Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 16 stycznia 2024 r. sygn. akt II SA/Wa 443/23 po rozpoznaniu sprawy ze skargi [...] Szpitala Klinicznego im. [...] w R. (dalej "skarżący" lub "Szpital") na pkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych (dalej "Prezes UODO" lub "organ") z dnia [...] grudnia 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych: 1. uchylił pkt 1 decyzji;
- 2. zasądził od organu na rzecz skarżącego zwrot kosztów postępowania sądowego.
Zaskarżoną do sądu administracyjnego decyzją, na podstawie art. 104 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2022 r. poz. 2000 z późn. zm.) zwanej dalej "K.p.a." w zw. art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) zwanej dalej u.o.d.o.) oraz art. 15 ust. 1 i ust. 3, art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., s.
35) zwanego dalej "RODO" w punkcie 1. nakazał Klinicznemu Szpitalowi [...] nr [...] im. [...] w R. (obecnie: [...] Szpital Kliniczny im. [...] w R.) spełnienie żądania Z. G. (dalej: "uczestniczka postępowania"), reprezentowanej przez D. G., zgodnie z art. 15 ust. 3 RODO i udostępnienie kopii jej danych osobowych zawartych w następujących dokumentach: wywiadach psychologicznych, testach projekcyjnych i testach badających funkcje poznawcze z dnia 24 listopada 2015 r., wynikach badań i notatek z rozmów z psychologiem, które odbyły się w dniach 3, 5, 17, 18 i 19 listopada 2015 r. oraz wynikach testów funkcji poznawczych przeprowadzonych w dniu 12 stycznia 2016 r.; w punkcie 2. odmówił uwzględnienia wniosku w pozostałym zakresie.
Sąd pierwszej instancji wskazał, że z akt sprawy wynika, że do organu wpłynęła skarga uczestniczki postępowania, reprezentowanej przez pełnomocnika, na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Szpital polegające na odmowie udostępnienia jej przez Szpital danych osobowych w odpowiedzi na jej wniosek z dnia 14 września 2021 r. złożony w trybie art. 15 ust. 3 RODO. W związku z powyższym pełnomocnik uczestniczki postępowania wniósł o nakazanie administratorowi spełnienia żądania, wynikającego z praw przysługujących jej na mocy art. 15 ust. 3 RODO, a mianowicie o nakazanie Szpitalowi: wykonania kopii danych zawartych w dokumentacji medycznej zbiorczej, w tym "Książki raportów lekarskich", "Książki raportów pielęgniarskich", "Zeszytu terapii zajęciowej", odnoszących się do uczestniczki postępowania dotyczących okresu jej hospitalizacji, tj. od dnia 19 października 2015 r. do dnia 24 stycznia 2016 r.; wykonanie kopii danych zawartych w dokumentacji medycznej zbiorczej, w tym księgi odmów przyjęć i porad ambulatoryjnych w izbie przyjęć, księgi głównej przyjęć i wypisów, odnoszących się do uczestniczki postępowania, dotyczących dnia 16 października 2015 r. oraz okresu jej hospitalizacji, tj. od dnia 19 października 2015 r. do dnia 24 stycznia 2016 r.; wykonanie kopii danych dotyczących badań psychologicznych, testów projekcyjnych, testów badających funkcje poznawcze, rozmów psychologicznych oraz wywiadów psychologicznych (w szczególności przeprowadzonych w dniach [...] listopada 2015 r. oraz [...] stycznia 2016 r.) odnoszących się do uczestniczki postępowania i dotyczących okresu jej hospitalizacji, tj. od dnia 19 października 2015 r. do dnia 24 stycznia 2016 r. poprzez przesłanie ww. informacji w postaci papierowej na wskazany adres wraz z ewentualną fakturą bądź rachunkiem za wykonanie tych czynności.
