Wyrok Naczelnego Sądu Administracyjnegoz 27 czerwca 2019 r., sygn. akt I OSK 2172/17

Uzasadnienie

Wyrokiem z dnia 11 maja 2017 r. sygn. akt II SA/Wa 1364/16 Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę D. Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych.

U podstaw rozstrzygnięcia Sądu I instancji legły następujące ustalenia faktyczne oraz ocena prawna.

Zaskarżoną decyzją z dnia [...] czerwca 2016 r., nr [...], Generalny Inspektor Ochrony Danych Osobowych, (dalej także: "GIODO" lub "organ"), działając na podstawie art. 138 § 1 pkt 1 k.p.a., a także art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 oraz art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2015 r., poz. 2135 ze zm. - dalej także: "u.o.d.o."), utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] lutego 2016 r., nr [...] odmawiającą uwzględnienia wniosku D. Z. (dalej także: "strona skarżąca" lub "skarżąca") z dnia 16 maja 2012 r. zawierającego skargę na przetwarzanie jej danych osobowych przez Szkołę Podstawową nr [...] im. Gen. [...] z siedzibą w [...], przy ul. [...][...] (dalej także: "Szkoła") oraz Centrum Medyczne [...] sp. z o.o. z siedzibą w [...] przy ul. [...] (dalej także: "Centrum Medyczne").

W toku czynności wyjaśniających Generalny Inspektor Ochrony Danych Osobowych ustalił, iż: skarżąca była zatrudniona w Szkole Podstawowej nr [...] na czas określony od dnia 1 września 2004 r., zaś od dnia 1 września 2006 r. do dnia 1 września 2010 r. była zatrudniona na czas nieokreślony, jako nauczyciel kształcenia zintegrowanego, a od dnia 1 września 2010 r., jako nauczyciel mianowany. W dniu 31 grudnia 2012 r. Dyrektor Szkoły rozwiązał ze skarżącą stosunek pracy na podstawie art. 23 ust. 5 w zw. z art 23 ust.4 pkt 2 ustawy - Karta Nauczyciela. Szkoła przetwarzała dane osobowe skarżącej w zbiorze danych osobowych nauczycieli i innych pracowników, zgodnie z art. 221 ustawy z dnia 26 czerwca 1974 r. - Kodeks Pracy, zaś obecnie - jako byłego pracownika - w celach archiwalnych. Szkoła zawarła z Centrum Medycznym [...] sp. z o.o. umowę z dnia [...] stycznia 2011 r. o udzielanie świadczeń zdrowotnych na rzecz pracowników (badania wstępne, kontrolne badania okresowe, a także konsultacje lekarskie).

Załącznikiem do przedmiotowej umowy była pełna lista pracowników Szkoły, a ponadto organ ustalił, że w dniu 2 stycznia 2012 r. strony podpisały kolejną umowę na okres 12 miesięcy, przedmiotowo zbieżną z poprzednią. Dyrektor Szkoły wskazał, iż kilkakrotnie - działając na podstawie art. 23 ust. 5 ustawy Karta Nauczyciela - kierował skarżącą na badania kontrolne do Centrum Medycznego. Skarżąca odebrała wyłącznie pierwsze skierowanie, następnie zaś każdorazowo przedkładała pracodawcy zwolnienia lekarskie. Z ustaleń organu wynikało, że podstawą prawną skierowania skarżącej na badanie lekarskie stanowił przepis art. 9 ust. 1 pkt 3 ustawy - Karta Nauczyciela w związku z art. 211 pkt 5 i art. 229 § 1- 8 Kodeksu pracy w związku z rozporządzeniem Ministra Zdrowia i Opieki Społecznej z dnia 30 maja 1996 r. w sprawie przeprowadzania badań lekarskich pracowników, zakresu profilaktycznej opieki zdrowotnej nad pracownikami oraz orzeczeń lekarskich wydawanych do celów przewidzianych w Kodeksie pracy.

W złożonych w toku postępowania administracyjnego wyjaśnieniach Centrum Medyczne [...] sp. z o.o. wskazało, iż skarżąca w istocie została skierowana przez pracodawcę na badania w ramach medycyny pracy do Centrum Medycznego i spółka ta - zgodnie ze skierowaniem - zapisywała pacjentkę na wizyty u lekarzy uprawnionych do przeprowadzenia badań, które zlecił w ramach obowiązującej umowy pracodawca skarżącej. Niemniej, jak wskazało Centrum Medyczne, skarżąca nie stawiła się na zaplanowane badania lekarskie w 2011 r. W tej sytuacji, jak poinformowało Centrum Medyczne, żadne dane objęte tajemnicą lekarską, dotyczące stanu zdrowia i ewentualnie chorób tej pacjentki, nie były i nie są przetwarzane przez spółkę.

Jednocześnie, Centrum Medyczne stanowczo podkreśliło, że - wbrew zarzutom strony skarżącej - nie przetwarzało danych osobowych pacjentki poza danymi znajdującymi się w systemie informatycznym do obsługi klientów Centrum Medycznego, gdzie zapisano terminy wizyt, na które pacjentka została skierowana przez pracodawcę. Centrum Medyczne wskazało ponadto, iż dokumentacja medyczna skarżącej nie została wytworzona, ponieważ tworzy się ją na podstawie przeprowadzonych badań i zabiegów przez personel składający się z lekarzy i pielęgniarek, a nie poprzez zapisanie pacjenta na wizytę. Centrum Medyczne, odnosząc się do zarzutów skarżącej w przedmiocie niewłaściwego zabezpieczenia dostępu do danych w sytuacji dokonywania rejestracji telefonicznej - wskazało, iż "Centrum Medyczne, tak jak inne Zakłady Opieki Zdrowotnej, zapewnia pacjentom możliwość zapisania się lub zmiany terminu wizyty u danego lekarza telefonicznie.

Żaden przepis prawa nie wymaga, by klient był zapisany na wizytę bez zweryfikowania jego danych osobowych i z praktycznego punktu widzenia zapisanie pacjenta bez znajomości jego danych byłoby niemożliwe. Z tego względu pracownicy infolinii telefonicznej weryfikują dane pacjenta, poprzez zapytanie o imię i nazwisko, datę urodzenia lub PESEL i zakład pracy, który dokonuje płatności za usługi świadczone pracownikowi. Zapobiega to pomyłkowemu zapisaniu dwóch osób o tym samym imieniu i nazwisku".

Z kolei, Szkoła wskazała, iż skarżąca kierowana była do specjalistów medycyny pracy, zaś pracownikowi nie przysługuje prawo wyboru lekarza do wykonania badania. Ponadto kierowanie pracowników Szkoły do innych placówek, niż Centrum Medyczne jest niedozwolone oraz może stanowić podstawę do zakwestionowania badania dokonanego przez wskazaną jednostkę. Szkoła zauważyła ponadto, że adres jednostki, do której pracownik jest kierowany na badania, powinien być wprost wskazany na skierowaniu. Zdaniem Szkoły, niewypełnienie przez pracownika obowiązku skierowania się na badania okresowe zgodnie ze skierowaniem może stanowić podstawę do uznania działania pracownika jako zamierzone nieprzestrzeganie ustalonego w zakładzie pracy porządku, a tym samym podstawę do rozwiązania z pracownikiem łączącej strony umowy.

W ocenie Szkoły, skierowanie się przez pracownika do innego specjalisty nie stanowi realizacji wydanego skierowania, którego istotnym elementem jest określenie placówki mającej dokonać badań (placówki, z którą pracodawca jest związany na podstawie łączącej strony umowy). Dyrektor Szkoły wskazał, iż wystawione dla skarżącej skierowania zawierały jedynie takie dane, jak: określenie zajmowanego przez nią stanowiska, określenie warunków, w jakich pracuje nauczyciel (w sensie wskazania czynników szkodliwych i uciążliwych) oraz wnioskowanie pracodawcy o przeprowadzenie badań psychologicznych. Nie zawierały natomiast żadnych innych informacji o skarżącej.

Z poczynionych przez GIODO ustaleń wynika jednocześnie, że pismem z dnia 25 kwietnia 2012 r. skarżąca zwróciła się do Centrum Medycznego [...] sp. z o.o. ze sprzeciwem wobec przetwarzania jej danych osobowych w oparciu o przepisy art. 32 ust. 1 pkt 6-8 ustawy o ochronie danych osobowych. W toku czynności wyjaśniających podjętych przez GIODO, organ ten uznał, że z akt postępowania nie wynika, aby skarżąca skierowała wobec Centrum Medycznego wniosek o spełnienie obowiązku informacyjnego, o którym mowa w art. 33 u.o.d.o.

W wyniku analizy całości zgromadzonego materiału dowodowego GIODO odmówił uwzględnienia wniosku strony skarżącej dotyczącego zarzutów związanych z przetwarzaniem jej danych osobowych przez Szkołę Podstawową nr [...] w [...] oraz Centrum Medyczne [...] sp. z o.o. z siedzibą w [...]. W uzasadnieniu decyzji GIODO wskazał, iż w ramach prowadzonego postępowania administracyjnego, dokonał oceny legalności przetwarzania danych osobowych strony skarżącej przez Szkołę oraz Centrum Medyczne, uwzględniając okoliczności przetwarzania tych danych, całokształt materiału dowodowego oraz przepisy prawa, w tym w szczególności przepisy ustawy o ochronie danych osobowych.

Organ zauważył, że w przedmiotowej sprawie kwestią sporną jest przede wszystkim legalność udostępnienia przez Szkołę danych osobowych skarżącej na rzecz Centrum Medycznego. Przepisem uprawniającym administratorów danych do przetwarzania danych osób fizycznych, w tym ich udostępniania, jest art. 23 ust. 1 u.o.d.o. zgodnie, z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek taksatywnie wskazanych w tym przepisie. Organ wskazał ponadto, że w odniesieniu do legalności przetwarzania danych osobowych wrażliwych stosuje się przepis art. 27 cyt. ustawy, który stanowi, jakiego rodzaju dane zabrania się przetwarzać.

Ponadto, powołując się na przepisy art. 23 ust. 1 pkt 2 oraz art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych, organ wskazał, że art. 94 pkt 9a ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy (tekst jednolity Dz. U. z 2014 r., poz. 1502 ze zm. - zwanej dalej także: "k.p."), stanowi, że pracodawca jest obowiązany w szczególności prowadzić dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników. Jednocześnie GIODO odwołał się do brzmienia przepisów art. 51u ust. 1 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (tekst jednolity Dz. U. z 2015 r., poz. 1446 ze zm.), art. 125a pkt 4 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (tekst jednolity Dz. U. z 2015 r., poz. 748 ze zm.), art. 47 ust. 3c ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (tekst jednolity Dz. U. z 2015r., poz. 121 ze zm.), a także art. 86 § 1 i art. 70 § 1 ustawy z dnia 29 sierpnia 1997r. - Ordynacja podatkowa (tekst jednolity Dz. U. z 2015 r., poz. 613 ze zm.).

Mając na względzie powyższe regulacje prawne GIODO stwierdził, iż Dyrektor Szkoły aktualnie przetwarza dane osobowe skarżącej, jako byłego pracownika Szkoły, na podstawie art. 23 ust. 1 pkt 2 w zw. z art. 27 ust. 2 pkt. 2 ustawy o ochronie danych osobowych. Odnosząc się do kwestii kierowania strony skarżącej przez Dyrektora Szkoły na badanie lekarskie do Centrum Medycznego, GIODO wskazał, iż zgodnie z art. 211 pkt 5 k.p., przestrzeganie przepisów i zasad bezpieczeństwa i higieny pracy jest podstawowym obowiązkiem pracownika. W szczególności, jak zauważył organ, pracownik jest obowiązany: poddawać się wstępnym, okresowym i kontrolnym oraz innym zaleconym badaniom lekarskim i stosować się do wskazań lekarskich.

Ponadto, organ wskazał, że w świetle art. 23 ust. 5 ustawy z dnia 26 stycznia 1982 r. - Karta Nauczyciela (tekst jednolity Dz. U. z 2014 r., poz. 191), dyrektor szkoły może skierować nauczyciela mianowanego na badanie okresowe lub kontrolne z własnej inicjatywy w każdym czasie. W związku z powyższym, organ uznał, że nie można odmówić legalności kierowania na badania skarżącej przez Szkołę, jako pracodawcę.

