WSA oddalił skargę Centrum Ujastek na decyzję Prezesa UODO

Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę Centrum Medycznego Ujastek, która dotyczyła decyzji Prezesa UODO nakładającej na CMU dwie kary administracyjne o łącznej kwocie 1 145 891,25 zł. Spółka została ukarana za zamontowanie urządzeń rejestrujących obraz w dwóch salach oddziału neonatologii niezgodnie z przepisami oraz za niezastosowanie środków bezpieczeństwa odpowiadających ryzyku dla danych przetwarzanych na kartach pamięci w urządzeniach monitorujących.

Kary na krakowskie Centrum Medyczne Ujastek sp. z o.o. Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski nałożył 17 stycznia 2025 r. o sprawie pisaliśmy: Aktualności - UODO.

Wprowadzony przez CM Ujastek w okresie od 1 do 23 lipca 2023 r. na oddziale neonatologii monitoring swoim zakresem rejestrował obraz ukazujący zarówno noworodki, jak ich matki podczas dokonywania intymnych czynności, m.in. takich jak karmienie dzieci czy ich pielęgnacja. O prowadzonej rejestracji obrazu nie zostali poinformowani ani pacjenci, ani pracownicy

Na decyzję Prezesa UODO Centrum Medyczne Ujastek wniosło skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie wnosząc o jej uchylenie w całości oraz o zasądzenie kosztów postępowania. Spółka zarzuciła Prezesowi UODO naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 7 w związku z art. 77 § 1, art. 80 oraz z art. 107 § 3 Kodeksu postępowania administracyjnego, poprzez niepodjęcie wszelkich niezbędnych czynności prowadzących do dokładnego wyjaśnienia stanu faktycznego oraz niezebranie i rozpatrzenie w sposób wyczerpujący całego materiału dowodowego, a także dokonanie dowolnej oceny materiału dowodowego, niezgodnej z logiką i zasadami doświadczenia życiowego.

Centrum Ujastek w skardze postawiło również zarzuty naruszenia prawa materialnego, które miało wpływ na wynik sprawy – tj. art. 13 ust. 1 i 2 RODO, poprzez jego niewłaściwe zastosowanie, polegające na uznaniu, że obowiązek informacyjny wobec osób, których dane dotyczą, nie został przez CMU spełniony, oraz art. 24 w związku z art. 25 oraz art. 32 RODO, poprzez ich niewłaściwe zastosowanie, polegające na uznaniu, że spółka nie zastosowała odpowiednich środków bezpieczeństwa, organizacyjnych i technicznych, zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych przy użyciu zewnętrznych nośników danych.

CMU postawiło też zarzuty naruszenia prawa materialnego odnośnie do art. 83 ust. 1, 2, 3, 4 i 5 RODO poprzez ich niewłaściwe zastosowanie i nałożenie na placówkę administracyjnych kar pieniężnych za zarzucane naruszenia –wysokość tych kar według spółki pozostaje nieproporcjonalna do okoliczności sprawy; ponadto kary te w opinii CMU nie powinny zostać nałożone odrębnie, jako dwie, bowiem wszystkie zarzuty naruszenia przepisów RODO powinny zostać uznane w ramach tych samych lub powiązanych operacji przetwarzania w rozumieniu art. 83 ust. 3 RODO.

Wojewódzki Sąd Administracyjny w Warszawie orzekł, iż skarga spółki nie zasługuje na uwzględnienie.

W ocenie WSA organ nadzorczy prawidłowo zastosował przepisy prawa materialnego i zasadnie uznał, że w świetle zgromadzonego materiału dowodowego należało stwierdzić wystąpienie naruszenia przepisów RODO wskazanych w decyzji administracyjnej i nie uwzględniać jako podstawy prawnej w rozpoznawanej sprawie przepisów art. 23a ust. 1 ustawy o działalności leczniczej w kontekście § 29 rozporządzenia Ministra Zdrowia z 26 marca 2019 r. ani art. 22 Kodeksu pracy, na które powołała się spółka.

W konsekwencji Sąd uznał za zasadne stanowisko Prezesa UODO, że doszło do niezgodnego z prawem przetwarzania danych osobowych, w tym danych szczególnej kategorii, poprzez zastosowane monitoringu wizyjnego w salach szpitalnych. WSA podzielił również pogląd organu nadzorczego dotyczący niespełnienia przez CMU obowiązku informacyjnego oraz naruszenia przepisów związanych z brakiem wdrożenia środków bezpieczeństwa. Sąd nie zgodził się też ze spółką, że liczba osób objętych zdarzeniem była niewielka, skoro, jak sama przyznała, doszło do naruszenia ochrony danych 190 osób.

WSA nie zgodził się także z CMU w perspektywie jego zarzutów wobec Prezesa UODO, skupiających się na możliwym naruszeniu przepisów postępowania administracyjnego, polegającym na nieprawidłowym ustaleniu stanu faktycznego sprawy i dokonaniu dowolnej oceny. I nie zgodził się z zarzutem nieprawidłowego wymierzenia dwóch oddzielnych kar; w opinii Sądu wysokość kar również jest zasadna.

Sąd przyjął zatem, że zaskarżona decyzja nie narusza przepisów prawa procesowego ani materialnego w stopniu uzasadniającym jej uchylenie, co w efekcie skutkowało oddaleniem skargi Centrum Medycznego Ujastek.