II SA/Wa 443/23

II SA/Wa 443/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-01-16
orzeczenie nieprawomocne
Data wpływu
2023-03-06
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Danuta Kania /sprawozdawca/
Joanna Kube /przewodniczący/
Lucyna Staniszewska
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OZ 350/23 - Postanowienie NSA z 2023-07-13
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję w części
Powołane przepisy
Dz.U. 2019 poz 1781
art. 7 ust. 1
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U. 2022 poz 2000
art. 107  par. 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube, Sędzia WSA Danuta Kania (spr.), Asesor WSA Lucyna Staniszewska, , po rozpoznaniu w trybie uproszczonym w dniu 16 stycznia 2024 r. sprawy ze skargi Uniwersyteckiego Szpitala Klinicznego im. [...] w [...] na punkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla punkt 1 decyzji, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Uniwersyteckiego Szpitala Klinicznego im. [...] w [...] kwotę 480 zł (słownie: czterysta osiemdziesiąt złotych) tytułem zwrotu kosztów postępowania.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") decyzją z dnia [...] grudnia 2022 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r., poz. 2000 ze zm.), dalej: "k.p.a.", art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2019 r., poz. 1781), dalej: "u.o.d.o.", oraz art. 15 ust. 1 i 3, art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., s. 35), dalej: "RODO", nakazał Klinicznemu Szpitalowi Wojewódzkiemu nr [...] im. [...] w R. (dalej: "Szpital", "Skarżący") spełnienie żądania Z. G.(dalej: "uczestniczka postępowania"), reprezentowanej przez D. G., zgodnie z art. 15 ust. 3 RODO i udostępnienie kopii jej danych osobowych zawartych w następujących dokumentach: wywiadach psychologicznych, testach projekcyjnych i testach badających funkcje poznawcze z dnia 24 listopada 2015 r., wynikach badań i notatek z rozmów z psychologiem, które odbyły się w dniach [....]listopada 2015r. oraz wynikach testów funkcji poznawczych przeprowadzonych w dniu [...] stycznia 2016 r. (punkt 1); odmówił uwzględnienia wniosku w pozostałym zakresie (punkt 2).
W uzasadnieniu decyzji Prezes UODO wskazał, iż do Urzędu Ochrony Danych Osobowych wpłynęła skarga Z. G., reprezentowanej przez pełnomocnika, na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Szpital polegające na odmowie udostępnienia jej przez Szpital danych osobowych w odpowiedzi na jej wniosek z dnia [...] września 2021 r. złożony w trybie art. 15 ust. 3 RODO.
W związku z powyższym pełnomocnik uczestniczki postępowania wniósł o nakazanie administratorowi spełnienia żądania, wynikającego z praw przysługujących jej na mocy art. 15 ust. 3 RODO, a mianowicie o nakazanie Szpitalowi: wykonania kopii danych zawartych w dokumentacji medycznej zbiorczej, w tym "Książki raportów lekarskich", "Książki raportów pielęgniarskich", "Zeszytu terapii zajęciowej", odnoszących się do uczestniczki postępowania dotyczących okresu jej hospitalizacji, tj. od dnia [...] października 2015 r. do dnia [...] stycznia 2016r.; wykonanie kopii danych zawartych w dokumentacji medycznej zbiorczej, w tym księgi odmów przyjęć i porad ambulatoryjnych w izbie przyjęć, księgi głównej przyjęć i wypisów, odnoszących się do uczestniczki postępowania, dotyczących dnia [...] października 2015 r. oraz okresu jej hospitalizacji, tj. od dnia [...] października 2015 r. do dnia [...] stycznia 2016 r.; wykonanie kopii danych dotyczących badań psychologicznych, testów projekcyjnych, testów badających funkcje poznawcze, rozmów psychologicznych oraz wywiadów psychologicznych (w szczególności przeprowadzonych w dniach [...] listopada 2015 r. oraz [...] stycznia 2016 r.) odnoszących się do uczestniczki postępowania i dotyczących okresu jej hospitalizacji, tj. od dnia [...] października 2015 r. do dnia [...] stycznia 2016 r. poprzez przesłanie ww. informacji w postaci papierowej na wskazany adres wraz z ewentualną fakturą bądź rachunkiem za wykonanie tych czynności.
Uzasadniając wniosek pełnomocnik wskazał między innymi, że żądane informacje dotyczące stanu zdrowia pacjentki, które mają jej służyć podczas dalszego leczenia, przedstawiają najwyższe prawa i wolności człowieka, tj. prawo do życia oraz prawo do godnego życia, które to prawa są nadrzędne w stosunku do interesu wynikającego z realizacji zadania publicznego.
W toku postępowania administracyjnego organ ustalił, co następuje:
Szpital przetwarza dane osobowe uczestniczki postępowania, jako byłej pacjentki, zgromadzone w związku z udzielaniem jej świadczeń zdrowotnych oraz zarządzaniem usługami opieki zdrowotnej; zapewnieniem jej zabezpieczenia społecznego, w tym wystawianiem zaświadczeń lekarskich i zwolnień; prowadzeniem ksiąg rachunkowych oraz rozliczeń podatkowych, w celach archiwalnych (wyjaśnienia Szpitala z dnia [...] listopada 2021 r. wraz z załącznikami).
Pismem z dnia [...] września 2021 r. uczestniczka postępowania zwróciła się do Szpitala z wnioskiem, na podstawie art. 15 ust. 3 RODO, o wykonanie kopii danych zawartych w dokumentacji medycznej zbiorczej (w tym "Książki raportów lekarskich", "Książki raportów pielęgniarskich", "Zeszytu terapii zajęciowej") odnoszących się do niej i dotyczących okresu jej hospitalizacji od dnia [...] października 2015 r. do dnia [...] stycznia 2016 r.; wykonanie kopii danych zawartych w dokumentacji medycznej zbiorczej (w tym księgi odmów przyjęć i porad ambulatoryjnych w izbie przyjęć, księgi głównej przyjęć i wypisów) odnoszących się do niej, dotyczących dnia [...] października 2015 r. oraz okresu jej hospitalizacji od dnia [...] października 2015 r. do dnia [...] stycznia 2016 r.; wykonanie kopii danych dotyczących badań psychologicznych, testów projekcyjnych, testów badających funkcje poznawcze, rozmów psychologicznych oraz wywiadów psychologicznych (w szczególności przeprowadzonych w dniach [...] listopada 2015 r. oraz [...] stycznia 2016 r.) odnoszących się do niej, dotyczących okresu jej hospitalizacji, tj. od dnia [...] października 2015 r. do dnia [...] stycznia 2016 r.
W odpowiedzi na powyższy wniosek, Szpital pismem z dnia [...] września 2021r. odmówił udzielenia informacji zakreślonych we wniosku wskazując, że "Książki raportów lekarskich", "Książki raportów pielęgniarskich", stanowią dokumentację zbiorczą należącą do podmiotu leczniczego i "jako elementy dokumentacji zbiorczej wewnętrznej, będące formą przekazywania informacji o stanie zdrowia pacjentów zmiany dyżurów nie mogą zostać udostępnione". Ponadto Szpital poinformował, że zgodnie z art. 50 ust. 1 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego (Dz. U. z 2020 r., poz. 685), "dalej: "u.o.z.p.", "osoby wykonujące czynności wynikające z niniejszej ustawy są obowiązane do zachowania w tajemnicy wszystkiego, o czym powezmą wiadomość w związku z wykonywaniem tych czynności, stosownie do odrębnych przepisów, a nadto z zachowaniem przepisów niniejszego rozdziału. Wobec powyższego KSW nr 1 nie wyraża zgody na udostępnienie w formie kserokopii "Książki raportów lekarskich"; "Książki raportów pielęgniarskich", "Zeszytu terapii zajęciowej"; rozmów oraz wywiadów psychologicznych, księgi odmów przyjęć i porad ambulatoryjnych, księgi głównej przyjęć i wypisów, odnoszących się do Z. G., podczas jej hospitalizacji w Klinice Psychiatrii Ogólnej [...] ".
