III OSK 124/22

III OSK 124/22 - Wyrok NSA
Data orzeczenia
2022-11-17
orzeczenie prawomocne
Data wpływu
2022-01-14
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Mirosław Wincenciak /przewodniczący sprawozdawca/
Tadeusz Lipiński
Tamara Dziełakowska
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Inne
Sygn. powiązane
VIII SA/Wa 326/21 - Wyrok WSA w Warszawie z 2021-08-26
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2016 poz 922
art. 23 ust. 1 pkt 5
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
Sentencja
Dnia 17 listopada 2022 r. Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Mirosław Wincenciak (spr.) sędzia NSA Tamara Dziełakowska sędzia del. WSA Tadeusz Lipiński po rozpoznaniu w dniu 17 listopada 2022 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej M.S. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 26 sierpnia 2021 r. sygn. akt VIII SA/Wa 326/21 w sprawie ze skargi M.S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 18 września 2020 r. nr ZSZZS.440.293.2018.ZS.OS.II w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 26 sierpnia 2021 r. sygn. akt VIII SA/Wa 326/21 oddalił skargę M.S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 18 września 2020 r. nr ZSZZS. 440.293.2018.ZS.OS.II w przedmiocie przetwarzania danych osobowych.
Skargę kasacyjną powyższego wyroku do Naczelnego Sądu Administracyjnego wniósł M.S. Zaskarżając wyrok w całości, na podstawie art. 174 pkt 1 i 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j.: Dz. U. z 2019 r., poz. 2325 ze zm., dalej w skrócie "p.p.s.a.") zarzucił:
1) naruszenie prawa materialnego, tj. art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j.: Dz. U. z 2016 r., poz. 922 ze zm., dalej w skrócie "u.o.d.o."), poprzez jego błędną wykładnię, a w konsekwencji uznanie, że żądanie skarżącego w zakresie udostępnienia przez [...] Szpital [...] – danych osobowych w zakresie imienia, nazwiska oraz adresu zamieszkania osób hospitalizowanych z nim na jednym oddziale we [...] 2007 r. jest nieuzasadnione i nie wypełnia dyspozycji tego przepisu, błędnie przyjmując, że skarżący nie wykazał, aby dane te mu były niezbędne, gdyż sąd pierwszej i drugiej instancji w postępowaniu cywilnym oddalił wnioski skarżącego o przeprowadzenie dowodów z przesłuchania w/w pacjentów, podczas gdy nieudostępnienie wnioskowanych przez M.S. danych pozbawiło go możliwości dochodzenia roszczeń i obrony swych interesów przed sądem;
2) naruszenie przepisów postępowania, mające wpływ na zaskarżone rozstrzygnięcie, tj. art. 151 § 1 p.p.s.a. w zw. z art. 7, art. 77 § 1 i art. 107 § 3 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j.: Dz. U. z 2020 r., poz. 256 ze zm., dalej w skrócie "k.p.a.") w zw. z art. 22 u.o.d.o., polegające na:
a) niewyczerpującym zebraniu i rozpatrzeniu materiału dowodowego w sprawie oraz niepodjęciu kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, a w konsekwencji na niezbadaniu i niezweryfikowaniu twierdzenia skarżącego, że dane wnioskowanych osób są mu niezbędne, aby wszcząć postępowanie karne w przedmiocie wykazania przestępstwa, mającego miejsce podczas zabiegu [...] przeprowadzonego w dniu [...] 2007 r., w sytuacji, gdy podejmowane przez M.S. działania poprzez składanie szeregu różnych pism do organów ścigania (np. zwrócenie się do Prokuratury Rejonowej w [...] z wnioskiem o wystąpienie o dane pacjentów) wskazują, że zamiar dochodzenia przez skarżącego roszczeń jest realny i rzeczywisty, co więcej, Sąd pierwszej instancji powołuje się na oddalenie wniosków dowodowych w zakończonym prawomocnie postępowaniu cywilnym, pomijając zupełnie okoliczność, iż skarżący chce również skorzystać z innych środków przewidzianych prawem, a mianowicie z instytucji wznowienia postępowania przewidzianej w Kodeksie postępowania cywilnego;
