Wyrok WSA w Warszawie, sygn. akt II SA/Wa 183/06
Wojewódzki Sąd Administracyjny w Warszawie
Data orzeczenia: 2006-04-11 00:00:00+02:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Oddalono skargę

SENTENCJA

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Grochowska-Jung Sędzia WSA Ewa Pisula-Dąbrowska Asesor WSA Jarosław Trelka (spr.) Protokolant Małgorzata Płodzicka po rozpoznaniu na rozprawie w dniu 11 kwietnia 2006 r. sprawy ze skargi R. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2005 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę


UZASADNIENIE

II SA/ Wa 183/06

UZASADNIENIE

Pismem z dnia 16 maja 2005 r. R. P. złożył do Generalnego Inspektora Ochrony Danych Osobowych skargę na Niepubliczny Zakład Opieki Zdrowotnej "Z." Sp. z o.o. w P., zwany dalej "zakładem" lub "administratorem danych". Podał w nim, że po zakończeniu korzystania z usług tego zakładu wystąpił o wydanie mu dokumentacji medycznej dotyczącej jego i jego rodziny. Uznał, że zakład nie może już przechowywać tej dokumentacji, a będzie ona potrzebna wyłącznie jemu i jego rodzinie. Wskazał, że zakład zaoferował mu jedynie wydanie kopii tej dokumentacji. Od kwietnia 2004 r. do kwietnia 2005 r. zwracał się wielokrotnie, bezskutecznie o wydanie mu przedmiotowej dokumentacji. Od dyrektora zakładu uzyskał natomiast informację, że "intymne dane o pacjentach" zakład udostępnia Narodowemu Funduszowi Zdrowia. Skarżący uznał, że tym samym naruszone zostały przepisy karne ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Jako podstawę prawną takiego przetwarzania danych osobowych pacjentów zakładu, jej dyrektor podała skarżącemu rozporządzenie Ministra Zdrowia z 10 sierpnia 2001 r. w sprawie rodzajów dokumentacji medycznej w zakładach opieki zdrowotnej, sposobu jej prowadzenia oraz szczegółowych warunków jej udostępniania (Dz. U. Nr 88, poz. 966 ze zm.). Skarżący uznał, że przepisy tego rozporządzenia, a także będące jego podstawą przepisy ustawy o zakładach opieki zdrowotnej, nie upoważniają do przetwarzania danych osobowych osób, które pacjentami zakładu opieki zdrowotnej już nie są.

Pismem z dnia [...] czerwca 2005 r. Generalny Inspektor Ochrony Danych Osobowych zwrócił się do skarżącego o przedstawienie pełnomocnictwa do reprezentowania osób, których dane osobowe – jego zdaniem – przetwarza zakład z naruszeniem prawa. Organ poinformował ponadto skarżącego, że w razie braku takiego pełnomocnictwa jego skarga pozostanie bez rozpoznania w zakresie dotyczącym przetwarzania danych osobowych innych osób.

Decyzją z dnia [...] września 2005 r. Generalny Inspektor Ochrony Danych Osobowych odmówił uwzględnienia wniosku skarżącego. Organ wyjaśnił, że wobec braku zażądanych pełnomocnictw rozpatrzył skargę R. P. wyłącznie w zakresie przetwarzania jego danych osobowych. Wskazał, że stosownie do art. 27 ust. 2 ustawy o ochronie danych osobowych dopuszczalne jest przetwarzanie danych o stanie zdrowia, jeśli przepis szczególny innej ustawy zezwala na to przetwarzanie bez zgody osoby, której dane dotyczą i stwarza pełne gwarancje ich ochrony. Takim przepisem jest ustawa o zakładach opieki zdrowotnej, ustawa z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty (Dz. U. z 2005 r. Nr 226, poz. 1943 ze zm.), a także powołanego wyżej rozporządzenia Ministra Zdrowia z dnia z 10 sierpnia 2001 r. w sprawie rodzajów dokumentacji medycznej w zakładach opieki zdrowotnej, sposobu jej prowadzenia oraz szczegółowych warunków jej udostępniania, zwanego dalej "rozporządzeniem". Organ uznał, że każdy zakład opieki zdrowotnej i lekarz zobowiązany jest do prowadzenia tej dokumentacji (art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej i 41 ust. 1 o ustawy o zawodzie lekarza i lekarza dentysty). Przepisy tych ustaw gwarantują pełną ochronę tym danym (odpowiednio art. 18 ust. 2 i art. 41 ust. 1). Przepisy rozporządzenia dokonały natomiast systematyki tej dokumentacji (indywidualna i zbiorcza) oraz określiły okresy i miejsce jej przechowywania. Według tych przepisów zakończoną dokumentację indywidualną wewnętrzną oraz zakończoną dokumentację zbiorczą wewnętrzną przechowuje archiwum zakładu, które posiada warunki zabezpieczającą tę dokumentację przed zniszczeniem i dostępem osób trzecich (§ 48 i § 49 rozporządzenia). Dokumentacja archiwalna przechowywana jest przez 20 lat od końca roku, w którym dokonano ostatniego wpisu (§ 51 ust. 1). Przepisy te stanowią podstawę przetwarzania danych osobowych skarżącego także po zakończeniu świadczenia przez zakład usług medycznych. Dlatego nie naruszono przepisów karnych ustawy. § 53 ust. 1 i § 54 ust. 4 rozporządzenia określają natomiast formę udostępniania dokumentacji na zewnątrz – czyni się to udostępniając kopie, wyciągi bądź odpisy, na wniosek pacjenta, jego przedstawiciela ustawowego lub osoby przez niego upoważnionej, a w razie śmierci pacjenta – osoby przez niego upoważnionej do uzyskiwania dokumentacji w razie zgonu. Odnośnie żądania skarżącego udostępnienia mu oryginałów dokumentacji medycznej Generalny Inspektor Ochrony Danych Osobowych uznał, że nie ma on kompetencji do nakazywania udostępniania dokumentów, lecz jedynie danych, i to tylko w razie stwierdzenia naruszenia przepisów o ochronie danych osobowych. Żaden przepis ustawy nie uprawnia też osoby, której dane dotyczą, do żądania udostępniania dokumentów będących nośnikami danych, lecz jedynie samych danych. Generalny Inspektor Ochrony Danych Osobowych nie uznał też zarzutu uniemożliwienia skarżącemu zapoznania się z danymi go dotyczącymi, gdyż z akt sprawy jednoznacznie wynika, w jego ocenie, iż administrator danych sporządził kserokopie dokumentacji skarżącego i umożliwił mu jej odbiór. Skarżący z tej możliwości nie skorzystał.

