III OSK 2892/21

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Rafał Stasikowski (spr.) Sędziowie: sędzia NSA Roman Ciąglewicz sędzia NSA Leszek Kiermaszek po rozpoznaniu w dniu 15 stycznia 2021 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej sprawy ze skargi kasacyjnej A. Z. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 3 marca 2020 r., sygn. akt II SA/Wa 1353/19 w sprawie ze skargi A. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [..] kwietnia 2019 r. nr [..] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną. Wyrokiem z dnia 3 marca 2020 r., sygn. akt II SA/Wa 1353/19 Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę A. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [..] kwietnia 2019 r. w przedmiocie przetwarzania danych osobowych. Wyrok zapadł w następującym stanie faktycznym i prawnym. A.Z. w dniu 2 lipca 2018 r. złożyła do Prezesa Urzędu Ochrony Danych Osobowych skargę na niezgodne z prawem przetwarzanie jej danych osobowych przez Specjalistyczny Psychiatryczny Zespół Opieki Zdrowotnej im. [..] w J. Wnioskodawczyni zarzuciła, że podmiot udzielający świadczeń zdrowotnych udostępnił jej ówczesnemu mężowi – W. Z., bez jej zgody, dokument - zaświadczenie, zawierające "jej pełne dane osobowe" oraz informacje o jej stanie zdrowia, z którego wynikało z niego, że skarżąca wymaga leczenia psychiatrycznego. Dyrektor Specjalistycznego Psychiatryczny Zespołu Opieki Zdrowotnej [..] w J., zwanego dalej SPZOZ w piśmie z 6 listopada 2018 r. wyjaśnił, że w dniu 11 lutego 2018 r. A.Z. została przywieziona do szpitala przez pogotowie ratunkowe w asyście policji. Lekarz konsultujący pacjentkę na Izbie Przyjęć stwierdził, że nie zagraża ona bezpośrednio własnemu życiu, zdrowiu albo zdrowiu innych osób i w związku z tym nie ma podstaw do przyjęcia skarżącej do szpitala bez jej zgody, niemniej jej dotychczasowe zachowanie wskazuje, że nieprzyjęcie A. Z. do szpitala spowoduje znaczne pogorszenie jej stanu zdrowia psychicznego. W z związku z tym wydał W. Z. - jej ówczesnemu mężowi, dokument (zaświadczenie), że wymaga ona leczenia psychiatrycznego. Prezes Urzędu Ochrony Danych Osobowych zaskarżoną decyzją z dnia [..] kwietnia 2019 r. odmówił uwzględnienia żądania skarżącej. Organ podał, że SPZOZ nie można zarzucić niezgodnego z prawem przetwarzania danych osobowych A.Z. oraz danych dotyczących jej stanu zdrowia. Odnosząc się do zarzutu skarżącej, że SPZOZ niezgodnie z prawem udostępnił jej mężowi dokument wskazujący na potrzebę jej leczenia w szpitalu psychiatrycznym, Prezes Urzędu Ochrony Danych Osobowych powołał się na art. 23 ust. 1 pkt 2 i art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922). Organ wyjaśnił, że według art. 29 ust. 1 i ust. 2 ustawy z 19 sierpnia 1994 r. o ochronie zdrowia psychicznego (Dz.U. z 2017 r. poz. 882), małżonek osoby chorej psychicznie, która nie wyraża zgody na przyjęcie do szpitala psychiatrycznego, a jej dotychczasowe zachowanie wskazuje na to, że nieprzyjęcie do szpitala psychiatrycznego spowoduje znaczne pogorszenie stanu jej zdrowia psychicznego może wystąpić do sądu opiekuńczego z wnioskiem o jej umieszczenie w szpitalu psychiatrycznym. Z przepisu art. 30 ust. 1 tej ustawy wynika, że do wniosku należy dołączyć orzeczenie lekarza psychiatry, uzasadniające potrzebę leczenia w szpitalu psychiatrycznym. Orzeczenie to jest wydawane na uzasadnione żądanie osoby uprawnionej do złożenia wniosku o wszczęcie postępowania. Skargę na tę decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie wniosła A.Z. Sąd Wojewódzki stwierdził, że w zaskarżonej decyzji organ uznał, iż w rozpatrywanej sprawie zachodzą, określone w art. 6 ust. 1 lit. c) i art. 9 ust. 2 pkt 2 lit. h) rozporządzenia RODO, przesłanki uchylające zakaz przetwarzania danych osobowych (wrażliwych). Sąd uznał to zapatrywanie organu za prawidłowe, ponieważ znajduje ono uzasadnienie w powołanych przepisach prawa. Według tych przepisów, przetwarzanie danych osobowych, bez zgody osoby, której dotyczą, jest dopuszczalne wtedy, gdy jest niezbędne do wypełnienia obowiązku ciążącego na administratorze (art. 6 ust. 1 lit. c) RODO), natomiast danych dotyczących stanu zdrowia, gdy jest niezbędne dla celów profilaktyki zdrowotnej (art. 9 ust. 2 lit 2 lit. h) RODO). Z przepisów art. 24 ust. 1 i art. 29 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta wynika, że podmiot udzielający świadczeń zdrowotnych jest obowiązany m. in. przechowywać dokumentację medyczną pacjenta, przez okres minimum 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu (za wyjątkiem zdjęć rentgenowskich, skierowań na badania). W świetle tego przepisu nie ma więc podstaw do zarzucenia SPZOZ (administratora danych skarżącej), niezgodnego z prawem przetwarzania jej dokumentacji medycznej. W ocenie Sądu, przetwarzanie przez ten podmiot danych osobowych i danych dotyczących stanu zdrowia skarżącej, polegające na jednorazowym wydaniu jej mężowi dokumentu o jej stanie zdrowia, miało oparcie w art. 23 ust. 1 pkt 2 i art. 27 ust. 2 ustawy o ochronie danych osobowych z 1997 r. Podmiot udzielający świadczeń zdrowotnych w dniu 11 lutego 2018 r. wydał mężowi skarżącej pisemną informację, podpisaną przez lekarza, na podstawie art. 30 ust. 1 ustawy o ochronie zdrowia psychicznego. Z niespornych okoliczności sprawy wynika, że A. Z. nie wyraziła zgody na przyjęcie do szpitala psychiatrycznego (a nie zachodziły ustawowe przesłanki wyłączające obowiązek uzyskania takiej zgody). Jej maż, w świetle art. 29 ust. 2 powołanej ustawy, był uprawniony do wystąpienia do sądu opiekuńczego, z wnioskiem o wydanie orzeczenia o potrzebie umieszczenia chorej w szpitalu psychiatrycznym, a w konsekwencji do otrzymania orzeczenia lekarza psychiatry, uzasadniającego potrzebę leczenia A. Z. w szpitalu psychiatrycznym. Takie orzeczenie musi być bowiem dołączone do wniosku o wyrażenie przez sąd zgody na skierowanie osoby chorej do szpitala psychiatrycznego, a jego brak skutkuje zwrotem wniosku (art. 30 ust. 1 i ust. 2 powołanej ustawy). Organ prawidłowo zastosował w tym przypadku przepisy ustawy o ochronie danych osobowych z 1997 r., ponieważ to przetwarzanie było jednorazowe i miało miejsce pod rządami tej ustawy. Podstawowy zarzut skarżącej dotyczy tego, że nie wyraziła nigdy zgody na przetwarzanie jej danych osobowych (wrażliwych). Tymczasem z powołanych przepisów prawa wynika, że przetwarzanie danych w okolicznościach rozpatrywanej sprawy, nie wymagało zgody skarżącej. Skarżąca zarzuciła