II SA/Wa 778/21

II SA/Wa 778/21 - Wyrok WSA w Warszawie
Data orzeczenia
2021-09-29
orzeczenie prawomocne
Data wpływu
2021-03-10
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Iwona Maciejuk /przewodniczący sprawozdawca/
Joanna Kube
Sławomir Fularski
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Inne
Sygn. powiązane
III OSK 7740/21 - Postanowienie NSA z 2024-05-24
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżone postanowienie
Powołane przepisy
Dz.U. 2019 poz 2325
art. 145 par. 1 pkt 1  lit. c, art. 120
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk (spr.), Sędzia WSA Joanna Kube, Sędzia WSA Sławomir Fularski, po rozpoznaniu w trybie uproszczonym w dniu 29 września 2021 r. sprawy ze skargi Rzecznika Praw Obywatelskich na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2021 r. nr [...] w przedmiocie odmowy wszczęcia postępowania uchyla zaskarżone postanowienie.
Uzasadnienie
Rzecznik Praw Obywatelskich w piśmie z dnia [...] grudnia 2020 r.
nr [...] skierowanym do Prezesa Urzędu Ochrony Danych Osobowych wskazał, że działając na podstawie art. 9 pkt 3 ustawy z dnia 15 lipca 1987 r.
o Rzeczniku Praw Obywatelskich (Dz. U. z 2020 r. poz. 627) podjął z urzędu sprawę
i wszczął postępowanie wyjaśniające, w wyniku którego postanowił zwrócić się do Prezesa UODO, na podstawie art. 14 pkt 6 ustawy o RPO, z żądaniem wszczęcia postępowania administracyjnego w przedmiocie naruszenia przepisów o ochronie danych osobowych, w przypadku przetwarzania danych dotyczących zdrowia M. L., przy okazji wykonywania testu diagnostycznego w kierunku SARS-CoV-2. Rzecznik Praw Obywatelskich wskazał m.in., że ujawnienie informacji dotyczących zdrowia działaczki społecznej i organizatorki protestów doprowadziło do pojawienia się w przestrzeni publicznej pytań dotyczących tego, jak bezpieczne są dane przetwarzane w związku z działaniami państwa. W przypisie do tego twierdzenia wskazano "Karwowska, W. Paś, Czy dane chorych na koronawirusa są bezpieczne? Skąd [...] wie o dacie testu M. L.?, Internet: [...]; M. B. [...] ujawniła, że M. L. ma koronawirusa. Czy miało do tego prawo? Na pewno nie miała prawa do wykorzystania tego do medialnego linczu, [...]".
Rzecznik Praw Obywatelskich podniósł, że w jego ocenie brak zdecydowanych działań mających na celu wyjaśnienie tej sytuacji może wpłynąć na podważenie zaufania obywateli do organów władzy publicznej. Wskazał nadto, że pojawianie się takich przypadków może przesądzić o wzbudzeniu nieufności wobec rozwijanych obecnie projektów, takich jak Internetowe Konto Pacjenta czy e-recepta, jak i całego systemu o informacji w ochronie zdrowia. Już teraz zastrzeżenia co do bezpieczeństwa tych rozwiązań są zgłaszane Rzecznikowi. Wskazał, że wątpliwości co do bezpieczeństwa przetwarzania danych dotyczących zdrowia w związku z pandemią COVID-19 mogą wpłynąć na pogłębianie się niechęci do poddawania się testom diagnostycznym w kierunku SARSCoV-2. RPO przypomniał przy tym, że prywatność jednostki jest wartością chronioną konstytucyjnie. Jak zauważył Trybunał Konstytucyjny tzw. autonomia informacyjna jednostki, oznaczająca prawo do samodzielnego decydowania o ujawnianiu innym informacji dotyczących swojej osoby, a także prawo do sprawowania kontroli nad takimi informacjami, znajdującymi się w posiadaniu innych podmiotów (wyrok TK z dnia 19 lutego 2002 r., sygn. akt U 3/01). RPO powołał się też m.in. na poglądy prezentowane w doktrynie, w tym na stwierdzenie, że "jakiekolwiek działania władzy publicznej w zakresie dotyczącym danych osobowych - działania ustawodawcze, administracyjne czy kontrolne - muszą uwzględniać istotę godności człowieka" (v. M. Wyrzykowski, Ochrona danych - zagadnienia konstytucyjne, [w:] Ochrona danych osobowych red.M. Wyrzykowski, Warszawa 1999, s. 30.). Podniósł jednocześnie, że szczególną ochronę danych dotyczących zdrowia przewiduje również art. 9 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. U. UE L. 119.1 ze sprost.), zwanego dalej RODO.
RPO wskazał też, że zgodnie z orzecznictwem sądów administracyjnych (zob. wyrok NSA z dnia 14 września 2010 r, sygn. akt I OSK 1491/09 w sprawie, w której GIODO odmawiał działania na wniosek RPO) – wszczęcie postępowania administracyjnego przez organ ochrony danych osobowych, zainicjowanego przez Rzecznika Praw Obywatelskich, następuje z dniem doręczenia żądania Rzecznika temu organowi.
