II SA/Sz 205/15

Dnia 13 marca 2015 roku Wojewódzki Sąd Administracyjny w Szczecinie w składzie: Przewodniczący Sędzia WSA Barbara Gebel po rozpoznaniu w dniu 13 marca 2015 roku na posiedzeniu niejawnym sprawy ze skargi R. S. na czynności Państwowego Wojewódzkiego Inspektora Sanitarnego w przedmiocie przetwarzania danych osobowych postanawia: odrzucić skargę. Pismem z dnia [...], R.S. wystąpił ze skargą do Wojewódzkiego Sądu Administracyjnego w. S. na "czynności" Wojewódzkiego Inspektora Sanitarnego w S. w sprawie [...] prowadzonej przez Państwowego Powiatowego Inspektora Sanitarnego w P. Skarżący podał, że w toku postępowania prowadzonego przez organ pierwszej instancji, powziął wiedzę o możliwym naruszeniu przez nieokreślonych pracowników państwowej inspekcji sanitarnej w województwie, przepisów ustawy o ochronie danych osobowych, poprzez czynności przetwarzania danych osobowych o stanie zdrowia syna skarżącego. Konkretnie, nieustalony pracownik inspektoratu udostępnił prawdopodobnie innym pracownikom podlegającym przedmiotowej inspekcji, treści odnoszące się do stanu zdrowia syna skarżącego oraz fragmenty pisma, które zostały przesłane organowi w dniu [...]. Wyjaśnił, że dokonał analizy danych z rejestru zgłoszeń zbiorów danych osobowych znajdujących się w serwisie prowadzonym przez Głównego Inspektora Ochrony Danych Osobowych, cały proces trwał 5 tygodni i dopiero po jego zakończeniu możliwe było ustalenie, w jakim zakresie naruszone zostało prawo przez organy. Zestawienie tychże danych, jak wskazał skarżący, stanowią załączniki 1-3 do skargi. Skarżący wskazał, że w dniu [...] skierował do Państwowego Wojewódzkiego Inspektora Sanitarnego w S. wezwanie do usunięcia naruszenia prawa w zakresie przetwarzania danych o stanie zdrowia jego syna. Według R.S., organ naruszył art. 27 ust. 1 ustawy o ochronie danych osobowych, ponieważ skarżący nie wyraził zgody na piśmie na przetwarzanie danych osobowych syna, a organ nie wskazał przepisów szczególnych innej ustawy zezwalającej na przetwarzanie takich danych bez zgody osoby, której dane dotyczą. Zarzucił organowi naruszenie art. 40 ustawy o ochronie danych osobowych, gdyż dane o stanie zdrowia nie podlegają wyłączeniu z obowiązku rejestracji przez administratorów w rozumieniu art. 43 ust. 1 ww. ustawy. Ponadto podniósł zarzut naruszenia art. 46 ust. 2 ww. ustawy, poprzez przetwarzanie zbiorów danych o stanie zdrowia w rozumieniu 27 ust. 1 ww. ustawy, przed ich zgłoszeniem Generalnemu Inspektorowi Ochrony Danych Osobowych. Uznał, że wrażliwe dane osobowe o stanie zdrowia jego dziecka, zostały zebrane z naruszeniem art. 35 ustawy o ochronie danych osobowych, a także z naruszeniem art. 36 tej ustawy, w zakresie niezapewnienia należytej ochrony przetwarzania tychże danych, poprzez umożliwienie ich udostępniania osobom nieuprawnionym oraz ich przetwarzania z naruszeniem przepisów aktu wykonawczego do ustawy. Według skarżącego, nieustaleni pracownicy organu podlegają odpowiedzialności wskazanej w art. 51 ust. 1 lub 2, art. 52 ustawy o ochronie danych osobowych. Państwowy Wojewódzki Inspektor Sanitarny w S. w odpowiedzi na skargę R.S. wniósł o jej odrzucenie lub oddalenie. Wojewódzki Sąd Administracyjny w S. zważył, co następuje: Na wstępie należy podkreślić, że postępowanie sądowoadministracyjne toczy według reguł, jakie wynikają z ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), zwanej w dalszej części: "P.p.s.a.", a zalicza się do nich m.in. obowiązek zbadania przez sąd przesłanek dopuszczalności wniesionej skargi. W art. 58 § 1 P.p.s.a., określającym podstawy odrzucenia skargi znajduje się nawiązanie do konstrukcji przesłanek dopuszczalności zaskarżenia. Należy przez nie rozumieć, określone w ustawie procesowej warunki (wymagania) prawidłowego zaskarżenia, dotyczące zarówno przedmiotu skargi, jej formy, jak i treści, którą powinna zawierać, aby mogła nastąpić kontrola zgodności z prawem zaskarżonego aktu