II SA/Wa 2166/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędziowie WSA Ewa Kwiecińska (spr.), Iwona Maciejuk, Protokolant spec. Monika Gieroń, po rozpoznaniu na rozprawie w dniu 5 października 2018 r. sprawy ze skargi K.K. i M.K. oraz małoletniej M.K. reprezentowanej przez przedstawicieli ustawowych K.K. i M.K. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych – oddala skargę – Generalny Inspektor Ochrony Danych Osobowych wydał w dniu [...] października 2017 r. decyzję nr [...] dot. [...] w przedmiocie odmowy uwzględnienia skargi na przetwarzanie danych osobowych K. K. i M. K. oraz ich małoletniej córki M. K. przez Państwowego Powiatowego Inspektora Sanitarnego w S., zwanego dalej PPIS, oraz Niepubliczny Zakład Opieki Zdrowotnej [...] Sp. z o.o. z siedzibą w Z. Wskazana decyzja została wydana na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t.j. Dz. U. z 2017 r., poz. 1257), oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 i art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922). Organ nadmienił, że K. K. i M. K. jako osoby sprawujące prawną pieczę nad swoją córką M. K., nie wykonali w stosunku do niej obowiązku szczepień ochronnych. Pismem z dnia [...] kwietnia 2015 r. NZOZ [...] Sp. z o.o. poinformował PPIS o niewykonaniu obowiązkowych szczepień. [...] Sp. z o.o. udostępniła na rzecz PPIS dane osobowe skarżących oraz ich małoletniej córki. PPIS pismem z dnia [...] sierpnia 2015 r. wezwał strony do dobrowolnego wykonania obowiązku zaszczepienia dziecka. NZOZ [...] Sp. z o.o. w wyjaśnieniach złożonych przed Generalnym Inspektorem wskazał jako podstawę ww. udostępnienia danych osobowych Skarżących oraz ich córki na rzecz PPIS przepisy ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, a w szczególności jej art. 24 i następne, a także rozporządzenie Ministra Zdrowia z dnia 18 sierpnia 2011 r. w sprawie obowiązkowych szczepień ochronnych. PPIS w wyjaśnieniach wskazał, że NZOZ [...] Sp. z o.o., na podstawie art. 17 ust. 8 pkt 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi, zawiadomił go w dniu [...] kwietnia 2015 r. o fakcie niewyrażenia przez strony zgody na wykonanie obowiązkowych szczepień ochronnych. W związku z powyższym PPIS podjął czynności zmierzające do ustalenia danych osobowych ojca dziecka, a następnie skierował do każdego ze skarżących wezwanie do dobrowolnego wykonania obowiązku zaszczepienia ich córki. Na skutek dalszego uchylania się przez skarżących od ww. obowiązku w dniu [...] czerwca 2016 r., na podstawie art. 15 § 1 ustawy o postępowaniu egzekucyjnym w administracji, PPIS skierował do skarżących odrębne upomnienia wzywające do stawiennictwa się każdego z rodziców wraz z dzieckiem w punkcie szczepień NZOZ [...] Sp. z o.o. w celu wykonania obowiązkowych szczepień ochronnych, w terminie 7 dni od dnia doręczenia tego upomnienia, PPIS wyjaśnił również, że wykonując swoje obowiązki, w ramach których niezbędne było przetwarzanie danych osobowych strony, realizował postanowienia zawarte w przepisach ww. ustaw o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi oraz o postępowaniu egzekucyjnym w administracji, jak również rozporządzenia Ministra Zdrowia z dnia 18 sierpnia 2011 r. w sprawie obowiązkowych szczepień ochronnych. Generalny Inspektor Ochrony Danych Osobowych w dniu [...] października 2016 r. wydał decyzję administracyjną nr [...], mocą której odmówił uwzględnienia wniosku stron. Organ wskazał, że przekazanie przez NZOZ [...] Sp. z o.o. PPIS danych osobowych oraz informacji o niepoddaniu szczepieniom ochronnym było celowe i adekwatne, ponieważ umożliwiło wykonywanie przez Państwowego Powiatowego