W piśmie z dnia [...] listopada 2021 r. Szpital wyjaśnił, że pełnomocnik uczestniczki postępowania otrzymał kilkukrotnie dokumentację medyczną pacjentki, w której zawarte są również badania i opinie psychologiczne. Jednocześnie wskazał, że rozmowy psychologiczne z pacjentką objęte są tajemnicą zawodową psychologa w rozumieniu art. 14 ust. 1 i ust. 2 ustawy z dnia 8 czerwca 2001 r. o zawodzie psychologa i samorządzie zawodowym psychologów (Dz. U. z 2019 r., poz. 1026 ze zm.), dalej: "u.z.p.", jak również art. 50 ust. 1 i art. 52 ust. 1 u.o.z.p., wobec czego nie zostały udostępnione. Odnosząc się do wniosku z dnia [...] września 2021 r. Szpital wyjaśnił, że z uwagi na to, iż dotyczył on udostępnienia kopii danych zawartych w dokumentacji zbiorczej, odmówiono jej udostępnienia poprzez wydanie kopii dokumentów.
W piśmie z dnia [...] listopada 2021 r. Szpital wskazał, że w "Książce raportów pielęgniarskich", "Książce raportów lekarskich", "Zeszycie terapii zajęciowej", "Książce odmów przyjęć i porad ambulatoryjnych Izby Przyjęć", "Książce głównej przyjęć i wypisów" przetwarzał dane osobowe uczestniczki postępowania w zakresie dotyczącym ochrony zdrowia, danych w dokumentacji medycznej zawierającej takie informacje jak diagnoza, wyniki badań, oceny dokonywane przez lekarzy prowadzących, stosowne terapie czy przeprowadzone zabiegi, imię i nazwisko, adres zamieszkania. Szpital poinformował także, że pismem z dnia [...] listopada 2021 r. przesłał pełnomocnikowi uczestniczki postępowania klauzulę informacyjną w związku z realizacją praw z art. 15 RODO oraz udostępnił kserokopie wnioskowanych dokumentów po dokonaniu anonimizacji danych innych osób, tj. książkę raportów pielęgniarskich, książkę raportów lekarskich, zeszyt terapii zajęciowej, książkę odmów przyjęć i porad ambulatoryjnych izby przyjęć oraz książkę główną przyjęć i wypisów.
Pismem z dnia [...] stycznia 2022 r. pełnomocnik uczestniczki postępowania wskazał, że Szpital bezzasadnie odmawia przekazania następujących dokumentów: wywiadu psychologicznego, testów projekcyjnych i testów badających funkcje poznawcze z dnia [...] listopada 2015 r., badań i notatek z rozmów z psychologiem, które odbyły się [...] listopada 2015 r., testów funkcji poznawczych (MMSE, Test Zegara) przeprowadzonych w dniu [...] stycznia 2016 r. W związku z powyższym wniósł o nakazanie Szpitalowi udostępnienia ww. dokumentów oraz zobowiązanie Szpitala do przekazania wszystkich dokumentów w postaci odpisu maszynowego, albowiem dotychczas przekazane mu niekompletne dokumenty są częściowo nieczytelne oraz zawierają skróty, które nie są jednoznaczne i przez to niezrozumiałe. Uzasadniając wniosek, pełnomocnik wskazał również, że indywidualna dokumentacja medyczna, która została mu udostępniona, zawiera wyłącznie dwa dokumenty związane z badaniami i opinią psychologiczną, tj. badanie psychologiczne z dnia [...] listopada 2015 r. oraz opinię psychologiczną z dnia [...] stycznia 2016 r., a z treści tych dokumentów wynika, iż dokumentów dotyczących badań, testów, rozmów, wywiadów powinno być znacznie więcej.
Pismem z dnia [...] grudnia 2021 r. pt. "Wniosek o udostępnienie wszystkich danych" pełnomocnik uczestniczki postępowania zwrócił się do Szpitala o: udostępnienie wszystkich wnioskowanych dokumentów wskazanych we wniosku o dostęp do danych osobowych z dnia [...] września 2021 r. wskazując, że nie udostępniono danych dotyczących badań psychologicznych, testów projekcyjnych, testów badających funkcje poznawcze, rozmów psychologicznych oraz wywiadów psychologicznych, a nadto wniósł o weryfikację kompletności przesłanych mu dokumentów w zakresie danych zawartych w "Książce raportów lekarskich" oraz "Książce raportów pielęgniarskich". Podniósł przy tym, że istnieją uzasadnione wątpliwości czy wszystkie dane zostały mu udostępnione, ponieważ z przesłanych dokumentów wynika, iż tygodniami nie były prowadzone żadne obserwacje uczestniczki postępowania. Nadto wniósł o uzupełnienie przekazanych danych dotyczących "Książki odmów, przyjęć i porad ambulatoryjnych" o nazwy kolumn, wskazując, iż bez tych informacji nie ma możliwości poprawnego odczytania danych. Uzasadniając wniosek pełnomocnik wskazał, że dane z "książki raportów pielęgniarskich" zdają się być niepełne, albowiem w okresie [...] stycznia 2016 r. oraz [...] stycznia 2016 r. nie odnotowano żadnych obserwacji dotyczących stanu zdrowia uczestniczki postępowania. Ponadto w dniach [...] stycznia 2016 r. odnotowano wyłącznie czynności związane z badaniem, tj. TK głowy, bez żadnej wzmianki dotyczącej stanu zdrowia. Oznaczałoby, iż przez ponad 3 tygodnie nie obserwowano pacjentki pod kątem jej zdrowia psychicznego. Ponadto od dnia [...] października 2015 r. do dnia [...] listopada 2015 r. odnotowano wyłącznie [...] obserwacji pacjentki, podczas gdy przed tym okresem, jak i po nim, obserwacje prowadzono codziennie, a nawet dwa razy dziennie, tj. podczas dyżuru dziennego i nocnego. Zdumiewa również brak wpisów po powrocie pacjentki z przepustki Świątecznej. W zakresie danych z "książki raportów lekarskich" braki wydają się być wręcz oczywiste. Ostatnia obserwacja lekarska została odnotowana w dniu [...] grudnia 2015 r. Oznacza to, że przez ponad miesiąc, tj. od dnia [...] grudnia 2015 r. do dnia [...] stycznia 2016 r. (data wypisu pacjentki) lekarze dyżurujący nic nie odnotowali. Inny długi okres bez żadnych obserwacji lekarskich to od dnia [...] października 2015 r. do dnia [...] listopada 2015 r., a więc ponad 3 tygodnie. Ponadto wpisy w ww. raportach datowane na dzień [...] stycznia 2016 r., zawierają wyłącznie informację o wypisie, zatem nie można ich traktować jako wpisów, które związane są z obserwacją pacjentki.
