II SA/Wa 1879/20

II SA/Wa 1879/20 - Wyrok WSA w Warszawie
Data orzeczenia
2021-04-20
orzeczenie prawomocne
Data wpływu
2020-09-28
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj /przewodniczący/
Joanna Kruszewska-Grońska /sprawozdawca/
Łukasz Krzycki
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Administracyjne postępowanie
Ochrona danych osobowych
Sygn. powiązane
III OSK 6697/21 - Wyrok NSA z 2023-04-19
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2020 poz 256
art. 105 par. 1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U. 2018 poz 1000
art. 7 ust. 1
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj, Sędzia WSA Łukasz Krzycki, Sędzia WSA Joanna Kruszewska-Grońska (spr.), po rozpoznaniu na posiedzeniu niejawnym w dniu 20 kwietnia 2021 r. sprawy ze skargi J. S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.
Uzasadnienie
Zaskarżoną w niniejszej sprawie decyzją z [...] sierpnia 2020 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256 ze zm.; dalej: "k.p.a.") w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o. z 2018 r."), umorzył postępowanie administracyjne w sprawie ze skargi J. S.(dalej: "skarżący") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Niepubliczny Zakład Opieki Zdrowotnej "[...]" Sp. z o.o. z siedzibą w P. (obecnie "[...]" Sp. z o.o. z siedzibą w J.; dalej: "NZOZ", "uczestnik postępowania") polegające na udostępnieniu danych osobowych bez podstawy prawnej.
Do wydania zaskarżonej decyzji doszło w następujących okolicznościach sprawy:
W skardze z [...] czerwca 2018 r. (data wpływu do organu: [...] czerwca 2018 r.) skarżący, reprezentowany prze adwokata D. H., podniósł, że [...] września 2013 r. osoby zatrudnione na stanowisku obsługi pacjentów w NZOZ udostępniły jego dane osobowe - imię, nazwisko i adres zamieszkania osobie nieuprawnionej, a mianowicie pracującemu tam lekarzowi. Skarżący zażądał przeprowadzenia kontroli uczestnika postępowania, a następnie przekazania mu protokołu pokontrolnego oraz wydania decyzji stwierdzającej naruszenie przepisów o ochronie danych osobowych na jego szkodę, a także – w wypadku stwierdzenia popełnienia przestępstwa bądź utrudniania czynności kontrolnych - zawiadomienia organów ścigania.
W piśmie z [...] grudnia 2018 r. precyzującym skargę, skarżący (reprezentowany przez adwokata Ł. K.) oświadczył, że w jego sprawie doszło do naruszenia praw określonych w art. 5 ust. 1a w związku z art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1 oraz Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2 ze zm.; dalej: "RODO"), tj. niezgodnego z prawem przetwarzania jego danych osobowych bez właściwej, legalizującej to przetwarzanie przesłanki. Skarżący wniósł o podjęcie działań polegających na merytorycznym zbadaniu i rozpatrzeniu skargi w trybie określonym w art. 77 RODO, w tym poinformowanie go o postępach i efektach rozpatrywania skargi.
W toku postępowania administracyjnego, zainicjowanego ww. skargą, PUODO ustalił, że NZOZ przetwarza dane osobowe skarżącego jako pacjenta w oparciu o przepisy ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych (Dz. U. z 2020 r., poz. 1398 ze zm.) w zakresie: imienia i nazwiska, numeru PESEL, daty urodzenia, adresu zamieszkania oraz stanu zdrowia. W dniu [...] września 2013 r. w placówce uczestnika postępowania doszło do zdarzenia, w wyniku którego pokrzywdzony został A. A. - lekarz zatrudniony w NZOZ od 1997 r. i dysponujący upoważnieniem do przetwarzania danych osobowych pacjentów. W związku z ww. zdarzeniem, została wezwana Policja. Wobec podejrzenia, iż skarżący był sprawcą tego incydentu, podczas interwencji Policji, w obecności A. A., funkcjonariuszom Policji zostały udostępnione dane osobowe skarżącego w zakresie imienia i nazwiska oraz adresu zamieszkania.
W uzasadnieniu powołanej na wstępie decyzji organ wskazał, że w czasie, gdy miało miejsce zdarzenie opisane w skardze, tj. 27 marca 2018 r., obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.; dalej: "u.o.d.o. z 1997 r."), które określały zasady przetwarzania danych osobowych do 24 maja 2018 r. Natomiast od [...] maja 2018 r., obowiązują przepisy RODO oraz przepisy u.o.d.o. z 2018 r. Dlatego zdarzenie opisane w skardze nie może być rozpatrywane w toku postępowania zmierzającego do wydania decyzji w oparciu o przepisy RODO. Proces przetwarzania danych osobowych przez uczestnika postępowania rozpoczął się i zakończył przed [...] maja 2018 r. PUODO nie ma możliwości prowadzenia postępowania administracyjnego w oparciu o przepisy u.o.d.o. z 1997 r., skoro kwestionowany proces przetwarzania nie był kontynuowany po [...] maja 2018 r. Z tego też względu organ nie może dokonać oceny zgodności opisanych w skardze działań administratora z RODO.
