II SA/Wa 2081/15

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędziowie WSA Iwona Maciejuk (spr.), Ewa Marcinkowska, , Protokolant specjalista Marek Kozłowski, po rozpoznaniu na rozprawie w dniu 28 kwietnia 2016 r. sprawy ze skargi M. L. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] października 2013 r. nr [...]. Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga X.X dotycząca przetwarzania jej danych osobowych przez Zespół Opieki Zdrowotnej z siedzibą w [...] Skarżąca zakwestionowała legalność przetwarzania i udostępniania innym podmiotom jej danych osobowych przez ZOZ. Wskazała, że w dniu [...] ciężarna kobieta zgłosiła się do szpitala w [...] podając jej dane osobowe jako własne. W danych podanych przez pacjentkę nie było numeru PESEL, zatem w przekonaniu skarżącej Dyrektor ZOZ w [...] bezprawnie zwrócił się do Urzędu Gminy w [...] o uzupełnienie danych osobowych o rzeczony numer. Wskazała, iż Dyrektor przedmiotowej placówki wprowadzając jej dane osobowe do dokumentacji medycznej rażąco naruszył przepisy ustawy o ochronie danych osobowych. Skarżąca wniosła o przeprowadzenie kontroli w ZOZ w [...], a w szczególności usunięcie uchybień, wstrzymanie przekazywania jej danych osobowych innym podmiotom oraz usunięcia ze zbioru ZOZ jej danych osobowych. Precyzując żądanie wskazała, iż domaga się usunięcia przez ZOZ wszelkich jej danych osobowych oraz ustalenia i ścigania karnego osób odpowiedzialnych za bezprawne pozyskanie, przetwarzanie oraz przekazanie innym podmiotom jej danych osobowych. Generalny Inspektor Ochrony Danych Osobowych, po uzyskaniu wyjaśnień z ZOZ w [...], decyzją z [...], odmówił uwzględnienia wniosku strony. GIODO ustalił, że: 1. [...] do Zespołu Opieki Zdrowotnej z siedzibą w [...] została przyjęta osoba w trybie nagłym (do porodu) nie posiadająca żadnego dokumentu tożsamości. Przy rejestracji podała imię, nazwisko oraz miejsce zamieszkania skarżącej poświadczając prawdziwość tych danych, jako jej własne, własnoręcznym podpisem; 2. w dniu [...] osoba podająca się za skarżącą, na własne żądanie, została wypisana ze szpitala - w tym czasie ZOZ nie posiadał żadnego dokumentu potwierdzającego wskazane przy rejestracji dane osobowe; 3. w celu uzyskania nr PESEL pacjentki, pracownik socjalny szpitala skontaktował się z Wydziałem Ewidencji Urzędu Gminy [...] gdzie uzyskał przedmiotowy numer oraz informację w zakresie obecnego adresu zameldowania skarżącej; 4. Zespół Opieki Zdrowotnej w [...] udostępnił dane osobowe M. L. wraz z jej nr PESEL oraz adresem zameldowania Sądowi Rejonowemu [...] Wydział Rodzinny i Nieletnich w [...] w celu zabezpieczenia sytuacji prawnej noworodka urodzonego w dniu [...] i pozostawionego w szpitalu do adopcji; 5. dyrektor Zespołu Opieki Zdrowotnej w [...] wskazał, iż obecnie przetwarza dane skarżącej w medycznym systemie informatycznym ZOZ. Nadto, w celu zapewnienia ochrony danych osobowych zawartych w dokumentacji medycznej jest ona zabezpieczona i archiwizowana zgodnie z obowiązującymi przepisami. ZOZ wskazał, iż udostępnił dokumentację medyczną pacjentki Komendzie Powiatowej Policji na wniosek Prokuratury Rejonowej w [...] w celu prowadzonych czynności wyjaśniających dotyczących noworodka urodzonego w dniu [...], którego matka podawała się za X.X i zdecydowała się przekazać dziecko do adopcji. Przedmiotowe dane medyczne udostępnione zostały także [...] w celu uzyskania środków finansowych z tytułu udzielenia świadczeń zdrowotnych. ZOZ oświadczył, iż kierował się przede wszystkim dobrem pacjenta, który podał fałszywe dane osobowe, oraz jego prawem do udzielenia świadczeń zdrowotnych w trybie pilnym. GIODO stwierdził, że dane osobowe skarżącej zostały pozyskane przez ZOZ w związku z zaistniałą nagłą sytuacją w celu odebrania porodu od kobiety, która zgłosiła się w dniu [...] do szpitala bez dokumentów i złożyła jedynie oświadczenie, iż nazywa się X.X i zamieszkuje pod adresem zamieszkania skarżącej. Powołując się na art. 44h ust. 2 pkt 1 ustawy o ewidencji ludności i dowodach osobistych GIODO uznał, że ZOZ posiadał interes prawny w pozyskaniu danych osobowych skarżącej ze zbioru PESEL z uwagi na wyżej wskazane okoliczności. Odnosząc się do przetwarzania danych osobowych skarżącej przez ZOZ w [...], jako osoby, która wskazana została temu podmiotowi jako ta, która urodziła dziecko, organ wskazał, że proces przetwarzania danych osobowych skarżącej znajduje oparcie w przepisie art. 7 i art. 26 ust. 3 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta oraz przepisie art. 50 ust. 1 i 2 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych. Odnosząc się do kwestii udostępnienia danych osobowych skarżącej Sądowi Rejonowemu w [...] GIODO powołując art. 1191 § 1 ustawy Kodeks rodzinny i opiekuńczy stwierdził, że działanie ZOZ polegające na przekazaniu danych skarżącej [...] Sądowi Rejonowemu w [...] było niezbędne do uregulowania sytuacji prawnej noworodka - przede wszystkim sporządzenia aktu urodzenia. GIODO stwierdził, że proces przetwarzania danych osobowych skarżącej przez ZOZ znajduje oparcie w przesłance, o której mowa w art. 23 ust. 1 pkt 2 u.o.d.o. GIODO wskazał, że warunkiem wydania przez organ rozstrzygnięcia, o którym mowa w art. 18 u.o.d.o., jest istnienie stanu naruszenia prawa do ochrony danych osobowych w chwili wydania decyzji administracyjnej. W świetle ustalonych w sprawie okoliczności, organ uznał, że w niniejszej sprawie stan ten nie nastąpił, stąd też organ nie znalazł podstaw do nakazania, w drodze decyzji administracyjnej, przywrócenia stanu zgodnego z prawem poprzez usunięcie danych osobowych skarżącej z systemu informatycznego ZOZ. GIODO nie znalazł też podstaw, aby zastosować w sprawie przepis art. 19 u.o.d.o. We wniosku o ponowne rozpatrzenie sprawy X.X wniosła o natychmiastowe zaprzestanie przetwarzania jej danych osobowych, przywrócenie stanu zgodnego z prawem poprzez sprostowanie tych danych u wszystkich podmiotów, którym zostały one przekazane [...]. Według skarżącej powołane w zaskarżonej decyzji przepisy prawa nie nadają żadnego uprawnienia świadczeniodawcy usług medycznych do pozyskiwania i przetwarzania danych osobowych pacjenta wyłącznie na podstawie jego pisemnego oświadczenia. Zdaniem skarżącej błędnym ustaleniem organu jest, iż dopuszczalne jest ustalenie tożsamości świadczeniobiorcy na podstawie oświadczenia wskazanego w art. 50 ust. 6 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, które dotyczy wyłącznie prawa do świadczeń opieki zdrowotnej. Błędnym ustaleniem faktycznym jest, że pacjentka posługująca się jej tożsamością powyższe oświadczenie złożyła, gdyż zarówno z ustaleń zawartych w uzasadnieniu skarżonej decyzji, jak i ustaleń Policji i Prokuratury, o których mowa dalej wynika, iż złożyła ona jedynie oświadczenie o zrzeczeniu się praw do noworodka i przekazuje go do adopcji. Skarżąca podniosła, że szpital nie przetwarza danych osobowych pacjentki, którą przyjęto do porodu w dniu [...], a którą jak ustalono była Y.Y, lecz dane osoby postronnej X.X, która nigdy nie była świadczeniobiorcą świadczeń opieki zdrowotnej w tym szpitalu. W opisie wykonanych przez organ w postępowaniu wyjaśniającym czynności brak jest ustalenia na podstawie jakiego dokumentu szpital potwierdził tożsamość pacjentki, co oznacza, że organ kluczową dla sprawy okoliczność pominął. W przypadku braku dokumentu tożsamości pacjentki szpital nie miał prawa umieszczać w dokumentacji medycznej danych osobowych tylko na podstawie jej słownej, czy nawet pisemnej deklaracji, aż do momentu ich potwierdzenia (identyfikacji). Przez trzy dni pobytu szpital mógł i był zobowiązany potwierdzić tożsamość pacjentki, tego jednak wbrew obowiązkowi nie uczynił. Nie ulega zdaniem skarżącej wątpliwości, że jej dane osobowe znalazły się w dokumentacji medycznej w wyniku niedopełnienia obowiązków i przekroczenia uprawnień przez personel szpitala. Skarżąca podniosła, że okoliczność, iż dziecko urodziła nie X.X, lecz inna kobieta (...) została bezsprzecznie udowodniona i stwierdzona zarówno w postępowaniu prowadzonym przez Policję i Prokuraturę w [...], jak i przed Sądem Rejonowym w [...], a winna podszywania się pod jej osobę – Y.Y została ukarana prawomocnym wyrokiem. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...], na podstawie art. 138 § 1 pkt 1 k.p.a. oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r. poz. 1182 ze zm.) w związku z art. 50 ust. 1, ust. 2 i ust. 6 oraz art. 189 ust. 2 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych (Dz. U. z 2015 r. poz. 581 ze zm.), art. 7 i art. 26 ust. 3 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2012 r. poz. 159 ze zm.) oraz art. 46 ust. 2 pkt 1 ustawy z dnia 24 września 2010 r. o ewidencji ludności (Dz. U. z 2015 r. poz. 388) oraz § 4 i §5 rozporządzenia Ministra Zdrowia z dnia 20 czerwca 2008 r. w sprawie zakresu niezbędnych informacji gromadzonych przez świadczeniodawców, szczegółowego sposobu rejestrowania tych informacji oraz ich przekazywania podmiotom zobowiązanym do finansowania świadczeń ze środków publicznych (Dz. U. z 2013 r. poz. 1447 ze zm.), utrzymał w mocy własną decyzję z dnia [...]. GIODO ustalił, co następuje: 1. Dnia [...] do oddziału szpitalnego Zespołu Opieki Zdrowotnej w [...] została przyjęta osoba w trybie nagłym (do porodu) nieposiadająca żadnego dokumentu tożsamości. Przy rejestracji podała imię, nazwisko i miejsce zamieszkania skarżącej, poświadczając własnoręcznym podpisem w historii choroby prawdziwość tych danych jako jej własnych: "Potwierdzam prawdziwość wszystkich podanych przeze mnie danych", oraz oświadczyła, że wyraża zgodę na przetwarzanie jej danych osobowych dla celów diagnostyczno- terapeutycznych oraz innych wymaganych przez upoważnione instytucje. 