W odpowiedzi na powyższy wniosek, Szpital pismem z dnia 30 września 2021 r. odmówił udzielenia informacji zakreślonych we wniosku wskazując, że "Książki raportów lekarskich", "Książki raportów pielęgniarskich", stanowią dokumentację zbiorczą należącą do podmiotu leczniczego i jako elementy dokumentacji zbiorczej wewnętrznej, będące formą przekazywania informacji o stanie zdrowia pacjentów zmiany dyżurów nie mogą zostać udostępnione". Ponadto Szpital poinformował, że zgodnie z art. 50 ust. 1 ustawy z dnia 19 sierpnia 1994 r. o ochronie zdrowia psychicznego (Dz. U. z 2020 r., poz. 685, zwanej dalej "u.o.z.p."), "osoby wykonujące czynności wynikające z niniejszej ustawy są obowiązane do zachowania w tajemnicy wszystkiego, o czym powezmą wiadomość w związku z wykonywaniem tych czynności, stosownie do odrębnych przepisów, a nadto z zachowaniem przepisów niniejszego rozdziału.
Wobec powyższego KSW nr [...] nie wyraża zgody na udostępnienie w formie kserokopii "Książki raportów lekarskich"; "Książki raportów pielęgniarskich", "Zeszytu terapii zajęciowej"; rozmów oraz wywiadów psychologicznych, księgi odmów przyjęć i porad ambulatoryjnych, księgi głównej przyjęć i wypisów, odnoszących się do uczestniczki postępowania, podczas jej hospitalizacji w Klinice [...] KSW Nr [...]".
W piśmie z dnia 8 listopada 2021 r. Szpital wyjaśnił, że pełnomocnik uczestniczki postępowania otrzymał kilkukrotnie dokumentację medyczną pacjentki, w której zawarte są również badania i opinie psychologiczne. Jednocześnie wskazał, że rozmowy psychologiczne z pacjentką objęte są tajemnicą zawodową psychologa w rozumieniu art. 14 ust. 1 i ust. 2 ustawy z dnia 8 czerwca 2001 r. o zawodzie psychologa i samorządzie zawodowym psychologów (Dz. U. z 2019 r. poz. 1026 z późn. zm.), jak również art. 50 ust. 1 i art. 52 ust. 1 u.o.z.p., wobec czego nie zostały udostępnione. Odnosząc się do wniosku z dnia 14 września 2021 r. Szpital wyjaśnił, że z uwagi na to, iż dotyczył on udostępnienia kopii danych zawartych w dokumentacji zbiorczej, odmówiono jej udostępnienia poprzez wydanie kopii dokumentów.
W piśmie do organu z dnia 22 listopada 2021 r. Szpital wskazał, że w "Książce raportów pielęgniarskich", "Książce raportów lekarskich", "Zeszycie terapii zajęciowej", "Książce odmów przyjęć i porad ambulatoryjnych Izby Przyjęć", "Książce głównej przyjęć i wypisów" przetwarzał dane osobowe uczestniczki postępowania w zakresie dotyczącym ochrony zdrowia, danych w dokumentacji medycznej zawierającej takie informacje jak diagnoza, wyniki badań, oceny dokonywane przez lekarzy prowadzących, stosowne terapie czy przeprowadzone zabiegi, imię i nazwisko, adres zamieszkania. Szpital poinformował także, że pismem z dnia 9 listopada 2021 r. przesłał pełnomocnikowi uczestniczki postępowania klauzulę informacyjną w związku z realizacją praw z art. 15 RODO oraz udostępnił kserokopie wnioskowanych dokumentów po dokonaniu anonimizacji danych innych osób, tj. "Książkę raportów pielęgniarskich", "Książkę raportów lekarskich", "Zeszyt terapii zajęciowej", "Książkę odmów przyjęć i porad ambulatoryjnych izby przyjęć" oraz "Książkę główną przyjęć i wypisów".
W uzasadnieniu zaskarżonego skargą kasacyjną wyroku Sąd wyjaśnił, że przepisy art. 15 ust. 1 i ust. 3 RODO regulują prawo dostępu osoby, której dane dotyczą, do jej danych osobowych, a jego zakresem objęte są wszystkie przypadki przetwarzania danych osobowych. Katalog informacji, których podmiot danych może żądać od administratora danych, ma charakter zamknięty. Co istotne, adresatem żądań formułowanych na podstawie ww. przepisów może być wyłącznie administrator danych, którego definicję zawiera art. 4 pkt 7 RODO.