Prezes Urzędu Ochrony Danych Osobowych postanowieniem z dnia [...] stycznia 2021 r. nr [...], na podstawie art. 61 a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 ze zm.), zwanej dalej k.p.a. w zw. z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) po rozpatrzeniu żądania Rzecznika Praw Obywatelskich w przedmiocie wszczęcia postępowania administracyjnego z urzędu w sprawie naruszenia przepisów o ochronie danych osobowych w przypadku przetwarzania danych dotyczących zdrowia M. L., przy okazji wykonywania testu diagnostycznego w kierunku SARS-CoV-2, odmówił wszczęcia postępowania.
W uzasadnieniu Prezes UODO wskazał, że zgodnie z art. 61a § 1 k.p.a., gdy żądanie, o którym mowa w art. 61 k.p.a., zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. Organ przytoczył też art. 14 pkt 6 ustawy o RPO. Wskazał, że zgodnie z orzecznictwem sądów administracyjnych (zob. wyrok NSA z dnia 14 września 2010 r, sygn. akt I OSK 1491/09) - wszczęcie postępowania zainicjowanego przez Rzecznika następuje z dniem doręczenia żądania Rzecznika właściwemu organowi, zaś kwestię udziału Rzecznika Praw Obywatelskich w postępowaniu administracyjnym normują przepisy działu IV k.p.a., tj. przepisy art. 182-189 k.p.a.
Prezes UODO wskazał, że zgodnie z art. 61 § 1 k.p.a., postępowanie administracyjne wszczyna się na żądanie strony lub z urzędu. Z kolei zgodnie z art. 61 § 2 k.p.a., organ administracji publicznej może ze względu na szczególnie ważny interes strony wszcząć z urzędu postępowanie także w sprawie, w której przepis prawa wymaga wniosku strony. Organ obowiązany jest uzyskać na to zgodę strony w toku postępowania, a w razie nieuzyskania zgody - postępowanie umorzyć.
Organ wskazał, że zgodnie z art. 77 ust. 1 RODO, bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.
Podniósł, że wszczęcie postępowania przez Prezesa UODO w przedmiocie naruszenia przepisów o ochronie danych osobowych w przypadku przetwarzania danych osobowych konkretnej osoby jest zatem ściśle związane z realizacją uprawnienia przez tę osobę wynikającego z art. 77 RODO, co oznacza, iż może być ono wszczęte wyłącznie na żądanie osoby, której dane dotyczą.
Następnie Prezes UODO stwierdził, że z powyższego wynika, iż postępowanie w przedmiocie naruszenia przepisów o ochronie danych osobowych w sytuacji udostępnienia przez Telewizję [...] S.A. danych osobowych M. L. co do zasady może być wszczęte wyłącznie na żądanie M. L. Jest ono zatem szczególnym rodzajem postępowania, w którym przepis prawa wymaga wniosku strony.
Prezes UODO podniósł, że zważywszy na wniosek RPO, który żąda od Prezesa UODO wszczęcia z urzędu postępowania administracyjnego w sprawie przetwarzania danych osobowych M. L. oraz brzmienie art. 61 § 2 k.p.a., w sprawie rozważenia wymaga prawna dopuszczalność wszczęcia tego postępowania.
Organ wskazał, że wszczęcie postępowania z urzędu w sprawie, w której przepis prawa wymaga wniosku strony, jest szczególnym przypadkiem przewidzianym w art. 61 § 2 k.p.a. Przepis ten, o charakterze wyjątkowym, dopuszcza wszczęcie postępowania ze względu na szczególnie ważny interes strony. Ocena, czy interes strony jest szczególnie ważny należy do organu wszczynającego postępowanie. Winno tu chodzić o stosunkowo nieliczne przypadki, gdy np. w sposób nie budzący wątpliwości wiadomo, że strona sama nie będzie inicjowała postępowania (czy to ze względów zdrowotnych, społecznych), a brak też podmiotu, który byłby uprawniony do działania zamiast strony. Sama zaś sprawa dotyczyłaby istotnych kwestii wymagających rozstrzygnięcia w drodze decyzji administracyjnej. Wyjątkowość tego sposobu wszczęcia postępowania uwypukla zdanie drugie art. 61 § 2 k.p.a. Prowadzenie bowiem postępowania wszczętego z urzędu w sprawie, w której przepis wymaga wniosku strony uzależnione jest od uzyskania od strony zgody, w toku toczącego się już postępowania, na jego dalsze prowadzenie. W przypadku nieuzyskania takiej zgody postępowanie należy umorzyć (por. Roman Hauser, Wszczęcie postępowania administracyjnego, RUCH PRAWNICZY, EKONOMICZNY I SOCJOLOGICZNY Rok LX, zeszyt 1, 1998, str. 7, http://repozytorium.amu.edu.pl:8080/bitstream/10593/5559/l/02_Roman_Hauser_ Wszcz%C4%99cie%20post%C4%99powania%20administracyjnego_3-11.pdf).
