II SA/Wa 469/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska (spr.), Sędzia WSA Andrzej Góraj, Sędzia WSA Joanna Kube, po rozpoznaniu na posiedzeniu niejawnym w dniu 8 stycznia 2021 r. sprawy ze skargi M. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.

Prezes Urzędu Ochrony Danych Osobowych wydał w dniu [...] stycznia 2021 r. decyzję nr [...], którą na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r., poz. 1257 oraz z 2018 r. poz. 149) oraz art. 6 ust. 1 lit. c oraz art. 58 ust. 2 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), odmówił uwzględnienia wniosku M. K. Do Urzędu Ochrony Danych Osobowych wpłynęła skarga M. K. na przetwarzanie jej danych osobowych przez [...] Sp. z o.o. z siedzibą w T. W treści wskazano na brak podstaw do przetwarzania jej danych osobowych. W toku prowadzonego postępowania administracyjnego, Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny. Dane osobowe skarżącej są przetwarzane przez Spółkę w zakresie imienia, nazwiska, adresu zamieszkania oraz numeru telefonu. Dane zawarte są jedynie w kartach uodpornienia małoletnich dzieci skarżącej w związku ze sprawowaniem przez nią prawnej pieczy nad małoletnimi. Prezes Urzędu Ochrony Danych Osobowych w decyzji z dnia [...] grudnia 2019 r. stwierdził, że przetwarzanie tzw. "danych zwykłych" regulowane jest w art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwane dalej: RODO. Zgodnie z tym przepisem, przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Wskazać również należy, że zgodnie z art. 6 ust. 1 RODO, przetwarzanie "danych zwykłych" może nastąpić niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) i jest dopuszczalne również między innymi wtedy, gdy jest to niezbędne dla wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO). Zgodnie z art. 28 ust. 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych (t.j. Dz. U. z 2019 r. poz. 1373 z późn. zm.), świadczeniobiorca ma prawo wyboru świadczeniodawcy udzielającego świadczeń z zakresu podstawowej opieki zdrowotnej. W przypadku osoby bez pełnej zdolności do czynności prawnych, odpowiedzialność za spełnienie tego obowiązku ponosi osoba, która sprawuje prawną pieczę lub faktyczną opiekę nad osobą małoletnią lub bezradną, zgodnie z art. 3 ust. 1 pkt 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2017 r. poz. 1318 z późń. zm.). Skarżąca jako osoba sprawująca prawną pieczę nad małoletnimi, zgodnie z przywołanymi przepisami, dokonała wyboru świadczeniodawcy udzielającego świadczeń z zakresu podstawowej opieki zdrowotnej. Na świadczeniodawcę wybrano przychodnię prowadzoną przez Spółkę. Zgodnie z art. 5 ust. 1 pkt 1 ppkt b ustawy z dnia 5 grudnia 2008 o zabieganiu oraz zwalczaniu zakażenia i chorób zakaźnych u ludzi (Dz. U. Nr 234, poz. 1570), zwanej dalej "u.z.z.", osoby przebywające na terytorium Rzeczpospolitej Polskiej są zobowiązane na zasadach określonych w tej ustawie do poddawania się szczepieniom ochronnym. W przypadku osoby bez pełnej zdolności do czynności prawnych, odpowiedzialność za spełnienie tego obowiązku ponosi osoba, która sprawuje prawną pieczę lub faktyczną opiekę nad osobą małoletnią lub bezradną, zgodnie z art. 3 ust. 1 pkt 1 ustawy o prawach pacjenta i RPP. Przestrzeganie ustawowego obowiązku poddania się szczepieniom ochronnym przeciw chorobom zakaźnym wynikającego z art. 5 ust. 1 pkt 1 ppkt b u.z.z., zabezpieczone zostało przymusem administracyjnym. Ponadto, zgodnie z art. 17 ust. 8 u.z.z. osoby przeprowadzające szczepienia ochronne prowadzą dokumentację medyczną dotyczącą obowiązkowych szczepień, przechowują karty uodpornienia, dokonują wpisów potwierdzających wykonanie szczepienia, sporządzają sprawozdania z przeprowadzonych szczepień ochronnych oraz sporządzają sprawozdania ze stanu zaszczepienia osób objętych profilaktyczną opieką zdrowotną, które przekazywane są do odpowiedniego Państwowego Powiatowego Inspektora Sanitarnego. Zgodnie z art. 3 § 1 w zw. z art. 2 § 1 pkt 10 ustawy z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji (Dz. U. 