VIII SA/Wa 326/21

VIII SA/Wa 326/21 - Wyrok WSA w Warszawie
Data orzeczenia
2021-08-26
orzeczenie prawomocne
Data wpływu
2021-04-08
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Iwona Owsińska-Gwiazda
Iwona Szymanowicz-Nowak /przewodniczący sprawozdawca/
Justyna Mazur
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 124/22 - Wyrok NSA z 2022-11-17
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2016 poz 922
art. 7 pkt 2, art. 18 ust. 1, art. 23
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
Dz.U.UE.L 2016 nr 119 poz 1 art. 6 ust. 1 lit. f
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dz.U. 2019 poz 2325
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Szymanowicz-Nowak (sprawozdawca), Sędziowie Sędzia WSA Justyna Mazur, Sędzia WSA Iwona Owsińska-Gwiazda, , po rozpoznaniu na posiedzeniu niejawnym w dniu 26 sierpnia 2021 r. w Radomiu sprawy ze skargi M. S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.
Uzasadnienie
Zaskarżoną decyzją z [...] września 2020 r., znak: [...]Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO, organ), działając na podstawie art. 138 § 1 pkt 1 ustawy z 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256, dalej: k.p.a.) oraz art. 18 ust. 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm., dalej: ustawa z 1997 r.) w związku z art. 160 ust. 1 oraz ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, dalej: ustawa z 2018 r.), utrzymał w mocy decyzję własną z [...] czerwca 2020 r. w przedmiocie odmowy wydania decyzji nakazującej udostępnienie danych osobowych.
Decyzja ta zapadła w następującym stanie sprawy:
Wnioskiem z [...] września 2017 r. M. S. (dalej: strona, skarżący) domagał się wydania decyzji nakazującej udostępnienie danych osobowych
w zakresie imienia, nazwiska oraz adresu zamieszkania osób hospitalizowanych
z nim na jednym oddziale we wrześniu 2007 r. oraz udostępnienie danych osobowych J. B. w zakresie adresu zamieszkania przez [...] Szpital Wojskowy
z Przychodnią Samodzielny Publiczny Zakład Opieki Zdrowotnej w D. przy ul. S. [...] (dalej: szpital). Strona domagała się także "ustalenia dokumentacji medycznej z okresu wrzesień 2007 r. i daty operacji złamanego palca" oraz "nadesłania kopii dokumentów".
Decyzją z [...] czerwca 2020 r. znak: [...]Prezes UODO, działając na podstawie art. 18 ust. 1 ustawy z 1997 r., art. 160 ust. 1 oraz ust. 2 ustawy z 2018 r., odmówił uwzględnienia wniosku strony we wskazanym wyżej zakresie.
Organ ustalił, że we wrześniu 2007 r. skarżący był hospitalizowany w szpitalu
w D., zaś [...] września 2007 r. przeszedł operację złamanego [...]. W trakcie pobytu w szpitalu – według jego twierdzeń – poddano go, bez jego zgody, eksperymentowi medycznemu.
W sprawie tej Sąd Okręgowy w L. prowadził postępowanie cywilne o sygn. akt [...], w trakcie którego zostały oddalone wnioski skarżącego
o dopuszczenie dowodu z zeznań pacjentów, którzy przebywali wraz z nim na oddziale szpitalnym oraz o zobowiązanie szpitala do wskazania osób hospitalizowanych wraz ze skarżącym, a także Sąd oddalił wniosek o przeprowadzenie dowodu z zeznań J. B..
Z kolei z pism szpitala z [...] maja 2018 r. oraz z [...] kwietnia 2019 r. wynikało, że nie przetwarza on danych osobowych J. B. w zakresie jej adresu zamieszkania, ponieważ byłą ona zatrudniona na podstawie umowy cywilnoprawnej
i szpital nie prowadził jej teczki akt osobowych. Szpital nie przetwarza także danych osobowych pacjentów w zakresie ich hospitalizacji w danym okresie na jednym oddziale i jednej sali chorych; Szpital dysponuje do celów statystycznych wyłącznie danymi
o liczbie pacjentów na danym oddziale w danym dniu.
W tak zgromadzonym materiale dowodowym organ wskazał, że skarżący żądał udostępnienia informacji, których zakres mieści się w katalogu tzw. danych zwykłych, których przetwarzanie uregulowane było w art. 23 ust. 1 ustawy z 1997 r.
w celu dochodzenia roszczeń przed sądem. Udostępnienie danych w takim celu było dopuszczalne. Skarżący nie wykazał jednak, by dane te były mu niezbędne. Organ wskazał bowiem, że w postępowaniu cywilnym zarówno Sąd pierwszej jak i drugiej instancji nie uwzględnił wniosków strony o przeprowadzenie dowodów z zeznań świadków – pacjentów, którzy przebywali wraz ze skarżącym w tej samej sali szpitalnej. Ponadto szpital w złożonych wyjaśnieniach wskazał, że nie ma możliwości ustalenia danych tych osób.