W odpowiedzi na powyższy wniosek, pismem z dnia [...] grudnia 2021 r. Szpital poinformował, że w udostępnionej dokumentacji medycznej zostało zawarte badanie psychologiczne z dnia [...] listopada 2015 r. i opinia psychologiczna z dnia [...] stycznia 2016 r. Pozostałe dokumenty takie jak badania, notatki z rozmów psychologicznych z pacjentką, nie wchodzą w skład dokumentacji medycznej, należą do psychologów i objęte są tajemnicą zawodową psychologa, należą tylko i wyłącznie do psychologa, dlatego nie zostały udostępnione. Odnosząc się do uwag pełnomocnika co do kompletności udostępnionych dokumentów Szpital wyjaśnił, że raporty (Książka raportów pielęgniarskich/Książka raportów lekarskich) nie stanowią opisu wszystkich pacjentów w danej klinice w danym dniu, a obejmują informacje niezbędne dla zapewnienia bezpieczeństwa pacjentów oraz ciągłości świadczeń zdrowotnych, mając na względzie m.in. stany pooperacyjne, gorączkujące pacjentów wymagających specjalnej opieki i obserwacji. Jeśli stan zdrowia pacjenta tego nie wymaga, a proces leczenia realizowany jest zgodnie z kartą zaleceń, to w raporcie nie jest opisywany. Szpital wskazał, że w przedmiotowym zakresie przekazał całą, kompletną dokumentację oraz informacje zawarte w Książce raportów lekarskich i Książce raportów pielęgniarskich.
W wyjaśnieniach z dnia [...] marca 2022 r. i [...] maja 2022 r. Szpital poinformował, że udostępnił pełnomocnikowi uczestniczki postępowania wszystkie jej dane osobowe zgromadzone przez Szpital, o których udostępnienie wnioskowano w piśmie z dnia [...] września 2021 r. oraz w piśmie z dnia [...] styczna 2022 r., wskazując przy tym, że dane osobowe zostały wielokrotnie udostępnione pełnomocnikowi w formie kserokopii, fotokopii, wglądu do akt, a także odpisu maszynowego w listopadzie i grudniu 2015 r., w marcu 2016 r., w czerwcu 2018 r., w lutym 2019 r. oraz w dniu [...] listopada 2021 r. Szpital wskazał również, że badania i notatki z rozmów psychologicznych z pacjentką, o które wnioskuje pełnomocnik Skarżącej w piśmie z [...] stycznia 2022 r., nie zostały udostępnione, ponieważ nie zawierają danych osobowych, nie podlegają archiwizacji i nie wchodzą w skład dokumentacji medycznej pacjenta - stanowią formę osobistych zapisów psychologa i służą jedynie jako materiał pomocniczy w wydaniu ostatecznej opinii na temat stanu zdrowia pacjenta. Następnie jednak Szpital podał, że w dokumentach wskazywanych przez pełnomocnika uczestniczki postępowania w piśmie z dnia [...] stycznia 2022 r. przetwarzane są jej dane osobowe w zakresie: imię, nazwisko, data urodzenia oraz opis stanu zdrowia.
Uwzględniając powyższe organ w pierwszej kolejności wskazał na konieczność rozróżnienia w sprawie prawa do uzyskania kopii danych osobowych przez osobę, której dane dotyczą, na podstawie przepisów art. 15 RODO, oraz prawa pacjenta do uzyskania kopii dokumentacji medycznej na podstawie art. 23 ust. 2 ustawy z dnia [...] listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2022 r., poz. 1876 ze zm.), dalej: "u.p.p. i RPP", podkreślając, że są to dwa odrębne prawa, które mogą być zrealizowane w odrębny sposób.
Obowiązek wynikający z art. 15 ust. 3 RODO odnosi się tylko do danych osobowych w znaczeniu określonym w art. 4 ust. 1 RODO, które zgromadzone zostały przez administratora. Wykonując obowiązek określony w art. 15 ust. 3 RODO, administrator powinien przekazać kopię danych związanych z wnioskodawcą. Udostępnienie kopii danych znajdujących się w dokumentacji medycznej indywidualnej i zbiorczej, czy dokumentacji prowadzonej przez psychologa w podmiocie medycznym na podstawie art. 15 ust. 3 RODO, nie jest tożsame z udostępnieniem tej dokumentacji według przepisów ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. Administrator nie ma bowiem obowiązku udostępniania osobie zainteresowanej nośnika, na którym przetwarzane są dane osobowe oraz danych, które nie stanowią danych osobowych w rozumieniu art. 4 pkt 1 RODO i nie dotyczą wnioskującego. W razie, gdy pacjent zwróci się do podmiotu prowadzącego działalność leczniczą o kopię przetwarzanych danych osobowych, to podmiot ten decyduje, jak zrealizuje to prawo. Podmiot leczniczy może wtedy wybrać, czy udostępni kopię danych zawartych w zgromadzonej dokumentacji, w tym dokumentacji medycznej (wskaże treść danych dotyczących osoby), czy też przekaże kopię dokumentacji zawierającą wnioskowane dane. Realizując obowiązek z art. 15 ust. 3 RODO, administrator nie ma obowiązku udostępniania każdego z posiadanych dokumentów jeżeli zakres danych, który jest w nich zawarty, jest taki sam. Ponadto, zgodnie z treścią motywu 63 RODO, jeżeli administrator przetwarza duże ilości informacji o osobie, której dane dotyczą, ma on możliwość zażądania, przed podaniem informacji, by osoba, której dane dotyczą, sprecyzowała informacje lub czynności przetwarzania, których dotyczy jej żądanie.
Dalej organ wskazał, iż w odpowiedzi na wniosek uczestniczki postępowania z dnia [...] września 2021 r. Szpital najpierw pismem z dnia [...] września 2021 r. odmówił Skarżącej udostępnienia kopii wnioskowanych danych, po czym w toku postępowania przed Prezesem UODO Szpital zadecydował o częściowym udostępnieniu wnioskowanych danych i pismem z dnia [...] listopada 2021 r. udostępnił pełnomocnikowi uczestniczki postępowania kopię jej danych osobowych zawartych w książce raportów pielęgniarskich, książce raportów lekarskich, zeszycie terapii zajęciowej, książce odmów przyjęć i porad ambulatoryjnych izby przyjęć oraz książce głównej przyjęć i wypisów poprzez udostępnienie - zanonimizowanych w zakresie danych osób trzecich - kopii tych dokumentów. Jednocześnie Szpital poinformował pełnomocnika, że dokumentacja medyczna uczestniczki postępowania, w której zawarte są jej badania i opinie psychologiczne, i o których udostępnienie wnioskuje, została mu już kilkukrotnie przesłana.
Odnosząc się natomiast do wątpliwości pełnomocnika uczestniczki postępowania co do kompletności udostępnionych danych, Szpital w wyjaśnieniach z dnia [...] marca 2022 r. i z dnia [...] maja 2022 r. wskazał, że udostępnił kopię wszystkich danych osobowych uczestniczki postępowania zawartych w raportach (Książce raportów pielęgniarskich/Książce raportów lekarskich). Szpital podniósł również, że w dokumentach wymienionych przez pełnomocnika w piśmie z dnia [...] stycznia 2022 r., które nie zostały mu udostępnione, przetwarzane są dane osobowe uczestniczki postępowania w zakresie: imię, nazwisko, data urodzenia oraz opis stanu zdrowia. W złożonych wyjaśnieniach Szpital nie wskazywał, aby dane osobowe uczestniczki postępowania zawarte w dokumentach wymienionych przez pełnomocnika w piśmie z dnia [...] stycznia 2022 r., zostały udostępnione w ramach realizacji obowiązku z art. 15 ust. 3 RODO w odpowiedzi na wniosek Skarżącej z dnia [...] września 2022 r. (były zawarte w innych udostępnionych już jej dokumentach), jak również, aby żądanie uczestniczki postępowania w przedmiotowym zakresie miało ewidentnie nieuzasadniony lub nadmierny charakter. (art. 12 ust. 5 RODO).
