I OSK 1883/16

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Iwona Bogucka Sędziowie: Sędzia NSA Aleksandra Łaskarzewska (spr.) Sędzia del. WSA Dariusz Chaciński Protokolant: sekretarz sądowy Adrian Wawer po rozpoznaniu w dniu 27 lipca 2018 roku na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 kwietnia 2016 r., sygn. akt II SA/Wa 2081/15 w sprawie ze skargi M. L. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2015 r., nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 28 kwietnia 2016 r., sygn. akt II SA/Wa 2081/15, po rozpoznaniu skargi M. L. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych - uchylł zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] października 2013 r. nr [...]. W uzasadnieniu wyroku Sąd I instancji przyjął następujące okoliczności faktyczne i prawne: Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga M. L. dotycząca przetwarzania jej danych osobowych przez ZOZ z siedzibą w K. Skarżąca zakwestionowała legalność przetwarzania i udostępniania innym podmiotom jej danych osobowych przez ZOZ. Wskazała, że w dniu [...] marca 2012 r. ciężarna kobieta zgłosiła się do szpitala w K. podając jej dane osobowe jako własne. W danych podanych przez pacjentkę nie było numeru PESEL, zatem w przekonaniu skarżącej Dyrektor ZOZ w K. bezprawnie zwrócił się do Urzędu Gminy w K. o uzupełnienie danych osobowych o rzeczony numer. Wskazała, iż Dyrektor przedmiotowej placówki wprowadzając jej dane osobowe do dokumentacji medycznej rażąco naruszył przepisy ustawy o ochronie danych osobowych. Skarżąca wniosła o przeprowadzenie kontroli w ZOZ w K., a w szczególności usunięcie uchybień, wstrzymanie przekazywania jej danych osobowych innym podmiotom oraz usunięcia ze zbioru ZOZ jej danych osobowych. Precyzując żądanie wskazała, iż domaga się usunięcia przez ZOZ wszelkich jej danych osobowych oraz ustalenia i ścigania karnego osób odpowiedzialnych za bezprawne pozyskanie, przetwarzanie oraz przekazanie innym podmiotom jej danych osobowych. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] października 2013 r. odmówił uwzględnienia wniosku strony. GIODO ustalił, że: 1. w dniu [...] marca 2012 r. do Zespołu Opieki Zdrowotnej z siedzibą w K. przy ul. G. oddziału szpitalnego została przyjęta osoba w trybie nagłym (do porodu) nie posiadająca żadnego dokumentu tożsamości. Przy rejestracji podała imię, nazwisko oraz miejsce zamieszkania skarżącej poświadczając prawdziwość tych danych, jako jej własne, własnoręcznym podpisem; 2. w dniu 21 marca 2012 r. osoba podająca się za skarżącą, na własne żądanie, została wypisana ze szpitala - w tym czasie ZOZ nie posiadał żadnego dokumentu potwierdzającego wskazane przy rejestracji dane osobowe; 3. w celu uzyskania nr PESEL pacjentki, pracownik socjalny szpitala skontaktował się z Wydziałem Ewidencji Urzędu Gminy K. gdzie uzyskał przedmiotowy numer oraz informację w zakresie obecnego adresu zameldowania skarżącej; 4. ZOZ w K. udostępnił dane osobowe M. L. wraz z jej nr PESEL oraz adresem zameldowania Sądowi Rejonowemu III Wydział Rodzinny i Nieletnich w K. w celu zabezpieczenia sytuacji prawnej noworodka urodzonego w dniu [...] marca 2012 r. i pozostawionego w szpitalu do adopcji; 5. dyrektor ZOZ w K. wskazał, iż obecnie przetwarza dane skarżącej w medycznym systemie informatycznym ZOZ. Nadto, w celu zapewnienia ochrony danych osobowych zawartych w dokumentacji medycznej jest ona zabezpieczona i archiwizowana zgodnie z obowiązującymi przepisami. ZOZ wskazał, iż udostępnił dokumentację medyczną pacjentki Komendzie Powiatowej Policji na wniosek Prokuratury Rejonowej w K. w celu prowadzonych czynności wyjaśniających dotyczących noworodka urodzonego w dniu [...] marca 2012 r., którego matka podawała się za M. L. i zdecydowała się przekazać dziecko do adopcji. Przedmiotowe dane medyczne udostępnione zostały także [...] Oddziałowi Wojewódzkiemu NFZ w celu uzyskania środków finansowych z tytułu udzielenia świadczeń zdrowotnych. ZOZ oświadczył, iż kierował się przede wszystkim dobrem pacjenta, który podał fałszywe dane osobowe, oraz jego prawem do udzielenia świadczeń zdrowotnych w trybie pilnym. GIODO stwierdził, że dane osobowe skarżącej zostały