II SA/Wa 1293/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Joanna Kube (spr.), Sędzia WSA Sławomir Antoniuk, , po rozpoznaniu w trybie uproszczonym w dniu 12 grudnia 2024 r. sprawy ze skargi J. W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych, dalej: "Prezes UODO", "organ", decyzją z dnia [...] maja 2024 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572), art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) oraz art. 6 ust. 1 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej: "RODO", odmówił uwzględnienia wniosku w sprawie skargi J. M. (obecnie [...]), dalej: "skarżąca", na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Wojewódzką Stację Pogotowia Ratunkowego i Transportu Sanitarnego "[...]" Samodzielny Publiczny Zakład Opieki Zdrowotnej w [...], dalej: "[...]", "podmiot medyczny", polegające na przetwarzaniu jej danych osobowych bez podstawy prawnej. W przedmiotowej sprawie skarżąca kwestionowała legalność przetwarzania przez [...] SPZOZ jej danych osobowych, tj. imienia, nazwiska i numeru PESEL, przetwarzanych w związku ze świadczeniem medycznym udzielonym [...] sierpnia 2022 r. Skarżąca [...] sierpnia 2022 r. dowiedziała się, iż na jej Internetowym Koncie Pacjenta widnieje informacja o udzielonym jej świadczeniu medycznym przez Szpital [...] w [...] przy ul. [...] i w związku z tym poinformowała Szpital o wykorzystaniu jej danych osobowych. Szpital, podejmując czynności wyjaśniające, wezwał funkcjonariuszy Policji w celu weryfikacji danych osobowych kobiety przyjętej w dniu [...] sierpnia 2022 r. Funkcjonariusze Policji w obecności pacjentki zweryfikowali i dokonali czynności śledczych, gdzie po dłuższej rozmowie ustalono prawidłowe dane osobowe pacjentki przebywającej w Szpitalu. Ustalono, iż pacjentka ma takie samo imię, nazwisko oraz datę urodzenia, co skarżąca. Dane osobowe pacjentki zostały ustalone przez funkcjonariuszy Policji prowadzących interwencję [...] sierpnia 2022 r. Niepoprawne dane osobowe pacjentki, tj. numer PESEL, zostały wprowadzone przez [...] do karty medycznej czynności ratunkowych, która to następnie została przekazana do Szpitala podczas przyjęcia pacjentki, a także do Systemu Informacji Medycznej (SIM), o którym mowa w ustawie z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia. W dniu [...] lutego 2023 r. skarżąca, z uwagi na brak udzielenia na jej rzecz świadczenia medycznego, zwróciła się do [...] o usunięcie jej danych osobowych z systemów medycznych oraz prowadzonej dokumentacji medycznej. W odpowiedzi, pismem z dnia [...] marca 2023 r., [...] poinformowało skarżącą, iż przetwarzane dane osobowe w związku z udzielonym świadczeniem [...] sierpnia 2022 r. zostały podane przez funkcjonariuszy Policji na miejscu zdarzenia. [...] wezwało skarżącą do przedstawienia dokumentów potwierdzających zaistniałą omyłkę. Skarżąca nie udzieliła odpowiedzi na wezwanie. Jak wynika z wyjaśnień [...] przedłożonych organowi, w dniu [...] sierpnia 2022 r. zespół ratunkowy został wezwany do osoby z zaburzeniami [...] na ul. [...] w [...]. W miejscu zdarzenia był już obecny patrol Policji. Pacjentka nie posiadała dokumentu tożsamości. Funkcjonariusze Policji ustalili dane osobowe pacjentki, które zostały wpisane do dokumentacji medycznej, tj.: J. M., [...], [...], [...]. Pacjentka została przewieziona do Szpitala. Następnie w dniu [...] marca 2023 r. [...] zwróciło się do Policji o potwierdzenie na rzecz jakiej osoby prowadzona była interwencja [...] sierpnia 2022 r. przy ul. [...] w [...]