również, że organ dopuścił się naruszenia wymienionych w skardze przepisów prawa procesowego, ponieważ pominął zupełnie okoliczności jej doprowadzenia do szpitala, braku podstaw do przeprowadzenia badania bez jej zgody i przeprowadzonego badania. Te zarzuty Sąd uznał za nieuzasadnione, ponieważ Prezes Urzędu Ochrony Danych Osobowych nie jest organem kontrolującym ani nadzorującym prawidłowość świadczenia usług medycznych przez podmioty prowadzące działalność leczniczą. Z tego powodu Sąd nie uwzględnił wniosku dowodowego o zwrócenie się do podmiotu leczniczego o udostępnienie nagrań z monitoringu, na okoliczność zastosowania przemocy, użycia wobec niej środków przymusu bezpośredniego, przeprowadzenia badania bez jej zgody. Skargę kasacyjną od tego wyroku wniosła skarżąca, zarzucając mu: I. Naruszenie przepisów prawa materialnego : 1) art. 5 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) – zw. dalej RODO w zw. z art. 23 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922) w zw. z art. 21 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego poprzez niewłaściwe zastosowanie tych norm, skutkujące oddaleniem skargi, podczas gdy skarżąca wskazywała na szereg nieprawidłowości przy przystąpieniu do gromadzeni danych, czyli przystąpieniu do przeprowadzenia badań skarżącej, które to badanie, w ocenie skarżącej nie zostało tak naprawdę w ogóle przeprowadzone, gdyż lekarz zamiast rozmawiać ze skarżącą zadawał pytania jej ówczesnemu mężowi W. Z., ponadto, skarżąca nie została poinformowania o celu badania itp., nie została pouczona o celu zbierania informacji i nie udzielono jej innych ważnych pouczeń, a co za tym idzie, już na etapie gromadzenia jej danych doszło do szeregu naruszeń, które były później kontynuowane poprzez ich udostępnienie W. Z., jako osobie nie upoważnionej przez skarżąca do uzyskiwania danych na temat jej stanu zdrowia ani też to upoważnienie nie wynikało z żadnych przepisów prawa, gdyż lekarz nie stwierdził przesłanek z art. 23 ustawy o ochronie zdrowia psychicznego. W ocenie skarżącej, wobec stwierdzenia braku tych przesłanek, brak było w ogóle podstaw do przeprowadzenia rzekomego badania bez zgody skarżącej, a co za tym idzie, gromadzenia i przetwarzania jej danych osobowych. Skarżąca przedłożyła zaświadczenie od innego lekarza, z którego wynika, iż schorzenie rzekomo stwierdzone u skarżącej nie występuje. Co więcej przedstawiła informację, że skarżąca jest osobą publiczną, a wydanie zaświadczenia i jego późniejsze rozpowszechnienie przez W.Z. wśród mieszkańców J. spowodowało naruszenie dobrego imienia A.Z. i podważyło zaufanie społeczne, którym dotychczas się cieszyła; 2) art. 6 ust. 1 RODO w zw. z art. 23 ustawy o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922) w zw. z art. 23 ustawy o ochronie zdrowia psychicznego poprzez niewłaściwe zastosowanie tych norm i bezpodstawne przyjęcie, że zaszła któraś z przesłanek, określona w tych normach, pozwalająca na przetwarzanie danych osobowych skarżącej, w szczególności, ich udostępnienia W. Z., skutkujące oddaleniem skargi, podczas gdy, W. Z. nie był osobą upoważnioną do uzyskania informacji na temat stanu zdrowia skarżącej, a skarżąca nie wyraziła zgody na przeprowadzenie badania i udostępnienie tych danych W. Z., a żadna inna norma prawna nie przewidywała możliwości uzyskania informacji na temat stanu zdrowia A. Z. przez W. Z., gdyż lekarz nie stwierdził przesłanek z ar. 23 ustawy o ochronie zdrowia psychicznego, na podstawie którego mógłby przystąpić do badania i W. Z. mógłby ewentualnie mieć upoważnienie do uzyskiwania danych osobowych skarżącej, w szczególności w zakresie jej stanu zdrowia; 3) art. 24 ustawy o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922) poprzez niewłaściwe zastosowanie tej normy i oddalenie skargi, podczas gdy administrator danych osobowych nie dopełnił ciążącego na nim obowiązku informacyjnego względem skarżącej; 4) art. 26 ust. 1 ustawy o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922) poprzez niewłaściwe zastosowanie tej normy, skutkujące oddaleniem skargi, podczas gdy Zespół nie dopełnił ciążących na nim obowiązków ochrony interesów skarżącej, poprzez udostępnienie osobie nieupoważnionej, co do której skarżąca nie wyraziła zgody na udostępnienie jakichkolwiek jej danych osobowych, jak również która nie posiadała uprawnienia do ich uzyskania, nadanych innymi przepisami prawa, wobec stwierdzenia przez lekarza braku przesłanek z art. 23 ustawy o ochronie danych osobowych; 5) art. 9 ust. 1 RODO poprzez niewłaściwe zastosowanie tej normy i oddalenie skargi, podczas gdy norma ta wprost ustanawia zakaz przetwarzania danych osobowych, ujawniających m. in. dane dotyczące zdrowia osoby, podczas gdy dane te zostały udostępnione osobie nieupoważnionej do uzyskania takich informacji, pomimo braku zgody skarżącej na udostępnienie jakichkolwiek danych na jej temat W. Z.; 6) art. 14 ust. 1 w zw. z art. 24 ust. 3 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i rzeczniku Praw Pacjenta w zw. z art. 27 ust. 1 i 2 4) ustawy o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922) poprzez niewłaściwe zastosowanie tych norm i oddalenie skargi, pomimo, iż normy te stanowią wprost o obowiązku zachowania przez osoby, wykonujące zawód medyczny, w tajemnicy informacji, związanych z pacjentem, w szczególności ze stanem zdrowia pacjenta i ich nieudostępniania osobom trzecim, bez zgody pacjenta i pominięcie zakazu przetwarzania danych wrażliwych poprzez niewłaściwe przyjęcie, że zachodzi w sprawie sytuacja, w której możliwe jest udostępnienie danych szczególnie chronionych, kiedy przepis innej ustawy zezwala na przetwarzanie danych bez zgody osoby, której dane dotyczą i stwarza pełne gwarancje ich ochrony, podczas gdy żaden przepis innej ustawy nie dawał W.Z. upoważnienia do uzyskania tych danych wobec stwierdzenia przez lekarza braku podstaw z art. 23 ustawy o ochronie zdrowia psychicznego; 7) art. 35 ustawy o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922) w zw. z art. 16 RODO poprzez błędną wykładnię tej normy i bezpodstawne przyjęcie, iż wystąpienie przez skarżącą z wnioskiem o uzupełnienie i sprostowanie danych osobowych (co miało miejsce pod rządami nowych przepisów) miałoby znaczenie dla sprawy, podczas gdy faktem jest, że A.Z. posiada zaświadczenie, że dane zgromadzone podczas rzekomego badania są nieprawdziwe, a zaświadczenie wydane W. Z. , na podstawie którego wszczął przeciwko A.Z. sprawę, dotyczące stanu zdrowia