II SA/Wa 1133/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Ewa Kwiecińska, Sędzia WSA Karolina Kisielewicz, po rozpoznaniu na posiedzeniu niejawnym w dniu 25 lutego 2022 r. sprawy ze skargi K. S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2021 r. nr [...] w przedmiocie nieprawidłowości w przetwarzaniu danych osobowych oddala skargę Zaskarżoną w niniejszej sprawie decyzją z [...] lutego 2021 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735 ze zm.; dalej: "k.p.a."), art. 6 ust. 1 lit. c) i lit. f), art. 9 ust. 2 lit. b) i lit. f), art. 13 oraz art. 58 ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119.1 z dnia 4 maja 2016 r.; dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego wszczętego wnioskiem (skargą) K. S. (dalej: "skarżący", "pacjent") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez B. H. (dalej: "uczestnik postępowania", "lekarz") prowadzącego działalność gospodarczą pod nazwą [...] w B., umorzył postępowanie w zakresie udostępnienia danych osobowych skarżącego przez uczestnika postępowania na rzecz podmiotów nieuprawnionych, a w pozostałym zakresie odmówił uwzględnienia wniosku. Do wydania zaskarżonej decyzji doszło w następujących okolicznościach sprawy. W skierowanej do organu skardze (wniosku) z [...] sierpnia 2019 r. (data wpływu do PUODO: [...] sierpnia 2019 r.) skarżący podniósł, że lekarz zgubił papierową dokumentację medyczną zawierającą jego dane osobowe. Pacjent oświadczył, iż - wbrew twierdzeniom uczestnika postępowania - nie zostały mu doręczone oryginały dokumentacji medycznej, lecz wyłącznie jej kolorowe kserokopie. Lekarz nie przedstawił również oryginałów dokumentacji medycznej (w formie papierowej) przed Okręgowym Rzecznikiem Odpowiedzialności Zawodowej w B. w trakcie postępowania wyjaśniającego oraz przed Okręgowym Sądem Lekarskim w B. w sprawie prowadzonej pod sygn. akt [...]. Uczestnik postępowania przetwarzał bez zgody i wiedzy skarżącego jego dane osobowe za pośrednictwem systemu informatycznego [...] oraz udostępniał je podmiotowi nieuprawnionemu, tj. [...] Sp. z o.o. z siedzibą w G. Według skarżącego, lekarz w sprawie cywilnej, zawisłej przed Sądem Okręgowym w B., pod sygn. akt [...], "przyznał się do utraty/zagubienia tej dokumentacji w sposób zawiniony", a - jak wynika z oświadczenia radcy prawnego Z. P. reprezentującego uczestnika postępowania przed Okręgowym Sądem Lekarskim w B. - lekarz jako administrator danych osobowych przekazał wrażliwe dane osobowe skarżącego bez jego zgody i wiedzy innemu podmiotowi. Tymczasem w sprawie nie zachodzi żadna z przesłanek przewidzianych w art. 23 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.; dalej: "u.o.d.o. z 1997 r.") uzasadniających przetwarzanie danych osobowych. W konkluzji pacjent stwierdził, że obecnie administrator, tj. uczestnik postępowania "przetwarza dane skarżącego bez podstawy prawnej / z naruszeniem obowiązków informacyjnych". Skarżący wniósł o przeprowadzenie kontroli; zbadanie, czy doszło do naruszeń prawa w procesie przetwarzania jego danych osobowych przez uczestnika postępowania; nakazanie lekarzowi: usunięcia danych osobowych skarżącego z systemu teleinformatycznego, usunięcia wszystkich uchybień w procesie przetwarzania danych osobowych oraz zaprzestania nieuprawnionego przekazywania tych danych podmiotom trzecim; nałożenie administracyjnej kary pieniężnej na uczestnika postępowania, ewentualnie wystąpienie ze stosownym zawiadomieniem do Prokuratury Rejonowej [...] lub skierowanie aktu oskarżenia do sądu powszechnego. W kolejnym piśmie - skardze (wniosku) z [...] października 2019 r. (data wpływu do organu: [...] października 2019 r.) skarżący