. W odpowiedzi (otrzymanej [...] marca 2023 r.) Policja poinformowała podmiot medyczny, że w dniu [...] sierpnia 2022 r. funkcjonariusze KRP [...] przy ul. [...] w [...] podejmowali działania wobec J. M. urodzonej [...] września 1978 r., posiadającej numer PESEL inny niż skarżąca. [...] wyjaśniło, że w dniu [...] marca 2023 r. podjęło działania zmierzające do usunięcia danych osobowych skarżącej z sytemu SIM wprowadzonych w związku ze świadczeniem z [...] sierpnia 2022 r. W tym celu przesłało prośbę o odblokowanie w systemie medycznym edycji wpisu, który na skutek upływu 60 dni od wpisu był zablokowany. Następnie [...] marca 2023 r. dokonano wycofania z systemu SIM niepoprawnego wpisu w zakresie udzielonego świadczenia medycznego poprzez dokonanie zmiany numeru PESEL osoby, na rzecz której świadczenie było udzielane. W toku postępowania administracyjnego, [...] wskazało, iż przetwarzało dane osobowe skarżącej na podstawie art. 6 ust. 1 lit. c oraz art. 9 ust. 2 lit. h RODO oraz innych przepisów szczególnych, m.in.: ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej, ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, ustawy z dnia 8 września 2006 r. o Państwowym Ratownictwie Medycznym, ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia, rozporządzenia Ministra Zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania. [...] podkreśliło, iż nie dokonywało samodzielnego ustalenia danych osobowych pacjentki. Dane osobowe zostały mu przekazane przez Policję, która jest podmiotem uprawnionym do ustalania poprawności danych osobowych osoby legitymowanej w bazie PESEL. Prezes UODO nie dopatrzył się nieprawidłowości w procesie przetwarzania danych osobowych skarżącej i odmówił spełnienia wniosku. Uznał bowiem, że [...] zobowiązana była do przetwarzana danych osobowych osoby, na rzecz której udzielała świadczenia medycznego. Organ stwierdził, iż brak jest przepisów prawa uprawniających [...] do samodzielnego ustalania danych osobowych osoby, na rzecz której świadczenie jest udzielane. W tym względzie świadczeniodawca opiera się na treści przedstawionego dokumentu, a w przypadku jego braku, na oświadczeniu osoby lub, jak w przedmiotowej sprawie, danych osobowych ustalonych przez funkcjonariuszy Policji. Tym samym, do czasu powzięcia przez [...] jednoznacznych informacji, iż świadczenie medyczne z [...] sierpnia 2022 r. nie zostało udzielone na rzecz skarżącej, był on zobowiązany do przetwarzania jej danych osobowych. Natomiast, wskutek powzięcia informacji, iż świadczenie medyczne zostało udzielone na rzecz innej osoby niż skarżąca ustała podstawa prawna legalności przetwarzania danych osobowych skarżącej, a [...] zobowiązany był do ich usunięcia. Organ zauważył, iż podmiot medyczny dopiero na skutek pisma Policji otrzymanego [...] marca 2023 r. powziął informację o osobie, na rzecz której faktycznie świadczono usługi medyczne w dniu [...] sierpnia 2022 r. Wobec tego podjął działania zmierzające do niezwłocznego usunięcia danych osobowych skarżącej, co też miało miejsce [...] marca 2023 r. W związku z powyższym, organ ocenił, iż przetwarzanie danych osobowych skarżącej przez [...] było zgodne z prawem i znajdowało oparcie w treści art. 6 ust. 1 lit. c RODO. Jednocześnie podmiot medyczny w sposób prawidłowy dokonał niezwłocznego usunięcia przetwarzanych danych osobowych skarżącej oraz sprostowania informacji zawartych w systemach informatycznych, w tym SIM. Pismem z dnia [...] lipca 2024 r. J. W. (poprzednio M.), dalej: "skarżąca" (działając przez profesjonalnego pełnomocnika - adwokata), skierowała do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa UODO z dnia [...] maja 2024 r. nr [...]