pozyskane przez ZOZ w związku z zaistniałą nagłą sytuacją w celu odebrania porodu od kobiety, która zgłosiła się w dniu [...] marca 2012 r. do szpitala bez dokumentów i złożyła jedynie oświadczenie, iż nazywa się M. L. i zamieszkuje pod adresem zamieszkania skarżącej. Powołując się na art. 44h ust. 2 pkt 1 ustawy o ewidencji ludności i dowodach osobistych GIODO uznał, że ZOZ posiadał interes prawny w pozyskaniu danych osobowych skarżącej ze zbioru PESEL z uwagi na wyżej wskazane okoliczności. Odnosząc się do przetwarzania danych osobowych skarżącej przez ZOZ w K., jako osoby, która wskazana została temu podmiotowi jako ta, która urodziła dziecko, organ wskazał, że proces przetwarzania danych osobowych skarżącej znajduje oparcie w przepisie art. 7 i art. 26 ust. 3 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta oraz przepisie art. 50 ust. 1 i 2 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych. Odnosząc się do kwestii udostępnienia danych osobowych skarżącej Sądowi Rejonowemu w K. GIODO powołując art. 1191 § 1 ustawy Kodeks rodzinny i opiekuńczy stwierdził, że działanie ZOZ polegające na przekazaniu danych skarżącej (pismo ZOZ z dnia 20 marca 2012 r.) Sądowi Rejonowemu w K. było niezbędne do uregulowania sytuacji prawnej noworodka - przede wszystkim sporządzenia aktu urodzenia. GIODO stwierdził, że proces przetwarzania danych osobowych skarżącej przez ZOZ znajduje oparcie w przesłance, o której mowa w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. GIODO wskazał, że warunkiem wydania przez organ rozstrzygnięcia, o którym mowa w art. 18 ustawy o ochronie danych osobowych, jest istnienie stanu naruszenia prawa do ochrony danych osobowych w chwili wydania decyzji administracyjnej. W świetle ustalonych w sprawie okoliczności, organ uznał, że w niniejszej sprawie stan ten nie nastąpił, stąd też organ nie znalazł podstaw do nakazania, w drodze decyzji administracyjnej, przywrócenia stanu zgodnego z prawem poprzez usunięcie danych osobowych skarżącej z systemu informatycznego ZOZ. GIODO nie znalazł też podstaw, aby zastosować w sprawie przepis art. 19 ww. ustawy. Generalny Inspektor Ochrony Danych Osobowych, po rozpoznaniu wniosku M. L. o ponowne rozpatrzenie sprawy, decyzją z dnia [...] października 2015 r., utrzymał w mocy własną decyzję z dnia [...] października 2013 r. W uzasadnieniu tego rozstrzygnięcia organ wskazał, że z przepisów ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych wynika, że ZOZ miał obowiązek udzielić świadczenia opieki zdrowotnej kobiecie, która dnia [...] marca 2012 r. zgłosiła się do oddziału szpitalnego ZOZ w trybie nagłym (do porodu) bez dokumentów. Na podstawie art. 50 ust. 11 tej ustawy, ZOZ był obowiązany w terminie 7 dni pozyskać od ww. pacjentki dokument potwierdzający prawo do świadczeń opieki zdrowotnej albo oświadczenie, o którym mowa w ust. 6. Z materiału dowodowego sprawy wynika jednak, że ZOZ nie pozyskał ww. dokumentu ani ww. oświadczenia, natomiast pacjentka po trzech dniach została wypisana ze szpitala na własną prośbę. GIODO stwierdził wobec powyższego, że skoro pacjentka przyjęta w trybie nagłym do ZOZ dnia [...] marca 2012 r. nie złożyła wymaganych w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych dokumentu lub oświadczenia, wówczas to ona (a nie NFZ) powinna ponieść koszty udzielonego jej świadczenia bezpośrednio na rzecz ZOZ. Wobec niezłożenia ww. dokumentu lub oświadczenia ww. pacjentka nie mogła być traktowana jako osoba uprawniona do świadczeń. Organ stwierdził, że brak było tym samym podstaw do udostępnienia przez ZOZ na rzecz NFZ danych osobowych skarżącej jako osoby, której ZOZ udzielił świadczenia opieki zdrowotnej. GIODO wskazał, że pacjentka wypisała się ze szpitala na własną prośbę, pozostawiając w szpitalu urodzone dziecko. W celu zabezpieczenia sytuacji prawnej dziecka oraz w celu uzupełnienia danych, podanych przez ww. pacjentkę przy przyjęciu do szpitala, ZOZ pozyskał z Wydziału Ewidencji Ludności Urzędu Gminy K. nr PESEL przypisany do danych, które podała. Obowiązujący wtedy art. 44h ust. 2 pkt 1 ustawy dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych, stanowił, że dane ze zbiorów meldunkowych, zbioru PESEL