|
UZASADNIENIE
Postępowanie w sprawie zainicjowała skarga E. K., na nieprawidłowości w procesie przetwarzania jej danych osobowych przez M. L., prowadzącą działalność gospodarczą pod firmą Przychodnia […], polegające na wykorzystaniu i udostępnieniu danych osobowych Skarżącej poprzez załączenie dokumentacji medycznej zawierającej jej dane osobowe do pozwu Przychodni z […].12.2021 r. skierowanego do Sądu Okręgowego w P.
W toku postępowania Prezes Urzędu Ochrony Danych Osobowych ustalił, że:
– Skarżąca w 2016 r. była pacjentką Przychodni […],
– Przychodnia […].12.2021 r. skierowała do Sądu Okręgowego w P. pozew o zapłatę, załączając jako załącznik nr […] – przykładową dokumentację medyczną m.in. niezanonimizowaną dokumentację medyczną Skarżącej, tj. skierowanie do szpitala, oświadczenie pacjenta — świadoma zgoda na hospitalizację i zabieg w trybie jednodniowym z […].12.2016 r., historię choroby z […].12.2016 r., kartę kwalifikacyjną do zabiegu operacyjnego w trybie jednodniowym z […].12.2016 r., kartę informacyjną leczenia w trybie jednodniowym z […].12.2016 r., oświadczenie z […].12.2016 r., kartę informacyjną leczenia szpitalnego dotyczącą okresu od […].07.2013 r. do […].07.2013 r. (Sprawa prowadzona jest pod sygn. akt […])
– Skarżąca nie jest stroną przedmiotowego postępowania przed Sądem Okręgowym w P.
Decyzją z dnia […] marca 2023 r. Prezes Urzędu Ochrony Danych Osobowych udzielił M. L., prowadzącej działalność gospodarczą pod firmą Przychodnia […], upomnienia za naruszenie 9 ust. 1 oraz art. 5 ust. 1 lit. a RODO polegające na wykorzystaniu i udostępnieniu danych dotyczących zdrowia Pani E. K., poprzez załączenie dokumentacji medycznej zawierającej jej dane osobowe do pozwu z […].12.2021 r. skierowanego do Sądu Okręgowego w P.
W uzasadnieniu organ podniósł, że jego ocenie podlegało kwestionowane przez Skarżącą przetwarzanie jej danych osobowych zawartych w dokumentacji medycznej przez Przychodnię, polegające na załączeniu dokumentacji medycznej zawierającej dane osobowe Skarżącej do pozwu Przychodni z […].12.2021 r. skierowanego do Sądu Okręgowego w P.
Dalej wskazał, że zgodnie z art. 4 ust 7 RODO, administrator to osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych a w przedmiotowej sprawie administratorem danych osobowych Skarżącej zawartych w dokumentacji medycznej jest Przychodnia, która samodzielnie ustaliła cel i sposób kwestionowanego przetwarzania.
Przywołał też z motyw 35 RODO, w myśl którego do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie dane o stanie zdrowia osoby, której dane dotyczą, więc daną dotyczącą zdrowia jest zatem informacja o przebiegu leczenia. Dodał również, iż co do zasady, zabronione jest przetwarzanie danych osobowych dotyczących zdrowia (art. 9 ust. 1 RODO). Przepisem uprawniającym administratorów do przetwarzania szczególnych kategorii danych osobowych jest art. 9 ust. 2 RODO. Katalog przesłanek wymienionych w art. 9 ust. 2 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to według organu, że przesłanki te, co do zasady, są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych.
Organ dodał też, iż przetwarzanie danych osobowych dotyczących zdrowia jest zgodne z prawem jeżeli przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody (art. 9 ust. 2 lit. c RODO). Według organu za żywotne interesy powinny być uznawane jedynie interesy odnoszące się do wartości podstawowych takich jak życie, zdrowie, bezpieczeństwo, natomiast w doktrynie wątpliwości budzi możliwość zaliczenia do interesów żywotnych interesów majątkowych.
