II SA/Wa 1809/22

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Agnieszka Góra-Błaszczykowska, Protokolant starszy specjalista Joanna Głowala, po rozpoznaniu na rozprawie w dniu 15 maja 2023 r. sprawy ze skarg Dyrektora Samodzielnego Publicznego Zakładu Opieki Zdrowotnej Przychodni Miejskiej w [...] oraz T. B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi

Zaskarżona w niniejszej sprawie decyzją z [...] sierpnia 2022 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), mając za podstawę art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2023 r., poz. 775 ze zm.; dalej: "k.p.a.") w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o."), a także art. 5 ust. 1 lit. a, art. 9 ust. 1 i 2 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1; Dz. Urz. UE L 127 z dnia 23 maja 2018 r., str. 2; Dz. Urz. UE L 74 z dnia 4 marca 2021 r., str. 35; dalej: "RODO") - po przeprowadzeniu postępowania administracyjnego w sprawie z wniosku (skargi) T. B. (dalej: "T. B.", "skarżący T. B.") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Samodzielny Publiczny Zakład Opieki Zdrowotnej Przychodnię Miejską w [...] (dalej: "Przychodnia", "SPZOZ") i Burmistrza Miasta [...] (dalej: "Burmistrz", "uczestnik postępowania"), polegające na: udostępnieniu Burmistrzowi przez Przychodnię pisma z [...] marca 2021 r. zawierającego dane osobowe skarżącego T. B. dotyczące zdrowia; udostępnieniu ww. pisma przez Burmistrza pracownikom Urzędu Miasta [...] (dalej: "Urząd"), w szczególności użytkownikom Elektronicznego Zarządzania Dokumentacją (dalej: "EZD") oraz udostępnieniu przez uczestnika postępowania na stronie Biuletynu Informacji Publicznej (dalej: "BIP") Urzędu treści uchwał o nr [...], [...] i [...] zawierających dane osobowe skarżącego T. B. – udzielił SPZOZ upomnienia za naruszenie art. 9 ust. 1 i art. 5 ust. 1 lit. a RODO polegające na udostępnieniu Burmistrzowi danych osobowych T. B., zawartych w piśmie Przychodni z [...] marca 2021 r. oraz dołączonych do niego załącznikach bez podstawy prawnej (pkt 1) oraz odmówił uwzględnienia wniosku w pozostałym zakresie (pkt 2). Do wydania powyższej decyzji doszło w następujących okolicznościach sprawy. Pismem z [...] kwietnia 2022 r., uzupełnionym pismami z [...] i [...] kwietnia 2022 r. (pisma te zostały przesłane za pośrednictwem elektroniczne platformy komunikacyjnej ePUAP) T. B. zwrócił się do PUODO o wszczęcie postępowania w związku z ujawnieniem tajemnic ustawowo chronionych oraz naruszeniem przepisów dotyczących ochrony danych osobowych poprzez udostępnienie Burmistrzowi przez Przychodnię pisma z [...] marca 2021 r. zawierającego jego dane osobowe dotyczące zdrowia, a następnie udostępnienie tego pisma przez uczestnika postępowania pracownikom Urzędu (zwłaszcza tym użytkującym EZD), jak również umieszczenie przez Burmistrza na stronie BIP Urzędu uchwał o nr: [...], [...] i [...] zawierających dane osobowe skarżącego T. B.. W toku prowadzonego postępowania administracyjnego organ ustalił, że w marcu 2021 r. skarżący T. B. korzystał z programu rehabilitacyjnego realizowanego wspólnie przez SPZOZ oraz Urząd. Uznawszy, iż doszło do naruszenia procedur medycznych związanych z kwalifikacją do ww. programu oraz standardów realizacji procedur medycznych w zakresie rehabilitacji leczniczej, T. B. złożył skargę do Dyrektora Przychodni (dalej też: "skarżący DP"), którą skierował również do wiadomości Burmistrza. Pismem z [...] marca 2021 r. skarżący DP udzielił skarżącemu T. B. odpowiedzi na powyższą skargę, przekazując jednocześnie tę odpowiedź uczestnikowi postępowania. Do pisma skierowanego do Burmistrza załączono dokumentację medyczną obejmującą dane dotyczące zdrowia T. B., co nastąpiło bez wiedzy i zgody tego ostatniego. Zdaniem skarżącego T. B., ww. pismo z [...] marca 2021 r. pochodzące od Dyrektora Przychodni zostało wprowadzone przez pracowników Urzędu do EZD i było dostępne dla użytkowników tego systemu. Podczas składania wyjaśnień w siedzibie organu w dniu [...] czerwca 2022 r., T. B. podniósł, iż "z rozmów oraz korespondencji bezspornie wynikało, że pracownicy sekretariatu Burmistrza p. T. oraz p. K. znali pełną treść skargi oraz załączonych dokumentów. Wynikało to z informacji podawanych przez te osoby oraz zapewnień. W rozmowach nawiązywali do stanu zdrowia, który mógł być wiadomy, tylko dla osoby, która zapoznała się z dokumentacją (...) Podczas wizyty w urzędzie związanych z załatwianiem spraw urzędowych, pracownicy urzędu nawiązywali do mojego stanu zdrowia (...)". Dalej PUODO ustalił, iż skierowane do uczestnika postępowania dwie skargi T. B. na działalność SPZOZ zostały rozpoznane przez Radę Miasta [...] w formie trzech uchwał