Odnosząc się z kolei do kwestii legalności przetwarzania danych osobowych skarżącej przez Centrum Medyczne [...] sp. z o.o., GIODO w pierwszej kolejności wskazał na treść art. 5 ust. 2 pkt 1 ustawy z dnia 27 czerwca 1997 r. o służbie medycyny pracy (tekst jednolity Dz. U. z 2014 r., poz. 1184 ze zm.), który stanowi, iż obowiązek objęcia pracowników profilaktyczną opieką zdrowotną spoczywa na pracodawcach. Ponadto, jak zauważył organ, zgodnie z art. 12 ust. 1 cyt. ustawy, badania wstępne, okresowe i kontrolne pracowników oraz inne świadczenia zdrowotne są wykonywane na podstawie pisemnej umowy zawartej przez podmiot obowiązany do ich zapewnienia, o którym mowa w art. 5 ust. 2, zwany dalej "zleceniodawcą", z podstawową jednostką służby medycyny pracy, zwaną dalej "zleceniobiorcą".

W konsekwencji, GIODO uznał, iż Szkoła była uprawniona do przekazania danych osobowych strony skarżącej na rzecz Centrum Medycznego na podstawie przepisu prawa określonego w art. 12 ust. 1 ustawy o służbie medycyny pracy, zaś sam proces przetwarzania danych skarżącej przez Centrum Medyczne odbywał się w oparciu o przesłankę określoną w art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych. Ponadto, organ zauważył, że z akt przeprowadzonego postępowania wynika, iż Centrum Medyczne przetwarza aktualnie dane osobowe skarżącej w celach archiwalnych, do czego jest zobowiązane m.in. na podstawie przepisów ustawy z dnia 29 września 1994 r. o rachunkowości (tekst jednolity Dz. U. z 2013 r., poz. 330 ze zm.).

Odnosząc się do zarzutu strony skarżącej w przedmiocie niewypełnienia przez Centrum Medyczne wobec niej obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych, Generalny Inspektor Ochrony Danych Osobowych wskazał, iż zgodnie z art. 7 pkt 4 u.o.d.o., administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. Organ wskazał jednocześnie, iż na podstawie art. 33 ust. 1 cyt. ustawy, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a.

Mając na względzie wskazane regulacje prawne, organ stwierdził, że ze zgromadzonego w sprawie materiału dowodowego wynika, iż skarżąca nie wystąpiła do Centrum Medycznego z wnioskiem, o którym mowa w art. 33 ustawy o ochronie danych osobowych.

W związku z powyższym, Generalny Inspektor Ochrony Danych Osobowych wskazał również, iż zgodnie z art. 25 ust. 1 u.o.d.o., w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o wymienionych w tym przepisie kwestiach. Odnosząc się w tej sytuacji do zarzutu skarżącej w przedmiocie niewypełnienia przez Centrum Medyczne wobec strony obowiązku informacyjnego, o którym mowa w powołanym przepisie, organ wskazał, iż zgodnie z art. 25 ust. 2 u.o.d.o., przepisu art. 25 ust. 1 pkt 1 tej ustawy nie stosuje się, jeżeli przepis innej ustawy przewiduje lub dopuszcza zbieranie danych osobowych bez wiedzy osoby, której dane dotyczą. Wobec powyższego, organ uznał, że Centrum Medyczne nie było zobowiązane do spełnienia wobec skarżącej ww. obowiązku.

Ponadto GIODO zauważył, iż pismem z dnia 25 kwietnia 2012 r. strona skarżąca skierowała do Centrum Medycznego sprzeciw wobec przetwarzania jej danych osobowych w oparciu o przepisy art. 23 ust. 1 w związku z art. 32 ust. 1 pkt 6-8 ustawy o ochronie danych osobowych. W tej sytuacji, odnosząc się do zarzutu skarżącej w przedmiocie przetwarzania jej danych osobowych przez Centrum Medyczne pomimo złożonego przez nią sprzeciwu wobec takiego przetwarzania, organ wskazał, iż przepisy art. 32 ust. 1 pkt 7 i 8 u.o.d.o. stanowią, że każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację (pkt 7) oraz wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych (pkt. 8).

Mając na względzie wskazane uregulowania ustawowe, organ podkreślił, iż w niniejszym postępowaniu w odniesieniu do Centrum Medycznego podstawę przetwarzania danych osobowych stanowił przepis art. 27 ust. 1 pkt 2 u.o.d.o., nie zaś przesłanki legalizacyjne określone w art. 23 ust. 1 pkt 4 i 5 tej ustawy. Ponadto, organ wskazał, że przy złożeniu sprzeciwu wobec przetwarzania danych osobowych niezbędne jest ich przetwarzanie w celach marketingowych, co w przypadku skarżącej nie miało miejsca, a tym samym nie sposób uznać, by sprzeciw złożony przez stronę skarżącą w Centrum Medycznym był skuteczny wobec tego przetwarzania danych osobowych.

Niezależnie od powyższego, odpowiadając na żądanie skarżącej dotyczące skierowania zawiadomienia o popełnieniu przestępstwa do właściwej prokuratury rejonowej, organ wskazał, że strona skarżąca może domagać się od Generalnego Inspektora Ochrony Danych Osobowych w administracyjnych formach postępowania wyłącznie podjęcia działań określonych w art. 18 ust. 1 u.o.d.o. oraz może składać tylko takie wnioski, które mogą być rozpatrzone przez wydanie decyzji administracyjnej. Tymczasem, jak zauważył organ, ustawa nie daje GIODO uprawnień do kończenia prowadzonego postępowania poprzez skierowanie w formie decyzji administracyjnej zawiadomienia do organów ścigania o popełnieniu przestępstwa. Organ powołał się w tym miejscu na wyrok NSA z dnia 19 listopada 2001 r., wydany w sprawie sygn. akt II SA 2702/00, w którym Sąd wyraźnie wskazał, że osoba dochodząca ochrony swych praw, w trybie ustawy o ochronie danych osobowych, nie jest podmiotem, który może się domagać od GIODO podjęcia decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych, albowiem przepis art. 19 cyt. ustawy nie daje stronie roszczenia w tym względzie.

Ponadto, jak zauważył organ, również Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 13 listopada 2009 r., sygn. akt II SA/Wa 612/2009, uznał, iż skierowane przez GIODO zawiadomienia o popełnienia przestępstwa następuje poprzez wystąpienie do organu właściwego do wszczęcia postępowania karnego w danej sprawie, jako należące do kompetencji organu, realizowane jest z urzędu, a nie na wniosek osób zainteresowanych. Jednocześnie, organ zaznaczył, że strona skarżąca może samodzielnie złożyć stosowne zawiadomienie do właściwych organów ścigania, co zresztą - jak wynika z akt postępowania - sama już uczyniła.

Odnosząc się do zarzutu strony skarżącej w przedmiocie przeprowadzenia postępowania dyscyplinarnego względem osób winnych uchybień w zakresie przestrzegania przepisów ustawy o ochronie danych osobowych, organ wskazał, iż w kontekście przepisów art. 12 i art. 18 u.o.d.o., uznać trzeba, iż do kompetencji GIODO nie należą: prowadzenie postępowań dyscyplinarnych, jak również kwestie związane z ewentualnym naruszeniem przepisów prawa pracy. Jeżeli jednak w opinii skarżącej, doszło do naruszenia jej dóbr osobistych, to każdy, kto ma poczucie naruszenia jego dóbr osobistych, może wystąpić w stosunku do osoby według niej winnej owego naruszenia na drogę postępowania cywilnego ze stosownym roszczeniem.

Generalny Inspektor Ochrony Danych Osobowych wskazał ponadto na przepisy legalizujące przetwarzanie danych osobowych skarżącej przez Szkołę oraz Centrum Medyczne, uznając, iż zgoda na przetwarzanie jej danych osobowych nie była konieczna w sytuacji, w której na przetwarzanie danych zezwala przepis prawa, tak jak to miało miejsce w przypadku skierowania skarżącej na badania lekarskie.

Ustosunkowując się do zarzutów strony skarżącej związanych z brakiem umowy powierzenia danych osobowych zawartej pomiędzy Szkołą a Centrum Medycznym, organ wskazał, iż umowa taka nie była konieczna, albowiem zachodził przypadek, w którym mieliśmy do czynienia z udostępnieniem danych osobowych na podstawie przepisów szczególnych dotyczących świadczenia usług medycznych, o czym świadczy umowa zawarta pomiędzy w/w podmiotami (vide: "Umowa o udzielanie świadczeń zdrowotnych na rzecz zakładu pracy i pracowników" z dnia [...] stycznia 2011 r.).

Ponadto, GIODO uznał, że - wbrew twierdzeniom skarżącej - jako podstawę prawną skierowania jej na badania lekarskie, podano nie art. 9 ust. 1 pkt 3 ustawy - Karta nauczyciela, lecz art. 23 ust 5 ustawy - Karta Nauczyciela zgodnie, z którym dyrektor szkoły może skierować nauczyciela mianowanego na badanie okresowe lub kontrolne z własnej inicjatywy w każdym czasie. Jednocześnie, organ zauważył, że niewypełnienie obowiązku informacyjnego, o którym mowa w z art. 25 ust. 1 ustawy o ochronie danych osobowych, jak już zostało powyżej wskazane, nie jest konieczne w sytuacji, gdy przepis innej ustawy przewiduje lub dopuszcza zbieranie danych osobowych bez wiedzy osoby, której dane dotyczą (art. 25 ust. 2 pkt. 1 u.o.d.o.).

Wskazanym na wstępie wyrokiem Wojewódzki Sąd Administracyjny w Poznaniu, dalej również jako "WSA", oddalił skargę podzielając ustalenia faktyczne i prawne organu. Organ wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej analizy zebranego w sprawie materiału dowodowego, w szczególności w zakresie przesłanek prawidłowego przetwarzania danych osobowych skarżącej, jako zasadniczej podstawy do oddalenia wniesionej przez D.Z. skargi z dnia [...] maja 2012 r. na przetwarzanie jej danych osobowych przez wspomnianą wyżej Szkołę oraz Centrum Medyczne.

Zdaniem Sądu, postulat przeprowadzenia kontroli przetwarzania danych osobowych formułowany przez skarżącą został zrealizowany, choć nie w ramach zadania tego organu, o którym mowa w art. 12 pkt 1 u.o.d.o., czyli kontroli przetwarzania danych zgodnie z przepisami o ochronie danych osobowych, gdyż tego typu kontrole nie dotyczą spraw indywidualnych. Była to kontrola przybierająca postać postępowania wyjaśniającego, dokonana w ramach realizacji zadania organu określonego w art. 12 pkt 2 cyt. ustawy. Ustalenia faktyczne, jakich dokonał organ, pozwoliły na wyprowadzenie wniosku, który Sąd ocenił jako prawidłowy, że w przedmiotowej sprawie nie doszło do naruszenia przepisów ustawy o ochronie danych osobowych, nie było zatem podstaw do zastosowania nakazów przewidzianych w art. 18 ust. 1 u.o.d.o.

Odnosząc się do zarzutów strony skarżącej, w których zwracała ona uwagę na różnice występujące w treści skierowań na badania lekarskie oraz oceny danych w nich zawartych, Sąd wskazał, że Generalny Inspektor Ochrony Danych Osobowych nie ma podstaw prawnych na mocy, których wydałby Dyrekcji Szkoły nakaz usunięcia owych, wskazanych przez stronę skarżącą, dokumentów.