zażądał zobowiązania lekarza do przedłożenia oryginałów dokumentacji medycznej z danymi wrażliwymi skarżącego na okoliczność weryfikacji, czy doszło do jej zgubienia. Powołując się na art. 6 ust. 1 lit. a) - lit. f) RODO, pacjent wskazał, iż przetwarzanie jego danych osobowych przez uczestnika postępowania nie było niezbędne dla spełnienia wymienionych w tym przepisie przesłanek. W piśmie z [...] listopada 2019 r. (data wpływu do PUODO: [...] listopada 2019 r.) lekarz oświadczył, że dane skarżącego nie były przetwarzane w systemie teleinformatycznym, lecz zostały zebrane do dokumentacji medycznej w celu leczenia. Dane te nie były nikomu ujawniane poza [...] Izbą Lekarską, gdzie złożono dokumentację medyczną na potrzeby procesu. Uczestnik postępowania wypełnił względem skarżącego obowiązek informacyjny odnośnie ochrony danych osobowych, gdyż pacjent wyraził ustną zgodę na przetwarzanie jego danych osobowych. Ponadto skarżący nigdy nie zwracał się o usunięcie jego danych osobowych. Lekarz podkreślił, iż posiada dokumentację medyczną pacjenta - nie została ona zgubiona jak utrzymuje skarżący. Całość tej dokumentacji uczestnik postępowania przesłał pacjentowi listem poleconym w sierpniu 2017 r., na dowód czego załączył kopię potwierdzenie odbioru przesyłki poleconej przez skarżącego w dniu [...] sierpnia 2017 r. Do ww. pisma z [...] listopada 2019 r. lekarz załączył także kopię swojego pisma z [...] września 2017 r., skierowanego do pacjenta (i stanowiącego odpowiedź na pismo skarżącego z [...] sierpnia 2017 r.), w którym to piśmie z [...] września 2017 r. uczestnik postępowania informuje pacjenta o zwrocie w załączeniu "oryginału całości dokumentacji medycznej". W następnym piśmie z [...] czerwca 2020 r. (data wpływu do organu: [...] czerwca 2020 r.) lekarz podał, że skarżący korzystał z jego usług medycznych od [...] lipca 2015 r. do [...] grudnia 2015 r. Tylko w tym okresie dane pacjenta były przetwarzane, aktualnie nie są one przetwarzane. Od [...] maja 2017 r. uczestnik postępowania korzysta z programu [...] i nie przetwarzał danych osobowych skarżącego za pośrednictwem oprogramowania elektronicznego [...] Sp. z.o.o. Podmiot ten bez zgody lekarza nie ma dostępu do danych pacjentów. Uczestnik postępowania sprecyzował również, iż oryginał dokumentacji medycznej przesłał skarżącemu - na jego prośbę – [...] września 2017 r. Zatem lekarz posiada tylko kopię dokumentacji. Nadto przedmiotową dokumentację przekazał także do Sądu Okręgowego w B. w odpowiedzi na wezwanie z [...] stycznia 2020 r. Do omawianego pisma uczestnik postępowania załączył kopie: potwierdzenia odbioru przesyłki poleconej przez pacjenta w dniu [...] września 2017 r. oraz umowy zawartej [...] maja 2017 r. przez lekarza z [...] Sp. z o.o. z siedzibą w G. na dostawę, wdrożenie i udzielenie licencji na oprogramowanie. W piśmie z [...] września 2020 r. (data wpływu do PUODO: [...] września 2020 r.) uczestnik postępowania wskazał, że postępowanie prowadzone przez Sąd Okręgowy w B. w sprawie o sygn. akt [...] nie zostało zakończone. Poza tym nie są prowadzone żadne inne postępowania sądowe czy prokuratorskie. Dane osobowe skarżącego nie zostały usunięte z systemu [...], w którym znajduje się cała zeskanowana dokumentacja medyczna. To lekarz dokonuje aktualizacji tej dokumentacji, a firma [...] nie ma dostępu do danych medycznych pacjentów. Kartoteka z dokumentacją pacjenta jest archiwizowana w systemie ESTOMED bezterminowo, a wszystkie informacje z zakresu ochrony danych osobowych zostały przekazane pacjentowi ustnie podczas pierwszej wizyty w dniu [...] lipca 2015 r. Natomiast skarżący - w piśmie z [...] września 2020 r. (data wpływu