PUODO podniósł, że nie budzi wątpliwości, że M. L. jest stroną postępowania w rozumieniu art. 28 k.p.a, której zgoda jest niezbędna do kontynuowania postępowania z urzędu przed PUODO. Prezes UODO wskazał, że M. L. takiej zgody nie wyraziła, natomiast Prezes UODO nie może takiej zgody uzyskać z uwagi na to, iż nie dysponuje adresem zamieszkania wymienionej. RPO występując bowiem do Prezesa UODO z żądaniem wszczęcia niniejszego postępowania, we wniosku swym nie wskazał adresu zamieszkania M. L., pozwalającego za zindywidualizowanie jej jako strony niniejszego postępowania.
Z uwagi na to, iż żądanie RPO wszczęcia postępowania, zgłoszone w trybie art. 14 pkt 6 ustawy o RPO, jest szczególnym trybem, który wszczyna postępowanie z urzędu przed właściwym organem, zaś kwestię udziału RPO regulują przepisy art. 182-189 k.p.a., brak jest trybu postępowania, w którym Prezes UODO mógłby skutecznie wezwać RPO do uzupełnienia adresu zamieszkania M. L. Nie jest to bowiem podanie strony, o którym mowa w art. 63 k.p.a., a którego braki formalne w postaci niewskazania adresu zamieszkania, organ może uzupełnić z zastosowaniem trybu z art. 64 § 2 k.p.a. PUODO stwierdził, że brak zgody M. L. jest przesłanką przesądzającą o niedopuszczalności prowadzenia niniejszego postępowania.
PUODO zwrócił uwagę na poglądy doktryny powołane przez Hannę Knysiak-Sudykę (por. Knysiak-Sudyka Hanna (red.), Kodeks postępowania administracyjnego. Komentarz, wyd. II, Opublikowano; WKP 2019), zgodnie z którymi cyt.: "(...) organ administracji publicznej nawet na żądanie prokuratora nie powinien zatem wszczynać postępowania, gdy jest ono niedopuszczalne, np. gdy chodzi o prawa i obowiązki, które nie podlegają konkretyzacji w drodze decyzji administracyjnej, albo gdy sprawa została już rozstrzygnięta decyzją ostateczną (por. Z.R. Kmiecik, Wszczęcie ogólnego postępowania administracyjnego. Warszawa 2014, s. 224; P. Przybysz, Kodeks...,
s. 507; G. Łaszczyca [w:] G. Łaszczyca, C. Martysz, A. Matan, Kodeks..., t. 2, s. 444; E. Szewczyk, M. Szewczyk, Odmowa wszczęcia postępowania administracyjnego w kontekście art. 61a Kodeksu postępowania administracyjnego, RPEiS 2012/1, s. 44).
W takich przypadkach właściwa reakcja organu na żądanie prokuratora polega na wydaniu postanowienia przewidzianego w art. 61a § 1. Prokurator oraz, jak się wydaje, strony mogą wnieść na nie zażalenie (art. 61a § 2). Zważywszy na art. 61 § 2, dyskusyjne wydaje się to, czy w reakcji na żądanie prokuratora organ może odmówić wszczęcia postępowania z urzędu z tej przyczyny, że zostało ono złożone w sprawie, w której przepis prawa wymaga wniosku strony. Moim zdaniem możliwości tej nie należy negować, ponieważ to, czy postępowanie jest wtedy w ramach wyjątku dopuszczalne, zależy nie od oceny dokonywanej z punktu widzenia praworządności, lecz od oceny dokonywanej z punktu widzenia interesu strony, a ta należy do organu administracji publicznej (por. W. Czerwiński, Udział..., s. 185). Jeszcze dalej idący pogląd w tej mierze prezentuje Z.R. Kmiecik (Wszczęcie..., s. 224), twierdząc, że >w każdym [...] przypadku wniesienie przez prokuratora żądania wszczęcia postępowania w sprawie wymagającej wniosku strony powinno skutkować wydaniem przez organ postanowienia odmownego na podstawie art. 61 a < (...)".
