II SA/Wa 2117/18

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędziowie WSA Andrzej Góraj, Konrad Łukaszewicz, Protokolant referent stażysta Paulina Lichowska po rozpoznaniu na rozprawie w dniu 7 maja 2019 r. sprawy ze skargi [...] w R. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2018 r. nr [...] w przedmiocie przetwarzania danych osobowych 1.uchyla zaskarżoną decyzję oraz utrzymaną nią w mocy decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2017 r. [...] ,[...] ; 2.umarza postępowanie administracyjne; 3.zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego [...] w R. kwotę 680 (słownie: sześćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania. `Uzasadnienie Zaskarżoną decyzją utrzymano w mocy, na zasadzie art. 138 § 1 pkt 1 wobec art. 127 § 3 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2017 r., poz. 1257 ze zm.), zwanej dalej "K.p.a.", orzeczenie Generalnego Inspektora Ochrony Danych Osobowych z [...] czerwca 2017 r. w sprawie skargi p. S. B., zwanego dalej "[...]", na przetwarzanie (w tym udostępnienie) jego danych osobowych przez Samodzielny Publiczny Zakład Opieki Zdrowotnej Państwowy Szpital [...] w R., zwany dalej "Szpitalem". W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - do organu wpłynęła skarga [...], na przetwarzanie (w tym udostępnianie) jego danych osobowych przez Szpital; wskazano w niej: "W dniu [...] lutego 2016 r. Dyrektor SPZOZ, w odpowiedzi na jeden z reportaży [...]!, zamieścił na stronie placówki [www[...].com] szereg oświadczeń. W jednym z nich, zatytułowanym Uzupełniającym oświadczeniu Dyrekcji Szpitala z dnia [...] lutego 2016 r. w sprawie zapytań i doniesień medialnych dotyczących Pacjentów Państwowego Szpitala, ujawnione zostały informacje znajdujące się w karcie karalności S. B., a dotyczące jego skazań"; na skutek tego nastąpiło udostępnienie danych osobowych [...] przy użyciu środków masowego przekazu; [...] wniósł o nakazanie Szpitalowi usunięcia uchybień w zakresie przetwarzania danych osobowych, poprzez przestrzeganie zakazu, wynikającego z art. 27 ust 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r., poz. 922 ze zm.), zwanej dalej "ustawą o danych", - organ dokonał następujących ustaleń: - Szpital przetwarza dane osobowe [...], na podstawie art. 24 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2017 r. poz. 1318) w zakresie danych zawartych w dokumentacji medycznej indywidualnej i zbiorczej; w zakresie rejestru pacjentów Szpital przetwarza dane osobowe [...] na podstawie art. 23 ust 1 pkt 2, 4 i 5 ustawy o danych, - Szpital udostępnił na stronie internetowej www. [...].pl post zatytułowany "Uzupełnienie oświadczenia Dyrekcji Szpitala z dnia [...] lutego 2016 r., w sprawie zapytań i doniesień medialnych dotyczących Pacjentów Państwowego Szpitala"; wskazano na osobę [...] poprzez użycie jego nazwiska oraz odniesienie się do wyemitowanego dzień wcześniej programu [...] "[...]"; dalej organ zreferował zawarte w oświadczeniu informacje; jak odnotował, w wyjaśnieniach Szpitala dla organu wskazano, że dotyczące pobytu oraz opuszczenia przez [...] danej placówki okoliczności stały się przedmiotem wielu reportaży telewizyjnych i artykułów prasowych; w stanowisku Szpitala podnoszono, że osobą sam [...] i jego pełnomocnik, byli przekazującymi informacje do reportaży i artykułów; wskazywał również, że z dostępnych w Internecie informacji wynika jednoznacznie, że [...] dopuścił się popełnienia czynu zabronionego; na dowód tego przedstawiono szereg cytatów z opublikowanych