We wniosku o ponowne rozpatrzenie sprawy R. P. zarzucił powyższej decyzji, że jest rażąco sprzeczna z obowiązującym prawem, tj. Konstytucją Rzeczpospolitej Polskiej, Dyrektywą 95/46 EC Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób w związku z automatycznym przetwarzaniem danych osobowych oraz swobodnego przepływu tych danych (Dyrektywa), Konwencją o Ochronie Praw Człowieka i Podstawowych Wolności (Konwencja), ustawą o ochronie danych osobowych, ustawą o zawodzie lekarza i lekarza dentysty, rozporządzeniem, Kodeksem postępowania administracyjnego. W ocenie skarżącego Konwencja i Konstytucja RP pozwalają na przetwarzanie danych tylko na podstawie ustawy, gdy jest to niezbędne w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, publiczne, dobrobyt gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności innych osób. Dyrektywa i ustawa o ochronie danych osobowych zezwalają na przetwarzanie danych o stanie zdrowia pacjentów, a nie byłych pacjentów. Ustawa o zakładach opieki zdrowotnej stanowi o przetwarzaniu danych pacjentów korzystających z usług takiego zakładu i tylko w tym zakresie ustanawia delegację dla Ministra Zdrowia do uregulowania kwestii zasad prowadzenia i udostępniania dokumentacji medycznej. Art. 18 ust. 1 tej ustawy nie pozwala na przetwarzanie danych o stanie zdrowia bez zgody byłych pacjentów. Brakuje natomiast innej podstawy przetwarzania danych byłych pacjentów bez ich zgody, dlatego przetwarzanie tych danych przez zakład jest – w ocenie skarżącego - nielegalne, w tym narusza przepisy karne ustawy. Ponadto skarżący "ponownie" wniósł o rozpatrzenie skargi w zakresie przetwarzania danych wszystkich osób objętych tą skargą. Zażądał nakazania przekazania mu przez administratora danych informacji, o których stanowi art. 33 ust. 2 i 3 ustawy. Podkreślił, że żądał wydania dokumentacji i wszelkich jej kopii, a nie jedynie jej kopii. Uznał, że przepis pozwalający na przetwarzanie danych byłych pacjentów musi mieć rangę ustawową i wyraźnie przewidywać to przetwarzanie bez ich zgody. Powołał się w końcu na inną decyzję organu z dnia [...] września 2002 r. zakazującą – w jego ocenie – przetwarzania danych osób niebędących pacjentami zakładu opieki zdrowotnej.

