III OSK 4936/21

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Piotr Korzeniowski Sędziowie: sędzia NSA Jerzy Stelmasiak sędzia del. WSA Hanna Knysiak-Sudyka (spr.) Protokolant: asystent sędziego Krzysztof Książek po rozpoznaniu w dniu 15 października 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej A. J. i J. J. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 16 listopada 2020 r. sygn. akt II SA/Wa 788/20 w sprawie ze skargi A. J. i J. J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 13 lutego 2020 r. nr ZSZZS.440.221.2018.ZS.AO.II w przedmiocie odmowy uwzględnienia wniosku oddala skargę kasacyjną. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 16 listopada 2020 r. sygn. akt II SA/Wa 788/20 oddalił skargi A. J. i J. J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 13 lutego 2020 r. nr ZSZZS.440.221.2018.ZS.AO.II w przedmiocie odmowy uwzględnienia wniosku. Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy. J. i A. J. (dalej: "skarżący") w dniu 9 maja 2018 r. złożyli do Generalnego Inspektora Ochrony Danych Osobowych skargę na niezgodne z prawem przetwarzanie ich danych osobowych oraz danych osobowych i wrażliwych ich małoletniego syna L. J. przez J. K., prowadzącego działalność gospodarczą pod nazwą N. w T. i Państwowego Powiatowego Inspektora Sanitarnego w B. Skarżący podali, że z dniem 28 grudnia 2017 r. wypisali się całą rodziną z Przychodni (N. w T.), natomiast z dniem 11 stycznia 2018 r. zastrzegli w Przychodni swoje oraz dzieci dane osobowe oraz dane o stanie zdrowia, w tym dotyczące szczepień. Mimo to, N. w T. bez ich zgody (w styczniu 2018 r.) przesłał (udostępnił) Państwowemu Powiatowemu Inspektorowi Sanitarnemu w B. dane osobowe ich oraz syna (m. in. datę urodzenia syna, pesele i adres zamieszkania). J. i A. J. dodali, że powyższe dane zostały przekazane na podstawie "bezprawnego załącznika" nr 4 do rozporządzenia Ministra Zdrowia z dnia 18 sierpnia 2011 r. w sprawie obowiązkowych szczepień ochronnych (Dz.U. z 2018 r. poz. 753). Wnioskodawcy wnieśli o "doprowadzenie do całkowitego zaprzestania udostępniania" ich danych osobowych przez placówkę medyczną bez ich zgody, ustalenie przez organ, do jakich urzędów lub osób przychodnia przekazała ich dane, usunięcie tych danych z zasobów inspekcji sanitarnej oraz innych podmiotów, którym placówka medyczna i "dalsze urzędy" przekazały te dane. Prezes Urzędu Ochrony Danych Osobowych (następca prawny Generalnego Inspektora Ochrony Danych Osobowych) decyzją z 4 października 2019 r., wydaną na podstawie art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000) w związku z art. 18 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922) oraz art. 6 ust. 1 lit. c i art. 9 ust. 2 lit. h i rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016 ze zm., zwane dalej: "rozporządzenie", "RODO"), odmówił uwzględnienia żądania skarżących. Od powyższej decyzji skarżący złożyli wniosek o ponowne rozpatrzenie sprawy. Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO") decyzją z 13 lutego 2020 r. nr ZSZZS.440.221.2018.ZS.AO.II.66389 utrzymał w mocy swoje dotychczasowe rozstrzygnięcie. Na powyższą decyzję J. i A. J. wnieśli dwie skargi (z 18 marca 2020 r.) do Wojewódzkiego Sądu Administracyjnego w Warszawie. Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie w dniu 16 listopada 2020 r. postanowił połączyć do wspólnego rozpoznania i rozstrzygnięcia na podstawie art. 111 § 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325 z późn. zm., zwana dalej: "p.p.s.a."), sprawy o sygn. akt II SA/Wa 788/20 (ze skargi A. J.) i II SA/Wa 789/20 (ze skargi J. J.) i prowadzić je dalej pod sygn. akt II SA/Wa 788/20. Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku oddalił skargi J. i A. J. uznając, że zaskarżona decyzja została wydana zgodnie z prawem. Uzasadniając swoje stanowisko Sąd pierwszej instancji wskazał, że obowiązek poddania dziecka obowiązkowym szczepieniom ochronnym wynika wprost z przepisów prawa, tj. z art. 5 ust. 1 pkt 1 lit. b i ust. 2 oraz art. 17 ust. 1 ustawy z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi (Dz. U. z 2020 r. poz. 1845, zwana dalej: "ustawa o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi"). Według tych przepisów osoby przebywające na terytorium Rzeczpospolitej Polskiej są zobowiązane, na zasadach określonych w ustawie, do poddawania się szczepieniom ochronnym przeciw chorobom zakaźnym. W przypadku osoby małoletniej odpowiedzialność za wypełnienie tego obowiązku spoczywa na osobach sprawujących prawną pieczę nad małoletnim, a więc m. in. na rodzicach. Według art. 17 ust. 8 pkt 2 tej ustawy osoby przeprowadzające szczepienia ochronne sporządzają sprawozdania z przeprowadzonych obowiązkowych szczepień ochronnych oraz sprawozdania ze stanu zaszczepienia osób objętych profilaktyczną opieką zdrowotną, które przekazują państwowemu powiatowemu inspektorowi sanitarnemu. Przepis art. 17 ust. 10 ustawy stanowi natomiast, że minister właściwy do spraw zdrowia określi, w drodze rozporządzenia, m. in. wykaz chorób zakaźnych objętych obowiązkiem szczepień ochronnych (pkt 1), osoby (grupy osób) obowiązane do poddawania się obowiązkowym szczepieniom ochronnym przeciw chorobom zakaźnym (pkt 2), sposób przeprowadzania szczepień ochronnych (pkt 4), wzory sprawozdań z przeprowadzonych obowiązkowych szczepień ochronnych oraz tryb i terminy ich przekazywania (pkt 8), uwzględniając dane epidemiologiczne dotyczące zachorowań, aktualną wiedzę medyczną oraz zalecenia Światowej Organizacji Zdrowia. Zdaniem Sądu pierwszej instancji przepis art. 17 ust. 8 pkt 2 ustawy, w myśl którego osoby przeprowadzające szczepienia ochronne sporządzają sprawozdania z przeprowadzonych obowiązkowych szczepień ochronnych oraz sprawozdania ze stanu zaszczepienia, które przekazują państwowemu powiatowemu inspektorowi sanitarnemu, stanowi dostateczną podstawę do przekazania inspekcji sanitarnej spornych danych. Sąd nie podzielił stanowiska skarżących, że rozporządzenie Ministra Zdrowia (załącznik nr 4) zostało wydane z przekroczeniem upoważnienia, gdyż załącznik ten nie obejmuje "danych sprawozdawczych". Sprawozdanie może bowiem obejmować nie tylko dane statystyczne, ale także inne dane, jak np. o osobach uchylających się od obowiązku szczepień oraz ich opiekunach prawnych. W ocenie Sądu pierwszej instancji prowadzi to do wniosku, że N. w T. przekazując dane osobowe skarżących i ich syna do właściwej inspekcji sanitarnej spełnił obowiązek wynikający z przepisu prawa (art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych). Przekazanie danych dotyczące stanu jego uodpornienia miało natomiast oparcie w art. 27 ust. 2 pkt 2 tej ustawy. Trzeba dodać, że N. w T. przekazał dane osobowe skarżących i ich syna do właściwej inspekcji sanitarnej (tym informację o uchylaniu się od obowiązku szczepienia), dotyczące okresu sprzed złożenia przez skarżących rezygnacji z wyboru lekarza podstawowej opieki zdrowotnej w tej placówce. W związku tym złożenie przez skarżących rezygnacji z wyboru lekarza podstawowej opieki zdrowotnej dla L. J. z dniem 28 grudnia 2017 r. nie miało wpływu na legalność przekazania inspektorowi sanitarnemu spornych danych w związku z niewykonaniem obowiązkowych szczepień ochronnych. Z tego powodu organ prawidłowo