W celu legalizacji procesu przetwarzania w oparciu o wskazaną podstawę prawną, koniecznym jest wykazanie przez administratora niezbędności przetwarzania do ustalenia, dochodzenia lub obrony roszczeń. Nie wystarczy zatem samo zaistnienie po stronie administratora konieczności ustalenia, dochodzenia lub obrony roszczeń, lecz dodatkowo działania te wymagają przetwarzania danych osobowych. Musi występować bezpośredni związek pomiędzy realizacją ustalenia, dochodzenia lub obrony roszczeń a potrzebą przetwarzania danych osobowych.
W przedmiotowej sprawie dokumentacja medyczna zawierająca dane osobowe Skarżącej została załączona do pozwu Przychodni z […].12.2021 r. jako “przykładowa dokumentacja medyczna”, co oznacza według organu, iż dochodzenie przez przychodnię roszczeń na drodze sądowej nie wymagało przetwarzania danych osobowych Skarżącej.
Jak podkreślił organ, ze zgromadzonego w sprawie materiału dowodowego nie wynika by Przychodnia zobowiązana była przez Sąd do przedłożenia dokumentacji medycznej zawierającej dane osobowe Skarżącej.
Na uwagę zasługuje według organu również fakt, iż Skarżąca nie jest stroną przedmiotowego postępowania i nie dotyczy ono jej interesów majątkowych. Wobec powyższego, w ocenie Prezesa UODO, Przychodnia nie spełniła przesłanek wskazanych w art. 9 ust. 2 lit c i lit. f RODO uprawniających ją do przetwarzania danych Skarżącej w kwestionowanym zakresie. Jednocześnie zauważył, że Przychodnia nie wykazała, a organ nie stwierdził także zaistnienia innej z przesłanek wymienionych w art. 9 ust. 2 RODO, w oparciu o którą Przychodnia mogłaby w sposób zgodny z obowiązującymi przepisami przetwarzać dane osobowe Skarżącej zawarte w jej dokumentacji medycznej.
Od powyższej decyzji skargę do tut. Sądu wywiodła M. L. wnosząc o jej uchylenie i zarzucając organowi naruszenie przepisów postępowania, mającym istotny wpływ na wynik sprawy, to jest:
a/ art. 6 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (tekst jednolity: Dz. U. z 2023 r., poz. 775 ze zmianami] (dalej: “k.p.a.”] w związku z art. 7 k.p.a. w związku z art. 8 § 1 k.p.a. w związku z art. 7 ust. 1 u.o.d. polegające na tym, że Prezes UODO uzasadnił zaskarżaną decyzję w sposób podważający zaufanie obywateli do państwa, a postępowanie prowadził nie uwzględniając słusznego interesu skarżącej oraz ignorując podniesione przez nią argumenty dotyczące tego, że nie przetwarzała danych osobowych w rozumieniu przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE] 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych] (Dz. U. UE. L. 119 z 4 maja 2016 r., str.l] (dalej: “RODO”],
b/ art. 9 k.p.a. w związku z art. 10 § 1 k.p.a. w związku z art. 7 ust. 1 u.o.d. polegające na tym, że Prezes UODO nie poinformował skarżącej o istotnych okolicznościach faktycznych i prawnych, które mogły mieć wpływ na ustalenie jej obowiązków, tzn.: (organ administracyjny nie powiadomił skarżącej o wszczęciu postępowania-pierwsze pismo wysłane przez organ do skarżącej, to jest pismo z dnia […] marca 2022 r. nie zawierało informacji na temat stron postępowania oraz przyczyn jego wszczęcia)
c/ art. 58 ust. 2 lit. b] RODO polegające na tym, że Prezes RODO udzielił upomnienia skarżącej, pomimo braku ku temu podstaw faktycznych oraz materialnoprawnych.