2014 r. poz. 1619 ze zm.), zwanej dalej "u.p.e.a.", egzekucję administracyjną stosuje się do obowiązków o charakterze niepieniężnym pozostających we właściwości organów administracji rządowej i samorządu terytorialnego lub przekazanych do egzekucji administracyjnej na podstawie szczególnego przepisu. W rozumieniu art. 1a pkt 13 u.p.e.a. wierzycielem jest podmiot uprawniony do żądania wykonania obowiązku lub jego zabezpieczenia w administracyjnym postępowaniu egzekucyjnym lub zabezpieczającym, natomiast zgodnie z art. 5 § 1 pkt 2 u.p.e.a. uprawnionym do żądania wykonania w drodze egzekucji administracyjnej obowiązku określonego w art. 2 § 1 pkt 10 u.p.e.a. jest organ lub instytucja bezpośrednio zainteresowana w wykonaniu przez zobowiązanego obowiązku albo powołana do czuwania nad wykonaniem obowiązku. Małoletnie dzieci skarżącej były pacjentami przychodni prowadzonej przez Spółkę, która przeprowadzała szczepienia ochronne. Przychodnia prowadziła dla każdego z nich dokumentację medyczną, zgodnie z wymogami ustawy o prawach pacjenta i RPP oraz u.z.z. Artykuł 29 ust. 1 ustawy o prawach pacjenta i RPP nakłada na podmioty prowadzące dokumentację medyczną obowiązek przechowywania tejże dokumentacji przez określony czas. Organ wskazał, że również § 4 ust. 3 rozporządzenia Ministra Zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania (Dz. U. poz. 2069) wprowadza zakaz usuwania wpisów zamieszczonych w dokumentacji medycznej. Co więcej § 4 ust. 3 rozporządzenia o dokumentacji medycznej wskazuje, że w sytuacji gdy wpis do dokumentacji został dokonany błędnie, można go jedynie wykreślić z zachowaniem wymogów formalnych dotyczących wpisu określonych w § 10 ust. 1 pkt 3 i 4 rozporządzenia o dokumentacji medycznej. Zgodnie z § 10 pkt 3 rozporządzenia o dokumentacji medycznej wpisu do dokumentacji medycznej może dokonać osoba udzielająca świadczenia zdrowotnego, albo osoba kierująca na badanie diagnostyczne, konsultację lub leczenie. PUODO wskazał, że dane osobowe skarżącej przetwarzane w kartach uodpornienia małoletnich są przetwarzane zgodnie z art. 6 ust. 1 lit. c w zw. z art. 29 ust. 1 ustawy o prawach pacjenta i RPP. Postępowanie administracyjne prowadzone przez PUODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 58 RODO, na podstawie którego organ nadzorczy może przywrócić stan zgodny z prawem. Organ ustalił, iż przetwarzanie danych osobowych skarżącej przez Spółkę nie stanowi naruszenia przepisów o ochronie danych osobowych, wobec czego zastosowanie uprawnień naprawczych wynikających z art. 58 ust. 2 RODO jest bezzasadne. M. K. wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2019 r. nr [...]. Skarżąca zarzuciła organowi naruszenie: - art. 7, art. 77 i art. 180 ustawy – Kodeks postępowania administracyjnego poprzez nierozpoznanie istoty sprawy, brak należytego wyjaśnienia stanu faktycznego oraz dokonanie jego niewłaściwej oceny. Stwierdziła, iż organ błędne uznał, że administrator danych ma prawo przetwarzać dane osobowe, bez ustalenia czy ma prawo je przetwarzać w pełnym zakresie czy też w ograniczonym; - art. 107 § 3 k.p.a. poprzez niedostateczne uzasadnienie decyzji; - art. 6 ust. 1 lit. c oraz art. 9 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE poprzez ich błędną interpretację, skutkującą uznaniem, że nie doszło do naruszenia przepisów RODO; - art. 52 ust. 1 w zw. z art. 8 ust. 1 i 2 Karty Praw Podstawowych Unii Europejskiej w zw. z 6 ust. 3 RODO poprzez brak zastosowania. Skarżąca podkreśliła, że PUODO pominął treść art. 6 ust. 3 RODO, zgodnie z którym podstawa przetwarzania danych osobowych, o którym mowa w ust. 1 lit. c) i e), musi być określona w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator. Zaznaczyła, że brak jest takiej podstawy prawnej w obowiązującym porządku prawnym. Nie może być za nią uznany art. 5 ust. 1 pkt 1 lit. b ustawy z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi, na który to przepis powołuje się organ odmawiając uwzględnienia skargi. Skarżąca wskazała, że przepis ten stanowi