skarżącej, wobec czego uzupełnieni lub sprostowanie danych osobowych skarżącej byłoby skuteczne, gdyż udostępnione nieprawdziwe dane były wykorzystane w sądzie i przekazane znajomym A. Z. Otrzymując sprostowane zaświadczenie skarżąca mogłaby podjąć obronę i wystąpić przeciwko szpitalowi i lekarzowi, które to podmioty naraziły ją na utratę zaufania publicznego; 8) art. 26 ust. 1 w zw. z art. 23 w zw. z art. 24 ust. 1 ustawy o prawach pacjenta i Rzeczniku praw Pacjenta w zw. z art. 27 7) ustawy o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922) poprzez błędną wykładnię tej normy i pominięcie, iż to pacjent jest osobą, która ma prawo uzyskiwać wgląd do dokumentacji, dotyczącej jego stanu zdrowia, a udzielenie tych informacji osobie trzeciej, może odbywać się wyłącznie za zgodą skarżącej oraz niewłaściwe przyjęcie, że w przedmiotowej sprawie zachodzi przesłanka z art. 23 ust. 1 pkt 2 ustawy, podczas gdy z zaświadczenia lekarskiego wynika wprost, że przesłanka ta nie zachodziła i W. Z. nie miał żadnych podstaw do uzyskania tych danych, gdyż nie zachodził obowiązek, wynikający z przepisu prawa; 9) art. 26 ust. 3 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta w zw. z art. 27 ustawy o ochronie danych osobowych ( Dz. U. z 2016 r. poz. 922) poprzez błędną wykładnię tej normy i oddalenie skargi, podczas gdy w treści tej normy, nie jest wymieniony mąż pacjenta, który nie posiada upoważnienia do wglądu w dokumentację medyczną pacjenta tylko dlatego, że chce skierować sprawę do Sądu, w szczególności w świetle braku podstaw z art. 23 ustawy o ochronie zdrowia psychicznego; 10) art. 28 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta w zw. z art. 27 ustawy o ochronie danych osobowych ( Dz. U. z 2016 r. poz. 922) poprzez błędną wykładnię tej normy polegającą na bezpodstawnym przyjęciu, że udostępnienie danych W. Z. było zgodne z przepisami prawa, podczas gdy osoba ta nie była upoważniona przez skarżącą do uzyskiwania informacji na temat stanu zdrowia skarżącej, ani z żadnego innego przepisu prawa nie wynikało jego uprawnienie do uzyskania tych informacji; 11) art. 58 RODO poprzez niewłaściwe zastosowanie tej normy, skutkujące oddaleniem skargi, pomimo iż skarżąca wskazała na szereg nieprawidłowości, do których doszło na etapie gromadzenia, a następnie przetwarzania i udostępniania jej danych osobowych, a organ powinien był skorzystać z uprawnień nadanych mu w tej normie; 12) art. 6 ust. 1 lit c) i art. 9 ust. 2 lit h) RODO poprzez niewłaściwe zastosowanie tych norm, skutkujące błędnym przyjęciem, że w niniejszej sprawie zachodzą przesłanki uchylające zakaz przetwarzania danych osobowych (wrażliwych) , podczas gdy z szeroko opisanych przez skarżącą okoliczności wynika wprost, że nie jest ona osobą wymagającą specjalistycznego leczenia, a zatem nieprawidłowe ustalenia lekarza nie mogą stanowić podstawy do rozpowszechniania nieprawdziwych informacji o skarżącej i jej stanie zdrowia, o ile można się zgodzić , ze lekarz badający zobowiązany był zebrać informacje dotyczące pacjenta, aby możliwe było przeprowadzenia badania, o tyle nie można się w żaden sposób zgodzić z zasadnością udostępniania tych danych W. Z., skoro skarżąca nie wyraziła zgody na to, aby osoba ta miała wgląd w dokumentację medyczną skarżącej; II. naruszenie przepisów prawa procesowego, mające istotny wpływ na wynik sprawy: 1) art. 145 § 1 pkt 1 ) ppkt c) p.p.s.a. oraz art. 141 § 4 p.p.s.a. w zw. z art. 3 § 1 p.p.s.a. poprzez jego niewłaściwe zastosowanie, skutkujące oddaleniem skargi, podczas gdy skarżąca wskazała na naruszenie szeregu norm procesowych, mających istotne znaczenie na wynik sprawy, tj.: a) art. 78 § 1 k.p.a. poprzez pominięcie tej normy i nie uwzględnienie wniosku skarżącej z dnia 14 grudnia 2018 r. o uzupełnienie postępowania dowodowego, skutkujące nie uwzględnieniem wniosku skarżącej; b) art. 7 i 77 oraz 80 k.p.a. poprzez niewyczerpujące zebranie materiału dowodowego i jego niewłaściwa interpretację oraz dowolną a nie swobodną ocenę materiału dowodowego, skutkujące nie uwzględnieniem wniosku skarżącej w oparciu o błędne ustalenia faktyczne, oparte na przyjęciu , że: - Zespół w sposób prawidłowy zebrał i gromadził dane osobowe skarżącej, podczas gdy brak było przesłanek do przeprowadzenia badania skarżącej bez jej zgody- nie zagrażała sobie ani otoczeniu, w szczególności, że lekarz przeprowadzał wywiad z mężem i synem skarżącej, a nie ze skarżącą, a wobec stwierdzenia braku przesłanek z art. 23 ustawy o ochronie zdrowia psychicznego, w ocenie skarżącej, nie było podstaw do prowadzenia tego badania, a co za tym idzie, gromadzenia, przetwarzania, a szczególnie udostępniania jej danych wrażliwych osobie do tego nieupoważnionej przez skarżącą; - dane osobowe skarżącej zostały w sposób prawidłowy zgromadzone, podczas gdy brak było podstaw do przeprowadzenia badania skarżącej bez jej zgody, gdyż nie zachodziły przesłanki z art. 23 ustawy o ochronie danych osobowych, a ponadto badanie zostało przeprowadzone w sposób nieprawidłowy, bez wywiadu ze skarżącą i bez konsultacji z drugim lekarzem psychiatrą. Wytworzone w tym przypadku zaświadczenie odbyło się wbrew przepisom ustawy, zatem lekarz nie mógł się zasłaniać przepisami pozwalającymi mu na udostępnienie zaświadczenia; - W. Z. był osobą upoważnioną do uzyskiwania danych osobowych skarżącej , podczas gdy skarżąca nie wyraziła na to zgody, a nie zachodziły przesłanki z art. 23 ustawy o ochronie zdrowia psychicznego, które dawałyby takie upoważnienie mężowi skarżącej; - Zespół mógł udostępnić orzeczenie lekarza psychiatry mężowi skarżącej, który był upoważniony do złożenia wniosku do właściwego sądu o umieszczenie skarżącej w szpitalu psychiatrycznym bez jej zgody, co stanowi wypełnienie przesłanki legalizującej proces przetwarzania danych zwykłych danych osobowych na podstawie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych oraz danych osobowych dotyczących stanu zdrowia na podstawie art. 27 ust. 2 pkt 2 tej ustawy, podczas gdy lekarz w treści samego zaświadczenia stwierdził brak przesłanek z art. 23 ustawy o ochronie zdrowia psychicznego, wobec czego W. Z. nie miał upoważnienia do uzyskania tych danych bez zgody skarżącej; - w sprawie nie zachodzą przesłanki , uzasadniające zastosowanie przez organ uprawnień z artykułu 58 RODO, podczas gdy skarżąca wykazała szereg nieprawidłowości w gromadzeniu, przetwarzaniu i udostępnianiu jej danych osobowych, w szczególności danych wrażliwych, dotyczących informacji na temat jej stanu zdrowia. Wniesiono o uchylenie wyroku w całości i przekazanie sprawy do ponownego rozpoznania Sądowi I instancji oraz zasądzenie kosztów postępowania. W uzasadnieniu skargi kasacyjnej podniesiono, że w ocenie skarżącej do nieprawidłowości w zakresie ochrony danych osobowych doszło już na etapie ich gromadzenia. Brak było w ogóle jakichkolwiek podstaw do przeprowadzenia badania skarżącej bez jej zgody i bez poinformowania o celu gromadzenia danych na jej temat, a następnie przekazania mężowi skarżącej zaświadczenia wydanego przez lekarza oraz karty informacyjnej z leczenia ambulatoryjnego w izbie przyjąć. Zespół nie tylko bezprawnie zgromadził danego skarżącej, ale później w sposób nieprawidłowy przetwarzał je i udostępniał. W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie. W uzasadnieniu wskazał na swoje stanowisko w zakresie reguł intertemporalnych, które winny znaleźć zastosowanie w rozpoznawanej sprawie. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z art. 183 § 1 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., dalej p.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod uwagę nieważność postępowania. W niniejszej sprawie nie występują przesłanki nieważności postępowania sądowoadministracyjnego enumeratywnie wyliczone w art. 183 § 2 p.p.s.a. Z tego względu Naczelny Sąd Administracyjny przy rozpoznaniu sprawy związany był granicami skargi kasacyjnej. Skarga kasacyjna nie zasługuje na uwzględnienie. Przedmiotem kontroli Sądu I instancji była decyzja Prezesa Urzędu Ochrony Danych Osobowych (dalej UODO) z dnia [.] kwietnia 2019 r., mocą której odmówił uwzględnienia skargi A. Z. na przetwarzanie jej danych osobowych przez SPZOZ w J. polegające na wydaniu w dniu [..] lutego 2018 r. jej ówczesnemu mężowi W. Z. zaświadczenia na temat jej stanu zdrowia zawierającego dane osobowe, informacje z przebiegu badania lekarskiego i wnioski lekarskie. Odniesienie się do podniesionych w skardze kasacyjnej zarzutów wymaga poczynienia wstępnych ustaleń dotyczących podstaw prawnych regulujących proces przetwarzania danych obowiązujących w dniu [..] lutego 2018 r., tj. w dniu, w którym to doszło do udostępnienia przez administratora danych osobowych skarżącej oraz podstaw prawnych, które obowiązywały organ w dniu wydania zaskarżonej decyzji. Zdarzenie będące przedmiotem skargi z dnia [..] lutego 2018 r. miało charakter jednorazowy i zakończony oraz nie było kontynuowane po 25 maja 2018 r., gdy nastąpiła zmiana stanu prawnego Przetwarzanie danych osobowych skarżącej nastąpiło w czasie obowiązywania ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 138 z późn. zm.), zwana dalej ustawą z 1997 r. Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE, L 119, opublikowany w dniu 4 maja 2016), zwane dalej RODO, zgodnie z art. 99 ust. 1 wchodzi w życie po 20 dniu od publikacji w Dzienniku Urzędowym UE, co oznacza, iż weszło ono w życie i ma zastosowanie od dnia 25 maja 2018 r. Postępowanie administracyjne przed organem nadzorczym zostało wszczęte wnioskiem skarżącej złożonym w dniu 2 lipca 2018 r., gdy obowiązywała już ustawa z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), zwana dalej ustawą z 2018 r. oraz RODO. Oba akty normatywne weszły w życie jednocześnie w dniu 25 maja 2018 r. Z dniem wejścia w życie ustawy z 2018 r. utraciła moc obowiązującą ustawa z 1997 r. Jedyna regulacja intertemporalna zawarta została w art. 160 ust. 2 ustawy z 2018 r., zgodnie z którą postępowanie wszczęte i niezakończone przez GIODO przed wejściem w życie ustawy z 10 maja 2018 r., są prowadzone przez Prezesa UODO na podstawie przepisów ustawy z 1997 r. Problematyka intertemporalna nie została uregulowana przez ustawodawcę w sposób wyczerpujący. Zakresem regulacji objęta została tylko kwestia postępowań wszczętych i niezakończonych przez GIODO przed 25 maja 2018 r. Wydaje się, że choć to ważna kwestia, to mimo wszystko marginalna wobec zagadnień nieobjętych regulacją ustawową. Uwadze ustawodawcy umknęły bowiem wszelkie inne kwestie prawa międzyczasowego. Brak jest przepisów odnoszących się do przypadków, gdy postępowania nie zostały jeszcze wszczęte, a zdarzenia objęte nimi miały miejsce przed 25 maja 2018 r. Nie rozstrzygnął on problemów stosunków prawnych lub faktów, które powstały lub wystąpiły pod rządami dawnego prawa i trwają po jego uchyleniu pod rządami nowego prawa, jak również stosunków prawnych lub faktów, które wystąpiły i zakończyły się pod rządami starego prawa, a postępowania administracyjne odnoszące się do nich zostały wszczęte dopiero po 25 maja 2018 r. Z przepisu art. 160 ust. 2 ustawy z 2018 r. wynika bez wątpienia, iż stare prawo znajduje dalsze zastosowanie do spraw wszczętych i nie zakończonych przed 25 maja 2018 r. W takich przypadkach wyłączną podstawą orzekania przez organ będą stanowić przepisy starego prawa Do wszystkich pozostałych sytuacji stosowania prawa organ w związku z treścią przepisów art. 2 i art. 7 Konstytucji oraz art. 6 k.p.a. obowiązany będzie zastosować nowe prawo, mimo że fakty prawne, które miałyby zostać rozstrzygnięte w drodze aktu stosowania prawa zaszły w czasie zanim weszło w życie nowe prawo. Postępowanie zakończone zaskarżoną decyzją słusznie było tym samym prowadzono w oparciu o ustawę z 2018 r. oraz RODO, gdyż wniosek skarżącej wpłynął do organu w dniu 2 lipca 2018 r. Administrator danych osobowych SPZOZ w J. przetwarzania danych osobowych dokonał natomiast w oparciu o obowiązującą w dniu 11 lutego 2018 r. ustawę z 1997 r. Zdarzenie to miało charakter jednorazowy i zakończony w dniu jego rozpoczęcia (tj. w dniu 11 lutego 2018 r.) i do oceny jego legalność właściwe jest zastosowanie przepisów obowiązujących w czasie, gdy doszło do zarzucanych przez skarżącą nieprawidłowości w procesie przetwarzania jej danych osobowych, tj. przepisów ustawy z 1997 r., gdyż tylko w ten sposób możliwe jest poszanowanie wartości wyrażanych przez Konstytucję i prawo administracyjne. Rozpoznawana sytuacja ma charakter konfliktu między jednostką a administratorem danych osobowych, powstałego na tle przestrzegania prawa przez administratora. Takie wartości jak dobro człowieka przekładane na interes indywidualny skarżącej, sprawiedliwość oceny zaistniałej sytuacji, racjonalność oceny sprawy oraz pewność prawa wymagają uwzględnienia w procesie stosowania prawa i jego sądowej kontroli również przepisów ustawy z 1997 r. Należy tym samym odróżnić podstawy prawne stosowane przez organ w procesie wydawania indywidualnego