II SA/Wa 1023/16

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Adam Lipiński (spr.), Sędziowie WSA Andrzej Góraj, Maria Werpachowska, , Protokolant specjalista Wiesława Jesiotr, po rozpoznaniu na rozprawie w dniu 25 listopada 2016 r. sprawy ze skargi "[...]" sp. z o.o. Niepublicznego Zakładu Opieki Zdrowotnej z/s w R. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych - oddala skargę- Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] kwietnia 2016 r. utrzymał w mocy swoją poprzedzającą decyzję z dnia [...] czerwca 2015 r., nakazującą Niepublicznemu Zakładowi opieki Zdrowotnej "[...]" Sp. z o.o. w R. udostępnienie T. P. danych osobowych w zakresie imion i nazwisk oraz adresów zamieszkania dwóch pracowników Spółki, tj. pielęgniarki i lekarza medycyny obsługujących zdarzenie z dnia [...] października 2013 r., podczas którego personel zgłosił swojemu przełożonemu fakt zapachu alkoholu po wejściu do przychodni T. P. W podstawie prawnej decyzji organ powołał art. 138 § 1 pkt 1 Kpa oraz art. 12 pkt 2, art. 18, art. 22, art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2015 r. poz. 2135 ze zm.). W uzasadnieniu decyzji organ wskazał co następuje: T. P. wykonuje zwód lekarza karetki typu "S" w Wojewódzkim Szpitalu Specjalistycznym w R. W dniu [...] października 2013 r. jako członek zespołu z karetką został wezwany do pacjentki przebywającej w NZOZ "[...]" Sp. z o.o. w R. (zwane dalej Spółką). W trakcie udzielania świadczeń medycznych dwoje pracowników personelu Spółki przekazało swojej przełożonej informację o prawdopodobnym pozostawaniu T. P. pod wpływem alkoholu. Prezes Spółki telefonicznie poinformowała przełożonego T. P. o zaistniałym incydencie, który poprzez dyspozytora Zespołów Wyjazdowych wezwał T. P. do pilnego stawiennictwa. Podczas rozmowy z przełożonym, T. P. zażądał wykonania badania krwi na zawartość etanolu. Krew została pobrana o godz. 15.41 i wynik, tj.: 0,005‰, nie potwierdził podejrzeń osoby zgłaszającej. W dniu [...] października 2013 r. T. P. zwrócił się do Spółki o wskazanie okoliczności, na podstawie których została powzięta informacja o podejrzeniu, że jego stan wskazuje na spożycie alkoholu, bądź o wskazanie osoby, która o takim podejrzeniu poinformowała. Pismem z dnia [...] października 2013 r. Spółka wskazała, że personel w osobach pielęgniarki, która wykonywała badania oraz lekarza medycyny obsługującego zdarzenie, zgłosili swojemu przełożonemu wyczuwalny zapach alkoholu osoby z zespołu karetki. Pismem z dnia [...] grudnia 2013 r. T. P. zwrócił się do Spółki o wskazanie danych osobowych zawierających imię, nazwisko oraz adres korespondencyjny personelu, w szczególności pielęgniarki, która wykonywała badania oraz lekarza medycyny obsługującego zdarzenie celem umożliwienie podjęcia dalszych działań wyjaśniających mających na celu ustalenie, czy doszło do naruszenia prze te osoby dóbr osobistych oraz skierowania do nich ewentualnych roszczeń z tego tytułu. Pismem z dnia [...] stycznia 2014 r. Spółka odmówiła udostępnienia wnioskowanych danych wskazując jako podstawę brak zgody tych osób. Ponadto wyjaśniono, że udostępnienie danych osobowych przy braku zgody osoby, których dane dotyczą skutkować może m. in. odpowiedzialnością karną (zgodnie z art. 51 ustawy o ochronie danych osobowych). W tym stanie sprawy T. P. (działający przez swojego zawodowego pełnomocnika) skierował do Biura Generalnego Inspektora Ochrony Danych Osobowych