lub czynności przez sąd administracyjny. Powyższe oznacza potrzebę ustalenia dwu faktów, a mianowicie: istnienia przedmiotu zaskarżenia oraz aktu zaskarżenia. Z punktu widzenia dopuszczalności zaskarżenia istotne jest ustalenie, czy dany akt lub czynność zaistniały, jako fakt obiektywny, chodzi przede wszystkim o to, żeby odróżnić tego rodzaju akty lub czynności od zaistnienia zdarzenia faktycznego stwarzającego pozory czynności prawnej ze względu na formę, czas i miejsce powstania oraz podmiot, który je podjął (por. T. Woś, w: T. Woś, H. Knysiak – Molczyk, M. Romańska. Prawo o postępowaniu przed sądami administracyjnymi. Komentarz. Warszawa 2012, s. 455-456.). Przenosząc powyższe rozważania na grunt niniejszej sprawy, która jak wynika ze skargi dotyczy naruszenia praw osoby, nad którą skarżący sprawuje władzę rodzicielską, poprzez podjęcie przez organ czynności z zakresu administracji publicznej dotyczących uprawnień lub obowiązków wynikających z przepisów prawa – art. 3 § 2 pkt 4 P.p.s.a., wymaga uprzedniego wyjaśnienia przez sąd, jaki charakter mają akty lub czynności podlegające kontroli sądowej na podstawie powołanego przepisu. W ślad za poglądami judykatury, powtórzyć należy, że zalicza się do nich te akty lub czynności, które: a) mają charakter władczy, chociaż nie mają charakteru decyzji lub postanowienia, te bowiem są zaskarżalne na podstawie art. 3 § 2 pkt 1 - 3 P.p.s.a.; b) są podejmowane w sprawach indywidualnych; c) mają charakter publicznoprawny, ponieważ tylko w tym zakresie działalność administracji została poddana kontroli sądów administracyjnych; d) dotyczą uprawnień lub obowiązków wynikających z przepisu prawa, co oznacza, że musi istnieć ścisły i bezpośredni związek między działaniem (zaniechaniem określonego działania) organu administracji a możliwością realizacji uprawnienia (obowiązku), wynikającego z przepisu prawa przez podmiot niepowiązany organizacyjnie z organem wydającym dany akt lub czynność (por. uchwała składu siedmiu sędziów NSA z dnia 3 września 2013 r., sygn. akt I OPS 2/2013, opubl. w ONSAiWSA 2014/1/2, OSP 2014/5/53, LEX nr 1356405, Prok.i Pr.-wkł. 2014/11-12/48). Omówione wyżej kryteria wskazał w swym uzasadnieniu także skład siedmiu sędziów NSA w uchwale z dnia 4 lutego 2008 r., sygn. akt I OPS 3/07 (opubl. w ONSAiWSA 2008/2/21, OSP 2008/5/51, OSP 2008/7-8/89, Prok.i Pr.-wkł. 2008/7-8/65, POP 2008/3/45), podnosząc, że o akcie lub czynności w rozumieniu art. 3 § 2 pkt 4 P.p.s.a., na który może być wniesiona skarga do sądu administracyjnego, można mówić wówczas, gdy akt (czynność) podjęty jest w sprawie indywidualnej, skierowany do oznaczonego podmiotu administrowanego, dotyczy uprawnienia lub obowiązku tego podmiotu, samo zaś uprawnienie lub obowiązek, których akt (czynność) dotyczy, określone są w przepisie prawa powszechnie obowiązującego. W takich wypadkach dla konkretyzacji prawnego stosunku administracyjnego, mogą pojawić się akty lub czynności organów administracji publicznej, których przedmiotem jest przyznanie (odmowa przyznania), stwierdzenie (odmowa stwierdzenia), albo uznanie (odmowa uznania), określonego uprawnienia lub obowiązku, wynikających z mocy powszechnie obowiązującego przepisu prawa. W przypadku tego rodzaju żądania, skierowanego przez podmiot uprawniony, obowiązkiem organu jest odniesienie do takiego uprawnienia lub obowiązku w formie aktu lub czynności, które strona może poddać kontroli sądu administracyjnego. Za tego rodzaju akty lub czynności, w rozumieniu art. 3 § 2 pkt 4 P.p.s.a., do którego wydania organ jest zobligowany w świetle powszechnie obowiązujących przepisów prawa, nie sposób uznać opisaną w treści skargi możliwość udostępnienia, przez pracowników organu, osobom nieupoważnionym korespondencji w postępowaniu administracyjnym, jak również nie sposób za nie uznać czynności organów inspekcji sanitarnej na terenie województwa, opisanych w załącznikach do skargi (nr 1-3). Załączniki te