Prezes UODO podniósł, że niezależnie od powyższego, wszczęcie niniejszego postępowania jest niedopuszczalne również z innych względów. Podał, że przetwarzanie danych osobowych M. L. w niniejszej sprawie jest bowiem wynikiem działalności dziennikarskiej. Wskazał, że w motywie 153 preambuły RODO wyjaśniono, że prawo państw członkowskich powinno godzić przepisy regulujące wolność wypowiedzi i informacji, w tym wypowiedzi dziennikarskiej, akademickiej, artystycznej lub literackiej, z prawem do ochrony danych osobowych na mocy RODO, zaś przetwarzanie danych osobowych jedynie do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej powinno podlegać wyjątkom lub odstępstwom od niektórych przepisów RODO, jeżeli jest to niezbędne, by pogodzić prawo do ochrony danych osobowych z prawem do wolności wypowiedzi i informacji, przewidzianymi w art. 11 Karty praw podstawowych. Aby uwzględnić, jak ważna dla każdego demokratycznego społeczeństwa jest wolność wypowiedzi, pojęcia dotyczące tej wolności, takie jak dziennikarstwo, należy interpretować szeroko. Zgodnie natomiast z art. 85 RODO państwa członkowskie przyjmują przepisy pozwalające pogodzić prawo do ochrony danych osobowych na mocy niniejszego rozporządzenia z wolnością wypowiedzi i informacji, w tym do przetwarzania dla potrzeb dziennikarskich oraz do celów wypowiedzi akademickiej, artystycznej lub literackiej (ust. 1). Dla przetwarzania do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej państwa członkowskie określają odstępstwa lub wyjątki od rozdziału II (Zasady), rozdziału III (Prawa osoby, której dane dotyczą), rozdziału IV (Administrator i podmiot przetwarzający), rozdziału V (Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych), rozdziału VI (Niezależne organy nadzorcze), rozdziału VII (Współpraca i spójność) oraz rozdziału IX (Szczególne sytuacje związane z przetwarzaniem danych), jeżeli są one niezbędne, by pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji (ust. 2). Zgodnie z art. 2 ust. 1 ustawy o ochronie danych osobowych, do działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy z dnia 26 stycznia 1984 r. - Prawo prasowe (Dz. U. z 2018 r. poz. 1914), a także do wypowiedzi w ramach działalności literackiej lub artystycznej nie stosuje się przepisów art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10 oraz art. 30 RODO. Do działalności dziennikarskiej polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych nie stosuje się przepisów RODO w zakresie zasad dotyczących przetwarzania danych osobowych (art. 5 ust. 1 RODO), jak i zgodności przetwarzania danych osobowych z prawem (art. 6 ust. 1 i art. 9 ust. 2 RODO). Oznacza to tym samym wyłączenie kognicji organu nadzorczego co do oceny podstaw prawnych dopuszczalności przetwarzania danych osobowych w tego rodzaju sprawach (por. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 23 października 2020 r., sygn. akt II SA/Wa 2581/19; wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 12 lutego 2020 r., sygn. akt II SA/Wa 2073/19).
Reasumując organ stwierdził, że brak jest podstaw prawnych i faktycznych do wszczęcia i prowadzenia postępowania w przedmiotowej sprawie.
Postanowienie Prezesa UODO z dnia [...] stycznia 2021 r. nr [...] stało się przedmiotem skargi Rzecznika Praw Obywatelskich do Wojewódzkiego Sądu Administracyjnego w Warszawie. RPO wnosząc o uchylenie zaskarżonego postanowienia zarzucił naruszenie:
- art. 7 oraz art. 77 § 1 k.p.a. mające istotny wpływ na wynik sprawy, polegające na pominięciu zastosowania art. 64 § 1 k.p.a. w zw. z art. 188 k.p.a., tj. zaniechanie wezwania Rzecznika Praw Obywatelskich do usunięcia braków w postaci wskazania adresu zamieszkania M. L. w wyznaczonym terminie;
- art. 61a § 1 k.p.a. poprzez jego błędne zastosowanie, mające istotny wpływ na wynik sprawy;
- art. 77 RODO poprzez jego błędną wykładnię polegającą na przyjęciu, że przepis ten wyklucza możliwość przeprowadzenia postępowania administracyjnego przez Prezesa UODO dotyczącego ochrony danych osobowych na wniosek konstytucyjnego organu ochrony praw i wolności (Rzecznika Praw Obywatelskich) w sprawie podjętej przez Rzecznika z urzędu w celu ochrony praw obywatela, co miało istotny wpływ na wynik sprawy;
- naruszenie art. 14 pkt 6 ustawy o RPO w zw. z art. 9 pkt 3 ustawy o RPO oraz w zw. z art. 208 Konstytucji RP poprzez przyjęcie, że Rzecznik Praw Obywatelskich nie posiada legitymacji do żądania wszczęcia postępowania administracyjnego przez Prezesa UODO w sprawach podjętych z urzędu z zakresu ochrony praw i wolności jednostki dotyczących ochrony danych osobowych obywateli, co miało istotny wpływ na wynik sprawy;
- naruszenie art. 2 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych poprzez jego błędne zastosowanie, co miało wpływ na wynik sprawy.
W uzasadnieniu RPO wskazał m.in., że art. 77 RODO nie stoi na przeszkodzie przeprowadzenia postępowania administracyjnego przez Prezesa UODO, dotyczącego ochrony danych osobowych, na wniosek konstytucyjnego organu ochrony praw
i wolności (Rzecznika Praw Obywatelskich), w sprawie podjętej przez ten organ z urzędu w celu ochrony praw obywatela.