Organ wskazał, że w toku postępowania Szpital nie wykazał, aby w przedmiotowej sprawie w zakresie realizacji obowiązku informacyjnego z art. 15 ust. 3 RODO występowały przepisy ograniczające realizację tego obowiązku, których wprowadzenie przewiduje art. 23 RODO. Zaznaczył, iż art. 14 ust. 1 i ust. 2 u.z.p., jak również art. 50 ust. 1 i art. 52 ust. 1 u.o.z.p., na które powołuje się Szpital, wskazują ograniczenia co do udostępniania informacji pozyskanych przez psychologa osobom trzecim, a nie osobie, których one dotyczą.
W związku z powyższym organ stwierdził, że w przedmiotowej sprawie Szpital nie zrealizował prawidłowo wobec uczestniczki postępowania obowiązku informacyjnego z art. 15 ust. 3 RODO, bowiem nie udostępnił jej kopii wszystkich danych wnioskowanych w piśmie z dnia [...] września 2021 r.
Biorąc pod uwagę stwierdzone nieprawidłowości oraz będąc uprawnionym do wydania decyzji nakazującej przywrócenie stanu zgodnego z prawem, działając na podstawie art. 58 ust. 2 lit. c RODO, Prezes UODO podjął rozstrzygnięcie jak w sentencji decyzji.
Odnosząc się natomiast do wniosków pełnomocnika uczestniczki postępowania zawartych w piśmie z dnia [...] stycznia 2022 r., biorąc pod uwagę uprawnienia wymienione w art. 58 ust. 2 RODO, organ wskazał, że Prezes UODO nie posiada kompetencji do nakazania udostępnienia kopii wnioskowanych od Szpitala dokumentów, które mogą zawierać jej dane osobowe, jak również nie posiada kompetencji do nakazania Szpitalowi udostępnienia tej dokumentacji w określonej formie. Prezes UODO nie jest również uprawniony do dokonywania ocen prawidłowości wykonywania przez osoby udzielające świadczeń zdrowotnych ich obowiązków wynikających z przepisów szczególnych, w tym ingerowania w częstotliwość i treść wpisów dokonywanych w dokumentacji medycznej indywidualnej i zbiorczej. Zagadnienia dotyczące prawa pacjenta do dokumentacji medycznej, sposobów jej prowadzenia i dokonywania w niej wpisów, zostały uregulowane w przepisach u.p.p. i RPP oraz rozporządzeniu Ministra Zdrowia z dnia 9 listopada 2015r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania (Dz. U. 2015 r., poz. 2069), dalej: "rozporządzenie MZ z dnia 9 listopada 2015 r.", a także w ustawie z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty (Dz. U. z 2019 r., poz. 537 ze zm.), dalej: "u.z.l.".
Pismem z dnia [...] stycznia 2023 r. Uniwersytecki Szpital Kliniczny im. [...] w R. (dawniej: Kliniczny Szpital Wojewódzki nr [...] im. [...] w R.; zmiana danych w KRS z dnia [...] stycznia 2023 r. - Odpis pełny z Rejestru stowarzyszeń, innych organizacji społecznych i zawodowych, fundacji oraz samodzielnych publicznych zakładów opieki zdrowotnej - k. 103 akt sądowych) wniósł skargę na punkt 1 decyzji Prezesa UODO z dnia [...] grudnia 2022r. zarzucając naruszenie:
- art. 7, art. 77 § 1 oraz art. 107 § 1 k.p.a. poprzez rozważenie przez organ zgromadzonego w sprawie materiału dowodowego w sposób dowolny, a nie swobodny, i wyciągnięcie z dowodów wniosków sprzecznych z zasadami doświadczenia życiowego i logicznego rozumowania, w szczególności poprzez brak prawidłowego zebrania materiału dowodowego i wyjaśnienia czy Szpital faktycznie przetwarza dane osobowe w dokumentach objętych we wniosku Z. G. z dnia [...] stycznia 2022 r. w sytuacji, gdy z pism Szpitala nie wynika jednoznacznie, czy Szpital ma obowiązek archiwizacji tychże dokumentów oraz czy dokumenty te zawierają dane osobowe, a w konsekwencji czy przetwarza dane osobowe,
- art. 8 w związku z art. 11 k.p.a. poprzez prowadzenie postępowania w sposób nie budzący zaufania do organu, między innymi poprzez niejasne wyjaśnienie, czy Szpital ma obowiązek archiwizacji tychże dokumentów oraz czy dokumenty te zawierają dane osobowe, a w konsekwencji czy przetwarza dane osobowe; dopiero takie ustalenie może doprowadzić do nakazania udostępnienia kopii danych osobowych,
- art. 15 ust. 3 RODO poprzez jego błędne zastosowanie w sytuacji, gdy organ nie zebrał w sposób prawidłowy materiału dowodowego i nie poczynił prawidłowych ustaleń co do tego, czy Szpital jest administratorem danych osobowych zawartych w dokumentach opisanych w punkcie 1 zaskarżonej decyzji.
W związku z powyższymi zarzutami Szpital wniósł o uchylenie zaskarżonej decyzji w zakresie punktu 1; zasądzenie na rzecz Skarżącego kosztów postępowania, w tym kosztów zastępstwa adwokackiego wedle norm prawem przepisanych; wstrzymanie wykonania zaskarżonej decyzji.
W uzasadnieniu skargi Szpital podniósł w szczególności, że organ w sposób wadliwy zebrał i ocenił materiał dowodowy w zakresie ustalenia, czy jest on administratorem danych osobowych zawartych w dokumentach wskazanych w punkcie 1 zaskarżonej decyzji. Dopiero ustalenie, czy w niniejszej sprawie Szpital można uznać za administratora danych osobowych zawartych w tychże dokumentach umożliwia rozważenie, czy na Szpitalu ciąży obowiązek wynikający z art. 15 RODO.
Badania i notatki z rozmów psychologicznych z pacjentką, nie wchodzą w skład dokumentacji medycznej Skarżącego - stanowią bowiem formę osobistych zapisów psychologa i służą jedynie jako materiał pomocniczy w wydaniu ostatecznej opinii na temat stanu zdrowia. Na gruncie uregulowań zawartych w przepisach prawa i Kodeksie etycznozawodowym psychologa utrwaliła się praktyka, zgodnie z którą dokumentację psychologiczną dzieli się na poufną - notatki psychologa, protokoły badania, kwestionariusze, wytwory klienta oraz jawną - opinie psychologiczne, które udostępnia się klientowi. Dokumentacja poufna służy psychologom do celów diagnostycznych oraz planowania i prowadzenia oddziaływań wobec klienta. W związku z tym, że omawiane dokumenty nie stanowią dokumentacji medycznej, Szpital nie ma obowiązku ich przechowywania i posiadania.
