II SA/Wa 55/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Sławomir Antoniuk, Asesor WSA Arkadiusz Koziarski (spr.), , Protokolant referent Magdalena Morawiec, po rozpoznaniu na rozprawie w dniu 22 stycznia 2025 r. sprawy ze skargi M. D. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącej M. D. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania. Prezes Urzędu Ochrony Danych Osobowych, dalej "PUODO", decyzją z dnia [...] października 2024 r. nr [...], wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2023 r. poz. 775, z późn. zm.), dalej "k.p.a.", oraz art. 5 ust. 1, art. 6 ust. 1, oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie skargi P. D. (dalej "uczestnik postępowania), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez M. D. (dalej "skarżąca"), polegające na wykorzystaniu danych osobowych w zakresie imienia, nazwiska, numeru PESEL uczestnika postępowania, celem uzyskania dostępu do jego danych osobowych zlokalizowanych na Platformie Usług Elektronicznych Zakładu Ubezpieczeń Społecznych (dalej "PUE ZUS"), udzielił skarżącej upomnienia za naruszenie art. 5 ust. 1 lit a oraz art. 6 ust. 1 RODO polegające na wykorzystaniu [...] stycznia 2019 r. danych osobowych uczestnika postępowania w zakresie imienia, nazwiska oraz numeru PESEL, bez podstawy prawnej w celu uzyskania dostępu do jego danych osobowych zlokalizowanych na PUE ZUS. Decyzja ta została wydana w następujących okolicznościach faktycznych: Do Urzędu Ochrony Danych Osobowych wpłynęła skarga uczestnika postępowania, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez skarżącą, polegające na uzyskaniu dostępu do jego danych osobowych zlokalizowanych na PUE ZUS. W treści skargi uczestnik postępowania wskazał, że zgodnie z informacją otrzymaną na platformie elektronicznej PUE ZUS skarżąca, będąca lekarzem, w dniu [...] stycznia 2019 r., wykorzystując uprawnienia nadane przez ZUS w celu wystawienia zaświadczeń ZUS ZLA, uzyskała dostęp do jego danych osobowych. Rozpatrując powyższą skargę organ ustalił następujący stan faktyczny: 1. Z akt postępowania wynika, że skarżąca [...] stycznia 2019 r. korzystała z danych osobowych uczestnika postępowania zawartych w PUE ZUS. Korzystanie z danych nie było zakończone wystawieniem zaświadczenia lekarskiego lub jego anulowaniem. 2. Skarżąca wyjaśniła, że uczestnik postępowania był jej mężem i z tego względu jego dane osobowe są jej znane, jak również z faktu, że był pacjentem [...] Specjalistycznej Przychodni Lekarskiej w [...[ (dalej [...]SPL"), w której skarżąca była zatrudniona w okresie od [...] marca 2012 r. do [...] września 2019 r. 3. Skarżąca wskazała, że [...] stycznia 2019 r. o godz. [...] dokonała wejścia na PUE ZUS, korzystając z Certyfikatu ZUS dokonała wyboru pacjenta. 4. Skarżąca wskazała, że wejście na konto uczestnika postępowania zlokalizowane na PUE ZUS miało miejsce w godzinach pracy i musiało wynikać z określonych czynności dokonanych za zgodą i wiedzą skarżącego. 5. Uczestnik postępowania wskazał, że korzystał z porad lekarskich jego byłej żony do pierwszego kwartału 2018 r. i po tym okresie nie zwracał się o poradę, zwolnienie lub inne czynności w systemie PUE ZUS. Decyzją z dnia [...] marca 2021 r. nr [...] PUODO udzielił skarżącej upomnienia za naruszenie art. 5 ust. 1 lit. a oraz art. 6 ust. 1 RODO, polegające na wykorzystaniu [...] stycznia 2019 r. danych osobowych uczestnika postępowania w zakresie imienia, nazwiska oraz numeru PESEL, bez podstawy prawnej w celu uzyskania dostępu do jego danych osobowych zlokalizowanych na PUE ZUS. Skarżąca wniosła na powyższą decyzję skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, który wyrokiem z dnia z 15 października 2021 r., sygn. akt II SA/Wa 1943/21, uchylił zaskarżoną decyzję oraz zasądził od organu na rzecz skarżącej 200 złotych tytułem zwrotu kosztów postępowania. W uzasadnieniu Sąd wskazał, że w toku postępowania administracyjnego przed organem nie doszło w sposób dostateczny i zgodny z wymogami zasady prawdy obiektywnej, o której mowa w art. 7 i art. 77 § 1 k.p.a., do należytego zgromadzenia materiału dowodowego, który pozwoliłyby w sposób prawidłowy zastosować przepisy prawa materialnego. Sąd zwrócił uwagę, że jakkolwiek z akt sprawy wynika, że organ umożliwił obu stronom postępowania w trybie art. 10 § 1 k.p.a., wypowiedzenie się co do zebranych w sprawie dowodów, tym niemniej w pismach z [...] stycznia 2021 r. organ wskazał, że zgromadził już materiał dowodowy, a strony mają możliwość, stosownie do art. 73 § 1 i 1a k.p.a., wglądu w akta sprawy, sporządzania z nich notatek, kopii lub odpisów w lokalu organu i w obecności pracownika organu. Z uprawnienia przewidzianego w art. 10 § 1 k.p.a. skorzystał uczestnik postępowania, którego pełnomocnik otrzymała kopię całości akt sprawy, a następnie uczestnika postępowania złożył do akt administracyjnych dwa pisma z 1 i 2 lutego 2021 r. z załącznikami. Z załączników tych wynika, że skarżąca wystawiła uczestnikowi postępowania zwolnienie lekarskie [...] lutego 2019 r. Uczestnik postępowania przedłożył też kserokopie SMS-ów, które wysyłali do siebie małżonkowie [...] stycznia 2019 r., a które wskazują na ich stały kontakt, nie tylko w sprawach osobistych, lecz także w sprawach medycznych. Zdaniem Sądu okoliczności wynikające z tych dowodów nie były przedmiotem wyczerpującej analizy organu. Sąd wskazał ponadto, że w aktach administracyjnych sprawy nie ma dowodów wskazujących, że organ przekazał skarżącej w celu zajęcia stanowiska złożone przez uczestnika postępowania 1 i 2 lutego 2021 r. materiały dowodowe, ani nie zawiadomił skarżącej w trybie art. 10 § 1 k.p.a., aby mogła się wypowiedzieć co do nowych dowodów, których nie było w aktach administracyjnych sprawy w chwili, gdy organ wysyłał jej, w trybie art. 10 § 1 k.p.a., zawiadomienie z [...] stycznia 2021 r. Zdaniem Sądu powyższa wadliwość proceduralna stanowi istotne naruszenie zasady czynnego udziału strony w postępowaniu, o której mowa wart. 10 § 1 k.p.a. w związku z art. 81 k.p.a. Sąd podkreślił ponadto, że organ powinien przed wydaniem zaskarżonej decyzji - z uwagi na poszerzenie materiału o nowe dowody - wystosować do skarżącej, kolejne zawiadomienie w trybie art. 10 § 1 k.p.a. Było to bowiem - jak pokazały załączone do skargi przez skarżącą dowody - niezbędne do należytego załatwienia sprawy. Wydrukowane przez skarżącą SMS z [...] stycznia 2019 r., wskazują bowiem, że uczestnika postępowania był w [...], w której pracowała skarżąca [...] stycznia 2019 r. "A nie powiedziałem ze nie chcesz mi pomoc. Powiedziałaś prawdę, nie jesteś od wystawiania recept (...). Zgadzam się dlatego wyszedłem a nie dlatego ze nie chciałaś mi pomoc". Jednocześnie Sąd podniósł, że okoliczność późniejszego, niż wskazany w uzasadnieniu zaskarżonej decyzji, okresu korzystania przez uczestnika postępowania z usług medycznych skarżącej (I kwartał 2018r.) potwierdza korespondencja małżonków prowadzona przy pomocy SMS, wydrukowanych i załączonych do skargi z: - [...] stycznia 2019r.: "Dziękuję, lekarstwa które mi przepisałaś działają niewiarugodnie"; - [...] lutego 2019r. "Możesz mi od siebie wystawić potwierdzenie zus. Bo mi przyszło ale tam nie mam napisane jasno ze o mnie chodzi (...)"; - [...] sierpnia 2019r. "Byłem w laboratorium. Dziękuję za skierowanie chociaż o tym rozmawialiśmy". Sąd na tej podstawie, jak również w związku z załączonymi przez uczestnika postępowania w postępowaniu sądowo- administracyjnym dokumentami przy piśmie z 12 października 2021 r., uznał, że materiał dowodowy zgromadzony przez organ w postępowaniu prowadzonym przez rok był niewystarczający do wydania zaskarżonej decyzji, a organ wbrew treści art. 7 k.p.a. nie podjął w toku sprawy wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego nie rozpatrzył zgodnie z art. 77 § 1 k.p.a. znajdującego się w aktach administracyjnych materiału dowodowego sprawy. W ocenie Sądu tym samym przedwczesne i jednocześnie nieuprawnione było przyjęcie przez PUODO, że skarżąca w sposób nieuprawniony wykorzystała 9 stycznia 2019 r. dane osobowe uczestnika postępowania. Bez należytego zgromadzenia i rozpatrzenia materiału dowodowego sprawy, z uwzględnieniem zasady czynnego udziału obu stron postępowania nie jest możliwe prawidłowe zastosowanie przepisów prawa materialnego. We wskazaniach do dalszego postępowania Sąd nakazał organowi sięgnąć do mobilnej wersji Panelu Lekarza, z której wynika, że każdy lekarz, który wystawił zaświadczenie lekarskie może dokonać jego przeglądu. Sąd podkreślił, że skarżąca, której w postępowaniu administracyjnym nie zapewniono w pełni czynnego udziału w sprawie, w pismach procesowych składanych do Sądu wskazywała bowiem, że z informacji uzyskanych z PUE ZUS (funkcjonalność dostępności w wersji mobilnej Panelu Lekarza) wynika, że Panel Lekarza umożliwia: wystawienie podpisanie