Analizując brzmienie przepisu art. 77 RODO Rzecznik wskazał, że jego istotnym elementem jest założenie współistnienia instrumentów prawnych chroniących prawa człowieka pochodzących z różnych ośrodków prawodawczych. Prawodawca unijny, szanując autonomię proceduralną państw członkowskich oraz ich tradycje konstytucyjne, przyjmuje ich istotną rolę w kształtowaniu środków ochrony danych osobowych. Jest to spójne z założeniem przyjętym w art. 53 Karty Praw Podstawowych Unii Europejskiej (dalej jako: KPP), zgodnie z którym jej postanowienia nie mogą być interpretowane jako ograniczające lub naruszające prawa człowieka i podstawowe wolności uznane, we właściwych im obszarach zastosowania, m.in. przez konstytucje państw członkowskich. Zwrócił uwagę, że wskazanie na KPP w niniejszej sprawie jest relewantne w świetle jej art. 51 ust. 1, zgodnie z którym ma ona zastosowanie do państw członkowskich w zakresie zastosowania prawa Unii (w tym przypadku - przepisów RODO). W ocenie RPO Prezes UODO powinien interpretować kwestię wszczęcia postępowania w tym kontekście uwzględniając rolę RPO w polskim systemie prawa. Przyjęcie, jak chce tego Prezes UODO wbrew literalnemu brzmieniu art. 77 RODO in principio, że na podstawie tego przepisu o jego ochronę, jako organu nadzorczego właściwego w zakresie ochrony danych osobowych, może zwrócić się wyłącznie osoba, której dane zostały naruszone, stanowiłoby nie tylko naruszenie art. 77 RODO, ale także zasady skutecznej ochrony prawnej określonej w art. 19 ust. 1 akapit 2 Traktatu o Unii Europejskiej, zgodnie z którym państwa członkowskie ustanawiają środki niezbędne do zapewnienia skutecznej ochrony prawnej w dziedzinach objętych prawem Unii. Naruszenie takie byłoby zatem uszczerbkiem dla skutecznej ochrony praw osób, których dane dotyczą, które zostały ustanowione przez polskiego ustawodawcę konstytucyjnego w art. 208 Konstytucji RP, regulującym instytucję Rzecznika Praw Obywatelskich jako konstytucyjnego organu ochrony praw
i wolności, a wskazane przez prawodawcę unijnego jako dopuszczalne i zapewniające dodatkową ochronę prawną, zgodnie z zasadą autonomii proceduralnej państw członkowskich. Prezes UODO nie podjął żadnych działań mających na celu ustalenie adresu M. L. Nie zwrócił się w tej sprawie do RPO, ani nie podjął samodzielnych działań w zakresie przysługujących mu środków, pomijając zastosowanie art. 64 § 1 k.p.a. w zw. z art. 188 k.p.a.
RPO odnosząc się do twierdzenia Prezesa UODO, że wszczęcie postępowania w niniejszej sprawie jest niedopuszczalne ze względu na to, że do działalności dziennikarskiej nie stosuje się przepisów RODO w zakresie zasad dotyczących przetwarzania danych osobowych (art. 5 ust. 1 RODO), jak i zgodności przetwarzania danych osobowych z prawem (art. 6 ust. 1 i art. 9 ust. 2 RODO), co oznacza wyłączenie kognicji organu nadzorczego co do oceny podstaw prawnych dopuszczalności przetwarzania danych osobowych w tego rodzaju (art. 2 ust. 1 u.o.d.o.), wskazał, że w sprawie nie chodzi o ocenę dopuszczalności przetwarzania danych dotyczących zdrowia osoby wskazanej we wniosku przez dziennikarzy, czy też media. Celem postępowania prowadzonego przez Prezesa UODO powinno być zbadanie legalności przekazania takich danych dziennikarzom (mediom) przez administratora danych osoby wskazanej we wniosku, a nie sam fakt opublikowania tych informacji przez media. RPO wskazał, że dane osób, w stosunku do których podjęto decyzję o wykonaniu testu diagnostycznego w kierunku SARS-CoV-2 są przetwarzane m.in. w systemie teleinformatycznym udostępnionym przez jednostkę podległą ministrowi właściwemu do spraw zdrowia właściwą w zakresie systemów informacyjnych ochrony zdrowia zgodnie z § 2 ust. 5 rozporządzenia Rady Ministrów z dnia 21 grudnia 2020 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii (Dz. U. poz. 2316 ze zm.). Na podstawie § 2 ust. 8 tego rozporządzenia dane te są przetwarzane przez szeroki katalog podmiotów. Analogiczne rozwiązania były przewidziane w poprzednich aktach prawnych regulujących tę materię (m.in. rozporządzenie Rady Ministrów z dnia 1 grudnia 2020 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii; Dz. U. poz. 2132). W ocenie RPO dogłębne wyjaśnienie niniejszej sprawy opiera się na konieczności oceny prawidłowości przetwarzania danych w tym systemie, a także przez podmiot w którym wykonany został test diagnostyczny w kierunku SARS-CoV-2. Dostęp do dokumentacji medycznej podlega bowiem określonym standardom wynikającym z Konstytucji RP oraz instrumentów prawa międzynarodowego. Zwrócił uwagę na wyrok Europejskiego Trybunału Praw Człowieka z dnia 17 lipca 2008 r, w sprawie I. przeciwko Finlandii, nr skargi 20511/03.
Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie. Wskazał m.in.,
że skoro, co jest w sprawie niekwestionowane, żądanie RPO wszczyna postępowanie z urzędu, nie jest możliwe uzupełnianie przez organ braków formalnych takiego żądania w trybie art. 64 k.p.a. Nie jest to bowiem podanie strony, o którym mowa w art. 63 k.p.a., którego braki formalne w postaci niewskazania adresu zamieszkania, organ może uzupełnić z zastosowaniem trybu z art. 64 § 2 k.p.a. Jeżeli bowiem postępowanie jest wszczęte z urzędu z chwilą doręczenia żądania RPO organowi, nie jest tym samym możliwe pozostawienie takiego żądania bez rozpoznania w razie ewentualnego nieuzupełnienia braków formalnych, jak nakazywałby art. 64 § 2 k.p.a. Tym samym zarzut naruszenia przez organ art. 64 § 1 k.p.a. w zw. z art. 188 k.p.a. poprzez zaniechanie wezwania RPO do usunięcia braków w postaci wskazania adresu zamieszkania osoby wskazanej we wniosku w wyznaczonym terminie jest całkowicie chybiony, bowiem tryb ten nie znajduje zastosowania w sprawie, z uwagi na szczególną pozycję RPO. Odnosząc się do zarzutu RPO naruszenia przez organ art. 2 ust. 1 uodo PUODO wskazał, że w piśmie z dnia 22 grudnia 2020 r. skierowanym do organu, zawierającym żądanie wszczęcia postępowania w niniejszej sprawie, RPO wskazywał wyłącznie na fakt udostępnienia danych osobowych przez media, tj. cyt.: "(...) ujawnienie informacji dotyczących zdrowia działaczki społecznej i organizatorki protestów (...)". Nie było przedmiotem wniosku żądanie zbadania legalności przekazania takich danych dziennikarzom (mediom) przez administratora danych osobowych M. L. W treści ww. wniosku (tj. przypisach do wniosku) RPO wyraźnie wskazywał na sam fakt opublikowania tych informacji przez media cyt.: "(...) A. Karwowska, W. Paś >Czy dane chorych na koronawirusa są bezpieczne?< >Skąd [...] wie o dacie testu M. L.?<, [...]; M. B. >[...] ujawniła, że M. L. ma koronawirusa. Czy miała do tego prawo? Na pewno niemiała prawa do wykorzystania tego do medialnego linczu<, [...]". PUODO wskazał,
że podnoszenie na obecnym etapie sprawy zarzutów dotyczących konieczności oceny przez Prezesa UODO prawidłowości przetwarzania danych w systemie teleinformatycznym udostępnionym przez jednostkę podległą ministrowi właściwemu do spraw zdrowia właściwą w zakresie systemów informacyjnych ochrony zdrowia zgodnie z § 2 ust. 5 rozporządzenia w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii, a także przez podmiot, w którym wykonany został test diagnostyczny w kierunku SARS-CoV-2 - jest całkowicie nieuzasadnione, a przede wszystkim spóźnione. W ww. piśmie z dnia 22 grudnia
2020 r. nie było bowiem o tym mowy. PUODO wskazał nadto, że żądanie dokonania oceny przez Prezesa UODO prawidłowości przetwarzania danych w ww. systemie teleinformatycznym i zbadania legalności przekazania takich danych dziennikarzom (mediom) przez administratora danych osobowych M. L. sformułowane przez RPO w skardze do sądu jest również nieprawidłowe. RPO nie wskazał bowiem w treści tej skargi konkretnego administratora danych M. L. odpowiedzialnego za naruszenie. Tymczasem Prezes UODO musi prowadzić postępowanie w ramach przepisów, które regulują procedurę postępowania przed organem, co oznacza, że nie może dokonywać dowolnych czynności na podstawie żądania RPO, a jedynie takie, które przysługują mu mocą przepisów powszechnie obowiązujących. Postępowanie dotyczy nieprawidłowości w procesie przetwarzania danych przez konkretnego administratora, a nie abstrakcyjnego potencjalnego naruszenia, za które odpowiedzialny miałby być nieokreślony podmiot.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skarga podlegała uwzględnieniu.
Zaskarżone postanowienie Prezesa UODO wydane zostało z naruszeniem
art. 61a § 1 k.p.a., które to uchybienie mogło mieć istotny wpływ na wynik sprawy.
Sąd rozpoznający niniejszą sprawę podziela pogląd prezentowany w wyroku Naczelnego Sądu Administracyjnego z dnia 14 września 2010 r. sygn. akt I OSK 1491/09 (orzeczenia.nsa.gov.pl), zgodnie z którym datą wszczęcia postępowania na żądanie Rzecznika Praw Obywatelskich jest dzień doręczenia tego żądania właściwemu organowi, w tym przypadku Prezesowi Urzędu Ochrony Danych Osobowych. Kwestię udziału prokuratora (Rzecznika Praw Obywatelskich)
w postępowaniu administracyjnym normują przepisy działu IV Kodeksu postępowania administracyjnego, tj. przepisy art. 182-189 k.p.a. Zgodnie z art. 182 k.p.a. prokuratorowi służy prawo zwrócenia się do właściwego organu administracji publicznej o wszczęcie postępowania w celu usunięcia stanu niezgodnego z prawem. Prokuratorowi, który bierze udział w postępowaniu w przypadkach określonych w art. 182-184, służą prawa strony (art. 188 k.p.a.).
