II SA/Wa 1364/16

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Adam Lipiński, Sędziowie WSA Piotr Borowiecki (spr.), Andrzej Góraj, , Protokolant starszy sekretarz sądowy Dorota Kwiatkowska, po rozpoznaniu na rozprawie w dniu 11 maja 2017 r. sprawy ze skargi D. Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę. Zaskarżoną decyzją z dnia [...] czerwca 2016 r., nr [...], Generalny Inspektor Ochrony Danych Osobowych, (dalej także: "GIODO" lub "organ"), działając na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2016 r., poz. 23 - dalej także: "k.p.a."), a także art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 oraz art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2015 r., poz. 2135 ze zm. - dalej także: "u.o.d.o."), utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] lutego 2016 r., nr [...], odmawiającą uwzględnienia wniosku D. Z. (dalej także: "strona skarżąca" lub "skarżąca") z dnia [...] maja 2012 r. zawierającego skargę na przetwarzanie jej danych osobowych przez Szkołę Podstawową nr [...] im. [...] z siedzibą w W., przy ul. [...] (dalej także: "Szkoła") oraz Centrum Medyczne [...] sp. z o.o. z siedzibą w P. przy ul. [...] (dalej także: "Centrum Medyczne"). Zaskarżona decyzja została wydana w następującym stanie faktycznym. Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga D. Z. z dnia [...] maja 2012 r. na przetwarzanie jej danych osobowych przez Szkołę Podstawową nr [...] im. [...] z siedzibą w W. przy ul. [...] oraz Centrum Medyczne [...] sp. z o.o. z siedzibą w P. przy ul. [...]. W treści skargi strona skarżąca wskazała m.in. na okoliczność rejestrowania przez Szkołę wizyt w Centrum Medycznym bez wiedzy i zgody skarżącej oraz zarzuciła Centrum Medycznemu niewłaściwe zabezpieczenie przetwarzanych przez nie danych osobowych. Strona skarżąca, odnośnie zarzutów dotyczących działań podjętych przez Centrum Medyczne [...] sp. z o.o., wniosła do organu o: 1) kontrolę przestrzegania prawa w zakresie ochrony danych osobowych skarżącej zgodnie z ustawą o ochronie danych osobowych w Centrum Medyczne [...] sp. z o.o., przy ul. [...],[...] oraz w prowadzonej przez tą spółkę przychodni "CM[...] Centrum Medyczne" przy ul. [...] w P.; 2) podjęcie decyzji dotyczącej usunięcia i zniszczenia posiadanych danych osobowych skarżącej przez Centrum Medyczne [...] sp. z o.o. oraz przychodnię "CM[...] Centrum Medyczne" przy ul. [...] w P., oraz w pozostałych oddziałach medycznych tej spółki, jeśli dane osobowe skarżącej zostały zarejestrowane w tych placówkach; 3) wszczęcia postępowania przeciwko osobom, które dopuściły do zaniechania ochrony danych medycznych w procesie przetwarzania danych osobowych skarżącej; skarżąca zarzuciła, iż Centrum Medyczne [...] sp. z o.o. jest odpowiedzialne za stworzenie w systemie informatycznym rejestru wizyt lekarskich na imię i nazwisko skarżącej, bez wiedzy i zgody skarżącej, a także za bezprawne przetwarzanie jej danych osobowych w roku 2011 bez wiedzy i zgody skarżącej, za dopuszczenie do sytuacji błędu, pomyłki, zamieszania przez konsultantów w związku z niewystarczającymi metodami weryfikacji pacjentów o tym samym imieniu i nazwisku; 4) o nakazanie spółce Centrum Medyczne [...] sp. z o.o. weryfikacji pacjentów o tym samym imieniu i nazwisku dodatkowymi metodami, a także o zakazanie tej spółce udzielania informacji medycznych pacjencie drogą telefoniczną po podaniu tylko imienia i nazwiska osoby dzwoniącej oraz zakazanie udzielania informacji medycznych o pacjencie drogą mailową - bez weryfikacji osoby piszącej e-mail. Z kolei, jeśli chodzi o zarzuty dotyczące działań podjętych przez Szkołę Podstawową nr [...] im. [...] z siedzibą w W., skarżąca wniosła do organu o: 1) o przeprowadzenie postępowania kontrolnego w zakresie naruszenia przez Szkołę praw skarżącej do ochrony jej danych osobowych przez pracodawcę - Dyrektora Szkoły Podstawowej nr [...] im. [...] z siedzibą w W., działającego w imieniu pracodawcy; 2) o przeprowadzenie postępowania kontrolnego w zakresie bezprawnego przetwarzania przez Dyrektora Szkoły danych osobowych skarżącej; 3) o przeprowadzenie postępowania kontrolnego w zakresie niezapewnienia skarżącej prawa do ochrony jej danych osobowych przez pracodawcę w związku z umową zawartą pomiędzy Szkołą - jako pracodawcą skarżącej a spółką Centrum Medyczne [...] sp. z o.o.; 4) o przeprowadzenie postępowania kontrolnego w zakresie wykorzystania i przetwarzania przez Szkołę danych osobowych skarżącej posiadanych w związku z zatrudnieniem do innych celów, niż cel wynikający z zatrudnienia oraz 5) o przeprowadzenie postępowania kontrolnego w zakresie wykorzystania przez Dyrektora Szkoły danych osobowych skarżącej na swoją korzyść. Pismem z dnia [...] listopada 2012 r. skarżąca wniosła do Generalnego Inspektora Ochrony Danych Osobowych o skierowanie zawiadomienia o podejrzeniu popełnienia przestępstwa przez Centrum Medyczne polegające na bezprawnym przetwarzaniu jej danych osobowych na potrzeby wizyt lekarskich skarżącej w 2011 r. bez wiedzy strony skarżącej. Ponadto, skarżąca wskazała na okoliczność przetwarzania jej danych osobowych przez Szkołę pomimo wniesionego przez nią sprzeciwu wobec przetwarzania jej danych osobowych. Następnie, pismem z dnia [...] stycznia 2014 r. skarżąca poinformowała GIODO o rozbieżnościach w dokumentacji przedstawianej przez Szkołę w toku postępowania administracyjnego, a dokumentacją przedłożoną przez Szkołę w toku postępowania przed Sądem Okręgowym w W., [...] Wydział Pracy i Ubezpieczeń Społecznych. Pismem z dnia [...] czerwca 2014 r. skarżąca rozszerzyła przedmiot niniejszego postępowania poprzez postawienie zarzutów dotyczących niepoinformowania jej przez Szkołę, jako pracodawcę, o przekazaniu jej danych osobowych - w związku z zawartymi umowami z dnia [...] stycznia 2011 r. i dnia [...] stycznia 2012 r. - podmiotowi Centrum Medyczne [...] sp. z o.o., w wyniku czego - zdaniem skarżącej - miało dojść do naruszenia obowiązków informacyjnych, o których mowa w ustawie o ochronie danych osobowych, poprzez: - niezaewidencjonowanie dokumentu skierowania na badania psychiatryczne z dnia [...] kwietnia 2011 r. w teczce akt osobowych skarżącej, - ukrycie wystawionego skierowania na badania psychiatryczne z dnia [...] kwietnia 2011 r. przed skarżącą, przed Państwową Inspekcją Pracy, a także przed Generalnym Inspektorem Ochrony Danych Osobowych, - bezprawne przekazanie spółce Centrum Medyczne [...] sp. z o.o. dokumentu skierowania na badania psychiatryczne z dnia [...] kwietnia 2011 r., - naruszenie przepisów ustawy o ochronie danych osobowych w wyniku przesłania wraz z pismem z dnia [...] lutego 2013 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych informacji o przyczynie rozwiązania stosunku pracy pomiędzy Szkołą - jako pracodawcą a skarżącą, - niedopełnienia obowiązku informacyjnego w ten sposób, że pracodawca nie poinformował skarżącej o nowym (zmienionym) celu przetwarzania danych osobowych skarżącej, co określa się aktualizacją obowiązku informacyjnego o celu innym, niż związanym z zatrudnieniem, - niedopełnienia obowiązku informacyjnego polegającego na niepoinformowaniu strony skarżącej, co dzieje się z jej danymi osobowymi będącymi w posiadaniu podmiotu, któremu pracodawca przekazał dane osobowe skarżącej, po rozwiązaniu stosunku pracy i tym samym niepoinformowanie strony, czy jej dane osobowe nadal są w posiadaniu spółki Centrum Medyczne [...] sp. z o.o. i w jakim celu oraz zakresie są obecnie przetwarzane. Ponadto, skarżąca wskazała na niewypełnienie przez Centrum Medyczne wobec niej obowiązku informacyjnego, o którym mowa w art. 25 ustawy o ochronie danych osobowych. Jednocześnie, skarżąca wniosła o nakazanie Szkole Podstawowej nr [...] w W. usunięcie uchybień w procesie przetwarzania danych osobowych skarżącej - poprzez usunięcie z dokumentacji pracowniczej: 1) dokumentu skierowania na badania psychiatryczne z dnia [...] kwietnia 2011 r., 2) dokumentu skierowania na badania psychofizyczne z dnia [...] maja 2011 r., 3) dokumentu skierowania na badania psychofizyczne z dnia [...] maja 2011 r., 4) dokumentu skierowania na badania okresowo-kontrolne z dnia [...] czerwca 2012 r. do Centrum Medyczne [...] sp. z o.o., 5) dokumentu z dnia [...] grudnia 2012 r. skierowanego przez Szkołę Podstawową nr [...] do Centrum Medycznego [...] sp. z o.o. (do dr L. W.), 6) dokumentu z dnia [...] grudnia 2012 r. skierowanego przez Szkołę Podstawową nr [...] do Centrum Medycznego [...] sp. z o.o. (do dr L. W.). Następnie, w piśmie z dnia [...] czerwca 2014 r. skarżąca wniosła do GIODO o "podjęcie inicjatyw legislacyjnych mających na celu ochronę podstawowych praw i wolności zwykłego nauczyciela". Z kolei, w piśmie z dnia [...] października 2014 r. skarżąca wskazała, iż wnosi o rozpatrzenie niniejszej sprawy z urzędu przez Generalnego Inspektora Ochrony Danych Osobowych. Jednocześnie, w piśmie tym strona skarżąca wskazała, iż żąda przeprowadzenia postępowania dyscyplinarnego względem osób winnych uchybień oraz wystąpienie przez organ do administratorów o zmianę niewłaściwych praktyk. Ponadto, skarżąca wskazała, iż wnosi o wstrzymanie wydania decyzji administracyjnej przez organ do spraw ochrony danych osobowych do czasu zakończenia postępowania przygotowawczego, prowadzonego przez Prokuraturę Rejonową [...]. Pismem z dnia [...] lutego 2015 r. Skarżąca rozszerzyła przedmiot niniejszego postępowania poprzez postawienie dodatkowego zarzutu dotyczącego bezprawnego przetwarzania w 2014 r. jej danych osobowych przez członków zarządu spółki Centrum Medyczne [...] sp. z o.o., w szczególności polegającego na posłużeniu się przez P. W. dokumentem "Wykaz wszystkich wizyt lekarskich umówionych dla pacjentki D. Z." dla własnych celów - poprzez przedłożenie owego dokumentu w Prokuraturze Rejonowej [...]. W związku ze złożoną przez stronę skarżącą skargą z dnia [...] maja 2012 r. Generalny Inspektor Ochrony Danych Osobowych podjął stosowne czynności wyjaśniające mające na celu ustalenie wszelkich istotnych dla sprawy okoliczności faktycznych. W toku czynności wyjaśniających Generalny Inspektor Ochrony Danych Osobowych ustalił, iż: - skarżąca była zatrudniona w Szkole Podstawowej nr [...] im. [...] z siedzibą w W. na czas określony od dnia [...] września 2004 r., zaś od dnia [...] września 2006 r. do dnia [...] września 2010 r. była zatrudniona na czas nieokreślony, jako nauczyciel kształcenia zintegrowanego, a od dnia [...] września 2010 r., jako nauczyciel mianowany; - w dniu [...] grudnia 2012 r. Dyrektor Szkoły rozwiązał ze skarżącą stosunek pracy na podstawie art. 23 ust. 5 w zw. z art 23 ust.4 pkt 2 ustawy - Karta Nauczyciela; - Szkoła przetwarzała dane osobowe skarżącej w zbiorze danych osobowych nauczycieli i innych pracowników, zgodnie z art. 221 ustawy z dnia 26 czerwca 1974 r. - Kodeks Pracy, zaś obecnie - jako byłego pracownika - dane osobowe skarżącej przetwarzane są w celach archiwalnych; - Szkoła zawarła z Centrum Medycznym [...] sp. z o.o. umowę z dnia [...] stycznia 2011 r. o udzielanie świadczeń zdrowotnych na rzecz pracowników (badania wstępne, kontrolne badania okresowe, a także konsultacje lekarskie); załącznikiem do przedmiotowej umowy jest pełna lista pracowników Szkoły; ponadto organ ustalił, że w dniu [...] stycznia 2012 r. strony podpisały kolejną umowę na okres 12 miesięcy, przedmiotowo zbieżną z poprzednią; - Szkoła wskazała, iż pracownik kadrowy posiada stosowne upoważnienie do przetwarzania danych osobowych pracowników Szkoły, o których mowa w art. 37 ustawy o ochronie danych osobowych i jest wpisany do ewidencji osób upoważnionych do