Skargę kasacyjną od powyższego wyroku złożyła D. Z., zaskarżając go w całości i zarzucając:

1. I. naruszenie prawa materialnego poprzez jego błędną wykładnie i niewłaściwe zastosowanie:
2. 1. artykuł 7 i artykuł 8 i artykuł 11 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, co polegało na całkowitym pominięciu tych przepisów i nie odniesieniu się przez Wojewódzki Sąd Administracyjny w Warszawie do przedmiotu skargi D. Z. w zakresie zgodności z powołanymi przepisami, a jedynie zakreśleniu istnienia owej regulacji prawnej li tylko poprzez jej wskazanie (strona 31 uzasadnienia zaskarżonego wyroku), ale jednocześnie nie uzasadnieniu w żaden sposób na czym oparł Sąd swoje stanowisko: " W świetle powyższego, należy stwierdzić, że analizowana pod tym kątem skarga D. Z. nie zasługuje na uwzględnienie, albowiem Generalny Inspektor Ochrony Danych Osobowych, wydając zaskarżoną decyzję z dn. [...] czerwca 2016r. nie naruszył obowiązujących przepisów prawa."
3. 2. art. 45 ust. 1 w zw. z art. 47 i art. 51 Konstytucji Rzeczypospolitej Polskiej poprzez całkowite pominięcie i nie uwzględnienie tych przepisów ustawy zasadniczej, co w konsekwencji doprowadziło do sytuacji, w której zaskarżony wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie narusza konstytucyjne gwarancje Skarżącej bowiem przez wydanie w/w orzeczenia doszło do naruszenia konstytucyjnych wolności oraz praw człowieka i obywatela Skarżącej;
4. 3. art. 1 w zw. z art. 23 ust. 1 pkt. 4 u.o.d.o. poprzez ich rażąco błędną wykładnię polegającą na przyjęciu, że przetwarzanie danych osobowych Skarżącej w niniejszej sprawie jest legalizowane istnieniem "dobra publicznego, a przez to niedostrzeżenie, że nie zachodzi żaden związek przyczynowo-skutkowy pomiędzy istotą sprawy a tą normą prawną, albowiem pomimo, iż zgodzić się należy, że oświata i realizacja zadań oświatowych mieści się w pojęciu "dobra publicznego", to jednakże nie ma to żadnego związku z okolicznościami sprawy, z przedmiotem sprawy, tj. z przetwarzaniem danych osobowych Skarżącej w celu m.in.: kierowania Skarżącej na badania psychofizyczne do dr L.W. z Centrum Medycznego, przetwarzania w systemie informatycznym Centrum Medycznego do ewidencji pacjentów prywatnego podmiotu Centrum Medyczne, zapisywania na danych osobowych Skarżącej wizyt/badań lekarskich w Centrum Medyczne - w spółce prywatnej osób prywatnych nie związanych z oświatą, przetwarzania danych osobowych Skarżącej poprzez najprawdopodobniej celowe i świadome zagubienie dokumentu medycznego "Orzeczenie lekarskie z dnia [...] kwietnia 2011r. potwierdzającego jej stan zdrowia", przekazanie przez Szkołę danych osobowych Skarżącej prywatnemu podmiotowi Centrum Medycznemu, a jednocześnie posiadanie i przetwarzanie danych osobowych Skarżącej przez Centrum Medyczne - podmiot prywatny i nie związany z oświatą, a nastawiony na zysk finansowy z wykonywania badań lekarskich w żadnych zakresie nie stanowi "dobra publicznego" - na co wskazał Wojewódzki Sąd Administracyjny w zaskarżonym wyroku;
5. 4. art. 12 pkt 1 u.o.d.o., polegające na nie przeprowadzeniu wnikliwej i szczegółowej kontroli przez GIODO zgodności przetwarzania danych osobowych Skarżącej D.Z. z przepisami o ochronie danych osobowych przez obydwa podmioty wskazane w pismach Skarżącej, tj. przez Szkołę Podstawową nr [...] im. [...] z siedzibą w [...] przy ul. [...], jak też przez Centrum Medyczne w [...] przy ul. [...], w zakresie bezprawnego ich udostępnienia przez Szkołę podmiotowi trzeciemu - Centrum Medyczne, a następnie bezprawnego posiadania i przetwarzania danych osobowych Skarżącej D. Z., a także ich przetwarzania niezgodnie z celem i zakresem oraz nieadekwatnie do celu posiadania, co skutkowało w konsekwencji udzieleniem przez Organ przyzwolenia na przetwarzanie danych osobowych Skarżącej z naruszeniem szeregu przepisów u.o.d.o., w tym m.in. art. 23 ust. 1 u.o.d.o.;
6. 5. art. 22 u.o.d.o. polegające na nierozpoznaniu istoty sprawy, a to poprzez pominięcie większości wniosków dowodowych, pominięcie zarzutów Skarżącej zawartych w skardze od decyzji GIODO oraz w jej pismach kierowanych w toku postępowania przed GIODO, a także nie odniesieniu się do zgromadzonych w toku sprawy dokumentów, nie podjęciu wszelkich czynności niezbędnych do dokładnego, wnikliwego i szczegółowego wyjaśnienia stanu faktycznego sprawy, pominięciu okoliczności faktycznych wskazywanych przez Skarżącą w toku sprawy przed GIODO;
7. 6. art. 22 u.o.d.o. polegające na błędnym uznaniu, iż okoliczności sprawy zostały udowodnione na podstawie wybiórczo przeprowadzonej oceny materiału dowodowego, podczas gdy WSA był zobowiązany do ustalenia stanu faktycznego sprawy na podstawie całokształtu materiału dowodowego zgromadzonego w sprawie przed GIODO;
8. 7. art. 23 ust. 1 pkt 2 w zw. z art. 27 ust. 1 w zw. z art. 27 ust. 2 pkt 2 u.o.d.o. w zw. z art. 5 ust. 2 pkt 1 w zw. z art. 12 ust. 1 ustawy z dnia 27.06.1997r. o służbie medycyny pracy (Dz. U. z 2014r., poz. 1184, z późn. zm.), polegające na błędnym uznaniu, iż Szkoła była uprawniona do przekazania danych osobowych Skarżącej na rzecz Centrum Medycznego na podstawie przepisu prawa określonego w art. 12 ust. 1 ustawy o służbie medycyny pracy, zaś sam proces przetwarzania jej danych osobowych przez Centrum Medyczne odbywał się w oparciu o przesłankę określoną w art. 27 ust.2 pkt 2 u.o.d.o., podczas gdy w rzeczywistości z treści przepisu art. 12 ust. 1 ustawy o służbie medycyny pracy nie wynika takie uprawnienie dla Szkoły, a tym bardziej pełna gwarancja ochrony tak przekazanych, a następnie przetwarzanych przez Centrum Medyczne danych osobowych Skarżącej, a jednocześnie brak jest podstawy do dowolnej, rozszerzającej interpretacji tego przepisu, a zatem przekazanie przez Szkołę wrażliwych danych osobowych Skarżącej bez jej pisemnej zgody, a następnie ich przetwarzanie przez Centrum Medyczne odbyło się z naruszeniem przepisów o ochronie danych osobowych, w tym w szczególności art. 27 ust. 2 pkt 1 w zw. z art. 27 ust. 1 w zw. z art. 23 ust. 1 u.o.d.o.;
9. 8. art. 23 ust. 1 pkt 1 u.o.d.o. polegające na całkowitym pominięciu i nie uwzględnieniu braku zgody Skarżącej na przetwarzanie jej danych osobowych przez Centrum Medyczne, braku zgody Skarżącej na przetwarzanie jej danych osobowych przez Szkołę dla innych celów niż związanych z zatrudnieniem, a także braku zgody Skarżącej na przekazanie jej danych osobowych Centrum Medycznemu w związku z realizacją Umów na udzielanie świadczeń zdrowotnych zawartych pomiędzy Szkołą a Centrum Medycznym;
10. 9. art. 23 ust. 1 pkt 1 i 5 w zw. z art. 26 ust. 1 pkt 1, 2 i 3 u.o.d.o. w zw. z art. 229 Kodeksu Pracy w zw. z Rozporządzeniem Ministra Zdrowia i Opieki Społecznej z dnia 30 maja 1996r. w sprawie przeprowadzenia badań lekarskich pracowników, zakresu profilaktycznej opieki zdrowotnej nad pracownikami oraz orzeczeń lekarskich wydawanych do celów przewidzianych w Kodeksie pracy (Dz. U. Nr 69, poz.332, z późn. zm.) w zw. z art. 91c ust. 1 Karty Nauczyciela poprzez jego pominięcie i nieuwzględnienie zarzutów Skarżącej i zgromadzonego materiału dowodowego potwierdzającego, że pracodawca przetwarzał dane osobowe Skarżącej w związku z kierowaniem Skarżącej na badania lekarskie psychofizyczne, psychiatryczne, niezgodnie z celem oraz nieadekwatnie w stosunku do celów przetwarzania;
11. 10. art. 23 ust. 1 pkt 5 u.o.d.o. polegające na jego pominięciu i nieuwzględnieniu w odniesieniu do zarzutów Skarżącej, której dane osobowe, jak wynika ze zgromadzonego materiału dowodowego były przetwarzane w związku z kierowaniem Skarżącej przez Szkołę na badania lekarskie profilaktyczne, jak i badania lekarskie psychofizyczne, psychiatryczne, sanitarno-epidemiologiczne do konkretnie wskazanego jednego lekarza w celu poddania się badaniom lekarskim, w wyznaczonym jednym terminie (dzień i godzina, w tym pora nocna), w jednym wyznaczonym miejscu, czego nie można uznać za niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów albo odbiorców danych, a jednocześnie taki sposób przetwarzania danych osobowych Skarżącej narusza jej prawa i wolności;
12. 11. art. 23 ust. 1 pkt. 4 u.o.d.o. co polegało na nie wykazaniu w żaden konkretny i merytoryczny sposób, że w sprawie niniejszej mamy do czynienia z przesłanką legalizującą przetwarzanie danych osobowych określoną w art. 23 ust. 1 pkt 4 u.o.d.o., a także na pominięciu przez WSA w Warszawie faktu braku podstawy prawnej do przetwarzania danych osobowych Skarżącej przez Centrum Medyczne jak i dr L.W. z Centrum Medycznego, podczas gdy stwierdzenie braku stosownej podstawy prawnej już na etapie zbierania (pozyskania) danych skutkuje bezprawnością dalszego przetwarzania tych danych, w tym np. wykorzystania tych danych przez Centrum Medyczne, a w konsekwencji także wyłącza możliwość skutecznego powoływania się na przesłankę z art. 23 ust. 1 pkt. 1-5, jak i art. 27 ust. 2 u.o.d.o.;
13. 12. art. 23 ust. 1 pkt. 1-5 u.o.d.o. w zw. z art. 28 ust. 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych poprzez jego niezastosowanie, a konsekwencji nie uwzględnienie tej normy prawnej, która wskazuje, że skarżąca jako świadczeniobiorca - korzystająca ze świadczeń medycznych ma prawo wyboru świadczeniodawcy udzielającego jej świadczeń z zakresu podstawowej opieki zdrowotnej spośród tych świadczeniodawców, którzy zawarli umowy o udzielanie świadczeń opieki zdrowotnej;
14. 13. art. 23 ust. 1 pkt. 1-5 u.o.d.o. w zw. z art. 55 ust. 2a ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych poprzez jego niezastosowanie, a w konsekwencji nie uwzględnienie tej normy prawnej, która wskazuje, że skarżąca-jako świadczeniobiorca ma prawo wyboru lekarza do przeprowadzenia jej badań lekarskich, terminu wizyty lekarskiej - czyli badań lekarskich;
15. 14. art. 23 ust. 1 pkt. 1-5 u.o.d.o. w zw. z art. § 9 i § 13.1. Rozporządzenie Ministra Zdrowia z dnia 8 września 2015 r. w sprawie ogólnych warunków umów o udzielanie świadczeń opieki zdrowotnej (Dz. U z 2015r., poz. 1400 z późn. zm.) poprzez jego niezastosowanie, a w konsekwencji nie uwzględnienie tej normy prawnej, która wskazuje, że skarżąca na wizytę u lekarza ma prawo zapisać się osobiście i dowolnie wybranego dnia, w godzinach pracy przychodni;
16. 15. art. 23 ust. 1 pkt. 1-5 u.o.d.o. w zw. z art. 22 § 1 i art. 100 § 1 Kodeksu pracy poprzez ich pominięcie, a w konsekwencji nie uwzględnienie tych norm prawnych, które wskazują, że jedynym obowiązkiem Skarżącej było świadczenie pracy zgodnie z umową i skarżąca nie miała żadnego obowiązku poddawania się badaniom lekarskim w prywatnym zakładzie medycznym wskazanym przez pracodawcę, który nie miał żadnych podstaw prawnych do kierowania Skarżącej na badania lekarskie konkretnie, tylko i wyłącznie do jednej placówki medycznej, tj. do Centrum Medycznego, jak i tym bardziej do jednego wskazanego lekarza - dr L. W.;
17. 16. art. 23 ust. 1 pkt 2 u.o.d.o. w zw. art. 229 Kodeks pracy poprzez jego błędną wykładnię i stwierdzenie, że pracodawca miał prawo przetwarzać dane osobowe Skarżącej dla kierowania i w celu kierowania Skarżącej na badania psychiatryczne (tj. skierowanie z dnia 12.04.201 lr. i psychofizyczne z dnia 13 maja 2011r. i 27 maja 2011r. oraz pismami/listami z dnia 3 i 5 grudnia 2012r.) w sytuacji, kiedy badania profilaktyczne stanowią: badania wstępne, okresowe i kontrolne i w katalogu badań profilaktycznych nie występują w/w badania medyczne/lekarskie;
18. 17. art. 23 ust. 1 pkt 1 u.o.d.o. poprzez całkowite pominięcie tego przepisu i nie wskazanie konkretnych przepisów legalizujących przetwarzanie danych osobowych Skarżącej przez Centrum Medyczne oraz Szkołę w przedmiocie skarg Skarżącej i pominięcie, że skarżąca nie wyraziła zgody na przetwarzanie jej danych osobowych w innym celu niż tylko dla celów zatrudnienia;
19. 18. art. 23 ust. 1 pkt 1 u.o.d.o. w zw. z art. 221 Kodeksu pracy poprzez jego pominięcie i nie uwzględnienie treści tego przepisu w sytuacji przetwarzania przez Szkołę danych osobowych Skarżącej w szerszym zakresie niż dopuszcza to art. 221 Kodeksu pracy;
20. 19. art. 23 ust. 1 u.o.d.o. w zw. z art. 22 § 1 Kodeksu pracy poprzez jego pominięcie na etapie oceny materiału dowodowego przez Sąd I instacnji, co skutkowało błędnym uznaniem, że Szkoła mogła przetwarzać dane osobowe Skarżącej w celu oceny jej stanu zdrowia oraz zaplanowania leczenia i przetwarzania jej danych osobowych w celu zapisywania wizyt i badań lekarskich (w tym badań specjalistycznych) Skarżącej w Centrum Medycznym;
21. 20. art. 25 ust. 2 pkt 1 u.o.d.o. polegające na błędnym przyjęciu, bez wskazania konkretnego przepisu innej ustawy, że Centrum Medyczne nie było zobowiązane do spełnienia wobec Skarżącej D. Z. obowiązku określonego w art. 25 ust. 1 u.o.d.o., co skutkowało nieuzasadnionym uznaniem, że Centrum Medyczne, jako administrator danych osobowych Skarżącej, nie musiało przekazać D. Z. informacji określonych w tymże przepisie bezpośrednio po utrwaleniu jej danych osobowych;
22. 21. art. 26 ust. 1 pkt 1-3 u.o.d.o. polegające na jego niezastosowaniu i całkowitym pominięciu tego przepisu na etapie rozpoznawania skargi D. Z., co skutkowało tym, że Sąd I instancji nie skontrolował, czy i w jaki sposób Szkoła oraz Centrum Medyczne - jako podmioty przetwarzające dane osobowe Skarżącej - dołożyły szczególnej staranności jako administratorzy danych osobowych w celu ochrony interesów Skarżącej, a w szczególności czy będąc zobowiązanymi zapewniły, aby dane te były przetwarzane zgodnie z prawem, zbierane i przetwarzane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami oraz merytorycznie poprawne i adekwatne w stosunku do celów, w jakich były przetwarzane;