o nr: [...], [...] i [...], które opublikowano na stronie BIP Urzędu. Według skarżącego T. B., mimo że ww. uchwały dotyczą sprawy indywidualnej, to nadal są ogólnie dostępne wraz z uzasadnieniami zawierającymi informacje o jego procesie leczniczym, co pozwala na zidentyfikowanie go w lokalnej społeczności. Uczestnik postępowania wyjaśnił, że skarga na działalność Przychodni oraz świadczonych w niej usług medycznych z zakresu rehabilitacji została przekazana według właściwości do SPZOZ, bowiem dotyczyła ona sposobu udzielania świadczeń medycznych i zastosowanych procedur medycznych przez pracownika Przychodni. Zatem wychodziła poza zakres nadzoru sprawowanego przez podmiot tworzący, tj. Urząd. Burmistrz podkreślił, iż nie występował do SPZOZ o przekazanie dokumentacji medycznej T. B., jak również nie wnioskował o udzielenie informacji w ramach wyjaśnienia sprawy. Skarżący DP przesłał uczestnikowi postępowania odpowiedź na skargę T. B. wyłącznie według swojego uznania, bez uprzedniego wezwania Burmistrza w tym przedmiocie. Po otrzymaniu z SPZOZ ww. odpowiedzi wraz z danymi osobowymi skarżącego T. B., uczestnik postępowania zwrócił Przychodni to pismo wraz z załącznikami, nie pozostawiając ich w zasobach dokumentacji Urzędu. Ze względu na dane osobowe zawarte w tych dokumentach, zostały one zapieczętowane w kopercie oraz zwrócone SPZOZ. Pismo z [...] marca 2021 r. wraz z załącznikami zostało zaewidencjonowane do systemu EZD, ale bez odwzorowania (tak pisma, jak i jego załączników) w postaci skanu. Omawiane pismo trafiło bezpośrednio do rąk Burmistrza, zaś wewnętrzny nr ewidencyjny w EZD nadano mu wyłącznie w celu odnotowania faktu jego wpływu. Tak więc przedmiotowe pismo nie przechodziło przez Biuro Obsługi Klienta Urzędu, a jego treść nie została umieszczona w EZD. W sekretariacie Burmistrza na piśmie przewodnim postawiono pieczęć z datą wpływu. Następnie pismo z [...] marca 2021 r. wraz z załącznikami (stanowiącymi kopię dokumentacji medycznej) po dostarczeniu do rąk uczestnika postępowania, zostało umieszczone w kopercie, którą zaklejono i przechowywano w zamkniętej szafie w gabinecie Burmistrza do czasu jego zwrotu. Zwrot ww. pisma w zaklejonej kopercie nastąpił osobiście poprzez pracownika Urzędu do rąk Dyrektora Przychodni. Burmistrz wskazał, iż D. T. oraz D. K. nie są pracownikami jego sekretariatu, lecz pracownikami Referatu [...], który to referat według regulaminu organizacyjnego Urzędu zajmuje się (m.in.) sprawami związanymi z działalnością SPZOZ. Pisma kierowane przedmiotowo do referatów Urzędu, trafiają do rąk kierowników referatów, a oni dekretują wykonanie poszczególnych obowiązków podległym pracownikom według przypisanych im zakresów obowiązków. Skarga T. B. na działalność Przychodni oraz świadczonych w niej usług medycznych została zadekretowana do Kierownika Referatu [...] – D. K., która przekazała jej załatwienie podległemu pracownikowi – D. T., zgodnie z podziałem obowiązków pracowników ww. referatu. W rezultacie skarga T. B. została załatwiona przez pracownika odpowiedzialnego za ten zakres realizacji obowiązków w Urzędzie i przekazana według właściwości do skarżącego DP. Zarówno D. K., jak i D. T. posiadają stosowne upoważnienia udzielone przez Burmistrza do przetwarzania danych osobowych w ramach realizacji przypisanych im obowiązków służbowych. W kwestii uchwał o nr: [...], [...] i [...] uczestnik postępowania podał, że zostały opublikowane w BIP, ale zarówno w procedurze uchwałodawczej, jak i w procesie publikacji nie zawierały one danych osobowych skarżącego T. B., ponieważ dane te zostały zanonimizowane. Zgodnie z § 41 ust. 1 Statutu Miasta [...] uchwalonego uchwałą nr 196/VIIl/2020 z dnia 29 maja 2020 r. (Dz. Urz. Woj. Maz. z 2020 r., poz. 6388), ogłoszenie uchwał następuje poprzez ich publikację w BIP. Przedmiotowe uchwały dotyczyły skarg na działalność Dyrektora Przychodni. Stosownie do ustawy o samorządzie gminnym oraz Statutu Miasta [...], skargi na działania gminnych jednostek organizacyjnych rozpatruje rada gminy, która po zapoznaniu się z opinią Komisji Skarg, Wniosków i Petycji, rozstrzyga w danej sprawie w drodze uchwały, podejmowanej na sesji rady. Integralną częścią uchwały jest jej uzasadnienie, z którego wynikają przyczyny uznania skargi za zasadną lub bezzasadną. W ocenie Burmistrza, nie jest prawdą twierdzenie skarżącego T. B., że informacje zawarte w uzasadnieniu ww. uchwał pozwalają zidentyfikować go w lokalnej społeczności. Wniosek taki T. B. wywiódł na podstawie rozmowy z pracownikiem Przychodni, w której jest znany ze względu na korzystanie ze świadczeń medycznych oraz składane wnioski skargowe rodzące dla placówki znane wśród jej