przetwarzania danych osobowych; - Dyrektor Szkoły wskazał, iż kilkakrotnie - działając na podstawie art. 23 ust. 5 ustawy - Karta Nauczyciela - kierował skarżącą na badania kontrolne do Centrum Medycznego, z którym, jako pracodawca, zawarł stosowną umowę na świadczenie tego typu usług; Ponadto, Dyrektor Szkoły wskazał, iż skarżąca odebrała wyłącznie pierwsze skierowanie, następnie zaś każdorazowo przedkładała pracodawcy zwolnienia lekarskie; - z ustaleń organu wynikało, że podstawą prawną skierowania skarżącej na badanie lekarskie stanowił przepis art. 9 ust. 1 pkt 3 ustawy - Karta Nauczyciela w związku z art. 211 pkt 5 i art. 229 § 1-8 Kodeksu pracy w związku z rozporządzeniem Ministra Zdrowia i Opieki Społecznej z dnia 30 maja 1996 r. w sprawie przeprowadzania badań lekarskich pracowników, zakresu profilaktycznej opieki zdrowotnej nad pracownikami oraz orzeczeń lekarskich wydawanych do celów przewidzianych w Kodeksie pracy. W złożonych w toku postępowania administracyjnego wyjaśnieniach Centrum Medyczne [...] sp. z o.o. wskazało, iż skarżąca w istocie została skierowana przez pracodawcę na badania w ramach medycyny pracy do Centrum Medycznego i spółka ta - zgodnie ze skierowaniem - po prostu zapisała pacjentkę na wizyty u lekarzy uprawnionych do przeprowadzenia badań, które zlecił w ramach obowiązującej umowy pracodawca skarżącej. Niemniej, jak wskazało Centrum Medyczne, z przyczyn niezależnych od tej spółki, skarżąca nie stawiła się na zaplanowane badania lekarskie w 2011 r. W tej sytuacji, jak poinformowało Centrum Medyczne, żadne dane objęte tajemnicą lekarską, dotyczące stanu zdrowia i ewentualnie chorób tej pacjentki, nie były i nie są przetwarzane przez spółkę. Jednocześnie, Centrum Medyczne stanowczo podkreślił, że - wbrew zarzutom strony skarżącej - nie przetwarzało danych osobowych pacjentki poza danymi znajdującymi się w systemie informatycznym do obsługi klientów Centrum Medycznego, gdzie zapisano terminy wizyt, na które pacjentka została skierowana przez pracodawcę. Centrum Medyczne wskazało ponadto, iż dokumentacja medyczna skarżącej nie została wytworzona, ponieważ tworzy się ją na podstawie przeprowadzonych badań i zabiegów przez personel składający się z lekarzy i pielęgniarek, a nie poprzez zapisanie pacjenta na wizytę. Centrum Medyczne, odnosząc się do zarzutów skarżącej w przedmiocie niewłaściwego zabezpieczenia dostępu do danych w sytuacji dokonywania rejestracji telefonicznej - wskazało, iż "Centrum Medyczne, tak jak inne Zakłady Opieki Zdrowotnej, zapewnia pacjentom możliwość zapisania się lub zmiany terminu wizyty u danego lekarza telefonicznie. Żadne przepis prawa nie wymaga, by klient był zapisany na wizytę bez zweryfikowania jego danych osobowych i z praktycznego punktu widzenia zapisanie pacjenta bez znajomości jego danych byłoby niemożliwe. Z tego względu pracownicy infolinii telefonicznej weryfikują dane pacjenta, poprzez zapytanie o imię i nazwisko, datę urodzenia lub PESEL i zakład pracy, który dokonuje płatności za usługi świadczone pracownikowi. Zapobiega to pomyłkowemu zapisaniu dwóch osób o tym samym imieniu i nazwisku". Z kolei, Szkoła Podstawowa nr [...] w W., odnosząc się do zarzutów strony skarżącej - wskazała, iż skarżąca kierowana była do specjalistów medycyny pracy, zaś pracownikowi nie przysługuje prawo wyboru lekarza do wykonania badania. Ponadto, Szkoła stwierdziła, że kierowanie pracowników Szkoły do innych placówek, niż Centrum Medyczne jest niedozwolone oraz może stanowić podstawę do zakwestionowania badania dokonanego przez wskazaną jednostkę. Szkoła zauważył ponadto, że adres jednostki, do której pracownik jest kierowany na badania, powinien być wprost wskazany na skierowaniu. Zdaniem Szkoły, niewypełnienie przez pracownika obowiązku skierowania się na badania okresowe zgodnie ze skierowaniem może stanowić podstawę do uznania działania pracownika jako zamierzone nieprzestrzeganie ustalonego w zakładzie pracy porządku, a tym samym, może stanowić podstawę do rozwiązania z pracownikiem łączącej strony umowy. W ocenie Szkoły, skierowanie się przez pracownika do innego specjalisty nie stanowi realizacji wydanego skierowania, którego istotnym elementem jest określenie placówki mającej dokonać badań (placówki, z którą pracodawca jest związany na podstawie łączącej strony umowy). Odnosząc się do zarzutów skarżącej w przedmiocie dopisywania dodatkowych informacji na skierowaniach, Dyrektor Szkoły wskazał, iż wystawione dla skarżącej skierowania zawierały jedynie takie dane, jak: określenie zajmowanego przez nią stanowiska, określenie warunków, w jakich pracuje nauczyciel (w sensie wskazania czynników szkodliwych i uciążliwych) oraz wnioskowanie pracodawcy o przeprowadzenie badań psychologicznych. Według zapewnień Szkoły, skierowania te nie zawierały natomiast żadnych informacji zbędnych, czy też dodatkowych. Ponadto, Dyrektor Szkoły wskazał, iż pierwsza próba skierowania pracownika (skarżącej) na badania lekarskie odbyła się dnia [...] kwietnia 2011 r. (skierowanie zostało wówczas odebrane, lecz skarżący nauczyciel nie stawił się na wyznaczone badanie, przedstawiając zwolnienie lekarskie). Z wyjaśnień Szkoły wynika, że druga próba skierowania skarżącej na badanie odbyła się z dnia [...] maja 2011 r. (skarżąca odmówiła przyjęcia skierowania, a ponadto - pomimo poinformowania o dacie wyznaczonej wizyty w dniu [...] maja 2011 r. - nie stawił się na wyznaczone badania i nie usprawiedliwiła swojej nieobecności). W związku z tym, jak wynika z informacji Dyrektor Szkoły, w dniu [...] maja 2011 r. została podjęta następna próba, lecz tym razem skarżąca nie odebrała skierowania (miała to zrobić po skończonych zajęciach lekcyjnych, lecz następnego dnia przedstawiła zwolnienie lekarskie). Szkoła wskazała, że kolejna próba miała miejsce [...] maja 2011 r. (skierowanie czekało wówczas na skarżącą po powrocie ze zwolnienia lekarskiego, lecz nie zostało przekazane, gdyż strona przedstawiła kolejne zwolnienie lekarskie do dnia [...] czerwca 2011 r.). Następnie, jak wynika z wyjaśnień Szkoły, na podstawie art. 73 ust. 1 ustawy - Karta Nauczyciela i zgodnie z orzeczeniem lekarskim z dnia [...] czerwca 2011 r., skarżącej, jako nauczycielowi, został udzielony urlop dla poratowania zdrowia w okresie od dnia [...] września 2011 r. do dnia [...] sierpnia 2012r. Po rocznym urlopie dla poratowania zdrowia, skarżąca była ponownie kierowana na badania - wystawiono skierowanie z datą [...] czerwca 2012 r., które zostało odebrane w dniu [...] sierpnia 2012 r. Z wyjaśnień Szkoły wynika, że skarżąca w dniu [...] września 2012 r przedstawiła orzeczenie lekarskie, ale nie z tego miejsca, do którego miała skierowanie od pracodawcy. Wobec wątpliwości co do trybu wystawienia ww. orzeczenia, Dyrektor Szkoły odwołał się do [...] Wojewódzkiego Ośrodka Medycyny Pracy i jednocześnie zwrócił się z wnioskiem o przeprowadzenie badania pracownika pod kątem zdolności psychologicznych do wykonywania zawodu nauczyciela. [...] Wojewódzki Ośrodek Medycyny Pracy w W. wydał w trybie odwoławczym zaświadczenie lekarskie o zdolności skarżącej do wykonywania zawodu nauczyciela. Niemniej, pomimo ważności zaświadczenia lekarskiego, działając na podstawie art. 23 ust. 5 ustawy - Karta Nauczyciela, Dyrektor Szkoły skierował skarżącą na badania. Z informacji Szkoły wynika, że skarżąca dwukrotnie nie stawiła się na wyznaczone badania i w związku z powyższym - na mocy art. 23 ust. 5 ustawy - Karta Nauczyciela - z dniem [...] grudnia 2012 r. nastąpiło rozwiązanie stosunku pracy ze skarżącą, jako nauczycielką kształcenia zintegrowanego kl. I-III. Z poczynionych przez GIODO ustaleń wynika jednocześnie, że pismem z dnia [...] kwietnia 2012 r. skarżąca zwróciła się do Centrum Medycznego [...] sp. z o.o. ze sprzeciwem wobec przetwarzania jej danych osobowych w oparciu o przepisy art. 32 ust. 1 pkt 6-8 ustawy o ochronie danych osobowych. W dniu [...] października 2013 r. do Biura GIODO wpłynęło pismo Sądu Okręgowego [...],[...] Wydział Pracy i Ubezpieczeń Społecznych, który zwrócił się o nadesłanie kopii akta postępowania administracyjnego w związku z postępowaniem, jakie prowadzi ten Sąd o zadośćuczynienie za naruszenie dóbr osobistych skarżącej przez Szkołę. W złożonych wyjaśnieniach z dnia [...] września 2014 r. Centrum Medyczne [...] sp. z o.o. poinformowało organ, że w związku z faktem, iż skarżąca nie jest już pracownikiem Szkoły, obecnie spółka przetwarza dane osobowe skarżącej jedynie w celach archiwalnych, a także na potrzeby stosownych postępowań prowadzonych zarówno przez GIODO, jak i przez Sąd Okręgowy w W. Ponadto, spółka Centrum Medyczne sp. z o.o. wskazała, iż skarżąca nie wnosiła o usunięcie jej danych osobowych przetwarzanych w systemie informatycznym. Odnosząc się do zarzutów skarżącej dotyczących bezprawnego udostępnienia przez Centrum Medyczne danych osobowych strony skarżącej zawartych w dokumencie pt. "Wykaz wszystkich wizyt dla Pacjentki D. Z." na rzecz Prokuratury Rejonowej [...], spółka wskazała, iż przedmiotowy zarzut strony skarżącej jest niezasadny, albowiem do wykorzystania owego dokumentu przez Prezesa Zarządu P. W. doszło w związku z wezwaniem na Komendę Policji w charakterze świadka w sprawie toczącej się z zawiadomienia skarżącej D. Z. przeciwko jej pracodawcy. Centrum Medyczne zauważyło, iż wspomniane przesłuchanie miało miejsce w październiku 2014 r. i odbyło się na wniosek Prokuratury. Pismem z dnia [...] czerwca 2015 r. Prokuratura Rejonowa [...] poinformowała Generalnego Inspektora Ochrony Danych Osobowych, iż w toku śledztwa prowadzonego w sprawie sygn. akt [...], przesłuchano w dniu [...] października 2014 r., w charakterze świadka, Prezesa Zarządu Centrum Medycznego P. W. Z informacji Prokuratury wynikało ponadto, że w aktach postępowania prokuratorskiego znajduje się wykaz wszystkich wizyt umówionych w Centrum Medycznym dla pacjentki D. Z., który to wykaz został złożony w trakcie przesłuchania przez Prezesa Zarządu Centrum Medycznego – P. W. W toku czynności wyjaśniających podjętych przez GIODO, organ ten uznał, że z akt postępowania nie wynika, aby skarżąca skierowała wobec Centrum Medycznego wniosek o spełnienie obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych. Ponadto, w toku czynności wyjaśniających GIODO ustalił, że w dniu [...] lutego 2016 r. odbyła się w Sądzie Rejonowym dla [...], Wydział [...] Karny rozprawa w sprawie W. S. (sygn. akt [...] – kopia protokołu w aktach administracyjnych sprawy), podczas której Dyrektor Szkoły potwierdziła, iż badania, na które kierowała skarżącą, były to badania, na które ma prawo kierować dyrektor szkoły zgodnie z art. 23 ustawy - Karta Nauczyciela. W wyniku analizy całości zgromadzonego materiału dowodowego, rozpoznając skargę strony skarżącej, Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 k.p.a., a także art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 oraz art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, wydał w dniu [...] lutego 2016 r. decyzję nr [...], na mocy której odmówił uwzględnienia wniosku strony skarżącej dotyczącego zarzutów związanych z przetwarzaniem jej danych osobowych przez Szkołę Podstawową nr [...] im. [...] z siedzibą w W. oraz Centrum Medyczne [...] sp. z o.o. z siedzibą w P. W uzasadnieniu decyzji Generalny Inspektor Ochrony Danych Osobowych wskazał na wstępie na zakres swoich zadań, o których mowa w art. 12 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. W konsekwencji, organ zauważył, że poza kompetencjami GIODO pozostają kwestie związane z ewentualnym naruszeniem przepisów prawa pracy. Generalny Inspektor Ochrony Danych