Czy RPO może — jeśli PUODO sam się sprawą nie zainteresował — zwrócić się o wyjaśnienie wycieku informacji o pozytywnym wyniku testu na COVID-19? Czy taki wniosek oznacza per se wszczęcie postępowania, czy jednak PUODO może odmówić zajęcia się sprawą ze względu na pewne braki formalne? Czy przeszkodą w zbadaniu sprawy może być brak zgody osoby, której dane osobowe zostały w ten sposób ujawnione? (nieprawomocny wyrok WSA w Warszawie z 29 września 2021 r., II SA/Wa 778/21).
Sprawa zaczęła się od wniosku Rzecznika Praw Obywatelskich, który zwrócił się do Prezesa Urzędu Ochrony Danych Osobowych o wszczęcie postępowania dotyczącego wycieku danych o wyniku testu diagnostycznego w kierunku SARS-CoV-2 Marty Lempart i ujawnieniu tej informacji w Telewizji Polskiej (por. treść pisma).
W odpowiedzi PUODO stwierdził, że co do zasady postępowanie wszczyna się na wniosek strony (ze skargi zainteresowanej osoby); można je wszcząć także z urzędu, aczkolwiek tylko ze względu na szczególnie ważny interes strony i po uzyskaniu jej zgody. Owszem, Marta Lempart może mieć w sprawie status strony, jednak zawsze konieczna będzie jej zgoda — której uzyskać nie sposób, ponieważ ombudsman nie podał jej adresu. Brak zgody jest przesłanką wykluczającą prowadzenie postępowania, zatem należało odmówić wszczęcia postępowania.
art. 61 par. 2 kodeksu postępowania administracyjnego
Organ administracji publicznej może ze względu na szczególnie ważny interes strony wszcząć z urzędu postępowanie także w sprawie, w której przepis prawa wymaga wniosku strony. Organ obowiązany jest uzyskać na to zgodę strony w toku postępowania, a w razie nieuzyskania zgody — postępowanie umorzyć.
Co więcej przetwarzanie danych przez dziennikarzy TVP mieści się w wyjątku prasowym, zatem niezależnie od tego czy postępowanie zostałoby wszczęte, czy nie, skutek byłby taki sam.
art. 14 pkt 6 ustawy o Rzeczniku Praw Obywatelskich
Po zbadaniu sprawy Rzecznik może:
6) zwrócić się o wszczęcie postępowania administracyjnego, wnosić skargi do sądu administracyjnego, a także uczestniczyć w tych postępowaniach — na prawach przysługujących prokuratorowi;
art. 182 kodeksu postępowania administracyjnego
Prokuratorowi służy prawo zwrócenia się do właściwego organu administracji publicznej o wszczęcie postępowania w celu usunięcia stanu niezgodnego z prawem.
W skardze na odmowę wszczęcia postępowania Rzecznik Praw Obywatelskich podkreślił, że wykładnia RODO nie może pomijać roli organu konstytucyjnie umocowanego do obrony praw i wolności człowieka i obywatela — zwłaszcza w sytuacji, kiedy sam PUODO w sprawie nie zrobił nic, a nawet nie postarał się poszukać adresu Marty Lampart. Przepisy RODO o skardze nie mogą być bowiem interpretowane jako dopuszczające wszczęcie postępowania wyłącznie na wniosek osoby, której dane osobowe zostały naruszone. Istotą sporu nie jest też działanie mediów, lecz wyjaśnienie skąd TVP miała informacje o wyniku testu na koronawirusa, zwłaszcza, że jako dane wrażliwe podlegają szczególnej ochronie.
Wojewódzki Sąd Administracyjny podzielił tę argumentację: zgodnie z ustawą zasadniczą RPO stoi na straży wolności i praw człowieka i obywatela, do których należy także prywatność jednostki. Ombudsman podejmuje czynności przewidziane w ustawie jeśli poweźmie informację o naruszeniu tychże praw i wolności, w ramach swych uprawnień może m.in. zwrócić się o wszczęcie postępowania administracyjnego. W toku postępowania przysługują mu uprawnienia prokuratora (art. 182-189 kpa), zaś wszczęcie postępowania administracyjnego następuje w dniu, w którym wniosek RPO został doręczony PUODO — co oznacza, że organ nie mógł odmówić wszczęcia postępowania.
Automatyczne wszczęcie postępowania przez PUODO na wniosek RPO nie wyklucza konieczności uzyskania zgody osoby na prowadzenie postępowania (art. 61 par. 2 kpa) — wszakże podstawowym celem RODO jest realizacja prawa do ochrony danych osobowych każdej osoby fizycznej. W takim przypadku PUODO powinien wezwać RPO do przedstawienia takiej zgody lub adresu zainteresowanej osoby, ze wskazaniem, iż w przeciwnym razie postanowienie zostanie umorzone. (Błędne jest także stanowisko, iż skargę może wnieść wyłącznie sama osoba zainteresowana — ponieważ w istocie katalog podmiotów uprawnionych do składnia skarg do PUODO jest szerszy (art. 57 ust. 1 lit. f) RODO).)
Wątpliwości WSA nie wzbudziła także istota wystąpienia: Rzecznik zwrócił uwagę nie tyle na upublicznienie informacji przez prasę, lecz poprosił o wyjaśnienie sposobu, w jaki sposób wyciekły dane dotyczące testu. Sprawa ta budzi wszakże uzasadnione kontrowersje w kontekście bezpieczeństwa danych osobowych przetwarzanych w związku z działaniami państwa w celu zwalczania pandemii COVID-19, a więc może podważać zaufanie obywateli do niektórych rozwiązań wprowadzanych przez władze (m.in. Internetowego Konta Pacjenta czy e-recepty) — a przecież te jednostki na klauzulę prasową z pewnością powołać się nie mogą.
Z tego względu postanowienie o odmowie wszczęcia postępowania zostało uchylone.