pracowników konsekwencje. Pismem z [...] maja 2022 r. Burmistrz poinformował skarżącego T. B. (w odpowiedzi na jego wniosek z [...] kwietnia 2022 r.) o podstawie prawnej publikacji omawianych uchwał w BIP. Natomiast w piśmie z [...] maja 2022 r. uczestnik postępowania podtrzymał swojej stanowisko, stwierdzając brak podstaw prawnych do usunięcia tych uchwał z BIP, czego domagał się T. B. w kolejnym wniosku z [...] maja 2022 r. Skarżący DP zaznaczył, że przetwarza dane skarżącego T. B. w związku z udzielaniem mu świadczeń medycznych. Podstawą do przetwarzania danych osobowych jest m.in. zawarta [...] grudnia 2020 r. pomiędzy Przychodnią i Urzędem umowa o udzielanie zamówienia na realizację świadczeń zdrowotnych z zakresu rehabilitacji dla mieszkańców miasta [...] (dalej: "umowa"). Wedle § 13 umowy, SPZOZ nie ujawnił danych osobowych T. B. podmiotom nieuprawnionym, gdyż to on sam osobiście udostępnił swoje dane medyczne tak Radzie Miasta [...], jak i Burmistrzowi, opisując szczegółowo swój stan zdrowia oraz przebyte schorzenia, w celu wykazania rzekomych nieprawidłowości w zakresie udzielonych mu zabiegów rehabilitacyjnych. Ponadto, zdaniem Dyrektora Przychodni, podstawą do udostępnienia danych T. B. była treść podpisanej przez niego klauzuli informacyjnej: "Pani/Pana dane osobowe mogą być udostępniane wyłącznie osobom i podmiotom uprawnionym na mocy art. 26 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, w szczególności: przedstawicielom ustawowym pacjenta, osobom upoważnionym przez pacjenta, Narodowemu Funduszowi Zdrowia, Rzecznikowi Praw Pacjenta oraz innym organom władzy publicznej i podmiotom wskazanym w ustawie oraz dostawcom na rzecz Administratora". Powyższe wskazuje na uprawnienie Urzędu do pozyskania danych osobowych T. B. chociażby ze względu na konieczność kontroli świadczeń zdrowotnych finansowanych przez Urząd w oparciu o art. 9a i art. 9b ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych. Dodatkowo w umowie zawarty jest następujący zapis: "Upoważnieni pracownicy Udzielającego zamówienia (tj. Urzędu) mogą badać dokumenty i inne nośniki informacji, które mają lub mogą mieć znaczenie dla oceny prawidłowości wykonywania Zamówienia oraz żądać udzielenia ustnie lub na piśmie informacji dotyczących wykonania Zamówienia". Oceniając zebrany w sprawie materiał dowodowy, PUODO uznał, że udostępnienie przez Przychodnię danych osobowych T. B. zawartych w piśmie z [...] marca 2021 r. naruszyło art. 9 ust. 1 oraz art. 5 ust. 1 lit. a RODO. SPZOZ, ujawniając dane skarżącego T. B., nie legitymował się żadną z przesłanek określonych w art. 9 ust. 2 RODO, uprawniających do udostępniania jego danych Burmistrzowi. Tym bardziej podstawy takiej nie mogły stanowić wskazywane przez Przychodnię art. 9a i art. 9b ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, a to ze względu na brak żądania ze strony podmiotu kontrolującego. W sytuacji jaka zaistniała w rozpatrywanej sprawie, tj. gdy uczestnik postępowania nie tylko nie zwrócił się do SPZOZ o złożenie wyjaśnień w sprawie, lecz przede wszystkim o udostępnienie dokumentacji medycznej T. B., Przychodnia nie miała prawa udostępniać mu szczególnych kategorii danych osobowych, w tym tych przetwarzanych w dokumentacji medycznej. Dane zawarte w dokumentacji medycznej podlegają szczególnej ochronie przewidzianej nie tylko w przepisach RODO, ale również w ustawie z dnia 8 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta. Dane te należą do sfery prywatności pacjenta, a poszanowanie ich poufności ma kluczowe znaczenie dla utrzymania zaufania pacjenta (petenta) do zawodu lekarza oraz do podmiotu wykonującego świadczenia z zakresu opieki medycznej. Odnosząc się do wniosku skarżącego T. B. o wystąpienie przez PUODO do Rzecznika Praw Pacjenta o udostępnienie akt postępowania [...], organ wskazał, że fakt udostępnienia przez Przychodnię danych osobowych T. B. został przez niego w sposób dostateczny i niepozostawiający wątpliwości udowodniony już na etapie złożenia skargi do organu, a następnie potwierdzony w toku postępowania. Dlatego nie było konieczne dalsze podejmowanie wnioskowanych przez skarżącego T. B. działań w tym kierunku. Także za zbędny PUODO uznał wniosek T. B. o wystąpienie do Urzędu o dokumentację dotyczącą udostępnienia przez Przychodnię uczestnikowi postępowania pisma zawierającego jego dane osobowe. Nie było też konieczne pozyskiwanie dokumentów z Biura Rzecznika Praw Obywatelskich. Dalej organ stwierdził, iż działanie pracowników Urzędu znajduje oparcie w art. 29 RODO, zgodnie z którym każda osoba działająca z upoważnienia administratora i mająca dostęp do danych osobowych przetwarza je wyłącznie na polecenie