zaświadczenia ZUS ZLA, wystawienie i wysłanie nowego zaświadczenia lekarskiego, przegląd zaświadczeń lekarskich, przegląd zaświadczeń lekarskich wystawionych przez danego lekarza. Skarżąca podnosiła również, że jakkolwiek podstawą prawną do wydania zaświadczenia jest, powoływana przez Prezesa UODO ustawa o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa, to możliwość wykonania nadanych uprawnień stwarza PUE - Panel Lekarza, przez określone opcje w aplikacji systemu informatycznego, pozwalające na przeglądanie zaświadczeń, nie na koncie Pacjenta, a na Panelu Lekarza, bez możliwości wejścia na Panel Pacjenta. Skarżąca podkreśla ponadto, że pacjent, wyrażając zgodę na leczenie w przychodni opieki zdrowotnej dokonując prawa wyboru konkretnego lekarza podstawowej opieki zdrowotnej ma prawo leczyć się u każdego innego lekarza obecnego w przychodni, co czynił uczestnika postępowania, korzystając z porad medycznych skarżącej, wyrażając na to zgodę. Skarżąca jeszcze raz podkreśliła, że sprawdzenie wystawionych przez nią zaświadczeń lekarskich było poprzedzone świadczeniem medycznym wobec uczestnika postepowania - pacjenta, a cel przetwarzania i podstawa przetwarzania zostały zawarte w klauzuli informacyjnej przychodni, którą pacjent podpisał. Sąd podkreślił również, że PUODO powinien zastanowić się, jakiego rodzaju szkodę poniósł uczestnik postępowania w związku z tym, że skarżąca miała dostęp do jego danych osobowych oraz uwzględnić w tym zakresie datę rozwodu małżonków. Zdaniem Sądu niezbędne będzie ponadto ustalenie w toku ponownego rozpatrywania sprawy przez organ, na podstawie dowodów z korespondencji prowadzonej przez małżonków przy pomocy SMS, jak również innych dowodów, także tych załączonych przez uczestnika postępowania do pisma procesowego z 12 października 2021 r., czy korzystał on z usług medycznych skarżącej [...] stycznia 2019 r. jak i po tej dacie, tak aby możliwe było prawidłowe zastosowanie art. 4 pkt 2 RODO w związku z art. 5 ust. 1 lit. a) oraz art. 6 ust. 1 RODO i czy w związku z tym możliwe i niezbędne będzie skorzystanie z dyspozycji art. 58 ust. 2 lit. b RODO. Rozpatrując sprawę ponownie PUODO powołaną na wstępie decyzją z dnia [...] października 2023 r. nr [...] ponownie udzielił skarżącej upomnienia. W uzasadnieniu organ opisał dotychczasowy przebieg postępowania i wskazał, że dokonał ponownej analizy materiału dowodowego zgromadzonego w toku niniejszego postępowania, a także uzupełnił w niezbędnym zakresie materiał dowodowy w sprawie. W wyniku powyższych działań ustalono, że: 1. [...] stycznia 2019 r., w momencie logowania się przez skarżącą na konto uczestnika postępowania zlokalizowane w PUE ZUS, uczestnika postępowania uczestniczył w kursie języka [...] (dowód: oświadczenie skarżącego z [...] listopada 2021 r., wyciąg z rozkazu dziennego nr [...] dowódcy [...] z [...] września 2018 r. z wykazem godzin zajęć). 2. Była pielęgniarka [...], gdzie pracowała skarżąca, M. S. oświadczyła, że uczestnik postępowania [...] stycznia 2019 r. był w [...]SPL i wychodził z gabinetu skarżącej - dowód: pismo M. S. z [...] sierpnia 2022 r. 3. M. S. w trakcie rozprawy głównej mającej miejsce przed Sądem Rejonowym w [...], [...] Wydział Karny (sygn. akt. [...]) [...] października 2022 r. zeznała, że nie pamięta by [...] stycznia 2019 r. uczestnika postępowania był w [...]SPL u skarżącej- dowód: protokół rozprawy głównej z [...] października 2022 r. (sygn. akt. [...]). 4. Z historii zdrowia i choroby uczestnika postępowania przechowywanej w [...] wynika, że uczestnika postępowania korzystał ze świadczeń medycznych udzielanych przez skarżącą 5 lipca 2017 r., 24 lipca 2017 r., 23 sierpnia 2017 r., 30 sierpnia 2017 r., 31 sierpnia 2017 r., 6 września 2017 r., 20 września 2017 r., 25 września 2017 r., 2 listopada 2017 r., 9 listopada 2017 r., 23 listopada 2017 r., 4 kwietnia 2018 r., 7 maja 2018 r., 4 lutego 2019 r., 7 lutego 2019 r., - dowód: wydruki z historii zdrowia i choroby dotyczącej uczestnika postępowania z [...]SPL załączone przez uczestnika postepowania do pisma z 28 października 2022 r. 5. Skarżąca oświadczyła, że dostęp do konta uczestnika postępowania na PUE ZUS [...] stycznia 2019 r. wynikał z jego prośby dotyczącej weryfikacji treści wcześniej wystawionego przez nią zwolnienia lekarskiego i udzielenia mu w tym zakresie informacji wyjaśniających. Skarżąca oświadczyła, że w oparciu o Panel Lekarza zawarty w PUE ZUS może przeglądać wystawione zwolnienia lekarskie bez konieczności odbywania w tym czasie wizyty lekarskiej przez potencjalnego pacjenta - dowód: pismo skarżącej z 19 kwietnia 2022 r. 6. Uczestnik postepowania oświadczył, że wymienione przez skarżącą zdarzenie dotyczące czynności dokonanej [...] stycznia 2019 r. weryfikacji treści wcześniej wystawionego przez nią zwolnienia lekarskiego i udzielenia uczestnikowi postepowania w tym zakresie informacji wyjaśniających nie mogło mieć miejsca, dotyczyło by bowiem zwolnienia wystawionego przez skarżącą 1 stycznia 2018 r., o co uczestnika postępowania, jak oświadczył, nie prosił - dowód: pismo uczestnika postępowania z 28 października 2022 r. 7. Skarżąca wskazała, że obecność uczestnika postępowania w jej gabinecie [...] stycznia 2019 r. potwierdza treść wiadomość SMS z [...] stycznia 2019 r. godz. [...], w którym napisał (...) Powiedziałaś prawdę, nie jesteś od wypisywania recept ani wycierania tyłka. Zgadzam się dlatego wyszedłem a nie dlatego ze nie chciałaś mi pomoc". - dowód: pismo Skarżącej z [...] kwietnia 2022 r. wraz z załącznikami. 8. Uczestnik postępowania w piśmie 30 maja 2022 r., oświadczył, że zacytowany fragment wiadomości SMS z [...] stycznia 2019 r. godz. [...] dotyczył wyjścia z mieszkania skarżącej w wieczór, sylwestrowy 2018/2019 - dowód, pismo uczestnika postępowania z [...] maja 2022 r. 9. Po rozwodzie orzeczonym w lutym 2017 r. strony utrzymywały kontakt, w tym obejmujący korzystanie przez uczestnika postępowania z porad medycznych udzielanych przez skarżącą - załączniki do pisma skarżącej z 19 kwietnia 2022 r., wydruki pn. historia zdrowia i choroby [...]SPL załączone przez uczestnika postępowania do pisma z 28 października 2022 r. 10. PUE ZUS zawiera funkcjonalność oznaczona jako panel lekarza. Zakładka ta zawiera informacje i funkcjonalności użytkownika posiadającego aktywną rolę lekarza, związane głównie z procesem wystawiania zaświadczeń lekarskich. Wśród funkcjonalności tego panelu można znaleźć uprawnienie lekarza do przeglądania informacji o wystawionych zaświadczeniach lekarskich - dowód: wydruk z Panelu Lekarza z [...] czerwca 2023 r. Następnie organ wskazał, że przedmiotem niniejszego postępowania jest kwestionowany przez uczestnika postępowania proces przetwarzania jego danych osobowych dokonany [...] stycznia 2019 r. przez skarżącą, polegający na wykorzystaniu jego imienia, nazwiska oraz numeru PESEL celem uzyskania dostępu do jego danych osobowych zlokalizowanych na PUE ZUS, w związku z wykonywanym zawodem lekarza, w celach prywatnych. Przedmiotem niniejszego postępowania nie jest natomiast kwestia dotycząca relacji osobistych między stronami, w tym dotyczących ich sporów osobistych, dla których właściwy jest sąd powszechny. Żaden przepis RODO ani ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) nie uprawnia PUODO do podejmowania czynności, a w szczególności orzekania o poniesionej przez dany podmiot szkodzie w rozumieniu prawa cywilnego. Roszczenia z tytułu naruszenia dóbr osobistych (m.in. o zadośćuczynienie pieniężne lub zapłatę odpowiedniej sumy pieniężnej na wskazany cel społeczny) jako mające charakter cywilny mogą być dochodzone w drodze powództwa cywilnego przed właściwym miejscowo sądem powszechnym, a nie PUODO. PUODO podniósł, że zgodnie z art. 54 ust. 1 ustawy z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa (Dz. U. z 2017 r. poz. 1368), dalej "u.ś.p.", Zakład Ubezpieczeń Społecznych (dalej także jako ZUS) upoważnia do wystawiania zaświadczeń lekarskich o czasowej niezdolności do pracy z powodu choroby, pobytu w szpitalu albo innym zakładzie leczniczym podmiotu leczniczego wykonującego działalność leczniczą w rodzaju stacjonarne i całodobowe świadczenia zdrowotne, lekarza, lekarza dentystę, felczera lub starszego felczera, po złożeniu, w formie określonej w tym przepisie oświadczenia, że zobowiązuje się do przestrzegania zasad orzekania o czasowej niezdolności do pracy i wykonywania obowiązków wynikających z przepisów ustawy i przepisów o ochronie danych osobowych. Na podstawie art. 55a ust. 2 u.