Skoro wszczęcie postępowania na wniosek RPO wystosowany na podstawie art. 14 pkt 6 ustawy o RPO następuje z dniem doręczenia tego żądania, to brak było podstaw do zastosowania w tej sprawie art. 61a § 1 k.p.a. Za nietrafną Sąd uznał argumentację Prezesa Urzędu Ochrony Danych Osobowych powołaną w zaskarżonym postanowieniu. Wątpliwości w sprawie tej nie budziła przy tym kwestia właściwości organu administracji powołanego do spraw ochrony danych osobowych.
Zgodnie z art. 208 ust. 1 Konstytucji RP, Rzecznik Praw Obywatelskich stoi na straży wolności i praw człowieka i obywatela określonych w Konstytucji oraz w innych aktach normatywnych. Stosownie do art. 208 ust. 2 Konstytucji RP, zakres i sposób działania Rzecznika Praw Obywatelskich określa ustawa.
Zgodnie z art. 8 ust. 1 ustawy o RPO, Rzecznik podejmuje czynności przewidziane w ustawie, jeżeli poweźmie wiadomość wskazującą na naruszenie wolności i praw człowieka i obywatela, w tym zasady równego traktowania. W świetle art. 14 pkt 6 ustawy o RPO, po zbadaniu sprawy Rzecznik może zwrócić się o wszczęcie postępowania administracyjnego, wnosić skargi do sądu administracyjnego, a także uczestniczyć w tych postępowaniach - na prawach przysługujących prokuratorowi.
Wbrew twierdzeniu Prezesa UODO, z treści wniosku RPO z dnia [...] grudnia 2020 r. nie wynika, że istotą żądania Rzecznika było zbadanie zgodności przetwarzania danych osobowych o stanie zdrowia M. L. z przepisami prawa przez dziennikarzy, czy generalnie media.
Rzecznik powołał się w swoim wniosku na materiały prasowe dotyczące bezpieczeństwa danych osób chorych na koronawirusa, w tym fakt ujawnienia danych wymienionej we wniosku osoby w mediach, jednakże istota wniosku RPO dotyczyła zbadania zgodności z prawem przetwarzania danych osobowych tej konkretnej osoby przy wykonywaniu testu diagnostycznego w kierunku SARS-CoV-2. RPO wskazał we wniosku, że ujawnienie informacji dotyczących zdrowia działaczki społecznej
i organizatorki protestów doprowadziło do pojawienia się w przestrzeni publicznej pytań dotyczących tego, jak bezpieczne są dane przetwarzane w związku z działaniami państwa w dobie pandemii. RPO zaznaczył też, że w jego ocenie brak zdecydowanych działań mających na celu wyjaśnienie tej sytuacji może wpłynąć na podważenie zaufania obywateli do organów władzy publicznej. Odniósł się zatem wyraźnie do działań organów władzy publicznej.
Jak wskazał dalej, pojawianie się takich przypadków może przesądzić
o wzbudzeniu nieufności wobec rozwijanych obecnie projektów, takich jak Internetowe Konto Pacjenta czy e-recepta, jak i całego systemu o informacji w ochronie zdrowia.
Treść wniosku RPO z dnia [...] grudnia 2012 r. nie wskazuje zatem jednoznacznie, jak zdaje się twierdzić organ do spraw ochrony danych osobowych, na kwestionowanie przetwarzania danych osobowych o stanie zdrowia w materiale prasowym.
Wniosek Rzecznika o wszczęcie postępowania administracyjnego stanowi raczej wyraz troski tego konstytucyjnego organu o prawa obywateli w przedmiocie zgodności z prawem przetwarzania ich danych osobowych o stanie zdrowia, na przykładzie ujawnienia danych konkretnej osoby, o której mowa w tym wniosku.
Nie budzi przy tym wątpliwości, że informacje (dane) o stanie zdrowia każdego człowieka należą do danych szczególnie chronionych (art. 9 RODO). Wskazania wymaga jednocześnie, że zgodnie z motywem 35 RODO, do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie dane o stanie zdrowia osoby, której dane dotyczą, ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia osoby, której dane dotyczą. Do danych takich należą informacje o danej osobie fizycznej zbierane podczas jej rejestracji do usług opieki zdrowotnej lub podczas świadczenia jej usług opieki zdrowotnej, jak to określa dyrektywa Parlamentu Europejskiego i Rady 2011/24/UE; numer, symbol lub oznaczenie przypisane danej osobie fizycznej w celu jednoznacznego zidentyfikowania tej osoby fizycznej do celów zdrowotnych; informacje pochodzące z badań laboratoryjnych lub lekarskich części ciała lub płynów ustrojowych, w tym danych genetycznych i próbek biologicznych; oraz wszelkie informacje, na przykład o chorobie, niepełnosprawności, ryzyku choroby, historii medycznej, leczeniu klinicznym lub stanie fizjologicznym lub biomedycznym osoby, której dane dotyczą, niezależnie od ich źródła, którym może być na przykład lekarz lub inny pracownik służby zdrowia, szpital, urządzenie medyczne lub badanie diagnostyczne in vitro. Przepis art. 4 pkt 15 RODO stanowi zaś, że dane dotyczące zdrowia oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie zdrowia.
