Tak wynika z jednego z najnowszych wyroków Naczelnego Sądu Administracyjnego w kolejnym sporze o naruszenie RODO. Sprawa trafiła na wokandę z inicjatywy kobiety, która zaalarmowała prezesa Urzędu Ochrony Danych Osobowych (UODO) o wycieku jej danych osobowych. Tłumaczyła, że w grudniu 2021 r. podczas przeglądania portalu PUE ZUS, tj. Platformy Usług Elektronicznych Zakładu Ubezpieczeń Społecznych, odnalazła w wiadomościach informację o uzyskaniu dostępu do jej danych osobowych przez lekarza z kliniki medycyny estetycznej. Tymczasem nigdy nie korzystała z jej usług, więc nie wie, skąd lekarz posiadał jej numer PESEL.
Wyciek danych medycznych z platformy PUE ZUS a RODO
Urząd zajął się sprawą i ustalił, że faktycznie dane kobiety zostały wyświetlone w systemie PUE ZUS. Medyk zapewnił, że stało się tak przypadkowo, podczas wypełniania przez jego pracownicę zarejestrowaną jako asystent medyczny druku ZUS-ZLA. Ponadto dane nie zostały pobrane, przetworzone ani przekazane innej osobie lub podmiotowi czy zarchiwizowane. Lekarz podkreślił, że nie było zatem możliwości poinformowania pacjentki o incydencie, gdyż jej dane adresowe nie były pobrane z systemu ZUS. Dane zostały niezwłocznie skasowane i nie są przetwarzane przez właściciela kliniki ani jego pracowników. Asystenci medyczni zostali zaś poinstruowani w sprawie zasad korzystania z PUE ZUS.
To nie załatwiło sprawy, bo prezes UODO dopatrzył się naruszenia RODO. Jednak za wykorzystanie numeru PESEL kobiety bez podstawy prawnej w celu uzyskania dostępu do jej danych osobowych zlokalizowanych na platformie usług elektronicznych ZUS prezes UODO udzielił medykowi tylko upomnienia. Uznał, że faktycznie dane kobiety zostały wykorzystane przypadkiem. Jednocześnie w toku postępowania nie stwierdzono, aby lekarz zapoznał się lub pozyskiwał ostatecznie jej dane osobowe znajdujące się na PUE ZUS. W ocenie UODO nie doszło też do następczego przetwarzania danych osobowych zgromadzonych na tej platformie.
Czytaj więcej
To lekarz, a nie przychodnia, odpowiada za bezpodstawne ujawnienie danych osobowych z jego indywidualnego konta PUE ZUS.
Ten niski wymiar kary nie satysfakcjonował ubezpieczonej. W skardze do sądu administracyjnego domagała się poważniejszych sankcji za naruszenie RODO. Kobieta upierała się bowiem, że pracownica kliniki działała na zlecenie jej byłego męża. Działała celowo, z pobudek zasługujących na szczególne potępienie. Sprawczyni utrzymuje bliskie relacje z jej byłym mężem i miała przyznać, że działała na zlecenie mężczyzny, który szukał informacji o L-4 i stanie zdrowia byłej żony. Zarzuciła, że były partner wykorzystał dane z bazy ZUS w trakcie procesu o opiekę nad wspólnymi dziećmi.
W pierwszej instancji nic nie wskórała. Wojewódzki Sąd Administracyjny (WSA) w Warszawie nie dopatrzył się błędów po stronie UODO i skargę kobiety oddalił. Nie przekonały go argumenty o celowym działaniu pracownicy kliniki. A naruszenie ocenił jako niewielkie. Wykorzystanie numeru PESEL skarżącej było przecież incydentalne, jednokrotne, a sam administrator przyznał się do naruszenia. W toku postępowania nie ujawniono zaś, aby doszło do następczego przetworzenia danych osobowych. Sąd zauważył przy tym, że udowodnienie okoliczności obciążającej, jaką jest umyślny charakter naruszenia, czy też następcze wykorzystanie danych skarżącej jest niezmiernie trudne. A niedające się usunąć wątpliwości trzeba rozstrzygać na rzecz strony.
Umyślność bezprawnego przekazania danych osobowych a wymiar kary
Diametralnie inaczej do sprawy podszedł dopiero NSA. Uznał, że sprawa wymaga poprawki i skasował nie tylko wyrok WSA, ale i decyzję prezesa UODO. Sąd zauważył, że skarżąca zarzuciła niezgodne z prawem przekazanie jej danych osobowych zgromadzonych w ZUS-ie. Co miało być skutkiem nielegalnego wykorzystania numeru PESEL przez pracownicę kliniki i przekazania uzyskanych w ten sposób informacji mężowi skarżącej, który wykorzystał je w postępowaniu sądowym dotyczącym władzy rodzicielskiej. NSA zgodził się ze skarżącą, że w sprawie nie wszystko było tak oczywiste, bo rzeczywiście postępowanie nie było przeprowadzone w sposób wystarczający do jej prawidłowego rozstrzygnięcia. Przede wszystkim nie przekonało go to, że sporne naruszenie danych osobowych miało charakter przypadkowy i nie doszło do następczego wykorzystania ich przez osoby trzecie.
W ocenie NSA trudno bowiem uznać za wiarygodne wyjaśnienia medyka i jego pracownicy, że wejście do systemu zusowskiego było przypadkowe. Jak zauważył sędzia NSA Zbigniew Ślusarczyk, numer PESEL ma 11 cyfr. Takich numerów w Polsce jest zaś kilkadziesiąt milionów. I to, że pracownica kliniki przypadkiem wstukała do systemu taki ciąg cyfr odpowiadający PESEL konkretnej osoby, która w dodatku nie leczy się w tej klinice, jest niewiarygodne. Ponadto asystentka medyczna znała się z mężem skarżącej, co nie jest kwestionowane. W ocenie NSA dla należytej oceny spornego przypadku organ powinien poczynić więc dokładniejsze ustalenia i przynajmniej odebrać wyjaśnienia od pracownicy, od męża skarżącej i od niej samej. Ponadto należałoby wnikliwiej zbadać, czy doszło do następczego wykorzystania danych osobowych. Jak bowiem zauważył sąd, skarżąca cały czas twierdzi, że te informacje dotyczące jej zdrowia zostały przekazane jej mężowi i wykorzystane w postępowaniu przed sądem powszechnym, w toczącym się między nimi sporze.
NSA zaznaczył, że skarżąca cały czas kwestionuje wymiar kary i związane z tym uznanie naruszenia za nieświadome, przypadkowe oraz brak wykorzystania następczego. A skoro twierdzi, że jest inaczej, to w tym zakresie organ powinien przeprowadzić postępowanie, w szczególności co do tego, czy owa umyślność była i czy ewentualnie doszło do wykorzystania danych, do których dostęp miała pracownica kliniki. Ma to istotne znaczenie, bo zgodnie z przepisami RODO kwestie umyślności i wykorzystania następczego danych osobowych mają wpływ na stosowanie środków naprawczych, w tym kar. Dlatego, jak wyjaśnił NSA, UODO jeszcze raz będzie musiał przyjrzeć się sprawie pod tym kątem i zastanowić, czy upomnienie jest wystarczającą karą, czy należy jednak zastosować jakiś środek naprawczy bardziej dolegliwy, typu kara grzywny. Wyrok jest prawomocny.
Sygnatura akt: III OSK 3226/23
Czytaj więcej
Kradzież danych pacjentów z serwisu MyDr otwiera drogę do odszkodowań i wysokich kar finansowych. Musi się z nimi liczyć 12 tys. przychodni współpr...