Decyzją z dnia [...] listopada 2005 r. Generalny Inspektor Ochrony Danych Osobowych utrzymał w mocy swoją decyzję z dnia [...] września 2005 r. i ponowił jej argumentację. Wyjaśnił, że wobec braku stosownych pełnomocnictw przeprowadził postępowanie i wydał decyzję tylko w zakresie przetwarzania danych skarżącego. Wszczynanie postępowania z urzędu jest autonomiczną decyzją organu, a ma miejsce tylko w razie podejrzenia, że naruszono przepisy o ochronie danych osobowych. W takim postępowaniu wszczętym z urzędu skarżący i tak nie byłby stroną. Organ nie uwzględnił żądania nakazania udostępnienia informacji, o których stanowi art. 33 ust. 1 ustawy, gdyż skarżący inaczej określił swoje żądanie we wniosku z dnia 16 maja 2005 r. Przedmiotem postępowania uczynił on kwestię bezprawnego – w jego ocenie – przetwarzania danych przez zakład, bezprawnego z uwagi na fakt, że nie jest on już jego pacjentem. Organ powołał się na potwierdzoną wyrokiem Trybunału Konstytucyjnego z dnia 19 lutego 2002 r. zasadę, że w drodze przepisów wykonawczych możliwe jest regulowanie pewnych kwestii o charakterze drugorzędnym. Istotne jest jedynie, aby przepis wykonawczy spełniał wymagania, art. 92 Konstytucji, w szczególności, aby mieścił się w granicach upoważnienia i był zgodny z przepisami ustawowymi. Upoważnienie powinno zawierać wskazanie organu właściwego do wydania przepisów wykonawczych, zakres spraw do regulacji i wytyczne dotyczące treści aktu. Właściwe w sprawie przepisy ustawy i rozporządzenia te warunki spełniają. Organ nie zgodził się, iż przepisy rozporządzenia dotyczą jedynie aktualnych pacjentów zakładu opieki zdrowotnej, gdyż rozporządzenie to wyraźnie uprawnia do archiwizacji dokumentacji pacjentów, którzy zmarli. Zarzut naruszenia Dyrektywy był – zdaniem organu - niezasadny, gdyż ustawa o ochronie danych osobowych w pełni implementowała tę Dyrektywę. Nie naruszono też – w ocenie organu - Konwencji i Konstytucji RP. Konstytucja ustanawia zasadę ochrony prywatności i danych osobowych w art. 47 i 51, odsyła do szczegółowej regulacji ustawowej – jest nią ustawa o ochronie danych osobowych. Organ ponownie też powołał literaturę i orzecznictwo, z których wynika, w jego ocenie, że nie ma on uprawnień do nakazywania udostępniania dokumentów. Ponownie uznał, że zakład umożliwił mu odebranie kopii jego dokumentacji, ale skarżący odmówił jej odebrania żądając jej oryginału. Generalny Inspektor Ochrony Danych Osobowych wskazał, iż nie ma też kompetencji do zawiadomienia organów ścigania w drodze decyzji administracyjnej o podejrzeniu popełnienia przestępstwa, którego skarżący dopatruje się w przetwarzaniu jego danych przez zakład.

W skardze na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie skarżący zarzucił jej naruszenie szeregu przepisów ustawy o ochronie danych osobowych, uznał, że wystąpiły przyczyny określone w art. 156 ust. 1 pkt 2 Kpa, wniósł o stwierdzenie jej nieważności, a w razie odmowy – o jej uchylenie. Ponownie uznał, że przetwarzanie danych osobowych byłych pacjentów narusza art. 27 ust. 1 ustawy o ochronie danych osobowych, jej art. 24 ust. 1 pkt 2, 25 ust. 1 pkt 2, 26 ust. 1 pkt 2, 29 ust. 4 – gdyż przetwarzanie takie jest pozbawione legalnego celu, 27 ust. 2 pkt 2 i 7, gdyż "rozsiewanie" takiej dokumentacji po zakładach, z usług których się korzystało, uniemożliwia ochronę danych. Skarżący uznał, że przywołane w zaskarżonej decyzji przepisy rangi ustawowej nie stanowią podstawy do przetwarzania przez zakład jego danych osobowych. Wskazane ustawy nie zawierają takiego przepisu, a rozporządzenie ustawą nie jest. Ponadto ustawy te i rozporządzenie dotyczą danych aktualnych, a nie byłych pacjentów. Powołał się też na inną decyzję organu, w której nakazano usunięcie danych przetwarzanych przez zakład opieki zdrowotnej niedysponujący deklaracją wyboru lekarza.

W odpowiedzi na skargę organ ponowił argumenty zawarte w zaskarżonej decyzji. Raz jeszcze wyraził stanowisko, że podstawą przetwarzania przez zakład jego danych jest art. 27 ust. 2 pkt 2 ustawy. Nie naruszono jej art. 27 ust. 2 pkt 7, gdyż przepis ten legalizuje przetwarzanie danych "wrażliwych", gdy jest to niezbędne w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia. Tymczasem zakład przetwarza te dane w celu archiwalnym – art. 27 ust. 2 pkt 7 nie ma w tej sprawie zastosowania. Za bezzasadny w konsekwencji organ uznał zarzut naruszenia art. 7, 11, 107 § 1 i § 3 Kpa. Zarzut naruszenia art. 24 i 25 ustawy organ uznał za niezasadny o tyle, że został zgłoszony dopiero w skardze do Sądu, i jako taki nie było przedmiotem jego skargi z 16 maja 2005 r. Także zarzut naruszenia zasady celowości przetwarzania danych jest niezasadny – celem tym jest cel archiwalny, a poza tym zarzut ten także nie został sformułowany w skardze. Z kolei nie nastąpiło naruszenie art. 29 ustawy, gdyż w ogóle nie ma on w sprawie zastosowania. Odnośnie zarzutu sprzeczności rozstrzygnięcia z decyzją wydaną w innej sprawie w dniu [...] września 2002 r. organ podał, że w tamtej sprawie doszło do przetwarzania danych bez deklaracji wyboru pacjenta, tzn. od początku brak było podstawy do takiego przetwarzania. W niniejszej sprawie zakład miał podstawę przetwarzania danych skarżącego, gdy był on jego pacjentem, a podstawa ta nadal istnieje, choć jest już inna, skoro skarżący pacjentem zakładu już nie jest.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Zgodnie z treścią art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę działalności administracji publicznej. Stosownie natomiast do art. 3 § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), kontrola działalności administracji publicznej przez sądy administracyjne obejmuje orzekanie w sprawach skarg m.in. na decyzje administracyjne. Kontrola ta sprawowana jest pod względem zgodności z prawem obowiązującym w dacie wydania takiej decyzji.