do organu: [...] października 2020 r.) - wymienił następujące postępowania z udziałem lekarza: postępowanie przed Sądem Okręgowym w B. w sprawie o zapłatę o sygn. akt [...] (w toku); postępowanie przed Naczelnym Sądem Lekarskim o sygn. akt [...] (zakończone prawomocnym orzeczeniem z [...] października 2019 r.); postępowanie przed Prokuraturą Krajową o sygn. akt [...] dotyczące kasacji od ustępu pierwszego ww. prawomocnego orzeczenia Naczelnego Sądu Lekarskiego (w toku). Orzeczeniem z [...] marca 2018 r., sygn. akt [...] Okręgowy Sąd Lekarski w B. uznał uczestnika postępowania za winnego popełnienia zarzucanego mu czynu stanowiącego naruszenie art. 4 ustawy z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty (Dz. U. z 2021 r., poz. 790 ze zm.; dalej: "u.z.l.") w związku z art. 8 Kodeksu Etyki Lekarskiej w związku z art. 41 u.z.l. oraz art. 23 i art. 24 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2020 r., poz. 849 ze zm.; dalej: "u.p.p."), polegającego na niedołożeniu staranności w prowadzeniu dokumentacji medycznej dotyczącej leczenia pacjenta w okresie od lipca do listopada 2015 r. oraz naruszeniu prawa skarżącego do dostępu do dokumentacji medycznej dotyczącej wszelkich udzielonych mu świadczeń zdrowotnych w Prywatnym Gabinecie Stomatologicznym [...] w B., za co wymierzył mu karę nagany, uniewinniając jednocześnie lekarza od pozostałych dwóch zarzucanych mu czynów. W uzasadnieniu powołanej na wstępie decyzji z [...] lutego 2021 r. PUODO zaakcentował, że nie jest organem właściwym do podejmowania rozstrzygnięć, których przedmiotem jest nakaz udostępnienia dokumentów będących nośnikami przetwarzanych danych. Osoba, której dane dotyczą, w trybie przewidzianym w przepisach z zakresu danych osobowych może jedynie skutecznie dochodzić od administratora udostępnienia danych osobowych, co nie jest tożsame z żądaniem wydania dokumentów zawierających te dane, w tym poświadczonych za zgodność z oryginałem kopii dokumentacji medycznej. Ponadto organ zaznaczył, iż nie jest właściwy w sprawach dotyczących udostępniania przez podmiot medyczny dokumentacji medycznej w trybie określonym przepisami u.p.p. Centralnym organem administracji rządowej właściwym w sprawach ochrony praw pacjentów określonych w u.p.p. oraz w przepisach odrębnych jest Rzecznik Praw Pacjenta (art. 42 ust. 1 u.p.p.). W związku z powyższym PUODO uznał, że poza zakresem jego kompetencji jest ocena prawidłowości sposobu udostępniania dokumentacji medycznej skarżącego przez lekarza. Odnosząc się do zarzutów pacjenta dotyczących legalności przetwarzania jego danych osobowych przez uczestnika postępowania po zakończeniu świadczenia usług medycznych, w tym przetwarzania danych za pośrednictwem systemu elektronicznego [...], udostępnionego lekarzowi przez [...] Sp. z o.o., organ stwierdził, że aktualne przetwarzanie tych danych - w celach archiwalnych, w tym za pośrednictwem programów komputerowych, jest zgodne z art. 6 ust. 1 lit. c), art. 9 ust. 2 lit. h) oraz lit. i) RODO w związku z art. 25 i art. 29 u.p.p. Z uwagi na trwające postępowania w sądzie i prokuraturze, które dotyczą świadczenia usług medycznych przez lekarza na rzecz pacjenta, uczestnik postępowania jest uprawniony do przetwarzania danych osobowych w celu obrony przed stawianymi mu zarzutami i roszczeniami, stosownie do treści art. 6 ust. 1 lit. f) RODO. W ocenie PUODO, lekarz zrealizował wobec skarżącego obowiązek informacyjny z art. 24 u.o.d.o. z 1997 r. oraz uzyskał zgodę pacjenta na przetwarzanie jego danych osobowych w związku ze świadczeniem usług medycznych w dniu [...] lipca 2015 r. podczas pierwszej wizyty. Jednocześnie skarżący nie przedstawił niebudzących