. Zaskarżonej decyzji zarzuciła naruszenie następujących przepisów: 1. art. 6 i art. 7 w zw. z art. 77 § 1 i art. 80 Kodeksu postępowania administracyjnego poprzez niepodjęcie wszystkich czynności niezbędnych do dostatecznego wyjaśnienia stanu sprawy przy jednoczesnym pominięciu słusznego interesu strony, niezebranie w sposób wyczerpujący i nierozpatrzenie całego materiału dowodowego oraz nienależyte i niewyczerpujące wskazanie przesłanek, jakimi kierował się organ wydając przedmiotowe rozstrzygnięcie m.in.: - nieuwzględnienie nienależytej weryfikacji tożsamości pacjenta przez [...] w dniu [...] sierpnia 2022 r. podczas udzielenia przedmiotowego świadczenia medycznego, 2. art. 50 ust. 2 pkt 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowych ze środków publicznych poprzez uznanie przez organ, że doszło do właściwej i wyczerpującej weryfikacji tożsamości pacjenta przez [...] w dniu interwencji [...] sierpnia 2022 r., podczas gdy nie stwierdzono tożsamości pacjenta zgodnie z uregulowaniem niniejszego przepisu, tj. w oparciu o dowód osobisty, paszport, prawo jazdy, legitymację szkolną albo przy użyciu dokumentu mObywatel, co doprowadziło do błędnego przyjęcia, iż pacjentem ww. placówki była skarżąca, 3. art. 6 ust. 1 lit. c w zw. z art. 9 ust. 2 lit. h RODO poprzez jego błędną interpretację i niewłaściwe zastosowanie w sprawie, wobec braku wystąpienia przesłanek, które uzasadniałyby zastosowanie wskazanego przepisu w szczególności poprzez błędną weryfikację tożsamości pacjenta co doprowadziło w konsekwencji do przetwarzania danych skarżącej pomimo faktu, że nie była pacjentką [...], tj. bez podstawy prawnej, 4. art. 13 ust. 1 lit. a, b, c, e w zw. z art. 13 ust. 2 lit. a, b, d, e RODO poprzez błędną weryfikację tożsamości pacjenta placówki medycznej [...], co doprowadziło do przetwarzania danych osobowych skarżącej bez wywiązania się z ciążącego na ww. placówce medycznej obowiązku informacyjnego, ciążącego na administratorze danych osobowych, tj. przetwarzanie danych osobowych skarżącej bez jej wiedzy i znajomości tożsamości przetwarzającego, a co za tym idzie pozbawienie jej szeregu uprawnień wynikających z ww. przepisu. Mając na uwadze powyższe zarzuty, wniosła o: 1) uchylenie zaskarżonej decyzji Prezesa UODO z dnia [...] maja 2024 r. w całości i przekazanie sprawy do ponownego rozpoznania, 2) zasądzenie kosztów postępowania sądowego w tym kosztów zastępstwa procesowego według norm przepisanych. Skarżąca argumentując stwierdziła, że zaskarżone rozstrzygnięcie zostało wydane z rażącym naruszeniem przepisów prawa, mającym istotny wpływ na wynik sprawy. W pierwszej kolejności wskazała na zasady weryfikacji tożsamości pacjentów. Podmiot wykonujący działalność leczniczą ma obowiązek weryfikacji tożsamości pacjenta - m.in. w związku z udzielaniem świadczeń zdrowotnych. Tożsamość pacjenta można zweryfikować np. poprzez kontrolę okazanego przez pacjenta dokumentu potwierdzającego tożsamość zawierającego co najmniej zdjęcie, imię i nazwisko oraz PESEL lub w przypadku jego braku inny numer jednoznacznie identyfikujący pacjenta. Dokumentem potwierdzającym tożsamość jest przede wszystkim: dowód osobisty, legitymacja studencka, legitymacja szkolna, prawo jazdy, paszport lub inny dokument urzędowy ze zdjęciem (art. 50 ust. 2 pkt 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowych ze środków publicznych). Podmiot leczniczy w związku z przetwarzaniem tzw. danych wrażliwych, tj. danych dotyczących stanu zdrowia, przebytych chorób powinien ze szczególną starannością podchodzić do zagadnień związanych z weryfikacją prawidłowości przetwarzanych danych oraz bezpieczeństwem ich przetwarzania. W zaskarżonej decyzji z dnia [...] maja 2024 r. nie odniesiono się natomiast w żaden sposób do samej weryfikacji prawidłowości danych pacjentów wprowadzanych do karty medycznej czynności ratunkowych oraz systemów informatycznych placówek medycznych. Nie budzi wątpliwości sam fakt przetwarzania przez placówkę medyczną danych pacjentów, na rzecz których udziela świadczeń medycznych oraz fakt, że jest to: imię (imiona), nazwisko, data urodzenia, oznaczenie płci, adres miejsca zamieszkania, nr PESEL. Sporna w przedmiotowej sprawie pozostaje natomiast