administratora. Pracownicy Urzędu posiadali stosowne upoważnienie udzielone przez Burmistrza. W tym kontekście PUODO uznał za niezasadne wnioski T. B. o wystąpienie do Urzędu o zobrazowanie obiegu dokumentacji czy wyjaśnienie przez uczestnika postępowania przyczyn, dla których w sposób niezwłoczny nie zwrócił on nadawcy pisma z [...] marca 2021 r. z załącznikami. Brak jest również podstaw do przyjęcia od osób towarzyszących skarżącemu T. B. podczas wizyty w Urzędzie i SPZOZ oświadczeń na okoliczność inicjowania przez pracowników ww. podmiotów rozmów i komentarzy dotyczących stanu jego zdrowia oraz zawarcia w treści uchwał opublikowanych przez Urząd informacji pozwalających na zidentyfikowanie go w lokalnej społeczności. Tego rodzaju dowód mógłby ewentualnie potwierdzić fakt, że pracownicy, w ramach pełnienia swoich obowiązków służbowych, posiadali informacje na temat stanu zdrowia T. B. i o tym dyskutowali, lecz nie wykazałby, iż administrator danych, tj. Urząd udostępnił te dane na rzecz innych osób. Odnośnie zaś wniosku T. B. o zwrócenie się do Urzędu o wskazanie sposobu i środków ochrony pisma z [...] marca 2021 r. z załącznikami, POUDO zaakcentował, że sposoby zabezpieczenia danych osobowych, ich adekwatność oraz skuteczność mogą być jedynie przedmiotem postępowania wszczętego przez organ z urzędu. Realizacja kompetencji PUODO ma na celu przywrócenie stanu zgodnego z prawem w sytuacjach, w których jest to możliwe. Postępowanie administracyjne prowadzone na podstawie skargi może dokonać oceny stosowanych metod zabezpieczenia danych osobowych w przypadku, gdy w toku wszczętego postępowania administracyjnego zostanie stwierdzone, iż w procesie przetwarzania doszło do naruszenia prawa do ochrony danych osobowych. Zatem organ nie mógł dokonać oceny w zakresie zabezpieczeń danych osobowych przetwarzanych przez Urząd. Także wniosek T. B. o wystąpienie do Urzędu o przekazanie dokumentacji dotyczącej wyrażenia zgody na zapoznanie się z aktami postępowania skargowego przez członków Rady Miasta oraz pracowników Urzędu obsługujących pracę Rady Miasta organ ocenił jako nieuzasadniony, ponieważ zgoda może być podstawą przetwarzania danych tylko wówczas, kiedy nie występują inne przesłanki legalizujące, określone w art. 6 ust. 1 RODO. W niniejszym postępowaniu zgoda nie została uznana przez PUODO za podstawę przetwarzania co do żadnej z operacji przetwarzania danych T. B.. Ponadto bez znaczenia dla sprawy byłoby uwzględnienie przez organ wniosku T. B. o wystąpienie do Urzędu o przekazanie wiadomości poczty elektronicznej na okoliczność wykazania tego, iż to skarżący T. B. sam przesłał Urzędowi dokumenty zawierające dane dotyczące jego stanu zdrowia, gdyż ta kwestia pozostaje poza zakresem wyznaczonym treścią jego skargi oraz nie wpływa w żaden sposób na ocenę stanu faktycznego i prawnego sprawy. PUODO stanął na stanowisku, iż anonimizacja uchwał przez Urząd skutkowała brakiem udostępnienia danych osobowych T. B. do publicznej wiadomości. Tak więc nie można mówić o nieprawidłowościach w przetwarzaniu jego danych osobowych. Dane zawarte w opublikowanych w BIP dokumentach nie pozwalały, zdaniem organu, na ustalenie tożsamości skarżącego T. B., gdyż nie posiadały waloru danych osobowych w rozumieniu art. 4 pkt 2 RODO. Na identyfikację T. B. nie mogło mieć wpływu wskazanie w uchwale opisu przedmiotu skargi czy daty jej wpływu. Opublikowanie uchwał nie naruszyło zasady minimalizacji danych, o której mowa w art. 5 ust. 1 lit. c RODO. Nadto z art. 11b ust. 2 ustawy z dnia 8 marca 1990 r. o samorządzie gminnym (Dz. U. z 2023 r., poz. 40 ze zm.; dalej: "u.s.g.") oraz art. 18 ust. 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2022 r., poz. 902; dalej: "u.d.i.p.") wynika zasada pełnej jawności zarówno sesji rady gminy, jak i materiałów dokumentujących przebieg tej sesji, które są już udostępniane po zakończeniu sesji. Zasady jawności działania rady powinna być także świadoma osoba, której sprawa jest rozpatrywana przez ten organ, szczególnie gdy następuje to z jej inicjatywy. Jawność sesji rady gminy została wprost przewidziana w art. 61 ust. 1 i 2 Konstytucji RP. Dlatego wyrażenie przez skarżącego T. B. sprzeciwu odnośnie publikacji uchwał w BIP w żaden sposób nie wpływa na wynik niniejszego postępowania, albowiem każda informacja o sprawach publicznych podlega udostępnieniu na zasadach i w trybie określonych w ustawie i jej udostępnienie jest niezależne od zgody osoby, której informacja dotyczy. PUODO nie uwzględnił też wniosku T. B. o przekazanie regulacji dotyczących publikowania uchwał w BIP, gdyż proces publikacji tych uchwał opierał się na podstawie przepisów prawa. Odnosząc się do zarzutu T. B. o