Inspektora Sanitarnego w S. nadzoru w zakresie realizacji obowiązku szczepień ochronnych. Stanowiło także informację niezbędną dla rozpoznawania i monitorowania sytuacji epidemiologicznej oraz podejmowania działań przeciwepidemicznych i zapobiegawczych w celu unieszkodliwienia źródeł zakażenia, przecięcia dróg szerzenia się zakażeń i chorób zakaźnych oraz uodpornienia osób podatnych na zakażenie. Ponadto wskazano, że PPIS jest uprawniony do dochodzenia wykonania obowiązku szczepień na drodze postępowania egzekucyjnego w administracji oraz zobligowany do wysłania zobowiązanej osobie upomnienia, zawierającego wezwanie do wykonania obowiązku z zagrożeniem skierowania sprawy na drogę postępowania egzekucyjnego. Strony złożyły wniosek o ponowne rozpatrzenie sprawy zakończonej ww. decyzją, twierdząc, że ww. podmioty bez podstawy prawnej przekazały dane osobowe ich i ich małoletniej córki Państwowemu Powiatowemu Inspektorowi Sanitarnemu w S. Organ ten, podejmując czynności w postępowaniu egzekucyjnym, również działał bez podstawy prawnej. Generalny Inspektor Ochrony Danych Osobowych w treści decyzji z dnia [...] października 2017 r. stwierdził, że zgodnie z art. 5 ust. 1 pkt 1 ppkt b ustawy z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi (Dz. U. z 2016 r., poz. 1866 z późn. zm.), zwanej dalej u. z. z., osoby przebywające na terytorium RP są obowiązane na zasadach określonych w tej ustawie do poddawania się szczepieniom ochronnym. W przypadku osoby nieposiadającej pełnej zdolności do czynności prawnych odpowiedzialność za wypełnienie obowiązków ponosi osoba, która sprawuje prawną pieczę nad osobą małoletnią lub bezradną, albo opiekun faktyczny w rozumieniu art. 3 ust. 1 pkt 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. 2017 r., poz. 1318 ze zm.). Osoby przebywające na terytorium RP są obowiązane na zasadach określonych w tej ustawie do udzielania danych i informacji organom Państwowej Inspekcji Sanitarnej, Wojskowej Inspekcji Sanitarnej, Państwowej Inspekcji Sanitarnej Ministerstwa Spraw Wewnętrznych, Inspekcji Weterynaryjnej, Wojskowej Inspekcji Weterynaryjnej, Inspekcji Ochrony Środowiska, jednostkom, o których mowa w art. 30 ust. 1 oraz ośrodkom referencyjnym i instytutom badawczym – niezbędnych do prowadzenia nadzoru epidemiologicznego nad zakażeniami i chorobami zakaźnymi i zapobiegania oraz zwalczania zakażeń i chorób zakaźnych; właściwym państwowym inspektorom sanitarnym – niezbędnych do prowadzenia nadzoru epidemiologicznego nad niepożądanymi odczynami poszczepiennymi; organom Państwowej Inspekcji Sanitarnej – niezbędnych do sprawowania nadzoru nad realizacją obowiązków, o których mowa w art. 5 ust. 1 pkt 1-3 u.z.z. Zgodnie natomiast z art. 17 ust. 8 u.z.z. osoby przeprowadzające szczepienia ochronne prowadzą dokumentację medyczną dotyczącą obowiązkowych szczepień ochronnych, w tym przechowują karty uodpornienia oraz dokonują wpisów potwierdzających wykonanie szczepienia (pkt 1) i sporządzają sprawozdania z przeprowadzonych obowiązkowych szczepień ochronnych oraz sprawozdania ze stanu zaszczepienia osób objętych profilaktyczną opieką zdrowotną, które przekazują państwowemu powiatowemu inspektorowi sanitarnemu (pkt 2). Rozporządzenie wydane na podstawie art. 17 ust. 10 u.z.z. określa w załączniku nr 4 wzór sprawozdania z przeprowadzonych obowiązkowych szczepień ochronnych, zgodnie z którym w dziale drugim znajduje się wykaz osób uchylających się od szczepień ochronnych. W związku z tym wskazać należy, że tego rodzaju przetwarzanie danych osobowych miało oparcie w przesłance określonej w art. 23 ust. 1 pkt 2 u.o.d.o. oraz art. 27 ust. 2 pkt 