Sąd pierwszej instancji podkreślił, że posiadania przez dany podmiot przymiotu administratora danych osobowych nie można utożsamiać z faktycznym posiadaniem danych - podstawowym kryterium odróżniającym administratora danych osobowych od innych podmiotów przetwarzających dane jest sprawowanie faktycznej kontroli nad przetwarzaniem danych, a więc decydowanie o celach i sposobach przetwarzania.
Dalej Sąd zaznaczył, że nakazując Szpitalowi, na mocy art. 58 ust. 2 RODO, udostępnienie kopii danych osobowych uczestniczki postępowania zawartych w dokumentach wymienionych w punkcie 1 sentencji zaskarżonej decyzji, Prezes UODO nie ustalił jednak, a przynajmniej nie wynika to z uzasadnienia zaskarżonej decyzji, czy Szpital jest administratorem danych osobowych uczestniczki postępowania zawartych w tych dokumentach, tj. czy Szpital określa cele i sposoby przetwarzania tych danych osobowych. Nie ustalił również, czy Szpital przetwarza dane osobowe uczestniczki postępowania w powyższym zakresie. Jest to o tyle istotne, że zgodnie z art. 58 ust. 2 lit. c RODO organ nadzorczy w ramach przysługujących mu uprawnień naprawczych może nakazać spełnienie żądania osoby, której dane dotyczą, wynikające z praw przysługujących jej na mocy rozporządzenia, administratorowi danych lub podmiotowi przetwarzającemu.
Sąd pierwszej instancji zauważył, że w uzasadnieniu decyzji organ powołał jedynie art. 15 ust. 3 RODO stwierdzając, że obowiązek wynikający z tego przepisu odnosi się tylko do danych osobowych w znaczeniu określonym w art. 4 ust. 1 RODO, które zostały "zgromadzone przez administratora danych". Nadto wskazał, że administrator - wykonując powyższy obowiązek - powinien przekazać kopię danych związanych z wnioskodawcą (uczestniczką postępowania). Zdaniem Sądu jednak w oparciu o uzasadnienie zaskarżonej decyzji nie sposób przyjąć, że Szpital "gromadzi" dane osobowe uczestniczki postępowania zawarte w dokumentach wymienionych w punkcie 1 sentencji decyzji.
Sąd pierwszej instancji podniósł, że w części dotyczącej ustaleń faktycznych organ wskazał jedynie, że "Szpital przetwarza dane osobowe uczestniczki postępowania, jako byłej pacjentki, zgromadzone w związku z udzielaniem jej świadczeń zdrowotnych oraz zarządzaniem usługami opieki zdrowotnej; zapewnieniem jej zabezpieczenia społecznego, w tym wystawianiem zaświadczeń lekarskich i zwolnień; prowadzeniem ksiąg rachunkowych oraz rozliczeń podatkowych, w celach archiwalnych". Zdaniem Sądu organ nie wyjaśnił jednak, czy dane osobowe uczestniczki postępowania zawarte w dokumentach wymienionych w punkcie 1 decyzji mieszczą się w zakresie przedmiotowym któregokolwiek z ww. celów. Nie wynika to również z powołanego przez organ pisma Szpitala skierowanego do Prezesa UODO w dniu 8 listopada 2021 r. ani z załączników do tego pisma, w szczególności z załącznika z dnia 5 listopada 2021 r. "Odpowiedzi na pytania do pisma UODO".
W tymże załączniku wskazano, odpowiadając na wezwanie organu o wskazanie kategorii (zakresu) przetwarzanych danych, że zakres danych reguluje "rozporządzenie Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu przetwarzania".
Sąd pierwszej instancji podkreślił zatem, że powołane rozporządzenie określa rodzaje dokumentacji medycznej a nie kategorie danych osobowych. Sąd dodał też, że Szpital wielokrotnie zwracał uwagę na to, że jakkolwiek badanie psychologiczne z dnia 24 listopada 2015 r. i opinia psychologiczna z dnia 12 stycznia 2016 r. stanowią dokumentację medyczną, to pozostałe dokumenty, takie jak badania, notatki z rozmów psychologicznych z pacjentką, nie wchodzą w skład dokumentacji medycznej, bowiem należą wyłącznie do psychologów dokonujących danej czynności.