skargę na brak udostępnienia przez Spółkę danych wyżej opisanych osób. Wyjaśnił, iż przedmiotowe dane są mu potrzebne w związku z zamiarem skierowania przeciwko tym osobom, które zgłosiły pracodawcy podejrzenie bycia T. P. pod wpływem alkoholu podczas pełnienia czynności służbowych, powództwa cywilnego o naruszenie dóbr osobistych oraz złożenie prywatnego aktu oskarżenia o popełnienie czynu z art. 212 Kodeksu karnego tj. zniesławienia. Organ po przeanalizowaniu ustalonego jak wyżej stanu faktycznego, decyzją z dnia [...] czerwca 2015 r. uwzględnił żądanie T. P. Od powyższej decyzji Spółka złożyła wniosek o ponowne rozpatrzenie sprawy. Po ponownym rozpatrzeniu sprawy, GIODO decyzją z dnia [...] kwietnia 2016 r. utrzymał w mocy swoją poprzedzającą decyzję. Organ argumentował, iż zgodnie z art. 23 ust. 1 ustawy o ochronie danych osobowych przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy spełniona zostanie jedna z wymienionych w tym przepisie przesłanek. Przesłanki te odnoszą się do wszelkich form przetwarzania danych wymienionych w art. 7 pkt 2 ustawy, w tym do ich udostępniania. Są także wzglądem siebie równoprawne, co oznacza, że dla legalności procesu przetwarzania danych wystarczające jest spełnienie jednej z nich. Spółka jest administratorem danych osobowych pielęgniarki i lekarza medycyny, obsługujących zdarzenie z dnia [...] października 2013 r., ponieważ decyduje o celach i środkach przetwarzania ich danych jako pracowników Spółki (art. 7 pkt 4 ustawy). Z analizy materiału dowodowego zgromadzonego w niniejszej sprawie wynika, że żądanie T. P. o udostępnienie wspomnianych danych osobowych wypełnia dyspozycję art. 23 ust. 1 pkt 5 ustawy. Przepis ten ustanawia tzw. klauzulę usprawiedliwionego celu i przewiduje, iż dozwolone jest przetwarzanie danych osobowych, jeśli jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą . Jednocześnie cel musi być oznaczony i konkretny. W ocenie organu, zainteresowany wiarygodnie i wyczerpująco uzasadnił potrzebę pozyskania danych osobowych w zakresie imion i nazwisk oraz adresów zamieszkania dwóch pracowników Spółki, tj. pielęgniarki i lekarza medycyny obsługujących zdarzenie z dnia [...] października 2013 r., podczas którego personel zgłosił swojemu przełożonemu fakt zapachu alkoholu po wejściu przez skarżącego do przychodni. T. P. wskazał, że dane te są mu niezbędne do skierowania przeciwko tym osobom powództwa cywilnego o naruszenie dóbr osobistych oraz do złożenia prywatnego aktu oskarżenia o popełnienie czynu zniesławienia z art. 212 Kk. Organ podkreślił, iż dla prawidłowego wszczęcia takich postępowań sądowych, niezbędne jest pozyskanie imion, nazwisk i adresów zamieszkania osób, przeciwko którym będą dochodzone roszczenia z tytułu naruszenia dóbr osobistych. W tym zakresie organ wskazał na art. 187 § 1 w zw. z art. 126 § 2 Kpc oraz na art. 487 Kpk oraz na komentarze do tych kodeksów (M. Jędrzejewska, T. Ereciński, J. Gudowski, Kodeks postepowania cywilnego. Komentarz, Warszawa 2007, Wydawnictwo Prawnicze LexisNexis, wydanie II str. 1897 oraz F. Prusak, Komentarz do kodeksu postępowania karnego, Warszawa 1999, Wydawnictwo Prawnicze, wydanie I, str. 1812). Polemizując z zarzutami Spółki, organ wskazał, że odmowa udostępnia danych była bezpodstawna i dlatego niezbędne było nakazanie udostępnienia tych danych decyzją. Nakaz przekazania powyższych danych osobowych przez Spółkę wynika z przywołanych w przedmiotowej decyzji