w Internecie artykułów; - aktualnie dane osobowe [...], zawarte w kwestionowanym przez niego oświadczeniu, nie są publikowane na stronie internetowej Szpitala (www. [...].com.); usunięto je z tej strony [...] lutego 2016 r., a następnie z serwera źródłowego strony ([...] marca 2017 r.), - kwestie dotyczące zabezpieczenia przetwarzanych danych w Szpitalu reguluje zarządzenie z dnia 10 sierpnia 2016 r. w sprawie wprowadzenia w życie Instrukcji zarządzania systemem informatycznym przetwarzającym dane osobowe w SPZOZ Państwowym Szpitalu [...] w R., Polityki bezpieczeństwa przetwarzania danych osobowych w SP ZOZ Państwowym Szpitalu [...] w R. oraz Podręcznika ochrony danych osobowych w SPZOZ Państwowym Szpitalu [...] w R.; zarządzeniem tym - realizując postanowienia ustawy o danych oraz rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. poz. 1024, ze zm.) - wprowadzono zestaw reguł i praktycznych doświadczeń, regulujących sposób zarządzania, ochrony i dystrybucji informacji wrażliwej pozwalający na zapewnienie ochrony danych osobowych, - po przeprowadzeniu postępowania administracyjnego, decyzją z [...] czerwca 2017 r., odmówiono uwzględnienia wniosku [...]; jednocześnie - wobec ustaleń w sprawie - organ skierował [...] czerwca 2017 r., w trybie art. 19a ust. 1 ustawy o danych, wystąpienie do Szpitala; wzywał go do podjęcia działań, prowadzących do zapewnienia prawidłowości procesu przetwarzania danych osobowych, zgodnie z określonymi w przepisach wymogami, - Szpital, złożył wniosek o ponowne rozpatrzenie sprawy; wniósł o zmianę uzasadnienia w części obejmującej stwierdzenie, jakoby działania administratora danych były niezgodne z dotyczącymi przetwarzania danych osobowych przepisami prawa oraz, jakoby dane osobowe [...] pozbawiono należytej ochrony; Szpital podtrzymał argumentacje wskazując, że [...] ujawnił dane o swojej karalności, a oświadczenie Szpitala jedynie uściśliło te informacje, - z dniem wejścia w życie ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000) wszczęte i niezakończone przed 25 maja 2018 r. postępowania przed Generalnym Inspektorem Ochrony Danych Osobowych, są prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy o danych, zgodnie z zasadami określonymi w K.p.a., - organ - na podstawie zgromadzonego w niniejszej sprawie materiału dowodowego - ocenił legalność działań Szpitala, odnosząc się tylko do zakresu zaskarżenia, podniesionego we wniosku o ponowne rozpoznanie sprawy, - w dalszej części uzasadnienia podtrzymano ocenę, że działania Szpitala w zakresie ujawnienia na stronie internetowej dotyczących karalności [...] danych osobowych było niezgodne z przepisami ustawy o danych, - w końcu wskazano, że - mimo poczynionych w sprawie ustaleń faktycznych oraz prawnych, wskazujących na naruszenie przepisów ustawy o danych wobec [...] - nie ma podstaw do zastosowania art. 18 ust. 1 ustawy o danych; organ ochrony danych osobowych nie ocenia bowiem zdarzeń przeszłych, niekontynuowanych w chwili orzekania; stosownie do brzmienia powołanego przepisu, jego decyzja nie stanowi instrumentu represji - służącego wyciąganiu konsekwencji, w związku z przeszłymi nieprawidłowościami w procesie przetwarzania danych - lecz ma na celu przywrócenie stanu zgodnego z prawem w procesie przetwarzania danych, realizowanym w chwili wydania decyzji. W skardze, zarzucono naruszenie przepisów: - art. 23 ust. 1 pkt 5 ustawy o danych, poprzez przyjęcie, że przetwarzanie danych osobowych [...] nie było niezbędne dla wypełnienia prawnie