W ocenie Sądu pierwszej instancji Prezes UODO dopuścił się naruszenia art. 7, art. 77 § 1 oraz art. 107 § 3 K.p.a. w związku z art. 15 ust. 1 i ust. 3 RODO, ponieważ z uzasadnienia zaskarżonej decyzji nie wynika, aby organ ustalił w sposób niebudzący wątpliwości, że Szpital jest administratorem danych osobowych uczestniczki postępowania zawartych w dokumentach wymienionych w punkcie 1 sentencji decyzji, tj. że samodzielnie lub wspólnie z innymi podmiotami ustala cele i sposoby przetwarzania tychże danych osobowych, bądź że jest podmiotem przetwarzającym te dane. I jakkolwiek, jak należy wnioskować z treści zaskarżonej decyzji, organ rozróżnił prawo podmiotów danych do danych osobowych zawartych w dokumentacji medycznej oraz danych osobowych zawartych w dokumentacji prowadzonej przez psychologa w podmiocie medycznym, to jednak nie wskazał w sposób jednoznaczny, czy i z jakich względów uznał, że Szpital jest administratorem przedmiotowych danych osobowych oraz, że dane te przetwarza.
Powołując się na poglądy orzecznictwa i piśmiennictwa. Sąd podniósł, że władztwo nad danymi (w zakresie ustalania celów i sposobów przetwarzania danych) może wynikać albo z właściwych przepisów prawa, a w przypadku ich braku - z okoliczności o charakterze faktycznym. Zdaniem Sądu, organ nie powołał ani przepisów prawa, ani okoliczności faktycznych, z których wynikałoby niezbicie, że Szpital posiada przymiot administratora danych osobowych uczestniczki postępowania zawartych w dokumentach wymienionych w punkcie 1 zaskarżonej decyzji.
W ocenie Sądu pierwszej instancji Prezes UODO nie wykazał również w sposób jednoznaczny, że Szpital przetwarza (poprzez zbieranie) dane osobowe uczestniczki postępowania w powyższym zakresie. Powołanie się w tym względzie na wyjaśnienia Szpitala z dnia 17 marca 2022 r. i z dnia 31 maja 2022 r. nie jest wystarczające, bowiem po pierwsze w sposób nieprecyzyjny ujmuje wypowiedź Szpitala, a po drugie budzi wątpliwości w świetle pozostałej argumentacji zawartej w tychże pismach oraz pozostałych wyjaśnieniach tego podmiotu.
Sąd wyjaśnił też, że powyższa konstatacja jest tym bardziej uzasadniona, że w skardze do Sądu Szpital wskazał, iż nie jest administratorem spornych danych osobowych uczestniczki postępowania, ani ich nie przetwarza, zaś organ "błędnie powiązał wyjaśnienia Szpitala z dnia 17 marca 2022 r. i z dnia 31 maja 2022 r. w zakresie przetwarzanych danych osobowych dotyczących imienia, nazwiska, daty urodzenia oraz opisu stanu zdrowia uznając, iż dotyczą one również rzeczonych badań oraz notatek".
Skargę kasacyjną od powyższego wyroku do Naczelnego Sądu Administracyjnego wniósł Prezes UODO, zaskarżając go w całości.
Zaskarżonemu orzeczeniu na podstawie art. 173 § 1, art. 174 pkt 1 i 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 1634 z późn. zm., dalej zwanej P.p.s.a.), zarzucono naruszenie przepisów postępowania mających istotny wpływ na wynik sprawy w zakresie obejmującym art. 145 § 1 pkt 1 lit c P.p.s.a., w związku z art. 7, art. 77 § 1, art. 80, art. 107 § 1 pkt 6 i § 3 K.p.a., w związku z art. 15 RODO, wobec błędnego uznania, iż organ nie ustalił w sposób niebudzący wątpliwości, że Szpital jest administratorem danych osobowych uczestniczki postępowania zawartych w dokumentach wymienionych w punkcie 1 sentencji decyzji organu z [...] grudnia 2022 r., tj. że samodzielnie lub wspólnie z innymi podmiotami ustala cele i sposoby przetwarzania tychże danych osobowych, bądź że jest podmiotem przetwarzającym te dane, a ustalenia w powyższym zakresie nie wynikają z uzasadnienia decyzji organu.