2 u.o.d.o. i jest zgodne z art. 26 ust. 1 u.o.d.o. Art. 17 ust. 8 pkt 2 u.z.z. stanowi podstawę przekazania danych osobowych córki skarżących Państwowemu Powiatowemu Inspektorowi Sanitarnemu, w tym danych o jej stanie zdrowia, natomiast w rozporządzeniu określono kwestie organizacyjne i techniczne pozwalające usystematyzować obieg opisanych w nim dokumentów. Z uwagi na to, że Państwowy Powiatowy Inspektor Sanitarny na podstawie art. 5 pkt 3 w zw. z art. 10 ust. 1 pkt 3 ustawy z dnia 14 marca 1985 r. o Państwowej Inspekcji Sanitarnej. (t.j. Dz. U. z 2017 r., poz. 1261) zw. dalej: u.p.i.s., w zw. 2 art. 5 ust. 1 pkt 4 ppkt e u.z.z. sprawuje nadzór w zakresie realizacji obowiązku poddawania się szczepieniom ochronnym, uznać należy, że NZOZ [...] Sp. z o.o. wykonujący obowiązkowe szczepienia ochronne, na podstawie art. 17 ust. 8 pkt 2 u.z.z. był zobligowany do przekazania PPIS zarówno informacji z przeprowadzonych obowiązkowych szczepień ochronnych, jak i sprawozdania ze stanu zaszczepienia osób objętych profilaktyczną opieką zdrowotną, a zatem i udzielenia informacji o osobach, które ww. obowiązku nie spełniły. Wskazanie przez NZOZ [...] Sp. z o.o. PPIS danych osobowych oraz informacji o niepoddaniu się szczepieniom ochronnym było celowe i adekwatne, ponieważ umożliwiło wykonywanie przez Państwowego Powiatowego Inspektora Sanitarnego w S. nadzoru w zakresie realizacji obowiązku szczepień ochronnych oraz stanowiło jednocześnie informację niezbędną w dla rozpoznawania i monitorowania sytuacji epidemiologicznej oraz podejmowania działań przeciwepidemicznych i zapobiegawczych w celu unieszkodliwienia źródeł zakażenia, przecięcia dróg szerzenia się zakażeń i chorób zakaźnych oraz uodpornienia osób podatnych na zakażenie. W związku z tym organ wskazał, że tego rodzaju przetwarzanie danych osobowych miało oparcie w przesłankach określonych w art. 23 ust. 1 pkt 2 u.o.d.o. oraz art. 27 ust. 2 pkt 2 u.o.d.o. i jest zgodne z art. 26 ust. 1 u.o.d.o. Zdaniem organu ustawodawca, poza opisanym powyżej uprawnieniem Państwowego Powiatowego Inspektora Sanitarnego do pozyskiwania danych osobowych osób nierealizujących obowiązku szczepień, przewidział dla organów tego rodzaju możliwość przetwarzania danych w ramach wykonywania nadzoru nad realizacją ww. obowiązku. Odnosząc się zatem do wyrażonego w treści skargi żądania o spowodowanie zaprzestania przetwarzania danych osobowych Skarżących oraz ich córki przez PPIS, organ podkreślił, że przestrzeganie ustawowego obowiązku poddania się szczepieniom ochronnym przeciw chorobom zakaźnym wynikającym z art. 5 ust. 1 pkt 1 ppkt b u.z.z., jak również udzielenie informacji dotyczących jego realizacji zabezpieczone zostało przymusem administracyjnym. Zgodnie bowiem z art. 3 § 1 w zw. z art. 2 § 1 pkt 10 ustawy z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji (Dz. U. 2017 r. poz. 1201 z późn. zm.), zw. dalej u.p.e.a., egzekucję administracyjną stosuje się do obowiązków o charakterze niepieniężnym pozostających we właściwości organów administracji rządowej i samorządu terytorialnego lub przekazanych do egzekucji administracyjnej na podstawie szczególnego przepisu. W rozumieniu art. 1a pkt 13 u.p.e.a. wierzycielem jest podmiot uprawniony do żądania wykonania obowiązku lub jego zabezpieczenia w administracyjnym postępowaniu egzekucyjnym lub zabezpieczającym. Zgodnie z art. 5 § 1 pkt 2 u.p.e.a. uprawnionym do żądania wykonania w drodze egzekucji administracyjnej obowiązku określonego w art. 2 § 1 pkt 10 u.p.e.a. jest organ lub instytucja bezpośrednio zainteresowana w wykonaniu przez zobowiązanego obowiązku albo powołana do czuwania nad