Organ błędnie powiązał wyjaśnienia Szpitala z dnia [...] marca 2022 r. i [...] maja 2022 r. w zakresie przetwarzanych danych osobowych dotyczących: imienia, nazwiska, daty urodzenia oraz opisu stanu zdrowia uznając, iż dotyczą one również rzeczonych "badań oraz notatek". W treści pisma z dnia [...] kwietnia 2022 r. organ żądał od Szpitala odpowiedzi polegającej na wskazaniu kiedy i na jakiej podstawie zostały zniszczone badania i notatki z rozmów psychologicznych, niejako sugerując, iż to po stronie Szpitala leży proces ingerencji w sferę dokumentów niewchodzących w zakres dokumentacji medycznej, która najpierw regulowana była rozporządzeniem MZ z dnia 9 listopada 2015 r., zaś aktualnie jest uregulowana rozporządzeniem Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania (Dz. U. z 2020 r., poz. 666), dalej: "rozporządzenie MZ z dnia 6 kwietnia 2020 r.".
Tym samym w uzasadnieniu zaskarżonej decyzji organ skupił się wyłącznie na podstawie prawnej wynikającej z art. 14 ust. 1 i ust. 2 u.z.p. oraz art. 50 ust. 1 i art. 52 ust. 1 u.o.z.p. oraz uznaniu, że Szpital nie zrealizował wymogów zawartych w art. 15 ust. 3 RODO, bowiem nie udostępnił jej kopii wszystkich danych wnioskowanych pismem z dnia [...] września 2021 r. Zupełnie pominął przy tym okoliczności, które to zostały wielokrotnie przedstawione, tj. że Szpital nie przetwarza (a tym samym nie posiada, gdyż nie jest do tego prawnie zobowiązany) notatek psychologa, protokołów badania, kwestionariuszy oraz innych wytworów pacjenta. Kwestia ta co prawda znalazła się w opisie stanu faktycznego, lecz organ nie odniósł się do niej w rozważaniach poczynionych w zaskarżonej decyzji.
Uczestniczka postępowania, jak również organ błędnie uznają, iż skoro w treści badania psychologicznego z dnia [...] listopada 2015 r. oraz opinii psychologicznej z dnia [...] stycznia 2016 r. mowa jest o badaniach i rozmowach psychologicznych przeprowadzonych w dniach [...] listopada 2015 r. oraz o testach funkcji poznawczych, to jest to dokumentacja medyczna, która powinna być przechowywana zgodnie z obowiązującymi w tej materii przepisami. Badanie psychologiczne z dnia [...] listopada 2015 r. jest podsumowaniem dokonanych obserwacji, całościowym określeniem jednostki chorobowej oraz zachowania badanej i dopiero ten dokument składa się na dokumentację medyczną, podobnie jak ma to miejsce w opinii psychologicznej. Organ w uzasadnieniu zaskarżonej decyzji nie dokonał własnej interpretacji i nie odniósł się do podniesionych przez Szpital zagadnień dotyczących specyfiki pracy psychologa (zwłaszcza w kontekście przytoczonych okoliczności, iż notatki psychologa, protokoły badania, kwestionariusze, wytwory pacjenta - nie stanowią dokumentacji medycznej, tym samym nie jest wymagane ich archiwizowanie) oraz przedstawionych w tym zakresie twierdzeń, ograniczając się do syntetycznego cytowania przepisów prawa.
Z tych względów zaskarżona decyzja błędnie kształtuje obowiązek Szpitala do udostępnienia danych osobowych zawartych w dokumentach wymienionych w sentencji zaskarżonej decyzji, gdyż dokumenty te nie stanowią dokumentacji medycznej Szpitala, która to dokumentacja medyczna została w całości kilkukrotnie udostępniona pełnomocnikowi uczestniczki postępowania.
W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi, podtrzymując argumentację zawartą w zaskarżonej decyzji.
Odnosząc się do zarzutów skargi wskazał w szczególności, że w wezwaniach z dnia [...] marca 2022 r. i z dnia [...] kwietnia 2022 r. organ uzupełniając materiał dowodowy, dopytywał Szpital o zakres przetwarzanych danych uczestniczki postępowania zawartych w dokumentach, do których nawiązywał jej pełnomocnik, tj. wywiadach psychologicznych, testach projekcyjnych i testach badających funkcje poznawcze z dnia [...] listopada 2015 r., wynikach badań i notatek z rozmów z psychologiem, które odbyły się w dniach [....] listopada 2015 r. oraz wynikach testów funkcji poznawczych przeprowadzonych w dniu [....] stycznia 2016 r. W odpowiedzi Szpital wskazał kategorie przetwarzanych danych. Udzielając odpowiedzi Szpital nie wyraził wątpliwości co do prawidłowości zrozumienia wezwań organu.
Nadto organ wskazał, że wniosek uczestniczki postępowania dotyczył udostępnienia jej danych osobowych wytworzonych w ramach świadczenia jej przez Szpital usług medycznych, w tym z zakresu usług świadczonych w Szpitalu przez psychologa, tj. danych, których administratorem pozostawał Szpital. Nawet jeżeli dane osobowe znajdują się w dokumentach wytworzonych przez upoważnionych pracowników lub podmioty i inne osoby świadczące usługi w imieniu administratora (Szpitala) w oparciu o zawarte - pomiędzy tymi osobami a administratorem - umowami powierzenia przetwarzania danych, to na administratorze ciąży obowiązek umożliwienia osobom, których danymi administruje (uczestniczce postępowania) realizacji praw wynikających z rozdziału III RODO (art. 15 RODO). Szpital w toku postępowania przed organem nie przedstawił żadnych wyjaśnień czy innych dowodów świadczących o tym, że psycholog, z którego usług skorzystała uczestniczka postępowania, prowadzi własną działalność niezależną od działalności Szpitala, jak również, aby badania wobec uczestniczki postępowania wykonywane były w oparciu o wydane przez Szpital skierowanie przez zewnętrzny podmiot.
Postanowieniem z dnia 11 maja 2023 r., sygn. akt II SA/Wa 443/23 Wojewódzki Sąd Administracyjny w Warszawie wstrzymał wykonanie zaskarżonej decyzji.
Na skutek zażalenia uczestniczki postępowania Naczelny Sąd Administracyjny postanowieniem z dnia 13 lipca 2023 r., sygn. akt III OZ 350/23 uchylił zaskarżone postanowienie i wstrzymał wykonanie punktu 1 zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Na wstępie Sąd zauważa, że zgodnie z art. 119 pkt 2 p.p.s.a. sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. W niniejszej sprawie Prezes UODO wniósł o rozpoznanie sprawy w trybie uproszczonym, zaś ani strona skarżąca, ani uczestnik postępowania nie wnosili o przeprowadzenie rozprawy. W związku z powyższym Sąd rozpoznał sprawę w trybie uproszczonym na posiedzeniu niejawnym w składzie trzech sędziów (art. 120 p.p.s.a.).
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r., poz. 2492 ze zm.), dalej: "p.u.s.a." oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 259 ze zm.), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego.
W myśl art. 134 § 1 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2).
Skarga oceniana w świetle powyższych kryteriów zasługuje na uwzględnienie.
W objętym skargą punkcie 1 zaskarżonej decyzji z dnia [....] grudnia 2022 r. nr [....] Prezes UODO, na podstawie art. 15 ust. 1 i 3 w związku z art. 58 ust. 2 RODO, nakazał Klinicznemu Szpitalowi Wojewódzkiemu nr [....] im. [....] w R. spełnienie żądania Z. G. poprzez udostępnienie kopii jej danych osobowych zawartych w: wywiadach psychologicznych, testach projekcyjnych i testach badających funkcje poznawcze z dnia [....] listopada 2015 r., wynikach badań i notatek z rozmów z psychologiem, które odbyły się w dniach: [....]listopada 2015 r. oraz wynikach testów funkcji poznawczych przeprowadzonych w dniu [....] stycznia 2016 r.