Strona skarżąca kasacyjnie zarzuciła również Sądowi pierwszej instancji naruszenie przepisów prawa materialnego, tj. art. 4 pkt 7 RODO, poprzez jego błędną wykładnię, a w konsekwencji błędne zastosowanie polegające na przyjęciu, że Szpital nie jest administratorem danych osobowych uczestniczki postępowania, których dotyczy nakaz zawarty w punkcie 1 decyzji organu z [...] grudnia 2022 r., podczas gdy był on podmiotem, o którym mowa w art. 4 pkt 7 RODO, tj. administratorem decydującym o celach i środkach przetwarzania jej danych osobowych i tym podmiotem, do którego ww. skierowała żądanie z art. 15 ust. 1 RODO, a w konsekwencji podmiotem zobowiązanym do podjęcia w związku z nim działań.
W oparciu o powyższe zarzuty w skardze kasacyjnej wniesiono na podstawie art. 188 P.p.s.a., o uchylenie w całości zaskarżonego wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie i oddalenie skargi Szpitala w przypadku uznania, że istota sprawy jest dostatecznie wyjaśniona, ewentualnie na podstawie art. 185 § 1 P.p.s.a., o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, a także na podstawie art. 176 § 2 P.p.s.a., o rozpoznanie przedstawionej skargi kasacyjnej na rozprawie oraz o zasądzenie zwrotu kosztów postępowania sądowego na podstawie art. 203 pkt 2 P.p.s.a.
Odpowiedzi na skargę kasacyjną nie wniesiono.
Naczelny Sąd Administracyjny zważył, co następuje
Zgodnie z art. 183 § 1 P.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę przesłanki uzasadniające nieważność postępowania wymienione w art. 183 § 2 P.p.s.a. oraz przesłanki uzasadniające odrzucenie skargi bądź umorzenie postępowania przed wojewódzkim sądem administracyjnym, stosownie do treści art. 189 P.p.s.a. Żadna z powyższych przesłanek w tej sprawie nie zaistniała.
Rozpoznając sprawę Naczelny Sąd Administracyjny związany jest granicami skargi. Związanie granicami skargi oznacza związanie podstawami zaskarżenia wskazanymi w skardze kasacyjnej oraz jej wnioskami. Naczelny Sąd Administracyjny bada przy tym wszystkie podniesione przez stronę skarżącą kasacyjnie zarzuty naruszenia prawa (tak NSA w uchwale pełnego składu z 26 października 2009 r. sygn. akt I OPS 10/09, opubl. w ONSAiWSA 2010 z. 1 poz. 1).
Zgodnie z art. 174 P.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, a także 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.
Stosownie do treści art. 176 P.p.s.a. strona skarżąca kasacyjnie ma obowiązek przytoczyć podstawy skargi kasacyjnej wnoszonej od wyroku Sądu pierwszej instancji i szczegółowo je uzasadnić wskazując, które przepisy ustawy zostały naruszone, na czym to naruszenie polegało i jaki miało wpływ na wynik sprawy. Rola Naczelnego Sądu Administracyjnego w postępowaniu kasacyjnym ogranicza się do skontrolowania i zweryfikowania zarzutów wnoszącego skargę kasacyjną.
Skarga kasacyjna nie jest zasadna.
W sytuacji, gdy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania (por. wyrok NSA z 27 czerwca 2012 r. sygn. akt II GSK 819/11; wyrok NSA z 26 marca 2010 r. sygn. akt II FSK 1842/08; wyrok NSA z 4 czerwca 2014 r. sygn. akt II GSK 402/13; wyrok NSA z 17 lutego 2023 r. sygn. akt II GSK 1458/19; wyrok NSA z 1 marca 2023 r. sygn. akt I FSK 375/20). Dopiero po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy, albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez sąd pierwszej instancji przepis prawa materialnego. Dla uznania za usprawiedliwioną podstawę kasacyjną z art. 174 pkt 2 P.p.s.a. nie wystarcza samo wskazanie naruszenia przepisów postępowania, ale nadto wymagane jest, aby skarżący kasacyjnie wykazał, że następstwa stwierdzonych wadliwości postępowania były tego rodzaju lub skali, iż kształtowały one lub współkształtowały treść kwestionowanego w sprawie orzeczenia (por. wyrok NSA z 27 września 2024 r. sygn. akt III OSK 2890/22; wyrok NSA z 26 lutego 2014 r. sygn. akt II GSK 1868/12; wyrok NSA z 29 listopada 2022 r. sygn. akt I OSK 931/22). W tej sprawie oba zarzuty skargi kasacyjnej zostaną rozpoznane łącznie, ponieważ pozostają one ze sobą w związku.