wątpliwości dowodów na potwierdzenie stawianych uczestnikowi postępowania zarzutów, wobec czego zebrany w sprawie materiał dowodowy nie świadczy o udostępnieniu danych osobowych pacjenta podmiotom nieuprawnionym w wyniku zgubienia lub utraty przez lekarza dokumentacji medycznej prowadzonej w formie papierowej. Powyższa decyzja PUODO z [...] lutego 2021 r. stała się przedmiotem skargi skarżącego do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której wniósł o uchylenie zaskarżonej decyzji i przekazanie sprawy do ponownego rozpoznania. Natomiast w skierowanym do organu piśmie z [...] lutego 2021 r. (w dacie ww. pisma błędnie podano rok - 2020 zamiast 2021) pacjent stwierdził, iż nie miał dostępu do akt sprawy z uwagi na odległość jego miejsca zamieszkania od W., jak również zarzucił organowi błędne ustalenia faktyczne. W odpowiedzi na skargę PUODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Pismem z [...] marca 2021 r. skarżący uzupełnił skargę, zarzucając organowi: 1. obrazę art. 7 w związku z art. 8 k.p.a. (w tym niewykazanie przez organ stanu faktycznego w sposób zgodny z art. 81 k.p.a.) poprzez brak należytej staranności w zweryfikowaniu stanu faktycznego i brak należytego załatwienia sprawy, co polegało na: a) uznaniu, że skarżącemu "nie zostały (...) doręczone oryginały dokumentacji medycznej, które miały mu zostać wydane", podczas gdy skarżący nigdy o takie oryginały nie wnioskował, a chciał jedynie w sposób zgodny z prawem uzyskać do nich dostęp, b) uznaniu, iż dane osobowe skarżącego znajdujące się w dokumentacji medycznej były przetwarzane w sposób zgodny z prawem, podczas gdy biegły pracujący na kserokopiach tej dokumentacji medycznej niepotwierdzonej za zgodność z oryginałem, w opinii sądowo-lekarskiej stwierdził liczne braki i naruszenia prawa, c) uznaniu, że wyjaśnienia uczestnika postępowania są wiarygodne, mając wiedzę, iż ten wcześniej przed sądem mówił nieprawdę; d) uznaniu, że uczestnik postępowania złożył dokumentację medyczną do [...] Izby Lekarskiej, podczas gdy oryginały dokumentacji medycznej nigdy tam nie trafiły, a uczestnik postępowania posługiwał się zawsze wyłącznie kolorowymi kserokopiami niepotwierdzonymi za zgodność z oryginałem, mimo iż sąd działający przy [...] Izbie Lekarskiej zobowiązał go do przedłożenia oryginałów dokumentacji, a wcześniej w postępowaniu wyjaśniającym - wielokrotnie Rzecznik Dyscyplinarny, e) przyjęciu, że oryginały dokumentacji medycznej zostały wysłane jednocześnie do skarżącego i Sądu Okręgowego w B., podczas gdy jest to realnie niemożliwe, ponieważ oryginał jest tylko jeden, zaś ani sądowi ani skarżącemu takie dokumenty w oryginałach nie zostały doręczone (doręczono jedynie kolorowe kserokopie niepotwierdzone za zgodność z oryginałem), f) przyjęciu, iż uczestnik postępowania spełnił swój obowiązek informacyjny, podczas gdy nie uczynił tego wobec skarżącego, a skarżący nigdy i w żaden sposób nie udzielił zgody na przetwarzanie swoich danych osobowych, g) przyjęciu, że w dniu pierwszej wizyty skarżącego doszło do spełnienia obowiązku informacyjnego w kwestii przetwarzania danych przez [...] Sp. z o.o., podczas gdy uczestnik postępowania zawarł umowę z ww. spółką [...] maja 2017 r., czyli po zakończeniu leczenia przez skarżącego, h) uznaniu, iż nie doszło do zagubienia oryginału dokumentacji medycznej, podczas gdy uczestnik postępowania w wyjaśnieniach przyznaje się do jej wysłania w całości w oryginale (czyli obecnie jej nie posiada), mimo że nigdy nie dotarła ona ani do skarżącego ani do żadnego z sądów; nadto z protokołów z rozpraw i rozstrzygnięcia sądu dyscyplinarnego bezspornie wynika okoliczność potwierdzająca