Osobowych wskazał, iż w ramach prowadzonego postępowania administracyjnego, dokonał oceny legalności przetwarzania danych osobowych strony skarżącej przez Szkołę oraz Centrum Medyczne, uwzględniając okoliczności przetwarzania tych danych, całokształt materiału dowodowego oraz przepisy prawa, w tym w szczególności przepisy ustawy o ochronie danych osobowych. Organ zauważył, że w przedmiotowej sprawie kwestią sporną jest przede wszystkim legalność udostępnienia przez Szkołę danych osobowych skarżącej na rzecz Centrum Medycznego. Organ wskazał, że ustawa o ochronie danych osobowych określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 u.o.d.o.). Organ wskazał m.in., że przepisem uprawniającym administratorów danych do przetwarzania danych osób fizycznych, w tym ich udostępniania, jest art. 23 ust. 1 u.o.d.o., zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek taksatywnie wskazanych w tym przepisie, a więc jedynie wówczas, gdy: osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1), jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3), jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). Organ wskazał ponadto, że w odniesieniu do legalności przetwarzania danych osobowych wrażliwych stosuje się przepis art. 27 cyt. ustawy, który stanowi, jakiego rodzaju dane zabrania się przetwarzać. Ponadto, powołując się na przepisy art. 23 ust. 1 pkt 2 oraz art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych, organ wskazał, że art. 94 pkt 9a ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy (tekst jednolity Dz. U. z 2014 r., poz. 1502 ze zm. - zwanej dalej także: "k.p."), stanowi, że pracodawca jest obowiązany w szczególności prowadzić dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników. Jednocześnie, Generalny Inspektor Ochrony Danych Osobowych odwołał się do brzmienia przepisów art. 51u ust. 1 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (tekst jednolity Dz. U. z 2015 r., poz. 1446 ze zm.), art. 125a pkt 4 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (tekst jednolity Dz. U. z 2015 r., poz. 748 ze zm.), art. 47 ust. 3c ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (tekst jednolity Dz. U. z 2015 r., poz. 121 ze zm.), a także art. 86 § 1 i art. 70 § 1 ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (tekst jednolity Dz. U. z 2015 r., poz. 613 ze zm.). Mając na względzie powyższe regulacje prawne, Generalny Inspektor Ochrony Danych Osobowych stwierdził, iż Dyrektor Szkoły aktualnie przetwarza dane osobowe skarżącej, jako byłego pracownika Szkoły, na podstawie art. 23 ust. 1 pkt 2 w zw. z art. 27 ust. 2 pkt. 2 ustawy o ochronie danych osobowych. Odnosząc się do kwestii kierowania strony skarżącej przez Dyrektora Szkoły na badanie lekarskie do Centrum Medycznego, GIODO wskazał, iż zgodnie z art. 211 pkt 5 k.p., przestrzeganie przepisów i zasad bezpieczeństwa i higieny pracy jest podstawowym obowiązkiem pracownika. W szczególności, jak zauważył organ, pracownik jest obowiązany: poddawać się wstępnym, okresowym i kontrolnym oraz innym zaleconym badaniom lekarskim i stosować się do wskazań lekarskich. Ponadto, organ wskazał, że w świetle art. 23 ust. 5 ustawy z dnia 26 stycznia 1982 r. - Karta Nauczyciela (tekst jednolity Dz. U. z 2014 r., poz. 191), dyrektor szkoły może skierować nauczyciela mianowanego na badanie okresowe lub kontrolne z własnej inicjatywy w każdym czasie. Organ wskazał jednocześnie, że w przypadku dwukrotnego nieusprawiedliwionego niezgłoszenia się nauczyciela na badanie, stosuje się odpowiednio przepis art. 23 ust. 4 pkt 2 cyt. ustawy. Organ wskazał, powołując się na wspomniany przepis art. 23 ust. 4 pkt 2 cyt. ustawy, że rozwiązanie stosunku pracy z nauczycielem zatrudnionym na podstawie mianowania może nastąpić również w razie nieusprawiedliwionego niezgłoszenia się nauczyciela na badanie okresowe lub kontrolne, z końcem miesiąca, w którym dyrektor otrzymał o tym informację, z zastrzeżeniem ust. 5. W związku z powyższym, Generalny Inspektor Ochrony Danych Osobowych uznał, że nie można odmówić legalności kierowania na badania skarżącej przez Szkołę, jako pracodawcę. W tym miejscu, organ wyraźnie podkreślił, iż do kompetencji Generalnego Inspektora Ochrony Danych Osobowych nie należy ocena, czy działania dotyczące skierowania skarżącej na badania lekarskie w określonej sytuacji były zgodne z prawem, ponieważ organ dokonuje oceny wyłącznie w oparciu o przepisy ustawy o ochronie danych osobowych. Ponadto, GIODO zauważył, iż do kompetencji Generalnego Inspektora Ochrony Danych Osobowych nie należy również podejmowanie inicjatyw legislacyjnych mających na celu ochronę podstawowych praw i wolności nauczycieli. Odnosząc się z kolei do zarzutów strony skarżącej, w których zwracała ona uwagę na różnice występujące w treści skierowań na badania lekarskie oraz oceny danych w nich zawartych, organ uznał, iż kwestie te pozostają poza kompetencjami Generalnego Inspektora Ochrony Danych Osobowych. Organ podkreślił również, że żaden przepis ustawy o ochronie danych osobowych nie uprawnia Generalnego Inspektora Ochrony Danych Osobowych do wydawania nakazów usunięcia wskazanych przez stronę skarżącą dokumentów. Organ zauważył, że podobne stanowisko prezentuje również Wojewódzki Sąd Administracyjny w Warszawie, który w wyroku z dnia 6 września 2005 r., sygn. akt II SA/Wa 825/05), stwierdził, że w ustawie o ochronie danych osobowych brak jest przepisów obligujących administratora do udostępnienia dokumentów zawierających dane osobowe, albowiem ustawodawca posługuje się pojęciem "udostępnienia", odnosząc je zawsze do danych osobowych, a nie do zawierających je dokumentów. Ustosunkowując się do argumentów strony skarżącej dotyczących wykonania badań lekarskich u lekarza medycyny pracy nie w Centrum Medycznym [...], lecz w przychodni [...] w Z., Generalny Inspektor Ochrony Danych Osobowych stwierdził, że Dyrektor Szkoły miał prawo skierować do [...] Wojewódzkiego Ośrodka Medycyny Pracy w W. wniosek o przeprowadzenie u skarżącej dodatkowych badań lekarskich, albowiem działanie takie znajduje swoje oparcie w przepisach prawa (vide: § 5 rozporządzenia Ministra Zdrowia i Opieki Społecznej z dnia 30 maja 1996 r. w sprawie przeprowadzania badań lekarskich pracowników, zakresu profilaktycznej opieki zdrowotnej nad pracownikami oraz orzeczeń lekarskich wydawanych do celów przewidzianych w Kodeksie pracy - Dz. U. z 1996 r. Nr 69, poz. 332 ze zm.). W związku z powyższym, organ uznał, że wskazane przez stronę skarżącą udostępnienie danych osobowych skarżącej odbyło się zgodnie z obowiązującymi przepisami prawa. Odnosząc się z kolei do kwestii legalności przetwarzania danych osobowych skarżącej przez Centrum Medyczne [...] sp. z o.o., Generalny Inspektor Ochrony Danych Osobowych w pierwszej kolejności wskazał na treść art. 5 ust. 2 pkt 1 ustawy z dnia 27 czerwca 1997 r. o służbie medycyny pracy (tekst jednolity Dz. U. z 2014 r., poz. 1184 ze zm.), który stanowi, iż obowiązek objęcia pracowników profilaktyczną opieką zdrowotną spoczywa na pracodawcach. Ponadto, jak zauważył organ, zgodnie z art. 12 ust. 1 cyt. ustawy, badania wstępne, okresowe i kontrolne pracowników oraz inne świadczenia zdrowotne są wykonywane na podstawie pisemnej umowy zawartej przez podmiot obowiązany do ich zapewnienia, o którym mowa w art. 5 ust. 2, zwany dalej "zleceniodawcą", z podstawową jednostką służby medycyny pracy, zwaną dalej "zleceniobiorcą". W konsekwencji, GIODO uznał, iż Szkoła była uprawniona do przekazania danych osobowych strony skarżącej na rzecz Centrum Medycznego na podstawie przepisu prawa określonego w art. 12 ust. 1 ustawy o służbie medycyny pracy, zaś sam proces przetwarzania danych skarżącej przez Centrum Medyczne odbywał się w oparciu o przesłankę określoną w art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych. Ponadto, organ zauważył, że z akt przeprowadzonego postępowania wynika, iż Centrum Medyczne przetwarza aktualnie dane osobowe skarżącej w celach archiwalnych, do czego jest zobowiązana m.in. na podstawie przepisów ustawy z dnia 29 września 1994 r. o rachunkowości (tekst jednolity Dz. U. z 2013 r., poz. 330 ze zm.). Odnosząc się do zarzutu strony skarżącej w przedmiocie niewypełnienia przez Centrum Medyczne wobec skarżącej obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych, Generalny Inspektor Ochrony Danych Osobowych wskazał, iż zgodnie z art. 7 pkt 4 u.o.d.o., administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. Organ wskazał jednocześnie, iż na podstawie art. 33 ust. 1 cyt. ustawy, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a. Mając na względzie wskazane regulacje prawne, organ stwierdził, że ze zgromadzonego w sprawie materiału dowodowego wynika, iż skarżąca nie wystąpiła do Centrum Medycznego z wnioskiem, o którym mowa w art. 33 ustawy o ochronie danych osobowych. W związku z powyższym, Generalny Inspektor Ochrony Danych Osobowych wskazał również, iż zgodnie z art. 25 ust. 1 cyt. ustawy, w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o wymienionych w tym przepisie kwestiach. Odnosząc się w tej sytuacji do zarzutu skarżącej w przedmiocie niewypełnienia przez Centrum Medyczne wobec strony obowiązku informacyjnego, o którym mowa w powołanym przepisie, organ wskazał, iż zgodnie z art. 25 ust. 2 u.o.d.o., przepisu art. 25 ust. 1 pkt 1 tej ustawy nie stosuje się, jeżeli przepis innej ustawy przewiduje lub dopuszcza zbieranie danych osobowych bez wiedzy osoby, której dane dotyczą. Wobec powyższego, organ uznał, że Centrum Medyczne nie było zobowiązane do spełnienia wobec skarżącej ww. obowiązku. Ponadto, Generalny Inspektor Ochrony Danych Osobowych zauważył, iż pismem z dnia [...] kwietnia 2012 r. strona skarżąca skierowała do Centrum Medycznego sprzeciw wobec przetwarzania jej danych osobowych w oparciu o przepisy art. 23 ust. 1 w związku z art. 32 ust. 1 pkt 6-8 ustawy o ochronie danych osobowych. W tej sytuacji, odnosząc się do zarzutu skarżącej w przedmiocie przetwarzania jej danych osobowych przez Centrum Medyczne pomimo złożonego przez nią sprzeciwu wobec takiego przetwarzania, organ wskazał, iż przepisy art. 32 ust. 1 pkt 7 i 8 u.o.d.o. stanowią, że każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację (pkt 7) oraz wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych (pkt. 8). Mając na względzie wskazane uregulowania ustawowe, organ podkreślił, iż w niniejszym postępowaniu w odniesieniu do Centrum Medycznego podstawę przetwarzania danych osobowych stanowił przepis art. 27 ust. 1 pkt 2 ustawy o ochronie danych osobowych, nie zaś przesłanki legalizacyjne określone w art. 23 ust. 1 pkt 4 i 5 u.o.d.o. Ponadto, organ wskazał, że przy złożeniu sprzeciwu wobec przetwarzania danych osobowych niezbędne jest ich przetwarzanie w celach marketingowych, co w przypadku skarżącej nie miało miejsca. W związku z powyższym, GIODO stwierdził, że nie sposób uznać, by sprzeciw złożony przez stronę skarżącą w Centrum Medycznym był skuteczny wobec tego przetwarzania danych osobowych. Niezależnie od powyższego, odpowiadając na żądanie skarżącej dotyczące skierowania zawiadomienia o popełnieniu przestępstwa do właściwej prokuratury rejonowej, organ wskazał, że strona skarżąca może domagać się od Generalnego Inspektora Ochrony Danych Osobowych w administracyjnych formach postępowania wyłącznie podjęcia działań określonych w art. 18 ust. 1 ustawy o ochronie danych osobowych oraz może składać tylko takie wnioski, które mogą być rozpatrzone przez wydanie decyzji administracyjnej. Tymczasem, jak zauważył organ, ustawa nie daje GIODO uprawnień do kończenia prowadzonego