Skarga rozpatrywana pod tym względem nie zasługuje na uwzględnienie.

Należy zauważyć przede wszystkim, że skarżący nie dość precyzyjnie sformułował swój wniosek inicjujący postępowanie administracyjne w niniejszej sprawie. W swoim piśmie z dnia 16 maja 2005 r. skierowanym do Generalnego Inspektora Ochrony Danych Osobowych przedmiotem swojej skargi uczynił "przetwarzanie danych osobowych zebranych w zakładzie usług medycznych, nieuprawnione po zakończeniu świadczenia usług i wbrew woli osób, których dane dotyczą." Otóż ustawa w art. 18 ust. 1 przewiduje dla Generalnego Inspektora Ochrony Danych Osobowych kompetencję i jednocześnie obowiązek wydania stosownej decyzji w razie stwierdzenia naruszenia przepisów o ochronie danych osobowych. Jeśli postępowanie administracyjne organ ten prowadzi na wniosek, to osoba go składająca powinna określić, czego oczekuje od organu. Inaczej mówiąc - powinna wskazać jakiej decyzji się domaga. Katalog możliwych rozstrzygnięć zawarty jest w przywołanym art. 18 ust. 1 ustawy. Organ może nakazać m.in.:

1) usunięcie uchybień,

2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych,

3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe,

4) wstrzymanie przekazywania danych osobowych do państwa trzeciego,

5) zabezpieczenie danych lub przekazanie ich innym podmiotom,

6) usunięcie danych osobowych.

Dla niewątpliwego określenia przedmiotu postępowania skarżący powinien, zatem wskazać, jakiej decyzji oczekuje od organu. Ponieważ takiego klarownego zdefiniowania przedmiotu postępowania zabrakło, organ mógł uznać (choć wprost nie wyraził tego w decyzji zaskarżonej oraz decyzji ją poprzedzającej), że jest nim żądanie nakazania usunięcia danych przetwarzanych przez Niepubliczny Zakład Opieki Zdrowotnej "Z." Sp. z o.o. w P. i wydanie ich skarżącemu.

Jednym z zarzutów R. P. skierowanym pod adresem zaskarżonej decyzji było ograniczenie rozstrzygnięcia organu wyłącznie do przetwarzania danych osobowych skarżącego. W tej sytuacji konieczne jest wyjaśnienie, że ustawa zobowiązuje organ do przeprowadzenia postępowania administracyjnego z urzędu w przypadku naruszenia przepisów o ochronie danych osobowych. Skoro organ nie podzielił stanowiska skarżącego, że w niniejszej sprawie doszło do naruszenia tych przepisów, to zasadnie ograniczył swoje postępowanie do przetwarzania danych osobowych skarżącego. Jego wniosek zobowiązywał bowiem organ do przeprowadzenia takiego postępowania i zakończenia go merytorycznym rozstrzygnięciem lub umorzeniem. Zasadnie też organ wystąpił do skarżącego o przedstawienie stosownych pełnomocnictw uprawniających do reprezentowania osób imiennie wskazanych w piśmie z dnia 17 maja 2004 r. Tylko, bowiem na zasadach przewidzianych w art. 33 Kpa osoba fizyczna może występować w postępowaniu administracyjnym (a takie postępowania prowadzi Generalny Inspektor Ochrony Danych Osobowych) poprzez swojego pełnomocnika. Art. 33 ust. 2 Kpa wymaga natomiast, co do zasady, pisemnej formy pełnomocnictwa. Brak takich pełnomocnictw uniemożliwiał rozpatrzenie skargi R. P. w zakresie przekraczającym przetwarzanie jego danych osobowych.