stwierdził, że nie można zarzucić przychodni niezgodnego z prawem przetwarzania danych osobowych (wrażliwych). Można dodać, że inspektor sanitarny sprawuje nadzór nad wykonywaniem obowiązku szczepień ochronnych i jest upoważniony do dochodzenia wykonania tego obowiązku na drodze postępowania egzekucyjnego w administracji. Sąd pierwszej instancji stwierdził, że nie jest więc usprawiedliwione żądanie skarżących dotyczące usunięcia spornych danych "z zasobów inspekcji sanitarnej". Organ inspekcji sanitarnej przechowuje obecnie (a więc przetwarza - por. art. 4 pkt 2 rozporządzenia RODO) te dane na mocy art. 6 ust. 1 lit. c i art. 9 ust. 2 lit. h rozporządzenia. Z powołanych przepisów wynika, że przetwarzanie jest zgodne z prawem, jeżeli jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c), natomiast danych dotyczących stanu zdrowia, gdy jest niezbędne dla celów profilaktyki zdrowotnej (art. 9 ust. 2 lit. h rozporządzenia). Zdaniem WSA w Warszawie z przedstawionych powodów nie są uzasadnione postawione w skardze zarzuty naruszenia przez organ art. 23 ust. 1 pkt 2 i art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych z 1997 r. w związku z art. 5 ust. 1 pkt 4, art. 17 ust. 8 pkt 2 i ust. 10 pkt 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi. Sąd uznał za nieuzasadniony zarzut dotyczący naruszenia art. 5 ust. 1 lit. a oraz b rozporządzenia. Z powołanych przepisów wynika, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (lit. a) oraz zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (lit. b). Podstawą przetwarzania danych jest obecnie art. 6 ust. 1 lit. c i art. 9 ust. 2 lit. h rozporządzenia. Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że niezasadny jest również naruszenia zasady dwuinstancyjności postępowania (art. 15 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 z późn. zm., zwana dalej: "k.p.a.") przy ponownym rozpoznaniu sprawy przez Prezesa UODO. Okoliczność, że organ podzielił swoje dotychczasowe ustalenia, analogicznie ocenił zgromadzony w sprawie materiał dowodowy i na jego podstawie wysnuł takie same wnioski nie świadczy o tym, że nie rozpoznał ponownie sprawy administracyjnej zgodnie z zasadą dwuinstancyjności postępowania. W ocenie Sądu Prezes UODO przeprowadził postępowanie zgodnie z regułami postępowania, o których mowa w art. 7, art. 77, art. 86 k.p.a. Trzeba zresztą zauważyć, że skarżący nie kwestionują ustaleń faktycznych organu, ale jego stanowisko, że w rozpoznawanej sprawie wystąpiły przesłanki uzasadniające przetwarzanie danych osobowych (wrażliwych) bez ich zgody. Nie jest wreszcie uzasadniony zarzut dotyczący naruszenia art. 138 § 1 pkt 1 k.p.a., ponieważ Prezes UODO prawidłowo utrzymał w mocy swoją decyzję z 4 października 2019 r. Skargę kasacyjną od tego wyroku wnieśli J. i A. J., zaskarżając wyrok w całości i zarzucając mu: a. - naruszenie przepisów postępowania mające istotny wpływ na wynik postępowania, tj.: 1. art. 15 k.p.a. w zw. z art. 160 ust. 2 ustawy o ochronie danych osobowych poprzez pozbawienie skarżącej prawa do ponownego merytorycznego rozpoznania i rozstrzygnięcia jego sprawy - decyzja organu II instancji stanowi "przepisanie" treści decyzji l-instancyjnej, co w konsekwencji doprowadziło do naruszenia przez organ zasady dwuinstancyjności i utrzymania w mocy decyzji odmawiającej skarżącej ochrony przed nielegalnym przetwarzaniem jej danych osobowych, 2. art. 134 p.p.s.