aktu administracyjnego po 25 maja 2018 r., od podstaw prawnych w oparciu o które oceniania jest legalność przetwarzania danych osobowych przez administratora mająca miejsce przed 25 maja 2018 r. Podstawą tą są przepisy ustawy z 1997 r. Z tej przyczyny Naczelny Sąd Administracyjny stanął na stanowisku, iż powinny zostać merytorycznie rozpoznane zarzuty, w których autor skargi kasacyjnej zarzucił naruszenie przepisów ustawy z 1997 r. W związku uchybieniami wniesionej skargi kasacyjnej wskazać należy, iż Naczelny Sąd Administracyjny rozpoznaje sprawę wyłącznie w granicach skargi kasacyjnej, gdyż jest związany przytoczonymi w skardze kasacyjnymi jej podstawami, określonymi w art. 174 p.p.s.a. Nie ma on prawa rozwijać, czy też doprecyzowywać, bądź uzupełniać stawianych zarzutów. Dlatego też przedmiotem oceny Sądu II instancji mogą być jedynie te zarzuty kasacyjne, które strona sformułowała i uzasadniła zgodnie z wymogami prawnymi wynikającymi z art. 174 i art. 176 p.p.s.a. Nie jest on władny badać, czy zaskarżony wyrok nie narusza innych przepisów niż wskazane w podstawach, na których skargę kasacyjną oparto (por. wyroki Naczelnego Sądu Administracyjnego w Warszawie z dnia 12 kwietnia 2018 r., sygn. II OSK 2457/17, z dnia 8 marca 2018 r., sygn. I OSK 955/16, z dnia 2 marca 2018 r., sygn. I OSK 2306/17, z dnia 25 listopada 2014 r., sygn. II GSK 1253/13, z dnia 27 listopada 2015 r., sygn. I OSK 902/14 – wszystkie dostępne w CBOSA). Wskazać należy także, że przez podstawę kasacyjną należy rozumieć konkretny przepis prawa, którego naruszenie przez Sąd I instancji zarzuca autor skargi kasacyjna. W odniesieniu do przepisu, który nie stanowi jednej zamkniętej całości, a składa się z ustępów, punktów i innych jednostek redakcyjnych, wymóg skutecznie wniesionej skargi kasacyjnej jest spełniony wówczas, gdy wskazuje ona konkretny przepis naruszony przez sąd pierwszej instancji, z podaniem numeru artykułu, ustępu, punktu i ewentualnie innej jednostki redakcyjnej przepisu (por. wyrok NSA z dnia 20 sierpnia 2008 r., II FSK 557/07; wyrok NSA z dnia 7 marca 2014 r., II GSK 2019/12; wyrok NSA z dnia 28 czerwca 2013 r., II OSK 552/12; wyrok NSA z dnia 22 stycznia 2013 r., II GSK 1573/12; wyrok NSA z dnia 27 marca 2012 r., II GSK 218/11; wyrok NSA z dnia 8 marca 2012 r., II OSK 2496/10; wyrok NSA z dnia 14 lutego 2012 r., II OSK 2232/10 – www.cbosa). Warunek przytoczenia podstawy zaskarżenia i ich uzasadnienia nie jest spełniony, gdy skarga kasacyjna zawiera wywody zmuszające Sąd kasacyjny do domyślania się, który przepis skarżący miał na uwadze, podnosząc zarzut naruszenia prawa materialnego lub procesowego. Naruszony przez Sąd I instancji przepis musi być tym samym wyraźnie wskazany, gdyż w przeciwnym razie ocena zasadności skargi kasacyjnej nie jest możliwa. Naczelny Sąd Administracyjny będąc związany granicami skargi kasacyjnej nie ma kompetencji do dokonywania za wnoszącego skargę kasacyjną wyboru, który przepis prawa został naruszony i dlaczego. Prawidłowe i kompletne sformułowanie zarzutu stanowi powinność autora skargi kasacyjnej, który jest profesjonalnym pełnomocnikiem strony (por. wyrok NSA z dnia 20 sierpnia 2008 r., II FSK 557/07; wyrok NSA z dnia 6 lutego 2014 r., II GSK 1669/12; wyrok NSA z dnia 14 marca 2013 r., I OSK 1799/12; wyrok NSA z dnia 23 stycznia 2014 r., II OSK 1977/12 – wszystkie na www.cbosa). Zarzut naruszenia art. 5 RODO w zw. z art. 23 ustawy z 1997 r. o ochronie danych osobowych w zw. z art. 21 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego (zarzut nr I. 1) i zarzut naruszenia przepisów art. 6 ust. 1 RODO w zw. z art. 23 ustawy z 1997 r. o ochronie danych osobowych w zw. z art. 21 ustawy o ochronie zdrowia psychicznego (zarzut nr I. 2) rozpoznane zostaną łącznie, gdyż pozostają z sobą w związku. Oba zarzuty są nieuzasadnione. Zarzut numer I. 1 został sporządzony z naruszeniem wskazanych wyżej przepisów nakładającej na autora skargi kasacyjnej wymóg precyzyjnego określenia przepisów, które zostały naruszone w toku sądowej kontroli. Art. 5 RODO jest jednostką redakcyjną rozbudowaną złożoną z dwóch ustępów, a ust. 1 dodatkowo jest wewnętrznie podzielony na sześć liter od "a" do "f". Reguluje on szereg odmiennych treściowo zasad przetwarzania danych osobowych. Z treści zarzutu oraz uzasadnienia skargi kasacyjnej nie wynika, który przepis miał zostać naruszony przez zaskarżone orzeczenie, co wyklucza możliwość dokonania kontroli w tym zakresie przez Sąd II instancji. Podobnie jest w przypadku zarzutu numer I. 2. Jednostka redakcyjna art. 6 ust. 1 RODO składa się z sześciu odrębnych przepisów wyodrębnionych wewnętrznie w formie liter, określających odrębne przesłanki uzasadniające przetwarzanie danych osobowych. Autor skargi kasacyjnej nie wykazuje dostatecznej precyzji w formułowaniu zarzutu i nie podaje, która z przesłanek uprawniających do przetwarzania danych osobowych nie została dopełniona przez administratora, wskazując tylko, iż skarżąca nie wyraziła zgody na przetwarzanie swoich danych osobowych. Sąd II instancji nie może w tym zakresie zastąpić autora skargi kasacyjnej i uzupełnić zarzut przez odszukanie przepisu, który mógłby zostać naruszony w opisanej sytuacji. Również art. 21 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego składa się czterech ustępów i choć z treści zarzutu nie wynika, który z przepisów (tj. który z ustępów) miałyby zostać naruszony, to z uzasadnienia skargi wyprowadzić można wniosek, iż autor skargi kasacyjnej zarzuca naruszenie przepisu art. 21 ust. 1 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego, stojąc na stanowisku, iż nie została spełniona przesłanka legalnego przetwarzania danych osobowych. Przepis ten ma charakter materialnoprawny i wskazuje przesłanki uzasadniające poddanie osoby badaniu psychiatrycznemu bez jej zgody. W rozpoznawanej sprawie przedmiotem postępowania nie jest sam fakt poddania jej badaniu lekarskiemu bez jej zgody, lecz legalności przetwarzania danych osobowych skarżącej. W związku z tym zarzut naruszenia tego przepisu powiązany został z naruszeniem przepisu art. 23 ust. 1 pkt 2 ustawy z 1997 r., co wynika także dopiero z treści uzasadnienia skargi kasacyjnej. Zgodnie z nim przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Istota tego zarzutu sprowadza się do założenia, że skoro brak było przesłanek do umieszczenia skarżącej w szpitalu psychiatrycznym bez jej zgody to brak było podstaw do przeprowadzenia badania bez jej zgody, a co za tym idzie