Zdaniem Prezesa UODO udostępnienie danych osobowych pacjentów nie znajduje oparcia w ww. przepisach z uwagi na niewykazanie przez skarżącego niezbędności do dochodzenia roszczeń. Co więcej, nieprzetwarzanie przez szpital informacji pozwalających na ustalenie tożsamości i adresów osób, które przebywały wraz ze skarżącym na jednej sali chorych powodowało, że brak było podstaw do nakazania udostępnienia na rzecz skarżącego danych osobowych pacjentów, którzy byli wraz z nim hospitalizowani.
Odnosząc się z kolei do żądania dotyczącego udostępnienia dokumentacji medycznej organ wskazał, że jego uprawnienia, określone w art. 18 ust. 1 ustawy
z 1997 r., nie uwzględniają kompetencji do podejmowania rozstrzygnięć, których przedmiotem jest nakaz udostępnienia dokumentów będących nośnikami przetwarzania danych. Prezes UODO nie jest więc właściwy do w sprawach dotyczących udostępniania przez podmiot medyczny dokumentacji w trybie art. 26 i art. 27 ustawy
z 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta. Udostępnienie tej informacji ciąży na podmiocie udzielającym świadczeń zdrowotnych i podlega kontroli sprawowanej przez sądy administracyjne.
We wniosku o ponowne rozpoznanie sprawy skarżący podniósł, że dane te są mu potrzebne do wezwania tych osób celem ich przesłuchania w charakterze świadków zdarzenia z [...] września 2007 r.
Wskazaną na wstępie decyzją z [...] września 2020 r., znak: [...]organ utrzymał w mocy decyzję własną z [...] czerwca 2020 r.
W uzasadnieniu decyzji organ dokonał ponownego ustalenia stanu faktycznego w sprawie oraz wskazał, że postępowanie prowadzone było na podstawie ustawy
z 1997 r., jako że zostało ono wszczęte przez [...] maja 2018 r., tj. przed datą wejścia
w życie ustawy z 2018 r.
Organ ponownie wskazał, że zakres żądanych przez stronę mieści się w zakresie katalogu tzw. danych zwykłych, których przetwarzanie uregulowane było w art. 23 ust. 1 ustawy z 1997 r. Podtrzymał jednak ocenę, że skarżący nie wykazał, by dane te były niezbędne w celu dochodzenia roszczeń przez sądem, na uzasadnienie czego przytoczył sposób procedowania sądu cywilnego dotyczącego oddalenia wniosków skarżącego o przeprowadzenie dowodów z przesłuchania pacjentów. Zdaniem organu uwzględnić należało i to, że szpital nie ma możliwości ustalenia danych pacjentów, którzy przebywali wraz ze skarżącym w tej samej sali szpitalnej.
Organ podtrzymał też swoje stanowisko co do jego niewłaściwości w kwestii nakazania szpitalowi sporządzenia i dostarczenia kopii dokumentacji medycznej.
Zdaniem Prezesa UODO na etapie postępowania odwoławczego skarżący nie przedstawił nowych okoliczności czy też nowych dowodów, które spowodowałyby zaistnienie podstaw do zmiany stanowiska wyrażonego w decyzji z [...] czerwca 2020 r.
W skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie skardze skarżący zakwestionował fakt nieposiadania danych przez szpital. Dodatkowo wyjaśnił, że w 2020 r. zwrócił się do Prokuratury Rejonowej w R. z wnioskiem
o wystąpienie o dane pacjentów, jednak pismo to pozostało bez odpowiedzi. Ponadto postępowanie cywilne zostało zakończone, ale można na nowo wszcząć dochodzenie, gdy pojawią się nowe dowody.
W odpowiedzi na skargę, podtrzymując argumentację wskazaną w zaskarżonej decyzji, organ wniósł o jej oddalenie.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Stosownie do art. 3 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325, dalej: p.p.s.a.) wojewódzkie sądy administracyjne sprawują kontrolę działalności administracji publicznej pod względem zgodności z prawem co oznacza, że w zakresie dokonywanej kontroli sąd zobowiązany jest zbadać, czy organy administracji w toku postępowania nie naruszyły przepisów prawa materialnego i przepisów postępowania w sposób, który miał lub mógł mieć wpływ na wynik sprawy, czy nie zachodzą przesłanki do stwierdzenia nieważności decyzji lub z naruszeniem prawa (art. 145 § 1 pkt 1, 2 i 3 p.p.s.a.). Sądowa kontrola legalności zaskarżonych orzeczeń administracyjnych sprawowana jest przy tym
w granicach sprawy, a sąd nie jest związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną (art. 134 § 1 p.p.s.a.).
Po dokonaniu oceny legalności zaskarżonej decyzji według wskazanych wyżej reguł Sąd uznał, że skarga nie zasługuje na uwzględnienie.
Materialnoprawną podstawę zaskarżonej decyzji stanowiły przepisy ustawy
z 1997 r. Zgodnie bowiem z art. 160 ust. 1 ustawy z 2018 r. postępowanie prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte
i niezakończone przed dniem wejścia w życie niniejszej ustawy (tj. do dnia 25 maja 2018 r.), prowadzone są przez Prezesa Urzędu. Z kolei w myśl art. 160 ust. 2 ustawy
z 2018 r. postępowania, o których mowa w ust. 1, prowadzi się na podstawie ustawy
z 1997 r., zgodnie z zasadami określonymi w k.p.a.