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 86 k.p.a. w zw. z art. 160 ust. 2 ustawy o ochronie danych osobowych poprzez nieustosunkowanie się do istotnych twierdzeń strony dotyczących istotnych okoliczności faktycznych i prawnych, co miało wpływ na wynik postępowania - Wojewódzki Sąd Administracyjny nie odniósł się do zarzutu naruszenia art. 7 k.p.a., w zw. z art. 77 k.p.a. w zw. z art. 86 k.p.a. w zw. z art. 160 ust. 2 ustawy o ochronie danych osobowych pomijając je w swoim wyroku, b. - naruszenie przepisów prawa materialnego; 1. art. 5 ust. 1 pkt 4 lit. a - c, art. 17 ust. 8 pkt 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi w zw. z art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w brzmieniu do dnia 25 maja 2018 r. poprzez uznanie, że przetwarzanie wrażliwych danych osobowych skarżącej, jej męża i ich syna jest dopuszczalne, podczas gdy przepisy ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych mówią jedynie o udzielaniu danych i informacji oraz o sporządzaniu sprawozdań nie wskazując zakresu danych osobowych jakie mają się znaleźć w sprawozdaniach, w szczególności nie wskazując, że chodzi o tzw. sensytywne dane osobowe, 2. art. 5 ust. 1 pkt. 4 lit. a - c, art. 17 ust. 8 pkt 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi w zw. z art. 27 ust. 2 pkt 2 w zw. z art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w brzmieniu do dnia 25 maja 2018 r. poprzez uznanie, że na podstawie tych przepisów możliwe jest przetwarzanie danych osobowych skarżącej, jej męża i ich syna przez J. K. prowadzącego działalność pod firmą K. J., N. w T. i Państwowego Powiatowego inspektora Sanitarnego w B. w związku ze sprawowaniem przez organy inspekcji sanitarnej nadzoru nad realizacją obowiązku szczepień oraz egzekucją tego obowiązku, podczas gdy przetwarzanie danych skarżącej odbywało się z naruszeniem art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych, 3. art. 5 ust. 1 lit. a, b "w zw. z art." rozporządzenia RODO poprzez uznanie, iż J. K. prowadzący działalność pod firmą K. J., N. w T. miał prawo przetwarzać dane osobowe skarżącej, jej męża i ich małoletniego syna, mimo iż złożyli oni rezygnację z wyboru lekarza poz w przedmiotowej placówce, zastrzegli dane osobowe, co skutkowało wygaśnięciem celu przetwarzania i okresu, niezbędnego do osiągnięcia celu, 4. art. 6 ust. 1 lit. c i art. 9 ust. 2 lit. h rozporządzenia RODO poprzez uznanie, że podstawą przetwarzania danych osobowych skarżącej, jej męża i małoletniego syna, którzy złożyli oświadczenie o rezygnacji z wyboru lekarz poz są w/w przepisy, podczas gdy administrator danych osobowych ma obowiązek ich przetwarzania jedynie, gdy ciąży na nim taki obowiązek prawny, a także gdy jest to niezbędne dla profilaktyki zdrowotnej, podczas gdy obie wskazane przesłanki nie zachodzą w niniejszej sprawie w związku z oświadczeniem o rezygnacji z wyboru lekarza poz. Mając powyższe na uwadze skarżący kasacyjnie wnieśli o uchylenie na podstawie art. 185 § 1 p.p.s.a. zaskarżonego orzeczenia i przekazanie sprawy do ponownego rozpoznania Sądowi pierwszej instancji, zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych, a także przeprowadzenie rozprawy. Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej. W niniejszej sprawie zostały wniesione dwie odpowiedzi na skargę kasacyjną. W pierwszej odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie. W drugiej odpowiedzi na skargę kasacyjną uczestnik postępowania, tj. Państwowy Powiatowy Inspektor Sanitarny w B. wniósł o jej oddalenie oraz w pełni poparł stanowisko Prezesa Urzędu Ochrony Danych Osobowych wyrażone w decyzji. Naczelny Sąd Administracyjny zważył, co następuje: Stosownie do art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu, dokonując kontroli zaskarżonego skargą kasacyjną wyroku. Wobec tego Naczelny Sąd Administracyjny przeszedł do zbadania