Generalnego Inspektora przepisów ustawy o ochronie danych osobowych, które zostały szeroko wyjaśnione. Natomiast potrzeba dochodzenie przez skarżącego swych praw przed sądem z tytułu naruszenia jego dóbr osobistych niewątpliwie stanowi realizację prawnie usprawiedliwionego celu i jednocześnie pozyskanie ww. danych jest niezbędne do realizacji ww. uprawnienia wynikającego z przepisu prawa, tj. z art. 23 w związku z art. 24 § 1 Kodeksu cywilnego oraz art. 212 Kodeksu karnego i skarżący potrzebę tą uzasadnił. Niepubliczny Zakład Opieki Zdrowotnej "[...]" Sp. z o.o. z siedzibą w R. wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na wyżej opisana decyzję generalnego Inspektora Ochrony Danych Osobowych. Decyzji z dnia [...] kwietnia 2016 r. zarzucono: naruszenie prawa materialnego poprzez nieprawidłowe zastosowanie przez organ administracyjny art. 23 ust. 1 ustawy o ochronie danych osobowych i przyjęcie, iż zawarty tam zwrot "[...] przetwarzanie danych jest dopuszczalne tylko wtedy [...]" może być podstawą do zobligowania administratora danych, podczas gdy już samo literalne znaczenie powołanej formuły świadczy o jej fakultatywnym charakterze, co implikuje zawsze jedynie możliwość działania, nigdy zaś jego obowiązek; na wypadek nieuwzględnienia pierwszego z zarzutów, z ostrożności procesowej, podniesiono naruszenie prawa materialnego poprzez jego nieprawidłową wykładnie i przyjęcie, iż dla zastosowania art. 23 ust 1 pkt 5 ustawy o ochronie danych osobowych wystarczy zaistnienie uzasadnionego celu jedynie po stronie odbiorcy danych, co nie liczy się z koniecznością wystąpienia podstawy prawnej dla przetwarzania danych po stronnie administratora oraz ochroną praw i wolności podmiotu, którego dane zostają przetwarzane; na wypadek nieuwzględnienia poprzedzających zarzutów, z ostrożności procesowej podniesiono także naruszenie prawa materialnego poprzez jego niewłaściwe zastosowanie i przyjęcie, iż w niniejszym stanie faktycznym T. P. ma uzasadniony cel prawny, o którym mowa w art. 23 ust. l pkt 5 ustawy w postaci rzekomego roszczenia o ochronę dóbr osobistych oraz złożenia prywatnego aktu oskarżenia o przestępstwo z art. 212 Kk, w sytuacji, gdy działania te byłyby nierealne w odniesieniu do wydarzeń z dnia [...] października 2013 r.; W konkluzji skargi Spółka wniosła o uchylenie zaskarżonej decyzji w całości. W uzasadnieniu skargi Spółka podkreśliła, iż w jej rozumieniu, art. 23 ustawy nie może stać się podstawą prawną do nakazania administratorowi danych dokonania jednej z czynności udostepnienia/nieudostepnienia danych osobowych, podczas gdy jest to działanie z wyłącznie jego obszaru wolicjonalnego. Organ może jedynie badać czy zostały zrealizowane przesłanki na wypadek nieuprawnionego udostępnienia danych osobowych, wszelkie pozostałe możliwości są bowiem prawnie indyferentne. Natomiast w zakresie wykładni art. 23 ust. 1 pkt 5 ustawy, dla przyjęcia, że mamy do czynienia ze zgodnym z prawem przetwarzaniem danych osobowych, nie wystarczy istnienie prawnie usprawiedliwionego celu po jednej ze stron w sytuacji, gdy drugi z podmiotów nie może powołać się na żadną podstawę przetwarzania przez siebie danych osobowych. Za usprawiedliwione można uznać tylko takie cele, które mieszczą się w ramach prowadzonej działalności, zwłaszcza gdy administratorem danych jest podmiot prywatny, prowadzący działalność zarobkową. W związku z tym udostępnienie danych osobowych T. P. dla jego