podstawę prawną obowiązku, a nie podstawę prawną przetwarzania danych osobowych. W ocenie skarżącej art. 17 ust. 8 ww. ustawy, na który powołuje się organ, nie może stanowić podstawy prawnej przetwarzania danych osobowych. Określa on jedynie sposób dokumentowania szczepień oraz zobowiązuje osoby przeprowadzające obowiązkowe szczepienia ochronne do sporządzania sprawozdań ze stanu zaszczepienia. Zgodnie z art. 17 ust. 10 pkt 8 ustawy minister właściwy do spraw zdrowia określi w drodze rozporządzenia wzory sprawozdań z przeprowadzonych obowiązkowych szczepień ochronnych oraz tryb i terminy ich przekazywania. Właśnie te sprawozdania są dla organów inspekcji sanitarnej podstawą do wszczynania postępowań egzekucyjnych. Przekazywanie danych osobowych na tej podstawie, w tym danych szczególnej kategorii jest sprzeczne z przepisami RODO. Zawarta w ustawie z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi "podstawa prawna" przekazywania danych osobowych nie zawiera nawet wskazania, jaki zakres danych może być przekazywany w ten sposób. Nie można ogólnie powiedzieć, że mają to być dane niezbędne do wypełnienia obowiązku szczepień. Każde przekazywanie danych osobowych korzysta z ochrony, jaką ma zapewnić RODO oraz Karta Praw Podstawowych. Naczelną zasadą tych aktów prawnych jest konieczność oparcia przetwarzania danych na przepisach rangi ustawowej, ewentualnie na innych aktach wykonawczych, ale z ustawy musi wynikać zarówno zakres przetwarzanych danych osobowych, jak i cel przetwarzania. Podobnie żaden przepis rozporządzenia Ministra Zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania nie stanowi podstawy prawnej przetwarzania danych osobowych. Rozporządzenie normuje jedynie przechowywanie i udostępnianie dokumentacji. Skarżąca podkreśliła, że dane zawarte w dokumentacji medycznej jej małoletnich dzieci to dane szczególnej kategorii, które zgodnie z art. 9 RODO nie mogą być przetwarzane. Państwa członkowskie mogą zachować lub wprowadzić dalsze warunki, w tym ograniczenia w odniesieniu do przetwarzania danych genetycznych, danych biometrycznych lub danych dotyczących zdrowia. RODO dopuszcza zwiększenie tej ochrony, a nie jej zniesienie. Prezes Urzędu Ochrony Danych Osobowych pominął wskazaną kwestię i ograniczył się jedynie do tzw. danych zwykłych. Zdaniem skarżącej nie ma żadnych powodów aby ograniczyć rozpoznanie skargi do danych zwykłych. W odpowiedzi na skargę organ wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Sąd administracyjny wykonuje wymiar sprawiedliwości, poddając kontroli rozstrzygnięcia wydawane przez organy administracji publicznej pod względem ich zgodności z prawem, badając czy właściwie zastosowano przepisy prawa materialnego i przestrzegano przepisów proceduralnych w postępowaniu administracyjnym. Sąd jest władny wzruszyć zaskarżoną decyzję jedynie w przypadku stwierdzenia naruszenia prawa. Art. 145 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi – (tekst jednolity Dz. U. z 2019 r., poz. 2325, dalej jako "P.p.s.a.") określa, w jakich sytuacjach decyzje lub postanowienia organów administracji podlegają uchyleniu czy też stwierdzeniu ich nieważności. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 P.p.s.a.). W ocenie Sądu, analizowana pod tym kątem skarga M. K. nie zasługuje na uwzględnienie, gdyż zaskarżona decyzja Prezesa UODO nie narusza prawa. Sąd uznał, że Prezes UODO, wydając sporną decyzję z dnia [...] grudnia 2019 r., nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mającym wpływ na prawidłowość wydanego rozstrzygnięcia. Przede wszystkim przyjąć należy, iż odmawiając uwzględnienia wniosku zawartego w inicjującej postępowanie administracyjne skardze M. K., która wystąpiła do organu w dniu 31 stycznia 2019 r., Prezes UODO nie naruszył obowiązujących przepisów, albowiem – wbrew zarzutom skarżącej – prawidłowo przyjął, że w niniejszej sprawie zachodzi sytuacja, w której zgromadzony przez organ materiał dowodowy nie wykazał, aby doszło do kwestionowanego przez skarżącą przetwarzania jej danych