ś.p., ZUS w celu wystawienia zaświadczenia lekarskiego udostępnia bezpłatnie wystawiającemu zaświadczenie lekarskie na jego profilu informacyjnym dane zgromadzone w prowadzonych na podstawie ustawy o systemie ubezpieczeń społecznych, m.in.: Centralnym Rejestrze Ubezpieczonych (pierwsze imię, nazwisko, datę urodzenia i adres zamieszkania ubezpieczonego), Centralnym Rejestrze Płatników Składek (nazwę skróconą oraz NIP lub numer PESEL albo serię i numer paszportu płatnika składek, jeżeli nie ma obowiązku posługiwania się NIP i nie nadano numeru PESEL), a także informacje o wcześniejszych zaświadczeniach lekarskich wystawionych ubezpieczonemu, zgromadzone w rejestrze, o którym mowa w art. 55b ust. 1 u.ś.p., oraz o zaświadczeniach, o których mowa w art. 59 ust. 8 u.ś.p. Zgodnie natomiast z art. 55a ust. 3 ww. ustawy dane i informacje, o których mowa powyżej, ZUS udostępnia po podaniu przez wystawiającego zaświadczenie lekarskie numeru PESEL ubezpieczonego albo serii i numeru paszportu, jeżeli ubezpieczonemu nie nadano numeru PESEL. Zdaniem organu powyższe wskazuje, że wprawdzie skarżąca - jako podmiot zobowiązany do oceny zasadności wystawienia zaświadczenia lekarskiego - jest upoważniony do dostępu do danych zgromadzonych na platformie ZUS, ale dostęp taki jest możliwy w sytuacji służącej do udostępniania osobom wystawiającym zaświadczenia lekarskie usług, umożliwiających wystawienie zaświadczenia lekarskiego. Okoliczność ta wskazuje, że mimo, iż lekarz ma dostęp do danych zgromadzonych w systemie PUE ZUS danych, to jednak nie może korzystać z dostępu do nich w sposób dowolny. PUODO stwierdził, że z ustalonego w sprawie stanu faktycznego wynika, iż uczestnik postępowania. mimo iż kilkukrotnie korzystał z usług medycznych udzielanych przez skarżącą, z którą pozostawał do lutego 2017 r. w związku małżeńskim, nie zwracał się do skarżącej [...] stycznia 2019 r., ani w okresie bezpośrednio poprzedzającym tę datę, o udzielenie przez nią jakiegokolwiek świadczenia medycznego. Co więcej zebrany w sprawie materiał dowodowy nie wskazuje, by jego wizyta [...] stycznia 2019 r. w gabinecie skarżącej faktycznie miała miejsce. Nie wskazują na to żadne dostarczone przez skarżącą materiały. Organ podkreślił, że uczestnik postępowania konsekwentnie w toku postępowania zaprzeczał takiej wizycie, skarżąca natomiast, w ocenie organu, nie przedstawiła żadnego dowodu, czy to w formie dokumentacji medycznej, wpisu w historii zdrowia i choroby czy innego udokumentowania, faktu obecności uczestnika postępowania na wizytce lekarskiej [...] stycznia 2019 r. Przywołane przez skarżącą okoliczności świadczące o bezpośredniej wizycie uczestnika postępowania ww. dnia w [...]SPL, w której skarżąca udzielała świadczeń medycznych, stanowią jedynie dorozumiane przypuszczenie i w ocenie PUODO nie decydują o takiej obecności uczestnika postępowania. Oświadczenie złożone w trakcie postępowania administracyjnego przez ówczesną pielęgniarkę [...]SPL M. S., w którym oświadczyła, że była świadkiem obecności uczestnika postępowania [...] stycznia 2019 r. u skarżącej, nie znalazły potwierdzenia w zeznaniach ww. świadka złożonych pod rygorem odpowiedzialności karnej na rozprawie głównej w sprawie przed Sądem Rejonowym w [...] Wydział [...] (sygn. akt [...]). Zeznając bowiem na ww. rozprawie świadek wyjaśniła, że nie pamięta by [...] stycznia 2019 r. uczestnik postępowania był w [...]SPL. Podobnie ocenić należy treść przywołanej przez skarżącą wiadomości SMS z [...] stycznia 2019 r. wysłanej przez uczestnika postępowania. Sformułowane w tej wiadomości zdanie "(...) Powiedziałaś prawdę, nie jesteś od wypisywania recept ani wycierania tyłka. Zgadzam się dlatego wyszedłem a nie dlatego ze nie chciałaś mi pomoc", nie rozstrzyga jednoznacznie o obecności uczestnika postępowania [...] stycznia 2019 r. w gabinecie skarżącej. Tym bardziej, że wskazał on, że treść ww. SMS-a dotyczyła okoliczności sylwestra 2018/2019.1 opuszczenia przez niego mieszkania skarżącej tego dnia. W ocenie organu, decydujące znaczenie o niekorzystaniu przez uczestnika postępowania [...] stycznia 2019 r. z usług skarżącej i braku odbycia wizyty lekarskiej mają dowody przedłożone przez niego w postaci udziału tego dnia w kursie języka angielskiego - co wynika z treści rozkazu dziennego nr [...] dowódcy Jednostki [...] z dnia [...] września 2018 r. Z dołączonego do wspomnianego rozkazu wyciągu zajęć wynika, że uczestnik postępowania [...] stycznia 2019 r. uczestniczył w ww. zajęciach, co potwierdziło także oświadczenie P. M. (żołnierza zawodowego w stopniu etatowym [...]), odpowiedzialnego za dyscyplinę i koordynowanie zajęć na tym kursie, w tym cotygodniowe rozliczenie obecności słuchaczy kursu u osób funkcyjnych [...]. PUODO zaznaczył, że zgodnie z art. 80 k.p.a., organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. W oparciu o treść tego artykułu organ oceniając materiał dowodowy zebrany w sprawie nie znalazł podstaw do uwzględniania przedłożonych przez skarżącą dowodów świadczących o obecności w [...]SPL i korzystaniu przez uczestnika postępowania [...] stycznia 2019 r. z usług medycznych skarżącej. Jednocześnie organ uznał za udowodnione, na podstawie przedłożonych przez uczestnika postępowania do sprawy dowodów, okoliczności świadczące o niekorzystaniu przez niego (ww. dnia) z usług medycznych skarżącej. Odnosząc się dodatkowo do aspektu przywoływanego w pismach skarżącej w zakresie jej autonomicznego uprawnienia, wynikającego z Panelu Lekarza jako funkcjonalności PUE ZUS i związanej z nią sposobności przeglądania przez nią wystawionych zaświadczeń lekarskich, w tym zrealizowanych na rzecz uczestnika postępowania zwolnień, organ podniósł, że uprawnienie takie nie ma mocy bezwzględnej i nie może być realizowane w dowolny sposób i w dowolnym terminie, uzależnionym tylko od woli lekarza. Zdaniem organu uprawnienie to winno być realizowane, tylko w sytuacji uzasadnionej względami medycznymi, tj. np. udzieleniem świadczenia medycznego, i dodatkowo winna wynikać z udokumentowanego zdarzenia podmiotowo- przedmiotowego na linii pacjent-lekarz/podmiot medyczny. Wykorzystanie panelu lekarza PUE ZUS, przez osoby dysponujące sposobnością wglądu do danych w nim zawartych dotyczących potencjalnego pacjenta, niepopartego imperatywem faktyczno-prawnym wynikającym z procesu leczenia sprawia, że funkcjonalność tego panelu mogłaby być wykorzystywana w sposób niekontrolowany i bezzasadny. PUODO podkreślił, że czynności przeglądania (np. zwolnień lekarskich) wyczerpują definicję procesu przetwarzania danych zawartą w art. 4 pkt 2 RODO, który to proces winien być realizowany zgodnie z przesłankami legalizującymi proces przetwarzania określonych w art. 6 i art. 9 ust. 2 RODO (odnośnie szczególnych kategorii danych osobowych). Organ stwierdził, że zebrany w sprawie materiał dowodowy wskazuje, że uczestnik postępowania [...] stycznia 2019 r., ani w okresie bezpośrednio poprzedzającym tę datę, nie tylko nie korzystał ze świadczeń medycznych skarżącej, ale również nie zwracał się do niej o wykonanie takiego świadczenia i wyraźnie zaprzeczył by tego dnia prosił o zweryfikowanie wystawionego wcześniej przez skarżącą zwolnienia lekarskiego i udzielenia mu informacji w tym zakresie. PUODO podniósł, że nie została spełniona żadna z przesłanek określonych w art. 6 RODO odnośnie kwestionowanego przez uczestnika postępowania nieuprawnionego dostępu do jego danych osobowych przetwarzanych za pośrednictwem PUE ZUS, znajdujących się w bazie danych ZUS. Wprawdzie skarżąca znała dane osobowe uczestnika postępowania (imię, nazwisko, nr PESEL) z uwagi na okoliczność, iż był jej mężem, niemniej jednak wykorzystała te dane w celach niezwiązanych z udzielaniem świadczeń medycznych, co potwierdził zebrany w sprawie materiał dowodowy. Jak bowiem wynika z ustalonego stanu faktycznego uczestnika postępowania nie korzystał z porad lekarskich swojej byłej żony [...] stycznia 2019 r. oraz w okresie bezpośrednio poprzedzającym tę datę. Organ podkreślił, że brak jest przepisów, które legalizowałyby takie wykorzystywanie danych, jakie miało miejsce w niniejszej sprawie, tj. celem uzyskania [...] stycznia 2019 r. dostępu do PUE ZUS przez skarżącą nieuzasadnionego względami medycznymi (w szczególności w zamiarze wystawienia, anulowania lub sprostowania zaświadczenia lekarskiego lub potwierdzenia prawdziwości zawartych w zaświadczeniu danych), w tym w celach prywatnych, bądź w ramach utrzymywania relacji o prywatnym charakterze. Na powyższą decyzję skarżąca wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżonej decyzji skarżąca zarzuciła: I. Naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.: 1. art. 7 k.p.a. w zw. z art. 8 § 1 k.p.a. w zw. z art. 77 §1 k.p.a. poprzez brak dokładnego wyjaśnienia stanu faktycznego: a) brak wyjaśnienia czy świadek M. S. widziała uczestnika postępowania w dniu [...] stycznia 2019 r. w przychodni [...]SPL i przyjęcie, że świadek nie jest pewna tego w sytuacji kiedy z złożonego do akt sprawy pisemnego oświadczenia wynika, że świadek widziała uczestnika postępowania w przychodni w tym dniu, a on jest stałym pacjentem skarżącej, tym samym bazowanie na protokole zeznań z innej sprawy gdzie świadek zeznała, że nie pamięta ww. okoliczności w ocenie skarżącej jest błędne i całkowicie dowolne, b) brak przeprowadzenia przez organ postępowania dowodowego uzasadniającego twierdzenie, że uczestnik postępowania nie spełniał przesłanek określonych w art 6 lub art. 9 RODO, a tym samym, brak udowodnienia (a nawet uprawdopodobnienia), że w sposób bezprawny przetwarza lub przetwarzała jego dane osobowe w sytuacji, w której skarżąca posiadała prawne podstawy do przetwarzaniu danych ww. osoby, ponieważ robiła to za jej zgodą i de facto w jej interesie, ponieważ świadczyła na rzecz niego pomoc lekarską, 2. art. 11 k.p.a. w kontekście całościowych naruszeń przedstawionych w pkt 1). II. Naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj.: 1. art 6 ust 1 lit c) i art 9 ust 2 lit h) RODO poprzez pominięcie, iż: a) skarżącą nie musiała posiadać pisemnej zgody na przetwarzanie danych osobowych uczestnika postępowania aby mogła dokonać przetworzenia zgodnie z prawem, b) podstawa prawna do przetwarzania danych osobowych uczestnika postępowania z art. 6. ust. 1. lit. c) oraz art. 9. ust. 2. lit. h) RODO konkretyzowały przepisy art. 54. ust. 1. i art. 55a. ust. 2. u.