Jedyny zarzut naruszenia przez Sąd pierwszej instancji przepisów postępowania obejmuje art. 145 § 1 pkt 1 lit c P.p.s.a., w związku z art. 7, art. 77 § 1, art. 80, art. 107 § 1 pkt 6 i § 3 K.p.a. i w związku z art. 15 RODO polegający na błędnym uznania, że Prezes UODO nie ustalił w sposób niebudzący wątpliwości, że Szpital jest administratorem danych osobowych wnioskodawczyni zawartych w dokumentach wymienionych w punkcie 1 sentencji decyzji organu z [...] grudnia 2022 r., tj. że samodzielnie lub wspólnie z innymi podmiotami ustala cele i sposoby przetwarzania tychże danych osobowych, bądź że jest podmiotem przetwarzającym te dane, a ustalenia w powyższym zakresie nie wynikają z uzasadnienia decyzji organu.
Natomiast zarzut naruszenia prawa materialnego polega na dokonaniu przez Sąd pierwszej instancji błędnej wykładni i w konsekwencji niewłaściwego zastosowania art. 4 pkt 7 RODO polegającego na przyjęciu, że Szpital nie jest administratorem danych osobowych wnioskodawczyni, których dotyczy nakaz zawarty w punkcie 1 decyzji organu z [...] grudnia 2022 r., podczas gdy był on podmiotem, o którym mowa w art. 4 pkt 7 RODO, tj. administratorem decydującym o celach i środkach przetwarzania jej danych osobowych i tym podmiotem, do którego ww. skierowała żądanie z art. 15 ust. 1 RODO, a w konsekwencji podmiotem zobowiązanym do podjęcia w związku z nim działań.
Oba zarzuty sprowadzają się do oceny prawidłowości ustalenia, czy Szpital był lub nie był administratorem danych osobowych w rozumieniu przepisów RODO, a w szczególności jej art. 4 pkt 7.
Nie budzi żadnych wątpliwości, że definicję pojęcia administrator zawiera art. 4 pkt 7 RODO i zgodnie z nią administratorem jest osoba fizyczna lub osoba prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.
Wbrew argumentacji strony skarżącej kasacyjnie i wskazanemu w skardze kasacyjnej zarzutowi naruszenia prawa materialnego, w kontrolowanym wyroku Sądu pierwszej instancji nie przesądzono, że w tej sprawie Szpital ([...] Szpital Kliniczny im. [...] w R.) nie jest administratorem danych osobowych wnioskodawczyni obejmujących okres jej hospitalizacji w tym Szpitalu od dnia 19 października 2015 r. do dnia 24 stycznia 2016 r. Sąd kontrolując zaskarżoną decyzję wraz z przebiegiem postępowania w sprawie uznał jedynie, że Prezes UODO nie ustalił, czy rzeczywiście Szpital jest administratorem danych osobowych objętych przeprowadzonymi w dniu 24 listopada 2015 r. wywiadami psychologicznymi, testami projekcyjnymi i testami badającymi funkcje poznawcze; wynikami badań i notatek z rozmów z psychologiem jakie miały miejsce w dniach [...] listopada 2015 r. oraz wynikami testów funkcji poznawczych przeprowadzonych w dniu 12 stycznia 2016 r.