prywatnych celów nie mieści się w zakresie prowadzonej przez Spółkę "[...]" działalności i dlatego udostępnienie tych danych przez Spółkę byłoby niedozwolone. Cel do udostepnienia danych osobowych musi być prawnie usprawiedliwiony i niemożliwy do osiągnięcia przy użyciu alternatywnych środków. Nie może także naruszać praw i wolności osoby, której dane podlegają przetwarzaniu. W ocenie Spółki osoby przekazujące informacje o podejrzeniu przebywania T. P. pod wpływem alkoholu, działały nie tylko w granicach prawa, ale zgodnie z jego idealistycznymi wymogami - zażegnania niebezpieczeństwa jakie mogłoby stwarzać wykonywanie czynności ratowniczych przez lekarza będącego pod wpływem alkoholu. Dlatego bacząc na orzecznictwo oraz wykładnię art. 212 Kk, działanie tych osób nie było sprzeczne z normami prawnymi, co wyłącza zasadność i realność roszczeń cywilnych jak i karnych, których zamierza dochodzić T. P. od tych osób. Nadto tego aspektu spawy organ nie uwzględnił, a miał obowiązek wnikliwego przeanalizowania zamiaru zainteresowanego w zakresie sądowego dochodzenia roszczeń. W odpowiedzi na skargę GIODO wniósł o jej oddalenie, podtrzymując argumentacje zawarta w uzasadnieniu zaskarżonej decyzji. Uczestnik postępowania T. P., w piśmie z dnia [...] października 2016r. przyłączył się do stanowiska organu. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Dokonując kontroli zgodności z prawem zaskarżonej decyzji, stwierdzić należy, że skarga nie zasługuje na uwzględnienie, albowiem kwestionowana decyzja odpowiada prawu. Podstawę materialnoprawną zaskarżonej decyzji stanowi art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych ( tekst jednolity Dz. U. z 2016 r. poz. 922), zgodnie z którym przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. W sprawie bezsporne jest, że żądane dane osobowe są w posiadaniu strony skarżącej, która jest ich administratorem. Sprawa została zainicjowana przez pełnomocnika zainteresowanego, który zwrócił się o nakazanie ich udostępnienia przez GIODO w drodze stosownej decyzji, wobec odmownego załatwienia udostepnienia powyższych danych przez ich administratora (tu: Niepubliczny Zakład Opieki Zdrowotnej "[...]" Sp. z o.o. z siedzibą w R.). Pełnomocnik zainteresowanego argumentował, iż żądane dane osobowe (imię nazwisko i adres) są niezbędne do wytoczenia powództwa o ochronę dóbr osobistych jak i są niezbędnie do wytoczenia prywatnego aktu oskarżenia zarzucającego zniesławienie. Oczywiste jest, iż zarówno procedura cywilna jak i karna wymagają dla skuteczności wniesienia powództwa albo prywatnego aktu oskarżania podania personaliów pozwanego/oskarżonego. Skutki braku podania takich danych, w przypadku nieuzupełnienia ich w terminie muszą spowodować odrzucenie powództwa albo prywatnego aktu oskarżenia. Organ trafnie podkreślił, iż dla prawidłowego wszczęcia takich postępowań sądowych, niezbędne jest pozyskanie imion, nazwisk i adresów zamieszkania osób, przeciwko którym będą dochodzone roszczenia z tytułu naruszenia dóbr osobistych oraz z tytułu zniesławienia. W tym zakresie organ prawidłowo wskazał na treść art. 187 § 1 w zw. z art. 126 § 2 Kpc oraz na treść art. 487 Kpk oraz na komentarze do tych kodeksów (M. Jędrzejewska, T. Ereciński, J. Gudowski, Kodeks postepowania cywilnego. Komentarz, Warszawa 2007, Wydawnictwo Prawnicze LexisNexis, wydanie II str. 1897 oraz F. Prusak, Komentarz do kodeksu postępowania karnego, Warszawa 1999, Wydawnictwo