brak było podstaw do gromadzenia i przetwarzania jej danych osobowych, w tym udostępnienia ich ówczesnemu mężowi skarżącej. SPZOZ w J. jest podmiotem uprawnionym do udzielenia świadczeń zdrowotnych. W związku z tym miał obowiązek wynikając z art. 24 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta prowadzenia, przechowywania i udostępniania na warunkach wynikających z ustawy dokumentacji medycznej pacjenta. Skarżąca została w tym dniu doprowadzona do szpitala przez pogotowie ratunkowe w asyście policji. Przeprowadzenie badanie psychiatrycznego bez zgody pacjenta pozostaje w zakresie swobodnej decyzji lekarza psychiatry, podejmowanej w oparciu o całokształt okoliczności dotyczących stanu pacjenta znanych lekarzowi w chwili doprowadzenia pacjenta. Podstawą prawną ich przeprowadzenia są przepisy art. 21 ust. 1 – 4 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego. Rozwiązania prawne w tym zakresie są zdeterminowane specyfiką schorzenia wyłączającego zwykle możliwość podejmowania racjonalnych decyzji przez poddanego badaniu pacjenta. Lekarz, który przeprowadził badanie skarżącej nie stwierdził przesłanek do umieszczenia skarżącej w szpitalu psychiatrycznym bez jej zgody. Nie oznacza to jednak, iż brak było podstaw do przeprowadzenia badania lekarskiego, które miała na celu stwierdzenie tej okoliczności. Istnienie takich podstaw zostało stwierdzone przez lekarza psychiatrę na etapie poprzedzającym rozpoczęcie badania i znalazło swój wyraz w rozpoczęciu badań, zaś wynik badań doprowadził lekarza psychiatrę do ustalenia braku podstaw umieszczenia skarżącej w szpitalu bez jej zgody. Należy odróżnić przesłanki przeprowadzenia badania bez zgody pacjenta uregulowane w art. 21 ust. 1 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego od przesłanek umieszczenia w szpitalu bez zgody pacjenta, które uregulowane są w art. 23 ust. 1 tejże ustawy (bo naruszenie tego przepisu zarzuciła skarżąca – vide uzasadnienie skargi kasacyjnej s. 7 ). Przesłanki te są odmienne. Z faktu braku przesłanek do umieszczenia w szpitalu psychiatrycznym bez zgody pacjenta nie można jednak wyprowadzić braku przesłanek do przeprowadzenia badania bez zgody skarżącej oraz braku przesłanek do przetwarzania danych osobowych o jej stanie zdrowia. Z przepisu w art. 21 ust. 4 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego wynika expressis verbis obowiązek przetwarzania danych osobowych pacjenta w takim przypadku i odnotowania w dokumentacji medycznej przeprowadzenia badania bez zgody pacjenta. Istnienie podstawy do przeprowadzenia badania warunkuje tym samym dopuszczalność legalnego przetwarzania danych osobowych osoby poddanej badaniu, a stwierdzenie braku przesłanek do przymusowej hospitalizacji nie oznacza, iż proces przetwarzania danych osobowych pacjenta stał się nielegalny. Są to bowiem zagadnienia z innych płaszczyzn. Wskazać należy również, iż przepis art. 23 ust. 1 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego nie mógł zostać naruszony, gdyż skarżąca nie została umieszczona w szpitalu psychiatrycznym. Nie był więc zastosowany w odniesieniu do jej osoby. Z zarzutu numer I. 2 wynika także zakwestionowanie legalności udostępnienia W.Z. informacji o stanie zdrowia skarżącej. Żaden z podniesionych w zarzucie przepisów nie odnosi się w swym zakresie do wydawania pisemnej informacji. Zagadnienie to reguluje art. 30 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego. Legalność tej czynności nie mogła być więc skutecznie zakwestionowana w drodze podniesionych zarzutów. W związku z tym zarzuty te są nieuzasadnione. Zarzut naruszenia przepisów art. 24 ustawy z 1997 r. o ochronie danych osobowych (zarzut nr I. 3) oraz art. 26 ust. 1 ustawy z 1997 r. o ochronie danych osobowych (zarzut nr I. 4) są pozbawione podstaw. Obie jednostki redakcyjne są wewnętrznie złożone. Artykuł 24 składa się z dwóch ustępów, a każdy z nich z podpunktów. Z kolei art. 26 ust. 1 składa się z czterech podpunktów. Obowiązkiem autora skargi kasacyjnej jest precyzyjne określenie podstawy prawnej, której naruszenie podnosi. Sąd II instancji nie jest uprawniony do zastępowania go w tej roli. Treść uzasadnienia nie pozwala również na dookreślenie brakujących jednostek redakcyjnych przepisów przywołanych w petitum skargi kasacyjnej. Zarzut naruszenia przepisu art. 9 ust. 1 RODO nie znajduje podstaw. Skarżąca stoi na stanowisku, że wynika z niego absolutny zakaz przetwarzania danych osobowych dotyczących zdrowia. Przepis ten rzeczywiście określa przypadki zakazu przetwarzania danych osobowych określonej treści, w tym m.in. danych dotyczących stanu zdrowia. Nie ma on jednak charakteru bezwzględnego, gdyż art. 9 ust. 2 RODO określa wyjątki od zakazu ustanowionego w ustępie 1, w tym także reguluje sytuacje, w której możliwe jest przetwarzanie danych osobowych dotyczących stanu zdrowia. Z tej przyczyny zarzut ten nie jest uzasadniony. Zarzut naruszenia przepisów art. 14 ust. 1 w zw. z art. 24 ust. 3 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i rzeczniku Praw Pacjenta w zw. z art. 27 ust. 1 i 2 4) ustawy o ochronie danych osobowych jest nieuzasadniony. Zarzut ten jest sformułowany w sposób budzący określone wątpliwości, gdyż w odniesieniu do jednostki redakcyjnej "art. 14 ust. 1" nie określono aktu prawnego, w której jednostka ta znajduje się. Treść uzasadnienia (s. 13) pozwala jednak ustalić, iż chodzi o ustawę z dnia 6 listopada 2008 r. o prawach pacjenta i rzeczniku Praw Pacjenta. Przepisy te określają prawo pacjenta do zachowania w tajemnicy przez osoby udzielające świadczeń zdrowotnych informacji uzyskanych w związku z ich udzielaniem i odpowiadający temu prawu - obowiązek osób wykonujących zawód medyczny do zachowania w tajemnicy tych informacji. Regulują więc one publiczne prawo podmiotowe pacjenta i odpowiadający temu prawu obowiązek funkcjonariuszy publicznych. Przepisy te nie są adresowane, ani do organu, ani do administratora. Nie były one stosowane w procedurze wydawania zaskarżonej decyzji i nie mogły tym samy zostać naruszone przez Sąd I instancji w procesie jej kontroli. Z kolei przepis art. 27 ust. 1 ustawy z 1997 r. reguluje zakaz przetwarzania danych wrażliwych, do których zalicza się m.in. dane o stanie zdrowia. Z kolei art. 27 ust. 2 ustawy z 1997 r. wskazuje sytuacje, w których zakaz ten jest uchylony. Przepisy te nie zostały naruszone, gdyż administrator udostępnił dane osobowe skarżącej ówczesnemu mężowi skarżącej wydając mu stosowne zaświadczenie, do