oraz ewidencji wydanych i unieważnionych dowodów osobistych udostępnia się, o ile są one niezbędne do realizacji ich ustawowych zadań, osobom i jednostkom organizacyjnym - jeżeli wykażą w tym interes prawny. Ww. ustawa utraciła moc na podstawie art. 92 ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych (Dz. U. Nr 167, poz. 1131 ze zm.), która weszła w życie z dniem 1 marca 2015 r. GIODO stwierdził, że wymienione przepisy nie mogą stanowić podstawy prawnej pozyskania przez ZOZ danych osobowych skarżącej ze zbioru PESEL, skoro ZOZ nie dopełnił obowiązku uzyskania od podającej się za skarżącą pacjentki dokumentu lub oświadczenia określonych w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych. W rezultacie tego zaniedbania ZOZ nie posiadał żadnego dokumentu potwierdzającego dane osobowe, które pacjentka przyjęta w trybie nagłym do ZOZ dnia [...] marca 2012 r. wskazała przy rejestracji. Podkreślenia wymaga, że ZOZ dysponował jedynie tymi danymi osobowymi, które ww. pacjentka podała jako własne i potwierdziła ich prawdziwość własnoręcznym podpisem. ZOZ nie posiadał wówczas wiedzy, że nie są to dane osobowe pacjentki, lecz skarżącej, co wynika także z dodatkowych wyjaśnień ZOZ, złożonych w toku ponownego rozpatrzenia sprawy. GIODO nie zgodził się ze skarżącą, że w przypadku braku dokumentu tożsamości pacjentki szpital nie miał prawa umieszczać w dokumentacji medycznej danych osobowych tylko na podstawie jej słownej, czy nawet pisemnej deklaracji, aż do momentu ich potwierdzenia (identyfikacji). Organ przytoczył treść § 4 ust. 1 i 3 rozporządzenia Ministra Zdrowia z dnia 21 grudnia 2010 r. w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania (Dz. U. z 2014 r. poz. 177 ze zm.) i podał, że w wyjaśnieniach ZOZ, złożonych w toku ponownego rozpatrzenia sprawy, podano: "W dniu 20.11.2012 r. do dokumentacji medycznej pacjentki dołączono Oświadczenie o treści: "W związku z informacją otrzymaną od Komendy Powiatowej Policji w K. w aspekcie toczącego się postępowania stwierdza się, że dane osobowe Pani M. L. zostały sfałszowane przez Panią E. S. z d. S.". GIODO wskazał, że powyższe sprostowanie w dokumentacji medycznej jest konsekwencją postępowania karnego przeprowadzonego przez Prokuraturę Rejonową w K. i Sąd Rejonowy w K. Odnosząc się do udostępnienia przez ZOZ danych osobowych skarżącej Sądowi Rejonowemu w K. organ powołał art. 1191 ustawy z dnia 25 lutego 1964 r. Kodeks rodzinny i opiekuńczy. ZOZ, jak wynika z pisma z dnia 20 marca 2012 r. załączonego do skargi przez skarżącą, przekazał dane osobowe skarżącej w związku z deklaracją osoby podszywającej się pod nią o pozostawieniu urodzonego dziecka do adopcji. Wprawdzie ww. działanie było niezbędne do uregulowania sytuacji prawnej ww. noworodka - przede wszystkim sporządzenia aktu urodzenia, jednak nie można uznać, by ZOZ był uprawniony do podjęcia takiego działania, skoro nie dopełnił obowiązku uzyskania od podającej się za skarżącą pacjentki dokumentu lub oświadczenia określonych w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych. GIODO przytoczył następnie przepis art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r. poz. 1182 ze zm., dalej jako: u.o.d.o.) wskazując, że warunkiem wydania rozstrzygnięcia, o którym mowa w tym przepisie, jest istnienie stanu naruszenia prawa do ochrony danych osobowych w chwili wydania decyzji administracyjnej. Z uwagi na fakt, że niedopełnienie przez ZOZ obowiązku uzyskania od podającej się za skarżącą pacjentki dokumentu lub oświadczenia określonych w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych i udostępnienie przez ZOZ podanych przez tę pacjentkę danych osobowych Skarżącej na rzecz NFZ i Sądu Rejonowego w K. oraz do Urzędu Gminy K. i pozyskanie przez ZOZ z tego urzędu numeru PESEL Skarżącej były działaniami bezprawnymi, jednak ponieważ miały już one miejsce, nie jest możliwe przywrócenie w tej sprawie stanu zgodnego z prawem sprzed tego udostępnienia poprzez wydanie przez Generalnego Inspektora Ochrony Danych Osobowych jednego z nakazów, wskazanych w ww. art. 18 ust. 1. Dlatego zasadna jest odmowa uwzględnienia wniosku skarżącej. Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2015 r. stała się przedmiotem skargi M. L. do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której organowi zarzucono naruszenie art. 1, art. 18 i art. 19 u.o.d.o. oraz art. 6 - 8 i art. 107 § 1-3 K.p.a. W odpowiedzi na skargę GIODO wniósł o jej oddalenie powołując się w odniesieniu do poszczególnych zarzutów skargi na dotychczasowe ustalenia. Opisanym na wstępie wyrokiem Wojewódzki Sąd Administracyjny w Warszawie uwzględnił skargę, uznając że w sprawie doszło do naruszenia prawa dającego podstawę wznowienia postępowania administracyjnego, albowiem w sprawie bez własnej winy nie brała udziału osoba, której ZOZ w K. udzielił w dniach [...] marca 2012 r. świadczeń medycznych. Tymczasem, to z dokumentacji medycznej tej osoby skarżąca domaga się w postępowaniu przed GIODO usunięcia swoich danych osobowych. Poza wskazanym wyżej naruszeniem prawa, Sąd I instancji stwierdził, że postępowanie administracyjne nie zostało przez GIODO należycie przeprowadzone, nie podjęto wszelkich niezbędnych czynności w celu dokładnego ustalenia stanu faktycznego, nie zebrano w sposób wyczerpujący materiału dowodowego i w konsekwencji nie rozpatrzono wszechstronnie materiału dowodowego niezbędnego do podjęcia prawidłowego rozstrzygnięcia, czym naruszono przepis art. 7, art. 77 § 1 i art. 80 k.p.a., co mogło mieć istotny wpływ na wynik sprawy. Sąd I instancji wskazał, że z rozporządzenia Ministra Zdrowia z dnia 21 grudnia 2010 r. w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania (Dz. U. z 2010 r. Nr 252, poz. 1697 ze zm.), obowiązującego tak w dniu udzielenia przez ZOZ w K. świadczeń medycznych osobie podającej się za skarżącą, jak i w dniu wydania przez GIODO zaskarżonej decyzji, wynika, że dokumentacja medyczna jest prowadzona w postaci elektronicznej lub papierowej. Z akt postępowania administracyjnego nie wynika, aby wyjaśniono, w jakiej postaci prowadzona była dokumentacja medyczna przez ZOZ w K., w której ujmowano dane osobowe skarżącej w dniach udzielania świadczeń medycznych innej osobie. Organ w ustaleniach obu decyzji podał jedynie, że ZOZ wskazał, iż obecnie przetwarza dane skarżącej w medycznym systemie informatycznym ZOZ. Nie ustalono jednakże, czy wcześniej (czyli przed dniem złożeniem tego oświadczenia organowi) dane osobowe skarżącej nie były przetwarzane w dokumentacji papierowej. Nie ustalono, czy obecnie przetwarzane są tylko w dokumentacji prowadzonej w formie elektronicznej, czy też przechowywane są także ewentualnie w postaci papierowej. W sprawie nie ustalono, w jakiego rodzaju dokumentacji medycznej przetwarzane są (a więc także przechowywane) dane osobowe skarżącej, a zatem w jakiego rodzaju dokumentacji medycznej zamieszczono dane skarżącej w związku z udzielonymi innej osobie świadczeniami medycznymi i jakie dokładnie były to dane osobowe. Powołane wyżej rozporządzenie Ministra Zdrowia stanowi, że dane osobowe pacjenta (w tym m.in. jego imię, nazwisko, PESEL, a także np. adres zamieszkania) zamieszcza się w szeregu rodzajów dokumentacji medycznej, tak w dokumentacji indywidualnej, jak i zbiorczej. Dane osobowe pacjenta zamieszcza się nie tylko w historii choroby, ale też w dokumentach dodatkowych, także w karcie noworodka, w księdze głównej przyjęć i wypisów, księdze chorych oddziału, w księdze raportów pielęgniarskich, w księdze bloku porodowego albo sali porodowej oraz w innych księgach określonych rozporządzeniem. Sąd I instancji nie zakwestionował ustaleń GIODO, że skarżąca nie była w dniach [...] marca 2012 r. pacjentką ZOZ w K., jak też ustalenia, że ZOZ w K. przetwarza dane osobowe skarżącej. Nie kwestionował także ustaleń, że wobec nieuzyskania od pacjentki, której udzielono świadczeń medycznych, dokumentu lub oświadczenia, o którym mowa w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, ZOZ w K. nie miał podstaw do pozyskania danych osobowych skarżącej ze zbioru PESEL. WSA w Warszawie zaaprobował również ustalenia GIODO, że wobec nieuzyskania od pacjentki dokumentu lub oświadczenia, o którym mowa w art. 50 ust. 11 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, ZOZ w K. nie miał podstaw do przekazania danych osobowych skarżącej do NFZ oraz do Sądu Rejonowego w K. W świetle