II SA/Wa 599/18

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska (spr.), Sędziowie WSA Iwona Maciejuk, Maria Werpachowska, Protokolant starszy specjalista Bogumiła Kobierska, po rozpoznaniu na rozprawie w dniu 23 listopada 2018 r. sprawy ze skargi W. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2018 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę. Generalny Inspektor Ochrony Danych Osobowych działając na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r., poz. 1257 oraz z 2018 r. poz. 149) w związku z art. 12 pkt 2, art. 22 i art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 oraz z 2018 r. poz. 138), zwanej dalej "u.o.d.o.", w dniu [...] marca 2018 r. wydał decyzję nr [...], mocą której utrzymał w mocy własną decyzję z dnia [...] grudnia 2017 r. umarzającą postępowanie w zakresie nieprawidłowości w procesie przetwarzania danych W. P. dotyczących imienia, nazwiska, NIP, miejsca i rodzaju prowadzonej działalności leczniczej w Rejestrze Podmiotów Wykonujących Działalność Leczniczą i odmawiająca uwzględnienia wniosku w pozostałym zakresie. Organ nadmienił, że skarżący prowadzi prywatną praktykę lekarską i został wpisany do Rejestru Podmiotów Wykonujących Działalność Leczniczą. Wpis obejmuje numer dokumentu poświadczającego posiadanie prawa wykonywania zawodu, oznaczenie rodzaju praktyki, adres miejsca udzielania świadczeń zdrowotnych lub miejsca przyjmowania wezwań i przechowywania dokumentacji medycznej, rodzaj działalności leczniczej oraz zakres udzielanych świadczeń zdrowotnych, datę wpisu do rejestru. Skarżący prowadzi działalność gospodarczą pod oznaczeniem "[...]" w W. przy ul. [...]. Właściwym organem rejestrowym jest Okręgowa Rada Lekarska utworzona przy Okręgowej Izbie Lekarskiej w W.; Ponadto organ stwierdził, iż Centrum Systemów Informatycznych Ochrony Zdrowia, dalej zwane "CSIOZ" jest państwową jednostką budżetową utworzoną na podstawie zarządzenia Ministra Zdrowia z 1 lipca 2010 r. w sprawie Centrum Systemów Informacyjnych Ochrony Zdrowia, zapewniającą funkcjonowanie systemu teleinformatycznego Rejestru Podmiotów Wykonujących Działalność Leczniczą, zwanym dalej "RPWDL". Rejestr Podmiotów Wykonujących Działalność Leczniczą jest dostępny na stronie internetowej o adresie URL: http://rpwdI.csioz.gov.pl/. Po przeprowadzeniu postępowania administracyjnego Generalny Inspektor Ochrony Danych Osobowych wydał decyzję administracyjną z dnia [...] grudnia 2017 r. znak: [...], mocą której umorzył postępowanie w zakresie nieprawidłowości w procesie przetwarzania danych w zakresie imienia, nazwiska, NIP, miejsca i rodzaju prowadzonej działalności leczniczej w Rejestrze Podmiotów Wykonujących Działalność Leczniczą oraz odmawiającą w pozostałym zakresie uwzględnienia wniosku. W. P. złożył wniosek o ponowne rozpatrzenie sprawy, w którym nadmienił, iż zbiory danych osobowych zostały udostępnione podmiotom niepublicznym przez Rejestr Podmiotów Wykonujących Działalność Lecznicą. Podkreślił, że zakres dostępu do informacji o danych osobowych przez Rejestr Podmiotów Wykonujących Działalność Lecznicą jest niezgodny z ustawą o dostępie do informacji publicznej. W treści uzasadnienia decyzji z dnia [...] marca 2018 r. GIODO nadmienił, że ustawodawca na gruncie ustawy o działalności leczniczej oraz o systemach informacyjnych w ochronie zdrowia zdecydował się wyróżnić pojęcie administratora danych osobowych od administratora sytemu informatycznego. Zgodnie z art. 106 ust. 2 ustawy o działalności leczniczej rejestr prowadzi się w systemie teleinformatycznym. Podmiotem odpowiedzialnym za funkcjonowanie systemu teleinformatycznego rejestru jest jednostka podległa ministrowi właściwemu do spraw zdrowia właściwa w zakresie systemów informacyjnych w ochronie zdrowia. Sposób prowadzenia rejestru i funkcjonowania systemu teleinformatycznego określają przepisy o systemie informacji w ochronie zdrowia. Zdaniem