usprawiedliwionych, realizowanych przez administratora danych celów, gdy przetwarzanie nie naruszało praw i wolności osoby, której dane dotyczą; tymczasem chronione dobro - w postaci życia i zdrowia pacjentów Szpitala - było nadrzędne nad ochroną danych osobowych, - art. 27 ust. 2 ustawy o danych, poprzez przyjęcie, jakoby przepis ten wyłączał przetwarzanie danych osobowych na podstawie art. 23 ust. 1 pkt 5 tej ustawy; tymczasem wyłączenie takie czy zakaz nie wynika z wymienionego przepisu. W uzasadnieniu skargi wywodzono, że organ administracji wadliwie wykłada relację przepisów dotyczących reguł ochrony danych osobowych. Prowadziło to do mylnego uznania, jakoby Szpital naruszył zasady ochrony danych osobowych, ujawniając stosowne informacje o [...]. Wniesiono o uchylenie w stosownym zakresie uzasadnienia skarżonego aktu oraz zasądzenie zwrotu kosztów postępowania sądowego. W odpowiedzi na skargę organ administracji wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. W dodatkowym piśmie procesowym (k. 33-34) [...] wniósł o oddalenie skargi, przyłączając się do argumentacji organu i wywodząc, że doszło do bezprawnego ujawnienia jego danych osobowych. Przy kolejnym piśmie (k. 43-44) załączył kopie orzeczenia sądu powszechnego (wyrok Sądu Okręgowego w G. z [...] kwietnia 2019 r. sygn. akt [...]) na potwierdzenie, że Szpital narusza prawo w zakresie ochrony danych osobowych, ujawniając stosowne informacje o [...]. Wniesiono o przeprowadzenie zeń dowodu. Szpital żądał oddalenia wniosku dowodowego (kopia pisma przesłanego faxem k. 71-72). Sąd zważył, co następuje: Skarga zasługuje na uwzględnienie, chociaż nie z przyczyn w niej podniesionych. Sąd, w związku z art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2018 r. poz. 1302 ze zm.), nie jest związany zarzutami i wnioskami skargi. W rozpoznawanej sprawie bezsporne są opisane przez organ i uprzednio zreferowane istotne elementy stanu faktycznego na dzień wydania skarżonego aktu. Nie miało mianowicie wówczas miejsce żadne naruszenie przepisów ustawy o danych, która znajduje w sprawie zastosowanie wobec terminu wszczęcia postępowania. W kwestii objętej sporem dane osobowe [...] zostały usunięte przez Szpital z sieci teleinformatycznej. Z kolei, w myśl wskazanej ustawy, organ administracji był upoważniony wyłącznie nakazać w drodze decyzji przywrócenie stanu zgodnego z prawem, przy czym ustawa wskazywała szczególne przypadki, gdy uprawnienie to może być wykorzystane, nie zawierając tylko ich zamkniętego katalogu (tak art. 18 ust. 1). Jednocześnie wskazana ustawa nie upoważniała - w drodze odrębnych regulacji -danego, wyspecjalizowanego organu administracji, aby w drodze decyzji (rozstrzygnięcia władczego) oceniał zdarzenia wcześniejsze w kontekście przestrzegania przepisów o ochronie danych osobowych. Nie sposób w szczególności kompetencji w danym zakresie wywieść wyłącznie z uprawnienia do rozpoznawania skarg, wobec treści art. 12 pkt 2 ustawy o danych. Sytuacja w danym zakresie uległa wprawdzie generalnie istotnej zmianie, wobec wejścia w życie ustawy o ochronie danych osobowych z 2018 roku. Przewidziano tam przykładowo, w razie stwierdzenia nieprawidłowości, możliwość nakładania przez organ sankcji pieniężnych. Przy takich uwarunkowaniach prawnych ocena stanów historycznych pozostaje w kompetencjach organu. Wyrażanie stanowiska w danym zakresie w uzasadnieniu orzeczenia może więc znajdywać wówczas merytoryczne uzasadnienie. Odnotowane, nowe regulacje nie znajdą jednak zastosowania w sprawie