tych podstawowych ustaleń organu, uznanych za prawidłowo dokonane, Sąd I instancji nie miał wątpliwości, że dane osobowe przetwarzane przez ZOZ w K. w dokumentacji medycznej pacjentki, której udzielono świadczeń medycznych, a podającej się za skarżącą, nie były merytorycznie poprawne (art. 26 ust. 1 pkt 3 u.o.d.o.). Świadczeń medycznych udzielono bowiem innej osobie niż skarżąca. Za zrozumiałe w tej sytuacji uznał, że skarżąca domaga się przywrócenia stanu zgodnego z prawem. Wprawdzie Sąd I instancji przyznał rację GIODO, że brak jest podstaw do nakazania usunięcia danych osobowych skarżącej z dokumentacji medycznej, albowiem przepis § 4 ust. 3 powołanego wyżej rozporządzenia, tak na datę udzielonych świadczeń medycznych, jak i na dzień wydania zaskarżonej decyzji nie przewidywał możliwości usunięcia danych osobowych z dokumentacji medycznej, tym niemniej uznał, że odmowa uwzględnienia wniosku skarżącej skierowanego do GIODO – w świetle ustaleń organu poczynionych w zaskarżonej decyzji – nie była uprawniona. Zdaniem Sądu I instancji, w świetle brzmienia § 4 ust. 3 rozporządzenia Ministra Zdrowia w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania, nie stanowi realizacji tego przepisu – a tym samym nie stanowi sprostowania, jak wskazał to GIODO, dołączenie do dokumentacji medycznej "oświadczenia" o treści "W związku z informacją otrzymaną od Komendy Powiatowej Policji w K. w aspekcie toczącego się postępowania stwierdza się, że dane osobowe Pani M. L. zostały sfałszowane przez Panią E. S. z d. S.". Powyższe nie stanowi sprostowania danych osobowych skarżącej w dokumentacji medycznej prowadzonej przez ZOZ w K. w sposób, który przewiduje przepis rozporządzenia Ministra Zdrowia, stanowiący w tym przypadku lex specialis. Tym samym, organ odmawiając uwzględnienia wniosku skarżącej naruszył przepis art. 18 ust. 1 pkt 2 u.o.d.o. poprzez jego niezastosowanie w zw. z art. 26 ust. 1 pkt 3 u.o.d.o. Sąd I instancji wskazał, że ponownie rozpatrując sprawę organ obowiązany będzie w sposób wyczerpujący ustalić zakres danych osobowych skarżącej przetwarzanych przez ZOZ w K. oraz rodzaje dokumentacji medycznej, w jakiej te dane są przetwarzane, a także ustalić sposób ich przetwarzania. W sytuacji, gdy stan niezgodny z prawem będzie trwał organ winien zastosować przepis art. 18 ust. 1 u.o.d.o. Organ zapewni osobie, której dotyczy dokumentacja medyczna udział w postępowaniu administracyjnym, co umożliwi tej osobie realizację jej praw. W sytuacji, gdy organ ustali, że dane osobowe skarżącej przetwarzane są przez ZOZ w K. ewentualnie także poza dokumentacją medyczną, o której była mowa w dotychczas ustalonym przez organ stanie faktycznym, GIODO winien rozważyć zastosowanie nakazu, o którym mowa w art. 18 ust. 1 u.o.d.o. również w odniesieniu do tych danych. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. b i c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm., dalej jako: P.p.s.a.), uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję organu z dnia [...] października 2013 r.. Skargę kasacyjną od powyższego wyroku wywiódł Generalny Inspektor Ochrony Danych Osobowych wnosząc o jego uchylenie w całości i przekazanie sprawy Sądowi I instancji do ponownego rozpoznania oraz o zasądzenie zwrotu kosztów postępowania według norm przepisanych. Zaskarżonemu orzeczeniu organ zarzucił: I. naruszenie przepisów postępowania, tj.: 1) art. 145 § 1 pkt 1 lit. b P.p.s.a. poprzez błędne uznanie, że w sprawie zaistniała przesłanka z art. 145 § 1 pkt 4 K.p.a., a w konsekwencji niezasadne uchylenie zaskarżonej decyzji i poprzedzającej ją decyzji organu z dnia [...] października 2013 r., 2) art. 145 § 1 pkt 1 lit. c P.p.s.a. poprzez jego zastosowanie na skutek błędnego przyjęcia, że organ naruszył przepisy postępowania, tj. art. 7, art. 77 § 1 i art. 80 K.p.a., co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji i poprzedzającej ją decyzji organu z dnia [...] października 2013 r., II. naruszenie przepisu prawa materialnego, tj. art. 18 ust. 1 pkt 2 u.o.d.o. poprzez błędne uznanie, że stan naruszenia prawa, o którym mowa w tym przepisie, "istniał w dniu wydania zaskarżonej decyzji, albowiem dane przetwarzane przez ZOZ w