Trafnie Sąd pierwszej instancji wskazał, że o ile w trakcie postępowania prowadzonego przez Prezesa UODO kierowane były do Szpitala pisma o udzielenie wyjaśnień w zakresie administrowania danymi osobowymi wnioskodawczyni, to pisma te nie zawierały precyzyjnych pytań dotyczących administrowania jej danymi osobowymi w zakresie dokumentacji (nośników danych osobowych) objętych pkt 1 zaskarżonej decyzji z [...] grudnia 2022 r. nr [...]. Trafnie wskazał Sąd pierwszej instancji, że Prezes UODO w pismach z dnia 10 marca 2022 r. i z dnia 24 maja 2022 r. kierowanych do Szpitala zwracał się o wskazanie kategorii danych osobowych wnioskodawczyni przetwarzanych przez Szpital w dokumentach wskazanych przez jej pełnomocnika w jego piśmie z dnia 17 stycznia 2022 r. Było to o tyle nieprecyzyjne, że w ww. piśmie z dnia 17 stycznia 2022 r. pełnomocnik wnioskodawczyni wskazał nie tylko na dokumentację objętą pkt 1 zaskarżonej decyzji, ale także i inne dokumenty, które uznał, że zostały udostępnione w sposób niekompletny.
Wyjaśnienia Szpitala co do administrowania danymi osobowymi wnioskodawczyni w zakresie wywiadów psychologicznych, testów projekcyjnych i testów badających funkcje poznawcze przeprowadzonych w dniu 24 listopada 2015 r.; wyników badań i notatek z rozmów z psychologiem przeprowadzonych w dniach [...] listopada 2015 r. oraz wyników testów funkcji poznawczych przeprowadzonych w dniu 12 stycznia 2016 r., nie są spójne. Trafnie wskazał Sąd pierwszej instancji, że Szpital w istocie w odpowiedziach na administrowanie lub przetwarzanie danych osobowych zawartych w ww. dokumentach koncentrował się na kwestii braku zaliczenia tych dokumentów do dokumentacji medycznej. Konsekwentnie wskazywał, że nie są to dokumenty zaliczane do dokumentacji medycznej, a tym samym nie miał obowiązku ich archiwizowania w taki sposób, jak dokumentację medyczną. W szczególności w wyjaśnieniach z dnia 17 marca 2022 r. (potrzymanych w wyjaśnieniach z dnia 8 kwietnia 2022 r.) Szpital podnosił, że ww. dokumenty, nie stanowiąc dokumentacji medycznej, nie podlegają archiwizacji.
Tak udzielone odpowiedzi nie dotyczyły istotny sporu w tej sprawie dotyczącego nie tego, do jakiej kategorii należy zaliczyć te dokumenty i jak powinny być one archiwizowane, ale tego, czy Szpital takie dokumenty zawierające dane osobowe wnioskodawczyni przetwarza (tj. zgromadził i czy je posiada). Odpowiedź Szpitala, że tego typu dokumentacja nie podlega archiwizowaniu stosownie do przepisów regulujących archiwizowanie dokumentacji medycznej nie oznacza, że Szpital tej dokumentacji nie posiadał. Owa niejasność stanowiska Szpitala w zakresie ww. dokumentacji wynika z wyjaśnień udzielonych w dniu 31 maja 2022 r. zgodnie z którymi Szpital wskazał, że w nieudostępnionych wnioskodawczyni dokumentach o których mowa w piśmie z dnia 17 stycznia 2022 r. (tj. wywiady psychologiczne, testy projekcyjne i testy badające funkcje poznawcze przeprowadzone w dniu 24 listopada 2015 r.; wyniki badań i notatek z rozmów z psychologiem przeprowadzonych w dniach 3, 5, 17, 18 i 19 listopada 2015 r. oraz wyniki testów funkcji poznawczych przeprowadzonych w dniu 12 stycznia 2016 r.), są przetwarzane dane osobowe wnioskodawczyni w zakresie jej imienia i nazwiska, daty urodzenia oraz opisu stanu zdrowia zgodnie z przepisami regulującymi przetwarzanie danych osobowych zawartych w dokumentacji medycznej.
Mogło to sugerować, że Szpital miał wiedzę w 2022 r. o treści tych dokumentów sporządzonych w listopadzie 2015 r. i styczniu 2016 r. Nie wyjaśniono jednak, czy wiedza ta wynikała z administrowania tymi danymi (a więc archiwizowania nośników tych danych), czy też z innego źródła a administratorem był inny podmiot.