organu z zebranego materiału dowodowego wynika, że CSIOZ jest jedynie administratorem systemu informatycznego, który zapewnia jego techniczną i organizacyjną obsługę. Podmiotem odpowiedzialnym za wprowadzenie danych osobowych osób fizycznych będących podmiotami leczniczymi oraz za ich merytoryczną poprawność jest organ rejestrowy, prowadzący rejestr w systemie teleinformatycznym. Administratorem danych osobowych strony jest Okręgowa Rada Lekarska w W. jako organ rejestrowy w rozumieniu art. 106 ust. 1 pkt 2 u.d.l. Zgodnie z art. 31 ust. 1 u.o.d.o administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Nie wymaga jednakże zawarcia umowy między administratorem a podmiotem, o którym mowa w ust. 1, powierzenie przetwarzania danych, w tym przekazywanie danych, jeżeli ma miejsce między organami państwowymi, organami samorządu terytorialnego oraz państwowymi i komunalnymi jednostkami organizacyjnymi. Z art. 3 ust. 1-3 ustawy z 2 grudnia 2009 r. o izbach lekarskich (Dz. U. 2018 r., poz. 168), zwanej dalej "u.i.l", wynika, że jednostkami organizacyjnymi samorządu zawodowego lekarzy i lekarzy dentystów są okręgowe izby lekarskie, które posiadają osobowość prawną. Obszar działania poszczególnych okręgowych izb lekarskich, ich liczbę i siedziby ustala Naczelna Rada Lekarska na wniosek okręgowych zjazdów lekarzy, uwzględniając zasadniczy podział terytorialny państwa. Ponadto są one współfinansowane z budżetu państwa zgodnie z art. 115 ust. 1 u.i.l. oraz mają wskazane wprost w ustawie zadania, które mają realizować (art. 5 u.i.l.). Jednym z zadań samorządu lekarskiego zgodnie z art. 5 pkt 11 u.i.l. jest prowadzenie rejestru podmiotów wykonujących działalność leczniczą w zakresie praktyk lekarskich, na zasadach określonych w przepisach o działalności leczniczej. W ocenie Generalnego Inspektora Ochrony Danych Osobowych, Okręgowa Izba Lekarska w W., w ramach której funkcjonuje Okręgowa Rada Lekarska w W. będąca organem izby, mieści się w pojęciu państwowej jednostki organizacyjną w rozumieniu art. 3 ust. 1 u.o.d.o. w zakresie prowadzenia rejestru podmiotów wykonujących działalność leczniczą. CSIOZ jest państwową jednostką budżetową, wykonującą zadania określone w ustawie o systemie informacji w ochronie zdrowia oraz w ustawie o działalności leczniczej. Ponadto CSIOZ jest także jednostką powołaną przez Ministra Zdrowia, o której mowa w art. 106 ustawy o działalności leczniczej. W ocenie Generalnego Inspektora, CSIOZ jest zatem państwową jednostką organizacyjną w rozumieniu art. 3 ust. 1 u.o.d.o. Okręgowa Rada Lekarska w W., jako organ prowadzący rejestr w rozumieniu art. 3 ust. 3 pkt 1 ustawy o systemach informatycznych w ochronie zdrowia w związku z art. 106 ust. 4 ustawy o działalności leczniczej, jest administratorem danych osobowych strony w rozumieniu art. 7 pkt 4 u.o.d.o., jako podmiot decydujący o celach i środkach przetwarzania jego danych osobowych. CSIOZ jest podmiotem, któremu powierzono przetwarzanie danych osobowych w rozumieniu art. 31 ust., 1 i 2a w zw. z art. 3 ust. 1 u.o.d.o.. w zakresie zapewnienia systemu informatycznego, w którym przetwarzane są dane osobowe i obsługi technicznej tego systemu. Generalny Inspektor Ochrony Danych Osobowych stwierdził, że nie może dokonać oceny legalności procesu przetwarzania przedmiotowych danych osobowych. Zgodnie z art. 39b ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej (Dz. U. z 2017 r., poz. 1369 ze zm.), do jawnych danych i informacji udostępnianych przez CEIDG nie stosuje się przepisów u.o.d.o. Ustawa o swobodzie działalności gospodarczej w art. 38 wprowadza zasadę jawności formalnej Centralnej Ewidencji i Informacji o Działalności Gospodarczej. Zgodnie z art. 38 ust. 1 ustawy o swobodzie działalności gospodarczej, dane i informacje udostępniane przez CEIDG są jawne. Każdy ma prawo dostępu do danych i informacji udostępnianych przez CEIDG. Zgodnie z ust. 