Powyższa decyzja PUODO z [...] sierpnia 2020 r. stała się przedmiotem skargi skarżącego do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której wniesiono o uchylenie zaskarżonej decyzji. Skarżący zarzucił organowi błędne przyjęcie, że zaistniała przesłanka, o której mowa w art. 105 § 1 k.p.a., podczas gdy w wyniku prowadzonego postępowania powinno nastąpić wydanie "właściwej, kierunkowej" decyzji o charakterze merytorycznym.
Skarżący podkreślił, iż organ opieszale, przez ponad dwa lata, prowadził postępowanie administracyjne, a kiedy zebrał "maksymalnie obszerny materiał dowodowy", to wydał decyzję o charakterze formalnym. Według skarżącego, jest to całkowicie bezpodstawne i sprzeczne z podstawowymi przepisami k.p.a. Stanowisko PUODO świadczy o istnieniu poważnej luki w polskim systemie prawa, która uniemożliwia poszukiwanie ochrony prawnej.
W odpowiedzi na skargę PUODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji.
W piśmie z [...] lutego 2021 r. skarżący zawnioskował o przeprowadzenie dowodu z pisma Dyrektora Departamentu [...] w Ministerstwie Zdrowia z [...] stycznia 2021 r., w którym stwierdzono, że przekazanie lekarzowi podmiotu leczniczego danych pacjenta, dokonane w pomieszczeniu obejmującym rejestrację pacjentów, przy którym znajduje się poczekalnia, stanowi naruszenie prawa pacjenta określonego w art. 13 i art. 14 ust. 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i rzeczniku Praw pacjenta. Ponadto w ww. piśmie wskazano, iż podejmowanie czynności kontrolnych przez Ministra Zdrowia byłoby działaniem nieuzasadnionym z punktu widzenia ekonomiki prowadzenia kontroli, bowiem sprowadzałoby się do potwierdzenia ustaleń dokonanych przez Rzecznika Praw Pacjenta.
Uczestnik postępowania w piśmie z [...] marca 2021 r. w pełni zaaprobował argumentację przedstawioną przez organ i wniósł o oddalenie skargi. Odnosząc się do objętego wnioskiem dowodowym pisma, NZOZ wskazał, że treść tego pisma, tak jak ustalenia Rzecznika Praw Pacjenta, nie mogą w żaden sposób przesądzać, czy uczestnik postępowania naruszył przepisy o ochronie danych osobowych. Dodał, iż skarżący dopiero po upływie 6-7 lat zdecydował się wystąpić ze skargami do Rzecznika Praw Pacjenta i Urzędu Ochrony Danych Osobowych.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Niniejsza sprawa została rozpoznana na posiedzeniu niejawnym na mocy art. 15zzs4 ust. 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2020 r., poz. 1842 ze zm.). W myśl tego przepisu, przewodniczący może zarządzić przeprowadzenie posiedzenia niejawnego, jeżeli uzna rozpoznanie sprawy za konieczne, a przeprowadzenie wymaganej przez ustawę rozprawy mogłoby wywołać nadmierne zagrożenie dla zdrowia osób w niej uczestniczących i nie można przeprowadzić jej na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku. Na posiedzeniu niejawnym w tych sprawach sąd orzeka w składzie trzech sędziów.
Skarga nie zasługuje na uwzględnienie.