23. 22. art. 24 ust. 1 pkt 1-4 u.o.d.o. polegające na jego niezastosowaniu i całkowitym pominięciu tego przepisu na etapie rozpoznawania skargi D. Z., co skutkowało tym, że Sąd I instancji nie skontrolował oraz w żaden sposób nie odniósł się do tego, czy Szkoła i Centrum Medyczne - jako podmioty przetwarzające dane osobowe Skarżącej, będąc do tego zobowiązanym, poinformowały Skarżącą o adresie swojej siedziby i pełnej nazwie, celu zbierania danych, o odbiorcach jej danych, o prawie dostępu do swoich danych oraz ich poprawiania, a także o dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje o jego podstawie prawnej;
24. 23. art. 27 ust. 1 u.o.d.o. polegające na jego niezastosowaniu i całkowitym pominięciu przy rozpoznawaniu przedmiotu skargi D. Z., pominięciu zarzutów przetwarzania danych wrażliwych Skarżącej, jak i błędnej oceny materiału dowodowego wskazującego na przetwarzanie danych wrażliwych Skarżącej, co skutkowało nieprzeprowadzeniem w tym zakresie kontroli przestrzegania przepisów u.o.d.o., brakiem oceny całokształtu materiału dowodowego, nie odniesieniem się do tego pełnego zakresu skarg, a w konsekwencji nie rozpoznaniem istoty sprawy w tym obszarze naruszeń;
25. 24. art. 27 ust. 2 u.o.d.o. co polegało na błędnym zinterpretowaniu tego przepisu, albowiem Sąd I instancji nie wskazał na przepis szczególny innej ustawy legalizujący przetwarzanie danych osobowych wrażliwych (o stanie zdrowia) Skarżącej przez oba podmioty, a powołany przepis art. 12 ust. 1 ustawy o służbie medycyny pracy (jakoby był tym szczególnym przepisem) nie może mieć zastosowania, bowiem zastosowanie ma wyłącznie art. 23 ust. 1 pkt 1 u.o.d.o. (czyli w praktyce zgoda Skarżącej), a przepis art. 12 ust. 1 ustawy o służbie medycyny dotyczy umów (biznesowych z punktu widzenia Centrum Medycznego) pracodawcy z dowolnymi podmiotami medycznymi (tych umów może być kilka, w każdym roku z innym podmiotem medycznym) dla realizacji zobowiązań pracodawcy, ale nie nakłada wobec Skarżącej jakiegokolwiek obowiązku wyrażenia zgody na przetwarzanie jej danych osobowych przez pracodawcę i przekazanie tych danych podmiotowi, z którym pracodawca zawarł umowę w oparciu o art. 12 ust. 1 ustawy o służbie medycyny pracy, a jakiekolwiek umowy, które zawiera pracodawca z podmiotami prywatnymi w zakresie swoich obowiązków nie legalizują przetwarzania danych osobowych pracownika (Skarżącej), gdy nie jest on stroną tych umów ani w żaden sposób nie legalizuje przetwarzania danych osobowych Skarżącej - danych o stanie zdrowia w zw. z art. 27 ust. 2 u.o.d.o.;
26. 25. art. 19 u.o.d.o. w zw. z art. 304 ustawy z dnia 06.06.1997r. Kodeks postępowania karnego (Dz. U. Nr 89, poz. 555, z późn. zm.), polegające na pominięciu odmowy skierowania przez GIODO do organu powołanego do ścigania przestępstw zawiadomienia o możliwości popełniania przestępstwa przez administratora przetwarzającego wrażliwe dane osobowe skarżącej D. Z., podczas gdy w rzeczywistości z materiału dowodowego zgromadzonego w niniejszym postępowaniu wynika, iż działania Szkoły oraz Centrum Medycznego mogły wyczerpywać znamiona przestępstwa określonego w u.o.d.o, a GIODO jako instytucja państwowa, która w związku ze swą działalnością dowiedziała się o popełnieniu przestępstwa ściganego z urzędu, jest zobowiązany niezwłocznie zawiadomić o tym właściwy organ powołany do ścigania przestępstw;
27. 26. art. 31 u.o.d.o. polegające na całkowitym pominięciu i nie uwzględnieniu w zaskarżonym wyroku tego przepisu, a w konsekwencji nie odniesieniu się do tego, że Szkoła i Centrum Medyczne nie zawarły stosownej umowy określonej w tym przepisie, a zatem nielegalne było tym samym ich działanie w tym przedmiocie sprawy, albowiem brak jest umowy powierzenia danych osobowych sporządzonej w formie pisemnej zawierającej m.in. następującą treść: powinna określać zakres danych przekazanych do przetwarzania, podstawę i cel przetwarzania, wskazanie podmiotu, któremu zostały przekazane dane osobowe, czy są przetwarzane zgodnie z celem i w powierzonym zakresie oraz czy podmiot ten podjął środki zabezpieczające przed ich nieuprawnionym (wbrew zapisom w umowie) przetwarzaniem i czy dane te są dobrze chronione;
28. 27. art. 31 ust. 1, 2, 3, 4, art. 32 ust. 1 pkt 6-8, art. 35 ust. 1, art. 36 ust. 1 i art. 38 u.o.d.o. polegające na ich całkowitym pominięciu na całym etapie rozpoznawania skargi D. Z.;
29. 28. art. 23 ust. 5 ustawy z dnia 26 stycznia 1982r. Karta Nauczyciela w zw. z art. 211 pkt 5 Kodeksu Pracy, polegające na ich błędnej wykładni i stwierdzeniu, że z tychże przepisów wynikały uprawnienia dla dyrektora Szkoły do kierowania Skarżącej na badania lekarskie, podczas gdy z materiału dowodowego (skierowań wystawionych przez dyrektora Szkoły) wynika, iż ich podstawę stanowił art. 9 ust. 1 pkt 3 Karty Nauczyciela, który takiego uprawnienia nie zawiera ani nie wprowadza, co w konsekwencji doprowadziło do tego, że Sąd I instancji dopuścił się nadinterpretacji przepisów, a przede wszystkim nieprawidłowej, sprzecznej z materiałem dowodowym, oceny zgromadzonych w sprawie dokumentów, którymi dysponował, tym samym usprawiedliwiając niezgodne z prawem działania podejmowane w tym zakresie przez Szkołę;
30. 29. art. 211 pkt. 5 Kodeksu pracy poprzez jego błędną wykładnię i wskazanie, że "Szkoła, jako pracodawca, zgodnie z obowiązującymi przepisami, miała prawo skierować Skarżącą na badania lekarskie.", w sytuacji gdy:
31. - w/w przepis odnosi się do pracownika, a nie do pracodawcy i nie dotyczy prawa pracodawcy do kierowania pracownika na jakiekolwiek badania lekarskie,
32. - aktem prawnym regulującym zagadnienie pracowniczych badań profilaktycznych jest rozporządzenie Ministra Zdrowia i Opieki Społecznej z dnia 30 maja 1996r. w sprawie przeprowadzania badań lekarskich pracowników, zakresu profilaktycznej opieki zdrowotnej nad pracownikami oraz orzeczeń lekarskich wydawanych do celów przewidzianych w Kodeksie pracy w zw. art. 229 Kodeks pracy,
33. - Szkoła kierowała Skarżącą na badania lekarskie (medyczne): psychiatryczne (z dnia 12.04.2011r.), psychofizyczne (z dnia 13.05.2011r. i 27.05.2011r.), a takie badania nie stanowią badań lekarskich profilaktycznych z zakresu medycyny pracy,
34. - pracodawca posiadał stosowne "Orzeczenia lekarskie z zakresu medycyny pracy z dnia [...].04.2011r. oraz z dnia [...].08.2012r.", wskazujące na pełną zdolność Skarżącej do wykonywania pracy u pracodawcy,
35. - organizowanie badań profilaktycznych polega na wydaniu pracownikowi skierowania na te badania, wskazania mu placówki medycyny pracy, z którą uprzednio pracodawca podpisał stosowną umowę i z której usług - jeśli dobrowolnie zechce pracownik może skorzystać, a także poinformowania go, do kiedy powinien przedstawić wymagane zaświadczenie lekarskie, zaś obowiązkiem pracownika jest wykonanie polecenia wykonania badań profilaktycznych poprzez umówienie dogodnego terminu wizyty w dowolnej- wybranej przez siebie przychodni medycyny pracy, wykonanie takich badań profilaktycznych (wstępnych, okresowych, kontrolnych) i dostarczenie pracodawcy wystawionego przez lekarza zaświadczenia.
36. II. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy:
37. 30. art. 1 § 1 i 2 Ustawy z dnia 25 lipca 2002r. Prawo o ustroju sądów administracyjnych, w myśl którego sądy administracyjne sprawują wymiar sprawiedliwości poprzez kontrolę działalności administracji publicznej oraz rozstrzyganie sporów kompetencyjnych i o właściwość między organami jednostek samorządu terytorialnego, samorządowymi kolegiami odwoławczymi i między tymi organami a organami administracji rządowej poprzez zaniechanie realnego sprawowania wymiaru sprawiedliwości oraz zaniechanie kontroli pod kątem zgodności działania organu GIODO z prawem poprzez to, że:
38. a. WSA w Warszawie oparł się wyłącznie na ustaleniach poczynionych przez GIODO, kiedy to Organ ten w swoich decyzjach z dnia [...] lutego 2016r. jak i z dnia [...] czerwca 2016r. dokonał błędnej oceny okoliczności i części dowodów, pominął praktycznie całkowicie materiał dowodowy przedkładany przez Skarżącą, zinterpretował dowody z dokumentów, dał całkowitą wiarę stronom, które wskazała skarżąca jako te, które dopuściły się naruszenia szeregu przepisów u.o.d.o.,
39. b. WSA w Warszawie nie dostrzegł, że GIODO dowolnie zinterpretował fakty, pominął fakty i dowody niewygodne dla swojej decyzji, oparł swe decyzje na interpretacjach a nie dowodach wskazujących na rzeczywisty stan faktyczny,
40. c. WSA w Warszawie nie dokonał żadnych własnych ustaleń w oparciu o całokształt materiału dowodowego, jak też nie dokonał własnej jego analizy,
41. d. WSA w Warszawie nie poczynił jakichkolwiek własnych ocen i nie wyciągnął należytych wniosków w oparciu o materiał dowodowy sprawy, nie dokonał żadnych czynności w tym obszarze poza uznaniem za własne ustalenia GIODO i przepisaniem treści tego Organu decyzji z dn. [...] lutego 2016r. i [...] czerwca 2016r., w sytuacji kiedy uzasadnienie zaskarżonego wyroku to: od str. 1 do str. 18 przepisana treść Decyzji GIODO z dnia [...] lutego 2016r., zaś od str. 18 do str. 23 uzasadnienia to kontynuacja treści z decyzji GIODO z dnia [...] czerwca 2016r. (od str. 8 owej decyzji do końca tego dokumentu tj. str. 21),
42. e. WSA w Warszawie zaniechał merytorycznego rozpoznania zarzutów Skarżącej, nie odniósł się do jej stanowiska opartego na wskazanych przepisach u.o.d.o.; WSA w Warszawie jedynie przepisał treść skargi D. Z. z dnia [...] lipca 2016r. (od str. 23 do str. 30 uzasadnienia zaskarżonego wyroku),
43. f. pomimo wytknięcia organowi GIODO w skardze z dnia 10 lipca 2016r. szeregu uchybień i naruszeń prawa, WSA w Warszawie z naruszeniem przepisów normujących postępowanie, uchybień tych nie wziął pod uwagę lub nieprawidłowo je ocenił, co ma wpływ na wynik sprawy i treść zaskarżonego orzeczenia,
44. g. WSA w Warszawie w żaden sposób nie uzasadnił swego stanowiska ani stanowiska GIODO poza lakonicznym wskazaniem, że: "Organ nie dopuścił się naruszenia przepisów procedury administracyjnej ", " nie dopatrzył się ", " ustalił ", itp.,
45. 31. art. 1 § 1 i 2 p.p.s.a. w zw. z art. 75 § 1 i art.
46. 77. § 1 i art.
47. 78. § 1 i art. 80 k.p.a. poprzez to, że "sprawowanie wymiaru sprawiedliwości" nakazuje uwzględnienie wszystkich dowodów w postępowaniu sądowym mających znaczenie dla ustalenia stanu faktycznego, a także zawiera nakaz zachowania samodzielności WSA i niezależności w toku rozpoznania każdej sprawy, nadto ustalania, logicznego rozumowania oraz wyciągania końcowych wniosków rozstrzygających o ocenie dowodów, czemu Sąd I instancji nie sprostał, albowiem Wojewódzki Sąd Administracyjny w Warszawie pominął szereg okoliczności i dowodów w sprawie, których rozpoznanie i ocena ma istotny wpływ na jej rozstrzygnięcie, a każdy wskazany przez Skarżącą fakt i każdy dowód na jego poparcie zgromadzony w sprawie świadczy o zaistnieniu okoliczności rażącego naruszenia przepisów ustawy o ochronie danych osobowych przez wskazane przez Skarżącą podmioty, zaś nie rozpoznanie okoliczności i pominięcie dowodów i nie dokonanie ich oceny stanowi jednocześnie o nie rozpoznaniu istoty sprawy przez Sąd I instancji, stanowi rażące naruszenie w/w przepisu, co winno stanowić samodzielną przyczynę uchylenia zaskarżonego wyroku i przekazania sprawy do ponownego rozpoznania, gdyż zaistniała konieczność przeprowadzenie w przedmiotowej sprawie postępowania dowodowego praktycznie w całości;
48. 32. art. 145 § 1 pkt 1) lit. a) i c) p.p.s.a. polegające na nie uwzględnieniu skargi D. Z., pomimo rażącego naruszenia przez GIODO przepisów prawa materialnego wskazanych w skardze do WSA w Warszawie;
49. 33. art. 3 § 1 i art. 145 § 1 pkt 1) lit. a) i c) p.p.s.a. polegające na tym, że Sąd I instancji w wyniku niewłaściwej kontroli działalności administracji publicznej (Organu GIODO) nie zastosował środka określonego w art. 145 § 1 pkt 1) lit. a) i c) p.p.s.a., w sytuacji, gdy ustalony w sprawie stan faktyczny potwierdzał błędne zastosowanie przepisów prawa materialnego w decyzjach wydanych przez Organ, a tym samym wskazywał na słuszność skargi D. Z.;
50. 34. art. 151 p.p.s.a, co polegało na oddaleniu skargi D. Z. na decyzję z dnia [...] czerwca 2016r. nr [...],[...],[...] Generalnego Inspektora Ochrony Danych Osobowych, która utrzymała w mocy decyzję GIODO z dnia [...] lutego 2016r. nr [...], odmawiającej Skarżącej stwierdzenia, że w przedmiotowej sprawie zostały naruszone prawa Skarżącej w zakresie kontroli i przestrzegania przepisów Ustawy o ochronie danych osobowych;
51. 35. art. 151 p.p.s.a, co polegało na nie uchyleniu zaskarżonej przez D. Z. decyzji GIODO, skutkiem czego nie było możliwe stwierdzenie naruszenia przez Szkołę i Centrum Medyczne przepisów u.o.d.o. Skarżącej w zakresie zgodności z prawem przetwarzania danych osobowych Skarżącej przez obydwa te podmioty;
52. 36. art. 141 § 4 p.p.s.a, polegające na sporządzeniu uzasadnienia zaskarżonego wyroku bez jednoznacznego wskazania faktów, które Sąd I instancji uznał za udowodnione oraz dowodów, którym dał wiarę oraz niewskazanie przyczyn, czemu innym dowodom odmówił wiarygodności, nie odniesieniu się do wszystkich wskazanych w skardze D. Z. zarzutów, nadto nie wyjaśnienia podstawy prawnej rozstrzygnięcia poprzez brak wyczerpującego ustosunkowania się do zarzutu naruszenia przepisów u.o.d.o.