2 tego przepisu, dane i informacje wskazane w art. 37, są udostępniane na stronie internetowej CEIDG. Zgodnie z art. 37 ust. 1 ustawy o swobodzie działalności gospodarczej, CEIDG udostępnia zawarte w niej dane i informacje określone w art. 25 ust. 1, z wyjątkiem numeru PESEL, daty urodzenia oraz adresu zamieszkania, o ile nie jest on taki sam jak miejsce wykonywania działalności gospodarczej. Stosownie do art. 25 ust. 1 ustawy o swobodzie działalności gospodarczej, wpisowi do CEIDG podlegają w szczególności firma przedsiębiorcy oraz jego numer PESEL, o ile taki posiada, oznaczenie miejsca zamieszkania i adresu zamieszkania przedsiębiorcy, adres do doręczeń przedsiębiorcy oraz adresy, pod którymi jest wykonywana działalność gospodarcza. Zgodnie natomiast z art. 434 zdanie pierwsze ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. 2017 r. poz. 459 ze zm.) firmą osoby fizycznej jest jej imię i nazwisko. Generalny Inspektor Ochrony Danych Osobowych stwierdził, iż nie posiada uprawnień do rozpatrywania spraw związanych z przetwarzaniem jawnych danych w tym danych osobowych, które znajdują się w rejestrze CEIDG w takim zakresie, w jakim dane te dotyczą wykonywanej działalności gospodarczej. Organ nie może dokonać oceny prawidłowości przetwarzania danych osobowych skarżącego w zakresie jego imienia, nazwiska, numeru NIP, adresu prowadzonej działalności gospodarczej oraz rodzaju prowadzonej działalności w Rejestrze Podmiotów Wykonujących Działalność Leczniczą. GIODO wyjaśnił, iż umorzył postępowanie w ww. zakresie, gdyż zgodnie z art. 105 § 1 k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części. Zasadnym jest umorzenie postępowania w części dotyczącej przetwarzania danych osobowych w zakresie imienia, nazwiska, NIP, adresu prowadzonej działalności gospodarczej oraz rodzaju prowadzonej działalności. W przypadku praktyki zawodowej (zgodnie z art. 106 ust. 4 u.d.l.) do rejestru wpisuje się numer księgi rejestrowej oraz imię i nazwisko lekarza, Numer Identyfikacji Podatkowej, adres do korespondencji, posiadane specjalizacje, numer dokumentu poświadczającego posiadanie prawa wykonywania zawodu, oznaczenie rodzaju praktyki, adres miejsca udzielania świadczeń zdrowotnych lub miejsca przyjmowania wezwań i przechowywania dokumentacji medycznej, rodzaj działalności leczniczej oraz zakres udzielanych świadczeń zdrowotnych, datę wpisu do rejestru. Oznacza to, że dane osobowe strony, o czym świadczy również wydruk jego księgi rejestrowej, są przetwarzane w Rejestrze Podmiotów Wykonujących Działalność Leczniczą w zakresie szerszym niż widniejący w CEIDG, a zatem w zakresie tych danych osobowych, organ jest uprawniony do dokonania oceny legalności ich przetwarzania. Okręgowa Rada Lekarska w W. utworzona przy Okręgowej Izbie Lekarskiej w W. ma obowiązek prowadzić rejestr podmiotów wykonujących działalność leczniczą w systemie teleinformatycznym zapewnianym przez CSIOZ. Organ stwierdził, że przetwarzanie danych osobowych skarżącego w jawnym Rejestrze Podmiotów Wykonujących Działalność Leczniczą, który jest dostępny pod adresem http://rpwdl.csioz.gov.pl/, ma oparcie w przesłance określonej w art. 23 ust. 1 pkt 2 u.o.d.o. Brak jest zatem podstaw do sformułowania nakazu przywrócenia stanu zgodnego z prawem na podstawie art. 18 ust. 1 u.o.d.o, w stosunku do Okręgowej Rady Lekarskiej w W. Po dokonaniu ponownej analizy materiału dowodowego zebranego w sprawie, w tym ustalonym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych podtrzymał stanowisko wyrażone w decyzji z [...] grudnia 2017 r. znak: [...]. W. P. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargą na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2018 r. nr [...]