Zasadniczym zarzutem skarżącego w niniejszej sprawie było przetwarzanie przez Niepubliczny Zakład Opieki Zdrowotnej "Z." Sp. z o.o. w P. danych osobowych skarżącego wbrew art. 27 ust. 1 ustawy. Stanowi on, iż zabrania się przetwarzania m.in. danych o stanie zdrowia. Jest to reguła ustanawiająca zakaz przetwarzania danych osobowych określanych jako dane "wrażliwe". Od tej reguły ustawa przewiduje jednak szereg wyjątków, o których stanowi jej art. 27 ust. 2. Otóż - zgodnie z jego pkt 2 - przetwarzanie danych, o których mowa w ust. 1 jest jednak dopuszczalne, jeżeli przepis szczególny innej ustawy zezwala na przetwarzanie takich danych i stwarza pełne gwarancje ich ochrony. W niniejszej sprawie organ zasadnie powołuje się na art. 18 ust. 1 i 2 ustawy z dnia 30 sierpnia 1991 r. o zakładach opieki zdrowotnej (Dz. U. Nr 91, poz. 48 ze zm.). Przepis ten stanowi, że zakład opieki zdrowotnej zobowiązany jest prowadzić dokumentację medyczną osób korzystających ze świadczeń zdrowotnych zakładu. Zakład opieki zdrowotnej zapewnia ochronę danych zawartych w tej dokumentacji. W ocenie Sądu przepis ten spełnia wymagania, o których stanowi art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych. Jest to bowiem przepis rangi ustawowej, a dodatkowo – jego ustęp 2 potwierdza wymaganą przez ustawę o ochronie danych osobowych konieczność zapewnienia tym danym pełnej ochrony. Spór między organem, a skarżącym dotyczy natomiast głównie tego, czy przepis ten uprawnia do przetwarzania danych osób, które pacjentami zakładu opieki zdrowotnej już nie są. Odnośnie tej kwestii Sąd orzekający w niniejszej sprawie zauważa, że redakcja art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej może budzić wątpliwości, co do przedmiotowego zakresu przetwarzanych danych osobowych. Wątpliwości tych Sąd jednak nie podziela – ze sformułowania "...osób korzystających..." trudno wyciągnąć jakiekolwiek stanowcze wnioski, co do czasowego ograniczenia prawa do przetwarzania tych danych jedynie do chwili, gdy podmiot danych jest pacjentem zakładu opieki zdrowotnej. Literalna, gramatyczna egzegeza tego sformułowania prowadzić może do różnych wniosków - ograniczenie się do takiej wykładni pozwala wskazać argumenty na rzecz stanowiska reprezentowanego przez stronę, jak i organ. W tej sytuacji konieczne jest odwołanie się do jego wykładni celowościowej oraz uwzględnienie całego kontekstu normatywnego, w jakim zakład taki funkcjonuje. Otóż zgodnie z art. 2 ust. 1 ustawy o zakładach opieki zdrowotnej, zakładem takim może być np. szpital, przychodnia, pogotowie ratunkowe, a nawet żłobek. Każdy zakład prowadzić powinien dokumentację osób korzystających z jego usług. Dokumentację tę udostępnia się m.in. właściwym do spraw zdrowia organom państwowym oraz organom samorządu lekarskiego w zakresie niezbędnym do wykonywania kontroli i nadzoru, Ministrowi Zdrowia i Opieki Społecznej, sądom i prokuratorom oraz sądom i rzecznikom odpowiedzialności zawodowej, w związku z prowadzonym postępowaniem (art. 18 ust. 3 pkt 3 i 4). Gdyby zaakceptować stanowisko skarżącego, że w art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej chodzi wyłącznie o dane aktualnych pacjentów, to prowadzące stosowne postępowanie prokuratury lub sądy karne nie mogłyby pozyskać niezbędnych w takim postępowaniu informacji o stanie zdrowia uczestnika procesu karnego bez jego zgody. Byłoby to stanowisko ewidentnie sprzeczne z ratio legis tego unormowania. Trudno przecież przyznać, że pacjent pogotowia ratunkowego jest "aktualnym" jego pacjentem.

Uprawnienie do przetwarzania danych byłych pacjentów zakładu jeszcze wyraźniej uwidacznia się wobec obowiązku udostępniania dokumentacji medycznej organom państwowym w zakresie niezbędnym do wykonywania kontroli i nadzoru (art. 18 ust. 3 pkt 3 ustawy o zakładach opieki zdrowotnej). Gdyby zasadnicze i jedyne znaczenie miała tu zgoda podmiotu danych, to kontrola taka, dokonywana przecież przez powołane do tego podmioty państwowe (Narodowy Fundusz Zdrowia) byłaby w wielu przypadkach niemożliwa lub iluzoryczna. Pacjent szpitala – stojąc na gruncie argumentacji skarżącego – mógłby skutecznie uniemożliwić kontrolę finansową procesu swojego leczenia. Co więcej – mógłby to uczynić sam szpital powołując się na brak zgody "byłego" pacjenta. Ponownie zatem należy wskazać na ratio legis art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej.

Trudno w końcu oczekiwać, aby ustawodawca w sposób przesadnie kazuistyczny formułował przepisy i rozróżniał pacjentów "aktualnych" i "byłych", tym bardziej, że granica między jedną, a drugą kategorią jest nieostra. Osoba korzystająca w przeszłości z usług zakładu opieki zdrowotnej może przecież stać się, świadomie lub w sposób niezamierzony, pacjentem tego zakładu ponownie. Nie bez znaczenia pozostaje też fakt, iż to nie ona jest "wytwórcą" tej dokumentacji, choć jest jej podmiotem. Właśnie też, dlatego ustawa przyznaje jej szereg uprawnień (np. uprawnienia informacyjne określone w art. 24 i 25), a także nakłada na administratora danych obowiązki należytego ich zabezpieczenia i staranności w procesie ich przetwarzania. Osoba, której dane dotyczą nie jest jednak wyłącznym dysponentem swoich danych o stanie zdrowia. Prawo do ochrony tych danych nie jest absolutne, przepisy ustawy, jak i ustaw szczególnych wyznaczają, bowiem ramy prawne dla legalnego przetwarzania takich danych. Prawo to chroni ponadto, na gruncie publicznoprawnym, Generalny Inspektor Ochrony Danych Osobowych. Nie stanowi naruszenia tego prawa, ani instytucji tajemnicy lekarskiej, przetwarzanie danych w ramach legalnie wyznaczonego

i społecznie akceptowalnego celu.