3. Dnia [...] osoba podająca się za skarżącą została wypisana ze szpitala na własne żądanie - w tym czasie ZOZ nie posiadał żadnego dokumentu potwierdzającego wskazane przy rejestracji dane osobowe. 4. W celu uzyskania numeru PESEL ww. pacjentki, pracownik socjalny szpitala skontaktował się z Wydziałem Ewidencji Urzędu Gminy [...], gdzie uzyskał ten numer i obecny adres zameldowania skarżącej. 5. ZOZ w [...] udostępnił dane osobowe skarżącej z jej nr PESEL i adresem zameldowania Sądowi Rejonowemu [...] Wydział Rodzinny i Nieletnich w [...] w celu zabezpieczenia sytuacji prawnej noworodka urodzonego w dniu [...] i pozostawionego w szpitalu do adopcji. 6. ZOZ w [...] wskazał, że obecnie przetwarza dane skarżącej w medycznym systemie informatycznym ZOZ. Podano, że dokumentacja medyczna - dla zapewnienia ochrony danych osobowych w niej zawartych - jest zabezpieczona i archiwizowana zgodnie z obowiązującymi przepisami. Wskazano, że ZOZ udostępnił dokumentację medyczną pacjentki Komendzie Powiatowej Policji na wniosek Prokuratury Rejonowej w [...] w toku prowadzonych czynności wyjaśniających dotyczących noworodka urodzonego w dniu [...], którego matka podawała się za X.X i zdecydowała się przekazać dziecko do adopcji. Przedmiotowe dane medyczne udostępnione zostały także [...] w celu uzyskania środków finansowych z tytułu udzielenia świadczeń zdrowotnych. Generalny Inspektor zwrócił się o informacje do Prezesa Sądu Rejonowego w [...], do Prokuratury Rejonowej w [...] oraz ponownie do Dyrektora ZOZ. Podniósł, że Prokurator Rejonowy wskazał, iż Prokuratura Rejonowa w [...] z zawiadomienia skarżącej prowadziła pod nr [...] postępowanie przygotowawcze w sprawie o przestępstwo z art. 190a § 2 kk. Wskazano, że postępowanie zostało zakończone dnia [...] postanowieniem o umorzeniu dochodzenia w sprawie wobec stwierdzenia braku znamion czynu zabronionego, następnie utrzymanym w mocy postanowieniem Sądu Rejonowego w [...] Z akt ww. sprawy wyłączono do odrębnego postępowania sprawę podrobienia oświadczenia o zrzeczeniu się praw rodzicielskich do nowonarodzonego dziecka na ww. oddziale poprzez wpisanie na oświadczeniu danych osobowych X.X jako matki i podrobienia jej podpisu, tj. o przestępstwo z art. 270 § 1 kk. Postępowanie to, zarejestrowane pod nr [...], zostało zakończone skierowaniem przeciwko Y.Y aktu oskarżenia do Sądu Rejonowego w [...], który w sprawie [...] wydał prawomocny wyrok skazujący. GIODO podał, że Prezes Sądu Rejonowego w [...] wyjaśnił, iż Sąd prawomocnym postanowieniem z dnia [...] utrzymał w mocy ww. postanowienie prokuratury. Sąd w uzasadnieniu postanowienia uznał za bezsporny fakt, że "Y.Y podczas przyjęcia do szpitala w [...] umyślnie wprowadziła w błąd Szpital w [...] co do własnej tożsamości podając nieprawdziwe dane osobowe oraz miejsca zamieszkania podając dane i adres pokrzywdzonej. Poza sporem pozostaje również okoliczność, że Y.Y podczas pobytu w szpitalu w okresie [...] w celu użycia za autentyczne, podrobiła oświadczenie o zrzeczeniu się praw rodzicielskich do nowonarodzonego dziecka w ten sposób, że na tym oświadczeniu wpisała dane osobowe pokrzywdzonej jako matki, podpisując się jej imieniem i nazwiskiem. Za obydwa wyżej wymienione czyny poniosła ona stosowną karę". Do dodatkowych wyjaśnień załączono kopię wyroku Sądu z dnia [...], w którym Sąd uznał oskarżoną Y.Y za winną popełnienia zarzucanego jej aktem oskarżenia czynu z art. 270 § 1 k.k. Dodano, że "w postępowaniu karnym w sprawie [...] nie czyniono ustaleń dotyczących złożenia oświadczenia, o którym mowa w art. 50 ust. 11 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych (Dz.U. z 2008r. Nr 164, poz. 1027 ze zm.), gdyż nie było to przedmiotem postępowania". Strona złożyła wniosek z dnia [...] o przeprowadzenie dowodów: 1) analizy dokumentacji medycznej prowadzonej przez ZOZ na okoliczność ustalenia nazwy i cech dokumentu tożsamości, na podstawie którego potwierdzono tożsamość pacjentki podającej się za Skarżącą lub określenia sposobu potwierdzenia przez pracowników ZOZ tożsamości pacjentki przed wprowadzeniem jej danych do dokumentacji medycznej i wniesieniem do sądu wniosku o wszczęcie postępowania opiekuńczego wobec niechcianego dziecka, 2) ustalenia i przesłuchania osób, które w dniach [...] brały udział w ustalaniu tożsamości kobiety podającej się za Skarżącą na okoliczność jednoznacznego określenia: czy i w jaki sposób dokonano identyfikacji pacjentki i potwierdzenia jej tożsamości, osoby odpowiedzialnej za podjęcie decyzji o wprowadzeniu danych ustnie podanych przez pacjentkę do dokumentacji medycznej oraz do wniosku do sądu o wszczęcie postępowania opiekuńczego, z