osobowych przez wskazaną w powyższej skardze [...] Sp. z o. o. z siedzibą w T. Ponadto, w wyniku przeprowadzenia analizy stanowiska organu nadzorczego zaprezentowanego w uzasadnieniu zaskarżonej decyzji, Sąd stwierdził, że – wbrew zarzutom skargi – Prezes UODO, wydając w dniu [...] grudnia 2019 r. sporne rozstrzygnięcie, nie dopuścił się – mogącego mieć istotny wpływ na wynik sprawy – naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781). Organ wyjaśnił bowiem wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej oceny zebranego w sprawie materiału dowodowego, przeprowadzając jednocześnie ową ocenę w kontekście właściwie zastosowanych przepisów prawa materialnego. W działaniu Prezesa UODO Sąd nie dopatrzył się jakichkolwiek istotnych naruszeń prawa zarówno gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa materialnego. Ponadto Sąd uznał, że w uzasadnieniu zaskarżonej decyzji Prezesa UODO wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej. Organ nadzorczy nie dopuścił się również naruszenia przepisów prawa materialnego, w tym mającego kluczowe znaczenie dla rozstrzygnięcia niniejszej sprawy przepisu art. 6 ust. 1 lit. c RODO. Tym samym Sąd uznał, że Prezes UODO, wydając zaskarżoną decyzję administracyjną, nie dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP. Przechodząc do merytorycznej oceny legalności zaskarżonej decyzji, godzi się wyjaśnić, że Prezes UODO jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu rozporządzenia 2016/679 (art. 34 ust. ww. ustawy). Jak stanowi przepis art. 57 ust. 1 lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, m.in. rozpatrując skargi wniesione przez osobę, której dane dotyczą. Nie ulega wątpliwości, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) stanowi kompleksową regulację dotyczącą ochrony danych osobowych, która nie wymaga implementacji ustawą krajową, aby mogła być stosowana w danym państwie. Jednocześnie, państwom członkowskim Unii Europejskiej pozostawiono jednak pewien zakres swobody w zakresie regulacji na poziomie krajowym, aby niektóre zagadnienia doprecyzować (np. w przypadku organu nadzorczego, czy odpowiedzialności za naruszenie zasad ochrony danych osobowych), czy też dostosować zasady wprowadzone przez RODO do innych obowiązujących w danym porządku prawnym zasad. Ze wskazanego wyżej przepisu art. 57 ust. 1 lit. f RODO wynika m.in., iż procedura, w ramach której prowadzone są postępowania zainicjowane skargą wniesioną przez osobę, której dane dotyczą, określana jest przez poszczególne państwa członkowskie Unii Europejskiej. Pozostawienie w tym zakresie państwom członkowskim autonomii jest wyrazem realizacji zasady autonomii proceduralnej państw członkowskich. W tej sytuacji, skargi są wnoszone i rozpatrywane na podstawie przepisów proceduralnych obowiązujących w danym państwie członkowskim UE. Art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych stanowi, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej "postępowaniem", jest prowadzone przez Prezesa Urzędu. Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed Prezesem UODO. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy o ochronie danych osobowych, który postępowanie z rozdziału 7 kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania Kodeksu postępowania administracyjnego. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów ogólnej procedury administracyjnej wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych. Użyte w art. 60 ustawy o ochronie danych osobowych określenie "naruszenie przepisów o ochronie danych osobowych" ma zakres szeroki i obejmuje naruszenia wszystkich przepisów o ochronie danych, zarówno zawartych w unijnym rozporządzeniu, jak i w przepisach krajowych, które uzupełniają lub modyfikują regulacje unijne. Zgodnie z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziale 4-7 i 11 (a więc również w rozdziale 7 dotyczącym postępowania w sprawie naruszenia przepisów o ochronie danych osobowych), stosuje się przepisy Kodeksu postępowania