wykonaniem obowiązku. Z uwagi na to, że zgodnie z art. 5 ust. 1 pkt 4 ppkt c u z.z. Państwowy Powiatowy Inspektor Sanitarny sprawuje nadzór nad wykonywaniem obowiązku szczepień oraz określa ich zakres i termin (art. 5 pkt 3 u.p.i.s.) należy uznać, że organ ten jest uprawniony do dochodzenia wykonania obowiązku szczepień na drodze postępowania egzekucyjnego w administracji. Generalny Inspektor zwrócił też uwagę, że art. 15 § 1 u.p.e.a. obliguje wierzyciela do wysłania zobowiązanej osobie upomnienia, zawierającego wezwanie do wykonania obowiązku z zagrożeniem skierowania sprawy na drogę postępowania egzekucyjnego, co Państwowy Powiatowy Inspektor Sanitarny w S. uczynił, kierując do skarżących stosowne wezwania do wykonania obowiązku szczepień w stosunku do ich córki. Przetwarzanie danych osobowych dotyczących stanu zdrowia dziecka przez ww. podmiot, w zakresie niewykonania obowiązkowego szczepienia ochronnego, ma oparcie w przesłance określonej w art. 27 ust. 2 pkt 2 u.o.d.o. natomiast w przypadku danych osobowych rodziców, w przesłance wskazanej w art. 23 ust. 1 pkt 2 u.o.d.o. Państwowy Powiatowy Inspektor Sanitarny w S., zgodnie z art. 15 § 1 u.p.e.a. w zw. z art. 5 ust. 2 u.z.z. był zobowiązany wezwać strony do wykonania ciążącego na nich obowiązku. Na powyżej opisaną decyzję skargę wnieśli K. i M. K. działający w imieniu własnym oraz w imieniu swej małoletniej córki M. K. Skarżący podnieśli następujące zarzuty: 1. obrazy prawa materialnego poprzez jego błędną wykładnię i niewłaściwe zastosowanie art. 27 ust. 2 pkt 2 i art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, art. 5 oraz 17 ust. 8 i 10 ustawy z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi, rozporządzenia Ministra Zdrowia z dnia 18 sierpnia 2011 r. w sprawie obowiązkowych szczepień ochronnych, art. 1a pkt 13, art. 2 § 1 pkt 10, art. 3 § 1, art. 5 § 1 i art. 15 § 1 ustawy z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji oraz art. 5 pkt 3 w zw. z art. 10 ust. 1 pkt 3 ustawy z dnia 14 marca 1985 r. o Państwowej Inspekcji Sanitarnej w zakresie, w jakim organ uznał za zasadne przetwarzanie danych osobowych skarżących przez Niepubliczny Zakład Opieki Zdrowotnej [...] Sp. z o.o. z siedzibą w Z. (Filia w S.) oraz przez Państwowego Powiatowego Inspektora Sanitarnego w S.; 2. rażącego naruszenia przepisów postępowania, które miało istotny wpływ na wynik sprawy w postaci: a. art. 75 i następne ustawy Kodeks postępowania administracyjnego oraz art. 33 ustawy o ochronie danych osobowych, poprzez zignorowanie wniosków dowodowych, o których mowa w pkt 7, 9 i 10 uzasadnienia niniejszej skargi, przez co nie zebrano w sposób wyczerpujący materiału dowodowego i nie ustalono wszystkich okoliczności faktycznych, na których powinno być oparte rozstrzygnięcie, b. art. 35-37 Kodeksu postępowania administracyjnego. Wskazując na powyższe zarzuty skarżący wnieśli o: ‒ uchylenie w całości zaskarżonej decyzji oraz decyzji, którą utrzymuje ona w mocy, z powodu wskazanych naruszeń, mających istotny wpływ na wynik postępowania, ‒ zobowiązanie organu w terminie 30 dni od uprawomocnienia się wyroku do wydania decyzji nakazującej Państwowemu Powiatowemu Inspektorowi Sanitarnemu w S. zaprzestanie przetwarzania i usunięcie danych osobowych skarżących oraz do przeprowadzenia tam kontroli przestrzegania przepisów o ochronie danych osobowych, ‒ zasądzenie na ich rzecz zwrotu kosztów postępowania według norm przepisanych. W uzasadnieniu skargi skarżący między innymi podnieśli, iż złożyli do organu w dniu [...] września 2017 r. wniosek o włączenie do akt sprawy dwóch pism stanowiących korespondencję pomiędzy Głównym