Stosownie do art. 15 ust. 1 RODO stanowi, że osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: a) cele przetwarzania; b) kategorie odnośnych danych osobowych; c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; f) informacje o prawie wniesienia skargi do organu nadzorczego; g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą - wszelkie dostępne informacje o ich źródle; h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
Zgodnie natomiast z art. 15 ust. 3 RODO administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej.
Powołane wyżej przepisy regulują prawo dostępu osoby, której dane dotyczą, do jej danych osobowych, a jego zakresem objęte są wszystkie przypadki przetwarzania danych osobowych. Katalog informacji, których podmiot danych może żądać od administratora danych, ma charakter zamknięty. Co istotne, adresatem żądań formułowanych na podstawie ww. przepisów może być wyłącznie administrator danych.
Administratorem danych, w myśl art. 4 pkt 7 RODO, jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.
Definicja pojęcia "administrator danych" zawarta w ww. przepisie wskazuje na dwa konstytutywne elementy składające się na sprawowanie władztwa nad przetwarzanymi danymi osobowymi: ustalenie celów przetwarzania danych oraz ustalenie sposobów przetwarzania danych. Przy czym ustalanie celów przetwarzania to określanie wartości, dla urzeczywistnienia których dochodzić będzie do przetwarzania danych osobowych, zaś ustalanie sposobu przetwarzania danych to dokonywanie wyboru technicznych sposobów przetwarzania danych. Cechy te pozwalają na odróżnienie administratora danych osobowych od podmiotu przetwarzającego, który nie decyduje o celach i sposobach przetwarzania danych osobowych będąc uprawnionym do przetwarzania danych wyłącznie w celu ustalonym przez administratora danych.
Posiadania przez dany podmiot przymiotu administratora danych osobowych nie można utożsamiać z faktycznym posiadaniem danych - podstawowym kryterium odróżniającym administratora danych osobowych od innych podmiotów przetwarzających dane jest sprawowanie faktycznej kontroli nad przetwarzaniem danych, a więc decydowanie o celach i sposobach przetwarzania. Na tę kwestię zwrócił uwagę Naczelny Sąd Administracyjny w wyroku z dnia 30 stycznia 2002 r. sygn. akt II SA 1098/01 (publ. Wokanda 2002, Nr 8, s. 7) stwierdzając, że "Administratorem danych nie jest (...) każdy dysponent danych osobowych (...). Jest nim ten, kto decyduje o celach i środkach przetwarzania, przy czym zasadnicze znaczenie ma rodzaj i charakter nadanych przez prawo kompetencji z zakresu spraw publicznych (...)". Władztwo nad danymi może wynikać przy tym albo z właściwych przepisów prawa, a w przypadku ich braku z okoliczności o charakterze faktycznym (v. EROD, Guidelines 07/2020 on the concepts of controller and procesor in the GDPR) [w:] P. Litwiński, Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Komentarz, C.H. Beck 2021, s. 129).
Nakazując Szpitalowi, na mocy art. 58 ust. 2 RODO, udostępnienie kopii danych osobowych uczestniczki postępowania zawartych w dokumentach wymienionych w punkcie 1 sentencji zaskarżonej decyzji, Prezes UODO nie ustalił jednak, a przynajmniej nie wynika to z uzasadnienia zaskarżonej decyzji, czy Szpital jest administratorem danych osobowych uczestniczki postępowania zawartych w tych dokumentach, tj. czy Szpital określa cele i sposoby przetwarzania tych danych osobowych. Nie ustalił również, czy Szpital przetwarza dane osobowe uczestniczki postępowania w powyższym zakresie. Jest to o tyle istotne, że zgodnie z art. 58 ust. 2 lit. c RODO organ nadzorczy w ramach przysługujących mu uprawnień naprawczych może nakazać spełnienie żądania osoby, której dane dotyczą, wynikające z praw przysługujących jej na mocy rozporządzenia, administratorowi danych lub podmiotowi przetwarzającemu.
W uzasadnieniu decyzji organ powołał jedynie art. 15 ust. 3 RODO stwierdzając, że obowiązek wynikający z tego przepisu odnosi się tylko do danych osobowych w znaczeniu określonym w art. 4 ust. 1 RODO, które zostały "zgromadzone przez administratora danych". Nadto wskazał, że administrator - wykonując powyższy obowiązek - powinien przekazać kopię danych związanych z wnioskodawcą (uczestniczką postępowania).
Gromadzenie danych osobowych, a ściśle rzecz biorąc, zbieranie danych osobowych, jest niewątpliwie jedną z czynności wchodzących w skład szeroko pojętego przetwarzania danych, które to pojęcie zostało zdefiniowane w art. 4 pkt 2 RODO. Zbieranie danych osobowych określa się jako szczególnie istotną czynność przetwarzania danych z tego mianowicie powodu, że wiąże się ona bezpośrednio z uzyskaniem władztwa nad danymi przez inny podmiot niż osoba, której dane te dotyczą.
Rzecz jednak w tym, że w oparciu o uzasadnienie zaskarżonej decyzji nie sposób przyjąć, że Szpital "gromadzi" dane osobowe uczestniczki postępowania zawarte w dokumentach wymienionych w punkcie 1 sentencji decyzji.
W części dotyczącej ustaleń faktycznych organ wskazał jedynie, że "Szpital przetwarza dane przetwarza dane osobowe uczestniczki postępowania, jako byłej pacjentki, zgromadzone w związku z udzielaniem jej świadczeń zdrowotnych oraz zarządzaniem usługami opieki zdrowotnej; zapewnieniem jej zabezpieczenia społecznego, w tym wystawianiem zaświadczeń lekarskich i zwolnień; prowadzeniem ksiąg rachunkowych oraz rozliczeń podatkowych, w celach archiwalnych (dowód: wyjaśnienia Szpitala z dnia [....] listopada 2021 r. wraz z załącznikami)".
W dalszej części uzasadnienia decyzji organ nie wyjaśnił jednak, czy dane osobowe uczestniczki postępowania zawarte w dokumentach wymienionych w punkcie 1 decyzji mieszczą się w zakresie przedmiotowym któregokolwiek z wyżej wymienionych celów. Nie wynika to również z powołanego przez organ pisma Szpitala skierowanego do Prezesa UODO w dniu [....] listopada 2021 r. (k. 35 akt admin.), ani z załączników do tego pisma, w szczególności z załącznika z dnia [....] listopada 2021 r. "Odpowiedzi na pytania do pisma UODO". W tymże załączniku wskazano, odpowiadając na wezwanie organu o wskazanie kategorii (zakresu) przetwarzanych danych, że zakres danych reguluje "rozporządzenie Ministra Zdrowia z dnia [....] kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu przetwarzania".
W związku z tym wskazać należy, że powołane wyżej rozporządzenie zostało wydane na podstawie delegacji ustawowej zawartej w art. 30 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, w której upoważniono ministra właściwego do spraw zdrowia, po zasięgnięciu opinii Naczelnej Rady Lekarskiej, Naczelnej Rady Pielęgniarek i Położnych, Krajowej Rady Fizjoterapeutów oraz Krajowej Rady Diagnostów Laboratoryjnych, do określenia, w drodze rozporządzenia, rodzajów i zakresu dokumentacji medycznej, sposobu jej przetwarzania oraz wzorów określonych rodzajów dokumentacji medycznej, w szczególności wzoru książeczki zdrowia dziecka, uwzględniając rodzaje podmiotów udzielających świadczeń zdrowotnych, a także konieczność zapewnienia realizacji prawa dostępu do dokumentacji medycznej, rzetelnego jej prowadzenia, ochrony danych i informacji dotyczących stanu zdrowia pacjenta oraz jednolitych wzorów dokumentacji medycznej mającej istotne znaczenie dla szybkiego i skutecznego udzielania świadczeń zdrowotnych.