postępowania poprzez skierowanie w formie decyzji administracyjnej zawiadomienia do organów ścigania o popełnieniu przestępstwa. Organ powołał się w tym miejscu na wyrok Naczelnego Sądu Administracyjnego z dnia 19 listopada 2001 r., wydany w sprawie sygn. akt II SA 2702/00, w którym NSA wyraźnie wskazał, że osoba dochodząca ochrony swych praw, w trybie ustawy o ochronie danych osobowych, nie jest podmiotem, który może się domagać od GIODO podjęcia decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych, albowiem przepis art. 19 cyt. ustawy nie daje stronie roszczenia w tym względzie. Ponadto, jak zauważył organ, również Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 13 listopada 2009 r., sygn. akt II SA/Wa 612/2009, uznał, iż skierowane przez Generalnego Inspektora Ochrony Danych Osobowych zawiadomienia o popełnienia przestępstwa następuje poprzez wystąpienie do organu właściwego do wszczęcia postępowania karnego w danej sprawie, jako należące do kompetencji organu, realizowane jest z urzędu, a nie na wniosek osób zainteresowanych. Jednocześnie, organ zaznaczył, że strona skarżąca może samodzielnie złożyć stosowne zawiadomienie do właściwych organów ścigania, co zresztą - jak wynika z akt postępowania - sama już uczyniła. Odnosząc się z kolei do podnoszonych przez stronę skarżącą okoliczności związanych zarówno z postępowaniem toczącym się przed Sądem Okręgowym w W. w związku z powództwem wytoczonym przez skarżącą o naruszenie jej dóbr osobistych, jak i związanych z postępowaniem przygotowawczym prowadzonym przez Prokuraturę Rejonową W., Generalny Inspektor Ochrony Danych Osobowych wskazał, iż nie jest organem kontrolującym, ani też nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, służb, czy też sądów, których orzeczenia podlegają ocenom w toku instancji, czy w inny sposób określony odpowiednimi procedurami (tak również /w:/ wyrok Naczelnego Sądu Administracyjnego z dnia 2 marca 2001 r., sygn. akt II SA 401/00). Na marginesie jedynie, odnosząc się do kwestii sporządzenia wykazu wizyt zarejestrowanych dla skarżącej w Centrum Medycznym i przedłożenie tego wykazu w toku postępowania przygotowawczego prowadzonego przez Prokuraturę Rejonową W., organ podkreślił, iż w sytuacji złożenia przez stronę skarżącą zawiadomienia do Prokuratury Rejonowej o podejrzeniu popełnienia przestępstwa przez Centrum Medyczne, oczywistym jest przesłuchanie przez Prokuraturę członków Zarządu Centrum Medycznego sp. z o.o. w charakterze świadków. GIODO uznał, że w kontekście regulacji prawnych wyrażonych w przepisach ustawy z dnia 6 czerwca 1997 r. - Kodeks postępowania karnego (tekst jednolity Dz. U. z 2016 r., poz. 1749 ze zm.), nie budzi wątpliwości organu do spraw ochrony danych osobowych przedłożenie przez członka Zarządu Centrum Medycznego sp. z o.o. dokumentów potwierdzających złożone przez niego wyjaśnienia. Odnosząc się z kolei do zarzutu strony skarżącej w przedmiocie przeprowadzenia postępowania dyscyplinarnego względem osób winnych uchybień w zakresie przestrzegania przepisów ustawy o ochronie danych osobowych, organ wskazał, iż w kontekście przepisów art. 12 i art. 18 ustawy o ochronie danych osobowych, uznać trzeba, iż do kompetencji Generalnego Inspektora Ochrony Danych Osobowych nie należy prowadzenie postępowań dyscyplinarnych. Jeżeli jednak, jak podniósł organ, w opinii skarżącej, doszło do naruszenia jej dóbr osobistych, wskazać należy, że każdy, kto ma poczucie naruszenia jego dóbr osobistych, może wystąpić w stosunku do osoby według niej winnej owego naruszenia na drogę postępowania cywilnego ze stosownym roszczeniem. Powołując się na przepis art. 18 ust. 1 u.o.d.o., Generalny Inspektor Ochrony Danych Osobowych wskazał, że jako właściwy organ, może - działając z urzędu lub na wniosek osoby zainteresowanej - w drodze decyzji administracyjnej nakazać przywrócenie stanu zgodnego z prawem. Mając na względzie powyższy przepis, organ uznał, że skoro w niniejszej sprawie nie ma możliwości przywrócenia stanu zgodnego z prawem, należy zatem odmówić uwzględnienia wniosku strony skarżącej. W dniu [...] lutego 2016 r. strona skarżąca złożyła do Generalnego Inspektora Ochrony Danych Osobowych wniosek o ponowne rozpatrzenie sprawy zakończonej powyższą decyzją z dnia [...] lutego 2016 r. W wyniku ponownego rozpatrzenia sprawy Generalny Inspektor Ochrony Danych Osobowych - działając na podstawie art. 138 § 1 pkt 1 k.p.a., a także art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 oraz art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - decyzją z dnia [...] czerwca 2016 r., nr [...], utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] lutego 2016 r. odmawiającą uwzględnienia wniosku strony skarżącej. W uzasadnieniu wydanej decyzji Generalny Inspektor Ochrony Danych Osobowych, odnosząc się do uwag skarżącej dotyczących nieprawidłowo ustalonego stanu faktycznego, wskazał m.in., iż opierając się na zasadzie swobodnej oceny dowodów, wynikającej z art. 80 k.p.a., dał wiarę oświadczeniu Dyrektora Szkoły, iż pracownik kadr posiada upoważnienie nadane przez administratora danych osobowych i jest wpisany do ewidencji osób upoważnionych do przetwarzania danych osobowych. Organ zauważył bowiem, iż w okolicznościach niniejszej sprawy nie występują przesłanki świadczące o naruszaniu prawa do ochrony danych osobowych oraz zasad przetwarzania tych danych, które wymagałyby dodatkowych czynności kontrolnych w tym aspekcie. Ponadto, organ ponownie wyraźnie podkreślił, że w świetle art. 12 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, poza kompetencjami organu do spraw ochrony danych osobowych pozostają kwestie związane z ewentualnym naruszeniem przepisów prawa pracy. Generalny Inspektor Ochrony Danych Osobowych wskazał, że w niniejszej sprawie dokonał wyłącznie oceny legalności przetwarzania danych osobowych skarżącej przez Szkołę oraz Centrum Medyczne, uwzględniając przy tym, iż w przedmiotowej sprawie kwestią sporną jest przede wszystkim legalność udostępnienia przez Szkołę danych osobowych skarżącej na rzecz Centrum Medycznego. Dokonując ponownej szczegółowej analizy stosownych przepisów zarówno ustawy o ochronie danych osobowych, jak i ustawy z dnia 26 stycznia 1982 r. - Karta Nauczyciela, a także innych aktów prawnych, organ uznał, że Dyrektor Szkoły aktualnie przetwarza dane osobowe skarżącej - jako byłego pracownika Szkoły - na podstawie art. 23 ust. 1 pkt 2 w zw. z art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych. Odnosząc się do kwestii skierowania skarżącej przez Dyrektora Szkoły na badanie lekarskie do Centrum Medycznego, organ wskazał przede wszystkim, iż zgodnie z art. 211 pkt 5 Kodeksu pracy, przestrzeganie przepisów i zasad bezpieczeństwa i higieny pracy jest podstawowym obowiązkiem pracownika. W szczególności, jak zauważył GIODO, pracownik jest obowiązany: poddawać się wstępnym, okresowym i kontrolnym oraz innym zaleconym badaniom lekarskim i stosować się do wskazań lekarskich, albowiem w świetle art. 23 ust. 5 ustawy z dnia 26 stycznia 1982 r. - Karta Nauczyciela, dyrektor szkoły może skierować nauczyciela mianowanego na badanie okresowe lub kontrolne z własnej inicjatywy w każdym czasie. W związku z powyższym, GIODO podtrzymał swoje dotychczasowe stanowisko, iż nie można odmówić legalności kierowania skarżącej na badania lekarskie przez Szkołę, jako pracodawcę. Ponadto, organ ponownie podkreślił wyraźnie, iż do kompetencji Generalnego Inspektora Ochrony Danych Osobowych nie należy ocena, czy działania dotyczące skierowania skarżącej na badania lekarskie w określonej sytuacji były zgodne z prawem, ponieważ GIODO dokonuje oceny wyłącznie w oparciu o przepisy ustawy o ochronie danych osobowych. Jednocześnie, organ wskazał ponownie, iż do jego kompetencji nie należy również podejmowanie inicjatyw legislacyjnych mających na celu ochronę podstawowych praw i wolności nauczycieli. Odnosząc się do zarzutów strony skarżącej dotyczących skierowań na badania lekarskie oraz ich udostępniania, organ uznał, iż kwestie te pozostają poza kompetencjami GIODO, który w świetle obowiązujących przepisów prawa nie ma również uprawnień do wydawania nakazów usunięcia tego typu dokumentów, co potwierdza również dotychczasowe orzecznictwo sądowe (vide: m.in. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 6 września 2005 r., sygn. akt II SA/Wa 825/05). Organ podtrzymał również swoje stanowisko odnośnie zarzutów strony skarżącej w przedmiocie wykonania badań lekarskich u lekarza medycyny pracy w innej placówce, niż wynikającej ze skierowania wystawionego przez Szkołę, jako pracodawcę. Odnosząc się z kolei do kwestii oceny legalności przetwarzania danych osobowych skarżącej przez Centrum Medyczne, GIODO ponownie wskazał na treść art. 5 ust. 2 pkt 1 i art. 12 ust. 1 ustawy z dnia 27 czerwca 1997 r. o służbie medycyny pracy, uznając w konsekwencji, iż Szkoła była uprawniona do przekazania danych osobowych skarżącej na rzecz Centrum Medycznego, zaś sam proces przetwarzania jej danych przez Centrum Medyczne odbywał się w oparciu o przesłankę określoną w art. 27 ust. 2 pkt. 2 ustawy o ochronie danych osobowych. Ponadto, organ zauważył, że z akt niniejszego postępowania wynika jednoznacznie, iż Centrum Medyczne przetwarza aktualnie dane osobowe skarżącej wyłącznie w celach archiwalnych, do czego jest zresztą zobowiązany na podstawie m.in. obowiązujących przepisów ustawy o rachunkowości. Organ podtrzymał również swoje dotychczasowe stanowisko dotyczące zarzutu skarżącej w przedmiocie niewypełnienia przez Centrum Medyczne obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych, podnosząc, iż ze zgromadzonego w sprawie materiału dowodowego wynika, iż strona skarżąca nie wystąpiła do Centrum Medycznego z wnioskiem, o którym mowa w art. 33 cyt. ustawy. Ponadto, odnosząc się do zarzutu skarżącej w przedmiocie niewypełnienia przez Centrum Medyczne obowiązku informacyjnego, o którym mowa w przepisie art. 25 ust. 1 u.o.d.o., organ uznał, że Centrum Medyczne nie było zobowiązane do spełnienia wobec strony skarżącej wskazanego powyżej obowiązku. Jednocześnie, odnosząc się do zarzutu strony skarżącej w przedmiocie przetwarzania jej danych osobowych przez Centrum Medyczne, pomimo złożonego przez nią sprzeciwu wobec takiego przetwarzania, Generalny Inspektor Ochrony Danych Osobowych wskazał, iż w niniejszym postępowaniu w odniesieniu do Centrum Medycznego podstawę przetwarzania danych osobowych strony skarżącej stanowił przepis art. 27 ust. 1 pkt 2 ustawy o ochronie danych osobowych, nie zaś przesłanki legalizacyjne określone w art. 23 ust. 1 pkt 4 i 5 tej ustawy. Ponadto, organ zauważył, że przy złożeniu sprzeciwu wobec przetwarzania danych, niezbędne jest ich przetwarzanie w celach marketingowych, co w przypadku strony skarżącej nie miało miejsca. W związku z powyższym, organ uznał, że nie sposób przyjąć, by sprzeciw złożony przez skarżącą w Centrum Medycznym był skuteczny wobec tego przetwarzania danych. Odnosząc się do żądania skarżącej dotyczącego skierowania zawiadomienia o popełnieniu przestępstwa do właściwej prokuratury rejonowej, organ podtrzymał swoje dotychczasowe stanowisko, iż w świetle przepisu art. 18 ust. 1 ustawy o ochronie danych osobowych, strona nie może domagać się od Generalnego Inspektora Ochrony Danych Osobowych zakończenia prowadzonego postępowania poprzez skierowanie - w formie decyzji administracyjnej - zawiadomienia do organów ścigania o podejrzeniu popełnieniu przestępstwa, albowiem takie działania organ podejmuje ewentualnie jedynie z urzędu, a nie na wniosek osób zainteresowanych. Organ odniósł się również ponownie do