braku informacji o sposobie realizacji jego wniosków dowodowych, organ wyjaśnił, że pismem z [...] czerwca 2022 r. skarżący T. B. został poinformowany, iż wszelkie złożone przez niego wnioski dowodowe zostaną rozpatrzone w momencie wydania decyzji kończącej sprawę, co też organ uczynił w niniejszej decyzji. Nadto skarżący T. B. był informowany o przeprowadzonych przez organ czynnościach (m.in. pismami z [...] czerwca 2022 r. oraz postanowieniem z [...] czerwca 2022 r.). Przy piśmie z [...] lipca 2022 r. został skarżącemu T. B. przekazany (w odpowiedzi na jego żądanie) protokół ze złożonych przez niego oświadczeń w dniu [...] czerwca 2022 r. Z kolei postanowieniem z [...] lipca 20221 r. PUODO rozpoznał wniosek T. B. o wyłączenie pracowników prowadzących oraz nadzorujących rozpoznanie sprawy, odnosząc się do zarzutów w zakresie wątpliwości co do ich bezstronności. Natomiast pismem z [...] lipca 2022 r. skarżący T. B. został powiadomiony o sposobie rozpatrzenia ponaglenia złożonego w trybie art. 37 k.p.a. Wreszcie brak było podstaw prawnych w świetle art. 63 § 1 i 3 oraz art. 75 § 2 k.p.a. do uwzględnienia wniosku T. B. (ponawianego w kolejnych pismach) o sporządzenie drukowanej wersji protokołu z przyjęcia oświadczenia z [...] lipca 2022 r., skoro protokół ten, sporządzony odręcznie przez pracownika Urzędu, był czytelny. Ponadto w kwestii wniosku skarżącego T. B. o przystąpienie PUODO jako oskarżyciela posiłkowego do postępowania toczącego się w prokuraturze wskutek złożenia zawiadomienia o podejrzeniu popełnienia przestępstwa, organ wskazał na brak swoich kompetencji do występowania w charakterze oskarżyciela posiłkowego w postępowaniu karnym. Przepisy u.o.d.o. przewidują, że do postępowania w sprawie o roszczenie z tytułu naruszenia przepisów o ochronie danych osobowych, w zakresie nieuregulowanym ustawą stosuje się przepisy ustawy z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego, a nie procedury karnej, w ramach której T. B. złożył zawiadomienie o podejrzeniu popełnienia przestępstwa. Opisana wyżej decyzja stała się przedmiotem skarg do Wojewódzkiego Sądu Administracyjnego w Warszawie tak Dyrektora Przychodni (sprawa o sygn. akt II SA/Wa 1809/22), jak i T. B. (sprawa o sygn. akt II SA/Wa 1810/22). Dyrektor Przychodni zaskarżył pkt 1 decyzji PUODO z [...] sierpnia 2022 r. (dotyczący udzielenia SPZOZ upomnienia), zarzucając naruszenie przepisów postępowania, które miały wpływ na wynik sprawy, tj. art. 7 w związku z art. 77 § 1 w związku z art. 80 w związku z art. 107 § 3 k.p.a. poprzez brak przedsięwzięcia przewidzianych prawem czynności służących wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych w przedmiotowej sprawie oraz zaniechanie zebrania materiału dowodowego niezbędnego do rozstrzygnięcia przedmiotowej sprawy, a w konsekwencji niewyjaśnienie wszystkich okoliczności istotnych dla rozstrzygnięcia sprawy, skutkujących błędnym uznaniem, iż: a) przetwarzanie danych osobowych T. B. odbywało się przez skarżącego DP bez podstawy prawnej, w rzeczywistości zaś pacjent dobrowolnie wyraził zgodę w skardze z [...] marca 2021 r. na przekazanie Burmistrzowi oraz Radzie Miasta [...] dokumentacji medycznej zawierającej dane dotyczące jego stanu zdrowia, czego konsekwencją było wysłanie pisma z [...] marca 2021 r. do uczestnika postępowania, b) dane osobowe dotyczące stanu zdrowia oraz przebytych zabiegów przez T. B. zostały ujawnione pracownikom Urzędu – D. T. oraz D. K. przez skarżącego DP, podczas gdy w rzeczywistości dane te ujawnił sam T. B. w treści skargi z [...] marca 2021 r., c) dane osobowe dotyczące stanu zdrowia oraz przebytych zabiegów przez T. B. były przetwarzane przez ww. pracowników Urzędu. W świetle tak sformułowanych zarzutów Dyrektor Przychodni wniósł o uchylenie decyzji w zaskarżonej części oraz zobowiązanie organu do dopuszczenia i przeprowadzenia dowodu z: • akt postępowania nr [...] prowadzonego przez Rzecznika Praw Pacjentów, na okoliczność wykazania, iż T. B. sam ujawnił dane dotyczące swojego stanu zdrowia oraz przebytych zabiegów Burmistrzowi oraz dobrowolnie wyraził zgodę na udostępnienie jego dokumentacji medycznej uczestnikowi postępowania oraz Radzie Miasta [...], co w konsekwencji wyklucza przypisanie SPZOZ w decyzji nieprawidłowości w procesie przetwarzania danych osobowych T. B. bez podstawy prawnej; • zeznań w charakterze świadków: D. T. i D. K., wezwanych na adres Urzędu na okoliczność zweryfikowania prawdziwości twierdzeń T. B., w których wskazuje on, że pracownicy sekretariatu Burmistrza znali treść jego skargi, a jeśli tak, to w jakich okolicznościach poznali jej treść i czy w rozmowach nawiązywali do stanu zdrowia T. B.; w konsekwencji