ś.p. 2. art 5 ust. 1 lit a i art 6 ust. 1 RODO poprzez przyjęcie, że skarżąca bezpodstawnie wykorzystała dane uczestnika postępowania. W oparciu o powyższe zarzuty skarżąca wniosła o: 1. uwzględnienie skargi i uchylenie w całości zaskarżonej decyzji i umorzenie postępowania administracyjnego w całości, względnie uwzględnienie skargi i uchylenie w całości zaskarżonej decyzji oraz orzeczenie co do istoty sprawy lub przekazanie sprawy do ponownego rozpoznania przez PUODO, 2. rozpoznanie sprawy na rozprawie i umożliwienie skarżącej wzięcia udziału w formie zdalnej za pośrednictwem urządzeń przekazujących obraz i dźwięk, 3. zasądzenie od organu na rzecz skarżącego zwrotu kosztów postępowania. W uzasadnieniu skargi skarżąca przedstawiła argumentację na poparcie powyższych zarzutów. Skarżąca podniosła, że korzystanie z PUE ZUS i przetwarzanie danych pacjentów, zawartych w systemie, należy do jej obowiązków zawodowych. W dniu zdarzenia przeglądała dane uczestnika postępowania celem sprawdzenia jego zwolnienia lekarskiego. Dokonała tego w jego obecności i na jego prośbę, tym samym za jego subiektywnie pojmowaną zgodą. Zdaniem skarżącej w związku z powyższym, dostęp do tych danych nie był nielegalny, gdyż odbywał się w prawnie uzasadnionym celu. Polegał on na sprawdzeniu danych przetwarzanych w celu wystawienia zwolnienia lekarskiego, przygotowanego w wyniku wcześniej udzielonych świadczeń zdrowotnych. Czynność realizowana była na wyraźną prośbę pacjenta. Skarżąca zwróciła uwagę, że każdy pacjent ma prawo dostępu do swoich danych osobowych, zarówno zawartych w dokumentacji medycznej jak i przetwarzanych w innych zbiorach - szczególnie urzędowych. Jest to cel uzasadniony, mieszczący się w granicach jej upoważnienia do przetwarzana danych i uprawnień dostępowych do systemu PUE ZUS. Skarżąca zaznaczyła, że uczestnik postępowania zjawił się w jej gabinecie, celem sprawdzenia danych zawartych w zwolnieniu lekarskim dotyczącym jego osoby, a skarżąca była lekarzem wystawiającym to zwolnienie. W odpowiedzi na skargę organ wniósł o oddalenie skargi, podtrzymując argumentację zawartą w zaskarżonej decyzji. W piśmie procesowym z dnia 14 maja 2024 r. skarżąca podniosła, że w niniejszej sprawie nie powinna posiadać statusu strony, albowiem nie posiada legitymacji biernej. Za ewentualne naruszenie danych osobowych odpowiada administrator, a nie pracownik administratora. Do rzekomego naruszenia danych doszło w dniu [...] stycznia 2019 r. w przychodni [...]SPL. Skarżąca była wówczas zatrudniona jako personel medyczny administratora danych, tj. przychodni [...]SPL. Była tam zatrudniona jako osoba fizyczna na umowę zlecenie od [...] marca 2012 do [...] września 2019 r. Nie prowadziła własnej działalności gospodarczej i w związku z tym nie pełniła roli administratora danych. Skarżąca podniosła również, że PUODO nie dokonało przeglądu Panelu Lekarza w PUE ZUS, który wyraźnie wskazuje, żee lekarz wchodzi na swój panel, a nie w konto PUE pacjenta, oraz że lekarz może wykonywać wiele czynności niewymagających wpisów w historii. Ponadto skarżąca wniosła o przeprowadzenie dowodu z: - wydruku wiadomości od uczestnika postępowania z [...] lutego 2019 r., na fakt jej treści, a przede wszystkim korzystania przez niego z pomocy przychodni/lekarza skarżącej po [...] stycznia 2019 r., - wydruku 5 stron PUE ZUS panelu lekarza, - pisma z przychodni [...]SPL z dnia 1 kwietnia 2021 r., na fakt treści, a przede wszystkim okresu zatrudnia skarżącej w przychodni. Uczestnik postępowania w piśmie procesowym z dnia 15 maja 2024 r. wniósł o oddalenie skargi. W piśmie tym wskazał, że w związku z naruszeniem przez skarżącą RODO, w wyniku złożonej skargi przeciwko niej Okręgowy Rzecznik Odpowiedzialności Zawodowej Okręgowej Izby Lekarskiej w [...] na podstawie postanowienia z dnia [...] kwietnia 2024 r., sygn. akt [...], postanowił o zamknięciu prowadzonego względem skarżącej postępowania wyjaśniającego i przekazaniu akt sprawy do Okręgowego Sądu Lekarskiego w [...] wraz z wnioskiem o ukaranie. Skarżąca w piśmie procesowym z dnia 23 lipca 2024 r., stanowiącym replikę na odpowiedź organu na skargę, podtrzymała zarzuty skargi. Skarżąca wniosła również o przeprowadzenie dowodu z postanowienia Okręgowego Sądu Lekarskiego w [...] z dnia [...] czerwca 2024 r., sygn. akt [...], umarzającego postępowanie w powyższej sprawie przeciwko jej osobie. W piśmie procesowym z dnia [...] września 2024 r. uczestnik postępowania podtrzymał swoje dotychczasowe stanowisko w sprawie oraz wniósł o przeprowadzenie dowodu z dokumentów w postaci: - kopii postanowienia Okręgowego Rzecznika Odpowiedzialności Zawodowej w [...] z dnia [...] stycznia 2024 r. o przedstawieniu skarżącej zarzutów, - wydruku ze strony internetowej - 2 karty, - wniosku skarżącej z dnia [...] lutego 2024 r. złożonego do Okręgowego Rzecznika Odpowiedzialności Zawodowej w [...], wobec konieczności ustosunkowania się do stanowiska zaprezentowanego przez skarżącą w jej piśmie. Uczestnik postępowania podniósł, że skarżąca wraz z pismem z dnia 23 lipca 2024 r. składając do Sądu odpis postanowienia Okręgowego Sądu Lekarskiego w [...] z dnia [...] czerwca 2024 r. umarzającego postępowanie wszczęte i prowadzone przez Okręgowego Rzecznika Odpowiedzialności Zawodowej w [...], w treści tego pisma celowo nie wskazuje, iż przyczyną umorzenia tego postępowania było przedawnienie karalności, a nie uniewinnienie od przedstawionych jej zarzutów. Ponadto uczestnik postepowania podniósł, że w toku postępowania prowadzonego przez Okręgowego Rzecznika Odpowiedzialności Zawodowej w [...] skarżąca złożyła wniosek o nieudostępnianie mu jej danych dotyczących m.in. jej zawodu. Dane te z uwagi na wykonywany przez nią zawód są powszechnie dostępne w Internecie. Jednocześnie wniosek ten jest dowodem na to, że skarżąca posiada świadomość, że dane osobowe winny być szczególnie chronione, a mimo to dopuściła się świadomego naruszenia przetwarzania jego danych osobowych. Na rozprawie w dniu 22 stycznia 2025 r. Sąd postanowił: - oddalić wnioski dowodowe skarżącej zawarte w pismach procesowych z dnia [...] maja 2024 r. oraz z dnia [...] lipca 2024 r.; - oddalić wniosek dowodowy uczestnika postępowania zawarty w piśmie procesowym z dnia [...] września 2024 r. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r. poz. 2492, z późn. zm.), sądy administracyjne sprawują wymiar sprawiedliwości m. in. przez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Skarga oceniana w świetle powyższych kryteriów zasługuje na uwzględnienie, albowiem organ wydając zaskarżoną decyzję naruszył przepisy postępowania w stopniu mogącym mieć istotny wpływ na wynik sprawy. Zaskarżoną decyzją organ udzielił skarżącej upomnienia za naruszenie art. 5 ust. 1 lit a oraz art. 6 ust. 1 RODO polegające na wykorzystaniu [...] stycznia 2019 r. danych osobowych uczestnika postępowania w zakresie imienia, nazwiska oraz numeru PESEL, bez podstawy prawnej w celu uzyskania dostępu do jego danych osobowych zlokalizowanych na PUE ZUS. Zauważyć należy, że zaskarżona decyzja została wydana w wyniku wyroku tutejszego Sądu z dnia 15 października 2021 r., sygn. akt II SA/Wa 1943/21, którym uchylono decyzję PUODO z dnia [...] marca 2021 r. Decyzją tą organ również udzielił skarżącej upomnienia za naruszenie art. 5 ust. 1 lit. a oraz art. 6 ust. 1 RODO polegające na wykorzystaniu [...] stycznia 2019 r. danych osobowych uczestnika postępowania, w zakresie imienia, nazwiska oraz numeru PESEL, bez podstawy prawnej w celu uzyskania dostępu do jego danych osobowych zlokalizowanych na PUE administrowanej przez ZUS. Dokonując kontroli legalności zaskarżonej w