czego był uprawniony na podstawie art. 30 ust. 1 w zw. z art. 29 ust. 2 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego. Z tych względów zarzut ten nie znajduje podstaw. Zarzut naruszenia art. 35 ustawy z 1997 r. o ochronie danych osobowych w związku z art. 16 RODO jest nieuzasadniony. Przepis art. 16 RODO reguluje prawo żądania przez osobę, której to dotyczy, od administratora niezwłocznego sprostowania dotyczących jej danych osobowych, które są nieprawidłowe. Żaden z tych przepisów nie był stosowany przez organ przy wydawaniu zaskarżonej decyzji i nie mogły one tym samy zostać naruszone przez Sąd I instancji w procesie jej kontroli. Zarzut naruszenia art. 35 ustawy z 1997 r. nie może zostać rozpoznany merytorycznie, gdyż artykuł ten składa się z trzech ustępów o zróżnicowanej treści, a z treści skargi kasacyjnej nie wynika, który z przepisów został naruszony. Zarzut naruszenia przepisów art. 26 ust. 1 w zw. z art. 23 w zw. z art. 24 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta w zw. z art. 27 7) ustawy o ochronie danych osobowych jest nieuzasadniony. Zarzut ten dotknięty jest brakiem określenia rodzaju aktu prawnego, w którym znajdują się przepisy "art. 26 ust. 1 w zw. z art. 23". W tym przypadku treść uzasadnienia nie pozwala na rozstrzygnięcie tych wątpliwości. Zarzut naruszenia jednostki redakcyjnej w postaci "art. 23" pojawia się w skardze kasacyjnej w odniesieniu do naruszenia ustawy z 1997 r. o ochronie danych osobowych i ustawy o ochronie zdrowia psychicznego. Jednostka taka znajduje się także w ustawie o prawach pacjenta i Rzeczniku Praw Pacjenta. Sytuacja kształtuje się analogicznie w odniesieniu do jednostki redakcyjnej w postaci "art. 26 ust. 1". Rolą Naczelnego Sądu Administracyjnego nie jest poszukiwanie właściwej podstawy prawnej zarzutu w sytuacji, gdy skarga kasacyjna jest sporządzana przez fachowego pełnomocnika procesowego. Stąd też merytorycznie może zostać rozpoznany wyłącznie zarzut naruszenia pozostałych dwóch przepisów w odniesieniu do których określona została nazwa aktu normatywnego, w którym przepisy te zostały zamieszczone. Przepis art. 24 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta określa obowiązek podmiotu udzielającego świadczeń zdrowotnych prowadzenia, przechowywania i udostępniania dokumentacji medycznej w sposób określony w niniejszym rozdziale oraz w ustawie z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia, a także zapewniania ochrony danych zawartych w tej dokumentacji. Z treści zarzutu wynika, iż skarżąca podnosząc zarzut naruszenia tego przepisu kwestionuje wystąpienie przesłanki legalnego udostępnienia W. Z. danych dotyczących jej stanu zdrowia. Przepis art. 24 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta nie wskazuje na przesłankę przetwarzania danych osobowych. Przyznaje on uprawnienie podmiotowi udzielającemu świadczeń zdrowotnych do m.in. udostępniania dokumentacji medycznej w sposób określony w niniejszym rozdziale oraz w ustawie z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia. Przesłanka przetwarzania danych o stanie zdrowia uregulowana była w art. 27 ust. 2 pkt 7 ustawy z 1997 r., zgodnie z którym przetwarzanie danych, o których mowa w ust. 1, jest jednak dopuszczalne, jeżeli przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych. Przepis ten stanowiły podstawę do legalnego przetwarzania danych przez SPZOZ w J. W drodze postawienie zarzutu naruszenia tego przepisu nie jest jednak możliwe kwestionowanie legalności wydania zaświadczenia o stanie zdrowia skarżącej jej mężowi. Podstawa prawna do jego wydania wskazana był art. 30 ust. 1 w zw. z art. 29 ust. 2 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego, a kwestia to omówiona została już powyżej. W związku z tym zarzut ten jest nieuzasadniony. Zarzut naruszenia przepisu art. 26 ust. 3 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta w zw. z art. 27 ustawy z 1997 r. o ochronie danych osobowych jest nie uzasadniony. Pierwszy z przepisów określa katalog podmiotów, który możliwe jest udostępnienie dokumentacji medycznej pacjenta. W rozpoznawanej sprawie istota sporu wiąże się z udostępnieniem informacji o stanie zdrowia skarżącej w związku z wydaniem mężowi zaświadczenia zawierającego informacje o jej stanie zdrowia. Przedmiotem sprawy nie jest zaś udostępnienie mu dokumentacji medycznej stworzonej w związku ze zdarzeniami z dnia [.] lutego 2018 r. Prawo małżonka do uzyskania będących przedmiotem sporu danych osobowych wynika z innych podstaw prawnych, stąd też z pozytywnej regulacji określającej uprawnienia innych podmiotów do uzyskania dostępu do dokumentacji medycznej nie wynika zakaz udostępniania jej małżonkowi, jeśli jego uprawnienie uregulowane jest w innym przepisie, wskazanym w toku wcześniejszych wywodów. Inaczej mówiąc obowiązywanie pozytywnej regulacji dotyczącej małżonka wyklucza stosowanie wnioskowania prawniczego a contrario z art. 26 ust. 3 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. Z tej przyczyny zarzut naruszenia tego przepisu jest bezpodstawny. Zarzut naruszenia art. 27 ustawy z 1997 r. o ochronie danych osobowych jest również nieuzasadniony. Jest on nieprecyzyjny, gdyż art. 27 ustawy z 1997 r. jest jednostką wewnętrznie rozbudowaną, a treść zarzutu nie pozwala ustalić, który konkretnie przepis został naruszony. Ponadto już wcześniej wskazano podstawy prawne wydania mężowi skarżącej zaświadczenia o jej stanie zdrowia, co miałoby wpływ na ocenę zasadności tego zarzutu, gdyby nawet został sformułowany precyzyjnie. W związku z tym zarzut ten nie może zostać uznany za uzasadniony. Zarzut naruszenia przepisu art. 28 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta w zw. z art. 27 ustawy z 1997 r. jest nieuzasadniony. Art. 28 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta jest jednostką redakcyjną złożoną z 7 ustępów, a autor skargi kasacyjnej nie wskazuje, który z przepisów miałby zostać naruszony. Ponadto zawarte w art. 28 tej ustawy przepisy regulują kwestię opłat za udostępnienie dokumentacji medycznej. Problematyka ta nie pozostaje w związku z treścią skargi. Z tej przyczyny zarzut naruszenia tego artykułu nie znajduje podstaw. Do zarzut naruszenia art. 27 ustawy z 1997 r. zastosowanie znajdują uwagi poczynione wyżej. Zarzut naruszenia art. 58 RODO jest nieuzasadniony. Jednostka redakcyjna w postaci art. 58 RODO składa się z sześciu ustępów, a w trzech pierwszych wprowadzony został wewnętrzny podział na litery. Przepisy