Czy urzędnik może wykorzystać, w prywatnej sprawie, dane osobowe, do których dostęp uzyskał w związku z pełnioną funkcją? Kto jest wówczas administratorem danych osobowych: minister jako osoba fizyczna, czy minister jako organ? Czy za bezprawne — lecz „prywatne” — działanie funkcjonariusza publicznego piastującego funkcję organu odpowiedzialność ponosi organ? (nieprawomocny wyrok WSA w Warszawie z 2 marca 2026 r., II SA/Wa 285/24).
opis stanu faktycznego:
- głośna sprawa zaczęła się od opublikowania przez Adama Niedzielskiego, ówczesnego Ministra Zdrowia, informacji o wystawieniu przez imiennie wskazanego lekarza recepty pro auctore na leki psychotropowe;
- sprawa trafiła do PUODO, który w wydanej decyzji uznał, że ujawnienie danych sensytywnych nastąpiło bez podstawy prawnej;
- zarazem fakt, iż minister mógł ot tak sobie zaczerpnąć informacje z Elektronicznej Platformy Gromadzenia, Analizy i Udostępnienia Zasobów Cyfrowych o Zdarzeniach Medycznych dowodzi, iż nie wdrożono odpowiednich zabezpieczeń (nadto po wycieku nie przekazano zainteresowanemu wymaganych wyjaśnień)
- (z ciekawostek: dane z systemu P1 przesłano do ministra poprzez komunikator Łocap, a dalej już było łatwo, bo A. Niedzielski po prostu wrzucił je na Tłitera);
art. 4 pkt 7 RODO
„administrator” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania;
art. 28 kodeksu postępowania administracyjnego
Stroną jest każdy, czyjego interesu prawnego lub obowiązku dotyczy postępowanie albo kto żąda czynności organu ze względu na swój interes prawny lub obowiązek.
art. 156 § 1 kpa
Organ administracji publicznej stwierdza nieważność decyzji, która:
4) została skierowana do osoby niebędącej stroną w sprawie;
- zatem w wydanej decyzji nałożono na Ministra Zdrowia — jako organ będący administratorem danych osobowych, nie osobę fizyczną piastującą to stanowisko — karę w wysokości 100 tys. zł (decyzja PUODO 20 grudnia 2023 r., DKN.5131.32.2023);
skarga na decyzję:
- w skardze na tę decyzję Minister Zdrowia (już kolejny po kolejnym) zwrócił uwagę, że ujawnienie danych zdrowotnych było prywatną inicjatywą Adama Niedzielskiego i nie wchodziło w zakres kompetencji organu, co oznacza, że stroną w sprawie powinna być osoba fizyczna, a nie Minister Zdrowia, zwłaszcza, że ukaranie urzędu za działania jego byłego piastuna jest bezcelowe z punktu widzenia sankcji;
- przy czym brakiem konsekwencji wykazał się sam PUODO, który w uzasadnieniu decyzji stwierdził, że lekarz ma prawo złożyć skargę na bezprawne przetwarzanie jego danych osobowych „przez Ministra Zdrowia działającego „prywatnie” jako osoba fizyczna” — co w sumie skutkuje nieważnością decyzji;
podejście pierwsze:
- w tzw. międzyczasie prokuratura wniosła akt oskarżenia w/s przestępstwa popełnionego przez ex-ministra…
- …więc sąd uznał, iż sprawa karnej ma wpływ na postępowanie w/s skargi na decyzję PUODO — bo prokurator zajmie się oceną, czy czynu dopuścił się Minister Zdrowia jako organ, czy też osoba fizyczna, która nie działała jako funkcjonariusz publiczny — i postępowanie zawiesił do czasu jej rozstrzygnięcia (postanowienie NSA z 9 stycznia 2025 r., III OZ 542/24);
- (wcale nie na marginesie: PUODO polemizował z tymi poglądami zwracając uwagę, że decyzja odnosiła się nie tylko do samego bezprawnego ujawnienia informacji wrażliwych, ale też także do uchybień organizacyjnych, za które odpowiada Minister Zdrowia);
wyrok WSA:
- Adam Niedzielski został prawomocnie uznany winnym przestępstwa przekroczenia uprawnień i ujawnienia informacji stanowiących dane osobowe;
- jest to okoliczność niezwykle istotna z punktu widzenia sporu o odpowiedzialność organu za bezprawne zachowanie osoby sprawującej funkcję organu;
- a jednak w decyzji wątek ten został całkowicie pominięty — co oznacza brak prawidłowego ustalenia stanu faktycznego w postępowaniu;
- oceny tej nie zmienia fakt pewnej dwoistości ról, aczkolwiek nie ma też wątpliwości, iż „inne prawa i obowiązki spoczywają na organie administracji rządowej a inne na piastunie tego organu”, zaś PUODO nie może całkowicie od tych różnic abstrahować.
Biorąc zatem pod uwagę, że prawda materialna ustalona w prawomocnym wyroku skazującym rażąco odbiega od poglądów organu ochrony danych osobowych, WSA uchylił decyzję o nałożeniu kary na Ministra Zdrowia i nakazał ponowne rozpatrzenie sprawy.