Zasadnie też organ odwołuje się do przepisów wykonawczych, tj. przywołanego wyżej rozporządzenia, w celu wykazania, że art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej dotyczy nie tylko dokumentacji medycznej osób będących aktualnymi pacjentami. Istotnie – w swojej treści rozporządzenie jednoznacznie określa zasady przechowywania dokumentacji medycznej osób będących pacjentami zakładu opieki zdrowotnej (§ 45 ust. 1), jak i dokumentacji zakończonej (§ 51). Okoliczność, że wyrokiem z dnia 28 listopada 2005 r. Trybunał Konstytucyjny, w sprawie o sygnaturze akt K 22/05 uznał za niezgodne z Konstytucją przepisy art. 18 ust. 6 i 7 ustawy o zakładach opieki zdrowotnej, a także §53 ust. 3 zdanie drugie, § 54 ust. 6 oraz § 54a rozporządzenia, nie podważa zasadności odwołania się do jego przepisów. W tym miejscu wypada jedynie, bowiem zauważyć, że w swoim wyroku Trybunał Konstytucyjny nie odnosił się, będąc związany granicami winsoku, do kwestii konstytucyjności przepisów rozporządzenia dotyczących osób niebędących pacjentami, czyli do kwestii archiwizacji danych o stanie zdrowia. Trybunał stwierdził niekonstytucyjność art. 18 ust. 6 i 7 ustawy o zakładach opieki zdrowotnej z tego powodu, że wbrew art. 92 Konstytucji zawarta w tych przepisach delegacja ustawowa nie zawiera niezbędnych wytycznych, co do ukształtowania treści aktu wykonawczego. Z kolei niekonstytucyjność przepisów rozporządzenia wynika z faktu, że wykroczyło ono w swojej treści poza delegację ustawową – unormowało, bowiem kwestie odpłatności za udostępnianie dokumentacji medycznej. W żadnym więc razie nie zakwestionowano przepisów rozporządzenia określających obowiązek archiwizowania dokumentacji medycznej ani jego termin. Dlatego §§ 45 , 48, 50 czy 51 rozporządzenia potwierdzają prawo do przetwarzania przez zakład w celu archiwalnym danych medycznych byłych pacjentów. Przepisy te nie zostały zaskarżone, korzystają one z domniemania konstytucyjności. Także założenie racjonalności, jednolitości ustawodawcy każe przyjąć, że między przepisami art. 18 ust. 1 ustawy zakładach opieki zdrowotnej, a obowiązującymi przepisami rozporządzenia

zachodzi logiczna, merytoryczna ciągłość, że między nimi nie ma sprzeczności polegającej na tym, że ustawa stanowi jedynie o danych aktualnych, a rozporządzenie także byłych pacjentów.

Powyższe prowadzi do wniosku, że art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej uprawnia do przetwarzania przez zakład danych osobowych skarżącego pomimo zadeklarowania przez niego, że z usług zakładu nie będzie już korzystał. W przepisie tym chodziło bowiem z pewnością o ustanowienie podstawy prawnej dla przetwarzania danych przez zakład opieki zdrowotnej niezależnie od obecnego statusu osoby korzystającej w przeszłości z usług zakładu. Należy wyraźnie podkreślić, że uprawnienie zakładu do przetwarzania danych osobowych byłych pacjentów wynika wprost z art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej, natomiast odwołanie się do przepisów rozporządzenia jest zasadne tylko o tyle, że potwierdzają one zastosowaną przez organ wykładnię przepisów tej ustawy.

Zarzutem skarżącego było też pominięcie w zaskarżonej decyzji faktu naruszenia szeregu przepisów ustawy o ochronie danych osobowych. I tak, skarżący dopatruje się w procesie przetwarzania danych osobowych przez zakład naruszenia art. 24 ust. 1 pkt 2, 25 ust. 1 pkt 2, 26 ust. 1 pkt 2, 27 ust. 2 pkt 7, 29 ust. 4. Zarzuty te nie zasługują na uwzględnienie. Przede wszystkim postępowanie administracyjne w niniejszej sprawie zostało wszczęte – jak wyżej wyjaśniono – na wniosek (wskutek skargi) skarżącego sformułowany w piśmie z dnia 16 maja 2005 r. Wniosek ten sprowadzał się do zakwestionowania legalności przetwarzania danych skarżącego przez zakład. Tak sformułowany wniosek wyznaczył, więc przedmiotowe granice prowadzonego postępowania. Niedopuszczalne jest, aby w trakcie postępowania, po wydaniu przez organ decyzji, uzupełniać, rozszerzać swoje żądanie. Doprowadziłoby to w istocie do zakwestionowania zasady dwuinstancyjności – jakaś część żądania skarżącego rozpatrywana byłaby w dwóch instancjach (z zastrzeżeniem specyfiki ustrojowej organu, wobec którego nie istnieje organ wyższego stopnia w rozumieniu art. 17 Kpa), a inna część – faktycznie tylko w jednej instancji. W tej sytuacji organ zasadnie nie uczynił przedmiotem swojego postępowania zarzutów naruszeń prawa sformułowanych przez skarżącego dopiero we wniosku o ponowne rozpatrzenie sprawy. Nie zmienia to natomiast faktu, że mogą one być, w razie podtrzymania żądania skarżącego w tym zakresie lub wskutek działania ex officio, przedmiotem odrębnego postępowania. Wobec tego tylko tytułem dygresji warto zauważyć, że co najmniej dwa z wyżej wymienionych przepisów ustawy (art. 27 ust. 2 pkt 7 i 29 ust. 4) nie mają w mniejszej sprawie zastosowania, a co za tym idzie – wątpliwe jest ich naruszenie przez administratora danych. Zarzut "rozsiewania" dokumentacji medycznej po zakładach, z usług których kiedyś się korzystało jest z powodów wyżej wskazanych nieuprawniony. Nie jest "rozsiewaniem" legalna archiwizacja danych medycznych.