K. nie były merytorycznie poprawne (nie zostały sprostowane do dnia wydania decyzji)". W uzasadnieniu skargi kasacyjnej organ podniósł, że prawami procesowymi rozporządza strona. Dlatego też jeżeli strona, która została pozbawiona udziału w postępowaniu administracyjnym nie wniesie skargi, nie można wbrew jej stanowisku uznać, że zaistniała w sprawie okoliczność uzasadniająca wznowienie postępowania na podstawie art. 145 § 1 pkt 4 K.p.a. i w związku z tym uchylić zapadłe w sprawie rozstrzygnięcia z przyczyny wskazanej w art. 145 § 1 pkt 1 lit. b P.p.s.a. Organ nie zgodził się również ze stanowiskiem Sądu I instancji odnośnie nienależytego wyjaśnienia stanu faktycznego niniejszej sprawy. Wskazał, że wbrew zarzutowi nieustalenia zakresu danych osobowych Skarżącej przetwarzanych przez ZOZ w pkt 1 stanu faktycznego obu decyzji wyraźnie wskazano: "Dnia [...] marca 2012 r. do oddziału szpitalnego Zespołu Opieki Zdrowotnej w K. przy ul. G. została przyjęta osoba w trybie nagłym (do porodu) nieposiadająca żadnego dokumentu tożsamości. Przy rejestracji podała imię, nazwisko i miejsce zamieszkania Skarżącej", zaś w pkt 4: "W celu uzyskania numeru PESEL ww. pacjentki, pracownik socjalny szpitala skontaktował się z Wydziałem Ewidencji Urzędu Gminy K., gdzie uzyskał ten numer i obecny adres zameldowania Skarżącej". GIODO podkreślił, że istotne znaczenie w sprawie ma okoliczność, w jakiej postaci obecnie ZOZ przetwarza dane osobowe Skarżącej. W tym zakresie GIODO uznał za wystarczające wyjaśnienia ZOZ, że podmiot ten obecnie przetwarza dane Skarżącej w medycznym systemie informatycznym ZOZ oraz że "dokumentacja medyczna - dla zapewnienia ochrony danych osobowych w niej zawartych - jest zabezpieczona i archiwizowana zgodnie z obowiązującymi przepisami", z zaznaczeniem że ZOZ zgodnie z art. 29 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2016 r. poz. 186) przechowuje dokumentację medyczną przez 20 lat. Generalny Inspektor nie znalazł podstaw, by wyjaśnieniom tym odmówić wiarygodności. Organ wskazał także, iż § 4 ust. 3 rozporządzenia Ministra Zdrowia z dnia 21 grudnia 2010 r. w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania stanowił, że wpis dokonany w dokumentacji nie może być z niej usunięty, a jeżeli został dokonany błędnie, zamieszcza się przy nim adnotację o przyczynie błędu oraz datę i oznaczenie osoby dokonującej adnotacji, zgodnie z § 10 ust. 1 pkt 3. Zdaniem GIODO, za niewystarczające uznać należy ograniczenie się przez WSA do lakonicznego stwierdzenia, że dołączenie do dokumentacji medycznej ww. oświadczenia nie stanowi sprostowania w rozumieniu ww. przepisu rozporządzenia. Podnieść należy, że WSA zaniechał wyjaśnienia tego stanowiska, tzn. uzasadnienia, dlaczego w ocenie Sądu ww. dokument nie spełnia wymogu sprostowania. Zdaniem organu, powyższe skutkowało błędnym uznaniem przez WSA, że w dniu wydania zaskarżonej decyzji istniał w sprawie stan naruszenia prawa, o którym mowa w art. 18 ust. 1 ustawy o ochronie danych osobowych. Generalny Inspektor podtrzymał stanowisko, że warunkiem wydania rozstrzygnięcia, o którym mowa w ww. przepisie, w tym w jego pkt 2, tj. nakazania przywrócenia stanu zgodnego z prawem, a w szczególności uzupełnienia, uaktualnienia, sprostowania, udostępnienia lub nieudostępnienia danych osobowych, jest istnienie stanu naruszenia prawa do ochrony danych osobowych w chwili wydania decyzji administracyjnej. Ponownie podkreślił, że z uwagi na fakt, że niedopełnienie przez ZOZ obowiązku uzyskania od podającej się za Skarżącą pacjentki dokumentu lub oświadczenia określonych w art. 50 ust. 11 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych (...) oraz udostępnienie przez ZOZ podanych przez tę pacjentkę danych osobowych Skarżącej na rzecz NFZ i Sądu Rejonowego w K. oraz do Urzędu Gminy K. i pozyskanie przez ZOZ z tego urzędu numeru PESEL Skarżącej były działaniami bezprawnymi, jednak ponieważ miały już one miejsce, nie jest możliwe przywrócenie w tej sprawie stanu zgodnego z prawem sprzed tego udostępnienia poprzez wydanie przez GIODO jednego z nakazów, wskazanych w ww. art. 18 ust. 1 u.o.d.o. Naczelny Sąd Administracyjny zważył, co następuje. Zarzuty skargi kasacyjnej