Rozporządzenie to określa zatem rodzaje dokumentacji medycznej (a nie kategorie danych osobowych), określając w § 2, że dokumentację medyczną stanowi: 1) dokumentacja indywidualna - dotycząca poszczególnych pacjentów korzystających ze świadczeń zdrowotnych; 2) dokumentacja zbiorcza - dotycząca ogółu pacjentów lub określonych grup pacjentów korzystających ze świadczeń zdrowotnych. Dokumentacja indywidualna obejmuje: dokumentację indywidualną wewnętrzną - przeznaczoną na potrzeby podmiotu; dokumentację indywidualną zewnętrzną - przeznaczoną na potrzeby pacjenta (ust. 2), zaś szczegółowy katalog rodzajów tej dokumentacji określa ust. 3 i 4 tego paragrafu. Katalog ten został wskazany w piśmie Szpitala z dnia [....] kwietnia 2022 r. skierowanym do organu (k. 219 akt admin.), w którym dodatkowo zaznaczono, że kwestie uregulowane aktualnie obowiązującym rozporządzeniem MZ z dnia 6 kwietnia 2020 r., które weszło w życie z dniem 15 kwietnia 2002 r., uprzednio były uregulowane rozporządzeniu Ministra Zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania.
W toku postępowania Szpital zwracał uwagę na to, że jakkolwiek badanie psychologiczne z dnia [....] listopada 2015 r. i opinia psychologiczna z dnia [....] stycznia 2016 r. stanowią dokumentację medyczną, to pozostałe dokumenty takie jak badania, notatki z rozmów psychologicznych z pacjentką, nie wchodzą w skład dokumentacji medycznej, bowiem należą wyłącznie do psychologów dokonujących danej czynności (pismo z dnia [....] grudnia 2021 r. skierowane do pełnomocnika uczestniczki postępowania - k. 190 akt admin.). Stanowisko to Szpital podtrzymał w piśmie z dnia [....] marca 2022 r. skierowanym do organu wskazując, że badania i notatki z rozmów psychologicznych z pacjentką nie stanowią dokumentacji medycznej i (w związku z tym) nie podlegają archiwizacji. Stanowią natomiast formę osobistych zapisów psychologa i służą jako materiał pomocniczy w wydaniu ostatecznej opinii na temat stanu zdrowia pacjenta. Argumentację tę Szpital ponowił w piśmie z dnia [....] kwietnia 2022 r. (k. 220 verte akt admin.) wskazując, że "(...) notatki psychologa, protokoły badania, wytwory klienta nie stanowią dokumentacji medycznej, tym samym nie jest wymagane ich archiwizowanie".
Pomimo tak określonego stanowiska Szpitala organ stwierdził: "Szpital wskazał również, że w dokumentach wskazywanych przez pełnomocnika Skarżącej w piśmie z dnia [....] stycznia 2022 r., które nie zostały mu udostępnione, przetwarzane są dane osobowe Skarżącej w zakresie: imię i nazwisko, data urodzenia oraz opis stanu zdrowia (dowód: wyjaśnienia Szpitala z dnia [....] marca 2022 r. i z dnia [....] maja 2022 r. wraz z załącznikami".
Z związku z tym wskazać należy, że ani w piśmie z dnia [....] marca 2022 r. (k. 203 akt admin.), ani w piśmie z dnia [....] maja 2022 r. (k. 228 akt admin.) Szpital nie zawarł stwierdzenia, że ww. dane osobowe uczestniczki postępowania "przetwarzane są w dokumentach wskazywanych przez pełnomocnika Skarżącej w piśmie z dnia [....] stycznia 2022 r., które nie zostały mu udostępnione". W piśmie z dnia [....] marca 2022 r. Szpital stwierdził: "Kserokopie danych osobowych Skarżącej przetwarzanych przez Szpital w dokumentach wskazywanych przez pełnomocnika Skarżącej w piśmie z dnia [....] stycznia 2021 r. przedstawiono w Rejestrze Czynności Przetwarzania, stanowiącym załącznik numer 1 do dokumentu Polityki Bezpieczeństwa Danych Osobowych Szpitala (wyciąg z rejestru stanowi załącznik nr 1 do niniejszego pisma". Natomiast w piśmie z dnia [....] maja 2022 r. podał: "(...) Szpital wskazuje poniżej dane osobowe Skarżącej aktualnie przetwarzane w dokumentach wskazywanych przez pełnomocnika Skarżącej w piśmie z dnia [....] stycznia 2022 r. i oświadcza, że dane przetwarzane są zgodnie z rozporządzeniem Ministra Zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania: imię, nazwisko, data urodzenia, opis stanu zdrowia".
Podkreślić należy, że w piśmie z dnia [....] stycznia 2022 r. (k. 185 akt admin.) pełnomocnik uczestniczki postępowania wskazał zarówno dokumenty wymienione w punkcie 1 sentencji zaskarżonej decyzji (punkt 1 pisma), jak i "wszystkie dokumenty (...), albowiem dotychczas przekazane, niekompletne dokumenty są częściowo nieczytelne" (punkt 2 pisma). Powyższą okoliczność organ powinien dostrzec już na etapie kierowania do Szpitala wezwania do uzupełnienia wyjaśnień w sprawie, czego jednak nie uczynił. Wskazuje na to treść pism kierowanych do Szpitala w dniu [....] marca 2022 r. (k. 194 akt admin.) oraz w dniu [....] maja 2022 r., w których organ zwrócił się o wskazanie "kategorii danych osobowych Skarżącej (aktualnie) przetwarzanych przez Szpital w dokumentach wskazywanych przez pełnomocnika Skarżącej w piśmie z dnia [....] stycznia 2022 r.", a nie "w piśmie z dnia [....] stycznia 2022 r., które nie zostały udostępnione pełnomocnikowi Skarżącej". Nieprecyzyjne wyjaśnienia Szpitala (bowiem za takie właśnie należy je uznać) są konsekwencją nieprecyzyjnej treści wezwania do uzupełnienia wyjaśnień, co powinno być wzięte przez organ pod uwagę i ponownie, należycie wyjaśnione w toku postępowania. Tego jednak, jak wynika z uzasadnienia zaskarżonej decyzji oraz z materiału aktowego, w toku postępowania zabrakło.
Wyjaśnienia Szpitala udzielone w analizowanym zakresie powinny być rozważone i ocenione przez organ również w kontekście pozostałych, udzielonych wyjaśnień, o których była już mowa powyżej. W tym miejscu warto natomiast wskazać, że Szpital w piśmie z dnia [....] marca 2022 r. wyraźnie odróżnił "badania i notatki z rozmów psychologicznych z pacjentką, o które wnioskuje pełnomocnik Skarżącej w piśmie z dnia [....] stycznia 2022 r." od pozostałych dokumentów medycznych wskazując m.in., że dokumenty te "nie podlegają archiwizacji i nie wchodzą w skład dokumentacji medycznej". Natomiast w piśmie z dnia [....] maja 2022r. Szpital stwierdził, że podtrzymuje stanowisko przedstawione w piśmie z dnia [....]kwietnia 2022 r., które nadal pozostaje aktualne. W piśmie tym Szpital wskazał, że "notatki psychologa, protokoły badania, kwestionariusze (...) nie stanowią dokumentacji medycznej, tym samym nie jest wymagane ich archiwizowanie".