zarzutów kasacyjnych. Skarga kasacyjna jest niezasadna i jako taka podlega oddaleniu na podstawie art. 184 p.p.s.a. W świetle art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy. Podkreślenia wymaga także, że o skuteczności zarzutów naruszenia przepisów postępowania nie decyduje każde uchybienie, lecz tylko i wyłącznie takie, które mogło mieć istotny wpływ na wynik sprawy. Przez "wpływ", o którym mowa na gruncie art. 174 pkt 2 p.p.s.a., rozumieć należy bowiem istnienie związku przyczynowego pomiędzy uchybieniem procesowym stanowiącym przedmiot zarzutu skargi kasacyjnej, a wydanym w sprawie zaskarżonym orzeczeniem sądu administracyjnego pierwszej instancji, który to związek przyczynowy, jakkolwiek nie musi być realny, to jednak musi uzasadniać istnienie hipotetycznej możliwości odmiennego wyniku sprawy. Jednocześnie podkreślić należy, że w sytuacji, gdy strona wnosząca skargę kasacyjną zarzuca wyrokowi Sądu pierwszej instancji naruszenie przepisów prawa materialnego, jak i naruszenie przepisów postępowania, w pierwszej kolejności trzeba odnieść się do zarzutu naruszenia przepisów postępowania, bowiem dopiero wówczas, gdy zostanie przesądzone, że stan faktyczny przyjęty przez Sąd pierwszej instancji za podstawę orzekania jest prawidłowy albo nie został dostatecznie podważony, można przejść do oceny zasadności zarzutów prawa materialnego. W odniesieniu do zarzutu naruszenia art. 15 k.p.a. w zw. z art. 160 ust. 2 ustawy o ochronie danych osobowych (t.j. Dz.U. z 2019 r., poz. 1871; dalej jako "u.o.d.o.") należy wskazać, że zarzut ten jest bezzasadny. Zgodnie z art. 160 ust. 2 postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych zgodnie z zasadami określonymi w k.p.a. Z kolei art. 15 k.p.a. stanowi, że postępowanie administracyjne jest dwuinstancyjne, chyba że przepis szczególny stanowi inaczej. Z zasady dwuinstancyjności wynika obowiązek organu administracji publicznej pierwszej instancji merytorycznego rozpoznania sprawy oraz obowiązek organu drugiej instancji jej ponownego rozpoznania i rozstrzygnięcia celem skontrolowania, czy działania podejmowane przez organ pierwszej instancji były prawidłowe. Celem postępowania odwoławczego nie jest sama kontrola poprawności rozstrzygnięcia podjętego przez organ pierwszej instancji, lecz uzupełnienie stanu faktycznego i materiału dowodowego sprawy oraz uwzględnienie tych zmian w stanie prawnym sprawy, które nastąpiły po wydaniu decyzji przez organ pierwszej instancji. Istota dwuinstancyjności sprowadza się do dwukrotnego rozpoznania i rozstrzygnięcia tożsamej pod względem przedmiotowym i podmiotowym sprawy administracyjnej. Rację ma jednak Sąd pierwszej instancji, iż "okoliczność, że organ podzielił swoje dotychczasowe ustalenia, analogicznie ocenił zgromadzony w sprawie materiał dowodowy i na jego podstawie wysnuł takie same wnioski nie świadczy o tym, że nie rozpoznał ponownie sprawy administracyjnej zgodnie z zasadą dwuinstancyjności postępowania" (s. 10 uzasadnienia zaskarżonego wyroku). W skardze kasacyjnej powyższy zarzut został sformułowany w sposób bardzo ogólny, a jego uzasadnienie sprowadza się do przytoczenia dwóch orzeczeń sądów administracyjnych. Skarżący kasacyjnie nie kwestionują także ustalonego w sprawie stanu faktycznego. Powyższe sprawia, że omawiany zarzut jest bezzasadny. Brak także podstaw do uwzględnienia zarzutu naruszenia art. 134 p.p.s.a. w zw. z art. 7 k.p.a., w zw. z art. 77, w zw. z art. 86 k.p.a. w zw. z art. 160 ust. 2 u.o.d.o. poprzez nieustosunkowanie się do istotnych twierdzeń strony dotyczących istotnych okoliczności faktycznych i prawnych, co miało wpływ na wynik