wykazania braku podstaw do uznania przez PUODO, iż dane osobowe T. B. przetwarzane były przez Przychodnię bez podstawy prawnej; • dokumentu - wydruku treści maila z [...] marca 2021 r., znajdującego się także w aktach postępowania przed Rzecznikiem Praw Pacjentów, na okoliczność wykazania, że skarżący T. B. dobrowolnie wyraził zgodę na przekazanie jego dokumentacji medycznej do Urzędu; w rezultacie wykazanie, iż udostępnienie Burmistrzowi danych osobowych T. B., zawartych w piśmie z [...] marca 2021 r. oraz załączonych do ww. pisma załącznikach odbyło się leganie za zgodą skarżącego T. B.. W uzasadnieniu skargi Dyrektor Przychodni rozwinął poszczególne jej zarzuty. Z kolei skarżący T. B. sformułował zarzut naruszenia art. 11b u.s.g., a także art. 1 w związku z art. 6, art. 3, art. 8 oraz art. 5 ust. 1, 2 i 2a u.d.i.p. poprzez ich niewłaściwą wykładnię, które to naruszenie skutkowało błędną oceną dopuszczalności publikacji uchwał organu samorządowego. W szczególności całkowicie pominięto przy ocenie ustalonego stanu faktycznego regulacje zawarte w art. 5 ust. 1 i 2 u.d.i.p. Odnosząc się do "szczątkowej, wybiorczej, subiektywnej i jednostronnej argumentacji dotyczącej publikacji uchwał (...) wraz z uzasadnieniem", skarżący T. B. podkreślił, że przepisy prawa odnoszące się do jawności działalności organów samorządu terytorialnego, tj. art. 11b u.s.g. oraz art. 1 w związku z art. 6, art. 3 i art. 8 u.d.i.p., zobowiązują organ gminy do udostępnienia informacji w postaci uchwał rady gminy/miasta w BIP. Uchwały rady gminy co do zasady mieszczą się w kategorii aktów, o których stanowi przepis art. 6 ust.1 pkt 4 lit. a u.d.i.p. i podlegają udostępnieniu jako informacja zawierająca dane publiczne. Niemniej jednak należy zwrócić uwagę, iż prawo do informacji publicznej powinno być realizowane z poszanowaniem prawa do prywatności poszczególnych osób fizycznych, zagwarantowanego konstytucyjnie i ustawowo. Przepisy art. 5 ust. 1, 2 i 2a u.d.i.p. przewidują taką ochronę, wyłączając z niej jedynie osoby pełniące funkcje publiczne. Istotne jest więc proporcjonalne wyważenie tych dwóch wartości, czyli ujawnienia informacji o działalności organów władzy publicznej oraz prawa do prywatności osoby fizycznej. T B. na poparcie swojego stanowiska przytoczył poglądy doktryny i judykatury. W piśmie z [...] listopada 2022 r. skarżący T. B. zawnioskował o przeprowadzenie dowodu z decyzji PUODO z [...] października 2022 r. w przedmiocie przetwarzania przez organ danych osobowych innej niż T. B. osoby fizycznej – przetwarzania polegającego na udostępnieniu jej danych osobowych podmiotowi nieuprawnionemu. Na rozprawie w dniu 15 maja 2023 r. Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 111 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 259 ze zm.; dalej: "p.p.s.a.") zarządził połączenie sprawy o sygn. akt II SA/Wa 1809/22 (ze skargi Dyrektora Przychodni) i sprawy o sygn. akt II SA/Wa 1810/22 (ze skargi T. B.) w celu wspólnego rozpoznania i rozstrzygnięcia oraz dalszego prowadzenia pod sygn. akt II SA/Wa 1809/22. Ponadto na podstawie art. 106 § 3 p.p.s.a. Sąd postanowił oddalić wniosek dowodowy zawarty w piśmie skarżącego T. B. z [...] listopada 2022 r. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Obie skargi nie zasługują na uwzględnienie, bowiem zaskarżona decyzja odpowiada prawu. Przedmiotem skargi jest udostępnienie Burmistrzowi przez Dyrektora Przychodni pisma z [...] marca 2021 r. zawierającego dane osobowe T. B. w zakresie danych dotyczących zdrowia oraz udostępnienie ww. pisma przez Burmistrza pracownikom Urzędu, w szczególności użytkownikom EZD, a także udostępnienie przez uczestnika postępowania uchwał o nr [...], [...], [...] na stronie BIP Urzędu. Niniejsza sprawa dotyczy zatem przetwarzania szczególnej kategorii danych osobowych jakimi są dane dotyczące stanu zdrowia, a mianowicie tzw. danych wrażliwych (sensytywnych). Zgodnie z motywem 35 preambuły RODO, do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie dane o stanie zdrowia osoby, której dane dotyczą, ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia osoby, której dane dotyczą. Do danych takich należą informacje o danej osobie fizycznej zbierane podczas jej rejestracji do usług opieki zdrowotnej lub podczas świadczenia jej usług opieki zdrowotnej, jak to określa dyrektywa Parlamentu Europejskiego i Rady 2011/24/UE; numer, symbol lub oznaczenie przypisane danej osobie fizycznej w celu jednoznacznego zidentyfikowania tej osoby fizycznej do celów zdrowotnych; informacje pochodzące z badań laboratoryjnych lub lekarskich części ciała lub płynów ustrojowych, w tym danych genetycznych i próbek biologicznych; oraz wszelkie informacje, na przykład o chorobie, niepełnosprawności, ryzyku choroby, historii medycznej, leczeniu klinicznym lub stanie fizjologicznym lub biomedycznym osoby, której dane dotyczą, niezależnie od ich źródła, którym może być na przykład lekarz lub inny pracownik służby zdrowia, szpital, urządzenie medyczne lub badanie diagnostyczne in vitro. W myśl art. 4 pkt 15 RODO, dane dotyczące zdrowia oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej - w tym o korzystaniu z usług opieki zdrowotnej - ujawniające informacje o stanie jej zdrowia. Dane o stanie zdrowia objęte są ochroną prawną życia prywatnego. Prawo to należy do praw osobistych ujętych w art. 47 Konstytucji Rzeczypospolitej Polskiej. Przepis art. 9 w ust. 1 RODO formułuje zakaz przetwarzania danych wrażliwych, przy czym w ust. 2 zostały przewidziane następujące wyjątki od tego zakazu: a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1; b) przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą; c) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody; d) przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą; e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą; f) przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy; g) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą; h) przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3; i) przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową; j) przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą. Stosownie zaś do treści art. 9 ust. 3 RODO, dane osobowe, o których mowa w ust. 1, mogą być przetwarzane do celów, o których mowa w ust. 2 lit. h), jeżeli są przetwarzane przez - lub na odpowiedzialność - pracownika podlegającego obowiązkowi zachowania tajemnicy zawodowej na mocy prawa Unii lub prawa państwa członkowskiego, lub przepisów ustanowionych przez właściwe organy krajowe lub przez inną osobę również podlegającą obowiązkowi zachowania tajemnicy zawodowej na mocy prawa Unii lub prawa państwa członkowskiego, lub przepisów ustanowionych przez właściwe organy krajowe. Według art. 5 ust. 1 lit. a, lit. b i lit. c RODO, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (zgodność z prawem, rzetelność i przejrzystość), zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami (ograniczenie celu) oraz adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (minimalizacja danych). Na gruncie stanu faktycznego kontrolowanej sprawy niesporne jest dobrowolne przekazanie Burmistrzowi przez SPZOZ pisma T. B. z [...] marca 2021 r. (stanowiącego odpowiedź na skargę T. B. z [...] marca 2021 r.) wraz z załącznikami obejmującymi informacje o jego leczeniu. Uczestnik postępowania nie zwracał się do skarżącego DP ani o przekazanie odpowiedzi na skargę T. B. ani o jakiekolwiek informacje w tej kwestii w trybie art. 27 ust. 4 pkt 4 ustawy o działalności leczniczej. Okoliczność, iż uprzednio – w skardze z [...] marca 2021 r. T. B. – ujawnił dane dotyczące swojego stanu zdrowia nie tylko SPZOZ, ale też Burmistrzowi (przekazując do wiadomości tego ostatniego ww. skargę) nie zwalnia Przychodni z odpowiedzialności za przetwarzanie danych T. B., polegające na przekazaniu uczestnikowi postępowania pisma z [...] marca 2021 r. z załącznikami. Prawidłowo organ nie dopatrzył się spełnienia żadnej z wymienionych w art. 9 ust. 2 RODO przesłanek legalizujących przetwarzanie szczególnych kategorii danych osobowych. Nie sposób uznać działania skarżącego T. B. w postaci złożenia skargi z [...] marca 2021 r. do Przychodni i przekazania jej do wiadomości Burmistrzowi za wyrażenie zgody na przetwarzanie danych dotyczących zdrowia, o której mowa w art. 9 ust. 2 lit. a RODO. Według tego przepisu, zgoda osoby, której tego rodzaju dane dotyczą, musi być wyraźna i wyrażona w jednym lub kilku konkretnych celach. Pojęcie zgody definiuje art. 4 pkt 11 RODO – otóż zgoda osoby, której dane dotyczą, oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych. Z całą pewnością taka sytuacja nie miała miejsce w niniejszej sprawie. Zastosowanie przez PUODO wobec Przychodni, którą reprezentuje skarżący DP, uprawnienia naprawczego w postaci upomnienia z art. 58 ust. 2 lit. b RODO, jest wystarczające przy uwzględnieniu charakteru, wagi oraz czasu trwania naruszenia, a także innych istotnych okoliczności związanych z zachowaniem administratora danych. W tym przypadku naruszenie można uznać za niewielkie (vide motyw 148 preambuły RODO) i niestanowiące poważnego zagrożenia dla praw osoby, której dane dotyczą (vide Wytyczne Grupy Roboczej Art. 29 w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów rozporządzenia Nr 2016/679 (WP 253). Trafnie też organ nie przypisał uczestnikowi postępowania