jej niedoręczenie, a co więcej uczestnik postępowania zgodnie z prawem powinien dysponować tą dokumentacją w formie oryginału, a nie w formie niewiarygodnej kopii, i) uznaniu, że brak jest wystarczających dowodów na potwierdzenie zagubienia oryginału dokumentacji medycznej skarżącego, podczas gdy uczestnik postępowania w swoich wyjaśnieniach jest niewiarygodny i mówił nieprawdę przed sądem dyscyplinarnym, a z prowadzonej korespondencji pomiędzy stronami wynika, iż skarżący odpowiadał na dwa pisma, za każdym razem podnosząc brak doręczenia mu oryginału dokumentacji medycznej, a ponadto uczestnik postępowania nie mógł dwukrotnie wysłać oryginału dokumentacji medycznej do skarżącego; oryginały zgodnie z prawem można doręczać tylko organom uprawnionym i to na wyraźne ich polecenie, natomiast prawodawca nakłada obowiązek przechowywania tej dokumentacji w formie oryginału na podmiot skarżony; 2. obrazę art. 7a w związku z art. 8 i art. 81a k.p.a. poprzez nierozstrzygnięcie wątpliwości na korzyść strony i bezpodstawne nieuznanie orzeczenia sądu dyscyplinarnego za wiążące; 3. obrazę art. 10 § 1 w związku z art. 79 a k.p.a. poprzez nierozpoznanie wniosku o doręczenie odpisów z akt sprawy na adres skarżącego, a w konsekwencji utrudnienie/uniemożliwienie zapoznania się z aktami sprawy przed wydaniem ostatecznej decyzji; 4. obrazę art. 77 w związku z art. 80 k.p.a. poprzez nieskompletowanie i nierozpoznanie z urzędu dowodów z dokumentów, o których organ wiedział, tj. wymienianych przez skarżącego w pismach procesowych; 5. obrazę art. 122a k.p.a. poprzez nieuwzględnienie milczącego załatwienia sprawy, tj. brak jej rozpoznania w terminie jednego miesiąca od złożenia skargi. W powyższym piśmie z [...] marca 2021 r. skarżący domagał się także: przekazania sprawy zgodnie z właściwością miejscową do Wojewódzkiego Sądu Administracyjnego w B. i przesłuchania go w charakterze świadka (na ww. wnioski tut. Sąd odpowiedział skarżącemu pismem z [...] maja 2021 r.); uchylenia zaskarżonej decyzji, względnie wznowienia postępowania na podstawie art. 145 § 1 pkt 4 i pkt 5 k.p.a. lub stwierdzenia nieważności zaskarżonej decyzji, ponieważ została wydana z rażącym naruszeniem prawa oraz jest trwale niewykonalna; przeprowadzenia dowodów z dokumentów załączonych do omawianego pisma z [...] marca 2021 r. oraz załączonych do (skierowanego do PUODO) pisma z [...] lutego 2021 r.; stwierdzenia bezczynności lekarza w udostępnieniu dokumentacji medycznej pacjenta oraz stwierdzenia stronniczości organu wobec bezpodstawnego uznania wyjaśnień uczestnika postępowania za wiarygodne oraz posługiwania się nimi w uzasadnieniu zaskarżonej decyzji, bez jakiejkolwiek próby ich weryfikacji oraz z pominięciem wyjaśnień i dowodów skarżącego. Organ w piśmie z [...] marca 2021 r. podtrzymał dotychczasowe stanowisko w sprawie. Ustosunkowując się do zarzutu naruszenia art. 10 i art. 79a k.p.a., PUODO wyjaśnił, że pismami z [...] listopada 2020 r. poinformował strony postępowania o zgromadzeniu materiału dowodowego wystarczającego do wydania decyzji oraz przysługujących im uprawnieniach z art. 10 i art. 73 k.p.a. Natomiast wcześniej – w dniu [...] lipca 2020 r. skarżący (drogą poczty elektronicznej) złożył wniosek o wgląd do akt sprawy, który nie został opatrzony podpisem. Pomimo wezwania do podpisania (własnoręcznie lub elektronicznie) ww. wniosku w terminie 7 dni, skarżący nie uzupełnił w terminie tego braku formalnego, dlatego jego wniosek z [...] lipca 2020 r. został pozostawiony przez organ bez rozpoznania w oparciu o art. 64 § 2 k.p.a., o czym PUODO poinformował skarżącego pismem z [...] listopada 2020 r. (zawierającym również pouczenie o treści art. 10 § 1 i art. 73 § 1 k.p.a.). Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Niniejsza sprawa została rozpoznana na posiedzeniu niejawnym w składzie trzech sędziów, stosownie do art. 15zzs4 ust. 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2021 r., poz. 2095 ze zm.). Zgodnie z ww. przepisem, przewodniczący może zarządzić przeprowadzenie posiedzenia niejawnego, jeżeli uzna rozpoznanie sprawy za konieczne, a nie można przeprowadzić jej na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku. Na posiedzeniu niejawnym w tych sprawach sąd orzeka w składzie trzech sędziów. Skarga nie zasługuje na uwzględnienie. Na wstępie podkreślenia wymaga, że kompetencje PUODO zostały unormowane przede wszystkim w RODO i ustawie z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o. z 2018 r."). Zadania organu PUODO jako organu właściwego w sprawie ochrony danych osobowych i organu nadzorczego w rozumieniu art. 51 RODO wymienia art. 57 ust. 1 RODO, przy czym wyliczenie to nie jest wyczerpujące. Katalog środków i uprawnień przysługujących organowi w czasie prowadzonych postępowań oraz uprawnień naprawczych określa art. 58 RODO, a w zakresie nakładania kar pieniężnych - art. 83 RODO. Trafnie wskazuje PUODO, że w zakresie jego uprawnień nie mieści się nakaz udostępnienia dokumentacji medycznej bądź innych dokumentów będących nośnikami przetwarzanych danych. Osoba, której dane dotyczą, może tylko dochodzić od administratora udostępnienia danych osobowych, co nie jest tożsame z żądaniem wydania dokumentów zawierających te dane. PUODO nie jest też właściwy do oceny formy udostępnienia dokumentacji medycznej ani sposobu jej prowadzenia. Kwestię udostępniania dokumentacji medycznej regulują przepisy art. 26 - art. 28 u.p.p., a prawo pacjenta do dostępu do dokumentacji medycznej formułuje art. 23 ust. 1 u.p.p. Jak wskazał Wojewódzki Sąd Administracyjny w Gorzowie Wielkopolskim w wyroku z 12 stycznia 2017 r., sygn. akt II SAB/Go 156/16, działania placówki medycznej w sprawie udostępniania dokumentacji medycznej podlegają kontroli sądów administracyjnych, w tym w zakresie bezczynności w udostępnieniu tej dokumentacji, a skarga na niepodjęcie czynności w zakresie wydania dokumentacji medycznej jako czynności materialno-technicznej nie musi być poprzedzona żadnym środkiem zaskarżenia na drodze administracyjnej i nie wymaga uprzedniego wezwania do usunięcia naruszenia prawa (obecnie: ponaglenia) - orzeczenia sądów administracyjnych są dostępne w internetowej bazie orzeczeń na stronie Naczelnego Sądu Administracyjnego: orzeczenia.nsa.gov.pl. Zatem zarzuty dotyczące dostępu do dokumentacji medycznej prowadzonej przez uczestnika postępowania skarżący winien kierować do Rzecznika Praw Pacjenta, a nie PUODO. Z art. 24 ust. 1 i art. 29 ust. 1 u.p.p. wynika, że podmiot udzielający świadczeń zdrowotnych jest obowiązany m.in. przechowywać dokumentację medyczną pacjenta przez okres 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu (poza wyjątkami wymienionymi w tym ostatnim przepisie). W myśl art. 6 ust. 1 lit. c) i lit. f) RODO przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: - przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; - przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Natomiast stosownie do treści art. 9 ust. 2 lit. f), lit. h) i lit. i) RODO, przetwarzanie danych dotyczących zdrowia jest dozwolone, gdy jest niezbędne: - do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy; - do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3; - ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową. Przetwarzanie danych osobowych pacjenta przez uczestnika postępowania w