zawierają w istocie zestawienie tytułów ze zbiorów danych osobowych, o charakterze ogólnym, odnoszące się do zagadnień z zakresu ochrony zdrowia w formie haseł, jakie stanowią przedmiot działania organów inspekcji sanitarnej. Według sądu, z potencjalnej możliwości udostępnienia danych osobowych osobie nieuprawnionej, czy też ich przetwarzania bez zgody zainteresowanego, jak również ze zbiorów powołanych przez skarżącego w złącznikach do skargi, nie sposób odczytać tego rodzaju działania w sprawie indywidualnej skarżącego, wymagającej wydania aktu lub czynności (w rozumieniu art. 3 § 2 pkt 4 P.p.s.a.), których przedmiotem jest przyznanie, stwierdzenie albo uznanie, czy też odmowa w ww. zakresie, określonego uprawnienia lub obowiązku adresowanego bezpośrednio do konkretnego podmiotu, z mocy powszechnie obowiązującego przepisu prawa. Powyższe nie oznacza oczywiście, iż skarżący nie ma możliwości domagania się ochrony prawnej w zakresie podnoszonych skargą zarzutów. Źródła tej ochrony należy upatrywać w przepisach ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182 ze zm.). W ustawie tej uregulowany został m.in. sposób przetwarzania danych osobowych oraz instrumenty prawne służące ochronie osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych. Stosownie do art. 12 ww. ustawy, do zadań i kompetencji Generalnego Inspektora Ochrony Danych Osobowych należy pełnienie funkcji rzecznika interesów poszczególnych osób, jak i określonych interesów publicznych, funkcji organu rejestrowego oraz organu inspekcyjnego. Jak wynika z art. 18 ust. 1 ww. ustawy, w przypadku naruszenia przepisów o ochronie danych osobowych, Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych; 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe; 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego; 5) zabezpieczenie danych lub przekazanie ich innym podmiotom; 6) usunięcie danych osobowych. W świetle omawianej ustawy, naruszenie jej przepisów staje się źródłem odpowiedzialności administracyjnej, prowadzącej w istocie do przywrócenia stanu zgodnego z prawem oraz odpowiedzialności karnej (art. 19 i art. 49 -54a ww. ustawy). Przejawem władczych kompetencji Generalnego Inspektora jest także rozpatrywanie – w trybie Kodeksu postępowania administracyjnego – skarg w sprawach wykonywania przepisów ustawy o ochronie danych osobowych, a wynika to z art. 12 pkt 2 ww. ustawy. W przypadku załatwienia sprawy w sposób przewidziany w art. 18 ust. 1 ww. ustawy, stronie przysługuje możliwość kwestionowania wydanej decyzji, poprzez złożenie wniosku o ponowne rozpatrzenie sprawy (art. 127 § 3 K.p.a.), kierowanego do Generalnego Inspektora Ochrony Danych Osobowych. Dopiero wynik ponownego rozpatrzenia sprawy przed ww. organem, otwiera drogę do sądowej kontroli zarzutów podnoszonych przez skarżącego. Reasumując, w świetle przedstawionych wyżej wywodów, brak jest przesłanek warunkujących dopuszczalność wniesienia skargi do sądu administracyjnego w związku z powoływanymi przez skarżącego naruszeniami prawa, bez uprzedniego wyczerpania środków ochrony przysługujących skarżącemu, w postępowaniu administracyjnym prowadzonym zgodnie z przepisami określonymi w ustawie o ochronie danych osobowych i w przewidzianej prawem formie rozstrzygnięcia, w postaci decyzji administracyjnej, co skutkuje uznaniem wniesionej skargi za niedopuszczalną w rozumieniu art. 58 § 1 pkt 6 P.p.s.a. Stosownie do powołanego przepisu, sąd odrzuca skargę z innych przyczyn - w pojęciu tym mieści się między innymi niewyczerpanie środków zaskarżenia przez organem właściwym w sprawie, czy też niespełnienie określonych warunków wprost związanych z przedmiotem zaskarżenia (por. B. Dauter. Metodyka pracy sędziego sądu administracyjnego. Warszawa 2014, s. 199). Mając powyższe na względzie, sąd odrzucił skargę R.S., na podstawie art. 58 § 1 pkt 6 i § 3 ustawy Prawo o postępowaniu przed sądami administracyjnymi, o czym orzekł, jak na wstępie.