b) dowolnej ocenie zgromadzonego materiału dowodowego sprawy i w konsekwencji na błędnym przyjęciu, że w okolicznościach faktycznych niniejszej sprawy nie zostały spełnione przesłanki legalności przetwarzania danych osobowych zgodnie z art. 23 ust. 1 pkt 5 u.o.d.o., albowiem skarżący nie wykazał niezbędności pozyskania danych dla realizacji celu, opierając swoje rozstrzygnięcie na fakcie oddalenia wniosków dowodowych przez sądy powszechne, podczas gdy nie ustalono, jakie były przesłanki oraz na jakiej podstawie prawnej wnioski o przeprowadzenie dowodu z przesłuchania tych osób zostały oddalone;
c) braku wyczerpującego rozpatrzenia materiału dowodowego istotnego z punktu widzenia przesłanek wydania decyzji w przedmiocie udostępnienia danych osobowych wnioskowanych przez skarżącego osób i uznanie, że organ drugiej instancji przeprowadził postępowanie dowodowe w wyczerpujący sposób oraz dokonał jego właściwej oceny, co stanowi konsekwencję braku rzetelnej kontroli zgromadzonych dokumentów, w szczególności pisemnych wyjaśnień ze szpitala z dnia [...] 2019 r., gdzie wskazano, iż szpital nie przetwarza danych osobowych pacjentów w zakresie ich hospitalizacji w danym okresie na jednym oddziale i jednej sali chorych oraz że szpital dysponuje do celów statystycznych wyłącznie danymi o liczbie pacjentów na danym oddziale w danym dniu, podczas gdy zgodnie z art. art. 29 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2009 r. Nr 52, poz. 417 ze zm.) szpital ma obowiązek przechowywać dane pacjentów przez okres 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu, co uzasadnia stanowisko, że postępowanie przed Sądem pierwszej instancji zostało przeprowadzone w sposób szablonowy, przejawiający się w bezkrytycznym zaaprobowaniu ustaleń organów, co powoduje, iż Sąd pozbawił się możliwości dokonania samodzielnej oceny i analizy stanu faktycznego;
3) naruszenie przepisów postępowania, mające wpływ na zaskarżone rozstrzygnięcie, tj. art. 151 p.p.s.a. w zw. art. 107 § 1 pkt 6 k.p.a., polegające na nierozpoznaniu sprawy w granicach skargi, a jedynie przedstawienie przebiegu postępowania, co z uwagi na obowiązek samodzielnego, ponownego i całościowego rozpoznania sprawy jawi się tym bardziej jako nieudolne, niespełniające elementarnych wymogów ustawowych i w konsekwencji nie pozwala na dokonanie sądowoadministracyjnej kontroli poprawności zastosowanych przepisów prawa.
Wskazując na powyższe zarzuty, skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania oraz o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa adwokackiego, według norm przepisanych. Ponadto wniósł o rozpoznanie skargi kasacyjnej na rozprawie.
W uzasadnieniu skargi kasacyjnej przedstawił argumentację mającą wykazać zasadność podniesionych w niej zarzutów.
Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę kasacyjną wniósł o jej oddalenie. Ustosunkowując się do powołanych w skardze kasacyjnej zarzutów stwierdził, że są one niezasadne, a zaskarżony wyrok odpowiada prawu.
Naczelny Sąd Administracyjny zważył, co następuje:
W świetle art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach:
1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,
2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.
Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, ponieważ w świetle art. 183 § 1 p.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Jeżeli zatem nie wystąpiły przesłanki nieważności postępowania wymienione w art. 183 § 2 p.p.s.a., a w rozpoznawanej sprawie przesłanek tych brak, to Sąd związany jest granicami skargi kasacyjnej. Oznacza to, że Sąd nie jest uprawniony do samodzielnego dokonywania konkretyzacji zarzutów skargi kasacyjnej, a upoważniony jest do oceny zaskarżonego orzeczenia wyłącznie w granicach przedstawionych we wniesionej skardze kasacyjnej.