ramach procesu leczenia rozpoczęło się [...] lipca 2015 r. (kiedy to skarżący po raz pierwszy stawił się w gabinecie lekarskim w celu wykonania usługi medycznej) i trwało do [...] grudnia 2015 r. Lekarz przetwarzał dane pacjenta, kwalifikując go do konkretnego zabiegu, a zatem przetwarzanie to pozostawało w zakresie dobrowolnie wyrażonej przez skarżącego zgody na leczenie. Nie ulega przy tym wątpliwości, że postępowanie przed PUODO nie może stanowić forum do oceny poprawności doboru, sposobu czy jakości udzielonych świadczeń medycznych bądź rozwiązywania konfliktu pomiędzy skarżącym i lekarzem. Od [...] maja 2017 r. uczestnik postępowania korzysta z programu komputerowego [...], w którym przetwarza dane osobowe pacjentów pozyskane w związku ze świadczeniem usług medycznych, w tym dane osobowe skarżącego (vide kopia pisma radcy prawnego Z. P. z [...] stycznia 2018 r., wyjaśnienia lekarza z [...] września 2020 r. – w aktach administracyjnych sprawy). Program został lekarzowi wdrożony i udostępniony przez [...] Sp. z o.o. z siedzibą w G. w ramach licencji (vide umowa z [...] maja 2017 r. na dostawę, wdrożenie i udzielenie licencji na oprogramowanie, stanowiąca załącznik do pisma uczestnika postępowania z [...] czerwca 2020 r.). Lekarz oświadczył, że ww. spółka nie posiada dostępu do danych jego pacjentów bez jego zgody. Według postanowień § 7 umowy z 26 maja 2017 r. na dostawę, wdrożenie i udzielenie licencji, sprzedający (czyli ww. spółka) zobowiązał się do zachowania w poufności danych zgromadzonych w bazie danych kupującego (czyli lekarza) za pomocą programu [...], które zostaną mu automatycznie ujawnione w ramach kontaktów stron umowy, w szczególności podczas świadczenia przez sprzedającego zdalnej pomocy technicznej w usuwaniu problemów związanych z funkcjonowaniem programu [...]. Pomoc taką sprzedający nieodpłatnie zagwarantował kupującemu przez okres 12 miesięcy od zawarcia umowy. Zawarcie powyższej umowy przez uczestnika postępowania mieściło się w dyspozycji art. 31 ust. 1 u.o.d.o. z 1997 r., wedle którego administrator danych mógł powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych, a obecnie odpowiada art. 28 ust. 3 RODO. W myśl tego ostatniego przepisu przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Aktualnie przetwarzanie danych osobowych skarżącego przez uczestnika postępowania (w tym za pośrednictwem programu komputerowego) odbywa się wyłącznie w celach archiwalnych. Nie można odmówić lekarzowi prawa do przetwarzania danych osobowych pacjenta w celu obrony przed stawianymi mu zarzutami i roszczeniami w ramach postępowań sądowych i prokuratorskich inicjowanych przez pacjenta, gdyż znajduje to oparcie w przepisach art. 6 ust. 1 lit. c) i lit. f) oraz art. 9 ust. 2 lit. f), lit. h) oraz lit. i) RODO w związku z art. 25 i art. 29 u.p.p. W kwestii zarzutu niewypełnienia wobec skarżącego przez uczestnika postępowania obowiązków informacyjnych, należy wskazać, że na uczestniku postępowania ciążył obowiązek realizacji obowiązku informacyjnego przewidziany w art. 24 ust. 1 u.o.d.o. z 1997 r. stanowiący, iż w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych był obowiązany poinformować tę osobę o: 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych, jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku; 2) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych; 3) prawie dostępu do treści swoich danych oraz ich poprawiania; 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Obecnie obowiązek informacyjny normują przepisy art. 13 RODO. W piśmie z [...] czerwca 2020 r. lekarz oświadczył, że zrealizował obowiązek informacyjny oraz uzyskał zgodę skarżącego na