weryfikacja tożsamości pacjentów, na rzecz których udzielana jest pomoc medyczna. Organ wydający decyzję z dnia [...] maja 2024 r. całkowicie pominął fakt właściwej i wyczerpującej weryfikacji danych pacjenta, która powinna nastąpić w oparciu o obowiązujące normy prawne z zachowaniem należytej staranności, a nie w sposób dowolny. Jest to niezwykle istotne również z punktu widzenia wrażliwości przetwarzanych danych przez placówki medyczne. Z uwagi na zaniechanie dochowania należytej staranności w procesie weryfikacji tożsamości pacjentki, na rzecz której udzielono świadczenia medycznego przez [...] w dniu [...] sierpnia 2022 r., niewłaściwie w przedmiotowej sprawie uznano iż, ww. placówka medyczna pozostawała administratorem danych osobowych skarżącej na podstawie art. 6 ust. 1 lit. c RODO oraz, iż ww. placówka przetwarzała dane osobowe skarżącej zgodnie z art. 9 ust. 2 lit. h RODO. W przedmiotowej sprawie nie zachodzi spełnienie przesłanek wynikających z art. 6 ust. 1 lit. c w zw. z art. 9 ust. 2 lit. h, gdyż skarżąca nigdy nie była pacjentką [...] oraz nie przekazywała ww. placówce swoich danych osobowych, jak również nie wyrażała zgody na ich przetwarzanie w żadnym celu, w tym celach zdrowotnych, a także nie wyrażała zgody na ich udostępnianie osobom trzecim. Nie ma wobec powyższego uzasadnienia przetwarzanie danych osobowych skarżącej w oparciu o art. 6 ust. 1 lit. c w zw. z art. 9 ust. 2 lit. h RODO. Ponadto podmiot leczniczy posiada status administratora danych osobowych w rozumieniu przepisów rozporządzenia RODO. W związku z tym ciąży na nim szereg obowiązków uregulowanych w ww. rozporządzeniu. Jedną z najważniejszych powinności administratora stanowi wykonywanie tzw. obowiązku informacyjnego wynikającego z art. 13 niniejszego rozporządzenia. Podmiot leczniczy jako administrator danych powinien informować pacjentów m.in. o tym kto jest administratorem ich danych osobowych, w jakim celu dane są przetwarzane, jak długo dane będą przechowywane, komu dane osobowe są przekazywane i udostępniane, jakie prawa przysługują pacjentom w związku z przetwarzaniem ich danych. Przekładając powyższe na grunt przedmiotowej sprawy w związku z błędną weryfikacją tożsamości pacjenta przez placówkę medyczną [...] nie dopełniono wobec skarżącej obowiązku informacyjnego ciążącego na placówce, a wynikającego z przepisów RODO. Skarżąca nie miała bowiem wiedzy, że ww. podmiot przetwarza jej dane osobowe, nie znała tożsamości podmiotu przetwarzającego, a co za tym idzie nie mogła wykonywać szeregu innych uprawnień wymienionych w przepisach RODO związanych z przetwarzaniem jej danych osobowych. W przedmiotowym postępowaniu organ wydający decyzję nie podjął wszystkich czynności niezbędnych do dostatecznego wyjaśnienia sprawy, tj. nie ustalił okoliczności i uchybień związanych z błędnym ustaleniem tożsamości pacjentki na rzecz, której [...] w dniu [...] sierpnia 2022 r. świadczył pomoc medyczną. Nie uwzględnił również słusznego interesu skarżącej w związku z przetwarzaniem jej danych osobowych powziętych bez przeprowadzenia właściwej weryfikacji tożsamości pacjenta. Organ w uzasadnieniu decyzji z dnia [...] maja 2024 r. nie odniósł się w żaden sposób do wymagań prawnych dotyczących prawidłowej weryfikacji tożsamości pacjenta, a podaje jedynie podstawy prawne wskazujące, jakie dane dotyczące pacjenta zespoły ratownictwa medycznego są zobowiązane uzupełniać w karcie medycznej. Ponadto organ wskazuje na przepisy RODO, jako podstawę przetwarzania danych skarżącej przez placówkę medyczną, podczas gdy nie odnosi się do faktu, iż skarżąca nigdy nie była pacjentem placówki medycznej przetwarzającej jej dane osobowe. W odpowiedzi na skargę organ wniósł o jej oddalenie oraz o rozpoznanie sprawy w trybie uproszczonym. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Sprawa rozpoznana została w trybie uproszczonym. Stosownie do art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935 z późn. zm.), dalej "p.p.s.a.", sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2024 r., poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Stosownie do treści art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Skarga, oceniana w świetle powyższych kryteriów, nie podlega uwzględnieniu. W sprawie tej Sąd, dokonując oceny legalności zaskarżonej decyzji Prezesa UODO zobowiązany był - co do zasady - zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami RODO. Analizowana pod tym kątem skarga nie zasługuje na uwzględnienie, albowiem decyzja Prezesa UODO z dnia [...] maja 2024 r. nie narusza obowiązujących przepisów prawa. Sąd uznał, że Prezes UODO, wydając przedmiotową decyzję, nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w tym k.p.a., w stopniu, który miałby istotny wpływ na wynik sprawy zakończonej wydaniem zaskarżonej decyzji. Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu RODO (art. 34 ust. 2 tej ustawy). Jak stanowi art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą. W sprawie tej Sąd stwierdził, że - wbrew zarzutom skargi – organ ochrony danych osobowych, rozstrzygając w sprawie, nie dopuścił się - mogącego mieć wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 8 k.p.a. art. 11 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., czy art. 107 § 3 k.p.a., albowiem organ wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia niniejszej sprawy, w granicach prowadzonego postępowania, wyznaczonych skargą J. W.). Prezes UODO dokonał także - zdaniem Sądu - właściwej oceny zebranego w sprawie materiału dowodowego, dokonując tej oceny w kontekście prawidłowo zastosowanych przepisów RODO. W działaniach Prezesa UODO w tej sprawie Sąd nie stwierdził jakichkolwiek istotnych nieprawidłowości, zarówno w zakresie dokonanych ustaleń stanu faktycznego, jak i zastosowania do jego oceny przepisów prawa materialnego. Uzasadnienie zaskarżonej decyzji odpowiada wymogom art. 107 § 3 k.p.a. Prezes UODO wyjaśnił motywy podjętego rozstrzygnięcia i powody, jakie legły u jego podstaw. Argumentacja organu jest w tym zakresie wyczerpująca i wyjaśnia dlaczego zapadło takie, a nie inne rozstrzygnięcie. Podkreślenia wymaga, że celem postępowania administracyjnego jest rozstrzygnięcie sprawy administracyjnej dotyczącej konkretnej osoby (podmiotu danych). W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co czyni za pomocą środków dowodowych. W sprawie tej organ dokonał niezbędnych ustaleń faktycznych, opartych na wyjaśnieniach uczestnika postępowania [...] i własnych ustaleniach. Zdaniem Sądu, [...] dokonał należytej weryfikacji tożsamości pacjenta w związku ze świadczeniem medycznym udzielonym [...] sierpnia 2022 r. Prawidłowo Prezes UODO przyjął, iż brak jest przepisów prawa uprawniających [...] do samodzielnego ustalania danych osobowych osoby, na rzecz której świadczenie jest udzielane, np. w rejestrze PESEL. W tym względzie świadczeniodawca opiera się na treści przedstawionego dokumentu, a w przypadku jego braku, na oświadczeniu osoby lub, jak w przedmiotowej sprawie, danych osobowych ustalonych przez funkcjonariuszy Policji, tj. imię, nazwisko, data urodzenia oraz numer PESEL. Organ prawidłowo ocenił, iż podmiot medyczny ustalając dane osobowe pacjenta, na rzecz którego udzielane było świadczenie medyczne, dochował należytej staranności w procesie weryfikacji tożsamości pacjentki. Zgodnie z art. 24 ust. 