administracyjnego. Jeżeli zatem określona osoba zgłasza Prezesowi UODO nieprawidłowości w zakresie przetwarzania swoich danych osobowych, organ ten jest zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie, czy dane osobowe są w istocie przetwarzane, a jeżeli tak, to w jakim celu i czy proces ten następuje z poszanowaniem przepisów zarówno RODO, jak i ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Taka sytuacja miała miejsce w rozpoznawanej sprawie. Prezes UODO w związku ze złożoną przez skarżącą skargą, która wpłynęła do Urzędu w dniu 31 stycznia 2019 r., przeprowadził postępowanie administracyjne, w ramach którego zbadał, czy sporne przetwarzanie danych osobowych było zgodne z prawem. Prowadząc to postępowanie, organ gromadził materiał dowodowy, odnosząc się do materialnoprawnej podstawy rozstrzygnięcia. Należy w tym miejscu wyjaśnić, iż przepis art. 5 ust. 1 lit. a) RODO, stanowi, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"). Art. 6 RODO uszczegóławia i nadaje skonkretyzowaną normatywną treść ww. zasadzie. Z art. 6 ust. 1 RODO wynika, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Jako że podstawą materialnoprawną rozstrzygnięcie organu stanowił art. 6 ust. 1 lit. c RODO, organ był zobligowany zbadać, czy sporne przetwarzanie danych było niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. W ramach tak ukształtowanej normy prawnej konieczne było zatem rozważenie, czy na administratorze danych, tj. [...] Sp. z o. o. z siedzibą w T. spoczywał prawny obowiązek, którego wypełnienie wymagało przetwarzania danych osobowych skarżącej w postaci jej imienia, nazwiska, adresu zamieszkania i numeru telefonu. Wskazane dane, jak ustalono w postępowaniu wyjaśniającym, zawarte były w kartach uodpornienia małoletnich: O. K., M. K. oraz A. K. w związku ze sprawowaniem przez skarżącą prawnej pieczy nad małoletnimi. W ramach tej oceny Prezes UODO wyjaśnił, iż zgodnie z art. 28 ust. 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanej ze środków publicznych (t,j. Dz. U. z 2019 r., poz. 1373 z późn. zm.), świadczeniobiorca ma prawo wyboru świadczeniodawcy udzielającego świadczeń z zakresu podstawowej opieki zdrowotnej. W przypadku osoby bez pełnej zdolności do czynności prawnych, odpowiedzialność za spełnienie tego obowiązku ponosi osoba, która sprawuje prawną pieczę lub faktyczną opiekę nad osobą małoletnią lub bezradną, zgodnie z art. 3 ust. 1 pkt 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2017 r., poz. 1318 z późn. zm.). Skarżąca jako osoba sprawująca prawną pieczę nad małoletnimi, zgodnie z przywołanymi powyżej przepisami, dokonała wyboru świadczeniodawcy udzielającego świadczeń z zakresu podstawowej opieki zdrowotnej. Na świadczeniodawcę wybrano przychodnię prowadzoną przez Spółkę. Prezes UODO wskazał również, iż zgodnie z art. 5 ust. 1 pkt 1 ppkt b ustawy z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażenia i chorób zakaźnych u ludzi, osoby przebywające na terytorium Rzeczypospolitej Polskiej są zobowiązane na zasadach określonych w tej ustawie do poddawania się szczepieniom ochronnym. W przypadku osoby bez pełnej zdolności do czynności prawnych, odpowiedzialność za spełnienie tego obowiązku ponosi osoba, która sprawuje prawną pieczę lub faktyczną opiekę nad osobą małoletnią lub bezradną, zgodnie art. 3 ust. 1 pkt 1 ustawy o prawach pacjenta i RPP. Przestrzeganie ustawowego obowiązku poddania się szczepieniom zakaźnym wynikającego z art. 5 ust. 1 pkt 1 ppkt b u.z.z., zabezpieczone zostało przymusem administracyjnym. Zgodnie z art. 17 ust. 8 u.z.z. osoby przeprowadzające szczepienia ochronne prowadzą dokumentację medyczną dotyczącą obowiązkowych szczepień, przechowują karty uodpornienia, dokonują wpisów potwierdzających wykonanie szczepienia, sporządzają sprawozdania z przeprowadzonych szczepień ochronnych oraz sporządzają sprawozdania ze stanu zaszczepienia osób objętych profilaktyczną opieka zdrowotną, które przekazywane są do odpowiedniego Państwowego Powiatowego Inspektora Sanitarnego. Zgodnie z art. 3 § 1 w