Zarzuciła też naruszenie przepisów prawa materialnego, to jest:
a/ art. 4 pkt 2) RODO w związku z art. 4 pkt 9 RODO w związku z pkt 97 preambuły RODO polegające na tym, że Prezes UODO nie wziął pod uwagę, że skarżąca nie przetwarzała danych osobowych Pani E. K.; zgodnie art. 4 pkt 2] RODO: “ujawnienie poprzez przesłanie” danych osobowych ma miejsce wyłącznie, gdy ich odbiorcą jest podmiot, o którym mowa w art. 4 pkt 9) RODO; sąd jako organ publiczny, który może otrzymywać dane osobowe w ramach konkretnego postępowania nie jest natomiast odbiorcą w rozumieniu tego przepisu,
b/ art. 9 ust. 1 lit. f] RODO w związku z art. 6 ustawy z dnia 23 kwietnia 1964 roku Kodeks cywilny (tekst jednolity: Dz. U. z 2022 r. poz. 1360 ze zmianami] (dalej: “k.c/’] w związku z art. 232 ustawy z dnia 17 listopada 1964 r. – Kodeks postępowania cywilnego (tekst jednolity: Dz. U. z 2021 r. poz. 1805] (dalej: “k.p.c.”] w związku z art. 458 § 1 i 4 k.p.c. w związku z art. 250 § 1 k.p.c. w związku z art. 244 § 1 i 2 k.p.c. polegające na tym, że Prezes UODO nie wziął pod uwagę, że potencjalne przetwarzanie przez skarżącą danych osobowych było niezbędne dla dochodzenia przez nią roszczeń; jest bowiem wysoce prawdopodobne, że z uwagi na kontradyktoryjny charakter procesu cywilnego i obowiązki stron w zakresie przedstawiania dowodów, niezałączenie do pozwu dokumentacji medycznej Pani E. K. skutkowałoby oddaleniem powództwa wniesionego przez skarżącą.
c/ art. 9 ust. 1 lit. c RODO polegające na tym, że Prezes UODO uznał, że przetwarzanie danych osobowych uczestniczki postępowania nie było niezbędne dla ochrony żywotnych interesów skarżącej, pomimo że z perspektywy skarżącej niepokrycie przez pozwanego w postępowaniu cywilnym szkody w kwocie niemal 650.000 złotych spowoduje istotny uszczerbek w jej majątku i obniży poziom jej życia; co za tym idzie, wygranie sprawy cywilnej leży w żywotnym interesie Pani M. L. i jak pojmuje żywotny interes osoby, jako interes niemajątkowy, pomimo iż tego typu rozumienie nie jest zgodne z językową wykładnią słowa “żywotny”, którego synonimem jest wyrażenie “bardzo ważny”; również wykładnia celowościowa nie daje podstaw do ograniczenia stosowania wyjątku z art. 9 ust. 1 lit. c] RODO wyłącznie do interesów osoby, które dotyczą sfery zdrowia, życia lub bezpieczeństwa.
d/ art. 6 ust. 1 lit. c] w związku z art. z art. 175 b ustawy z dnia 27 lipca 2001 r. Prawo o ustroju sądów powszechnych (Dz. U. z 2020 r., poz. 2072] w związku z art. 175 ust. 1 Konstytucji RP w związku z art. 45 ust. 1 Konstytucji RP polegające na tym, że organ uznał, iż przetwarzanie danych osobowych uczestniczki postępowania nie było niezbędne do wypełnienia obowiązków prawnych ciążących na administratorze, którym w tym wypadku jest sąd; rolą sądu powszechnego jest natomiast sprawowanie Wymiaru Sprawiedliwości i zapewnienie obywatelom możliwości realizacji prawa do sądu,
e/ art. 45 ust. 1 Konstytucji RP w związku z art. 47 Karty praw podstawowych Unii Europejskiej polegające na tym, że zastosowana przez Prezesa UODO wykładnia przepisów RODO, uniemożliwia skarżącej realizację prawa do sądu, przez które rozumie się prawo do efektywnego dochodzenia roszczeń w postępowaniu sądowym; w rezultacie wykładnia RODO zastosowana przez Prezesa UODO pozostaje w kolizji z aktami wyższego rzędu – Kartą Praw Podstawowych Unii Europejskiej, która stanowi pierwotne źródło prawa oraz z Konstytucją RP.