. Skarżący zarzucił organowi naruszenie: ‒ art. 7, art. 77, art. 104 i art. 105 ustawy - Kodeks postępowania administracyjnego, ‒ art. 106 ust. 1a ustawy o działalności leczniczej poprzez zastosowanie jego błędnej wykładni, ‒ art. 52 ust.1, 2 i 4 ustawy o izbach lekarskich przez błędną wykładnię, ‒ pominięcie art. 1 ust. 2 ustawy o dostępie do informacji publicznej, ‒ pominięcie art. 1, art. 12 ust. 2, art. 37 ustawy o systemie informacji w ochronie zdrowia, ‒ pominięcie art. 15 ust 1 ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne. Skarżący wniósł o uchylenie w całości zaskarżonej decyzji oraz decyzji jej poprzedzającej, a także o zasądzenie od organu kosztów postępowania. Skarżący nadmienił, że CISOZ poprzez RPWDL przekazuje jego dane osobowe w zbiorze spółkom prawa handlowego w celach gospodarczych, do czego nie jest uprawniony. Nieuprawnione jest pozbawienia skarżącego interesu prawnego, ponieważ tylko przekazanie danych osobowych w zbiorze umożliwia spółkom prawa handlowego działalność gospodarczą prowadzoną na danych osobowych. Przekazywanie danych osobowych pojedynczo nie jest użyteczne gospodarczo. Rozpatrywanie przetwarzania danych osobowych pojedynczo, z pominięciem udostępniania danych w zbiorze danych osobowych lekarzy, byłoby zmianą stanu faktycznego i interesu prawnego skarżącego, do czego CiSOZ i GIODO nie są uprawnione. Skarżący stwierdził również, że Centrum Systemów Informacyjnych Ochrony Zdrowia poprzez Rejestr Podmiotów Wykonujących Działalność Leczniczą udostępnia jego dane osobowe w zakresie niezgodnym z ustawą o dostępie do informacji publicznej. Rejestr Podmiotów Wykonujących Działalność Leczniczą przekazuje jego dane osobowe w zbiorze danych osobowych lekarzy w sposób nieograniczony podmiotom niepublicznym. Skarżący podkreślił, że jest jedynym właścicielem własnych danych osobowych. Organy państwa oraz organy samorządowe przetwarzają jego dane osobowe w oparciu o art. 23 ust. 1 punkt 2 ustawy o ochronie danych osobowych. Okręgowa Izba Lekarska przetwarza jego dane osobowe na podstawie ustawy o izbach lekarskich. Zdaniem skarżącego doszło do kolizji aktów prawnych między ustawą o izbach lekarskich a ustawą o działalności leczniczej, w zakresie jawności miejsca udzielania świadczeń. W ustawę o izbach lekarskich (art. 52 ust. 4) jest implementowana ustawa o dostępie do informacji publicznej, zatem spełnia ona kryteria ustawy szczególnej, a tam gdzie ustaw nie da się pogodzić ma ona pierwszeństwo. Jawność miejsca zatrudnienia lekarza w RPWDL wg ustawy o działalności leczniczej narusza dwie ustawy: ustawę o izbach lekarskich i ustawę o dostępie do informacji publicznej. Znaczenie tej jednej różnicy wzrasta w sytuacji niezgodnego z prawem udostępniania przez RPWDL danych osobowych w zbiorze danych osobowych lekarzy podmiotom niepublicznym na całym świecie, co umożliwia przetwarzanie danych w zbiorze danych osobowych lekarzy w celach gospodarczych, nawet poza zakresem oddziaływania prawa polskiego. W rejestrze CEIDG nie ma miejsca wykonywania pracy, co uniemożliwia spółkom przetwarzanie danych osobowych w celach gospodarczych. W przypadku skarżącego spółki prawa handlowego nie pozyskują informacji o miejscu wykonywania działalności leczniczej z CEIDG. Dane te nie pochodzą również z Okręgowej Izby lekarskiej. Dane osobowe lekarzy są przetwarzane w celach gospodarczych przez spółki prawa handlowego mimo braku wpisu w CEIDG. W treści odpowiedzi na skargę organ wniósł o jej oddalenie oraz podtrzymał twierdzenia zawarte w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2017 r., poz. 2188 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjna, postanowienie, czy też innych akt lub czynność z zakresu administracji z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z obowiązującymi przepisami prawa, nie zaś według kryteriów słuszności. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi – tekst jednolity Dz. U. z 2018 r., poz. 1302 – dalej także "P.p.s.a."). Stosownie do treści art. 7 pkt 2 ustawy o ochronie danych osobowych, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei w przepisie art. 23 ust. 1 ustawy o ochronie danych osobowych zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: (1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba, że chodzi o usunięcie dotyczących jej danych, (2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, (3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, (4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, (5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Wskazany powyżej przepis ustawy o ochronie danych osobowych określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, System Informacji Prawnej LEX, 2015 r.). Nie ulega wątpliwości, że każda z wymienionych w przepisie art. 23 ust. 1 u.o.d.o. podstaw stanowi odrębną przesłankę dopuszczalności przetwarzania danych osobowych i na gruncie określonego stanu faktycznego musi bezwzględnie uzasadniać przetwarzanie. W niniejszej sprawie organ trafnie, w ocenie Sądu, przyjął, że Okręgowa Rada Lekarska w W. jest administratorem danych osobowych Skarżącego – jako organ rejestrowy w rozumieniu art. 106 ust. 1 pkt 2 ustawy o działalności leczniczej. Okręgowa Rada Lekarska w W. ma bowiem obowiązek prowadzić rejestr podmiotów wykonujących działalność leczniczą w systemie teleinformatycznym zapewnianym przez Centrum Systemów Informacyjnych Ochrony Zdrowia, dalej "CSIOZ". CSIOZ jest natomiast państwową jednostką budżetową utworzoną na podstawie Zarządzenia Ministra Zdrowia z dnia 31 lipca 2000 r. zmieniającego zarządzenie w sprawie Centrum Organizacji i Ekonomiki Ochrony Zdrowia (Dz. Urz. MZ Nr 1, poz. 25). CSIOZ zapewnia funkcjonowanie systemu teleinformatycznego Rejestru Podmiotów Wykonujących Działalność Leczniczą, zgodnie z art. 106 ust. 2 ustawy o działalności leczniczej, jak wynika z § 2 pkt 6 statutu CSIOZ nadanego Zarządzeniem Ministra Zdrowia z dnia 1 lipca 2010 r. w sprawie Centrum Systemów Informacyjnych Ochrony Zdrowia (Dz. Urz. MZ Nr 9, poz. 56 ze zm.). W myśl art. 106 ust. 4 ustawy o działalności leczniczej w przypadku praktyki zawodowej do rejestru wpisuje się numer księgi rejestrowej oraz dane dotyczące: 1) oznaczenia lekarza lub pielęgniarki: a) imię i nazwisko, b) imiona i nazwiska wspólników spółki – w przypadku spółki cywilnej, spółki jawnej albo spółki partnerskiej lekarzy albo pielęgniarek lub położnych, c) Numer Identyfikacji Podatkowej (NIP), d) adres do korespondencji, e) posiadane specjalizacje, f) numer dokumentu poświadczającego posiadanie prawa wykonywania zawodu; g) (uchylona) 2) oznaczenie rodzaju praktyki; 3) adres miejsca udzielania świadczeń zdrowotnych lub miejsca przyjmowania wezwań i przechowywania dokumentacji medycznej; 4) rodzaj działalności leczniczej oraz zakres udzielanych świadczeń zdrowotnych; 5) datę wpisu do rejestru; 6) (uchylony) 7) datę zmiany wpisu do rejestru; 8) datę i numer decyzji o wykreśleniu z rejestru; 8a) miejsca przechowywania dokumentacji medycznej w przypadku zakończenia działalności leczniczej przez lekarza lub pielęgniarkę; 9) dane dotyczące akredytacji lub certyfikacji; 10) daty i wyniki przeprowadzonych kontroli, o których mowa w art. 111. Zgodnie z art. 106 ust. 1a - 2 ustawy o działalności leczniczej Rejestr Podmiotów Wykonujących Działalność Leczniczą jest jawny. Przetwarzanie zatem danych osobowych w jawnym Rejestrze, który jest dostępny pod adresem http://rpwdl.csioz.gov.pl, ma oparcie, jak słusznie przyjął organ, w przesłance określonej w art. 23 ust. 1 pkt 2 u.o.d.o. Brak jest zatem podstaw do sformułowania nakazu przywrócenia stanu zgodnego z prawem na podstawie art. 18 ust. 1 u.o.d.o. w stosunku do Okręgowej Rady Lekarskiej w W. W tym zakresie zatem GIODO zasadnie odmówił uwzględnienia wniosku skarżącego. Nie ma bowiem podstaw prawnych, w oparciu o które organ mógłby – zgodnie z wnioskiem skarżącego – nakazać Dyrektorowi CSIOZ zaprzestania przetwarzania i udostępniania danych skarżącego w zbiorze danych