niniejszej sprawie decyzji konieczne zatem jest zbadanie, czy organ rozpatrując sprawę ponownie zastosował się do oceny prawnej oraz wskazań do dalszego postępowania zawartych w powyższym wyroku. Sąd rozpoznający skargę wniesioną w niniejszej sprawie jest bowiem związany oceną prawną i wytycznymi zawartymi we wskazanym wyżej prawomocnym wyroku tutejszego Sądu, który wyznaczył kierunek postępowania w niniejszej sprawie. Zgodnie z art. 153 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935), dalej "p.p.s.a.", ocena prawna i wskazania co do dalszego postępowania wyrażone w orzeczeniu sądu wiążą w sprawie organy, których działanie, bezczynność lub przewlekłe prowadzenie postępowania było przedmiotem zaskarżenia, a także sądy, chyba że przepisy prawa uległy zmianie. Jak wyjaśnił Naczelny Sąd Administracyjny w wyroku z 25 marca 2014 r., sygn. akt II GSK 55/13, obowiązek ten może być wyłączony tylko w przypadku istotnej zmiany stanu prawnego lub faktycznego, a także po wzruszeniu wyroku. Ocena prawna może dotyczyć stanu faktycznego, wykładni przepisów prawa materialnego i procesowego, prawidłowości korzystania z uznania administracyjnego, jak i kwestii zastosowania określonego przepisu prawa, jako podstawy do wydania decyzji. W pojęciu "ocena prawna" mieści się przede wszystkim wykładnia przepisów prawa materialnego i prawa procesowego. Ocena prawna dotyczy dotychczasowego postępowania w sprawie, zaś "wskazania" określają sposób postępowania organów w przyszłości i wynikają z uzasadnienia wyroku. Wskazania stanowią więc konsekwencję oceny prawnej, zwłaszcza oceny przebiegu postępowania przed organami administracyjnymi i rezultatu tego postępowania w postaci materiału procesowego zebranego w sprawie. Ich celem jest zapobieżenie w przyszłości błędom, stwierdzonym przez sąd administracyjny w trakcie kontroli zaskarżonego orzeczenia. Przepis art. 153 p.p.s.a. ma charakter bezwzględnie obowiązujący, wobec czego ani organ administracji publicznej, ani sąd administracyjny orzekając ponownie w tej samej sprawie, nie może pominąć oceny prawnej wyrażonej wcześniej w orzeczeniu, gdyż ocena ta wiąże go w sprawie. Uregulowanie zawarte w art. 153 p.p.s.a. oznacza, że orzeczenie sądu administracyjnego wywiera skutki wykraczające poza zakres postępowania sądowoadministracyjnego, bo jego oddziaływaniem objęte jest także przyszłe postępowanie administracyjne w danej sprawie. Związanie samego sądu administracyjnego, w rozumieniu art. 153 p.p.s.a. oznacza, że nie może on formułować nowych ocen prawnych, które są sprzeczne z wyrażonym wcześniej poglądem, lecz zobowiązany jest do podporządkowania się mu w pełnym zakresie oraz konsekwentnego reagowania w razie stwierdzenia braku zastosowania się organu administracji publicznej do wskazań w zakresie dalszego postępowania (por. wyroki NSA: z 21 marca 2014 r., I GSK 534/12, LEX nr 1487724; z 15 stycznia 2014 r., II GSK 1762/12, LEX nr 1452730). Sąd uchylając wyrokiem z dnia 15 października 2021 r. decyzję PUODO z dnia [...] marca 2021 r. zarzucił organowi naruszenie przepisów postępowania w stopniu mogącym mieć istotny wpływ na wynik sprawy, tj. art. 10 § 1, art. 7, art. 77 § 1 k.p.a. Wskazania do dalszego postępowania zawarte w powyższym wyroku sprowadzają się do trzech kwestii. Po pierwsze Sąd wskazał, że organ "powinien sięgnąć do mobilnej wersji panelu lekarza, z której wynika, że każdy lekarz, który wystawił zaświadczenie lekarskie może dokonać jego przeglądu." Sąd zwrócił przy tym uwagę, że "Skarżąca, której w postępowaniu administracyjnym nie zapewniono w pełni czynnego udziału w sprawie, w pismach procesowych składanych do Sądu wskazywała bowiem, że z informacji uzyskanych z PUE ZUS (funkcjonalność dostępności w wersji mobilnej Panelu Lekarza) wynika, że Panel Lekarza umożliwia: wystawienie podpisanie zaświadczenia ZUS ZLA, wystawienie i wysłanie nowego zaświadczenia lekarskiego, przegląd zaświadczeń lekarskich, przegląd zaświadczeń lekarskich wystawionych przez danego lekarza. Skarżąca podnosiła również, że jakkolwiek podstawą prawną do wydania zaświadczenia jest, powoływana przez Prezesa UODO u.ś.p., to możliwość wykonania nadanych uprawnień stwarza PUE – Panel Lekarza, przez określone opcje w aplikacji systemu informatycznego, pozwalające na przeglądanie zaświadczeń, nie na koncie Pacjenta, a na Panelu Lekarza, bez możliwości wejścia na Panel Pacjenta. Skarżąca podkreśla ponadto, że pacjent, wyrażając zgodę na leczenie w przychodni, dokonując prawa wyboru konkretnego lekarza podstawowej opieki zdrowotnej, ma prawo leczyć się u każdego innego lekarza obecnego w przychodni, co czynił Wnioskodawca, korzystając z porad medycznych Skarżącej, wyrażając na to zgodę. Skarżąca jeszcze raz podkreśliła, że sprawdzenie wystawionych przez Skarżącą zaświadczeń lekarskich było poprzedzone świadczeniem medycznym wobec Wnioskodawcy - pacjenta, a cel przetwarzania i podstawa przetwarzania zostały zawarte w klauzuli informacyjnej Przychodni, którą pacjent podpisał." Po drugie Sąd wskazał, że PUODO "powinien ponadto zastanowić się, jakiego rodzaju szkodę poniósł Wnioskodawca, w związku z tym, że Skarżąca miała dostęp do Jego danych osobowych, oraz uwzględnić w tym zakresie datę rozwodu małżonków." Po trzecie Sąd podniósł, że "Niezbędne będzie ponadto ustalenie w toku ponownego rozpatrywania sprawy przez Prezesa UODO, na podstawie dowodów z korespondencji prowadzonej przez małżonków przy pomocy SMS, jak również innych dowodów, także tych załączonych przez Wnioskodawcę do pisma procesowego z [...] października 2021 r., czy Wnioskodawca korzystał z usług medycznych Skarżącej [...] stycznia 2019 r., jak i po tej dacie, tak aby możliwe było prawidłowe zastosowanie art. 4 pkt 2 RODO w związku z art. 5 ust. 1 lit. a) oraz art. 6 ust. 1 RODO i czy w związku z tym możliwe i niezbędne będzie skorzystanie z dyspozycji art. 58 ust. 2 lit. b RODO." Odnośnie kwestii będących przedmiotem drugiego z powyższych wskazań organ słusznie zauważył, że przedmiotem prowadzonego przez niego postępowania jest kwestionowany przez uczestnika postępowania proces przetwarzania jego danych osobowych dokonany [...] stycznia 2019 r. przez skarżącą. Organ słusznie zaznaczył, że przedmiotem tegego postępowania nie jest kwestia dotycząca relacji osobistych między stronami, w tym dotyczących ich sporów osobistych, dla których właściwy jest sąd powszechny. Prawidłowo też organ zauważył, że żaden przepis RODO ani ustawy z dnia o ochronie danych osobowych nie uprawnia go do podejmowania czynności, a w szczególności orzekania o poniesionej przez dany podmiot szkodzie w rozumieniu prawa cywilnego. Zgodzić się należy z organem, że roszczenia z tytułu naruszenia dóbr osobistych (m.in. o zadośćuczynienie pieniężne lub zapłatę odpowiedniej sumy pieniężnej na wskazany cel społeczny), mające charakter cywilny, mogą być dochodzone w drodze powództwa cywilnego przed właściwym miejscowo sądem powszechnym, a nie PUODO. W tym zakresie uznać zatem należy, że organ wypowiedział się co do kwestii, które, zdaniem Sądu wyrażonym w wyroku z dnia 15 października 2021 r., były istotne dla rozstrzygnięcia sprawy. Wyrażona w tej wypowiedzi ocena organu o braku jego właściwości w kwestiach dotyczących poniesionej przez dany podmiot szkody, jest prawidłowa. Zdaniem Sądu organ prawidłowo również wykonał wskazania Sądu dotyczące trzeciej z wymienionych wyżej kwestii. Zadaniem organu w tym zakresie było ustalenie, czy uczestnik postępowania korzystał w dniu [...] stycznia 2019 r. z usług medycznych skarżącej. Zagadnienie to było od początku postępowania sporne między skarżącą a uczestnikiem postępowania. Skarżąca twierdzi, że uczestnik postępowania był tego dnia w jej gabinecie, i kwestionowane przez niego przetwarzania danych osobowych odbywało się w jego obecności i na jego prośbę. Odnośnie tego problemu organ zebrał nowe dowody i dokonał ich oceny. Oprócz stanowisk stron co do tej kwestii organ uwzględnił następujące dowody: oświadczenie M. S., pielęgniarki pracującej w owym czasie w [...]SPL, wskazujące, że uczestnik postępowania był w dniu [...] stycznia 2019 r. w gabinecie skarżącej, protokół rozprawy głównej przed Sądem Rejonowym w [...] Wydział [...], sygn. akt [...], treść wiadomości SMS wysłanej przez uczestnika postępowania do skarżącej w dniu [...] stycznia 2019 r., rozkaz dzienny nr [...] Dowódcy Jednostki Wojskowej [...] z [...] września 2018 r., wyciąg z zajęć z języka angielskiego z [...] stycznia 2019 r., oświadczenie P. M. (żołnierza zawodowego w stopniu etatowym [...]), odpowiedzialnego za dyscyplinę i koordynowanie zajęć na tym kursie, w tym cotygodniowe rozliczenie obecności słuchaczy kursu u osób funkcyjnych [...]