W uzasadnieniu strona rozwinęła powyższe zarzuty.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
zgodnie z treścią przepisu art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r., poz. 2492 ze zm.) sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż powinna zostać wyeliminowana z obrotu prawnego jako wadliwa.
Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy miało miejsce, zakwestionowane przez organ w skarżonej decyzji, przetwarzanie danych osobowych.
W ocenie tut Sądu na w/postawione pytanie należało udzielić negatywnej odpowiedzi.
Jak wynika z treści uzasadnienia badanej decyzji, organ uznał, że M. L., będąc administratorem danych osobowych pacjentki E. K. w ramach prowadzonej działalności gospodarczej, przetwarzała te dane załączając do pozwu skierowanego do Sądu Okręgowego w P. część dokumentacji medycznej pacjentki.
Przy tak ustalonym stanie faktycznym, aby móc skutecznie przypisać administratorowi danych pacjentki przetwarzanie owych danych, musiałyby zostać spełnione łącznie dwie przesłanki:
– administrator danych musiałby dane udostępnić osobie trzeciej,
– owa osoba trzecia musiałaby być “odbiorcą danych” w rozumieniu przepisów RODO.
W tym miejscu koniecznym staje się odkodowanie w/ przywołanego pojęcia “odbiorcy danych”. Z pomocą bieży tu ustawodawca europejski, który w art.4 pkt.9 RODO wyjaśnił, że odbiorca oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot któremu ujawnia się dane osobowe niezależnie od tego, czy jest stroną trzecią, przy czym organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są jednak uznawane za odbiorców.
Przenosząc powyższe na realia faktyczne niniejszej sprawy stwierdzić należało, iż nie doszło do zakwestionowanego w skarżonej decyzji przetwarzania danych osobowych pacjentki polegającego na przekazaniu ich jako załącznika do pozwu. Skoro bowiem zostały one wykorzystane w celu przekazania ich Sądowi prowadzącemu konkretne postępowanie cywilne, to świadczy to jednoznacznie o tym, że nie zostały udostępnione “odbiorcy danych” oznaczonemu w art. 4 pkt. 9 RODO.
Sąd Okręgowy w P., ponad wszelką wątpliwość jest przecież organem publicznym. Sporne dane otrzymał zaś w ramach konkretnego postępowania zainicjowanego pozwem Przychodni […]. Sąd ten był więc uprawniony do otrzymania owej dokumentacji skoro została ona dołączona do pozwu jako dowód na zasadność całego powództwa. Biorąc zaś pod uwagę kontradyktoryjny charakter postępowania prowadzonego przed Sądem gospodarczym (art. 458 z indeksem 5 K.p.c.) powodowa Przychodnia zmuszona była załączyć do pozwu wszelkie dowody dla wykazania zasadności swego roszczenia. Takiego działania Przychodni nie sposób więc uznać za “nadmiarowe” skoro omawiana dokumentacja miała dowieść faktu realizacji umowy łączącej Przychodnię z pozwanym.
W tym miejscu należało także zwrócić uwagę organowi, iż nie posiada on uprawnień do oceniania w niniejszym postępowaniu trafności decyzji procesowych, podejmowanych w innym postępowaniu przez osobę prowadzącą spór przed Sądem powszechnym, w tym do wypowiadania się o trafności wniosków dowodowych zgłaszanych dla wykazania swych racji. Konkluzją o zbędności przetwarzania spornych danych w postępowaniu cywilno-prawnym organ wykroczył więc poza swoje ustawowe prerogatywy.
Podsumowując, w sytuacji gdy w świetle art. 4 pkt. 9 RODO przekazanie przez M. L. spornych danych osobowych Sądowi, w ramach prowadzonego przez ów Sąd postępowania – nie stanowiło przetwarzania danych osobowych E. K. – brak było podstaw faktycznych i prawnych do wydania skarżonej decyzji.
W związku z powyższym, uznając że skarżona decyzja narusza prawo, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w pkt. 1 wyroku na podstawie art. 145 § 1 pkt.1a i c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 1634 ze zm.).
O kosztach orzeczono stosownie do dyspozycji art. 200 ustawy Prawo o postępowaniu przed sądami administracyjnymi. |