Prawnicze, wydanie I, str. 1812). Natomiast dla prawidłowej oceny zaskarżonej decyzji należy odpowiedzieć na pytanie czy T. P. - zainteresowany otrzymaniem danych osobowych - rzeczywiści chce dane te wykorzystać w celu wniesienia powództwa oraz prywatnego aktu oskarżania i czy zagadnienie to zostało w sposób prawidłowy wyjaśnione przez GIODO. W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie zamiar pozyskania przez T. P. danych osobowych dwóch pracowników skarżącej Spółki został przez organ prawidłowo zbadany i wyjaśniony oraz znajduje on swoje uzasadnienie we wskazanych przez organ przepisach prawa oraz w ustalonym stanie faktycznym. W szczególności, wobec niezmienności argumentacji zainteresowanego w domaganiu się udostepnienia danych osobowych i zaangażowania w tę sprawę adwokata nie sposób wnioskować, iż dane te są zainteresowanemu potrzebne do innego celu, niż postępowania przed sądami powszechnymi w zakresie ochrony czci czy zniesławienia, na które to okoliczności zawsze i niezmiennie powoływał się w swoich pismach. Także zdarzenie z dnia [...] października 2013 r., które w ocenie zainteresowanego stanowi podstawę do jego działań prawnych (pozew/prywatny akt oskarżenia), co do faktu jego wystąpienia nie jest przez żadną ze stron niniejszego postępowania kwestionowane, aczkolwiek różna może być ocena tego zdarzenie przez strony, jak i dokonana przez sąd cywilny czy karny. Również zwrócenie się przez T. P. do GIODO o wydanie nakazu udostępnienia danych osobowych dotyczących osób, które w jego ocenie naruszyły jego dobre imię, w celu prowadzenia stosownych postepowań cywilnych oraz karnych, jest normalnym i zgodnym z prawem działaniem. Jedynie bowiem ten organ, w rozumieniu przepisów ustawy o ochronie danych osobowych, jest kompetentny do oceny czy powyższe dane mogą być zainteresowanemu udostępnione. Zatem działanie skarżącego w tym zakresie jest zgodne z prawem. Podkreślenia wymaga tu okoliczność, iż ewentualne wniesienie przez zainteresowanego pozwu albo prywatnego aktu oskarżenia bez wskazania chociażby z imienia i nazwiska pozwanych i oskarżonych jest czynnością prawnie bezskuteczną, albowiem takie postępowania przed sądami powszechnymi mogą się toczyć jedynie wobec konkretnie oznaczonych osób. Działanie takie byłoby zatem czynnością pozorną, niewywołująca żadnych skutków np. w aspekcie przerwania biegu przedawnienia. Dlatego zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie, w niniejszym stanie sprawy, odmowa udostępnienia T. P. danych osobowych, w sytuacji gdy poszukuje on sądowej ochrony swoich dóbr osobistych, naruszonych jego zdaniem poprzez działania osób znanych administratorowi danych, prowadziłoby do nieuzasadnionej ochrony tychże osób. Zaznaczenia wymaga, że osoba pozwana czy oskarżona, w trakcie postępowania sądowego, może w pełni korzystać ze swoich praw zagwarantowanych stosownymi przepisami prawa (procedura karna czy cywilna) i dowodzić niezasadności powództwa czy aktu oskarżenia. Nadrzędną w tym przypadku wartością jest gwarantowane konstytucyjnie prawo do sądu (art. 45 Konstytucji RP). Zgodnie natomiast z art. 47 Konstytucji RP, każdy ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz decydowania o swoim życiu osobistym. Przyjęcie, że udostępnienie danych osób, w celu wytoczenia powództwa cywilnego albo prywatnego aktu oskarżenia, miałoby godzić w ich prawo i wolności, prowadziłoby do nieuzasadnionej ochrony takich osób, przed