. Mając na uwadze, że stanowiska stron co do przedmiotowej kwestii są sporne, a także uwzględniając, że z części wymienionych wyżej dowodów wynikają przeciwne wnioski, PUODO dokonał oceny zebranych dowodów i wskazał fakty, które uznał za udowodnione, dowody, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Postępowanie organu w tym zakresie pozostawało w zgodzie z art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. Słusznie organ bowiem podniósł, że oświadczenie złożone w trakcie postępowania administracyjnego przez ówczesną pielęgniarkę [...]SPL M. S., wskazujące, iż była ona świadkiem obecności uczestnika postępowania w dniu [...] stycznia 2019 r. u skarżącej, nie znalazły potwierdzenia w zeznaniach tej osoby złożonych pod rygorem odpowiedzialności karnej na rozprawie głównej w sprawie przed Sądem Rejonowym w [...] Wydział [...]. Na rozprawie tej osoba ta zeznając jako świadek wskazała, że nie pamięta aby [...] stycznia 2019 r. uczestnik postępowania był [...]SPL. Zgodzić się też należy z organem, że treść przywoływanej przez skarżącą wiadomości SMS z [...] stycznia 2019 r. wysłanej do niej przez uczestnika postępowania nie potwierdza jednoznacznie obecności uczestnika postępowania w dniu [...] stycznia 2019 r. w gabinecie skarżącej. Wiadomość ta ma następującą treść "Powiedziałaś prawdę, nie jesteś od wypisywania recept (...). Zgadzam się dlatego wyszedłem a nie dlatego ze nie chciałaś mi pomoc". Istotne przy tym jest to, że uczestnik postepowania wyjaśnił, że treść tej wiadomości dotyczyła okoliczności sylwestra 2018/2019 i opuszczenia przez niego mieszkania skarżącej tego dnia. Prawidłowo organ ocenił, że decydujące znaczenie do ustalenia tego, czy uczestnik postępowania [...] stycznia 2019 r. korzystał z usług skarżącej, miały dowody przedłożone przez uczestnika postępowania wskazujące, iż tego dnia uczestniczył on w kursie języka angielskiego (uczestnik postępowania był wówczas żołnierzem zawodowym). Dowodami tymi były rozkaz dzienny nr [...] Dowódcy [...] z dnia [...] września 2018 r., wyciąg z zajęć oraz oświadczenie P. M.. Z dowodów tych wynika, że uczestnik postępowania w dniu [...] stycznia 2019 r. o godz. [...] przebywał na zajęciach w ramach kursu języka angielskiego. Istotne przy tym jest to, że skarżąca, oprócz oświadczenia M. S. oraz treści wiadomości SMS z [...] stycznia 2019 r. nie przedstawiła żadnego innego dowodu, który mógłby potwierdzić przedstawioną przez nią wersję wydarzeń. Zdaniem Sądu organ nieprawidłowo wykonał jednak pierwsze z opisanych wyżej wskazań co do dalszego postępowania, dotyczące analizy mobilnej wersji Panelu Lekarza, czym organ naruszył art. 153 p.p.s.a. Prowadzone ponownie przez PUODO postępowanie, w tym stanowisko skarżącej zabierane w toku postępowania, unaoczniły przy tym, że nie jest przez organ ustalone w sposób wyczerpujący, jaką w istocie operację na danych osobowych uczestnika postępowania, skutkującą wysłaniem do niego przez ZUS zawiadomienia z dnia [...] stycznia 2019 r., przeprowadziła skarżącą i z jakiej funkcji PUE ZUS wówczas ona skorzystała. Zauważyć należy, że stosownie do treści art. 54 ust. 1 u.ś.p. ZUS upoważnia do wystawiania zaświadczeń lekarskich o czasowej niezdolności do pracy z powodu choroby, pobytu w szpitalu albo innym zakładzie leczniczym podmiotu leczniczego wykonującego działalność leczniczą w rodzaju stacjonarne i całodobowe świadczenia zdrowotne albo o konieczności osobistego sprawowania opieki nad chorym członkiem rodziny lekarza, lekarza dentystę, felczera lub starszego felczera po złożeniu, w określonej w tym przepisie formie, oświadczenia, że zobowiązuje się do przestrzegania zasad orzekania o czasowej niezdolności do pracy i wykonywania obowiązków wynikających z przepisów ustawy i przepisów o ochronie danych osobowych. Zgodnie natomiast z art. 55a ust. 2 u.ś.p. ZUS w celu wystawienia zaświadczenia lekarskiego udostępnia bezpłatnie wystawiającemu zaświadczenie lekarskie na jego profilu informacyjnym: 1) dane zgromadzone w prowadzonych na podstawie ustawy o systemie ubezpieczeń społecznych: a) Centralnym Rejestrze Ubezpieczonych - pierwsze imię, nazwisko, datę urodzenia i adres zamieszkania ubezpieczonego, b) Centralnym Rejestrze Płatników Składek - nazwę skróconą oraz NIP lub numer PESEL albo serię i numer paszportu płatnika składek, jeżeli nie ma obowiązku posługiwania się NIP i nie nadano numeru PESEL, c) Centralnym Rejestrze Członków Rodziny Ubezpieczonych Uprawnionych do Ubezpieczenia Zdrowotnego - datę urodzenia chorego członka rodziny i stopień jego pokrewieństwa lub powinowactwa z ubezpieczonym; 2) informacje o wcześniejszych zaświadczeniach lekarskich wystawionych ubezpieczonemu, zgromadzone w rejestrze, o którym mowa w art. 55b ust. 1, oraz o zaświadczeniach, o których mowa w art. 59 ust. 8; 3) informacje, czy płatnik składek posiada profil informacyjny płatnika składek, o którym mowa w art. 58 ust. 1. Stosownie zaś do treści art. 55a ust. 3 u.ś.p. dane i informacje, o których mowa w ust. 2 pkt 1 lit. a i b oraz pkt 2 i 3, ZUS udostępnia po podaniu przez wystawiającego zaświadczenie lekarskie numeru PESEL ubezpieczonego albo serii i numeru paszportu, jeżeli ubezpieczonemu nie nadano numeru PESEL, a dane, o których mowa w ust. 2 pkt 1 lit. c, po podaniu numeru PESEL członka rodziny albo serii i numeru paszportu, jeżeli członkowi rodziny nie nadano numeru PESEL. Art. 58a ust. 1 u.ś.p. stanowi z kolei, że w przypadku gdy w zaświadczeniu lekarskim został popełniony błąd, wystawiający zaświadczenie lekarskie, który wystawił zaświadczenie lekarskie, w którym został popełniony błąd, albo inny wystawiający zaświadczenie lekarskie, w terminie 3 dni roboczych od dnia stwierdzenia błędu lub otrzymania informacji o stwierdzeniu błędu, w szczególności od płatnika składek, ubezpieczonego lub Zakładu Ubezpieczeń Społecznych, przekazuje na elektroniczną skrzynkę podawczą Zakładu Ubezpieczeń Społecznych, o której mowa w art. 55 ust. 2, odpowiednio: 1) informację o stwierdzeniu nieważności zaświadczenia lekarskiego, w którym został popełniony błąd, albo 2) informację, o której mowa w pkt 1, oraz nowe zaświadczenie lekarskie, zawierające identyfikator i datę jego wystawienia oraz dane i informacje, o których mowa w art. 55 ust. 3 pkt 2-10, zawarte w zaświadczeniu lekarskim, w którym został popełniony błąd, po sprostowaniu tego błędu - podpisane kwalifikowanym podpisem elektronicznym, podpisem zaufanym, podpisem osobistym albo z wykorzystaniem sposobu potwierdzania pochodzenia oraz integralności danych dostępnego w systemie teleinformatycznym udostępnionym bezpłatnie przez Zakład Ubezpieczeń Społecznych. Z powyżej zacytowanych przepisów wynika, że lekarz jest uprawniony do dostępu do danych osobowych osoby ubezpieczonej zgromadzonych na PUE ZUS w związku z wystawieniem jej zaświadczenia lekarskiego lub jego anulowaniem. Choć lekarz ma dostęp do danych zgromadzonych w PUE ZUS, to nie może korzystać z tego dostępu w sposób dowolny. Musi się to odbywać w zgodzie z przepisami u.ś.p. W niniejszej sprawie ZUS w dniu [...] stycznia 2019 r. skierował do uczestnika postępowania zawiadomienie o następującej treści: "W dniu 2019-01-[...] [...] lekarz M. D. (nr prawa wykonywania zawodu [...]) uzyskał dostęp do Twoich danych, nie zakończony wystawieniem zaświadczenia lekarskiego lub jego anulowaniem." Zauważyć należy, że z treści tego zawiadomienia nie wynika czy czynność, jaką dokonała skarżąca na PUE ZUS, wymagała wykorzystania imienia i nazwiska oraz numeru PESEL uczestnika postępowania, co organ zarzucił skarżącej udzielając jej upomnienia. Skarżąca w toku postepowania, wyjaśniając zdarzenie mające miejsce w dniu [...] stycznia 2019 r., w piśmie z dnia [...] czerwca 2020 r. wskazywała, że "Dlatego też w dacie [...].01.2019 r. moja aktywność na profilu PUE musiała wynikać z określonych czynności za zgodą i wiedzą skarżącego, któremu niejednokrotnie pomagałam jako lekarz w granicach przyznanych mi uprawnień oraz bliska osoba" (k. 12). W tym samym piśmie skarżąca wyjaśniała, że "Z wiadomości z NPI ZUS do skarżącego wynika, że [...].01.2019 dokonałam logowania na profilu PUE o godzinie [...], a więc w godzinach mojej pracy, co miało związek z wystawionymi wcześniej zwolnieniami lekarskimi dla P. D.." (k. 13). Dalej podała: "(...) dostęp przeze mnie do danych osobowych P.D. zlokalizowanych na Platformie Usług Elektronicznych Zakładu (eZLA PUE), nie nosił cech nieprawidłowości w procesie przetwarzania." (k. 13). W piśmie z dnia 19 kwietnia 2022 r. skarżąca wskazywała zaś, że "W dniu zdarzenia przeglądałam dane Skarżącego celem sprawdzenia jego zwolnienia lekarskiego" (k. 197). Następnie podała: "Byłam lekarzem wystawiającym owo zwolnienie. Z tego powodu miałam możliwość dokonania weryfikacji treści tego zwolnienia i udzielenia pacjentowi informacji zawartych na tymże zwolnieniu" (k. 198). W toku postępowania przed Sądem w piśmie procesowym z dnia 14 maja 2024 r. skarżąca podnosiła, że "Zwracam również uwagę, że - PUODO nie przeglądnęło panelu lekarz w ZUS PUE które wyraźnie wskazuje że lekarz wchodzi na swój panel a nie w konto PUE pacjenta, że lekarz może wykonywać wiele czynności, nie wymagających wpisów w historii, co również zostało zawarte w piśmie przychodni [...]SPL". Z zawiadomienia ZUS z dnia [...] stycznia 2019 r. nie wynika z jakiej funkcji dostępnej PUE ZUS skarżąca skorzystała w dniu [...] stycznia 2019 r. o godz. [...]