W oparciu o powyższe zarzuty skarżąca kasacyjnie wniosła o:

1. 1. na podstawie art. 176 § 1 pkt 3) w zw. z art. 185 § 1 p.p.s.a. - o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania, pozostawiając temu Sądowi rozstrzygnięcie o kosztach postępowania przed Naczelnym Sądem Administracyjnym w Warszawie (tj. z uwzględnieniem pkt 3 poniżej);
2. 2. alternatywnie na podstawie art. 188 p.p.s.a - o rozpoznanie skargi kasacyjnej przez Naczelny Sąd Administracyjny w Warszawie, po uprzednim uchyleniu zaskarżonego wyroku w całości i stwierdzeniu, że istota sprawy jest dostatecznie wyjaśniona, a w konsekwencji:
3. a) uchylenie decyzji z dnia [...] czerwca 2016r. nr [...],[...],[...] wydanej przez Generalnego Inspektora Ochrony Danych Osobowych;
4. b) uchylenie w całości decyzji poprzedzającej w/w decyzję, tj. decyzji z dnia [...] lutego 2016r. nr [...],[...],[...] wydanej przez Generalnego Inspektora Ochrony Danych Osobowych;
5. c) zobowiązanie Generalnego Inspektora Ochrony Danych Osobowych m.in. do:
6. - skontrolowania zgodności z przepisami ustawy o ochronie danych osobowych przetwarzania danych osobowych Skarżącej w systemie informatycznym Centrum Medycznego do rejestracji pacjentów i dokonania oceny stopnia naruszeń przepisów tejże ustawy w tym zakresie,
7. - dokonania oceny zarzutu Skarżącej dotyczącego przetwarzania jej danych osobowych wrażliwych; przetwarzania jej danych osobowych niezgodnie z celem ich posiadania i przetwarzania, nieadekwatnie w stosunku do celów, w jakich były przetwarzane,
8. - uwzględnienia, a następnie rozpoznania wszystkich podniesionych przez Skarżącą zarzutów, dowodów oraz okoliczności naruszeń przetwarzania jej danych osobowych - wskazywanych wielokrotnie w pismach Skarżącej do GIODO,
9. - zgromadzenia całości materiału dowodowego w sprawie celem ustalenia rzeczywistego stanu faktycznego sprawy, a następnie:
10. - dokonania oceny całości materiału dowodowego, w szczególności oceny pominiętych przez Organ dowodów (z dokumentów) wskazywanych wielokrotnie w pismach przez Skarżącą, a także wymienionych w treści uzasadnienia niniejszej skargi,
11. - uwzględnienia wniosków Skarżącej dotyczących m.in. nakazania usunięcia danych osobowych Skarżącej z wskazanej przez Skarżącą dokumentacji, a następnie:
12. - po przeprowadzeniu wszystkich w/w czynności - wydanie decyzji w sprawie.
13. d) zasądzenie od Organu na rzecz Skarżącej zwrotu kosztów postępowania za postępowanie przed Wojewódzkim Sądem Administracyjnym w Warszawie, w tym kosztów zastępstwa adwokackiego w wysokości sześciokrotności stawki minimalnej określonej w ww. przepisach, a to z uwagi na niezbędny nakład pracy adwokata, czas poświęcony na przygotowanie się do prowadzenia sprawy, wkład pracy adwokata w przyczynienie się do wyjaśnienia okoliczności faktycznych istotnych dla rozstrzygnięcia sprawy, rodzaj i zawiłość sprawy oraz obszerność zgromadzonego w sprawie materiału dowodowego;
14. 3. na podstawie art. 200 w zw. z art. 205 § 2 p.p.s.a. w zw. z § 15 ust. 3 w zw. z § 14 ust. 1 pkt c) Rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015r. w sprawie opłat za czynności adwokackie o zasądzenie od Organu na rzecz Skarżącej zwrotu kosztów postępowania za postępowanie przed Naczelnym Sądem Administracyjnym w Warszawie, w tym kosztów zastępstwa adwokackiego w wysokości sześciokrotności stawki minimalnej określonej w ww. przepisach, a to z uwagi na niezbędny nakład pracy adwokata, czas poświęcony na przygotowanie się do prowadzenia sprawy, wkład pracy adwokata w przyczynienie się do wyjaśnienia okoliczności faktycznych istotnych dla rozstrzygnięcia sprawy, rodzaj i zawiłość sprawy oraz obszerność zgromadzonego w sprawie materiału dowodowego;

W bardzo szerokim uzasadnieniu skargi kasacyjnej (łącznie 47 stron) przytoczono argumentację mającą przemawiać za zasadnością podniesionych, względem wyroku Sądu I instancji, zarzutów.