zeznań personelu medycznego i administracyjnego ZOZ na okoliczność potwierdzenia lub zaprzeczenia, że dane osobowe Skarżącej zostały przez personel pozyskane, uzupełnione i wprowadzone do dokumentacji medycznej oraz udostępnione sądowi opiekuńczemu niezgodnie z procedurą i są przetwarzane jako dane innej osoby, ustalenia podstawy wystąpienia ZOZ do NFZ o refundację usługi medycznej, której wobec Skarżącej nie wykonano. GIODO ponownie rozpatrując sprawę uznał, że rozstrzygnięcie zawarte w decyzji z dnia [...] jest prawidłowe. Argumenty zawarte we wniosku skarżącej o ponowne rozpatrzenie sprawy nie uzasadniają konieczności zmiany tej decyzji. Organ wskazał, że z przepisów ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych wynika, że ZOZ miał obowiązek udzielić świadczenia opieki zdrowotnej kobiecie, która dnia [...] zgłosiła się do oddziału szpitalnego ZOZ w trybie nagłym (do porodu) bez dokumentów. Zgodnie z art. 50 ust. 6 tej ustawy w przypadku niepotwierdzenia prawa do świadczeń opieki zdrowotnej w sposób określony w ust. 1 lub 3 świadczeniobiorca po okazaniu dokumentu, o którym mowa w ust. 2 pkt 1, może przedstawić inny dokument potwierdzający prawo do świadczeń opieki zdrowotnej, a jeżeli takiego dokumentu nie posiada, złożyć pisemne oświadczenie o przysługującym mu prawie do świadczeń opieki zdrowotnej. Według art. 50 ust. 11 ww. ustawy w stanach nagłych lub w przypadku, gdy ze względu na stan zdrowia nie jest możliwe złożenie oświadczenia, o którym mowa w ust. 6, świadczenie opieki zdrowotnej zostaje udzielone pomimo braku potwierdzenia prawa do świadczeń opieki zdrowotnej w sposób wskazany w ust. 1, 3 lub 6. W takim przypadku osoba, której udzielono świadczenia opieki zdrowotnej, jest obowiązana do przedstawienia dokumentu potwierdzającego prawo do świadczeń opieki zdrowotnej albo złożenia oświadczenia, o którym mowa w ust. 6, w terminie 14 dni od dnia rozpoczęcia udzielania świadczenia opieki zdrowotnej, a jeżeli świadczenie to jest udzielane w oddziale szpitalnym, w terminie 7 dni od dnia zakończenia udzielania świadczenia opieki zdrowotnej - pod rygorem obciążenia tej osoby kosztami udzielonych jej świadczeń. GIODO stwierdził, że na podstawie art. 50 ust. 11 wymienionej ustawy ZOZ był obowiązany w terminie 7 dni pozyskać od ww. pacjentki dokument potwierdzający prawo do świadczeń opieki zdrowotnej albo oświadczenie, o którym mowa w ust. 6. Z materiału dowodowego sprawy wynika jednak, że ZOZ nie pozyskał ww. dokumentu ani ww. oświadczenia, natomiast pacjentka po trzech dniach została wypisana ze szpitala na własną prośbę. GIODO wskazał, że fakt, iż minister właściwy do spraw zdrowia skorzystał z delegacji ustanowionej w art. 50 ust. 10 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, dopiero wydając ww. rozporządzenie z dnia 11 grudnia 2012 r., a zatem w marcu 2012 r. nie obowiązywał jeszcze akt wykonawczy określający wzór ww. oświadczenia, nie może być uznany za okoliczność, która zwalniała ZOZ z obowiązku pozyskania oświadczenia, o którym mowa w art. 50 ust. 6 ww. ustawy, w razie zaistnienia sytuacji określonej w tym przepisie. Wówczas ZOZ powinien uzyskać od pacjentki ww. oświadczenie bez określonego wzoru. Powyższe oznacza, że ZOZ nie dopełnił obowiązku określonego w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych. GIODO stwierdził wobec powyższego, że skoro pacjentka przyjęta w trybie nagłym do ZOZ dnia [...] nie złożyła wymaganych w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych dokumentu lub oświadczenia, wówczas to ona (a nie NFZ) powinna ponieść koszty udzielonego jej świadczenia bezpośrednio na rzecz ZOZ. Wobec niezłożenia ww. dokumentu lub oświadczenia ww. pacjentka nie mogła być traktowana jako osoba uprawniona do świadczeń. Organ stwierdził, że brak było tym samym podstaw do udostępnienia przez ZOZ na rzecz NFZ danych osobowych skarżącej jako osoby, której ZOZ udzielił świadczenia opieki zdrowotnej. GIODO wskazał, że pacjentka wypisała się ze szpitala na własną prośbę, pozostawiając w szpitalu urodzone dziecko. W celu zabezpieczenia sytuacji prawnej dziecka oraz w celu uzupełnienia danych, podanych przez ww. pacjentkę przy przyjęciu do szpitala, ZOZ pozyskał z Wydziału Ewidencji Ludności Urzędu Gminy [...] nr PESEL przypisany do danych, które podała. Obowiązujący wtedy art. 44h ust. 2 pkt 1 ustawy dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych (Dz. U. z 2006 r. Nr 139, poz. 993 ze zm.) stanowił, że dane ze zbiorów meldunkowych, zbioru PESEL oraz ewidencji wydanych i unieważnionych dowodów osobistych udostępnia się, o ile są one niezbędne do realizacji ich ustawowych zadań, osobom i jednostkom organizacyjnym - jeżeli wykażą w tym interes prawny. Ww. ustawa utraciła moc na podstawie art. 92 ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych (Dz. U. Nr 167, poz. 1131 ze zm.), która weszła w życie z dniem 1 marca 2015 r. GIODO stwierdził, że wymienione przepisy nie mogą stanowić podstawy prawnej pozyskania przez ZOZ danych osobowych skarżącej ze zbioru PESEL, skoro ZOZ nie dopełnił obowiązku uzyskania od podającej się za skarżącą pacjentki dokumentu lub oświadczenia określonych w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych. W rezultacie tego zaniedbania ZOZ nie posiadał żadnego dokumentu potwierdzającego dane osobowe, które pacjentka przyjęta w trybie nagłym do ZOZ dnia [...] wskazała przy rejestracji. Podkreślenia wymaga, że ZOZ dysponował jedynie tymi danymi osobowymi, które ww. pacjentka podała jako własne i potwierdziła ich prawdziwość własnoręcznym podpisem. ZOZ nie posiadał wówczas wiedzy, że nie są to dane osobowe pacjentki, lecz skarżącej, co wynika także z dodatkowych wyjaśnień ZOZ, złożonych w toku ponownego rozpatrzenia sprawy. GIODO nie zgodził się ze skarżącą, że w przypadku braku dokumentu tożsamości pacjentki szpital nie miał prawa umieszczać w dokumentacji medycznej danych osobowych tylko na podstawie jej słownej, czy nawet pisemnej deklaracji, aż do momentu ich potwierdzenia (identyfikacji), albowiem § 4 ust. 1 rozporządzenia Ministra Zdrowia z dnia 21 grudnia 2010 r. w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania (Dz. U. z 2014 r. poz. 177 ze zm.), wpisu w dokumentacji dokonuje się niezwłocznie po udzieleniu świadczenia zdrowotnego, w sposób czytelny i w porządku chronologicznym. Organ wskazał, że zgodnie z § 4 ust. 3 rozporządzenia w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania wpis dokonany w dokumentacji nie może być z niej usunięty, a jeżeli został dokonany błędnie, zamieszcza się przy nim adnotację o przyczynie błędu oraz datę i oznaczenie osoby dokonującej adnotacji, zgodnie z § 10 ust. 1 pkt 3. GIODO po przytoczeniu wskazanych przepisów podał, że w wyjaśnieniach ZOZ, złożonych w toku ponownego rozpatrzenia sprawy, podano: "W dniu [...] do dokumentacji medycznej pacjentki dołączono Oświadczenie o treści: "W związku z informacją otrzymaną od Komendy Powiatowej Policji w [...] w aspekcie toczącego się postępowania stwierdza się, że dane osobowe Pani X.X zostały sfałszowane przez Panią Y.Y [...]". GIODO wskazał, że powyższe sprostowanie w dokumentacji medycznej jest konsekwencją postępowania karnego [...]. Odnosząc się do udostępnienia przez ZOZ danych osobowych skarżącej Sądowi Rejonowemu w [...] organ powołał art. 1191 ustawy z dnia 25 lutego 1964 r. Kodeks rodzinny i opiekuńczy. ZOZ, jak wynika z pisma z dnia [...] załączonego do skargi przez skarżącą (fotokopia pisma skierowanego do Sądu Rejonowego Wydział [...] Rodzinny w aktach sprawy), przekazał dane osobowe skarżącej w związku z deklaracją osoby podszywającej się pod nią o pozostawieniu urodzonego dziecka do adopcji. Wprawdzie ww. działanie było niezbędne do uregulowania sytuacji prawnej ww. noworodka - przede wszystkim sporządzenia aktu urodzenia, jednak nie można uznać, by ZOZ był uprawniony do podjęcia takiego działania, skoro nie dopełnił obowiązku uzyskania od podającej się za skarżącą pacjentki dokumentu lub oświadczenia określonych w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych. GIODO przytoczył następnie przepis art. 18 ust. 1 u.o.d.o. i stwierdził, że warunkiem wydania przez Generalnego Inspektora rozstrzygnięcia, o którym mowa w tym przepisie, jest istnienie stanu naruszenia prawa do ochrony danych osobowych w chwili wydania decyzji administracyjnej. Z uwagi na fakt, że niedopełnienie przez ZOZ obowiązku uzyskania od podającej się za skarżącą pacjentki dokumentu lub oświadczenia określonych w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych i udostępnienie przez ZOZ podanych przez tę pacjentkę danych osobowych Skarżącej na rzecz NFZ i Sądu Rejonowego w [...] oraz do Urzędu Gminy [...] i pozyskanie przez ZOZ z tego urzędu numeru PESEL Skarżącej były działaniami bezprawnymi, jednak ponieważ miały już one miejsce, nie jest możliwe przywrócenie w tej sprawie stanu zgodnego z prawem sprzed tego udostępnienia poprzez wydanie przez Generalnego Inspektora Ochrony Danych Osobowych jednego z nakazów, wskazanych w ww. art. 18 ust. 1. Dlatego zasadna jest odmowa uwzględnienia wniosku skarżącej. Dopuszczalne jest odmienne uzasadnienie orzeczenia wydanego w trybie odwoławczym (por. wyrok Naczelnego Sądu Administracyjnego z dnia 15 sierpnia 1985 roku, sygn. akt III SA 730/85). GIODO odnosząc się do wniosków dowodowych strony wskazał, że wnioskowane przez skarżącą dowody z dokumentacji medycznej i zeznań pracowników ZOZ dotyczą okoliczności, co do których ustalenia zostały dokonane przez organ w postępowaniu przeprowadzonym w niniejszej sprawie, w którym wystarczających wyjaśnień udzielił Dyrektor ZOZ, uzupełniając je w postępowaniu zainicjowanym wnioskiem skarżącej o ponowne rozpatrzenie sprawy - Generalny Inspektor uznał, że niecelowe byłoby przeprowadzenie ww. dowodów. W związku z powyższym organ stwierdził, że wniosek dowodowy skarżącej nie spełnia przesłanek pozwalających na jego uwzględnienie. Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stała się przedmiotem skargi X.X do Wojewódzkiego Sądu Administracyjnego w Warszawie. Wnosząc o uchylenie zaskarżonej i poprzedzającej ją decyzji GIODO oraz przekazanie sprawy Generalnemu Inspektoratowi Ochrony Danych Osobowych do ponownego rozpoznania z nakazem wykonania przez organ obowiązków ustawowych, tj. nakazanie Dyrektorowi Zespołu Opieki Zdrowotnej w [...] usunięcia danych osobowych skarżącej ze zbioru danych osobowych, ustalenie winnych bezprawnego przetwarzania i udostępniania danych skarżącej i skierowanie przeciwko nim wniosków o ściganie karne. Skarżąca zarzuciła naruszenie przepisów prawa materialnego, tj.: 1) przepisów art. 1 ustawy o ochronie danych osobowych poprzez odmowę ochrony danych osobowych skarżącej przez organ ustawowo powołany do tego celu; 2) przepisów art. 18 ustawy o ochronie danych osobowych poprzez ich niezastosowanie, w sytuacji stwierdzenia ewidentnych naruszeń przepisów o ochronie danych osobowych; 3) przepisu art. 19 ustawy o ochronie danych osobowych poprzez jego niezastosowanie pomimo wyraźnego żądania skarżącej i stwierdzenia ewidentnych naruszeń przepisów o ochronie danych osobowych przez personel Zespołu Opieki Zdrowotnej w [...] w zakresie pozyskania, przetwarzania i udostępniania danych skarżącej na jej szkodę oraz naruszenie przepisów postępowania administracyjnego, w tym przede wszystkim: 1) przepisów art. 6 - 8 k.p.a., przez ich niezastosowanie i rażące odstępstwo od generalnych zasad praworządności i legalizmu przy wydaniu decyzji, tym samym pozbawiając skarżącą ustawowego prawa do ochrony jej danych osobowych i usankcjonowanie działania sprzecznego z przepisami ustawy oraz zaniechanie pociągnięcia do odpowiedzialności osób winnych stwierdzonych naruszeń; 2) przepisu art. 107 §1-3 k.p.a., poprzez nieuwzględnienie zmiany stanu faktycznego i prawnego będącego podstawą rozstrzygnięcia. W uzasadnieniu skarżąca wskazała, że prowadząc powstępowanie na skutek wniosku o ponowne rozpatrzenie sprawy organ bezspornie ustalił, iż pracownicy Szpitala w [...] dopuścili się kardynalnych naruszeń przepisów o ochronie danych osobowych, a także przepisów o ochronie praw pacjenta i świadczeniach opieki zdrowotnej finansowanych ze środków publicznych. Organ pominął sposób pozyskania danych pacjentki, czyli sposobu ustalenia jej tożsamości (a właściwie brak tego ustalenia), czym umożliwili jej de facto dokonanie oszustwa. Pominięto również fakt niezgodnego z przepisami przekazania danych szczegółowych (telefonicznie, bez potwierdzenia interesu i podstawy prawnej oraz tożsamości uprawnionego) przez Urząd Gminy w [...] pracownikowi socjalnemu ZOZ w [...], gdzie GIODO winien z urzędu był wszcząć oddzielne postępowanie. Skarżąca wskazała, iż niezrozumiała jest odmowa uwzględnienia jej skargi do GIODO w sytuacji, gdy w zaskarżonej decyzji stwierdzono naruszenia szeregu kluczowych przepisów z zakresu ochrony danych osobowych, które to naruszenia spowodowały cały ciąg zdarzeń dotkliwych w skutkach dla skarżącej. Podniosła, że nie można rozważać niniejszej sprawy w oderwaniu od skutków stwierdzonych naruszeń. Naruszenia te są bowiem na tyle istotne, iż spowodowały uwikłanie skarżącej w szereg postępowań karnych, cywilnych i administracyjnych, gdzie występowała jako poszukiwana przez Sąd i Policję matka, która porzuciła dziecko. Ponadto zmuszona była do dochodzenia przed sądem prostowania swojego stanu prawnego i rodzinnego, a także danych w rejestrze usług medycznych NFZ. Całość konsekwencji jakie poniosła skarżąca w wyniku naruszeń będących następstwem niedopełnienia obowiązków przez personel ZOZ w [...] była nie tylko utrata dobrego imienia skarżącej w środowisku w którym się wychowała, ale przede wszystkim znaczne nadwyrężenie jej stanu psychicznego. Uszczerbku w tym przypadku doznał również interes społeczny poprzez konieczność prowadzenia szeregu postępowań przez sądy i inne organy, mające na celu li tylko prostowanie stanu prawnego błędnie ustalonego w wyniku naruszeń dokonanych przez ZOZ w [...]. Pomimo, iż kwestie te nie są przedmiotem postępowania to wskazują na wagę i rozmiar naruszeń prawa, których dopuścił się personel ZOZ w [...], a które GIODO stwierdził w prowadzonym postępowaniu, a mimo to uznał, iż nie należy wyciągać z tego tytułu żadnych konsekwencji. Skarżąca nie zgodziła się z organem, iż nie jest możliwe usunięcie jej danych z zasobów ZOZ. Skarżąca nie podzieliła też wyjaśnień organu dotyczących nieuwzględnienia wniosków dowodowych skarżącej. W odpowiedzi na skargę GIODO wniósł o jej oddalenie powołując się w odniesieniu do poszczególnych zarzutów skargi na dotychczasowe ustalenia. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Skarga jest zasadna. W ocenie Sądu w sprawie tej doszło do naruszenia prawa dającego podstawę wznowienia postępowania administracyjnego, albowiem w sprawie bez własnej winy nie brała udziału osoba, której ZOZ w [...] udzielił w dniach [...] świadczeń medycznych. Tymczasem, to z dokumentacji medycznej tej osoby skarżąca domaga się w postępowaniu przed GIODO usunięcia swoich danych osobowych. Wobec tego, że zaszła przesłanka z art. 145 § 1 pkt 4 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2013 r. poz. 267 ze zm.), zwanej dalej k.p.a., konieczne stało się uchylenie zaskarżonej i poprzedzającej ją decyzji GIODO. Poza wskazanym wyżej naruszeniem prawa, Sąd stwierdził, że postępowanie administracyjne nie zostało przez GIODO należycie przeprowadzone, nie podjęto wszelkich niezbędnych czynności w celu dokładnego ustalenia stanu faktycznego, nie zebrano w sposób wyczerpujący materiału dowodowego i w konsekwencji nie rozpatrzono wszechstronnie materiału dowodowego niezbędnego do podjęcia prawidłowego rozstrzygnięcia, czym naruszono przepis art. 7, art. 77 § 1 i art. 80 k.p.a., co mogło mieć istotny wpływ na wynik sprawy. Z rozporządzenia Ministra Zdrowia z dnia 21 grudnia 2010 r. w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania (Dz. U. z 2010 r. Nr 252, poz. 1697 ze zm.), obowiązującego tak w dniu udzielenia przez ZOZ w [...] świadczeń medycznych osobie podającej się za skarżącą, jak i w dniu wydania przez GIODO zaskarżonej decyzji, wynika, że dokumentacja medyczna jest prowadzona w postaci elektronicznej lub papierowej. Z akt postępowania administracyjnego nie wynika, aby wyjaśniono, w jakiej postaci prowadzona była dokumentacja medyczna przez ZOZ w [...], w której ujmowano dane osobowe skarżącej w dniach udzielania świadczeń medycznych innej osobie. Organ w ustaleniach obu decyzji podał jedynie, że ZOZ wskazał, iż obecnie przetwarza dane skarżącej w medycznym systemie informatycznym ZOZ. Nie ustalono jednakże, czy wcześniej (czyli przed dniem złożeniem tego oświadczenia organowi) dane osobowe skarżącej nie były przetwarzane w dokumentacji papierowej. Nie ustalono, czy obecnie przetwarzane są tylko w dokumentacji prowadzonej w formie elektronicznej, czy też przechowywane są także ewentualnie w postaci papierowej. W sprawie nie ustalono, w jakiego rodzaju dokumentacji medycznej przetwarzane są (a więc także przechowywane) dane osobowe skarżącej, a zatem w jakiego rodzaju dokumentacji medycznej zamieszczono dane skarżącej w związku z udzielonymi innej osobie świadczeniami medycznymi i jakie dokładnie były to dane osobowe. Powołane wyżej rozporządzenie Ministra Zdrowia stanowi, że dane osobowe pacjenta (w tym m.in. jego imię, nazwisko, PESEL, a także np. adres zamieszkania) zamieszcza się w szeregu rodzajów dokumentacji medycznej, tak w dokumentacji indywidualnej, jak i zbiorczej. Dane osobowe pacjenta zamieszcza się nie tylko w historii choroby, ale też w dokumentach dodatkowych, także w karcie noworodka, w księdze głównej przyjęć i wypisów, księdze chorych oddziału, w księdze raportów pielęgniarskich, w księdze bloku porodowego albo sali porodowej oraz w innych księgach określonych rozporządzeniem. Sąd nie kwestionuje w sprawie ustaleń GIODO, że skarżąca nie była w dniach [...] pacjentką ZOZ w [...], jak też ustalenia, że ZOZ w [...] przetwarza dane osobowe skarżącej. Sąd nie kwestionuje także ustaleń GIODO, że wobec nie uzyskania od pacjentki, której udzielono świadczeń medycznych, dokumentu lub oświadczenia, o którym mowa w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, ZOZ w [...] nie miał podstaw do pozyskania danych osobowych skarżącej ze zbioru PESEL. Sąd nie kwestionuje też ustalenia GIODO, że wobec nie uzyskania od pacjentki dokumentu lub oświadczenia, o którym mowa w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, ZOZ w [...] nie miał podstaw do przekazania danych osobowych skarżącej do NFZ oraz do Sądu Rejonowego w [...]