. Kwestii tej organ nie ustalał. Nie ustalał również, w jakiego rodzaju sytuacjach ZUS kieruje tego typu zawiadomienia. Rozpatrując sprawę po wyroku z dnia 15 października 2021 r. organ dołączył do akt sprawy wydruk ze strony internetowej ZUS zawierający informację o Panelu Lekarza. Informacje te są dość ogólne i w istocie nie obrazują różnych funkcji Panelu Lekarza. W zaskarżonej decyzji organ stwierdził zaś, że uprawnienie wynikające z Panelu Lekarza jako funkcjonalności PUE ZUS nie ma mocy bezwzględnej i nie może być realizowane w dowolny sposób i w dowolnym terminie, uzależnionym tylko od woli lekarza. Organ podniósł, że uprawnienie to winno być realizowane, tylko w sytuacji uzasadnionej względami medycznymi, tj. np. udzieleniem świadczenia medycznego, i dodatkowo winna wynikać z udokumentowanego zdarzenia podmiotowo- przedmiotowego na linii pacjent-lekarz/podmiot medyczny. PUODO stwierdził też, że czynności przeglądania (np. zwolnień lekarskich) wyczerpuje definicję procesu przetwarzania danych zawartą w art. 4 pkt 2 RODO, który to proces winien być realizowany zgodnie z przesłankami legalizującymi proces przetwarzania określonych w art. 6 i art. 9 ust. 2. Taka ocena organu nie została jednak poprzedzona dokładną analizą różnych funkcji dostępnych w Panelu Lekarza. Na stronie internetowej ZUS dość szczegółowo opisane zostały wszystkie funkcje mobilnej wersji Panelu Lekarza (https://www.[...]). Ze strony tej wynika, że funkcjonalności dostępne w wersji mobilnej panelu lekarza to: - wystawienie zaświadczenia ZUS ZLA - wystawienie, podpisanie i wysłanie nowego zaświadczenia lekarskiego, - przegląd zaświadczeń lekarskich - przegląd zaświadczeń lekarskich wystawionych przez danego lekarza, - dokumenty wysłane - przegląd dokumentów ZLA, AZLA i UZLA wysłanych do ZUS, - zaświadczenia lekarskie pacjenta - przegląd zaświadczeń lekarskich wystawionych pacjentowi przez różnych lekarzy, - wnioski o rehabilitację leczniczą pacjenta - przegląd wniosków o rehabilitację leczniczą [...] wystawionych pacjentowi przez różnych lekarzy, - moje dane - umożliwia zalogowanemu użytkownikowi przeglądanie danych lekarza, - zmień miejsce udzielania świadczeń zdrowotnych - pozwala lekarzowi na zmianę miejsca udzielania świadczeń zdrowotnych wykorzystywanego przy wystawianiu zaświadczeń lekarskich. Na uwagę zasługują szczegółowe dane dotyczące dwóch funkcji Panelu Lekarza: "Zaświadczenia lekarskie pacjenta" oraz "Przegląd zaświadczeń lekarskich". Ze strony internetowej https://www.[...] wynika, że funkcja "Zaświadczenia lekarskie pacjenta" prezentuje zaświadczenia lekarskie ZUS ZLA wystawione wybranemu pacjentowi w wybranym okresie przez różnych lekarzy. Lekarz może wyszukać pacjenta po numerze PESEL lub serii i numerze paszportu. Dostępne funkcjonalności to: - Wystawienie nowego zaświadczenia dla wyszukanego pacjenta (przycisk Nowe zaświadczenie), - Anulowanie wybranego zaświadczenia (przycisk Anuluj zaświadczenie) - przed anulowaniem zostaną wyświetlone szczegóły zaświadczenia. Funkcja jest dostępna, jeśli lekarz ma aktualnie prawo wystawiania zaświadczeń lekarskich, gdy od momentu wystawienia ZUS ZLA nie upłynęła zadana parametrem liczba dni. - Utworzenie nowego zaświadczenia na podstawie wybranego anulowanego zaświadczenia (przycisk Utwórz ZUS ZLA na podstawie anulowanego) - przed wystawieniem zostaną wyświetlone szczegóły zaświadczenia, - Utworzenie nowego zaświadczenia dla innego płatnika na podstawie wybranego zaświadczenia (przycisk Utwórz ZUS ZLA dla innego płatnika) - przed wystawieniem zostaną wyświetlone szczegóły zaświadczenia. Opcja niedostępna dla lekarza, który nie ma aktualnie prawa wystawiania zaświadczeń lekarskich. Nowe zaświadczenie będzie zawierało identyczne dane co wybrane zaświadczenie z tabeli, z wyjątkiem serii i numeru zaświadczenia lekarskiego, daty wystawienia i danych płatnika. - Wystawienie innego dokumentu (ZAS-7, ZAS-9) dla pacjenta (przycisk Nowy dokument na podstawie ZUS ZLA). W tworzonym dokumencie zostaną automatycznie uzupełnione dane identyfikacyjne i adresowe pacjenta. - Drukowanie/podgląd wybranego zaświadczenia lekarskiego (przycisk Drukowanie/podgląd) z możliwością wydrukowania wielu zaświadczeń naraz poprzez zaznaczenie ich w kolumnie Wybór. Zakres prezentowanych w tej funkcji danych to: - Okres niezdolności do pracy od-do, - Numer statystyczny choroby, - Nazwa choroby, - Identyfikator lekarza, który wystawił zaświadczenie, - Identyfikator płatnika, dla którego zostało wystawione zaświadczenie, - Status zaświadczenia. Ze strony https://www[...] wynika również, że funkcja "Przegląd zaświadczeń lekarskich" prezentuje zaświadczenia lekarskie wystawione przez lekarza dla różnych pacjentów. Widok jest podzielony na dwie zakładki: - Zaświadczenia bieżące (wystawione, ale jeszcze niezapisane w KSI), - Zaświadczenia w ZUS (zapisane w KSI). Dostępne funkcjonalności to: - Wystawienie nowego zaświadczenia dla pacjenta, którego zaświadczenie jest wybrane na liście (przycisk Nowe zaświadczenie), - Podgląd szczegółów wybranego zaświadczenia (przycisk Szczegóły zaświadczenia), - Anulowanie wybranego zaświadczenia (przycisk Anuluj zaświadczenia), - Utworzenie nowego zaświadczenia na podstawie wybranego anulowanego (przycisk Utwórz ZUS ZLA na podstawie anulowanego), - Utworzenie nowego zaświadczenia dla innego płatnika na podstawie wybranego (przycisk Utwórz ZUS ZLA dla innego płatnika), - Wyszukanie zaświadczeń pacjenta, którego zaświadczenie jest wybrane na liście (przycisk Zaświadczenia pacjenta), - Wyszukanie zaświadczeń pacjenta wystawionych przez konkretnego asystenta medycznego (pole listy Asystent nad tabelą), - Wydrukowanie kopii wybranego zaświadczenia dla płatnika (przycisk Drukuj egzemplarz dla płatnika) z możliwością wydrukowania wielu zaświadczeń naraz poprzez zaznaczenie ich w kolumnie Wybór, - Podgląd korekty ZUS ZLA/K dla wybranego skorygowanego zaświadczenia (przycisk Podgląd korekty ZUS ZLA/K, tylko w zakładce "Zaświadczenia w ZUS"), - Wystawienie innego dokumentu (ZAS-7, ZAS-9) dla pacjenta (przycisk Nowy dokument na podstawie ZUS ZLA). W tworzonym dokumencie zostaną automatycznie uzupełnione dane identyfikacyjne i adresowe pacjenta. - Zamówienie danych archiwalnych – funkcjonalność dostępna z poziomu zakładki Zaświadczenia w ZUS. Zamówione dane archiwalne będą dostępne w PUE po upływie maksymalnie 48 h. Użytkownik zostanie powiadomiony o zrealizowaniu zamówienia na dane archiwalne - otrzyma wiadomość na swoje konto w PUE (Panel ogólny/Dokumenty i wiadomości/Wiadomości). Zamówione dane archiwalne będą dostępne przez 30 dni. Po tym okresie zostaną usunięte z widoku. Maksymalny okres, za jaki można zamówić dane, wynosi 1 rok. Zakres prezentowanych danych to : - Seria i numer zaświadczenia, - Data wystawienia zaświadczenia, - Miejsce wystawienia zaświadczenia, - Imię i nazwisko ubezpieczonego, dla którego zostało wystawione zaświadczenie, - Identyfikator płatnika składek, dla którego zostało wystawione zaświadczenie, - Status, - Asystent medyczny, który wystawił zaświadczenie w imieniu lekarza, Z informacji na wskazanej wyżej stronie internetowej nie wynika, aby skorzystanie z funkcji "Przegląd zaświadczeń lekarskich" wymagało wprowadzenia numeru PESEL pacjenta, tak jak w przypadku funkcji "Zaświadczenia lekarskie pacjenta". Funkcja ta jest w istocie swego rodzaju podręcznym archiwum lekarza obejmującym informacje o wystawionych przez niego zaświadczeniach lekarskich różnym pacjentom. W momencie wystawienia zaświadczenia lekarskiego lekarz niewątpliwie przetwarza dane osobowe pacjenta zgromadzone w PUE ZUS. Niewątpliwie też uprawnienie lekarza do przetwarzania danych osobowych pacjentów obejmuje wystawienie lub anulowanie zaświadczenia lekarskiego. Informacje o wystawionym przez lekarza zaświadczeniu lekarskim są jednak automatycznie umieszczane w Panelu Lekarza w funkcji "Przegląd zaświadczeń lekarskich" i są one dostępne dla lekarza przez cały czas. Lekarz w tej funkcji nie uzyskuje dostępu do danych osobowych pacjenta innych, niż te które przetwarzał w związku z wystawieniem zaświadczenia lekarskiego. Trudno uznać, że podgląd szczegółów danego zwolnienia lekarskiego, które są dostępne w Panelu Lekarza, w każdym przypadku winien być uzasadniony udokumentowanym zdarzeniem podmiotowo-przedmiotowy na linii pacjent-lekarz. Przy takim podejściu uznać bowiem by należało, że lekarz jest uprawniony do przechowywania danych osobowych pacjentów w