naruszenia w przetwarzaniu danych dotyczących zdrowia T. B.. Zarówno Burmistrz, jak i pracownicy Urzędu dopilnowali, aby pismo z [...] marca 2021 r. z załącznikami nie zostało odwzorowane w EZD; przekazano je do rąk uczestnika postępowania, który zadbał o jego właściwe przechowanie (włożono je do koperty, którą zaklejono, a następnie kopertę tę umieszczono w zamkniętej szafie w gabinecie Burmistrza) oraz zwrot do nadawcy. Na ocenę działania uczestnika postępowania nie mają wpływu zarzuty skarżącego T. B., że zwrot ten nastąpił dopiero po jego interwencji i nie dokonano go wystarczająco szybko. Istotny jest brak nieprawidłowości w przetwarzaniu danych. Podobnie nie ma znaczenia przekonanie T. B., iż stan jego zdrowia jest przedmiotem komentarzy czy rozmów pracowników Urzędu, zwłaszcza, jeśli zważy się fakt licznych skarg kierowanych przez niego do Urzędu. Chybione są zarzuty skargi T. B. odnośnie naruszenia art. 11b u.s.g. oraz art. 1 w związku z art. 6, art. 3, art. 8 oraz art. 5 ust. 1, 2 i 2a u.d.i.p. poprzez ich niewłaściwą wykładnię, co skutkowało błędną oceną dopuszczalności publikacji uchwał nr: [...], [...] i [...]. Uchwały te dotyczą działalności Dyrektora Przychodni, tj. podmiotu wykonującego funkcje publiczne. Stosownie zaś do treści art. 8 ust. 3 u.d.i.p., podmioty, o których mowa w art. 4 ust. 1 i 2, obowiązane są do udostępniania w BIP informacji publicznych, o których mowa w art. 6 ust. 1 pkt 1-3, pkt 4 lit. a tiret drugie, lit. c oraz d oraz pkt 5. Przypomnieć także należy, że zgodnie z § 81 Statutu Miasta [...], skargi na działania gminnych jednostek organizacyjnych rozpatruje rada gminy, która po zapoznaniu się z opinią Komisji Skarg, Wniosków i Petycji rozstrzyga w danej sprawie w drodze uchwały, podejmowanej na sesji rady. Natomiast w myśl § 41 ust. 1 Statutu Miasta [...], ogłoszenie uchwał następuje poprzez ich publikację w Biuletynie Informacji Publicznej. Ponadto dane osobowe skarżącego T. B. w zakresie imienia i nazwiska, czyli tzw. zwykłe dane osobowe, zostały zanonimizowane, a zatem podjęto działania uniemożliwiające zidentyfikowanie go w treści ww. uchwał. Nie można więc skutecznie zarzucić uczestnikowi postępowania nieprawidłowego przetwarzania danych osobowych w kontekście publikacji przedmiotowych uchwał. Nie ma tu również znaczenia subiektywne odczucie T. B., że poprzez omawianą publikację jest on identyfikowalny w lokalnej społeczności. Tutejszy Sąd nie uwzględnił wniosku dowodowego zgłoszonego przez skarżącego T. B. w piśmie z [...] listopada 2022 r. Według art. 106 § 3 p.p.s.a. sąd może z urzędu lub na wniosek stron przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. Celem postępowania dowodowego, o którym mowa w cyt. wyżej przepisie, jest ocena, czy organ prawidłowo ustalił stan faktyczny sprawy i czy prawidłowo zastosował przepisy prawa materialnego do poczynionych ustaleń, co oznacza, że postępowanie dowodowe przed sądem administracyjnym nie może zmierzać do rozpatrzenia sprawy, w tym ustalania stanu faktycznego sprawy. Objęta wnioskiem dowodowym T. B. decyzja PUODO z [...] października 2022 r., odmawiająca uwzględnienia wniosku (skargi) dotyczącego nieprawidłowego przetwarzania danych osobowej innej niż T. B. osoby fizycznej (poprzez udostępnienie danych osobowych nieuprawnionej osobie) w żaden sposób nie jest przydatna do dokonania zgodności z prawem stanu faktycznego ustalonego przez organ. Ponadto Sąd nie powziął wątpliwości co do ustaleń poczynionych przez PUODO. W wyniku przeprowadzenia analizy stanowiska organu zaprezentowanego w uzasadnieniu zaskarżonej decyzji, Sąd stwierdził, że - wbrew zarzutom skargi Dyrektora Przychodni - PUODO nie dopuścił się, mogącego mieć istotny wpływ na wynik sprawy, naruszenia przepisów procedury administracyjnej, a w szczególności art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 u.o.d.o., albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej oceny zebranego w sprawie materiału dowodowego, przeprowadzając jednocześnie tę ocenę w kontekście właściwie zastosowanych przepisów prawa materialnego. W uzasadnieniu zaskarżonej decyzji w sposób dostatecznie klarowny i przekonywujący zostały wyjaśnione motywy jej podjęcia, a przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowisk tak obojga skarżących, jak i uczestnika postępowania. Dostrzec również wypada, iż wbrew zarzutom skarżącego T. B. – zgłaszanych w toku postępowania administracyjnego – organ na bieżąco rozpatrywał liczne jego wnioski, w tym dowodowe, jak też odniósł się do nich w uzasadnieniu zaskarżonej decyzji. Nie znajdując podstaw do uwzględnienia skarg, Wojewódzki Sąd Administracyjny w Warszawie oddalił je w oparciu o art. 151 p.p.s.a.