Inspektorem Sanitarnym a GIODO z października 2016 r., opublikowanych na stronie internetowej organu (pkt 9 skargi). Ponadto skarżący wskazali w pkt 10 skargi, iż organ nie odniósł się do ponaglenia, zawartego w piśmie z dnia [...] września 2017 r., opisanym w pkt 9) uzasadnienia niniejszej skargi, a pomimo ponaglenia wydał decyzję z rażącym przekroczeniem terminów określonych w art. 35-37 Kodeksu postępowania administracyjnego. Zdaniem skarżących organ nie odniósł się do faktu, ze Niepubliczny Zakład Opieki Zdrowotnej [...] przekazał dane osobowe skarżących Państwowemu Powiatowemu Inspektorowi Sanitarnemu, nie zachowując należytej staranności przy sporządzaniu dokumentów przewidzianych w art. 17 ust. 8 i 10 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi, podczas gdy dnia [...] marca 2015 r. otrzymał od skarżącej K. K. pisemne zapytanie o podstawę prawną przekazywania danych osobowych dzieci niezaszczepionych ośrodkom pomocy społecznej i sądom rodzinnym oraz o ich przetwarzanie na potrzeby wysyłania pisemnych wezwań do rodziców. Odpowiadając na zapytanie skarżącej, NZOZ [...] przytoczył w swym piśmie przepisy, których bezprawne zastosowanie miałoby rzekomo usprawiedliwiać ingerencję we władzę rodzicielską oraz przymuszanie do szczepień. Przepisy przytoczone w odpowiedzi NZOZ [...] to: art. 5 ust. 1 pkt 1 lit. b ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi, rozporządzenie Ministra Zdrowia w sprawie obowiązkowych szczepień ochronnych, rozporządzenie Ministra Zdrowia z dnia 20 października 2005 r. w sprawie zakresu zadań lekarza, pielęgniarki i położnej podstawowej opieki zdrowotnej, art. 15 i następne ustawy z dnia 12 marca 2004 r. o pomocy społecznej, art. 572 Kodeksu postępowania cywilnego, art. 109 Kodeksu rodzinnego i opiekuńczego, art. 18 ust. 1 i 3 w zw. z art. 17 ust. 4 ustawy o prawach pacjenta oraz § 8 pkt 3 rozporządzenia Ministra Zdrowia z dnia 21 grudnia 2010 r. w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania. Skarżący zwrócili także uwagę, iż organ nie odniósł się do wniosku, jaki skarżąca K. K. złożyła do Państwowego Powiatowego Inspektora Sanitarnego w S. dnia [...] maja 2015 r. w trybie art. 33 ustawy o ochronie danych osobowych, pomimo że brak odpowiedzi na ten wniosek skutkuje odpowiedzialnością karną na podstawie art. 54 tejże ustawy, a skarżący poinformowali organ o tym wniosku w swojej skardze (pkt 7 skargi). W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując argumentację zawartą w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2018 r., poz.1302), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonego aktu administracyjnego i to z przepisami obowiązującymi w dacie jego wydania. W świetle powyżej określonych kryteriów skarga podlega oddaleniu, gdyż zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych odpowiada prawu. Na wstępie zaznaczyć należy, iż zadaniem ustawy o ochronie danych osobowych nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest bezwzględny zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. Przepis art. 1 ust. 2 ww. ustawy stanowi, że przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. Zgodnie natomiast z treścią art. 7 pkt 2 ww. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Przetwarzanie danych osobowych w powyższym rozumieniu może być uznane za zgodne z prawem wówczas, gdy administrator danych wykaże spełnienie co najmniej jednej z materialnych przesłanek przetwarzania danych. Przesłanki te odnośnie zwykłych danych osobowych określone zostały w art. 23 ust. 1, a odnośnie tzw. wrażliwych danych osobowych w art. 27 ust. 2 powołanej ustawy o ochronie danych osobowych. Zadaniem GIODO jest zatem dokonanie każdorazowo oceny, czy u podstaw badanego procesu przetwarzania danych osobowych leżała przesłanka legalizująca ten proces. W niniejszej sprawie powodem odmowy uwzględnienia wniosku skarżących skierowanego do GIODO w sprawie niezgodnego z prawem przetwarzania ich danych osobowych oraz ich małoletniej córki przez Państwowego Powiatowego Inspektora Sanitarnego w S. z siedzibą w S. oraz Niepubliczny Zakład Opieki Zdrowotnej [...] Sp. z o.o. z siedzibą w Z. było stwierdzenie przez organ, że w sprawie wystąpiły przesłanki legalizujące przetwarzanie danych osobowych, wymienione w art. 23 ust. 1 pkt 2 u.o.d.o. wobec skarżących, zaś w stosunku do ich córki w art. 27 ust. 2 pkt 2 ww. ustawy. Przepis art. 23 ust. 1 pkt 2 u.o.d.o. stanowi, że przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Natomiast w myśl art. 27 ust.1 i ust. 2 pkt 2 u.o.d.o. zabrania się przetwarzanie danych (...) o stanie zdrowia, jednakże przetwarzanie tych danych jest dopuszczalne, jeżeli przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony. W sprawie niniejszej jest okolicznością niesporną, że skarżący jako osoby sprawujące prawną pieczę nad małoletnią córką, nie wykonali w stosunku do niej obowiązku szczepień ochronnych. Pismem z dnia [...] kwietnia 2015 r. NZOZ [...] Sp. z o.o., poinformował PPIS o niewykonaniu obowiązkowych szczepień ochronnych u małoletniej M. K. W piśmie tym NZOZ [...] Sp. z o.o., zwany dalej "Przychodnią", udostępnił na rzecz PPIS dane osobowe skarżącej oraz jej małoletniej córki. Następnie PPIS pismem z dnia [...] sierpnia 2015 r. wezwał skarżącą do dobrowolnego wykonania obowiązku zaszczepienia dziecka – małoletniej M. K. NZOZ [...] Sp. z o.o. w wyjaśnieniach złożonych przed Generalnym Inspektorem wskazał jako podstawę ww. udostępnienia danych osobowych skarżących oraz ich córki na rzecz PPIS przepisy ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, w szczególności jej art. 24 i następne, a także rozporządzenie Ministra Zdrowia z dnia 18 sierpnia 2011 r. w sprawie obowiązkowych szczepień ochronnych. zn (D na da w w w OS i st PPIS w wyjaśnieniach wskazał, że NZOZ [...] Sp. z o.o., na podstawie art. 17 ust. 8 pkt 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi zawiadomił go w dniu [...] kwietnia 2015 r. o fakcie niewyrażenia przez skarżącą zgody na wykonanie obowiązkowych szczepień ochronnych u jej córki. W związku z powyższym PPIS podjął czynności zmierzające do ustalenia danych osobowych ojca dziecka, a następnie skierował do każdego ze skarżących wezwanie do dobrowolnego wykonania obowiązku zaszczepienia ich córki. Na skutek dalszego uchylania się przez skarżących od ww. obowiązku w dniu [...] czerwca 2016 r., na podstawie art. 15 § 1 ustawy z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji, PPIS skierował do skarżących odrębne upomnienia wzywające do stawiennictwa się każdego z rodziców wraz z dzieckiem w punkcie szczepień NZOZ [...] Sp. z o.o. w celu wykonania obowiązkowych szczepień ochronnych, w terminie 7 dni od dnia doręczenia tego upomnienia. W ocenie Sądu w świetle ustaleń, poczynionych w toku postępowania wyjaśniającego, GIODO nie miał podstaw do kwestionowania legalności przetwarzania przez PPIS i Przychodnię danych osobowych skarżących i ich małoletniej córki w oparciu o przepisy art. 5 ust. 1 pkt 1 ppkt b w zw. z pkt 4 ppkt c oraz ust. 2 w zw. z art. 17 ust. 1 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi. Zgodnie ze wskazanymi normami osoby przebywające na terytoriom Rzeczypospolitej Polskiej są obowiązane na zasadach określonych w ustawie do poddania się szczepieniom