I jakkolwiek Szpital w tychże pismach (i powyżej wymienionych) odwoływał się do dokumentów, a nie wprost do danych osobowych zawartych w tych dokumentach (na którą to różnicę w kontekście prawa do uzyskania kopii danych osobowych przez podmiot danych oraz prawa pacjenta do uzyskania kopii dokumentacji medycznej trafnie wskazał organ - s. 7 decyzji), to nie sposób nie dostrzec, że odnosił się do danych osobowych, a dokumenty powołał jedynie w związku z obowiązującymi przepisami prawa, tj. m.in. u.p.p. i RPP oraz rozporządzeniem MZ z dnia 8 listopada 2021 r., wskazując na brak obowiązku archiwizacji (tak dokumentów, jak i danych osobowych w nich zawartych).
Uwzględniając wszystko powyższe podzielić należy zarzuty skargi, iż organ dopuścił się naruszenia art. 7, art. 77 § 1 oraz art. 107 § 3 k.p.a. w związku z art. 15 ust. 1 i 3 RODO, bowiem z uzasadnienia zaskarżonej decyzji nie wynika, aby organ ustalił w sposób niebudzący wątpliwości, że Szpital jest administratorem danych osobowych uczestniczki postępowania zawartych w dokumentach wymienionych w punkcie 1 sentencji decyzji, tj. że samodzielnie lub wspólnie z innymi podmiotami ustala cele i sposoby przetwarzania tychże danych osobowych, bądź że jest podmiotem przetwarzającym te dane. I jakkolwiek, jak należy wnioskować z treści zaskarżonej decyzji, organ rozróżnił prawo podmiotów danych do danych osobowych zawartych w dokumentacji medycznej oraz danych osobowych zawartych w dokumentacji prowadzonej przez psychologa w podmiocie medycznym (s. 8 decyzji), to jednak nie wskazał w sposób jednoznaczny, czy i jakich względów uznał, że Szpital jest administratorem przedmiotowych danych osobowych oraz, że dane te przetwarza.
Jak już wyżej wskazano, powołując się na poglądy orzecznictwa i piśmiennictwa, władztwo nad danymi (w zakresie ustalania celów i sposobów przetwarzania danych) może wynikać albo z właściwych przepisów prawa, a w przypadku ich braku - z okoliczności o charakterze faktycznym. Organ nie powołał ani przepisów prawa, ani okoliczności faktycznych, z których wynikałoby niezbicie, że Szpital posiada przymiot administratora danych osobowych uczestniczki postępowania zawartych w dokumentach wymienionych w punkcie 1 zaskarżonej decyzji.
Organ nie wykazał również w sposób jednoznaczny, że Szpital przetwarza (poprzez zbieranie) dane osobowe uczestniczki postępowania w powyższym zakresie. Powołanie się w tym względzie na wyjaśnienia Szpitala z dnia [....] marca 2022 r. i z dnia [....] maja 2022 r. nie jest wystarczające, bowiem po pierwsze w sposób nieprecyzyjny ujmuje wypowiedź Szpitala, a po drugie budzi wątpliwości w świetle pozostałej argumentacji zawartej w tychże pismach oraz pozostałych wskazanych powyżej wyjaśnieniach tego podmiotu.
W świetle art. 7 k.p.a. organ administracji publicznej ma obowiązek podejmowania wszelkich czynności zmierzających do dokładnego wyjaśnienia stanu faktycznego sprawy oraz do załatwienia sprawy. Rozwinięciem tej zasady jest art. 77 § 1 k.p.a., zgodnie z którym organ administracji jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. Jest przy tym obowiązany ocenić na podstawie całokształtu materiału dowodowego, czy dana czynność została udowodniona (art. 80 k.p.a.). Ustalenia i ocena w powyższym zakresie, tj. uzasadnienie faktyczne oraz prawne, powinny znaleźć odzwierciedlenie w uzasadnieniu decyzji, o czym stanowi art. 107 § 1 pkt 6 oraz § 3 k.p.a. W niniejszej sprawie organ nie dopełnił wymienionych obowiązków, co czyni zaskarżoną decyzję (punkt 1) co najmniej przedwczesną.
Powyższa konstatacja jest tym bardziej uzasadniona, że w skardze do Sądu Szpital wskazał, iż nie jest administratorem spornych danych osobowych uczestniczki postępowania, ani ich nie przetwarza, zaś organ "błędnie powiązał wyjaśnienia Szpitala z dnia [....] marca 2022 r. i z dnia [....] maja 2022 r. w zakresie przetwarzanych danych osobowych dotyczących imienia, nazwiska, daty urodzenia oraz opisu stanu zdrowia uznając, iż dotyczą one również rzeczonych badań oraz notatek".
Na marginesie Sąd zauważa, że argumentacja organu w kwestii posiadania przez Szpital przymiotu administratora spornych danych osobowych zawarta w odpowiedzi na skargę nie mogła mieć wpływu na rozstrzygnięcie sprawy. Braki rzetelnego uzasadnienia zaskarżonej decyzji nie mogą być konwalidowane na etapie odpowiedzi na skargę, gdyż jest to pismo, które nie podlega kontroli Sądu. Odpowiedź na skargę nie jest środkiem wyjaśnienia, a tym bardziej zastąpienia motywów decyzji, które zgodnie z art. 107 § 3 k.p.a. powinny znaleźć się w jej uzasadnieniu.
Rozpatrując sprawę ponownie organ uwzględni dokonaną ocenę prawną. Stosownie do obowiązków wynikających z art. 7, art. 77 § 1 i art. 80 k.p.a. w sposób niebudzący wątpliwości ustali i oceni, czy Szpital jest administratorem danych osobowych uczestniczki postępowania - zawartych w wywiadach psychologicznych, testach projekcyjnych i testach badających funkcje poznawcze z dnia [....] listopada 2015 r., wynikach badań i notatek z rozmów z psychologiem, które odbyły się w dniach [....]listopada 2015 r. oraz wynikach testów funkcji poznawczych przeprowadzonych w dniu 12 stycznia 2016 r. - w rozumieniu art. 4 pkt 7 RODO bądź czy przetwarza sporne dane osobowe w sposób przewidziany w art. 4 pkt 2 RODO. Zważy przy tym, że wskazanie podmiotu ustalającego cele i sposobu przetwarzania danych osobowych powinno się odbywać na podstawie weryfikacji okoliczności przetwarzania w odniesieniu do faktycznych działań decyzyjnych danego podmiotu, tj. sprawowania kontroli nad przetwarzaniem danych. Stosownie do przyjętych ustaleń organ podejmie rozstrzygnięcie w sprawie, które w sposób wyczerpujący i spójny uzasadni, czyniąc zadość wymogom określonym w art. 107 § 3 w związku z art. 11 k.p.a.
Mając na względzie wszystko powyższe Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. a i c p.p.s.a. orzekł jak w punkcie 1 sentencji wyroku. O zwrocie kosztów postępowania Sąd postanowił w oparciu o art. 200 i art. 205 § 2 p.p.s.a. jak w punkcie 2 sentencji wyroku.