podnoszonych przez stronę skarżącą okoliczności związanych z postępowaniem toczącym się zarówno przed Sądem Okręgowym w W., jak i Prokuraturą Rejonową [...], podtrzymując przy tym swoje wcześniejsze stanowisko, iż Generalny Inspektor Ochrony Danych Osobowych nie jest organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, czy też sądów. Organ podtrzymał również stanowisko odnośnie prawidłowości działań podjętych przez Prezesa Zarządu Centrum Medyczne sp. z o.o., który zeznając jako świadek w toku postępowania przygotowawczego prowadzonego przez Prokuraturę Rejonową [...], miał prawo przedłożenia stosownych dokumentów potwierdzających złożone przez niego wyjaśnienia. Odnosząc się z kolei do zarzutu strony skarżącej w przedmiocie przeprowadzenia postępowania dyscyplinarnego względem osób winnych uchybień w toku niniejszego postępowania, GIODO wskazał, iż w świetle przywołanych wyżej przepisów art. 12 i art. 18 ustawy o ochronie danych osobowych, do jego kompetencji nie należy prowadzenie postępowań dyscyplinarnych, co nie oznacza, zdaniem organu, że strona skarżąca nie może - o ile uzna, że doszło do naruszenia jej dóbr osobistych - wystąpić na drogę postępowania cywilnego ze stosownymi roszczeniami przeciwko takim osobom. Odnosząc się do pozostałych zarzutów strony skarżącej wskazanych we wniosku o ponowne rozpatrzenie sprawy, organ wskazał, że - w świetle przepisów art. 7 i art. 77 § 1 k.p.a. oraz art. 80 k.p.a. - uznać należy, że GIODO dokonał prawidłowej analizy całości materiału zebranego w sprawie, uzasadniając w sposób właściwy wydane rozstrzygnięcie. Zdaniem organu, uznać trzeba, iż - wbrew zarzutom skarżącej - w toku przeprowadzonego postępowania podjęto wszelkie możliwe czynności w celu dokładnego wyjaśnienia stanu faktycznego sprawy. Ponadto, GIODO uznał, że zarówno wnioski, jak i dowody przedłożone w toku postępowania przez stronę skarżąca były wzięte pod uwagę, zaś ich ocena dokonana w uzasadnieniu spornej decyzji z dnia [...] lutego 2016 r. nie budzi zastrzeżeń. Generalny Inspektor Ochrony Danych Osobowych wskazał ponadto na przepisy legalizujące przetwarzanie danych osobowych skarżącej przez Szkołę oraz Centrum Medyczne, uznając, iż - wbrew twierdzeniu skarżącej - zgoda na przetwarzanie jej danych osobowych nie była konieczna w sytuacji, w której na przetwarzanie danych zezwala przepis prawa, tak jak to miało miejsce w przypadku skierowania skarżącej na badania lekarskie. Ustosunkowując się do zarzutów strony skarżącej związanych z brakiem umowy powierzenia danych osobowych zawartej pomiędzy Szkołą a Centrum Medycznym, organ wskazał, iż umowa taka nie była konieczna, albowiem zachodził przypadek, w którym mieliśmy do czynienia z udostępnieniem danych osobowych na podstawie przepisów szczególnych dotyczących świadczenia usług medycznych, o czym świadczy umowa zawarta pomiędzy w/w podmiotami (vide: "Umowa o udzielanie świadczeń zdrowotnych na rzecz zakładu pracy i pracowników" z dnia [...] stycznia 2011 r.). Ponadto, GIODO uznał, że - wbrew twierdzeniom skarżącej - jako podstawę prawną skierowania jej na badania lekarskie, podano nie art. 9 ust. 1 pkt 3 ustawy - Karta nauczyciela, lecz art. 23 ust 5 ustawy - Karta Nauczyciela, zgodnie z którym, dyrektor szkoły może skierować nauczyciela mianowanego na badanie okresowe lub kontrolne z własnej inicjatywy w każdym czasie. Jednocześnie, organ zauważył, że niewypełnienie obowiązku informacyjnego, o którym mowa w z art. 25 ust. 1 ustawy o ochronie danych osobowych, jak już zostało powyżej wskazane, nie jest konieczne w sytuacji, gdy przepis innej ustawy przewiduje lub dopuszcza zbieranie danych osobowych bez wiedzy osoby, której dane dotyczą (art. 25 ust. 2 pkt. 1 u.o.d.o.). Organ ustosunkował się również do kwestii ewentualnego zawiadomienia o możliwości popełnienia przestępstwa przez administratora danych osobowych, wyjaśniając, iż nie jest to działanie podejmowane na wniosek, a jednie inicjowane z urzędu, jeśli jest to uzasadnione okolicznościami sprawy. W przedmiotowej sytuacji, Generalny Inspektor Ochrony Danych Osobowych, uznał, iż nie występują przesłanki wskazujące na wypełnienie znamion czynów zabronionych, o których mowa w art. 49 - art. 54 ustawy o ochronie danych osobowych. W uzasadnieniu zaskarżonej decyzji organ podtrzymał również stanowisko, iż nie ma podstaw do żądania usunięcia przez Centrum Medyczne danych osobowych, w szczególności danych wrażliwych skarżącej. W ocenie organu, z materiału dowodowego zgromadzonego w sprawie wynika, że podmiot ten przetwarza dane osobowe skarżącej w celach archiwalnych na podstawie obowiązujących przepisów. Konkludując, Generalny Inspektor Ochrony Danych Osobowych uznał, że w niniejszej sprawie nie było podstaw do przywrócenia stanu zgodnego z prawem, w rozumieniu art. 18 ust. 1 u.o.d.o., a zatem organ zobowiązany był odmówić uwzględnienia wniosku strony skarżącej. W piśmie z dnia 10 lipca 2016 r. skarżąca, reprezentowana przez adwokata, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2016 r. Strona skarżąca zarzuciła Generalnemu Inspektorowi Ochrony Danych Osobowych: 1) naruszenie art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - polegające na nierozpoznaniu przez GIODO istoty sprawy, z uwagi na pominięcie większości wniosków dowodowych, pominięcie zarzutów skarżącej zawartych w jej pismach kierowanych w toku postępowania do GIODO, a także na nieodniesieniu się do zgromadzonych w toku postępowania dokumentów, jak również na niepodjęciu przez GIODO wszelkich czynności niezbędnych do dokładnego, wnikliwego i szczegółowego wyjaśnienia stanu faktycznego sprawy, pominięciu okoliczności faktycznych wskazywanych przez skarżącą w toku sprawy, a także na niezebraniu i nierozpatrzeniu całego materiału dowodowego, mającego istotne znaczenie dla rozstrzygnięcia sprawy; 2) naruszenie art. 80 k.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych - polegające na błędnym uznaniu przez organ, iż okoliczności sprawy zostały udowodnione na podstawie wybiórczo przeprowadzonej oceny materiału dowodowego, podczas gdy GIODO był zobowiązany do ustalenia stanu faktycznego sprawy na podstawie całokształtu materiału dowodowego zgromadzonego w sprawie, co implikowało konieczność uprzedniego pozyskania dowodów dających podstawę do stwierdzenia, że organ dysponuje wystarczającym materiałem do wydania merytorycznego rozstrzygnięcia zgodnego z rzeczywistym stanem faktycznym sprawy; 3) naruszenie art. 12 pkt 1 ustawy o ochronie danych osobowych - polegające na nieprzeprowadzeniu wnikliwej i szczegółowej kontroli przez GIODO zgodności przetwarzania danych osobowych skarżącej z przepisami o ochronie danych osobowych przez przez Szkołę Podstawową nr [...] im. [...] z siedzibą w W. przy ul. [...], jak też przez Centrum Medyczne [...] sp. z o.o. z siedzibą w P. przy ul. [...], w zakresie bezprawnego ich udostępnienia przez Szkołę podmiotowi trzeciemu - Centrum Medycznemu, a następnie bezprawnego posiadania i przetwarzania danych osobowych skarżącej, a także ich przetwarzania niezgodnie z celem i zakresem oraz nieadekwatnie do celu posiadania, co skutkowało w konsekwencji udzieleniem przez organ przyzwolenia na przetwarzanie danych osobowych skarżącej z naruszeniem szeregu przepisów o ochronie danych osobowych, w tym m.in. art. 23 ust. 1 u.o.d.o.; 4) naruszenie art. 23 ust. 1 pkt 2 w zw. z art. 27 ust. 1 w zw. z art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych w zw. z art. 5 ust. 2 pkt 1 w zw. z art. 12 ust. 1 ustawy z dnia 27 czerwca 1997 r. o służbie medycyny pracy - polegające na błędnym uznaniu, iż Szkoła była uprawniona do przekazania danych osobowych skarżącej na rzecz Centrum Medycznego na podstawie przepisu prawa określonego w art. 12 ust. 1 ustawy o służbie medycyny pracy, zaś sam proces przetwarzania jej danych osobowych przez Centrum Medyczne odbywał się w oparciu o przesłankę określoną w art. 27 ust. 2 pkt 2 u.o.d.o., podczas gdy w rzeczywistości z treści przepisu art. 12 ust. 1 ustawy o służbie medycyny pracy nie wynika takie uprawnienie dla Szkoły, a tym bardziej pełna gwarancja ochrony tak przekazanych, a następnie przetwarzanych przez Centrum Medyczne danych osobowych skarżącej; jednocześnie, strona skarżąca uznała, iż naruszenie owych przepisów przez GIODO polegało na nieuprawnionej, dowolnej i jednocześnie rozszerzającej interpretacji tego przepisu, co w konsekwencji doprowadziło do zaakceptowania faktu przekazania przez Szkołę wrażliwych danych osobowych skarżącej, bez jej pisemnej zgody, a następnie ich przetwarzanie przez Centrum Medyczne z naruszeniem przepisów o ochronie danych osobowych, w tym w szczególności art. 27 ust. 2 pkt 1 w zw. z art. 27 ust. 1 w zw. z art. 23 ust. 1 u.o.d.o.; 5) naruszenie art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych - polegające na całkowitym pominięciu i nieuwzględnieniu przez organ braku zgody skarżącej na przetwarzanie jej danych osobowych przez Centrum Medyczne, braku zgody skarżącej na przetwarzanie jej danych osobowych przez Szkołę dla innych celów, niż związanych z zatrudnieniem, a także braku zgody skarżącej na przekazanie jej danych osobowych Centrum Medycznemu w związku z realizacją umów na udzielanie świadczeń zdrowotnych zawartych pomiędzy Szkołą a Centrum Medycznym; 6) naruszenie art. 23 ust. 1 pkt 1 i 5 w zw. z art. 26 ust. 1 pkt 1, 2 i 3 ustawy o ochronie danych osobowych w zw. z art. 229 Kodeksu Pracy w zw. z rozporządzeniem Ministra Zdrowia i Opieki Społecznej z dnia 30 maja 1996 r. w sprawie przeprowadzenia badań lekarskich pracowników, zakresu profilaktycznej opieki zdrowotnej nad pracownikami oraz orzeczeń lekarskich wydawanych do celów przewidzianych w Kodeksie pracy w zw. z art. 91c ust. 1 ustawy - Karta Nauczyciela - poprzez ich pominięcie i nieuwzględnienie przy rozpatrywaniu zarzutów strony skarżącej, a także przy analizie zgromadzonego materiału dowodowego potwierdzającego, że pracodawca przetwarzał dane osobowe skarżącej w związku z kierowaniem skarżącej na badania lekarskie psychofizyczne, psychiatryczne, niezgodnie z celem oraz nieadekwatnie w stosunku do celów przetwarzania; 7) naruszenie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych - polegające na jego pominięciu i nieuwzględnieniu w odniesieniu do zarzutów strony skarżącej, której dane osobowe, jak wynika ze zgromadzonego materiału dowodowego, były przetwarzane w związku z kierowaniem skarżącej przez Szkołę na badania lekarskie profilaktyczne, jak i badania lekarskie psychofizyczne, psychiatryczne, sanitarno-epidemiologiczne do konkretnie wskazanego jednego lekarza w celu poddania się badaniom lekarskim, w wyznaczonym jednym terminie (dzień i godzina, w tym pora nocna), w jednym wyznaczonym miejscu, czego nie można uznać za niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów albo odbiorców danych, co w konsekwencji doprowadziło do przetwarzania danych osobowych skarżącej z naruszeniem jej praw i wolności; 8) naruszenie art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych w zw. z art. 221 Kodeksu pracy - poprzez ich pominięcie i nieuwzględnienie treści tych przepisów w sytuacji przetwarzania przez Szkołę danych osobowych skarżącej w szerszym zakresie, niż dopuszcza to art. 221 Kodeksu pracy; 9) naruszenie art. 23 ust. 1 ustawy o ochronie danych osobowych w zw. z art. 22 § 1 Kodeksu pracy - poprzez ich pominięcie przez organ na etapie oceny materiału dowodowego, co skutkowało błędnym uznaniem, że Szkoła mogła przetwarzać dane osobowe Skarżącej w celu oceny jej stanu zdrowia oraz zaplanowania leczenia i przetwarzania jej danych osobowych w celu zapisywania wizyt i badań lekarskich (w tym badań specjalistycznych) skarżącej w Centrum Medycznym; 10) naruszenie art. 27 ust. 1 ustawy o ochronie danych osobowych, polegające na jego niezastosowaniu i całkowitym pominięciu przy rozpoznawaniu przedmiotu skargi strony skarżącej, pominięciu zarzutów przetwarzania danych wrażliwych skarżącej, jak i błędnej oceny materiału dowodowego wskazującego na przetwarzanie danych wrażliwych skarżącej, co skutkowało nieprzeprowadzeniem przez organ w tym zakresie kontroli, brakiem oceny materiału dowodowego, nieodniesieniem się organu do tego zakresu skargi, a zatem w konsekwencji nierozpoznaniem istoty sprawy w tym obszarze naruszeń; 11) naruszenie art. 25 ust. 2 pkt 1 ustawy o ochronie danych osobowych - polegające na błędnym przyjęciu, bez wskazania konkretnego przepisu innej ustawy, że Centrum Medyczne nie było zobowiązane do spełnienia wobec skarżącej obowiązku określonego w art. 25 ust. 1 ustawy o ochronie danych osobowych, co skutkowało nieuzasadnionym uznaniem przez GIODO, że Centrum Medyczne, jako administrator danych osobowych skarżącej, nie musiało przekazać stronie skarżącej informacji określonych w tymże przepisie bezpośrednio po utrwaleniu jej danych osobowych; 12) naruszenie art. 26 ust. 1 pkt 1-3 ustawy o ochronie danych osobowych - polegające na ich niezastosowaniu i całkowitym pominięciu tych przepisów przez GIODO na etapie rozpoznawania skargi, co skutkowało tym, że organ nie skontrolował, czy i w jaki sposób Szkoła oraz Centrum Medyczne - jako podmioty przetwarzające dane osobowe skarżącej (okoliczność bezsporna) - dołożyły szczególnej staranności, jako administratorzy danych osobowych, w celu ochrony interesów skarżącej, a w szczególności, czy będąc zobowiązanymi - zapewniły, aby dane te były przetwarzane zgodnie z prawem, zbierane i przetwarzane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami oraz merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane; 13) naruszenie art. 24 ust. 1 pkt 1-4 ustawy o ochronie danych osobowych - polegające na ich niezastosowaniu i całkowitym pominięciu tych przepisów przez GIODO na etapie rozpoznawania skargi, co skutkowało tym, że organ nie skontrolował oraz w żaden sposób nie odniósł się do tego, czy Szkoła i Centrum Medyczne, jako podmioty przetwarzające dane osobowe skarżącej (okoliczność bezsporna), będąc do tego zobowiązanym, poinformowały skarżącą o adresie swojej siedziby i pełnej nazwie, celu zbierania danych, o odbiorcach danych, o prawie dostępu do swoich danych oraz ich poprawiania, a także o dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje - o jego podstawie prawnej; 14) naruszenie art. 19 ustawy o ochronie danych osobowych w zw. z art. 304 ustawy z dnia 6 czerwca 1997 r. - Kodeks postępowania karnego - polegające na nieuzasadnionej odmowie skierowania przez GIODO do organu powołanego do ścigania przestępstw zawiadomienia o możliwości popełniania przestępstwa przez administratora przetwarzającego wrażliwe dane osobowe skarżącej, podczas gdy w rzeczywistości z materiału dowodowego zgromadzonego w niniejszym postępowaniu wynika, iż działania Szkoły oraz Centrum Medycznego mogły wyczerpywać znamiona przestępstwa określonego w ustawie o ochronie danych osobowych, a GIODO jako instytucja państwowa, która w związku ze swą działalnością dowiedziała się o popełnieniu przestępstwa ściganego z urzędu, jest obowiązany niezwłocznie zawiadomić o tym właściwy organ powołany do ścigania przestępstw; 15) naruszenie art. 18 ust. 1 ustawy o ochronie danych osobowych - polegające na nieuzasadnionej odmowie wydania decyzji administracyjnej, nakazującej podmiotom naruszającym przepisy o ochronie danych osobowych (w szczególności Centrum Medycznemu), przywrócenie stanu zgodnego z prawem, a to poprzez nakazanie Centrum Medycznemu usunięcie wrażliwych danych osobowych skarżącej oraz usunięcie przez tenże podmiot uchybień w procesie przetwarzania danych osobowych wrażliwych; 16) naruszenie art. 31 ust. 1-4, art. 32 ust. 1 pkt 6-8, art. 35 ust. 1, art. 36 ust. 1 i art. 38 ustawy o ochronie danych osobowych - polegające na ich niezastosowaniu i całkowitym pominięciu tych przepisów przez GIODO na całym etapie rozpoznawania skargi strony skarżącej. 17) naruszenie art. 23 ust. 5 ustawy z dnia 26 stycznia 1982 r. - Karta Nauczyciela w zw. z art. 211 pkt 5 Kodeksu Pracy - polegające na ich błędnym zastosowaniu i stwierdzeniu, że z tychże przepisów wynikały uprawnienia dla dyrektora Szkoły do kierowania skarżącej na badania lekarskie, podczas gdy z materiału dowodowego (skierowań wystawionych przez dyrektora Szkoły) wynika, iż ich podstawę stanowił art. 9 ust. 1 pkt 3 ustawy - Karta Nauczyciela, który takiego uprawnienia nie zawiera ani nie wprowadza, co w konsekwencji doprowadziło do tego, że organ dopuścił się nieuprawnionej nadinterpretacji przepisów, a przede wszystkim nieprawidłowej, sprzecznej z materiałem dowodowym, oceny zgromadzonych w sprawie dokumentów, którymi dysponował, tym samym usprawiedliwiając niezgodne z prawem działania podejmowane w tym zakresie przez Szkołę; 18) naruszenie art. 8 k.p.a. w zw. z art. 22 u.o.d.o. - polegające na prowadzeniu całego postępowania przez organ w sposób nie budzący zaufania skarżącej do władzy publicznej, udzielaniu skarżącej błędnych i wzajemnie sprzecznych informacji, niewydawaniu decyzji pomimo udzielenia w tym zakresie pisemnych informacji, iż materiał dowodowy zgromadzony w sprawie wystarcza do jej wydania; 19) naruszenie art. 9 k.p.a. w zw. z art. 22 u.o.d.o. - polegające na nieinformowaniu skarżącej o okolicznościach faktycznych i prawnych, które mogą mieć wpływ na ustalenie jej praw i obowiązków, będących przedmiotem postępowania przed organem, a także nieudzielanie skarżącej niezbędnych wyjaśnień i wskazówek w sprawie; 20) naruszenie art. 10 k.p.a. w zw. z art. 22 u.o.d.o. - polegające na nie zapewnieniu skarżącej czynnego udziału w każdym stadium postępowania prowadzonego przed organem, a ograniczenie się li tylko do przesyłania lakonicznych pisemnych powiadomień, iż "został zgromadzony materiał dowodowy wystarczający do wydania decyzji administracyjnej"; 21) naruszenie art. 11 k.p.a. w zw. z art. 22 u.o.d.o. - polegające na niewyjaśnianiu skarżącej w całym stadium postępowania zasadności przesłanek, którymi kierował się organ przy załatwianiu sprawy; 22) naruszenie art. 12 k.p.a. w zw. z art. 22 u.o.d.o. - polegające na prowadzeniu postępowania bez zastosowania zasady wnikliwości i szybkości, posługując się możliwie najprostszymi środkami prowadzącymi do jej załatwienia, co skutkowało wielokrotnym, długotrwałym i żaden sposób nieuzasadnionym przekroczeniem ustawowych terminów do załatwienia sprawy, bezczynnością organu oraz wydaniem pierwszej decyzji po blisko 4 (czterech) latach od dnia złożenia wniosku przez stronę skarżącą, a następnie także niewydanie decyzji w postępowaniu odwoławczym (przy ponownym rozpoznaniu sprawy) w ustawowym terminie, w sytuacji, gdy zbadanie wszystkich okoliczności istotnych dla rozstrzygnięcia sprawy nie wymagało przeprowadzenia długotrwałych i skomplikowanych czynności dowodowych (np. ekspertyz, opinii biegłych, zeznań świadków, poszukiwania dokumentów, etc.), ani też uzyskania wiadomości specjalnych, gdyż - jak wynika z materiału dowodowego zgromadzonego w sprawie - jedynym koniecznym i uzasadnionym działaniem organu w sprawie, zmierzającym do prawidłowego ustalenia stanu faktycznego było zwrócenie się o dokumenty oraz pisemne wyjaśnienia do 2 (dwóch) podmiotów, przetwarzających dane osobowe skarżącej, co zajęło organowi łącznie prawie 45 (czterdzieści pięć) miesięcy. Mając na uwadze powyższe zarzuty, strona skarżąca wniosła o: 1) uchylenie w całości zaskarżonej decyzji i przekazanie sprawy do ponownego rozpoznania Generalnemu Inspektorowi Ochrony Danych Osobowych; 2) uchylenie w całości decyzji poprzedzającej zaskarżoną decyzję, tj. decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2016 r., nr [...]; 3) zobowiązanie Generalnego Inspektora Ochrony Danych Osobowych m.in. do: a) skontrolowania zgodności z przepisami ustawy o ochronie danych osobowych przetwarzania danych osobowych skarżącej w systemie informatycznym Centrum Medycznego do rejestracji pacjentów i dokonania oceny stopnia naruszeń przepisów tejże ustawy w tym zakresie, b) dokonania oceny zarzutu skarżącej dotyczącego przetwarzania jej danych osobowych wrażliwych; przetwarzania jej danych osobowych niezgodnie z celem ich posiadania i przetwarzania, nieadekwatnie w stosunku do celów, w jakich były przetwarzane, c) uwzględnienia, a następnie rozpoznania wszystkich podniesionych przez skarżącą zarzutów, dowodów oraz okoliczności naruszeń przetwarzania jej danych osobowych - wskazywanych wielokrotnie w pismach skarżącej kierowanych do GIODO, d) zgromadzenia całości materiału dowodowego w sprawie celem ustalenia rzeczywistego stanu faktycznego sprawy, a następnie: e) dokonania oceny całości materiału dowodowego, w szczególności oceny pominiętych przez organ dowodów (w tym przede wszystkim z dokumentów) wskazywanych wielokrotnie w pismach przez skarżącą, a także wymienionych w treści uzasadnienia niniejszej skargi, f) uwzględnienia wniosków skarżącej dotyczących m.in. nakazania usunięcia danych osobowych skarżącej z wskazanej przez stronę dokumentacji, a następnie: g) po przeprowadzeniu wszystkich czynności z pkt a) - f) powyżej - wydanie decyzji w sprawie, 4) rozpoznanie sprawy na rozprawie; 5) zasądzenie od organu na rzecz strony skarżącej zwrotu kosztów postępowania, w tym kosztów zastępstwa adwokackiego w wysokości sześciokrotności stawki minimalnej określonej w stosownych przepisach, a to z uwagi na niezbędny nakład pracy adwokata, czas poświęcony na przygotowanie się do prowadzenia sprawy, wkład pracy adwokata w przyczynienie się do wyjaśnienia okoliczności faktycznych istotnych dla rozstrzygnięcia sprawy, rodzaj i zawiłość sprawy oraz obszerność zgromadzonego w sprawie materiału dowodowego. W obszernym uzasadnieniu skargi strona przedstawiła argumenty, które - w jej ocenie - świadczyć mają o istotnym naruszeniu powołanych wyżej przepisów zarówno przez organ rozstrzygający sprawę, jak i przez oba wskazane przez nią podmioty - Szkołę Podstawową nr [...] im. [...] z siedzibą w W. oraz Centrum Medyczne [...] sp. z o.o. z siedzibą w P., które w sposób bezprawny dopuściły się nielegalnego przetwarzania jej danych osobowych. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2016 r., poz. 1066 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w zakresie swojej właściwości ocenia zaskarżoną decyzję administracyjną z punktu widzenia jej zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tej decyzji. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2016 r., poz. 718 ze zm., dalej także: "p.p.s.a."). Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego (prawa Unii Europejskiej), interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej. W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych, zobowiązany był wziąć pod uwagę również jej zgodność z przepisami prawa europejskiego, w tym przede wszystkim regulacjami zawartymi w Dyrektywie nr 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. UE L z dnia 23 listopada 1995 r. Nr 281, s. 31; Dz. Urz. UE-sp.13-15-355 ze zm.). W świetle powyższego, należy stwierdzić, że analizowana pod tym kątem skarga D. Z. nie zasługuje na uwzględnienie, albowiem Generalny Inspektor Ochrony Danych Osobowych, wydając zaskarżoną decyzję z dnia [...] czerwca 2016 r., nr [...], utrzymującą w mocy wcześniejszą decyzję tego organu z dnia [...] lutego 2016 r., nr [...] - nie naruszył obowiązujących przepisów prawa. Zdaniem Sądu, uznać trzeba, iż Generalny Inspektor Ochrony Danych Osobowych, wydając obie sporne decyzje administracyjne, nie dopuścił się przede wszystkim naruszenia przepisów art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 oraz art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Sąd uznał bowiem, że - wbrew stanowisku strony skarżącej - Generalny Inspektor Ochrony Danych Osobowych, wydając wskazane powyżej decyzje administracyjne nie uwzględniające skargi D. Z., prawidłowo przyjął, że w analizowanej sprawie wskazane przez skarżącą podmioty - Szkoła Podstawowa nr [...] im. [...] z siedzibą w W. oraz Centrum Medyczne [...] sp. z o.o. z siedzibą w P., przetwarzając jej dane osobowe - nie dopuściły się naruszenia powszechnie obowiązujących przepisów o ochronie danych osobowych. Ponadto, w wyniku przeprowadzenia analizy stanowiska organu administracji publicznej, zaprezentowanego w uzasadnieniu zaskarżonej decyzji, Sąd stwierdził, że - wbrew stanowisku strony skarżącej - Generalny Inspektor Ochrony Danych Osobowych, wydając zaskarżoną decyzję z dnia [...] czerwca 2016 r. oraz utrzymaną nią w mocy decyzję z dnia [...] lutego 2016 r., nie dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych, albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej analizy zebranego w sprawie materiału dowodowego, w szczególności w zakresie przesłanek prawidłowego przetwarzania danych osobowych skarżącej, jako zasadniczej podstawy do oddalenia wniesionej przez D. Z. skargi z dnia [...] maja 2012 r. na przetwarzanie jej danych osobowych przez wspomnianą wyżej Szkołę oraz Centrum Medyczne. W działaniu Generalnego Inspektora Ochrony Danych Osobowych, jako organu administracji publicznej wydającego obie sporne decyzje, Sąd nie dopatrzył się jakichkolwiek istotnych nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa materialnego. Ponadto, Sąd uznał, że w uzasadnieniu zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej. Przechodząc do oceny legalności zaskarżonej decyzji, należy na wstępie wyraźnie wskazać, że spór w zasadniczej części sprowadza się do rozstrzygnięcia, czy Generalny Inspektor Ochrony Danych Osobowych, dokonując w ramach prowadzonego postępowania administracyjnego oceny legalności przetwarzania danych osobowych strony skarżącej przez Szkołę Podstawową nr [...] im. [...] z siedzibą w W. oraz Centrum Medyczne [...] sp. z o.o. z siedzibą w W., uwzględnił wszelkie istotne okoliczności przetwarzania tych danych w oparciu o całokształt prawidłowo zgromadzonego materiału dowodowego oraz właściwe przepisy o ochronie danych osobowych, a w szczególności, czy prawidłowo przyjął, iż Szkoła, jako pracodawca skarżącej, zasadnie udostępniła jej dane osobowe na rzecz Centrum Medycznego, a także, czy organ zasadnie uznał również, że wskazana spółka, świadcząc usługi medyczne na rzecz Szkoły, nie uchybiła normom prawa w zakresie przetwarzania danych osobowych skarżącej. Dokonując powyższej oceny, wskazać trzeba, iż Generalny Inspektor Ochrony Danych Osobowych jest organem do spraw ochrony danych osobowych. Jego podstawowe zadania i kompetencje zostały wymienione w art. 12 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Jednym z zadań GIODO, określonym w art. 12 ust. 2 cyt. ustawy, jest rozpoznawanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Przedmiotem takiej skargi może być na przykład brak dbałości administratora o merytoryczną poprawność przetwarzanych danych, przetwarzanie tych danych w innym celu, niż ten, dla którego zostały zebrane, bezpodstawne nieudostępnianie danych. Skarga może dotyczyć również podejrzenia przetwarzania danych przez osobę nieuprawnioną. Jeżeli zatem określona osoba zgłasza GIODO nieprawidłowości w zakresie przetwarzania danych osobowych, jest on zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie, czy dane osobowe są w istocie przetwarzane, jeżeli tak, to w jakim celu i czy proces ten następuje z poszanowaniem przepisów ustawy o ochronie danych osobowych. GIODO wszczyna i prowadzi postępowanie na wniosek strony według przepisów Kodeksu postępowania administracyjnego i rozstrzyga sprawę indywidualną strony w zakresie objętym jej wnioskiem, wydając w tym zakresie decyzję administracyjną (vide: wyrok WSA w Warszawie z dnia 9 listopada 2011 r., sygn. akt II SA/Wa 1363/11). Taka sytuacja miała miejsce w rozpoznawanej sprawie. Otóż, Generalny Inspektor Ochrony Danych Osobowych, rozpatrując skargę D. Z. z dnia [...] maja 2012 r., dokonał oceny legalności przetwarzania danych osobowych skarżącej przez Szkołę i Centrum Medyczne, uwzględniając okoliczności przetwarzania tych danych, całokształt materiału dowodowego oraz przepisy prawa, w tym przepisy ustawy o ochronie danych osobowych. Skoro postępowanie przed Generalnym Inspektorem Ochrony Danych Osobowych zostało zainicjowane w niniejsze sprawie na wniosek skarżącej, to zgodnie z przepisem art. 18 ust. 1 ustawy o ochronie danych osobowych, organ ten zobowiązany był zbadać, czy doszło do naruszeń, na które wskazywała skarżąca, jako osoba zainteresowana, a w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych, GIODO zobowiązany był, w drodze decyzji administracyjnej, nakazać przywrócenie stanu zgodnego z prawem, a w szczególności: 1. usunięcie uchybień; 2. uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnianie danych osobowych; 3. zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe; 4. wstrzymanie przekazywania danych osobowych do państwa trzeciego; 5. zabezpieczenie danych lub przekazanie ich innym podmiotom; 6. usunięcie danych osobowych. Treścią decyzji wydanej na podstawie cytowanego wyżej przepisu powinien być nakaz przywrócenia stanu zgodnego z prawem, który może dotyczyć konkretnego (określonego w pkt 1-6) działania lub zaniechania. GIODO powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatne do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą. Stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji (vide: por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Zakamycze 2004 r.). Stosownie do art. 22 ustawy o ochronie danych osobowych, postępowanie w sprawach uregulowanych w tej ustawie prowadzi się według przepisów Kodeksu postępowania administracyjnego, o ile przepisy ustawy nie stanowią inaczej. Z uwagi na fakt, iż ustawa o ochronie danych osobowych nie reguluje kwestii postępowania dowodowego i powinności organu związanych z czynieniem ustaleń faktycznych, zastosowanie w tym zakresie znajdują reguły i zasady określone w Kodeksie postępowania administracyjnego. W ocenie Sądu, należy uznać, że w rozpoznawanej sprawie Generalny Inspektor Ochrony Danych Osobowych przeprowadził postępowanie dowodowe w zakresie niezbędnym do jej rozstrzygnięcia. Postępowanie prowadzone przez GIODO miało charakter kontrolny w tym znaczeniu, że organ badał, czy dane skarżącego były przetwarzane przez Szkołę oraz Centrum Medyczne, a jeżeli tak, to czy w procesie przetwarzania nie doszło do uchybień, których stwierdzenie obligowałoby Generalnego Inspektora Ochrony Danych Osobowych do wydania stosownego nakazu zgodnie z treścią art. 18 ust. 1 ustawy. Zdaniem Sądu, postulat przeprowadzenia kontroli przetwarzania danych osobowych formułowany przez skarżącą został zrealizowany, choć nie w ramach zadania tego organu, o którym mowa w art. 12 pkt 1 u.o.d.o., czyli kontroli przetwarzania danych zgodnie z przepisami o ochronie danych osobowych, gdyż tego typu kontrole nie dotyczą spraw indywidualnych. Była to kontrola przybierająca postać postępowania wyjaśniającego, dokonana w ramach realizacji zadania organu określonego w art. 12 pkt 2 cyt. ustawy. Ustalenia faktyczne, jakich dokonał organ, pozwoliły na wyprowadzenie wniosku, który Sąd ocenia jako prawidłowy, że w przedmiotowej sprawie nie doszło do naruszenia przepisów ustawy o ochronie danych osobowych, nie było zatem podstaw do zastosowania nakazów przewidzianych w art. 18 ust. 1 u.o.d.o. Wojewódzki Sąd Administracyjny w Warszawie pragnie wyraźnie zauważyć, że zadaniem ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest też zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. W art. 1 ustawy o ochronie danych osobowych stwierdza się bowiem, że przetwarzanie danych osobowych może mieć miejsce, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych, na podstawie przepisów powołanej ustawy, nie powinna być oderwana od przepisów służących ochronie innych wartości. Stosownie do treści art. 7 pkt 2 cyt. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei w przepisie art. 23 ust. 1 ustawy o ochronie danych osobowych zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: (1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, (2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, (3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, (4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, (5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Wskazany powyżej przepis ustawy o ochronie danych osobowych określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, System Informacji Prawnej LEX, 2015 r.). Nie ulega wątpliwości, że każda z wymienionych w przepisie art. 23 ust. 1 u.o.d.o. podstaw stanowi odrębną przesłankę dopuszczalności przetwarzania danych osobowych i na gruncie określonego stanu faktycznego musi bezwzględnie uzasadniać przetwarzanie. Warto w tym miejscu zauważyć, że przepis art. 23 ust. 1 pkt 4 cyt. ustawy wskazuje na istnienie dwóch warunków, których wystąpienie pozwala na legalne przetwarzanie danych osobowych. Po pierwsze: przetwarzanie danych musi być niezbędne do wykonania określonych prawem zadań i po drugie: zadania te muszą być realizowane dla dobra publicznego. Konstrukcja tej regulacji wyraźnie precyzuje, że obie przesłanki muszą wystąpić łącznie, toteż zawsze niezbędność przetwarzania danych osobowych w procesie realizacji określonych prawem zadań musi służyć dobru publicznemu. Oznacza to, że niezbędność przetwarzania danych należy rozpatrywać w ścisłej korelacji z dobrem publicznym. Przepis ten jest uregulowaniem usprawiedliwiającym przetwarzanie danych osobowych dla dobra publicznego. Jego zastosowanie możliwe jest niejako w warunkach swoistego stanu wyższej konieczności, tj. wówczas, gdy administrator danych przedkłada dobro publiczne nad interes jednostki, bo jest to niezbędne do wykonania określonych prawem zadań. Norma zawarta w art. 23 ust. 1 pkt 4 u.o.d.o. nie precyzuje, że mają to być zadania należące tylko do kompetencji administratora danych. Pojęcie "dobra publicznego" należy interpretować na płaszczyźnie publicznoprawnej, na której ustawodawca - w interesie wszystkich obywateli - uprawniony jest do określenia ładu w każdej dziedzinie życia społecznego, odpowiadającego założonym przez niego celom służącym ogółowi obywateli z poszanowaniem konstytucyjnych wartości. Zatem dobro publiczne pojmować należy jako szeroko rozumiany interes publiczny. Ustawa z dnia 7 września 1991r. o systemie oświaty (tekst jednolity Dz. U. z 2016 r., poz. 1943 ze zm.) w preambule statuuje. że "Oświata w Rzeczypospolitej Polskiej stanowi wspólne dobro całego społeczeństwa; kieruje się zasadami zawartymi w Konstytucji Rzeczypospolitej Polskiej, a także wskazaniami zawartymi w Powszechnej Deklaracji Praw Człowieka, Międzynarodowym Pakcie Praw Obywatelskich i Politycznych oraz Konwencji o Prawach Dziecka. Nauczanie i wychowanie - respektując chrześcijański system wartości - za podstawę przyjmuje uniwersalne zasady etyki. Kształcenie i wychowanie służy rozwijaniu u młodzieży poczucia odpowiedzialności, miłości ojczyzny oraz poszanowania dla polskiego dziedzictwa