Trudno też dopatrzyć się w zaskarżonej decyzji naruszeń zasad określonych w przywołanych przez skarżącego aktach prawa międzynarodowego i Konstytucji RP. Zarzuty takie nie zostały, co prawda zawarte w skardze do Sądu, ale przeanalizowane przez Sąd z urzędu na uznanie nie zasługują. Otóż w art. 47 i 51 Konstytucja RP gwarantuje ochronę prywatności oraz prawo obywatela dostępu do informacji go dotyczących, zasadę wyłączności ustawowej jako podstawy gromadzenia danych o obywatelach oraz zakaz gromadzenia takich danych ponad potrzebę istniejącą w demokratycznym państwie prawnym. Sąd nie podzielił stanowiska skarżącego, że w niniejszej sprawie przepisy Konstytucji zastały naruszone. Skarżącemu zaoferowano przecież dostęp do jego danych, przekazanie mu kopii dokumentacji medycznej. Ustawa gwarantuje mu też prawo do sprostowania danych nierzetelnych, zebranych z naruszeniem prawa, prawo do informacji o zakresie, celu

w ustawie. Jeśli administrator danych nie dopełnił w tym zakresie swoich obowiązków, skarżący – jak to wyżej wyjaśniono – może zwrócić się o ochronę prawną do Generalnego Inspektora Ochrony Danych Osobowych. Z tego samego względu nie naruszono art. 8 Konwencji. Gwarantuje on prawo do poszanowania życia prywatnego i rodzinnego, mieszkania i korespondencji. Ustanawia też zakaz ingerencji władzy publicznej w korzystanie z tego prawa, z wyjątkiem przypadków przewidzianych przez ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na m.in. ochronę zdrowia i moralności lub ochronę praw i wolności innych osób. Jak wyżej wspomniano ochrona danych medycznych nie jest absolutna - Sąd nie dopatrzył się naruszenia Konwencji przez archiwizowanie dokumentacji medycznej dla celów określonych w art. 18 ust. 3 pkt 3 i 4 ustawy o zakładach opieki zdrowotnej.

Takie archiwizowanie dokumentacji nie stanowi też naruszenia Dyrektywy. Po pierwsze bowiem jej wymagania zostały implementowane przez polską ustawę o ochronie danych osobowych (domniemanie zgodności polskiego prawa z acquis communautaire) i już ten tylko fakt pozwala sceptycznie odnieść się do zarzutu skarżącego. Sąd uznając za uprawnione - z powodów wyżej określonych – przetwarzanie danych byłych pacjentów na podstawie art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej, uznał, że wspólnie z ustawą tworzy ona spójny, zgodny z wymaganiami Konstytucji i aktów prawa międzynarodowego wiążących Polskę, system prawny. Nie mniej jednak warto zauważyć, co do meritum, że Dyrektywa w art. 8 ust. 1 zakazuje co prawda przetwarzania danych dotyczących stanu zdrowia, ale już ust. 3 tego artykułu przewiduje od powyższego zakazu wyjątek. Otóż zezwala ustawodawcy krajowemu na ustanowienie podstawy przetwarzania danych medycznych, gdy przetwarzanie danych wymagane jest m.in. dla celów zarządzania opieką zdrowotną, jak również w przypadkach, gdy dane są przetwarzane przez podmiot służby zdrowia zgodnie z przepisami prawa krajowego lub zasadami określonymi przez właściwe krajowe instytucje, podlegający obowiązkowi zachowania tajemnicy zawodowej lub przez inną osobę również zobowiązaną do zachowania tajemnicy. Taki cel przetwarzania danych, z obowiązkiem zachowania tajemnic określonych we właściwych przepisach, przewiduje natomiast ustawa o zakładach opieki zdrowotnej w art. 18 ust. 3 pkt 3. Istotnym elementem zarządzania opieką zdrowotną jest przecież kontrola i nadzór nad jednostkami wykonującymi tę opiekę.

