Biuletyn Informacji Publicznej RPO

• Chodzi o bezpieczeństwo danych przetwarzanych w związku z działaniami państwa w dobie pandemii – uzasadnił Wojewódzki Sąd Administracyjny w Warszawie
• Prezes Urzędu Ochrony Danych Osobowych ma obowiązek sprawdzać, czy te dane są odpowiednio chronione
• Od tego, jak państwo będzie reagować na wyciek danych medycznych ze swoich systemów, zależy zaufanie obywateli do metod, jakimi rząd zwalcza pandemię 

16 grudnia 2020 r. TVP S.A. ujawniła, że test Marty Lempart na koronawirusa jest pozytywny. 22 grudnia 2020 r. ówczesny rzecznik praw obywatelskich Adam Bodnar zwrócił się do Prezesa Urzędu Ochrony Danych Osobowych o wszczęcie postępowania administracyjnego ws. naruszenia przepisów o ochronie danych osobowych.

Postanowieniem z 19 stycznia 2021 r. prezes Jan Nowak odmówił.Jako podstawę wskazał art. 61a § 1 k.p.a. w związku z art. 7 ustawy z 2018 r. o ochronie danych osobowych. Uzasadnił, że w działalności dziennikarskiej nie stosuje się przepisów RODO, a postępowanie nie może się toczyć bez zgody danej osoby.

W lutym 2021 r. RPO Adam Bodnar zaskarżył to postanowienie do WSA. Wskazał, że postanowienie Prezesa UODO narusza przepisy kodeksu postępowania administracyjnego oraz europejskiego rozporządzenia RODO. Dlatego postanowienie PUODO powinno być uchylone.

Argumentacja RPO

Prezes UODO uznał, że takie postępowanie mógłby wszcząć na wniosek samej zainteresowanej. Mógłby teoretycznie zająć się sprawą i poprosić Martę Lempart o zgodę, ale nie było to jego zdaniem możliwe (RPO zauważa jednak w piśmie procesowym, że UODO nie próbował w żaden sposób skontaktować się z aktywistką). Prezes stwierdził też, że nie ma obowiązku zajmować się sprawą na wniosek RPO, choć – jak zauważa RPO - Rzecznik ma właśnie takie uprawnienia, by działać w imieniu obywateli.

Rzecznik argumentował, że sprawa ma charakter nie tylko jednostkowy. Skoro instytucje do tego powołane nie zamierzają wyjaśniać, jak informacje dotyczące zdrowia osoby krytycznej wobec władz pojawiły się w rządowych mediach, to każdy może zadać sobie pytanie, jak bezpieczne są jego dane przetwarzane w związku z działaniami państwa w dobie pandemii. 

A takie przypadki mogą przesądzić o wzbudzeniu nieufności wobec rozwijanych obecnie projektów skierowanych do obywateli w sektorze ochrony zdrowia, takich jak Internetowe Konto Pacjenta czy e-recepta, jak i całego systemu o informacji w ochronie zdrowia.

RPO podkreślał również, że wątpliwości co do bezpieczeństwa przetwarzania danych dotyczących zdrowia w związku z pandemią mogą wpłynąć na pogłębianie się niechęci do poddawania się testom.

Odnosząc się do twierdzenia Prezesa UODO, że wszczęcie postępowania w tej sprawie jest niedopuszczalne ze względu na to, że działalności dziennikarskiej nie stosuje się przepisów RODO, RPO wyjaśnia, że w sprawie nie chodzi o ocenę działania mediów. 

Prezes UODO powinien był zbadać legalność przekazania takich danych dziennikarzom  przez administratora danych osobowych. Dane osób testowanych na COVID-19 są przetwarzane m.in. w systemie teleinformatycznym udostępnionym przez jednostkę podległą Ministrowi Zdrowia. Na podstawie tego rozporządzenia dane te są przetwarzane przez szeroki katalog podmiotów. 

Wyrok WSA

29 września 2021 r. Wojewódzki Sąd Administracyjny w Warszawie uchylił zaskarżone postanowienie  Prezesa UODO. Według sądu zostało ono wydane  z naruszeniem art. 61a § 1 k.p.a. 