osobowych lekarzy, zawartym w Rejestrze Podmiotów Wykonujących Działalność Leczniczą, podmiotom niepublicznym. Odnosząc się do podniesionego w skardze problemu przetwarzania w Rejestrze danych dotyczących miejsca pracy lekarza, wskazać należy, iż w myśl art. 106 ust. 4 pkt 3 w przypadku praktyki zawodowej do jawnego Rejestru Podmiotów Wykonujących Działalność Leczniczą wpisuje się adres miejsca udzielania świadczeń zdrowotnych. Wobec powyższego przetwarzanie w ww. Rejestrze danych osobowych w postaci miejsca pracy lekarza będącego miejscem udzielania świadczeń zdrowotnych znajduje oparcie w art. 23 ust. 1 pkt 2 u.o.d.o. W ocenie Sądu, organ analizując podstawy przetwarzania danych w Rejestrze Podmiotów Wykonujących Działalność Leczniczą, trafnie wskazał przepisy art. 106 ust. 4 oraz ust. 1a-2 ustawy o działalności leczniczej. Przepisy te są wystarczającą podstawą do przetwarzania w przedmiotowym rejestrze danych osobowych skarżącego. Również kwestia jawności Rejestru a także prowadzenia go w systemie teleinformatycznym nie budzi wątpliwości Sądu. Trafne jest również rozstrzygnięcie organu co do umorzenia postępowania administracyjnego w zakresie nieprawidłowości przetwarzania danych osobowych skarżącego w zakresie imienia, nazwiska, NIP, miejsca i rodzaju prowadzonej działalności leczniczej w Rejestrze Podmiotów Wykonujących Działalność Leczniczą. Powyżej wskazane dane osobowe są danymi przetwarzanymi w Centralnej Ewidencji i Informacji o Działalności Gospodarczej, znanej dalej CEIDG. Zgodnie z art. 39b ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej do jawnych danych i informacji udostępnianych przez CEDG nie stosuje się przepisów ustawy o ochronie danych osobowych. Ustawa o swobodzie działalności gospodarczej w art. 38 wprowadza zasadę jawności formalnej Centralnej Ewidencji i Informacji o Działalności Gospodarczej. Stosownie do art. 38 ust. 1 ustawy o swobodzie działalności gospodarczej, dane i informacje udostępniane przez CEIDG są jawne. Każdy ma prawo dostępu do danych i informacji udostępnionych przez CEIDG. Zgodnie z ust. 2 tego przepisu, dane i informacje wskazane w art. 37, są udostępniane na stronie internetowej CEIDG. Zgodnie z art. 37 ust. 1 ustawy o swobodzie działalności gospodarczej, CEIDG udostępnia zawarte w niej dane i informacje określone w art. 25 ust. 1, z wyjątkiem numeru PESEL, daty urodzenia oraz adresu zamieszkania, o ile nie jest on taki sam jak miejsce wykonywania działalności gospodarczej (pkt 1). W myśl art. 25 ust. 1 ustawy o swobodzie działalności gospodarczej, wpisowi do CEIDG podlegają w szczególności firma przedsiębiorcy oraz jego numer PESEL, o ile taki posiada (pkt 1); oznaczenie miejsca zamieszkania i adresu zamieszkania przedsiębiorcy, adres do doręczeń przedsiębiorcy oraz adresy, pod którymi jest wykonywana działalność gospodarcza, w tym adres głównego miejsca wykonywania działalności i oddziału, jeżeli został utworzony; dane te są zgodne z oznaczeniami kodowymi przyjętymi w krajowym rejestrze urzędowym podziału terytorialnego kraju, o ile to w danym przypadku możliwe (pkt 5). Firmą osoby fizycznej jest natomiast jej imię i nazwisko (art. 434 k.c.) Słusznie zatem GIODO przyjął, że nie jest uprawniony do dokonywania oceny przetwarzania danych osobowych skarżącego we wskazanym zakresie w Rejestrze Podmiotów Wykonujących Działalność Leczniczą. Dane te są bowiem danymi jawnymi i udostępnianymi przez CEIDG. Wobec powyższego umorzenie postępowania administracyjnego w powyżej opisanym zakresie z uwagi na jego bezprzedmiotowość (art. 105 § 1 k.p.a.) jest zasadne. Reasumując, zarówno zaskarżona decyzja, jak i poprzedzająca ją decyzja z dnia [...] grudnia 2017 r. nie naruszają prawa materialnego i procesowego w stopniu, który powodowałby konieczność ich uchylenia bądź stwierdzenia nieważności. Z tych to powodów Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, skargę oddalił.