To ważne stanowisko dotyczące zasad ochrony danych osobowych potwierdził właśnie Naczelny Sąd Administracyjny (NSA). Sprawa dotyczyła przychodni, na którą do prezesa Urzędu Ochrony Danych Osobowych (UODO) poskarżyła się jedna z pacjentek. I nie chodziło o zwykłe dane. Kobieta alarmowała, że spółka prowadząca przychodnię bezprawnie wykorzystała i udostępniła jej dokumentację medyczną. UODO nie zbagatelizował sprawy i ustalił, że kobieta w 2016 r. była pacjentką przychodni, która po latach wykorzystała jej dane przy pozwie o zapłatę skierowanym do sądu okręgowego. Jej dokumentacja medyczna bez anonimizacji została do niego dołączona w formie załącznika jako przykład. Pacjentka nie była stroną postępowania sądowego wytoczonego przez firmę świadczącą usługi medyczne.
Dane medyczne jako załącznik do pozwu o zapłatę
W tej sytuacji prezes UODO uznał, że właściciel placówki załączając dokumentację medyczną zawierającą dane osobowe swojej dawnej klientki do pozwu naruszył art. 9 ust. 1 oraz art. 5 ust. 1 lit. a RODO. Choć kara nie była z kategorii najbardziej dotkliwych, bo skończyło się tylko na upomnieniu. UODO zwrócił uwagę na szczególne zasady przetwarzania danych osobowych dotyczących zdrowia. W tym przypadku w celu legalizacji procesu przetwarzania konieczne jest wykazanie przez administratora niezbędności przetwarzania do ustalenia, dochodzenia lub obrony roszczeń. W ocenie prezesa UODO sama konieczność ustalenia, dochodzenia lub obrony roszczeń po stronie administratora to za mało. Musi występować bezpośredni związek pomiędzy realizacją tych uprawnień a potrzebą przetwarzania danych osobowych. Tymczasem w spornej sprawie dokumentacja medyczna została załączona do pozwu przychodni jako "przykładowa". A to oznacza, że dochodzenie roszczeń na drodze sądowej nie wymagało przetwarzania danych osobowych byłej pacjentki. Ponadto, jak zauważył prezes UODO, nic nie wskazuje, aby powódka została zobowiązana przez sąd do jej przedłożenia. Przychodnia nie wskazała, a urzędnicy nie dopatrzyli się innych przesłanek legalizujących przetwarzanie danych w tej sytuacji. Ukarana nie pogodziła się z takim obrotem sprawy. Zaskarżyła upomnienie. Przede wszystkim argumentowała, że w świetle art. 4 pkt. 2 RODO "ujawnienie poprzez przesłanie" danych osobowych ma miejsce wyłącznie, gdy ich odbiorcą jest podmiot wskazany w innej jednostce redakcyjnej tego przepisu. Tymczasem w ocenie skarżącej sąd jako organ publiczny, który może otrzymywać dane osobowe w ramach konkretnego postępowania nie jest odbiorcą w rozumieniu art. 4 pkt. 9 RODO.
Czytaj więcej
Zgodnie z przepisami RODO kwestie umyślności ujawnienia danych osobowych i ewentualnego ich następczego wykorzystania mają wpływ na karę. To zaś wy...
To przekonało Wojewódzki Sąd Administracyjny (WSA) w Warszawie. Zauważył, że aby w spornej sytuacji móc skutecznie przypisać administratorowi danych pacjentki ich przetwarzanie musiałyby zostać spełnione łącznie dwie przesłanki. Musiałby dane udostępnić osobie trzeciej, a ta powinna być "odbiorcą danych" w rozumieniu RODO. Przy czym organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem UE lub państwa członkowskiego, nie są uznawane za odbiorców. WSA doszedł do przekonania, że w przypadku skarżącej przychodni nie doszło do przetwarzania danych osobowych pacjentki. Skoro bowiem zostały one wykorzystane w celu przekazania ich sądowi prowadzącemu konkretne postępowanie cywilne, to nie były udostępnione "odbiorcy danych" z art. 4 pkt. 9 RODO. Spółka jako powód była zmuszona załączyć do pozwu wszelkie dowody dla wykazania zasadności swego roszczenia. Takiego działania nie sposób zaś uznać za "nadmiarowe".
Nie każde przesłanie danych osobowych do sądu wyłącza RODO
Ostatecznie jednak inaczej do problemu podszedł NSA. Nie zgodził się bowiem z koncepcją, że każde przekazanie danych osobowych do sądu wystawia je poza nawias regulacji RODO. A zdaniem NSA niekoniecznie tak będzie, bo zasada, na której oparł się WSA dotyczy przypadków przekazywania danych, ale między organami władzy publicznej, a nie do nich, np. sądu. Potwierdza to wykładnia autentyczna, zwłaszcza motyw 31 RODO, a także piśmiennictwo. Sąd zastrzegł, że sytuacja mogłaby też wyglądać inaczej, gdyby dane zostały przekazane na wezwanie sądu. NSA zauważył, że w sprawie chodzi o dane wrażliwe, a pozew przychodni nie dotyczy kwestii medycznych, tylko zapłaty. Pacjentka nie miała zaś z nim nic wspólnego. Uchylił zaskarżony wyrok i przekazał sprawę WSA do ponownego rozpoznania. Jak bowiem tłumaczył sędzia NSA Przemysław Szustakiewicz, sporny przypadek trzeba jeszcze raz przeanalizować pod kątem innych regulacji RODO. Zwłaszcza zasady proporcjonalności i nadmiarowości obowiązującej przy przetwarzaniu danych osobowych. Wyrok jest prawomocny.
Czytaj więcej
Prezes Urzędu Ochrony Danych Osobowych jest właściwy w sprawie dotyczącej przetwarzania danych osobowych przez komornika sądowego.
Sygnatura akt: III OSK 1478/24