. W świetle tych podstawowych ustaleń organu, które Sąd przyjął za prawidłowo dokonane, nie budzi żadnych wątpliwości, że dane osobowe przetwarzane przez ZOZ w [...] w dokumentacji medycznej pacjentki, której udzielono świadczeń medycznych, a podającej się za skarżącą, nie były merytorycznie poprawne (art. 26 ust. 1 pkt 3 u.o.d.o.). Świadczeń medycznych udzielono bowiem innej osobie niż skarżąca. Jest zrozumiałe w tej sytuacji, że skarżąca domaga się przywrócenia stanu zgodnego z prawem. Wprawdzie ma rację GIODO, gdy twierdzi, że brak jest podstaw do nakazania usunięcia danych osobowych skarżącej z dokumentacji medycznej, albowiem przepis § 4 ust. 3 powołanego wyżej rozporządzenia, tak na datę udzielonych świadczeń medycznych, jak i na dzień wydania zaskarżonej decyzji nie przewidywał możliwości usunięcia danych osobowych z dokumentacji medycznej, tym niemniej, odmowa uwzględnienia wniosku skarżącej skierowanego do GIODO – w świetle ustaleń organu poczynionych w zaskarżonej decyzji – nie była uprawniona. Zgodnie z § 4 ust. 3 powołanego rozporządzenia Ministra Zdrowia, wpis dokonany w dokumentacji nie może być z niej usunięty, a jeżeli został dokonany błędnie, zamieszcza się przy nim adnotację o przyczynie błędu oraz datę i oznaczenie osoby dokonującej adnotacji, zgodnie z § 10 ust. 1 pkt 3. Stosownie do § 5 rozporządzenia, strony w dokumentacji prowadzonej w postaci papierowej są numerowane i stanowią chronologicznie uporządkowaną całość. W przypadku sporządzania wydruku z dokumentacji prowadzonej w postaci elektronicznej, strony wydruku są numerowane. Zgodnie z § 6 ust. 1, każdą stronę dokumentacji indywidualnej prowadzonej w postaci papierowej oznacza się co najmniej imieniem i nazwiskiem pacjenta. W przypadku sporządzania wydruku z dokumentacji indywidualnej prowadzonej w postaci elektronicznej, każdą stronę wydruku oznacza się co najmniej imieniem i nazwiskiem pacjenta. W świetle brzmienia § 4 ust. 3 rozporządzenia Ministra Zdrowia w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania, nie stanowi realizacji tego przepisu – a tym samym nie stanowi sprostowania, jak wskazał to GIODO, dołączenie do dokumentacji medycznej "oświadczenia" o treści "W związku z informacją otrzymaną od Komendy Powiatowej Policji w [...] w aspekcie toczącego się postępowania stwierdza się, że dane osobowe Pani X.X zostały sfałszowane przez Panią Y.Y [...]". Powyższe nie stanowi sprostowania danych osobowych skarżącej w dokumentacji medycznej prowadzonej przez ZOZ w [...] w sposób, który przewiduje przepis rozporządzenia Ministra Zdrowia, stanowiący w tym przypadku lex specialis. Tym samym, organ odmawiając uwzględnienia wniosku skarżącej naruszył przepis art. 18 ust. 1 pkt 2 u.o.d.o. poprzez jego niezastosowanie w zw. z art. 26 ust. 1 pkt 3 u.o.d.o. GIODO podał w decyzji, że warunkiem wydania rozstrzygnięcia, o którym mowa w art. 18 ust. 1 u.o.d.o. jest istnienie stanu naruszenia prawa do ochrony danych osobowych w chwili wydania decyzji administracyjnej. Stan taki istniał w dniu wydania zaskarżonej decyzji, albowiem dane przetwarzane przez ZOZ w [...] nie były merytorycznie poprawne (nie zostały sprostowane do dnia wydania decyzji). Przywrócenie stanu zgodnego z prawem było zatem konieczne. GIODO ustalił też, że z uwagi na fakt, iż niedopełnienie przez ZOZ obowiązku uzyskania od podającej się za skarżącą pacjentki dokumentu lub oświadczenia określonych w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych i udostępnienie przez ZOZ podanych przez tę pacjentkę danych osobowych skarżącej na rzecz NFZ i Sądu Rejonowego w [...] oraz do Urzędu Gminy [...] i pozyskanie przez ZOZ z tego urzędu numeru PESEL skarżącej były działaniami bezprawnymi, jednak ponieważ miały już one miejsce, nie jest możliwe przywrócenie w tej sprawie stanu zgodnego z prawem sprzed tego udostępnienia poprzez wydanie przez Generalnego Inspektora Ochrony Danych Osobowych jednego z nakazów, wskazanych w ww. art. 18 ust. 1. W tym zakresie Sąd wskazuje, że istotnie, żaden z nakazów, o których mowa w art. 18 ust. 1 u.o.d.o. nie spowoduje przywrócenia stanu zgodnego z prawem sprzed tego udostępnienia. Ewentualne wystosowanie przez ZOZ w [...] kolejnych pism do tych podmiotów – w sprawach, których te pisma dotyczyły – z informacją o danych osobowych skarżącej byłoby po raz kolejny nieuprawnionym przetwarzaniem danych osobowych skarżącej. Ponownie rozpatrując sprawę organ obowiązany będzie w sposób wyczerpujący ustalić zakres danych osobowych skarżącej przetwarzanych przez ZOZ w [...] oraz rodzaje dokumentacji medycznej, w jakiej te dane są przetwarzane, a także ustalić sposób ich przetwarzania. W sytuacji, gdy stan niezgodny z prawem będzie trwał organ winien zastosować przepis art. 18 ust. 1 u.o.d.o. Organ zapewni osobie, której dotyczy dokumentacja medyczna udział w postępowaniu administracyjnym, co umożliwi tej osobie realizację jej praw. W sytuacji, gdy organ ustali, że dane osobowe skarżącej przetwarzane są przez ZOZ w [...] ewentualnie także poza dokumentacją medyczną, o której była mowa w dotychczas ustalonym przez organ stanie faktycznym, GIODO winien rozważyć zastosowanie nakazu, o którym mowa w art. 18 ust. 1 u.o.d.o. również w odniesieniu do tych danych. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. b i c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2012 r., poz. 270 ze zm.), orzekł jak w wyroku.