Na rozprawie w dniu 11 kwietnia 2006 r. skarżący powołał się na wspomniany wyrok Trybunału Konstytucyjnego z dnia 28 listopada 2005 r. poddający - jego zdaniem – w wątpliwość legalność zaskarżonej decyzji. Sąd dokonując szczegółowej analizy tego wyroku doszedł jednak do wniosku, że - jak wyżej wyjaśniono – niczego nie zmienia on w niniejszej sprawie. Uprawnienie zakładu do przetwarzania danych osobowych skarżącego wynika z art. 18 ust. 1 ustawy o zakładach opieki zdrowotnej. Organ w sposób nieuprawniony dopatruje się w przepisach rozporządzenia alternatywnej, samoistnej podstawy do takiego przetwarzania danych przez zakład. Przepisy rozporządzenia dotyczą jedynie kwestii o charakterze technicznym, wykonawczym wobec przyznanego w przepisie rangi ustawowej upoważnienia do przetwarzania danych "wrażliwych". Na marginesie warto też zauważyć, że ocena organu co do zgodności rozporządzenia i art. 18 ust. 6 ustawy o zakładach opieki zdrowotnej z art. 92 Konstytucji jest wadliwa. Potwierdził to przedmiotowy wyrok Trybunału – jest przecież oczywiste, że delegacja zawarta w art. 18 ust. 6 ww. ustawy nie zawiera niezbędnych wytycznych, co do treści aktu wykonawczego. Niemniej przepisy rozporządzenia, a tym bardziej jego przepisy zakwestionowane przez Trybunał Konstytucyjny, nie stanowią podstawy przetwarzania przez zakład danych medycznych skarżącego. Skoro tak, to wyrok Trybunału Konstytucyjnego pozostaje bez wpływu na prawidłowość oceny, że przetwarzanie danych skarżącego przez zakład jest dopuszczalne. W tej sytuacji niezasadne jest formułowanie zarzutu, że w niniejszej sprawie zaszły przesłanki wznowienia postępowania określone w art. 145 § 1 pkt 1 lit "b" ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. nr 153, poz. 1270 ze zm.) w związku z art. 145a Kpa. Jednakże nawet gdyby Trybunał Konstytucyjny zakwestionował przepisy stanowiące podstawę zaskarżonej decyzji, to Sąd orzekający w sprawie nie mógłby uchylić tej decyzji bez żądania skarżącego wznowienia tego postępowania zgłoszonego w oparciu o art. 145a Kpa. Sąd nie może bowiem działać z urzędu w tym zakresie, zastąpić nijako skarżącego w zgłoszeniu przez niego żądania wznowienia postępowania i domniemywać, że złożyłby on takie żądanie, skoro nie złożył go. Uchylenie decyzji w oparciu o art. 145 § 1 pkt 1 lit. "b" Prawa o postępowaniu przed sądami administracyjnymi byłoby w takiej sytuacji niedopuszczalne. W końcu zauważyć też należy, że art. 145a Kpa przewiduje termin zgłoszenia wniosku o wznowienie postępowania – wynosi on jeden miesiąc od dnia wejścia w życie wyroku Trybunału Konstytucyjnego. Przywołany wyrok Trybunału Konstytucyjnego wszedł w życie – stosownie do art. 190 ust. 3 Konstytucji - w dniu ogłoszenia, tj. 7 grudnia 2005 r. (Dz. U. Nr 239, poz. 2020), a Sąd orzekający w niniejszej sprawie wydał wyrok w dniu 11 kwietnia 2006 r. Także z tego więc względu uchylenie zaskarżonej decyzji byłoby niewłaściwe.

Z powyższych powodów nie zasługują na uznanie zarzuty zawarte w skardze, a dotyczące naruszenia zasad prawa procesowego. Organ wyjaśnił skarżącemu przesłanki, którymi kierował się przy podejmowaniu zaskarżonej decyzji, skarżący był też poinformowany o podjętych przez organ działaniach procesowych, w końcu powiadomiony też został o zakończeniu postępowania i swoich prawach jako strony. Sformułowane przez skarżącego żądanie ochrony "...za pomocą wyżej wymienionych przepisów karnych" nie mogło też stać się przedmiotem postępowania administracyjnego i reakcji prawnej Generalnego Inspektora Ochrony Danych Osobowych, jako że organ ten nie prowadzi postępowań przygotowawczych w sprawach ewentualnych naruszeń przepisów karnych ustawy. Nie zawiadamia też o podejrzeniu popełnienia przestępstwa w drodze decyzji administracyjnej. Kwestia, czy takie zawiadomienie, w przewidzianej prawem formie, złożył lub dlaczego tego zaniechał pozostaje poza oceną sądu administracyjnego.

Mając na uwadze przywołany art. 145 § 1 ustawy Prawo o postępowaniu przed sądami administracyjnymi, nie znajdując w zaskarżonej decyzji wad skutkujących określonym w tym przepisie obowiązkiem jej uchylenia, stwierdzenia jej nieważności lub wydania z naruszeniem prawa, Sąd skargę oddalił. Stosownie bowiem do art. 151 przywołanej ustawy sąd administracyjny oddala skargę w razie jej nieuwzględnienia.