przetwarzanie jego danych osobowych w związku ze świadczeniem usług medycznych. Skoro pacjent dobrowolnie zdecydował się na leczenie w gabinecie lekarskim uczestnika postępowania, to tym samym zgodził się na przetwarzanie przez lekarza swoich danych osobowych w ramach dokumentacji medycznej sporządzonej na okoliczność tego leczenia. Tut. Sąd aprobuje stanowisko PUODO, w myśl którego zebrany w sprawie materiał dowodowy nie świadczy o udostępnieniu przez lekarza danych osobowych skarżącego podmiotom nieuprawnionym w wyniku zgubienia, utraty czy wydania dokumentacji medycznej pacjenta (prowadzonej w formie papierowej). Z akt sprawy jednoznacznie wynika, iż uczestnik postępowania dysponował taką dokumentacją – przesłał ją skarżącemu oraz Sądowi Okręgowemu w B. (w odpowiedzi na wezwanie z [...] stycznia 2020 r.). Raz jeszcze podkreślić należy, iż ani PUODO ani tut. Sąd - kontrolujący postępowanie administracyjne przed PUODO - nie jest uprawniony do weryfikacji prawidłowości, w tym kompletności i formy prowadzenia dokumentacji medycznej. Przepis art. 7 ust. 1 u.o.d.o. z 2018 r. przewiduje, że w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed PUODO, o których mowa w rozdziałach 4-7 i 11, stosuje się k.p.a. Z kolei zgodnie z art. 105 § 1 k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji wydaje decyzję o umorzeniu postępowania. Sprawa administracyjna jest bezprzedmiotowa w rozumieniu art. 105 § 1 k.p.a. wtedy, gdy nie ma materialnoprawnych podstaw do władczej ingerencji organu administracyjnego. Wówczas jakiekolwiek rozstrzygnięcie merytoryczne - pozytywne czy negatywne staje się prawnie niedopuszczalne. Bezprzedmiotowym może być postępowanie zarówno z powodu braku przedmiotu faktycznego do rozpatrzenia sprawy, jak i z powodu braku podstawy prawnej do wydania decyzji w zakresie żądania wnioskodawcy (vide wyrok Naczelnego Sądu Administracyjnego z 14 lutego 2019 r., sygn. akt II OSK 686/17). W toku prowadzonego postępowania organ prawidłowo ustalił, że nie doszło do udostępnienia danych osobowych skarżącego przez uczestnika postępowania podmiotom nieuprawnionym (nie miało miejsca takie zdarzenie), a więc zarzut skarżącego w tym zakresie okazał się bezprzedmiotowy. W konsekwencji PUODO zasadnie umorzył postępowanie w części obejmującej udostępnienie danych podmiotom nieuprawnionym. Tut. Sąd nie dopatrzył się podstaw do uchylenia ani tym bardziej stwierdzenia nieważności zaskarżonej decyzji. Skarżący nie sprecyzował, na czym polegała niewykonalność zaskarżonej decyzji, jak też nie podał jakie przepisy organ rażąco naruszył. Nie zaistniały także okoliczności przewidziane w art. 106 § 3 powołanej niżej ustawy Prawo o postępowaniu przed sądami administracyjnymi uzasadniające przeprowadzenie dowodów uzupełniających z dokumentów. Materiał dowodowy zgromadzony w aktach administracyjnych był wystarczający do wydania rozstrzygnięcia. PUODO w sposób właściwy zebrał go i ocenił, nie naruszając przy tym przepisów prawa. Zarzuty i wnioski skargi nie mogły odnieść skutku; w znacznej mierze zresztą pozostawały one poza granicami niniejszej sprawy sądowoadministracyjnej (zainicjowanej skargą pacjenta na decyzję administracyjną) jak np. te dotyczące formy udostępnienia dokumentacji medycznej (oryginał/kopia), wznowienia postępowania administracyjnego w trybie art. 145 § 1 pkt 4 i pkt 5 k.p.a., bezczynności lekarza w udostępnieniu dokumentacji medycznej czy stronniczości organu. Uwzględniając powyższe, Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że zaskarżona decyzja jest zgodna z prawem i dlatego działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r., poz. 329), orzekł jak w sentencji wyroku.