postępowania. Przede wszystkim należy podnieść, że formułując przedmiotowy zarzut oraz jego uzasadnienie, skarżący kasacyjnie w ogóle nie sprecyzowali, jakich konkretnie ustaleń nie poczynił Sąd pierwszej instancji. W tym stanie rzeczy nie było podstaw do jego uwzględnienia. Zarzucając wadliwość warstwie faktycznej wyroku Sądu pierwszej instancji należy sprecyzować, jakie ustalenia faktyczne z perspektywy przyjętej podstawy prawnej rozstrzygnięcia były istotne, jakiego zakresu tych ustaleń Sąd pierwszej instancji nie poczynił i dlaczego uchybienie to mogło mieć istotny wpływ na wynik sprawy. Analizowany zarzut przedmiotowych wymogów nie realizuje. Okoliczność, że Przychodnia przekazała Powiatowemu Inspektorowi Sanitarnemu dane osobowe skarżących i ich syna została w postępowaniu ustalona i nie jest kwestionowana. Natomiast zgodnie z art. 86 k.p.a. jeżeli po wyczerpaniu środków dowodowych lub z powodu ich braku pozostały niewyjaśnione fakty istotne dla rozstrzygnięcia sprawy, organ administracji publicznej dla ich wyjaśnienia może przesłuchać stronę. Do przesłuchania stron stosuje się przepisy dotyczące świadków, z wyłączeniem przepisów o środkach przymusu. Dowód z przesłuchania strony ma charakter subsydiarny, a jego przeprowadzenie jest warunkowane spełnieniem wyżej wymienionych przesłanek, które w niniejszej sprawie nie zaistniały, gdyż ustalony stan faktyczny sprawy był niewątpliwy. Przechodząc do oceny zarzutów naruszenia prawa materialnego należy podnieść, że wobec bezzasadności zarzutów naruszenia przepisów postępowania stan faktyczny przyjęty przez Sąd pierwszej instancji jako podstawę oceny legalności zaskarżonej decyzji Naczelny Sąd Administracyjny przyjmuje za prawidłowy. Brak podstaw do uwzględnienia zarzutu naruszenia art. 5 ust. 1 pkt 4 lit. a-c i art. 17 ust. 8 pkt 2 ustawy z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń oraz chorób zakaźnych u ludzi (t.j. Dz.U. z 2024 r., poz. 924). Skarżący kasacyjnie wywodzą, że WSA błędnie uznał, że na podstawie powołanego przepisu przetwarzanie danych osobowych skarżących kasacyjnie i ich syna jest dopuszczalne. Zgodnie z art. 5 ust. 1 pkt 4 lit. a-c ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi: 1. Osoby przebywające na terytorium Rzeczypospolitej Polskiej są obowiązane na zasadach określonych w ustawie do: 4) udzielania danych i informacji: a) organom Państwowej Inspekcji Sanitarnej, Wojskowej Inspekcji Sanitarnej, Inspekcji Weterynaryjnej, Wojskowej Inspekcji Weterynaryjnej, Inspekcji Ochrony Środowiska, jednostkom, o których mowa w art. 30 ust. 1, oraz ośrodkom referencyjnym i instytutom badawczym - niezbędnych do prowadzenia nadzoru epidemiologicznego nad zakażeniami i chorobami zakaźnymi i zapobiegania oraz zwalczania zakażeń i chorób zakaźnych, b) właściwym państwowym inspektorom sanitarnym - niezbędnych do prowadzenia nadzoru epidemiologicznego nad niepożądanymi odczynami poszczepiennymi, c) organom Państwowej Inspekcji Sanitarnej - niezbędnych do sprawowania nadzoru nad realizacją obowiązków, o których mowa w pkt 1-3, to jest w szczególności obowiązku poddawania się szczepieniom ochronnym. Zgodnie z treścią art. 17 ust. 8 pkt 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi "[o]soby przeprowadzające szczepienia ochronne sporządzają sprawozdania z przeprowadzonych obowiązkowych szczepień ochronnych oraz sprawozdania ze stanu zaszczepienia osób objętych profilaktyczną opieką zdrowotną, które przekazują państwowemu powiatowemu inspektorowi sanitarnemu." Jak wynika z załącznika nr 4 rozporządzenia Ministra Zdrowia z dnia 18 sierpnia 2011 r. w sprawie obowiązkowych szczepień ochronnych (t.j. Dz. U. 2022 r. poz. 2172; obowiązującego w dacie wydania decyzji) Sprawozdanie z obowiązkowych szczepień ochronnych obejmuje imienny wykaz danych osób uchylających się od szczepień. Stosownie do postanowień § 13 powołanego rozporządzenia sprawozdania przekazywane są kwartalnie do PPIS, albowiem stosownie do art. 5 ust. 1 pkt 3 ustawy z 14 marca 1985 r. o Państwowej Inspekcji Sanitarnej (t.j. Dz.U. z 2024 r., poz. 416) jest to organ nadzorujący realizację obowiązku szczepień ochronnych. Nie mają zatem racji skarżący kasacyjnie, że art. 17 ust. 8 pkt 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi nie mógł stanowić podstawy do gromadzenia i przetwarzania danych osobowych ich oraz ich syna. Stosownie do postanowień art. 5 ust. 1 pkt 1 lit. b i ust. 2 tej ustawy małoletni syn skarżących kasacyjnie jest osobą zobowiązaną do poddania się obowiązkowi szczepień ochronnych, a skarżący, jako jego przedstawiciele ustawowi, są odpowiedzialni za realizację tego obowiązku. Uchylanie się od obowiązku szczepień ochronnych, w takim skonfigurowaniu, dotyczy więc tak skarżących kasacyjnie, jak i ich syna. Przetwarzanie danych osobowych wszystkich wymienionych osób na podstawie art. 17 ust. 8 pkt 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi oraz innych przepisów powołanych w uzasadnieniu wyroku Sądu pierwszej instancji, było prawidłowe. Niezasadny okazał się także zarzut naruszenia art. 5 ust. 1 pkt 4 lit. a-c, art. 17 ust. 8 pkt 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi w zw. z art. 27 ust. 2 pkt 2 w zw. z art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r., poz. 922; dalej: "u.o.d.o.") (zarzut b. 2.). Stosownie do treści art. 27 ust. 2 pkt 2 u.o.d.o. przetwarzanie danych ujawniających dane o stanie zdrowia jest dopuszczalne, jeżeli przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą i stwarza pełne gwarancje ich ochrony. Wynikający z treści art. 27 ust. 2 pkt 2 u.o.d.o. wymóg zagwarantowania pełnej ochrony przetwarzanych danych osobowych odnosi się do przepisu ustawy szczególnej, na podstawie którego takie przetwarzanie się odbywa, a nie podmiotu, który przetwarza dane. Sąd pierwszej instancji podał przepisy, na podstawie których przetwarzano dane osobowe skarżących oraz ich syna. Jak wynika z uzasadnienia wyroku był to art. 5 ust. 1 pkt 1 lit. b i ust. 2 oraz art. 17 ust. 1 i art. 17 ust. 8 pkt 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi. Nie są zasadne również zarzuty naruszenia przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1; dalej: "RODO"). Z art. 5 ust. 1 lit. a i b RODO wynika, że dane osobowe muszą być: "a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu")". Podstawą przetwarzania danych w niniejszej sprawie jest art. 6 ust. 1 lit. c w zw. z art. 9 ust. 2 lit. h RODO. Należy mieć na uwadze, że RODO nie ustanawia bezwzględnej zasady ochrony danych przed udostępnieniem bez zgody osób, których dane dotyczą. Należy wskazać, że przetwarzanie danych, które może także uwzględniać ich udostępnienie, uważa się za zgodne z prawem m.in. wówczas, gdy jest niezbędne do wypełnienia ciążącego na administratorze obowiązku prawnego bądź do wykonywania zadania, realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, powierzonej administratorowi. Z art. 9 ust. 2 lit. h RODO wynika, że zgodne z prawem jest przetwarzanie danych niezbędne do celów profilaktyki zdrowotnej. Ocena legalności decyzji dokonana przez Sąd pierwszej instancji jest zatem prawidłowa, a podniesione w skardze kasacyjnej zarzuty niezasadne. Z powyższych względów Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., oddalił skargę kasacyjną.