoby swojego klienta w związku ze świadczoną na jego rzecz usługą, uwzględniając przy tym, że ojciec dziecka małoletniego wyraził odpowiednią zgodę w rozumieniu art. 12 ust. 1 u.z.p.s.z.p. Do tych okoliczność powinien się odnieść Prezes UODO w uzasadnieniu zaskarżonej decyzji w kontekście poufności danych osobowych oraz obowiązku zachowania przez psychologa tajemnicy zawodowej, stosownie do art. 14 ust. 5 lit. d RODO, jak również, czy w takiej sytuacji istniał wymóg poinformowania Córki, stosownie do art. 14 ust. 1 i 2 RODO. Skoro w sprawie tego zabrakło, należało przyjąć, że zaskarżona decyzja również z tego powodu była wadliwa.
Sąd jeszcze raz podkreśli, że to Prezes UODO w postępowaniu administracyjnym przed wydaniem zaskarżonej decyzji powinien rozważyć wszelkie istotne w sprawie przesłanki do zastosowania swoistego rodzaju sankcji przewidzianej w art. 58 ust. 2 lit. b) RODO. Brak należytego rozważenia istotnych w sprawie okoliczności obciąża organ administracyjny, a ponadto stanowi naruszenie zarówno art. 7 i art. 77 § 1 k.p.a., jak również art. 107 § 1 i 3 k.p.a. i to w stopniu, który mógł mieć istotny wpływ na wynik sprawy.
4. Prezes UODO przy ponownym rozpatrywaniu sprawy uwzględni dokonaną przez Sąd wykładnię przepisów, stosownie do art. 153 P.p.s.a.
5. Sąd, mając powyższe na względzie uznał, że zasadne było uchylenie ww. decyzji Prezesa UODO w zaskarżonej części, stosownie do art. 145 § 1 pkt 1 lit. c) P.p.s.a. Postanowienie w zakresie kosztów postępowania sądowego Sąd wydał na mocy art. 200, art. 209 P.p.s.a., gdyż Skarżąca działała samodzielnie, a jedynym kosztem związanym ze sprawą był wpis sądowy.