Stosownie do treści art. 7 pkt 2 ustawy z 1997 r. przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.
Z kolei w przepisie art. 23 ust. 1 ustawy z 1997 r. zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Wskazano w nim, że przetwarzanie danych jest dopuszczalne m. in. tylko wtedy, gdy było to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
W myśl art. 23 ust. 4 u.o.d.o., za prawnie usprawiedliwiony cel, o którym mowa
w ust. 1 pkt 5, uważano w szczególności:
1) marketing bezpośredni własnych produktów lub usług administratora danych;
2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.
Udostępnienie danych osobowych w trybie art. 23 ust. 1 pkt 5 u.o.d.o. dopuszczalne jest więc w razie łącznego spełnienia dwóch następujących przesłanek: 1) uzasadnionej niezbędności posiadania danych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych oraz 2) udostępnienie nie naruszy praw i wolności osoby, której dane dotyczą. Dla nakazania przez GIODO na podstawie art. 18 ust. 1 pkt 2 w związku z art. 23 ust. 1 pkt 5 u.o.d.o. udostępnienia danych osobowych osób na potrzeby wniesienia pozwu do sądu przez jednostkę wnioskującą o te dane konieczne jest wnikliwe przeanalizowanie
i zweryfikowanie przez organ, iż zamiar tej jednostki skorzystania z prawa do sądu jest realny i rzeczywisty. Niedopuszczalne jest bowiem powoływanie się na wolę skorzystania z przysługującego prawa do sądu po to, aby w istocie jedynie poznać dane osobowe innej osoby; stanowiłoby to niezasługujące na ochronę nadużycie art. 23 ust. 1 pkt 5 ustawy z 1997 r. (por. wyrok NSA z 6 sierpnia 2019 r., I OSK 2355/17; wyrok NSA z 10 listopada 2015 r., I OSK 1173/14, oba opubl. CBOSA).
Ponadto zgodnie z powołanym przez Prezesa UODO art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych
i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. U. UE. L. z 2016 r., poz. 119, str. 1, dalej: RODO), przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji,
w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
W ocenie Sądu w przedmiotowej sprawie skarżący nie wykazał niezbędności pozyskania danych dla realizacji celu (brak spełnienia przesłanki z art. 23 ust. 1 pkt 5 u.o.d.o.). W zakończonym prawomocnie postępowaniu cywilnym wszczętym
z inicjatywy skarżącego sąd wniosków dowodowych o przesłuchanie pacjentów przebywających w szpitalu w dacie [...] września 2007 r. nie uwzględnił, zaś zarówno we wniosku o ponowne rozpatrzenie sprawy jak i w skardze skarżący wskazuje jedynie na zamiar ewentualnego wszczęcia postępowania karnego w przedmiocie wykazania przestępstwa, mającego miejsce podczas zabiegu chirurgicznego [...] września 2007 r., polegającego na poddaniu jego osoby eksperymentowi, na który nie wyraził zgody. Zamiar dochodzenia przez skarżącego roszczeń na drodze postępowania karnego nie został wykazany w ten sposób, aby móc uznać go za realny i rzeczywisty.
Zasadnicze znaczenie ma w sprawie jednak to, że szpital żądanych przez skarżącego danych nie przetwarza (nie utrwala ani nie przechowuje), co wynika z pism z [...] maja 2018 r. (k. 26 akt administracyjnych) oraz z [...] kwietnia 2019 r. (k. 40 akt adminisatrcyjnych). To zaś powoduje, że udostępnienie danych osobowych zgodnie
z wnioskiem skarżącego nie jest możliwe.
Końcowo, odnosząc się do żądania skarżącego dotyczącego sporządzenia
i dostarczenia kopii dokumentacji medycznej Sąd wskazuje, że zasadna była argumentacja Prezesa UODO sprowadzająca się do stwierdzenia, że w ustawie
o ochronie danych osobowych brak jest przepisów obligujących administratora do udostępnienia dokumentów zawierających dane osobowe. Podobne stanowisko prezentują również w swoim dotychczasowym orzecznictwie sądy administracyjne, przyjmując zgodnie, że ustawodawca posługuje się pojęciem udostępniania, odnosząc je zawsze do danych osobowych, a nie do zawierających je dokumentów (por. m.in. wyrok WSA w Warszawie z 6 września 2005 r., II SA/Wa 825/05; wyrok WSA
w Warszawie z 11 maja 2017 r., II SA/Wa 1364/16, wszystkie opubl. CBOSA).
Mając powyższe na uwadze Sąd, rozpoznając sprawę na posiedzeniu niejawnym zgodnie z art. 15 zzs⁴ ust. 3 ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2020 r. poz. 374 ze zm.), działając na podstawie art. 151 p.p.s.a., oddalił skargę wobec braku podstaw do jej uwzględnienia.