okazały się częściowo uzasadnione. Rację ma skarżący kasacyjnie organ, że Sąd I instancji błędnie przyjął zaistnienie w tej sprawie przesłanki z art. 145 § 1 pkt 4 K.p.a., a tym samym podstawy do zastosowania art. 145 § 1 pkt 1 lit. b P.p.s.a. Wskazać bowiem należy, że przesłanka wznowieniowa z art. 145 § 1 pkt 4 k.p.a. może stanowić podstawę uchylenia decyzji tylko wówczas, gdy powołuje się na nią podmiot uprawniony do skorzystania z tej przesłanki, to jest ten, który bez własnej winy nie został dopuszczony do udziału w postępowaniu. Inne podmioty nie mogą się skutecznie na tę okoliczność powoływać. Dotyczy to również Sądu Administracyjnego rozstrzygającego sprawę ze skargi podmiotów biorących udział w postępowaniu, który z urzędu nie ma podstaw do podnoszenia, że podmiot niewnoszący skargi został pominięty w postępowaniu administracyjnym i z tej przyczyny stosowania art. 145 § 1 pkt 1 lit. b P.p.s.a. Zauważyć należy, że przesłanka wznowieniowa polegająca na niezapewnieniu stronie udziału w postępowaniu administracyjnym bez jej winy (art. 145 § 1 pkt 4 k.p.a.) wiąże się ściśle z art. 147 k.p.a., stosownie do którego wznowienie postępowania z tej przyczyny następuje tylko na żądanie strony. Oparcie na zasadzie rozporządzalności prawami procesowymi przez stronę ma znaczenie dla wykładni art. 145 § 1 pkt 1 lit. b i c P.p.s.a. Naruszenie prawa do czynnego udziału w postępowaniu jest podstawą do uchylenia decyzji jeżeli naruszenie praw procesowych mogło mieć wpływ na wynik sprawy. W razie gdy decyzja jest rozstrzygnięciem zgodnym z żądaniem stron, wywodzenie podstaw uchylenia decyzji z naruszenia praw procesowych strony stanowi naruszenie prawa w zakresie podstaw uwzględnienia skargi. Takie rozwiązanie ustawowe powoduje, że tylko od woli strony, która została pominięta w postępowaniu zależy, czy skorzysta z prawa do żądania wznowienia, ewentualnie podniesienia zarzutu zaistnienia przesłanki wznowieniowej w skardze wniesionej do sądu administracyjnego. Inne podmioty nie mają prawa do zastępowania uprawnionej strony i korzystania z zarzutu wystąpienia podstaw do wznowienia, powołując się na to, że nie wszystkie podmioty, które powinny brać udział w postępowaniu, zostały do udziału w nim dopuszczone. Powyższe stanowisko ugruntowało się również w orzecznictwie Naczelnego Sądu Administracyjnego (por. wyroki Naczelnego Sądu Administracyjnego: z dnia 5 czerwca 2006r.,sygn. akt I OSK 911/05; z dnia 17 czerwca 2008 r., sygn. akt II OSK 665/07; z dnia 22 grudnia 2008 r. sygn. akt II OSK 1109/07; z dnia 26 stycznia 2009 r., sygn. akt II OSK 51/08; z dnia 26 maja 2009 r., sygn. akt II OSK 832/08, z dnia 26 stycznia 2009 r. sygn. akt II OSK 51/08, z dnia 18 maja 2010 r. sygn. akt II OSK 796/09, z dnia 14 grudnia 2011r., sygn. akt II OSK 1886/10 dostępne: www.orzeczenia.nsa.gov.pl) i skład orzekający w niniejszej sprawie w pełni je podziela. Podkreślenia wymaga, że co do zasady prawami procesowymi rozporządza strona. Dlatego też, jeżeli strona, która została pozbawiona udziału w postępowaniu administracyjnym nie wniesie skargi, nie można wbrew jej stanowisku uznać, jak uczynił to Sąd I instancji, że zaistniała w sprawie okoliczność uzasadniająca wznowienie postępowania na podstawie art. 145 § 1 pkt 4 k.p.a. i w związku z tym uchylić wydane decyzje z tej przyczyny w oparciu o art. 145 § 1 pkt 1 lit. b P.p.s.a. To uchybienie Sądu I instancji nie miało jednak istotnego wpływu na wynik sprawy, gdyż w związku z przeprowadzeniem przez organ administracji postępowania administracyjnego z naruszeniem art. 7, art. 77 i art. 80 K.p.a., istniała inna podstawa do uchylenia decyzji Generalnego Inspektora Ochrony Danych Osobowych. Naczelny Sąd Administracyjny podziela w tym względzie wyrażone w zaskarżonym orzeczeniu stanowisko, że organ w niewystarczający sposób zbadał zakres danych osobowych skarżącej przetwarzany przez ZOZ w K. oraz rodzaje dokumentacji medycznej, w jakiej dane te są przetwarzane, a także sposób ich przetwarzania. Przede wszystkim nie zweryfikował jednoznacznie w jakiej postaci prowadzona była dokumentacja medyczna przez ZOZ w K. w dacie udzielenia świadczeń medycznych osobie podającej się za skarżącą. W tym względzie