Postępowanie administracyjne w kontrolowanej sprawie zostało wszczęte po [...] maja 2018 r. – na skutek skargi skarżącego z [...] czerwca 2018 r., która wpłynęła do organu [...] czerwca 2018 r. Przedmiotowa skarga dotyczyła incydentu sprzed kilku lat, a mianowicie zdarzenia z [...] września 2013 r. W świetle powyższego należy przyznać rację PUODO, że ww. skarga nie mogła doprowadzić do merytorycznego załatwienia sprawy, stosownie do przepisów RODO – jak tego chciałby skarżący. Zgodnie bowiem z treścią art. 99 ust. 1 RODO, rozporządzenie ma zastosowanie od dnia [...] maja 2018 r., a zatem do spraw, w których skargę wniesiono od [...] maja 2018 r., a także do spraw, w których w ww. dacie trwał skarżony proces przetwarzania danych osobowych. Zdarzenie stanowiące podstawę skargi skarżącego miało miejsce [...] września 2013 r. (organ błędnie podał w zaskarżonej decyzji datę [...] marca 2018 r., przy czym omyłka ta nie ma wpływu na wynik sprawy). Do kwestionowanego przetwarzania danych osobowych skarżącego doszło więc pod rządami przepisów u.o.d.o. z 1997 r. Proces przetwarzania nie był kontynuowany po [...] maja 2018 r. W myśl art. 160 ust. 1 i 2 u.o.d.o. z 2018 r. wyłącznie postępowania, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy z dnia 10 maja 2018 r., są prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z dnia 29 sierpnia 1997 r. W okolicznościach niniejszej sprawy organ nie miał podstaw do prowadzenia postępowania administracyjnego w oparciu o przepisy u.o.d.o. z 1997 r., gdyż postępowanie administracyjne zostało wszczęte po dniu wejścia w życie u.o.d.o. z 2018 r., a jednocześnie przetwarzanie danych osobowych skarżącego zakończyło się i nie było kontynuowane po [...] maja 2018 r. Brak jest również przepisów kompetencyjnych uprawniających organ do prowadzenia postępowania w przedmiocie oceny zgodności działania administratora z przepisami u.o.d.o. z 1997 r.
Według art. 105 § 1 k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję
o umorzeniu postępowania odpowiednio w całości lub w części. Brak któregoś z elementów stosunku materialnoprawnego stanowi przeszkodę załatwienia sprawy przez rozstrzygnięcie jej co do istoty.
Ustosunkowując się do zgłoszonego w piśmie z [...] lutego 2021 r. wniosku dowodowego, zaznaczyć trzeba, że stosownie do treści art. 106 § 3 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.; dalej: "p.p.s.a."), sąd może z urzędu lub na wniosek stron przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. W rozpoznawanej sprawie skarżący jako przedmiot dowodu wskazał pismo Dyrektora Departamentu [...] Ministerstwa Zdrowia z [...] stycznia 2021 r., a zatem powołał się na dokument sporządzony po upływie pięciu miesięcy od wydania zaskarżonej decyzji. Jego treść nie mogła mieć wpływu na kontrolowane postępowanie administracyjne, bowiem pismo to nie pozostawało w związku z oceną legalności zaskarżonego aktu. Podkreślić należy, iż sąd administracyjny orzeka w oparciu o stan faktyczny i prawny obowiązujący w dacie wydania zaskarżonej decyzji, dlatego nie można uwzględnić jako dowodu uzupełniającego ww. pisma z [...] stycznia 2021 r.
Akcentowana w skardze opieszałość PUODO w prowadzeniu postępowania administracyjnego zakończonego zaskarżoną decyzją pozostaje poza granicami niniejszej sprawy. Była ona zresztą przedmiotem rozpoznania przez tut. Sąd w sprawie o sygn. akt II SAB/Wa 332/20 zakończonej wyrokiem z 27 listopada 2020 r. W orzeczeniu tym Wojewódzki Sąd Administracyjny w Warszawie m.in. stwierdził, że organ dopuścił się przewlekłego prowadzenia postępowania i że przewlekłość ta miała miejsce z rażącym naruszeniem prawa, a także wymierzył organowi grzywnę.
Nie sposób zgodzić się ze skarżącym, iż w niniejszej sprawie PUODO zebrał "maksymalnie obszerny materiał dowodowy", bowiem po wezwaniu skarżącego do sprecyzowania skargi, organ prowadził korespondencję z uczestnikiem postępowania w celu ustalenia stanu faktycznego związanego ze skarżonym przetwarzaniem danych osobowych. Poczynione w tym zakresie ustalenia świadczące o zakończeniu przetwarzania danych osobowych skarżącego przed [...] maja 2018 r., przy jednoczesnym wszczęciu przez niego postępowania po tej dacie (skargą z 8 czerwca 2018 r.) doprowadziły organ do prawidłowego wniosku, iż postępowanie w sprawie należało umorzyć wobec jego bezprzedmiotowości. Na etapie postępowania administracyjnego nie było bowiem prawnych możliwości zbadania legalności przetwarzania danych osobowych skarżącego, które nastąpiło [...] września 2013 r. poprzez udostępnienie lekarzowi NZOZ przez pracowników recepcji uczestnika postępowania imienia, nazwiska i adresu zamieszkania skarżącego.
Sąd nie dopatrzył się wad zaskarżonego rozstrzygnięcia, które skutkowałyby koniecznością jego wyeliminowania z obrotu prawnego.
Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., oddalił skargę.