postaci informacji o wystawionych im zaświadczeniach lekarskich, jednakże nie byłby uprawniony do przeglądania tych danych, chociażby po to aby wyszukać i wydrukować na życzenie pacjenta konkretne zaświadczenie lekarskie. Wydaje się, że nie jest przy tym możliwe przeglądanie danych zawartych w "Przeglądzie zaświadczeń lekarskich", w celu wyszukania konkretnego zaświadczenia lekarskiego, nawet w sytuacji gdy jest to podyktowane zdarzeniem podmiotowo-przedmiotowy na linii pacjent-lekarz, np. w celu anulowania tego zaświadczenia, bez wglądu w informacje o innych zaświadczeniach lekarskich wystawionych przez lekarza innym pacjentom. Z informacji na wskazanej wyżej stronie internetowej wynika bowiem, że informacje o wystawionych przez lekarza zaświadczeniach lekarskich umieszczane są zbiorczo, bez podziału na poszczególnych pacjentów. Nie jest też jasne, czy w sytuacji gdy lekarz dokonuje przeglądu wystawionych przez siebie zaświadczeń lekarskich i sprawdza szczegóły wystawionego przez siebie zaświadczenia lekarskiego ZUS kieruje zawiadomienia tego typu, jak zawiadomienie z dnia [...] stycznia 2019 r. wysłane do uczestnika postępowania. Ze zgromadzonych przez organ dowodów nie wynika, z jakiej funkcji Panelu Lekarza skarżąca skorzystała w dniu [...] stycznia 2019 r. Wiadomym jest, że zdarzenie to spowodowało wysłanie przez ZUS zawiadomienia do uczestnika postępowania. Z zawiadomienia tego nie wynika jednak, jaką konkretnie operację dokonała skarżąca, z jakiej funkcji Panelu Lekarza korzystała i jakie dane osobowe uczestnika postępowania przetwarzała w ten sposób. Zarzut organu wskazujący, że nieprawidłowości w przetwarzaniu danych osobowych uczestnika postępowania uzasadniające udzielenie skarżącej upomnienia polegały na wykorzystaniu m.in. jego numeru PESEL nie znajduje potwierdzenia w żadnym ze zgromadzonych w sprawie dowodów. Z opisanej wyżej strony internetowej, tak jak już podniesiono, wynika zaś, że dostęp do "Przeglądu zaświadczeń lekarskich" nie wymaga użycia numeru PESEL pacjenta. Konieczne jest w tej sytuacji dokonanie dodatkowych ustaleń i zgromadzenia nowych dowodów. Zdaniem Sądu niezbędne jest zwrócenie się do ZUS o wskazanie, jaką operację skarżąca dokonała w dniu [...] stycznia 2019 r. o godz. [...], z jakiej funkcji Panelu Lekarza skarżąca wówczas skorzystała i czy operacja ta wymagała wykorzystania imienia i nazwiska oraz numeru PESEL uczestnika postępowania. Jeżeli ustalenie tych danych nie będzie możliwe z uwagi na upływ czasu, niezbędne jest wyjaśnienie, w jakich sytuacjach ZUS kieruje do pacjentów zawiadomienia tego rodzaju, jak wysłane do uczestnika postępowania w dniu [...] stycznia 2019 r., a także skorzystanie z jakiej funkcji dostępnej w Panelu Lekarza, czy też przetwarzanie jakich danych osobowych pacjenta, powoduje wysłanie takiego zawiadomienia. Organ winien ustalić, czy zdarzeniem powodującym skierowanie takiego zawiadomienia do pacjenta jest przeglądanie przez lekarza wystawionego przez niego zaświadczenia lekarskiego poprzez funkcję "Przegląd zaświadczeń lekarskich". Dopiero po takich ustaleniach organ powinien ocenić, czy kwestionowane przez uczestnika postępowania przetwarzanie jego danych osobowych przez skarżącą było uprawnione w świetle przepisów RODO i rozważać zastosowanie w sprawie środków naprawczych. Wyjaśnić należy, że zgodnie z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziałach 4-7 i 11, stosuje się ustawę z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego. Postępowaniami, o których mowa w rozdziale 7 ustawy są postępowania w sprawie naruszenia przepisów o ochronie danych osobowych, do których zalicza się postępowania prowadzone w ramach realizacji przez PUODO zadań i uprawnień organu nadzorczego określonych w art. 57 i art. 58 RODO. Obowiązek stosowania przepisów k.p.a. oznacza, że organ nadzorczy w postępowaniu poprzedzającym wydanie decyzji administracyjnej zobowiązany jest kierować się, określonymi w k.p.a., ogólnymi zasadami postępowania oraz przepisami określającymi jego obowiązki w postępowaniu dowodowym. Stosownie do treści art. 7 k.p.a. w toku postępowania organy administracji publicznej stoją na straży praworządności, z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Przepis art. 77 § 1 k.p.a. obliguje zaś do wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego. Na podstawie art. 80 k.p.a. organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. Z kolei art. 11 oraz art. 107 § 1 pkt 6 i § 3 k.p.a. nakazują należycie umotywować podjęte rozstrzygnięcie. Uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. Wynikającą z art. 107 § 3 k.p.a. rolą uzasadnienia jest objaśnienie toku myślenia, który doprowadził organ administracji do zastosowania lub niezastosowania przepisu prawa w konkretnej sprawie (zob. J. Borkowski [w:] Kodeks postępowania administracyjnego, Komentarz, B. Adamiak, J. Borkowski, Warszawa 2012 r., str. 441). W sferze faktów (uzasadnienia faktycznego) chodzi tu o wyjaśnienie okoliczności wskazujących na potrzebę lub konieczność wydania decyzji w danej sprawie i wobec określonych podmiotów oraz wpływu tych okoliczności na treść rozstrzygnięcia. W sferze prawa (uzasadnienia prawnego) chodzi zaś o wskazanie obowiązującej normy i jej znaczenia ustalonego w drodze wykładni (zob. J. Zimmermann, Motywy decyzji administracyjnej i jej uzasadnienie, Warszawa 1981 r., str. 118 – 122). Jak przyjmuje się w orzecznictwie Naczelnego Sądu Administracyjnego (zob. np. wyroki z 6 października 2020 r. sygn. akt I OSK 3235/18, z 24 kwietnia 2018 r. sygn. akt I OSK 1351/16 – niepublikowane; dostępne: https://orzeczenia.nsa.gov.pl), do naruszenia art. 107 § 3 k.p.a. dochodzi wtedy, gdy uzasadnienie decyzji nie zawiera wszystkich elementów wymienionych w tym przepisie, albo gdy mimo formalnej poprawności jego treść nie pozwala na skontrolowanie poprawności rozstrzygnięcia sprawy, a tym samym czyni w stopniu istotnym wątpliwym poprawność przeprowadzenia postępowania wyjaśniającego w sprawie. W związku z tym należy stwierdzić, że zaskarżona decyzja została wydana z naruszeniem art. 7, art. 77 § 1 i art. 80 k.p.a., a jej uzasadnienie nie odpowiada wymogom określonym w art. 107 § 3 k.p.a. Naruszenie ww. przepisów mogło mieć istotny wpływ na wynik sprawy. Nie wszystkie okoliczności istotne dla rozstrzygnięcia niniejszej sprawy zostały bowiem przez organ prawidłowo ustalone i ocenione. Wobec tego konieczne było uchylenie zaskarżonej decyzji. Nie jest zasadny zarzut skarżącej wskazujący, że nie była ona administratorem danych osobowych uczestnika postępowania, a administratorem tym jest zatrudniająca ją w owym czasie przychodnia. Wyjaśnić należy, że zgodnie z art. 4 pkt 7 RODO "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Uprawnienia do wystawiania zaświadczeń lekarskich, w tym do związanego z tym przetwarzania danych osobowych osób ubezpieczonych, przysługują lekarzom, a nie zatrudniającym ich placówkom. W takiej sytuacji to lekarz, a nie zatrudniający go podmiot ustala cele i sposoby przetwarzania danych osobowych. Niewątpliwie zatem to skarżąca była administratorem danych osobowych uczestnika postępowania. Sąd nie uwzględnił wniosków dowodowych skarżącej zawartych w pismach procesowych z dnia [...] maja 2024 r. oraz z dnia [...] lipca 2024 r. oraz wniosku dowodowego uczestnika postepowania zawartego w piśmie procesowym z dnia [...] września 2024 r. Wyjaśnić należy, że zgodnie z art. 106 § 3 k.p.a. sąd może z urzędu lub na wniosek stron przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. W trybie tego przepisu można przeprowadzić dowód wyłącznie z dokumentów. Za dokument nie można uznać zaś wydruków z aplikacji mobilnej Panel Lekarza przedstawionych przez skarżącą przy piśmie procesowym z dnia 14 maja 2024 r. Z kolei pismo [...]SPL z dnia [...] kwietnia 2021 r. oraz treść wiadomości SMS z dnia [...] lutego 2019 r. znajdują się już w aktach administracyjnych. Wydruk ze strony internetowej z danymi skarżącej jako lekarza, z którego uczestnik postępowania w piśmie z dnia 6 września 2024 r. wnosił o przeprowadzenie dowodu, nie jest również dokumentem. Pozostałe dowody, których przeprowadzenia domagali się skarżąca oraz uczestnik postępowania obejmujące dokumenty związane z postępowaniem dyscyplinarnym skarżącej nie były niezbędne do wyjaśnienia istotnych wątpliwości w sprawie. Ponowne rozpoznanie sprawy winno nastąpić z uwzględnieniem powyższych uwag. Mając powyższe na uwadze Sąd, na podstawie art. 145 § 1 pkt 1 lit. c p.p.s.a., uchylił zaskarżoną decyzję. O kosztach postępowania w pkt 2 sentencji wyroku, na które złożyło się wynagrodzenie pełnomocnika (480 zł), wpis od skargi (200 zł) oraz opłata od pełnomocnictwa (17 zł), Sąd orzekł w myśl art. 200 w zw. z art. 205 § 2 p.p.s.a. w zw. z § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz. U. 2023 r., poz. 1964, z późn. zm.).