Dane o stanie zdrowia objęte są ochroną prawną życia prywatnego. Prawo to zaś należy do praw osobistych ujętych w art. 47 Konstytucji Rzeczypospolitej Polskiej.
Wobec treści wniosku Rzecznika Praw Obywatelskich nie jest tym samym trafna argumentacja Prezesa UODO o niedopuszczalności prowadzenia postępowania,
a w zasadzie jak wskazał organ, jego wszczęcia, z uwagi na to, że do działalności dziennikarskiej nie stosuje się RODO (art. 5, art. 6, art. 9).
Jeśli Prezes UODO, mimo treści wniosku Rzecznika, miał jakiekolwiek wątpliwości co do zakresu żądania, nie było przeszkód, aby organ dopytał Rzecznika co jest istotą jego żądania. Przyjęcie przez organ powołany do spraw ochrony danych osobowych - biorąc pod uwagę treść wniosku i zadania RPO - że żądanie dotyczy kwestionowania przetwarzania danych w ramach działalności dziennikarskiej, nie było uprawnione.
Sąd podziela jednocześnie twierdzenie Prezesa UODO, że jeśli chodzi o prowadzenie przez ten organ postępowania administracyjnego w sprawie przetwarzania danych osobowych konkretnej osoby, to, w postępowaniu wszczętym na wniosek RPO, konieczne jest uzyskanie zgody tej osoby na prowadzenie postępowania przez Prezesa UODO (odpowiednio stosowany art. 61 § 2 k.p.a. w zw. z art. 77 i art. 57 ust. 1 lit.f RODO). Pamiętać bowiem należy, że celem RODO jest zasadniczo ochrona podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do ochrony danych osobowych (art. 1 ust. 2 RODO).
Zgodnie z art. 75 ust. 1 lit.h RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium prowadzi postępowania w sprawie stosowania niniejszego rozporządzenia,
w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego.
Choć rola Prezesa UODO na gruncie RODO nie ogranicza się zatem do rozpatrywania skarg wniesionych przez osobę której dane dotyczą (art. 57 ust. 1 lit.f RODO), nie budzi wątpliwości Sądu, że realizacja praw jednostki na gruncie RODO sprowadza się do tego, że każda osoba, której dane dotyczą ma prawo wnieść skargę do organu nadzorczego, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczących narusza RODO (art. 77 ust. 1 RODO). Następnie zaś ma prawo do skutecznego środka ochrony prawnej przed sądem przeciwko prawnie wiążącej decyzji organu nadzorczego jej dotyczących, a także jeśli organ nadzorczy nie rozpatrzył jej skargi we właściwym czasie lub nie poinformował o postępach lub efektach rozpatrywania skargi (art. 78 RODO).
Jest więc bezsporne, że każda osoba, której dane dotyczą ma prawo do samodzielnego kwestionowania przed Prezesem UODO zgodności z prawem przetwarzania jej danych osobowych.
RODO nie wyklucza jednakże również prowadzenia postępowania w sprawie stosowania RODO na podstawie informacji otrzymanych od innego organu publicznego, jak zostało to już wyżej wskazane (art. 57 ust. 1 lit.h RODO). Nadto, jednym z podstawowych zadań Prezesa UODO, jako niezależnego organu powołanego do spraw ochrony danych osobowych, jest monitorowanie i egzekwowanie stosowania RODO.
W ocenie Sądu, w świetle treści przepisów RODO (w tym art. 77 ust. 1), w związku z wszczęciem postępowania w szczególnym trybie, na wniosek Rzecznika Praw Obywatelskich, w sprawie tej dopuszczalne i konieczne jednocześnie było zwrócenie się przez Prezesa UODO do Rzecznika Praw Obywatelskich ze wskazaniem, że prowadzenie postępowania w sprawie przetwarzania danych osobowych wskazanej we wniosku osoby wymaga zgody tej osoby (na gruncie RODO rozumianej w tym przypadku, jako żądanie kontynuowania przez Prezesa UODO postępowania w sprawie zbadania zgodności z prawem przetwarzania jej danych osobowych). Prezes UODO winien również wskazać Rzecznikowi, że w przypadku nienadesłania przez RPO w zakreślonym terminie, zgody tej osoby na prowadzenie postępowania (jej żądania kontynuowania postępowania), w tym także nienadesłania danych tej osoby niezbędnych zdaniem Prezesa UODO do kontynuowania postępowania w sprawie przetwarzania danych osobowych, postępowanie podlegać będzie umorzeniu.
Z uwagi na ustrojową pozycję Rzecznika Praw Obywatelskich, który wystąpił
z żądaniem wszczęcia postępowania w sprawie ochrony danych o stanie zdrowia konkretnej osoby, za nieuprawnione uznać należało zastosowanie przez Prezesa Urzędu Ochrony Danych Osobowych art. 61a § 1 k.p.a. w tej sprawie.
Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie,
na podstawie art. 145 § 1 pkt 1 lit.c w zw. z art. 119 pkt 3 i art. 120 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325 ze zm.), orzekł jak w wyroku.