te określają zróżnicowane uprawnienia (kompetencje) organów nadzorczych w zakresie przetwarzania danych osobowych. Zarzut sformułowany został nieprecyzyjnie, gdyż nie został wskazany konkretny przepis, który miałby zostać naruszony przez organ, a czego miałby nie dostrzec Sąd I instancji. Zarzut w tym kształcie nie może zostać merytorycznie rozpoznany. Ponadto wskazać należy, że każdy z zarzutów wyznacza precyzyjny zakres kontroli instancyjnej, niedopuszczalne jest więc odsyłanie w skardze kasacyjnej do argumentacji i zarzutów zawartych w innych pismach wnoszonych w toku postępowania przed organem lub sądem administracyjnym (por. wyrok NSA z 19 stycznia 2009 r., I OSK 118/08, www.cbosa) lub nawet w tym samym piśmie, bez jasnego sprecyzowania o jaką argumentację lub zarzut chodzi. Sytuacja taka ma miejsce w przypadku tego zarzutu, w którym autor skargi kasacyjnej posłużył się zwrotem "szereg nieprawidłowości" bez ich dookreślenia. Z tej przyczyny brak jest podstaw do uwzględnienia tego zarzutu. Zarzut naruszenia art. 6 ust. 1 lit c) i art. 9 ust. 2 lit h) RODO jest bezpodstawny. Przepis art. 6 ust. 1 RODO określa przypadki legalnego przetwarzania danych osobowych. W art. 6 ust.1 lit. c RODO uregulowano przypadek przetwarzania, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Norma ta ma charakter blankietowy, gdyż nie wskazuje sytuacji, w których istnieje obowiązek prawny przetwarzania danych osobowych. Przypadki te wynikają z innych przepisów. W rozpoznawanej sprawie organ wskazał na przepis art. 9 ust. 2 lit h) RODO. Przepis art. 9 ust. 1 RODO reguluje zakaz przetwarzania danych osobowych dotyczących m.in. zdrowia, a w ust. 2 uregulowane są przypadki wyłączające ten zakaz. Zgodnie z art. 9 ust. 2 lit h) RODO zakaz wynikający z ust. 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków, m.in. przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3 W podniesionym zarzucie skarżąca kwestionuje fakt, że była osobą wymagającą specjalistycznego leczenia oraz okoliczność, że zasadne było udostępnienie jej danych osobowych jej ówczesnemu mężowi W. Z., skoro nie wyraziła na to zgody. Zarzut w tej formie nie mógł okazać się skuteczny, gdyż podniesione przepisy nie pozostają w związku treściowym z tak określoną istotą zarzutu. Kwestia potrzeby specjalistycznego badania skarżącej w dniu [.]. lutego 2018 r. pozostaje poza zakresem postępowania ukierunkowanego na kontrolę przestrzegania przepisów o przetwarzaniu danych osobowych przez ich administratora. Przeprowadzenie zaś takiego badania wiązało się z koniecznością sporządzenia dokumentacji medycznej i przetwarzania danych o stanie jej zdrowia. Do zagadnienia tego odniósł się już Naczelny Sąd Administracyjny przy okazji uzasadniania swojego stanowiska w odniesieniu do zarzutu I. 1 i I. 2. Z kolei legalność udostępnienia danych osobowych skarżącej W. Z. nie może być badana przez podniesienie zarzutu naruszenia tych przepisów. Nie jest wystarczające w takiej sytuacji ograniczenie zarzutu do przepisu art. 6 ust.1 lit. c RODO, który określa generalnie jeden z przypadków zgodnego z prawem przetwarzania danych osobowych. Także podniesienie zarzutu naruszenia art. 9 ust. 2 lit h) RODO nie może być uznane za skuteczne do zakwestionowania wydania W. Z. zaświadczenia o stanie zdrowia skarżącej, gdyż przepis ten odnosi się do innego zagadnienia. Stanowi on generalną podstawę do przetwarzania danych wrażliwych, w tym przypadku danych o stanie zdrowia. Podstawą prawną wydania zaświadczenia o stanie zdrowia był zaś inny przepis, który nie został przywołany w treści zarzutu. Z tej przyczyny zarzut ten nie mógł zostać uznany za zasadny. Zarzut sformułowany w oparciu o podstawę określoną w art. 174 pkt 2 p.p.s.a. jest nieuzasadniony. Przepis art. 141 § 4 p.p.s.a. jest przepisem proceduralnym, regulującym wymogi uzasadnienia. W ramach rozpatrywania zarzutu naruszenia tego przepisu Naczelny Sąd Administracyjny zobowiązany jest jedynie do kontroli zgodności uzasadnienia zaskarżonego wyroku z wymogami wynikającymi z powyższej normy prawnej. O naruszeniu tego przepisu można mówić w przypadku, gdy uzasadnienie zaskarżonego wyroku nie spełnia jednego z ustawowych, wyżej wymienionych warunków. Wyrok sądu pierwszej instancji nie będzie poddawał się kontroli sądowoadministracyjnej w przypadku braku wymaganych prawem części (np. nieprzedstawienia stanu sprawy, czy też niewskazania lub niewyjaśnienia podstawy prawnej rozstrzygnięcia), a także wówczas, gdy będą one co prawda obecne, niemniej jednak obejmować będą treści podane w sposób niejasny, czy też nielogiczny, uniemożliwiający jednoznaczne ustalenie stanu faktycznego i prawnego, stanowiącego podstawę kontrolowanego wyroku sądu (por. wyroki NSA z dnia 15 czerwca 2010 r., II OSK 986/09; z dnia 12 marca 2015 r., I OSK 2338/13, publik. CBOSA). I co najistotniejsze, za pomocą zarzutu naruszenia art. 141 § 4 p.p.s.a. nie można skutecznie zwalczać prawidłowości przyjętego przez sąd stanu faktycznego (por. wyrok NSA z dnia 01.08.2012 r., sygn. II OSK 2012/11). Uzasadnienie zaskarżonego wyroku zawiera przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowiska strony przeciwnej, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Z wywodów Sądu wynika, dlaczego w jego ocenie nie doszło do naruszenia prawa wskazanego w skardze i jaki stan faktyczny przyjął za podstawę orzekania. Sąd I instancji w dostateczny sposób wyjaśnił motywy podjętego rozstrzygnięcia. Z treści zarzuty wynika natomiast, iż w swej istocie autor skargi kasacyjnej w drodze naruszenia tego przepisu kwestionuje ustalenia faktyczne przyjęte za podstawę wydanego wyroku. Z tej przyczyny zarzut ten nie mógł okazać się skuteczny. Zgodnie z art. 3 § 1 p.p.s.a. sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Przepis ten ma tylko charakter ustrojowy. Wydanie wyroku, niezgodnego z oczekiwaniem skarżącej, nie może być zaś utożsamiane z uchybieniem powołanej normie. Nie ma bowiem żadnych podstaw do przyjęcia, iż Wojewódzki Sąd Administracyjny w Warszawie nie dokonał w niniejszej sprawie takiej kontroli albo, że zastosował środki, których ustawa nie przewiduje, czy też ocenę swoją oparł na innym kryterium niż zgodność zaskarżonej decyzji z prawem. W związku z tym zarzut naruszenia przepisów postępowania mające istotny wpływ na wynik postępowania (pkt II.1) nie zasługuje na uwzględnienie. Naczelny Sąd Administracyjny działając na podstawie art. 184 p.p.s.a. orzekł w związku z powyższym o oddaleniu skargi kasacyjnej.