ochronnym (art. 5 ust. 1 pkt 1 ppkt b), udzielania danych i informacji organom Państwowej Inspekcji Sanitarnej niezbędnych do sprawowania nadzoru nad realizacją obowiązków, o których mowa w pkt 1 - 3 (pkt 4 ppkt c), w przypadku osoby nieposiadającej pełnej zdolności do czynności prawnych odpowiedzialność za wypełnienie obowiązków, o których mowa w ust. 1, ponosi osoba, która sprawuje prawną pieczę nad osobą małoletnią lub bezradną albo opiekun faktyczny w rozumieniu art. 3 ust. 1 pkt 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2016 r. poz. 186 ze zm.) (ust. 2). Oznacza to, że obowiązek poddania się obowiązkowym szczepieniom ochronnym wynika z mocy ustawy, nie ma zatem podstawy prawnej do konkretyzacji w innej formie. Potwierdza to również art. 17 ust. 1 powołanej ustawy, który stanowi, że osoby określone na podstawie ust. 10 pkt 2, są obowiązane do poddania się szczepieniom ochronnym przeciw chorobom zakaźnym określonym na podstawie art. 10 ust. 1, zwanym dalej "obowiązkowymi szczepieniami ochronnymi" (art. 17 ust. 1). Wykonanie tego obowiązku z mocy prawa zabezpieczone jest przymusem administracyjnym. Według art. 36 ust. 1 powołanej ustawy wobec osoby, która nie poddaje się obowiązkowi szczepienia, może być zastosowany środek przymusu bezpośredniego polegający na przytrzymywaniu, unieruchomieniu lub przymusowym podaniu leków. Zgodnie zaś z art. 3 § 1 w zw. z art. 2 § 1 pkt 10 ustawy o postępowaniu egzekucyjnym w administracji egzekucję administracyjną stosuje się do obowiązków o charakterze niepieniężnym pozostających we właściwości organów administracji rządowej i samorządu terytorialnego lub przekazanych do egzekucji administracyjnej na podstawie szczególnego przepisu. Nadto na podstawie art. 17 ust. 8 pkt 1 i 2 ustawy o zapobieganiu oraz zwalczaniu zakażeń oraz chorób zakaźnych u ludzi osoby przeprowadzające szczepienia ochronne prowadzą dokumentację medyczną, w tym przechowują karty uodpornienia oraz dokonują wpisów potwierdzających wykonanie szczepienia (pkt 1), sporządzają sprawozdania ze stanu zaszczepienia osób objętych profilaktyczną opieką zdrowotną, które przekazują państwowemu powiatowemu inspektorowi sanitarnemu (pkt 2). Natomiast rozporządzenie Ministra Zdrowia z dnia 18 sierpnia 2011 r. w sprawie obowiązkowych szczepień ochronnych w załączniku nr 4 określiło wzór sprawozdania z przeprowadzonych obowiązkowych szczepień ochronnych, do którego dołącza się wykaz osób uchylających się od tych szczepień. Trafnie zatem GIODO uznało, że art. 17 ust. 8 pkt 2 u.z.z. w zw. z art. 27 ust. 2 pkt 2 u.o.d.o. stanowi podstawę do przekazania danych osobowych małoletniej córki skarżących, w tym danych o jej stanie zdrowia. Przychodnia na podstawie wskazanych przepisów była zobowiązana do przekazania danych małoletniej córki skarżących z uwagi na niepoddanie jej szczepieniom ochronnym PPIS, bowiem organ ten sprawuje nadzór w zakresie realizacji tego obowiązku. Tym samym przekazanie przez Przychodnię do PPIS danych osobowych skarżących i ich córki oraz informacji o niepoddaniu jej szczepieniom ochronnym było celowe i adekwatne. Działanie to wyczerpywało przesłankę określoną w art. 23 ust. 1 pkt 2 u.o.d.o. (skarżący) i art. 27 ust. 2 pkt 2 u.o.d.o. (małoletni) oraz było zgodnie z art. 26 ust. 1 u.o.d.o. Odnosząc się do zarzutów skargi, Sąd stwierdza, że są one nieuprawnione, bowiem organ nie naruszył określonych w skardze przepisów, jak wynika z powyższych wywodów. Tym samym skoro zaskarżona decyzja odpowiada prawu, to nie było potrzeby usunięcia jej z obrotu prawnego. Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 i art. 132 P.p.s.a., oddalił skargę.