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2023 r. poz. 1545), podmiot udzielający świadczeń zdrowotnych jest obowiązany prowadzić, przechowywać i udostępniać dokumentację medyczną w sposób określony w przedmiotowej ustawie oraz w ustawie z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia. Zespół ratownictwa medycznego realizujący zlecenie wyjazdu zobowiązany jest do sporządzenia karty medycznej czynności ratunkowych, w której wskazuje imię (imiona) i nazwisko, datę urodzenia, oznaczenie płci, adres miejsca zamieszkania, numer PESEL, jeżeli został nadany oraz określenie rodzaju dokumentu potwierdzającego tożsamość obejmujące jego nazwę oraz nazwę kraju, w którym został wystawiony (§ 46 ust. 1 w zw. z § 10 ust. 1 pkt 1 i 2 rozporządzenia Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania (Dz. U. z 2022 r. poz. 1304 z późn. zm.). W myśl § 4 ust. 1 rozporządzenia, wpisu w dokumentacji dokonuje się niezwłocznie po udzieleniu świadczenia zdrowotnego, z zapewnieniem niezaprzeczalności i integralności danych, a w dokumentacji w postaci papierowej w sposób czytelny i w porządku chronologicznym. Jednocześnie, na podstawie art. 56 ust. 2a ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia, świadczeniodawcy są obowiązani przekazywać do SIM dane zdarzenia medycznego przetwarzanego w systemie informacji od dnia 1 lipca 2021 r. (Dz. U. z 2023 r. poz. 2465 z późn. zm.). Wobec powyższego, podmiot medyczny zobowiązany był do przetwarzana danych osobowych osoby, na rzecz której udzielał świadczenia medycznego. [...] dopiero na skutek pisma Policji otrzymanego [...] marca 2023 r. powziął informację o osobie, na rzecz której faktycznie świadczono usługi medyczne [...] sierpnia 2022 r. Wobec tego należy przyjąć, że działania podjęte [...] marca 2023 r. zmierzające do usunięcia danych osobowych skarżącej były niezwłoczne. Organ prawidłowo ocenił, iż przetwarzanie danych osobowych skarżącej przez [...] było zgodne z prawem i znajdowało oparcie w treści art. 6 ust. 1 lit. c RODO. Jednocześnie [...] w sposób prawidłowy dokonało niezwłocznego usunięcia przetwarzanych danych osobowych skarżącej oraz sprostowania informacji zawartych w systemach informatycznych, w tym SIM. Organ również prawidłowo przyjął, iż w przedmiotowej sprawie nie znajdowały zastosowania przepisy dotyczące przetwarzania danych dotyczących zdrowia, tj. art. 9 ust. 1 i 2 RODO, na które powołuje się skarżąca. Zgodnie z art. 4 pkt 15 RODO, dane dotyczące zdrowia oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej - w tym o korzystaniu z usług opieki zdrowotnej - ujawniające informacje o stanie jej zdrowia. Natomiast w przedmiotowej sprawie skarżąca kwestionowała przetwarzanie jej danych osobowych w zakresie imienia, nazwiska oraz numeru PESEL, które nie spełniają definicji danych dotyczących zdrowia, a w konsekwencji nie stanowią szczególnych kategorii danych osobowych. Tym samym zarzut naruszenia art. 9 ust. 2 lit h RODO okazał się bezpodstawny. Organ słusznie zauważył, że przedmiotem postępowania administracyjnego w sprawie nie był zarzut braku spełnienia wobec skarżącej przez skarżony podmiot medyczny obowiązku informacyjnego wskazanego w art. 13 ust. 1 lit. a, b, c, e w zw. z art. 13 ust. 2 lit. a, b, d, e RODO. Skoro, zgodnie z zasadą przewidzianą w art. 61 § 1 k.p.a., postępowanie administracyjne wszczyna się na żądanie strony lub z urzędu, to organ jest związany zakresem żądania wszczęcia postępowania administracyjnego, ponieważ określa ono przedmiot postępowania (zob. np. wyrok NSA z dnia 11 czerwca 1990 r., I SA 367/90, ONSA 1990/2-3/47; wyrok NSA z dnia 3 lipca 2008 r., II OSK 771/07, LEX 0 nr 485362). Skarżąca w swojej skardze z 15 lutego 2023 r. nie kwestionowała naruszenia przez [...] jej praw wynikających z Rozdziału III RODO, w tym spełnienia obowiązku informacyjnego wynikającego z art. 13 RODO. Tym samym zarzut skargi w tym zakresie jest bezpodstawny. Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 w zw. z art. 119 pkt 2 i art. 120 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w wyroku.