Skarga kasacyjna nie zawiera usprawiedliwionych podstaw.
Zgodnie z art. 193 zdanie drugie p.p.s.a., uzasadnienie wyroku oddalającego skargę kasacyjną zawiera ocenę zarzutów skargi kasacyjnej. Zatem Naczelny Sąd Administracyjny nie przedstawia w uzasadnieniu wyroku oddalającego skargę kasacyjną opisu ustaleń faktycznych i argumentacji prawnej podawanej przez organy i Sąd pierwszej instancji.
Według art. 1 ust. 2 u.o.d.o., przetwarzanie danych osobowych może mieć miejsce jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich w zakresie i trybie określonym ustawą. Z kolei przepis art. 6 ust. 1 i 2 u.o.d.o. stanowił, iż w rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. W art. 7 pkt 2 u.o.d.o. zdefiniowano przetwarzanie danych osobowych jako jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei w art. 23 § 1 u.o.d.o. zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Przesłanki te odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz".
Zgodnie z art. 23 § 1 pkt 5 u.o.d.o., przetwarzanie danych jest dopuszczalne wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Właściwe załatwienie przedstawionej sprawy w świetle w/w przepisu wymagało od organu ochrony danych osobowych podjęcia działań zmierzających w pierwszej kolejności do ustalenia, czy udostępnienie danych osobowych skarżącemu – jest "niezbędne dla wypełnienia prawnie usprawiedliwionych celów". W ramach tego postępowania organ powinien wnikliwe przeanalizować i zweryfikować, czy zamiar skorzystania przez skarżącego z prawa do sądu jest realny, a nie pozorny. Jak wskazał Naczelny Sąd Administracyjny w wyroku z dnia 5 listopada 2015 r., sygn. akt I OSK 407/14 (publ. CBOSA), wniosek o udostępnienie danych osobowych (co mieści się w pojęciu przetwarzania danych osobowych) może złożyć dowolny podmiot, tj. osoba fizyczna, dowolna jednostka organizacyjna, zarówno publiczna, jak i prywatna. Ważne jest, aby posiadanie danych osobowych było konieczne (niezbędne) dla osiągnięcia zamierzonych celów, a wniosek o udostępnienie danych był wiarygodny i uzasadniony. (...) wnioskodawca powinien przynajmniej uprawdopodobnić, iż wnioskowane dane są mu potrzebne dla realizacji własnych interesów, także faktycznych, które w świetle obowiązującego prawa można uznać za usprawiedliwione. Konieczne jest również dokonanie oceny, czy dla realizacji takich zamierzeń wnioskodawcy niezbędne jest przekazanie mu żądanych danych, mimo braku zgody osoby, której dane te dotyczą. Niedopuszczalne jest powoływanie się na wolę skorzystania z przysługującego prawa do sądu wyłącznie po to, aby w istocie jedynie poznać dane osobowe innej osoby. Taka motywacja stanowiłaby niezasługujące na ochronę nadużycie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Z tego względu GIODO winien dokładnie ustalić zamiary podmiotu wnioskującego o udostępnienie mu danych na potrzeby postępowanie sądowego, w szczególności, czy w warunkach konkretnego stanu faktycznego powoływanie się przez ten podmiot na wolę wszczęcia postępowania sądowego nie ma charakteru pozornego. Organ zobowiązany jest zatem ocenić realność podawanej podstawy faktycznej uruchomienia w konkretnej sprawie postępowania sądowego. Ocena, czy cel wnioskodawcy jest prawnie usprawiedliwiony, należy nie tylko do kompetencji GIODO, ale także do jego obowiązków w ramach realizacji normy prawnej określonej w art. 23 ust. 1 pkt 5 u.o.d.o. (por. wyroki NSA z dnia 10 listopada 2015 r., sygn. akt I OSK 1173/14 oraz sygn. akt I OSK 1210/14; publ. CBOSA). Deklaracja dotycząca zainicjowania w przyszłości procesu cywilnego nie jest wystarczająca do uznania, że przesłanka z art. 23 ust. 1 pkt 5 u.o.d.o. została spełniona, gdyż taki hipotetyczny zamiar nie musi być w ogóle przez odbiorcę danych zrealizowany. Aby skorzystać z uprawnienia żądania udostępnienia danych osobowych należy przede wszystkim wykazać prawnie usprawiedliwiony cel żądania oraz realny (aktualny i pewny) zamiar skorzystania z prawa do sądu.