organ oparł się wyłącznie na informacji ZOZ, iż obecnie dane skarżącej przetwarzane są w medycznym systemie informatycznym. Jak słusznie zauważył Sąd I instancji nie ustalono, czy aktualnie dane te przetwarzane są tylko w dokumentacji prowadzonej w formie elektronicznej, czy też przechowywane są także w postaci papierowej. Na taką ewentualność wskazuje zaś treść wyjaśnień ZOZ w K. zawarta w pismach z dnia 3 lipca 2013 r. i 17 czerwca 2014 r., w których Dyrektor tej placówki podał, że przyjęta do porodu pacjentka prawdziwość podanych przez siebie danych poświadczyła własnoręcznym fałszywym podpisem w historii choroby. Pozwala to założyć, że dokumentacja medyczna, w której ujęto dane skarżącej prowadzona była w formie papierowej, jak również, iż obecnie przechowywana jest w celach archiwalnych. Uwzględnienia wymaga, że pod pojęciem "przetwarzania danych", o którym mowa w art. 7 pkt 2 ustawy o ochronie danych osobowych, mieszczą się wszystkie operacje wykonywane na danych osobowych, czyli także ich przechowywanie w celach archiwalnych. Administrator zbioru danych wykorzystywanego w tym celu, musi stosować te same zasady, jakie obowiązują w stosunku do zbiorów, z których aktywnie korzysta. Dlatego również ta dokumentacja winna być objęta kontrolą Generalnego Inspektora Ochrony Danych Osobowych pod kątem istnienia stanu naruszenia prawa, o którym mowa w art. 18 ust. 1 ustawy o ochronie danych osobowych. W dotychczasowym stanie sprawy za niezasadne, a co najmniej przedwczesne uznać należało stanowisko, że dołączenie do dokumentacji medycznej "oświadczenia" o treści "W związku z informacją otrzymaną od Komendy Powiatowej Policji w K. w aspekcie toczącego się postępowania stwierdza się, że dane osobowe Pani M. L. zostały sfałszowane przez Panią E. S. z d. S.", stanowi sprostowania danych osobowych skarżącej w dokumentacji medycznej prowadzonej przez ZOZ w K. w sposób, który przewiduje § 4 ust. 3 rozporządzenia Ministra Zdrowia w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania. W świetle tego przepisu sprostowanie dokumentacji lekarskiej w formie papierowej następuje poprzez zamieszczenie przy wadliwym wpisie adnotacji o przyczynie błędu oraz daty i oznaczenia osoby dokonującej adnotacji. Analogiczne zasady obowiązują w odniesieniu do dokumentacji prowadzonej w formie elektronicznej z uwzględnieniem specyfiki danego systemu informatycznego i rozwiązań technicznych odnośnie sposobu autoryzacji wykreśleń i poprawek. Tymczasem w świetle do tej pory zgromadzonego materiału dowodowego nie można było przyjąć, by włączenie do papierowej dokumentacji medycznej odrębnego dokumentu w postaci wskazanego wyżej oświadczenia skutkowało faktycznym dokonaniem niezbędnych poprawek co do tożsamości pacjentki, której udzielono świadczeń medycznych, w każdym miejscu, gdzie taką wadliwość stwierdzono. Skoro prowadzone postępowanie nie wykazało również w jakiej postaci dane osobowe M. L. są obecnie przetwarzane w medycznym systemie informatycznym ZOZ to nie sposób przyjąć również by, kwestionowane rozstrzygnięcie mogło odnosić się do zapisów w tym systemie. Decyzje nie zawierają żadnych informacji, czy w komputerowej bazie danych tej placówki M. L. figuruje jako pacjent i dopiero poprzez dostęp do szczegółowych danych możliwa jest weryfikacja tożsamości osoby, której faktycznie udzielono pomocy medycznej, czy też do danych skarżącej można dotrzeć wyłącznie poprzez dane osobowe E. S. Te okoliczności wymagały bezwzględnego wyjaśnienia w kontekście dopełnienia przez administratora danych obowiązku, o którym mowa w art. 26 ust. 1 pkt 3 u.o.d.o., tj. zapewnienia merytorycznej poprawności przetwarzanych danych. Z uwagi na opisane wyżej mankamenty postępowania wyjaśniającego Sąd I instancji zasadnie uchylił decyzje Generalnego Inspektora Ochrony Danych Osobowych na podstawie art. 145 § 1 pkt 1 lit. c P.p.s.a. W tym zakresie wywody WSA w Warszawie zasługiwały na uwzględnienie, dlatego też Naczelny Sąd Administracyjny uznał, że zaskarżony wyrok, pomimo częściowo błędnego uzasadnienia, odpowiada prawu. W tym stanie rzeczy, Naczelny Sąd Administracyjny oddalił skargę kasacyjną na podstawie art. 184 P.p.s.a. ----------------------- 12