Powyższe oznacza, że nie stanowiło naruszenia prawa rozstrzygnięcie zawarte w zaskarżonym wyroku, w którym Sąd pierwszej instancji uchylił punkt pierwszy zaskarżonej decyzji i w uzasadnieniu tego wyroku wskazał, że na podstawie tak zebranego materiału dowodowego nie jest w stanie ocenić, czy Szpital jest administratorem danych osobowych zawartych w dokumentacji wymienionej w uchylonym punkcie pierwszym decyzji Prezesa UODO, a w szczególności czy zgromadził w swojej dokumentacji także i te dokumenty, które obejmował ww. punkt pierwszy decyzji. Takie też zostały, stosownie do treści art. 153 P.p.s.a., zawarte w uzasadnieniu zaskarżonego wyroku wskazania co do dalszego postępowania w tej sprawie dotyczące konieczności ustalenia, czy Szpital jest administratorem danych osobowych wnioskodawczyni lub przetwarza te dane zawarte w wywiadach psychologicznych, testach projekcyjnych i testach badających funkcje poznawcze przeprowadzonych w dniu 24 listopada 2015 r.; wynikach badań i notatek z rozmów z psychologiem przeprowadzonych w dniach [...] listopada 2015 r. oraz wynikach testów funkcji poznawczych przeprowadzonych w dniu 12 stycznia 2016 r.
Tym samym zarzut naruszenia przez Sąd pierwszej instancji prawa materialnego polegający na błędnej wykładni i niewłaściwym zastosowaniu art. 4 pkt 7 RODO polegającym na przyjęciu, że Szpital nie jest administratorem danych osobowych uczestniczki postępowania, których dotyczy nakaz zawarty w punkcie 1 decyzji organu z [...] grudnia 2022 r. jest niezasadny już z tego powodu, że w tej sprawie Wojewódzki Sąd Administracyjny w Warszawie nie przesądził, że Szpital nie jest administratorem lub że nie przetwarza tych danych. Sąd pierwszej instancji stwierdził, że zgromadzony materiał dowodowy nie pozwala na jednoznaczne przyjęcie, że Szpital jest tym administratorem. To zaś powinno być wyjaśnione w ponownie przeprowadzonym postępowaniu administracyjnym.
Mając powyższe na uwadze należy także stwierdzić, że Sąd pierwszej instancji nie naruszył prawa uchylając pkt 1 zaskarżonej decyzji na podstawie art. 145 § 1 pkt 1 lit. a i c P.p.s.a. Brak wyjaśnienia, czy Szpital jest administratorem danych osobowych w zakresie dokumentacji objętej ww. punktem 1 decyzji Prezesa UODO i czy zebrał lub w inny sposób utrwalił tę dokumentację (a więc przetworzył ją w rozumieniu art. 4 pkt 2 RODO), w sposób niewadliwy zostało wskazane przez Sąd pierwszej instancji jako naruszenie przez organ art. 7, art. 77 § 1, art. 80 K.p.a. Przepisy te nakazują organowi rzeczywiste ustalanie stanu faktycznego sprawy i wyjaśnianie wszystkich istotnych okoliczności danej sprawy. Podniesiona zaś okoliczność dotycząca prawidłowości zakwalifikowania Szpitala jako administratora danych osobowych w zakresie objętym punktem 1 zaskarżonej do Sądu pierwszej instancji decyzji miała charakter podstawowy w tej sprawie.
Art. 107 § 1 pkt 6 K.p.a. nakazuje, aby decyzja administracyjna zwierała uzasadnienie faktyczne i prawne, a § 3 tego przepisu określa, co powinny zwierać oba te uzasadnienia. Jeżeli uzasadnienie faktyczne decyzji administracyjnej nie zawiera prawidłowego wskazanie faktów, które organ uznał za udowodnione i dowodów, na których się oparł czyniąc te ustalenia, to nie jest to prawidłowo sporządzone uzasadnienie takiego aktu.
Mając powyższe na uwadze należy stwierdzić, że w zakresie tak sformułowanych zarzutów skargi kasacyjnej wiążących dla Naczelnego Sądu Administracyjnego w tej sprawie, kontrola zaskarżonego wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie nie doprowadziła do ustalenia, że wyrok ten narusza prawo. W związku z powyższym na podstawie art. 184 P.p.s.a. skarga kasacyjna podlega oddaleniu.