ewentualną odpowiedzialnością za swoje działania. Przyjęcie takiego rozumowania czyniło by także nieskuteczne realizowanie przez obywatela konstytucyjnie zagwarantowanego prawa do sądu. Z wyżej wskazanych przyczyn nie są zasadne wszystkie zarzuty skargi. Jeszcze raz należy podkreślić, iż GIODO jest jedynym organem dokonującym oceny prawidłowości gromadzenia i przekazywania danych osobowych i dlatego miał on kompetencje do wydania niniejszej decyzji, co wprost wynika z art. 12 pkt 2 ustawy o ochronie danych osobowych. Natomiast art. 23 ust. 1 pkt 5 ustawy stanowił materialnoprawna podstawę do rozstrzygnięcia sprawy, jako lex specjalis wobec ogólnej zasady ochrony danych osobowych. Nie można także, jak tego dowodzi strona skarżąca w 3 zarzucie skargi, z postępowania administracyjnego, prowadzonego w ramach art. 23 ust. 1 pkt 5 ustawy, czynić swoistego "przed sądu", badającego zasadność powództwa o ochronę dóbr osobistych czy zasadność prywatnego aktu oskarżenia w sprawie zniesławienia. Takich uprawnień nie posiada ani GIODO ani sąd administracyjny. Do takiego badania jest uprawniony jedynie sąd cywilny w postepowaniu cywilnym i sąd karny w postępowaniu karnym. Dlatego nie sposób w niniejszym postępowaniu sądowo-administracyjnym ustosunkować się do zarzutu ewentualnej skuteczności prywatnego aktu oskarżania zarzucającego zniesławienie. Nadto badanie przez sąd administracyjny albo organ administracyjny zasadności wszczynanych przez obywateli postepowań przed sądami powszechnymi naruszało by prawo obywateli do sądu, a zatem byłoby niekonstytucyjne. Natomiast od takiego badania ("przed sąd") w tego typu jak niniejsza sprawa, należy odróżnić badanie przez organ, czy podmiot zainteresowany udostępnieniem danych osobowych rzeczywiście potrzebuje ich w celu wskazanym w art. 23 ust. 1 pkt 5 ustawy. Najłatwiej takie badanie przeprowadzić żądając od zainteresowanego przedstawienia stosownego powództwa albo prywatnego aktu oskarżenia. Jednakże ustawodawca wprost w omawianym przepisie wymogu przedstawienia takich pism nie zawarł. Baczyć tu także należy, iż zarówno pozew czy prywatny akt oskarżenia mogą zostać zawsze skutecznie cofnięte. Nadto jak wyżej wykazani wniesienie pozwu albo aktu oskarżenia bez wskazania z imienia i nazwiska pozwanych i oskarżonych jest czynnością prawnie bezskuteczną, noszącą cechy czynności pozornej. Zatem badanie rzeczywistej potrzeby zainteresowanego w uzyskaniu danych osobowych w celu wskazanym w art. 23 ust. 1 pkt 5 ustawy powinno być dokonane przez GIODO w oparciu o ogólne przepisy Kodeksu postepowania administracyjnego, zawarte w Rozdziale 4 – Dowody a podjęta decyzja, uzasadniona zgodnie z wymogami art. 107 § 3 Kpa. Nie bez znaczenia jest tu także art. 7 Kpa. W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, Generalny Inspektor wykazując zasadność wydania nakazu o udostępnieniu danych osobowych zainteresowanemu, dochował powyższych przepisów, zaś argumentacja organu w tym zakresie, wskazana i omówiona wyżej, jest wyczerpująca i przekonywująca. Mieści się ona także w swobodnej ocenie dowodów. Reasumując w materiale niniejszej sprawy, GIODO był uprawniony, na mocy art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, do wydania decyzji nakazującej udostępnienia wnioskodawcy danych osobowych. Dlatego Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy - Prawo o postępowaniu przed sądami administracyjnymi orzekł, jak w sentencji wyroku.