zw. z art. 2 § 1 pkt 10 ustawy z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji (Dz. U. 2014 r., poz. 1619 ze zm.) zwanej dalej: u.p.e.a. lub ustawą o postępowaniu egzekucyjnym, egzekucję administracyjną stosuje się do obowiązków o charakterze niepieniężnym pozostających we właściwości organów administracji rządowej i samorządu terytorialnego lub przekazanych do egzekucji administracyjnej na podstawie szczególnego przepisu. W rozumieniu art. 1a pkt 13 u.p.e.a. wierzycielem jest podmiot uprawniony do żądania wykonania obowiązku lub jego zabezpieczenia w administracyjnym postępowaniu egzekucyjnym lub zabezpieczającym, natomiast zgodnie z art. 5 § 1 pkt 2 u.p.e.a. uprawnionym do żądania wykonania w drodze egzekucji administracyjnej obowiązku określonego w art. 2 § 1 pkt 10 u.p.e.a. jest organ lub instytucja bezpośrednio zainteresowana w wykonaniu przez zobowiązanego obowiązku albo powołana do czuwania nad wykonaniem obowiązku. Odnosząc się do danych osobowych skarżącej przetwarzanych w karta uodpornienia małoletnich dzieci – O. K., M. K. i A. K., organ stwierdził, iż małoletni byli pacjentami przychodni prowadzonej przez Spółkę, która przeprowadzała szczepienia ochronne. Oznacza to również, że podmiot ten prowadził dla każdego z nich dokumentację medyczną, zgodnie z wymogami ustawy o prawach pacjenta i RPP oraz u.z.z. Artykuł 29 ust. 1 ustawy o prawach pacjenta i RPP nakłada na podmioty prowadzące dokumentację medyczną obowiązek przechowywania tejże dokumentacji przez określony czas. Organ trafnie wskazał również § 4 ust. 3 rozporządzenia Ministra Zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania (Dz. U. poz. 2069), wprowadza zakaz usuwania wpisów zamieszczonych w dokumentacji medycznej. Co więcej § 4 ust. 3 rozporządzenia o dokumentacji medycznej wskazuje, że w sytuacji gdy wpis do dokumentacji został dokonany błędnie, można go jedynie wykreślić z zachowaniem wymogów formalnych dotyczących wpisu określonych w § 10 ust. 1 pkt 3 i 4 rozporządzenia o dokumentacji medycznej, a wpisu do dokumentacji medycznej może dokonać osoba udzielająca świadczenia zdrowotnego, albo osoba kierująca na badanie diagnostyczne, konsultację lub leczenie. Reasumując, stwierdzić należy, iż Prezes UODO trafnie, w ocenie Sądu, przyjął, że dane osobowe skarżącej przetwarzane w kartach uodpornienia małoletnich są przetwarzane zgodnie z art. 6 ust. 1 lit. c RODO w zw. z art. 29 ust. 1 ustawy o prawach pacjenta i RPP. Sąd uznaje za prawidłowy i zgody z przywołanymi powyżej przepisami przyjęty przez Prezesa UODO i tok prawniczego rozumowania organu. Nie sposób bowiem uznać, iż w sytuacji gdy dane osobowe skarżącej znajdujące się na kartach uodpornienia małoletnich przetwarzane są w celu wypełniania obowiązku wynikającego z art. 5 ust. 1 pkt 1 ppkt b ustawy o zapobieganiu oraz zwalczaniu zakażenia i chorób zakaźnych u ludzi w zw. z art. 29 ust. 1 ustawy o prawach pacjenta i RPP decyzja odmawiająca uwzględnienia wniosku skarżącej o ograniczenie przetwarzania tych danych osobowych oraz jej małoletnich dzieci do celów związanych bezpośrednio z procesem leczenia oraz ich archiwizacji w związku z rezygnacją ze świadczenia usług na rzecz skarżącej i małoletnich przez Spółkę, narusza obowiązujące prawo. Zauważyć wreszcie wypada, iż sama skarżąca nie wskazuje na czym polegało ewentualne nieuprawnione przetwarzanie ww. danych osobowych. Można przypuszczać, iż w istocie stronie skarżącej chodzi o podjęcie przez Prezesa UODO kroków prewencyjnych zapobiegających "nieuprawnionemu" przetwarzaniu w przyszłości. Jednakże środek nadzorczy, o który wnioskowała skarżąca, a mianowicie wydanie nakazu ograniczenia przetwarzania danych (art. 58 ust. 2 lit. f RODO) winien, w ocenie Sądu, znaleźć zastosowanie jedynie w sytuacji stwierdzenia przez organ konkretnego niezgodnego z prawem przetwarzania danych osobowych, czego w niniejszej sprawie brak. Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 ustawy – Prawo o postępowaniu przed sądami administracyjnymi orzekł jak w sentencji.