Uwzględniając zaprezentowane wyżej poglądy, stwierdzić należy, że organ ochrony danych osobowych rozważył w sposób należyty – biorąc pod uwagę konkretne okoliczności faktyczne niniejszej sprawy – że zamiar skorzystania przez skarżącego z ochrony sądowej nie jest realny z powodu wyczerpania przewidzianych środków prawnych. Zgodzić się należy ze stanowiskiem Sądu pierwszej instancji, że skarżący nie wykazał niezbędności pozyskania danych dla realizacji celu (brak spełnienia przesłanki z art. 23 ust. 1 pkt 5 u.o.d.o.), bowiem w zakończonym prawomocnie postępowaniu cywilnym, wszczętym z inicjatywy skarżącego, sąd wniosków dowodowych o przesłuchanie pacjentów przebywających w szpitalu w dacie [...] 2007 r. nie uwzględnił. Nie jest też kwestionowane, że postępowanie karne przed organami ścigania zostało umorzone. Trzeba też zauważyć, że organy ścigania mają kompetencje do uzyskania we własnym zakresie niezbędnych danych osobowych na potrzeby prowadzonego postępowania karnego. Zatem – co do zasady – udostępnianie na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. danych osobowych stronie z zamiarem przekazania ich organom ścigania nie powinno odbywać się na podstawie powołanego przepisu, gdyż organy te mogą uzyskać takie dane we właściwym dla nich trybie. Z kolei zapowiedź ewentualnego wznowienia postępowania cywilnego nie może być wystarczającym argumentem do udostępnienia owych danych, skoro sąd cywilny prawomocnie oddalił wnioski dowodowe w zakresie przesłuchania współpacjentów.
Wreszcie wskazać należy, że szpital żądanych przez skarżącego danych nie przetwarza (nie utrwala, ani nie przechowuje), co wynika z pisma z dnia [...] 2018 r. (k. 26 akt administracyjnych) oraz z pisma z dnia [...] 2019 r. (k. 40 akt administracyjnych). To zaś powoduje, że udostępnienie danych osobowych zgodnie z wnioskiem skarżącego nie jest możliwe. Przypomnieć bowiem należy, że skarżący domaga się danych pacjentów, którzy przebywali na tej samej, co skarżący, sali w dniu [...] 2007 r. Z wyjaśnień szpitala wynika, że przechowuje on dokumentację dotyczącą jego pacjentów, jednakże na podstawie owej dokumentacji nie można ustalić, którzy pacjenci przebywali na tej samej sali, co skarżący. Trafnie również wskazuje Sąd pierwszej instancji, że w u.o.d.o. brak jest przepisów obligujących administratora do udostępnienia dokumentów zawierających dane osobowe. Podobne stanowisko prezentują również w swoim dotychczasowym orzecznictwie sądy administracyjne, przyjmując zgodnie, że ustawodawca posługuje się pojęciem udostępniania, odnosząc je zawsze do danych osobowych, a nie do zawierających je dokumentów (por. m.in. wyroki WSA w Warszawie z dnia: 6 września 2005 r., sygn. akt II SA/Wa 825/05 oraz 11 maja 2017 r., sygn. akt II SA/Wa 1364/16, publ. CBOSA).
W konsekwencji zarzuty naruszenia prawa materialnego i procesowego okazały się niezasadne.
Z tych względów Naczelny Sąd Administracyjny, na podstawie art. 184 p.p.s.a., orzekł, jak w sentencji wyroku.
Sprawa została rozpoznana na posiedzeniu niejawnym w trybie art. 15zzs4 ust. 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2020 r., poz. 374 ze zm.).