rozpatrywanej, gdzie stosuje się ustawę o danych. W judykaturze ukształtował się pogląd, że rozpatrywanie skarg na gruncie ustawy o danych następuje w drodze decyzji. Skoro więc na dzień rozpoznawania sprawy nie miała miejsce żadna nieprawidłowość w kwestiach objętych skargą [...] i jest to okolicznością bezsporną - a wydawszy odrębny akt organ administracji wskazał już na potrzebę podjęcia koniecznych działań naprawczych (wystąpienie w myśl art. 19a ustawy o danych datowane na 6 czerwca 2017 r.) - to jego zadaniem było umorzenie postępowania w sprawie danej skargi (analogicznie prawomocne wyroki o sygn. akt II SA/Wa 1502/14 i 328/17, dostępne na stronie internetowej orzeczenia.nsa.gov.pl/cbo/query - w Centralnej Bazie Orzeczeń Sądów Administracyjnych). Organ administracji w uzasadnieniu zaskarżonego aktu odnotował zresztą, że wykracza poza jego zadania ocena stanów historycznych (tak końcowa część uzasadnienia). Nie wywiódł z tego jednak adekwatnych wniosków. W rozpoznawanym przypadku - wydając zaskarżone orzeczenie, którym utrzymano w mocy decyzję o nieuwzględnieniu wniosku [...] - naruszono przepisy postępowania, zakreślające kiedy zasadnym jest umorzenie postępowania (art. 105 § 1 K.p.a.). Naruszenie to miały istotny wpływ na wynik sprawy. Procedując w danym przedmiocie co do meritum organ wyraził bowiem w uzasadnieniu zaskarżonego aktu stanowiska w kwestiach, które nie miały znaczenia dla wyniku postępowania. Wobec zasady praworządności (art. 6 K.p.a.) formułowanie ocen w danym zakresie było wobec tego poza kompetencjami danego organu administracji publicznej. Jedynie na marginesie należy wskazać, że - w realiach niniejszej sprawy - kwestia prawidłowości działania Szpitala w zakresie ujawnienia danych osobowych [...] może być także przedmiotem rozważań w odrębnym postępowaniu przed sądem powszechnym (tak – w innej sprawie - załączone przy piśmie [...] orzeczenie sygn. akt [...]). Nie ma przy tym racjonalnego uzasadnienia, aby te same kwestie były przedmiotem ocen w ramach dwóch, toczących się autonomicznie postępowań przed różnymi organami władzy publicznej, zwłaszcza gdy dla wyniku postępowania administracyjnego formułowanie ocen w danym zakresie nie ma żadnego znaczenia. Bezzasadny był więc wniosek o przeprowadzenia dowodu z przedłożonego Sądowi wyroku o sygn. akt [...]. Wobec wskazanych uwarunkowań bezprzedmiotowa byłaby ocena przez Sąd, czy doszło do naruszenia w danej sprawie powołanych w skardze przepisów prawa materialnego, określających reguły ochrony danych osobowych. Ponieważ analogiczną wadliwością są dotknięte zaskarżone orzeczenie jak i je poprzedzające Sąd uchylił oba akty. Skoro natomiast istotne okoliczności sprawy nie są sporne – nie było przesłanek, aby wobec konkretnej skargi organ, co do meritum, orzekał w sprawie - postępowanie administracyjne umorzono. Z przytoczonych wyżej przyczyn, na podstawie art. 135, 145 § 1 pkt 1 lit. c oraz § 3 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w pkt 1 i 2 sentencji. Wobec oczywistej omyłki Sąd orzekł w pkt 3 o obowiązku zwrotu przez organ kosztów postępowania w wysokości 680 zł. miast wyłącznie - uiszczonych tytułem wpisu - 200 zł., gdyż Szpital nie był reprezentowany przez profesjonalnego pełnomocnika. W danym zakresie organ administracji – jeżeli nie zamierza złożyć środka odwoławczego, co do istoty sprawy - może wnieść zażalenie w terminie 7 dni od otrzymania wyroku wraz z uzasadnieniem (art. 227 § 1, w zw. z art. 194 § 2 ustawy - Prawo o postępowaniu przed sądami administracyjnymi).