Uzasadnienie
Postępowanie w sprawie miało zainicjować przekazane do Urzędu Ochrony Danych Osobowych przez Rzecznika Praw Pacjenta zawiadomienie P. P., w którym podejrzewa, iż bliżej nieokreślona osoba z [...] Rejonowej Komisji Lekarskiej w [...] popełniła przestępstwo przekroczenia uprawnień oraz przestępstwo ujawnienia danych medycznych tj. danych sensytywnych dotyczących jego stanu zdrowia (postawionej diagnozy medycznej i poczynionych wniosków diagnostycznych wraz z uzasadnieniem).
Postanowieniem z dnia [...] sierpnia 2023r. Prezes Urzędu Ochrony Danych Osobowych odmówił wszczęcia postępowania w sprawie.
W uzasadnieniu rozstrzygnięcia wyjaśnił, że kompetencje Prezesa UODO zostały enumeratywnie wymienione w art. 57 i art. 58 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/V\/E (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej: RODO) i przepisy te nie przyznają organowi uprawnień śledczych.
W związku z powyższym, wskazano, że żądanie osoby, która zgłasza naruszenie prawa do ochrony danych osobowych, aby Prezes UODO podjął działania naprawcze w jej sprawie powinny odnosić się do nakazania administratorowi podjęcia działań zmierzających do naprawienia powstałych w związku z przetwarzaniem danych osobowych uchybień.
Dalej wyjaśniono, że P. P. zawiadamiając o możliwości popełnienia przestępstwa ogranicza się do podjęcia postępowania w przedmiocie zbadania możliwości popełnienia przez [...] Rejonową Komisję Lekarską w [...] przestępstwa. Postępowanie zmierzające do ustalenia odpowiedzialności karnej za przestępstwo polegające na ujawnienia danych medycznych nie może być przedmiotem postępowania prowadzonego przed Prezesem UODO, albowiem żaden przepis RODO ani u.o.d.o.2018 nie uprawnia Prezesa UODO do podejmowania czynności w sprawie rozstrzygnięcia o odpowiedzialności karnej.
Od powyższego rozstrzygnięcia skargę do tut. Sądu wywiódł P. P. zarzucając organowi naruszenie art. 7, art. 8, art. 12, art. 77 § 1, art. 80, art. 81a k.p.a. - przez niewywiązanie się Organu z obowiązku dokładnego zbadania stanu faktycznego sprawy i wyjaśnienia wszelkich wątpliwości, oraz naruszenie art. 64 § 2 w zw. z art. 63 § 2 k.p.a. - przez niewezwanie strony do usunięcia braków wynikających z nieokreślenia żądania wniosku z dnia [...] maja 2023.
W oparciu o powyższe skarżący wniósł o:
- 1) uznanie, że Organ wydał decyzję z rażącym naruszeniem prawa,
- 2) uznanie, że Komendant Miejski Policji w [...], Komendant Wojewódzki Policji w
Komendant Główny Policji bezprawnie przetwarzali, ujawnili i wykorzystywali dane medyczne Skarżącego zawarte w orzeczeniu [...] Rejonowej Komisji Lekarskiej w [...] nr [...] z dnia [...] lutego 2023 roku,
- 3) zobowiązanie Organu do dokonania czynności w przedmiocie bezzwłocznego zabezpieczenia danych medycznych Skarżącego poprzez wydanie przez Organ decyzji administracyjnej nakazującej Przewodniczącej [...] Rejonowej Komisji Lekarskiej w [...], Komendantowi Miejskiemu Policji w [...], Komendantowi Wojewódzkiemu Policji w [...] oraz Komendantowi Głównemu Policji przywrócenie stanu zgodnego z prawem
- 4) wymierzenie Organowi grzywny w związku doprowadzeniem do bezczynności w postępowaniu.
W uzasadnieniu skarżący podkreślił, że nie doręczył bezpośrednio do Prezesa Urzędu Ochrony Danych Osobowych swojego wniosku w zakresie podjęcia działań w przedmiocie nieuprawnionego udostępnienia jego danych medycznych przez Dolnośląską Rejonową Komisję Lekarską w [...], lecz przedmiotowy wniosek doręczył do Rzecznika Praw Pacjenta, stąd uważa, że powoływanie się przez Prezesa UODO na to, że Skarżący nie złożył żądania do Prezesa UODO o przywrócenie stanu zgodnego z prawem jest bezzasadny, gdyż P. P. nie mógł wiedzieć, że Rzecznik Praw Pacjenta okaże się niewłaściwy do rozpoznawania sprawy wniosku z dnia [...] maja 2023 r. i przekaże Prezesowi UODO do procedowania przedmiotową sprawę.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje
zgodnie z treścią przepisu art.1 par. 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr.153, poz.1269 z późn. zm.) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotowe postanowienie według powyższych kryteriów, uznać należy, iż nie narusza ono prawa.
Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy organ miał podstawy prawne do wszczęcia postępowania oznaczonego we wniosku strony.
Powyższa kwestia jest konieczną do wyjaśnienia przez każdy organ administracji publicznej na etapie wstępnego badania wniosku. Oczywistym przecież jest, że skoro organy publiczne mogą działać wyłącznie na podstawie i w granicach prawa, to konsekwentnie do tego – mogą zajmować się wyłącznie sprawami przekazanymi do ich kompetencji przez ustawodawcę.
W ocenie tut. Sądu skarżone rozstrzygnięcie jawiło się jako poprawne.
Okolicznością nie wymagającą dowodzenia jest to, że Kompetencje Prezesa UODO zostały enumeratywnie wymienione w art. 57 i art. 58 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/V\/E (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej: RODO). Trafnie zwraca uwagę organ na to, że zgodnie z RODO, głównym zadaniem organu nadzorczego jest egzekwowanie stosowania przepisów w celu ochrony podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem ich danych osobowych. Prawa osoby, której dane dotyczą zostały określone przede wszystkim w Rozdziale III RODO. Wśród nich są m.in. prawo do przejrzystej komunikacji z administratorem danych (art. 12), prawo do informacji o których mowa w art. 13 i 14 RODO, prawo dostępu do danych (art. 15), do ich sprostowania (art. 16), usunięcia (w tym "prawo do bycia zapominanym) (art. 17), do ograniczenia ich przetwarzania (art. 18), do wniesienia sprzeciwu wobec ich przetwarzania (art. 21), prawo przeniesienia danych (art. 20).
Z powyższego bezsprzecznie wynika, iż organ nie jest właściwym adresatem żądania wszczęcia postępowania zmierzającego do ustalenia odpowiedzialności karnej za przestępstwo polegające na ujawnienia danych medycznych, albowiem żaden przepis RODO ani u.o.d.o.2018 nie uprawnia Prezesa UODO do podejmowania czynności w sprawie rozstrzygnięcia o odpowiedzialności karnej. Ta materia została pozostawiona przez ustawodawcę wyłącznej właściwości tzw. organów ścigania.
Wbrew twierdzeniom skargi organ w realiach faktycznych niniejszej sprawy nie miał obowiązku do wzywania wnioskodawcy by sprecyzował swoje żądanie. Sposób sfomułowania wniosku mającego zainicjować postępowanie nie nastręczał żadnych wątpliwości co do treści i woli strony. Słusznie też zwraca uwagę organ w odpowiedzi na skargę, że nie jest jego rolą dążenie do zmiany żądania Skarżącego, tak aby wpisywało się w kompetencje organu a tym bardziej w sytuacji, gdy pierwotne żądanie Skarżącego było inne i wynikało wprost z jego pisma.
W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, oraz uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, oraz iż przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art.151 ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r. poz.935).