Generalny Inspektor Ochrony Danych Osobowych oraz Centrum Medyczne [...] sp. z o.o. w [...] wnieśli o oddalenie skargi kasacyjnej, a nadto uczestnik postępowania domagał się zasądzenia od skarżącej na rzecz Centrum Medycznego [...] sp. z o.o. kosztów postępowania kasacyjnego.

Nadto pismem z 30 lipca 2018r. skarżąca kasacyjnie uzupełniła skargę kasacyjną.

Naczelny Sąd Administracyjny zważył, co następuje

Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny przy rozpatrywaniu sprawy na skutek wniesienia skargi kasacyjnej związany jest granicami tej skargi, a z urzędu bierze pod rozwagę tylko nieważność postępowania w wypadkach określonych w § 2, z których żaden w rozpoznawanej sprawie nie zachodzi. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego orzeczenia determinują zakres kontroli dokonywanej przez Naczelny Sąd Administracyjny. Sąd ten, w odróżnieniu od wojewódzkiego sądu administracyjnego, nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów postawionych w skardze kasacyjnej.

Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art.174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy.

Jednocześnie podkreślić należy, że w sytuacji, gdy strona wnosząca skargę kasacyjną zarzuca wyrokowi Sądu I instancji naruszenie przepisów prawa materialnego, jak i naruszenie przepisów postępowania, w pierwszej kolejności trzeba odnieść się do zarzutu naruszenia przepisów postępowania, bowiem dopiero wówczas, gdy zostanie przesądzone, że stan faktyczny przyjęty przez Sąd I instancji za podstawę orzekania jest prawidłowy albo nie został dostatecznie podważony, można przejść do oceny zasadności zarzutów prawa materialnego.

W niniejszej sprawie strona skarżąca oparła skargę kasacyjną na obu podstawach tj. naruszenia przepisów prawa materialnego oraz naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy (art. 174 pkt 1 i 2 p.p.s.a.).

Na wstępie podnieść należy, że całkowicie nieuprawniony jest zarzut naruszenia art. 1 § 1 i 2 Prawa o ustroju sądów administracyjnych. Otóż przepis art. 1 § 1 i 2 p.u.s.a. ma charakter ustrojowy i może stanowić podstawę kasacyjną jedynie w drodze wyjątku, np. gdy sąd odmówił rozpoznania skargi, mimo prawidłowości jej wniesienia, czy też orzekał w sprawie, która nie podlega rozpoznaniu przez sądy administracyjne, albo rozpoznając prawidłowo wniesioną skargę dokonał kontroli w sprawie w oparciu o inne kryterium, niż kryterium legalności. Okoliczność, iż strona skarżąca kasacyjnie nie zgadza się ze stanowiskiem i argumentacją Sądu I instancji, przedstawioną w uzasadnieniu zaskarżonego wyroku, nie uzasadnia zarzutu naruszenia powyższego przepisu. Zwłaszcza, że przedmiotowa sprawa należy do kognicji sądów administracyjnych, została rozpoznana przez właściwy sąd, a fachowy pełnomocnik skarżących nie wskazał w skardze kasacyjnej jakie to inne kryteria kontroli (celowość, rzetelność, gospodarność itd.), zamiast kryterium legalności stosował Sąd I instancji w niniejszej sprawie.

Podobnie ocenić należy zarzut naruszenia art. 1 § 1 i 2 p.p.s.a. Po pierwsze przepis art. 1 p.p.s.a. definiuje pojęcie sprawy sądowoadministracyjnej, której rozstrzygniecie leży w kompetencji sądu administracyjnego. Naruszenie tego przepisu przez sąd pierwszej instancji może zachodzić wówczas, gdy sąd ten wyda orzeczenie w sprawie, która nie leży w jego kompetencji. To, czy dokonana przez sąd ocena legalności zaskarżonego aktu była prawidłowa, czy też błędna, nie może być utożsamiane z naruszeniem tego przepisu. Przepis ten ma charakter ogólnoustrojowy i w żaden sposób nie jest związany z postępowaniem dowodowym (jak próbuje to uczynić skarżąca kasacyjnie). Z natury rzeczy powyższa norma nie może być zatem ustawowym wzorcem kontroli prawidłowości postępowania wojewódzkiego sądu administracyjnego. Przepis art. 1 p.p.s.a. określa zakres regulacji p.p.s.a. i może zostać naruszony tylko wtedy, gdy w sprawie sąd odmówił rozpoznania skargi, mimo prawidłowości jej wniesienia, czy też orzekał w sprawie, która nie podlega rozpoznaniu przez sądy administracyjne wskutek naruszenia podziału kompetencji pomiędzy sądami administracyjnymi a sądami powszechnymi.

Po drugie art.1 p.p.s.a. nie dzieli się na inne jednostki redakcyjne tekstu, w szczególności na paragrafy, co sprawia, że zarzut naruszenia § 1 i 2 tego przepisu jest niezrozumiały, a więc nie pozwala na merytoryczną kontrolę NSA w tym zakresie.

W powiązaniu z tym przepisem p.p.s.a. nie zasadny jest także zarzut naruszenia art. 75 § 1, art. 77 § 1 i art. 80 k.p.a. "albowiem Wojewódzki Sąd Administracyjny w Warszawie pominął szereg okoliczności i dowodów w sprawie, których rozpoznanie i ocena ma istotny wpływ na jej rozstrzygnięcie (...), zaś nie rozpoznanie okoliczności i pominięcie dowodów i nie dokonanie ich oceny stanowi jednocześnie o nie rozpoznaniu istoty sprawy przez Sąd I instancji, stanowi rażące naruszenie w/w przepisu, co winno stanowić samodzielną przyczynę uchylenia zaskarżonego wyroku i przekazania sprawy do ponownego rozpoznania, gdyż zaistniała konieczność przeprowadzenie w przedmiotowej sprawie postępowania dowodowego praktycznie w całości." Otóż z całą mocą podkreślić należy, że sąd administracyjny, nie jest organem administracyjnym, i postępowanie przed nim nie jest kolejną (trzecią) instancją administracyjna.

Tym samym nie sposób mu zarzucić naruszenia przepisów zawartych w kodeksie administracyjnym. Sąd administracyjny nie stosuje wprost przepisów regulujących postępowanie przed organami administracji publicznej, stąd też jego związanie tymi przepisami sprowadza się do obowiązku sformułowania oceny prawnej, czy proces podjęcia decyzji stosowania prawa przez organ administracji był prawidłowy. Nie budzi wątpliwości, że sformułowanie tej oceny wymaga odpowiedzi na szereg pytań, pytań takich samych jak te, na które musi odpowiedzieć organ administracji bezpośrednio stosujący te przepisy. Jednak to nie wojewódzki sąd administracyjny stosuje te przepisy, lecz posługuje się nimi jedynie, jako matrycą porównawczą, w celu ustalenia, czy postępowanie organu w tym zakresie jest zgodne z ustalonym porządkiem prawnym. W uzasadnieniu kontrolowanego wyroku Sąd I instancji dał wyraz swojej argumentacji odnosząc się do całokształtu sprawy i zgromadzonego przez organy administracyjne materiału dowodowego.

Uchybienie przez sąd przepisom regulującym postępowanie organów administracji publicznej ma charakter pośredni i wynikać może jedynie z uchybienia przez Sąd I instancji przepisom p.p.s.a. Oznacza to, że procedując wojewódzki sąd administracyjny nie stosuje przepisów k.p.a., lecz kontroluje, czy postępowanie organów odpowiadało tym przepisom. W konsekwencji zarzucając naruszenie przepisów postępowania administracyjnego skarżący kasacyjnie powinien powiązać je z naruszeniem przez Sąd I instancji odpowiednich przepisów postępowania sądowoadministracyjnego – czego w niniejszej skardze kasacyjnej nie uczynił, gdyż jak wskazano wyżej przepisem takim nie może być art.1 § 1 i 2 p.p.s.a.

Kolejny, podany jako naruszony, przepis art. 141 § 4 p.p.s.a. określa elementy, jakie powinno zawierać uzasadnienie wyroku i ma charakter formalny. O naruszeniu tego przepisu można mówić w przypadku, gdy uzasadnienie wyroku nie spełnia określonych w nim warunków. W orzecznictwie przyjmuje się, że art. 141 § 4 p.p.s.a. może stanowić samodzielną podstawę kasacyjną wówczas, gdy uzasadnienie wyroku nie zawiera stanowiska co do stanu faktycznego przyjętego za podstawę rozstrzygnięcia (por. uchwała składu siedmiu sędziów NSA z dnia 15 lutego 2010 r. sygn. akt II FPS 9/09 ONSAiWSA 2010/3/39) bądź uniemożliwia dokonanie przez Naczelny Sąd Administracyjny kontroli instancyjnej zaskarżonego wyroku (por. wyroki NSA z dnia: 28 września 2010 r., sygn. akt I OSK 1605/09; 13 października 2010 r., sygn. akt II FSK 1479/09). W niniejszej sprawie uzasadnienie zaskarżonego wyroku spełnia wymogi określone w art. 141 § 4 p.p.s.a. Przedstawiono w nim stan faktyczny sprawy, podano zarzuty sformułowane w skardze, stanowisko organu oraz wskazano podstawę prawną rozstrzygnięcia i jej wyjaśnienie.

Analiza uzasadnienia zaskarżonego wyroku pozwala zatem na prześledzenie toku rozumowania Wojewódzkiego Sądu Administracyjnego w Warszawie i poznanie motywów, jakimi kierował się podejmując rozstrzygnięcie w sprawie. Podkreślenia wymaga, iż za pomocą zarzutu naruszenia art. 141 § 4 p.p.s.a nie można skutecznie zwalczać prawidłowości przyjętego przez sąd stanu faktycznego, czy też stanowiska co do wykładni bądź zastosowania prawa materialnego, czy procesowego. Fakt reprezentowania odmiennego poglądu prawnego przez skarżącego kasacyjnie, nie oznacza wadliwości uzasadnienia zaskarżonego wyroku. Kwestia czy motywy te były trafną konsekwencją oceny stanu faktycznego sprawy i prawidłowej wykładni przepisów prawa zastosowanych w sprawie, nie podlega ocenie w ramach analizy zarzutu naruszenia art. 141 § 4 p.p.s.a.

Na uwzględnienie nie zasługiwały także zarzuty kasacyjne, dotyczące naruszenia przez sąd I instancji art. 145 § 1 pkt 1 lit. a i c p.p.s.a. oraz art. 151 p.p.s.a. Oba wskazane przepisy mają charakter wynikowy. Ich zastosowanie przez sąd jest za każdym razem rezultatem uznania, że w sprawie zaistniało albo nie zaistniało tego rodzaju naruszenie przepisów prawa materialnego bądź regulacji procesowej, która uzasadniałaby wyeliminowanie z obrotu prawnego zaskarżonego przejawu działania administracji publicznej. Oznacza to, że, przepisy te nie mogą stanowić samodzielnej podstawy kasacyjnej (zob. wyrok NSA z 30 listopada 2016 r., sygn. akt I OSK 2551/16, wyrok NSA z 17 sierpnia 2016 r., sygn. akt I OSK 859/15, wyrok NSA z 30 czerwca 2016 r., sygn. akt II OSK 2671/14). Nadto, jeżeli chodzi o pierwszy z tych przepisów, to nie był on stosowany przez Sąd I instancji, a więc nie mógł być przez niego naruszony.

Jeżeli chodzi o zarzut naruszenia artykułów 7, 8 i 11 Dyrektywy 95/46/WE z 24 października 1995r., to jest on bezpodstawny. Dyrektywy są aktami skierowanymi do państw członkowskich, które są ich adresatami, a nie do organów lub obywateli (w odróżnieniu od rozporządzeń). Wiążą one każde państwo członkowskie w odniesieniu do rezultatu, które ma być osiągnięty pozostawiając jednak organom krajowym swobodę wyboru formy i środków. Jest więc dyrektywa aktem "pośrednim", czy też "dwufazowym" tj. wymaga ona implementacji (transpozycji) przez państwo do porządku krajowego. Co do zasady dyrektywa nie ma bezpośredniej mocy obowiązującej, jak też nie ustanawia bezpośrednio praw i obowiązków dla obywateli. Kraje członkowskie zobligowane są do wdrażania dyrektyw, lecz dyrektywy te nie mogą być powołane przez kraj członkowski oraz jego organy wobec osób prywatnych.

Sąd I instancji zasadnie stwierdził, że Rzeczpospolita Polska, jako państwo członkowskie dokonała implementacji (transpozycji) wskazanej dyrektywy, a skoro tak, to kwestie w niej wskazane zostały uregulowane przez ustawę z 29 sierpnia 1997r. o ochronie danych osobowych. Zarzuty skargi kasacyjnej powinny być zatem formułowane w stosunku to wspomnianej ustawy kreującej podstawę materialnoprawną działania organu, a nie do dyrektywy, gdyż organy państwa po implementacji dyrektywy nie stosują jej, lecz prawo krajowe do niej dostosowane. Zatem zarzut naruszenia (czy też nie zastosowania) przepisów dyrektywy, w świetle orzecznictwa Trybunał Sprawiedliwości Unii Europejskiej mógłby być formułowany, tylko wówczas, gdy nie została ona we wskazanym w niej terminie implementowana lub została wadliwie implementowana. Wtedy też, z powołaniem się na doktrynę bezpośredniego skutku, organy krajowe mogłyby orzekać pod pewnymi warunkami o prawach i obowiązkach jednostki nie na podstawie obowiązującego prawa krajowego, lecz bezpośrednio na podstawie normy zawartej w takiej dyrektywie.

Strona skarżąca kasacyjnie podnosząc wskazany zarzut naruszenia określonych artykułów Dyrektywy 95/46/WE z 24 października 1995 r. nie uzasadniła go jednak brakiem implementacji, ani też wadliwą implementacją do prawa krajowego, co pozwalałoby sięgnąć bezpośrednio do jej unormowań.

Podobnie ocenić należy zarzut naruszenia art. 45 ust. 1 w zw. z art. 47 i art. 51 Konstytucji RP. Wprawdzie przepis artykułu 8 ust. 2 Konstytucji wprowadził zasadę bezpośredniego stosowania przepisów Konstytucji. Jest to jednak reguła, od której sama Konstytucja przewiduje wyjątki, stwierdzając: "chyba że Konstytucja stanowi inaczej". Sytuacja taka wystąpi wówczas, gdy przepis ustawy zasadniczej wyraźnie uzależnia uregulowanie określonej kwestii od wydania przez parlament odpowiedniej ustawy. Na podstawie wymienionego przepisu bezpośrednio stosowane są postanowienia, które odnoszą się zasadniczo do regulacji w zakresie wolności, praw i obowiązków człowieka i obywatela o ile nie są przedmiotem ustawy. Wyrażona w art. 8 ust. 2 Konstytucji zasada bezpośredniego stosowania Konstytucji oznacza stosowanie jej norm przez organy władzy publicznej bez konieczności pośrednictwa ustawy. Rozstrzygnięcie zgodnie z powyższą zasadą sprawy przez sąd wyłącznie na podstawie normy konstytucyjnej może jednak mieć miejsce tylko wtedy, gdy norma konstytucyjna jest skonkretyzowana w stopniu pozwalającym na samoistne jej zastosowanie (por. np. wyrok Sądu Najwyższego z dnia 9 maja 2003 r., V CK 344/02, OSNC 2004, nr 7-8, poz. 119, oraz wyrok Trybunału Konstytucyjnego z dnia 23 września 2003 r., K 20/02, OTK-A 2003, nr 7, poz. 76).

Normy konstytucyjne o takim stopniu konkretyzacji nie są jednak liczne. Zasada bezpośredniego stosowania Konstytucji, wskazująca na normatywny charakter postanowień w niej zawartych jest ogólną zasadą całego systemu prawa w [...]. Nie wynika z niej jednak, iż zawiera ona w swej treści zakaz, skierowany do ustawodawcy, normowania materii uregulowanej w Konstytucji przez akty normatywne niższej rangi. Nakaz bezpośredniego stosowania Konstytucji odnosi się zarówno do sfery tworzenia prawa, jak i jego stosowania. Wywiera jednak przede wszystkim skutki w procesie oceny i wykładni prawa obowiązującego - w zgodzie z Konstytucją, a nie stosowania jej przepisów wprost. Jeżeli chodzi o art. 45 ust. 1 Konstytucji RP, to każdy ma prawo do sprawiedliwego i jawnego rozpatrzenia sprawy bez nieuzasadnionej zwłoki przez właściwy, niezależny, bezstronny i niezawisły sąd. Wojewódzki Sąd Administracyjny w Warszawie był właściwy do rozpoznania niniejszej sprawy, a także w pełni niezależny i niezawisły, sprawa zaś została rozpoznana jawnie, na rozprawie.

Fakt, że skarżąca jest niezadowolona z wyroku nie można utożsamiać z naruszeniem wskazanego wyżej przepisu Konstytucji RP stanowiącego gwarancję prawa do sądu i do rozpoznania sprawy bez zbędnej zwłoki. Zgodnie z art. 47 Konstytucji RP każdy ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. skarżąca nie uzasadniła tego zarzutu w szerszym zakresie, a w szczególności w jaki sposób prawa te zostały w stosunku do niej zostały naruszone. Tym bardziej, że zarówno z samego faktu niniejszego postepowania oraz informacji zawartych w aktach sprawy, z których wynika, że prowadzone są także inne postępowania cywilne i karne, skarżąca aktywnie korzysta ze swoich praw. Prawo wyrażone w tym przepisie Konstytucji nie jest zresztą prawem o charakterze absolutnym. Wreszcie, jeżeli chodzi o art. 51 Konstytucji RP, to należy domniemywać, że chodzi o naruszenie wszystkich jednostek redakcyjnych, gdyż skarżąca kasacyjnie ich nie sprecyzowała w treści zarzutu. W tym przypadku z ust.5 art.51 jasno wynika, że zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa, a ustawą taką jest właśnie ustawa o ochronie danych osobowych.

Jako całkowicie bezzasadny uznać należy zarzut naruszenia art.12 pkt 1 u.o.d.o. Jest to bowiem norma zadaniowa, która jako taka nie może stanowić podstawy prawnej dla wydania decyzji administracyjnej w sprawie indywidualnej. Przepis ten stwierdza, że do zadań Generalnego Inspektora Ochrony Danych Osobowych w szczególności należy kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych. Przepis ten wyznacza ogólnie kierunek działania organu administracji publicznej, lecz nie daje podstaw do konstruowania indywidualnych praw i żądań. Realizacja norm zadaniowych przez organ administracyjny podlega nadzorowi właściwego organu administracyjnego, a nie przez sąd administracyjny w toku kontroli decyzji administracyjnej wydanej w postępowaniu jurysdykcyjnym. Zresztą sam fakt wydania decyzji administracyjnej w przedmiotowej sprawie wskazuje na wykonywanie tego zadania tj. kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych przez GIODO.

Bezpodstawne są zarzuty naruszenia art.22 u.o.d.o., gdyż jest to przepis o charakterze odsyłającym (odsyła do przepisów k.p.a., które nakazuje stosować, o ile przepis ustawy nie stanowi inaczej). Skarżąca kasacyjnie nie tylko nie podniosła w tych zarzutach, że organ błędnie zastosował k.p.a. zamiast odrębnych unormowań zawartych w ustawie, lecz wprost powołała się na pominięcie jej wniosków dowodowych, nie podjęcie wszelkich czynności dowodowych, wybiórczo przeprowadzoną ocenę materiału dowodowego itp. Wszystkie te elementy uzasadnienia zarzutu wiążą się ze stosowaniem k.p.a., a nie z normą zawartą w art.22 u.o.d.o.

W szczególności nie uzasadniony jest zarzut naruszenia art.19 u.o.d.o. w zw. z art.304 k.p.a. Jak słusznie podkreślił organ administracyjny obowiązek GIODO wynikający z art. 19 u.o.d.o. nie stanowi podstawy do skutecznego domagania się przez skarżącą podjęcia działania określonego w tym przepisie, które to działanie organu nie przybiera formy administracyjno-prawnej. Stwierdzenie podstaw do zastosowania art. 19 u.o.d.o. należy wyłącznie do GIODO. Osoba dochodząca ochrony swych praw w trybie u.o.d.o. nie jest podmiotem postępowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych i nie może się tego domagać od GIODO w administracyjno-prawnych formach tego postępowania. Przepis art. 19 u.o.d.o. nie daje bowiem stronie roszczenia w tym względzie. Podgląd ten wynika jednoznacznie z treści normy zawartej w art.19 u.o.d.o., a także znajduje swoje odzwierciedlenie w licznym i jednolitym orzecznictwie NSA (zob. np. wyroki NSA z 26 września 2017r., sygn. I OSK 532/17 oraz z 11 kwietnia 2017r., sygn. I OSK 2760/15).

Bezzasadne jest także zarzucanie Sądowi I instancji, iż nie dokonał kontroli działań Szkoły oraz Centrum Medycznego (zarzut 21 i 22). Po pierwsze to nie sąd administracyjny dokonuje takiej kontroli, lecz powołany do tego organ administracji publicznej - GIODO. Po drugie zgodnie z ugruntowanymi poglądami prezentowanymi w orzecznictwie NSA niedopuszczalne jest zastępowanie zarzutu naruszenia przepisów postępowania, zarzutem naruszenia prawa materialnego i za jego pomocą kwestionowanie ustaleń faktycznych. Nie można skutecznie powoływać się na zarzut niewłaściwego zastosowania lub niezastosowania prawa materialnego, o ile równocześnie nie zostaną także skutecznie zakwestionowane ustalenia faktyczne, na których oparto skarżone rozstrzygnięcie (zob. wyrok NSA z dnia 31 stycznia 2013 r., I OSK 1171/12, LEX nr 1298298). Próba zwalczenia ustaleń faktycznych poczynionych przez sąd pierwszej instancji nie może nastąpić przez zarzut naruszenia prawa materialnego (zob. wyrok NSA z dnia 29 stycznia 2013 r., I OSK 2747/12, LEX nr 1269660; wyrok NSA z dnia 6 marca 2013 r., II GSK 2327/11, LEX nr 1340137).

Ocena zarzutu prawa materialnego może być dokonana wyłącznie na podstawie konkretnego stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (zob. wyrok NSA z dnia 6 marca 2013 r., II GSK 2328/11, LEX nr 1340138; wyrok NSA z dnia 14 lutego 2013 r., II GSK 2173/11, LEX nr 1358369). Jeżeli skarżący uważa, że ustalenia faktyczne są błędne, to zarzut naruszenia prawa materialnego poprzez błędne zastosowanie jest co najmniej przedwczesny. Zarzut naruszenia prawa materialnego nie może opierać się na wadliwym (kwestionowanym przez stronę) ustaleniu faktu (zob. wyrok NSA z dnia 13 marca 2013 r., II GSK 2391/11, LEX nr 1296051). Błędne zastosowanie (bądź niezastosowanie) przepisów materialnoprawnych zasadniczo każdorazowo pozostaje w ścisłym związku z ustaleniami stanu faktycznego sprawy i może być wykazane pod warunkiem wcześniejszego obalenia tych ustaleń czy też szerzej - dowiedzenia ich wadliwości.

Gdy skarżący nie podważa skutecznie okoliczności faktycznych sprawy zarzuty niewłaściwego zastosowania prawa materialnego są zarzutami bezpodstawnymi (por. wyrok NSA z dnia 4 lipca 2013 r., I FSK 1092/12, LEX nr 1372071; wyrok NSA z dnia 1 grudnia 2010 r., II FSK 1506/09, LEX nr 745674; wyroki NSA: z dnia 11 października 2012 r., I FSK 1972/11; z dnia 3 listopada 2011 r., I FSK 2071/09). Po trzecie naruszenie prawa materialnego może przejawiać się w dwóch postaciach: jako błędna wykładnia albo jako niewłaściwe zastosowanie określonego przepisu prawa. Podnosząc zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, że sąd stosując przepis popełnił błąd subsumcji, czyli że niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie nie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa.

W obu tych przypadkach autor skargi kasacyjnej wykazać musi, jak w jego ocenie powinien być rozumiany stosowany przepis prawa, czyli jaka powinna być jego prawidłowa wykładnia. Jednocześnie należy podkreślić, że ocena zasadności zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie ustalonego w sprawie stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (por. wyrok NSA z dnia 13 sierpnia 2013 r., II GSK 717/12, LEX nr 1408530; wyrok NSA z dnia 4 lipca 2013 r., I GSK 934/12, LEX nr 1372091). W orzecznictwie Naczelnego Sądu Administracyjnego prezentowane jest stanowisko, zgodnie z którym nie jest dopuszczalne w świetle brzmienia art. 174 p.p.s.a. formułowanie zarzutu skargi kasacyjnej jako naruszenie przepisu prawa "poprzez jego niezastosowanie" czy "pominięcie" (por. wyrok NSA z dnia 3 grudnia 2008r., I OSK 1807/07; wyrok NSA z dnia 14 maja 2007r., I OSK 1247/06; wyrok NSA z dnia 28 marca 2007 r., I OSK 31/07; postanowienie NSA z dnia 2 marca 2012 r., I OSK 294/12).

Zgodnie jednak z dominującym poglądem wyrażanym w orzecznictwie sądowoadministracyjnym w ramach pierwszej podstawy kasacyjnej możliwe jest również kwestionowanie niezastosowania określonego przepisu prawa z tym jednak zastrzeżeniem, że jeżeli strona skarżąca kasacyjnie podnosi w skardze kasacyjnej, że Sąd rozpoznający sprawę zastosował nie ten przepis prawa materialnego, który powinien być zastosowany, to powinna wskazać przepis właściwy jako podstawę materialną rozstrzygnięcia i uzasadnić, dlaczego ten właśnie przepis powinien lec u podstaw kwestionowanego rozstrzygnięcia, tj. dlaczego powinien być zastosowany (por. wyrok NSA z dnia 14 kwietnia 2004 r., OSK 121/04; wyrok NSA z dnia 19 grudnia 2005 r., II OSK 299/0; wyrok NSA z dnia 15 marca 2011 r., II OSK 323/10). Obie powyższe uwagi odnoszą się także do innych zarzutów skargi kasacyjnej (np. zarzutu 26, 27).

Całkowicie nieuzasadniony jest zarzut "przekazania przez Szkołę wrażliwych danych osobowych Skarżącej bez jej pisemnej zgody" (uzasadnienie zarzutu 7 oraz zarzuty 23 i 24). Szkoła nie dysponowała, ani tym bardziej nie przekazywała danych wrażliwych dotyczących skarżącej tj. związanych z jej pochodzeniem rasowym lub etnicznym, poglądami politycznymi, przekonaniami religijnymi lub filozoficznymi, przynależnością wyznaniową, partyjna lub związkową, stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeniach wydanych w postępowaniu sądowym lub administracyjnym (art.27 ust.1 u.o.d.o.). Zaznaczyć należy, że tylko przetwarzanie tych danych co do zasady jest zabronione. Tymczasem samo wypisanie przez pracodawcę skierowań na badania nie jest równoznaczne z przetwarzaniem danych wrażliwych dotyczących stanu zdrowia.

To właśnie dopiero ewentualnie przeprowadzenie badań lekarskich mogłoby wygenerować dane o stanie zdrowia skarżącej. Skarżąca kasacyjnie nie wykazała, które to z powyższych danych wrażliwych zostały zgromadzone przez Szkołę, były przez nią przetwarzane, a w konsekwencji zostały udostępnione Centrum Medycznemu.

Poza analizą GIODO, a w konsekwencji poza kontrolą sądu administracyjnego, jest to czy skierowania na badania były prawidłowe, a w szczególności czy były uzasadnione i zgodne z prawem pracy. Częściowo właściwym do rozstrzygnięcia tych kwestii jest sąd powszechny. Badaniu GIODO w okolicznościach niniejszej sprawy podlegało wyłącznie to, czy dane zostały pozyskane przez Centrum Medyczne legalnie i czy ich przetwarzanie związane było wyłącznie z rejestracją skarżącej na badania.

Nie zasługują wreszcie na uwzględnienie pozostałe zarzuty skargi kasacyjnej. Odnosząc się do nich należy wyjść od kwestii, która jak słusznie podnosił organ administracyjny ma charakter podstawowy tj. dysponowania przez Szkołę danymi osobowymi skarżącej oraz ich udostępnienia Centrum Medycznemu. Nie budzi wątpliwości, że Szkoła mogła, a wręcz miała obowiązek posiadać dane osobowe skarżącej i przetwarzać je na potrzeby związane z jej zatrudnieniem. GIDO prawidłowo wskazał, że pracodawca jest zobowiązany na podstawie art. 94 pkt 9a i 9b k.p. prowadzić dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników, jak również przechowywać dokumentację pracowniczą w sposób gwarantujący zachowanie jej poufności, integralności, kompletności oraz dostępności, w warunkach niegrożących uszkodzeniem lub zniszczeniem przez okres zatrudnienia, a także przez okres 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł, chyba że odrębne przepisy przewidują dłuższy okres przechowywania dokumentacji pracowniczej.

Znajduje to także potwierdzenie w art. 51u ust. 1 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (tekst jednolity Dz. U. z 2015 r., poz. 1446 ze zm.), art. 125a pkt 4 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (tekst jednolity Dz. U. z 2015 r., poz. 748 ze zm.), art. 47 ust. 3c ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (tekst jednolity Dz. U. z 2015 r., poz. 121 ze zm.), a także art. 86 § 1 i art. 70 § 1 ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (tekst jednolity Dz. U. z 2015 r., poz. 613 ze zm.).

Natomiast zgodnie z art.211 pkt 5 k.p. pracownik jest zobowiązany poddawać się wstępnym, okresowym i kontrolnym oraz innym zaleconym badaniom lekarskim i stosować się do wskazań lekarskich a badania takie na podstawie art.23 ust. 5 w związku z art.9 ust.1 pkt 3 i art. 91c ust. 1 Karty Nauczyciela oraz art. 229 § 2 – 4a k.p., a także § 1 ust. 1 pkt 5, § 2 ust.2, § 4, § 7 rozporządzenia Ministra Zdrowia i Opieki Społecznej z dnia 30 maja 1996 r. w sprawie przeprowadzania badań lekarskich pracowników, zakresu profilaktycznej opieki zdrowotnej nad pracownikami przeprowadza się na podstawie skierowania wydanego przez pracodawcę – dyrektora szkoły z własnej inicjatywy w każdym czasie. Dyrektor szkoły ma pełne prawo, a nawet obowiązek jako kierownik placówki skierować pracownika na badania. Zarówno treść art.23 ust. 5 Karty Nauczyciela, jak i jego cel wskazują, że jest to samodzielna decyzja dyrektora szkoły.

Nie leży w kompetencji GIODO, ani kognicji sądu administracyjnego badanie zasadności podjętej przez dyrektora szkoły decyzji o skierowaniu na badania lekarskie. Jest to prawo dyrektora do korzystania z ustawowego prawa zagwarantowanego w Karcie Nauczyciela. Dyrektor szkoły jako jej przedstawiciel na zewnątrz, przełożony służbowy wszystkich pracowników oraz przewodniczący rady pedagogicznej jest odpowiedzialny jednoosobowo za realizację zadań szkoły, w związku z czym wyposażony jest w Karcie Nauczyciela w szereg uprawnień umożliwiających mu wykonywanie tych zadań. Jednym z takich uprawnień jest samodzielna i niczym nieskrępowana decyzja o kierowaniu danego nauczyciela na badania lekarskie. Uprawnienie to podlega tylko ocenie sądu powszechnego. W kontekście ochrony danych osobowych bez znaczenie jest także okoliczność, czy skarżąca miała aktualne badania okresowe, albo czy przedstawiła je od innego lekarza medycyny pracy, niż ten do którego została skierowana.

Zatrudnienie pracownika, w tym także nauczyciela mianowanego, wiąże się więc m.in. z obowiązkiem dokonywania przez niego określonych badań na podstawie skierowań otrzymanych od pracodawcy. Same skierowania nie zawierały innych danych osobowych (a zwłaszcza danych wrażliwych) niż było to potrzebne do identyfikacji osoby przez podmiot, który miał przeprowadzić badania. W konsekwencji mając na uwadze art.5 ust.2 pkt 1 ustawy z dnia 27 czerwca 1997 r. o służbie medycyny pracy stanowi, iż obowiązek objęcia pracowników profilaktyczną opieką zdrowotną spoczywa na pracodawcy.

Ponadto, zgodnie z art. 12 ust. 1 cyt. ustawy, badania wstępne, okresowe i kontrolne pracowników oraz inne świadczenia zdrowotne są wykonywane na podstawie pisemnej umowy zawartej przez podmiot obowiązany do ich zapewnienia, o którym mowa w art. 5 ust. 2, zwany dalej "zleceniodawcą", z podstawową jednostką służby medycyny pracy, zwaną dalej "zleceniobiorcą". W konsekwencji, uznać należy, iż Centrum Medyczne nie weszło w posiadanie danych osobowych skarżącej nielegalnie, lecz na podstawie przepisu prawa określonego w art. 12 ust. 1 i 2 ustawy o służbie medycyny pracy.

Natomiast obecnie Centrum Medyczne przetwarza dane osobowe skarżącej w celach wyłącznie archiwalnych, do czego jest zobowiązane m.in. na podstawie przepisów ustawy z dnia 29 września 1994 r. o rachunkowości. W świetle zgromadzonych w niniejszej sprawie dowodów nie wynika, aby Centrum Medyczne wykorzystywało dane osobowe w innych celach niż rejestracja do lekarza medycyny prany, np. w celach marketingowych.

Z powyższych przyczyn Naczelny Sąd Administracyjny uznał skargę kasacyjną za pozbawioną usprawiedliwionych podstaw, co skutkowało jej oddaleniem na podstawie art. 184 p.p.s.a. (pkt 1 sentencji wyroku).

Rozstrzygnięcie o kosztach postępowania kasacyjnego zostało wydane w oparciu o przepis art. 204 pkt 1 p.p.s.a. (pkt 2 sentencji wyroku).

Odnosząc się natomiast do wniosku uczestniczki postępowania Centrum Medycznego [...] sp. z o.o. z siedzibą w [...] o zwrot kosztów postępowania kasacyjnego, to wskazać należy, iż podstawową zasadę ponoszenia przez strony kosztów postępowania sądowoadministracyjnego określa artykuł 199 p.p.s.a. Zgodnie z tym przepisem, strony ponoszą samodzielnie koszty tego postępowania związane ze swym udziałem w sprawie. W konsekwencji wszystkie przepisy tej ustawy powinny być interpretowane w sposób zapewniający realizację powyższej zasady, zaś wszelkie odstępstwa w zakresie sposobu ponoszenia kosztów postępowania wynikające z regulacji szczególnych muszą być traktowane jako wyjątki podlegające wykładni ścisłej. Wyjątki od w/w zasady zostały określone w art. 200 – 201 oraz art. 203 – 204 p.p.s.a. i tylko w tych przypadkach sąd może orzekać o zwrocie kosztów postępowania między stronami. Podkreślić należy, że ustawodawca nie przewidział zwrotu kosztów zastępstwa procesowego dla uczestnika postępowania na prawach strony, niezależnie od wyniku tego postępowania. W tym stanie rzeczy, wniosek Centrum Medycznego [...] sp. z o.o. z siedzibą w [...] o zwrot kosztów postępowania kasacyjnego podlegał oddaleniu (pkt 3 sentencji wyroku).