Jak głosi pisemne uzasadnienie WSA, wbrew twierdzeniu Prezesa UODO, z wniosku RPO z 22 grudnia 2020 r. nie wynika, że istotą żądania było zbadanie zgodności przetwarzania danych osobowych o stanie zdrowia Marty Lempart z przepisami prawa przez dziennikarzy, czy generalnie media. Rzecznik powołał się w swoim wniosku na materiały prasowe dotyczące bezpieczeństwa danych osób chorych na koronawirusa, w tym fakt ujawnienia danych wymienionej we wniosku osoby w mediach, jednakże istota wniosku RPO dotyczyła zbadania zgodności z prawem przetwarzania danych osobowych tej konkretnej osoby przy wykonywaniu testu diagnostycznego w kierunku SARS-CoV-2.

RPO zaznaczył m.in., że w jego ocenie brak zdecydowanych działań mających na celu wyjaśnienie sprawy  może wpłynąć na podważenie zaufania obywateli do organów władzy publicznej. Odniósł się zatem wyraźnie do działań organów władzy publicznej. Treść wniosku RPO z 22 grudnia 2012 r. nie wskazuje zatem jednoznacznie, jak zdaje się twierdzić organ, na kwestionowanie przetwarzania danych osobowych o stanie zdrowia w materiale prasowym. 

Wniosek Rzecznika o wszczęcie postępowania administracyjnego stanowi wyraz troski tego konstytucyjnego organu o prawa obywateli w przedmiocie zgodności z prawem przetwarzania ich danych osobowych o stanie zdrowia, na przykładzie ujawnienia danych konkretnej osoby, o której mowa w tym wniosku. 

Nie budzi przy tym wątpliwości, że informacje (dane) o stanie zdrowia każdego człowieka należą do danych szczególnie chronionych (art. 9 RODO). Dane o stanie zdrowia objęte są ochroną prawną życia prywatnego. Prawo to zaś należy do praw osobistych ujętych w art. 47 Konstytucji. 

Nie jest tym samym trafna argumentacja Prezesa UODO o niedopuszczalności prowadzenia postępowania, a w zasadzie jak wskazał organ, jego wszczęcia, z uwagi na. to, że do działalności dziennikarskiej nie stosuje się RODO (art. 5, art. 6, art. 9). 

Jeśli Prezes UODO miał jakiekolwiek wątpliwości co do zakresu żądania, nie było przeszkód, aby dopytał Rzecznika co jest istotą jego żądania. Przyjęcie przez PUODO, że żądanie dotyczy kwestionowania przetwarzania danych w ramach działalności dziennikarskiej, nie było uprawnione. 

Sąd podziela jednocześnie twierdzenie Prezesa UODO, że jeśli chodzi o prowadzenie przez postępowania administracyjnego w sprawie przetwarzania danych osobowych konkretnej osoby, to w postępowaniu wszczętym na wniosek RPO, konieczne jest uzyskanie zgody tej osoby. RODO nie wyklucza jednakże również prowadzenia postępowania w sprawie stosowania RODO na podstawie informacji otrzymanych od innego organu publicznego. A jednym z podstawowych zadań Prezesa UODO jest monitorowanie i egzekwowanie stosowania RODO. 

W ocenie sądu  w związku z wszczęciem postępowania w szczególnym trybie, na wniosek RPO, w sprawie tej dopuszczalne i konieczne jednocześnie było zwrócenie się przez Prezesa UODO do RPO ze wskazaniem, że prowadzenie postępowania w sprawie przetwarzania danych osobowych wskazanej we wniosku osoby wymaga zgody tej osoby. Prezes winien również wskazać Rzecznikowi, że w przypadku nienadesłania przez RPO w zakreślonym terminie zgody tej osoby na prowadzenie postępowania, postępowanie podlegać będzie umorzeniu. 

Z uwagi na ustrojową pozycję RPO, który wystąpił z żądaniem wszczęcia postępowania w sprawie ochrony danych o stanie zdrowia konkretnej osoby, za nieuprawnione uznać należało zastosowanie przez Prezesa Urzędu Ochrony Danych Osobowych art. 61 a § 1 k.p.a. – stwierdził WSA.

Orzeczenie jest nieprawomocne. PUODO może złożyć skargę kasacyjną do NSA.

VII.501.305.2020