kulturowego, przy jednoczesnym otwarciu się na wartości kultur Europy i świata. Szkoła winna zapewnić każdemu uczniowi warunki niezbędne do jego rozwoju, przygotować go do wypełnienia obowiązków rodzinnych i obywatelskich w oparciu o zasady solidarności, demokracji, tolerancji, sprawiedliwości i wolności". Na gruncie ustawy o systemie oświaty, szkoła jest jednym z podmiotów tworzących system oświaty. Bez wątpienia realizacja zadań oświatowych państwa mieści się w pojęciu "dobra publicznego". Należy zgodzić się w tym zakresie z Generalnym Inspektorem Ochrony Danych Osobowych, że określone prawem zadania, w świetle art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych, na gruncie przedmiotowej sprawy, to zadania z zakresu polityki oświatowej państwa realizowane dla dobra publicznego. Z kolei, analizując pojęcie "niezbędności", trzeba mieć na względzie przede wszystkim konieczność działania (konieczność przetwarzania danych osobowych), bez którego zadania nałożone przepisami prawa na określony podmiot nie zostaną zrealizowane dla dobra publicznego. Całkowita niemożność realizacji zadań - w zwykłym trybie - implikuje niezbędność, o której mowa w art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych. Nie można powiedzieć, że przetwarzanie danych osobowych jest niezbędne, jeśli odstąpienie od ich przetwarzania spowodowałoby tylko utrudnienia w realizacji przewidzianych (określonych) prawem zadań albo - z drugiej strony - rzekome ułatwienie w ten sposób wykonywania zadań byłoby próbą wkraczania w zakres uprawnień, tak jak w tym przypadku, podmiotu zatrudniającego. Niezbędność musi być oczywista. Przepisy rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika, wskazują na pracodawcę, jako podmiot uprawniony do tworzenia i prowadzenia dokumentacji pracowniczej związanej z zatrudnieniem, z zastrzeżeniem odrębności wynikających z innych aktów, niż umowa o pracę. Sąd wskazuje, iż w związku z art. 23 ust. 1 pkt 2 oraz art. 27 ust. 2 pkt. 2 ustawy o ochronie danych osobowych należy również wskazać, że art. 94 pkt 9a ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy, stanowi, że pracodawca jest obowiązany w szczególności prowadzić dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników. Dyrektor Szkoły aktualnie przetwarza dane osobowe skarżącej, jako byłego pracownika Szkoły. Nie ulega wątpliwości, że Dyrektor Szkoły, działając w oparciu o przepis art. 23 ust. 5 ustawy z dnia 26 stycznia 1982 r. - Karta Nauczyciela, może skierować nauczyciela mianowanego na badania okresowe lub kontrolne z inicjatywy własnej w każdym czasie. Dodatkowo, wskazać trzeba, iż art. 211 pkt 5 Kodeksu pracy przesądza, iż przestrzeganie przepisów i zasad bezpieczeństwa i higieny pracy jest podstawowym obowiązkiem pracownika, a w szczególności do poddawania się wstępnym, okresowym i kontrolnym oraz innym zaleconym badaniom lekarskim i stosować się do wskazań lekarskich. Nie ulega wątpliwości, iż Szkoła, jako pracodawca, zgodnie z obowiązującymi przepisami, miała prawo skierowania skarżącej na badania lekarskie. Niemniej, w tym miejscu, należy wyraźnie wskazać, zgadzając się w tym zakresie z organem, iż do kompetencji Generalnego Inspektora Ochrony Danych Osobowych nie należała ocena, czy działania dyrekcji Szkoły dotyczące skierowania skarżącej na badania lekarskie w określonej sytuacji były zgodne z prawem, ponieważ w ramach prowadzonego postępowania GIODO oceniał działania szkoły wyłącznie z punktu widzenia przestrzegania przepisów o ochronie danych osobowych. Odnosząc się w tym miejscu do zarzutów strony skarżącej, w których zwracała ona uwagę na różnice występujące w treści skierowań na badania lekarskie oraz oceny danych w nich zawartych, należy wyraźnie wskazać, iż - wbrew zarzutom strony skarżącej - Generalny Inspektor Ochrony Danych Osobowych nie ma podstaw prawnych, na mocy których wydałby Dyrekcji Szkoły nakaz usunięcia owych, wskazanych przez stronę skarżącą, dokumentów. Warto zauważyć, iż podobne stanowisko prezentują również w swoim dotychczasowym orzecznictwie sądy administracyjne, przyjmując zgodnie, że w ustawie o ochronie danych osobowych brak przepisów obligujących administratora do udostępnienia dokumentów zawierających dane osobowe. Ustawodawca posługuje się pojęciem udostępniania, odnosząc je zawsze do danych osobowych, a nie do zawierających je dokumentów (por. m.in. Wojewódzki Sąd Administracyjny w Warszawie /w:/ wyrok z dnia 6 września 2005 r., sygn. akt II SA/Wa 825/05. Przechodząc do oceny legalności przetwarzania danych osobowych skarżącej przez Centrum Medyczne [...] sp. z o.o., warto zauważyć, iż art. 5 ust. 2 pkt 1 ustawy z dnia 27 czerwca 1997 r. o służbie medycyny pracy stanowi, iż obowiązek objęcia pracowników profilaktyczną opieką zdrowotną spoczywa na pracodawcach. Ponadto, zgodnie z art. 12 ust. 1 cyt. ustawy, badania wstępne, okresowe i kontrolne pracowników oraz inne świadczenia zdrowotne są wykonywane na podstawie pisemnej umowy zawartej przez podmiot obowiązany do ich zapewnienia, o którym mowa w art. 5 ust. 2, zwany dalej "zleceniodawcą", z podstawową jednostką służby medycyny pracy, zwaną dalej "zleceniobiorcą". W konsekwencji, uznać należy, iż GIODO słusznie przyjął, że Szkoła była uprawniona do przekazania danych osobowych strony skarżącej na rzecz Centrum Medycznego na podstawie przepisu prawa określonego w art. 12 ust. 1 ustawy o służbie medycyny pracy, zaś sam proces przetwarzania danych skarżącej przez Centrum Medyczne odbywał się w oparciu o przesłankę określoną w art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych. Ponadto, organ słusznie zwrócił uwagę, że w niniejszej sprawie istotne jest również to, że Centrum Medyczne przetwarza aktualnie dane osobowe skarżącej w celach wyłącznie archiwalnych, do czego jest zobowiązane m.in. na podstawie przepisów ustawy z dnia 29 września 1994 r. o rachunkowości. Odnosząc się z kolei do zarzutu strony skarżącej w przedmiocie niewypełnienia przez Centrum Medyczne wobec skarżącej obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych, należy zauważyć, że zgodnie z art. 7 pkt 4 u.o.d.o., administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. Wskazać należy jednocześnie, iż na podstawie art. 33 ust. 1 cyt. ustawy, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a. Mając na względzie wskazane regulacje prawne, organ zasadnie stwierdził, że ze zgromadzonego w sprawie materiału dowodowego wynika, iż skarżąca nie wystąpiła do Centrum Medycznego z wnioskiem, o którym mowa w art. 33 ustawy o ochronie danych osobowych. W związku z powyższym, wskazać trzeba, iż zgodnie z art. 25 ust. 1 cyt. ustawy, w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o wymienionych w tym przepisie kwestiach. Odnosząc się w tej sytuacji do zarzutu skarżącej w przedmiocie niewypełnienia przez Centrum Medyczne wobec strony obowiązku informacyjnego, o którym mowa w powołanym przepisie, organ zasadnie uznał, iż zgodnie z art. 25 ust. 2 u.o.d.o., przepisu art. 25 ust. 1 pkt 1 tej ustawy nie stosuje się, jeżeli przepis innej ustawy przewiduje lub dopuszcza zbieranie danych osobowych bez wiedzy osoby, której dane dotyczą. Wobec powyższego, Sąd uznał, że Centrum Medyczne nie było zobowiązane do spełnienia wobec skarżącej ww. obowiązku. Ponadto, odnosząc się do zarzutu skarżącej w przedmiocie przetwarzania jej danych osobowych przez Centrum Medyczne, pomimo złożonego przez nią sprzeciwu wobec takiego przetwarzania, należy zauważyć, iż przepisy art. 32 ust. 1 pkt 7 i 8 u.o.d.o. stanowią, że każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację (pkt 7) oraz wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych (pkt. 8). Mając na względzie wskazane uregulowania ustawowe, należy zgodzić się z organem, iż w niniejszym postępowaniu w odniesieniu do Centrum Medycznego podstawę przetwarzania danych osobowych stanowił przepis art. 27 ust. 1 pkt 2 ustawy o ochronie danych osobowych, nie zaś przesłanki legalizacyjne określone w art. 23 ust. 1 pkt 4 i 5 u.o.d.o. Ponadto, organ zasadnie zauważył, że przy złożeniu sprzeciwu wobec przetwarzania danych osobowych niezbędne jest ich przetwarzanie w celach marketingowych, co w przypadku skarżącej nie miało miejsca. W związku z powyższym, nie sposób uznać, by sprzeciw złożony przez stronę skarżącą w Centrum Medycznym był skuteczny wobec tego przetwarzania danych osobowych. Ustosunkowując się do zarzutów strony skarżącej związanych z żądaniem dotyczącym skierowania zawiadomienia o popełnieniu przestępstwa do właściwej prokuratury rejonowej, Sąd zgodzić się z organem, który zasadnie wskazał w uzasadnieniu zaskarżonej decyzji, iż osoba dochodząca ochrony swych praw, w trybie cyt. ustawy o ochronie danych osobowych, nie jest podmiotem, który może się domagać od GIODO podjęcia decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych, albowiem cyt. ustawa nie daje stronie roszczenia w tym względzie. Odnosząc się z kolei do podnoszonych przez stronę skarżącą zarzutów związanych z rzekomo bezprawnym działaniem członków zarządu Centrum Medycznego sp. z o.o. w toku postępowania przygotowawczego prowadzonego przez Prokuraturę Rejonową [...] (vide: zarzut nielegalnego posłużenia się sporządzonym wykazem wizyt zarejestrowanych dla skarżącej w Centrum Medycznym), należy wyraźnie wskazać, iż w świetle regulacji prawnych wyrażonych w przepisach ustawy z dnia 6 czerwca 1997 r. - Kodeks postępowania karnego, nie może budzić jakichkolwiek wątpliwości, iż członek zarządu wspomnianej spółki miał pełne prawo w toku przesłuchania w charakterze świadka posłużyć się wskazanym powyżej wykazem dla potwierdzenia swoich zeznań. Warto również zauważyć, że Generalny Inspektor Ochrony Danych Osobowych zasadnie przyjął, iż w danym postępowaniu nie ma konieczności zawarcia umowy powierzenia przetwarzania danych osobowych, gdyż udostępnienie danych osobowych odbywało się na podstawie przepisów szczególnych, w tym przypadku dotyczących świadczenia usług medycznych, o czym świadczy zawarta umowa między Szkołą a Centrum Medycznym. Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, że GIODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego Państwa (art. 8 k.p.a.). Zdaniem Sądu, organ uwzględniając powyższą zasadę zobowiązany jest dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony. Organ administracji jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a. Mając powyższe na uwadze, należy uznać, że wydając sporną decyzję administracyjną z dnia [...] czerwca 2016 r., Generalny Inspektor Ochrony Danych Osobowych nie dopuścił się w toku postępowania jakichkolwiek istotnych uchybień formalnych, które uniemożliwiłyby Sądowi dokonanie prawidłowej oceny zarzutów skargi i wypowiedzenie się co do legalności (zasadności) podjętego rozstrzygnięcia. Sąd uznał, że uzasadnienie zaskarżonej decyzji spełnia wymogi przewidziane przez ustawodawcę w przepisie art. 107 § 3 k.p.a., gdyż w jej treści organ wyraźnie wskazał, dlaczego - pomimo podniesionych przez stronę skarżącą argumentów i przedłożonych materiałów dowodowych - w wyniku przetwarzania danych dotyczących skarżącej nie doszło jednak do naruszenia przepisów o ochronie danych osobowych. W konsekwencji powyższych ustaleń, Sąd uznał, że skoro Generalny Inspektor Ochrony Danych Osobowych stwierdził, że w niniejszej sprawie nie ma podstaw do przywrócenia stanu zgodnego z prawem - zasadnie odmówił uwzględnienia wniosku strony skarżącej. Biorąc powyższe pod uwagę, Wojewódzki Sad Administracyjny w Warszawie orzekł, jak w sentencji wyroku, działając na podstawie przepisu art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi.