Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Andrzej Góraj, Asesor WSA Mateusz Rogala, , Protokolant referent Joanna Mazur, po rozpoznaniu na rozprawie w dniu 2 marca 2026 r. sprawy ze skargi W. Sp. z o.o. z siedzibą w G. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

II SA/Wa 865/25

Uzasadnienie

Prezes Urzędu Ochrony Danych Osobowych (dalej jako: "organ", "Prezes UODO") decyzją z dnia [...] marca 2025 r. nr [...] na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2024 r. poz. 572, dalej jako: "k.p.a.") w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) oraz art. 6 ust. 1, art. 17 ust. 1 i art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej jako: "RODO)", po przeprowadzeniu postępowania administracyjnego w sprawie skargi D. F. (dalej jako: "Skarżący") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o. o. z siedzibą w [...] (dalej jako: "Spółka"), polegające na ich udostępnieniu na stronie internetowej: [...] nakazał [...] Sp. z o.o. z siedzibą w [...] spełnienie żądania D. F., prowadzącego działalność gospodarczą pod firmą [...] - D. F., poprzez usunięcie dotyczących go danych osobowych w zakresie: imienia, nazwiska, specjalizacji, numeru prawa wykonywania zawodu, daty rozpoczęcia działalności leczniczej, izby lekarskiej do której należy oraz numeru NIP udostępnionych pod adresem: [...].

Do wydania powyższego rozstrzygnięcia doszło w następującym stanie faktycznym i prawnym:

Do Prezesa UODO wpłynęła skarga D. F. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o. o., polegające na ich udostępnieniu na stronie internetowej: [...] pod adresem [...] bez podstawy prawnej.

W toku postępowania administracyjnego Prezes UODO zgromadził materiał dowodowy i ustalił następujący stan faktyczny:

Skarżący jest lekarzem stomatologiem, prowadzi jednoosobową

działalność gospodarczą pod firmą [...]-D. F. Skarżący w ramach tej działalności prowadzi prywatny gabinet stomatologiczny, bez kontraktu z Narodowym Funduszem Zdrowia.

2. Skarżący, po zorientowaniu się, że jego dane udostępniane są na stronie internetowej Spółki pod adresem [...] zwrócił się [...] stycznia 2024 r. drogą wiadomości e-mail wysłanej z adresu [...] na adres [...] ze sprzeciwem wobec przetwarzania przez Spółkę jego danych osobowych i z żądaniem ich usunięcia. Skarżący wskazał w tej wiadomości, że jego dane zostały zamieszczone na stronie internetowej Spółki bez jego wiedzy i zgody oraz że Spółka naruszyła art. 13 RODO. Nie otrzymał on potwierdzenia odebrania wiadomości, więc [...] stycznia 2024 r. wysłał monit, na który Spółka odpowiedziała [...] stycznia 2024 r., wskazując w wiadomości "skuteczną procedurę zgłaszania sprzeciwu wobec przetwarzania danych osobowych", która miała być dostępna pod wskazanym w wiadomości linkiem oraz poinformowała Skarżącego, że klauzula informacyjna została mu przekazana [...] sierpnia 2023 r. na adres e-mail [...]. Skarżący kontynuował korespondencję ze Spółką, w wiadomości z [...] stycznia 2024 r. zaprzeczył, aby otrzymał od niej klauzulę informacyjną wyjaśniając, że adres e-mail [...] jest adresem prywatnym niedostępnym w publicznych rejestrach i nie jest możliwe, aby Spółka nim dysponowała, a także podtrzymał swoje żądanie.

3. Spółka w wiadomości e-mail z [...] stycznia 2024 r. skierowanej do Skarżącego wskazała, że przekazuje mu ponownie klauzulę informacyjną w załączeniu do tej wiadomości. Spółka wskazała, że odnotowała sprzeciw wobec przetwarzania danych osobowych i w związku z nim przeprowadziła ponownie test równowagi, lecz przedstawione przez Skarżącego okoliczności nie zmieniły wyniku wcześniejszej analizy Spółki. Spółka wskazała, że rozpatrując prośbę o usunięcie danych osobowych bierze pod uwagę przedstawioną szczególną sytuację oraz prawa innych osób. W tej sprawie Spółka uznała, że prawa administratora danych oraz użytkowników serwisów (do wolności wypowiedzi i informacji) są nadrzędne wobec prawa do żądania usunięcia informacji o lekarzu. W związku z tym Spółka odmówiła usunięcia danych osobowych Skarżącego.

Klauzula informacyjna przesłana Skarżącemu przez Spółkę w załączniku do wiadomości z [...] stycznia 2024 r. zawierała informacje, o których mowa w art. 14 RODO. Klauzula wskazuje min., że dane osobowe są przetwarzane "w celu wynikającym z prawnie uzasadnionych interesów realizowanych przez Administratora (art. 6 ust. 1 lit. f RODO) polegającym na informowaniu jak najszerszego kręgu potencjalnych świadczeniobiorców o usługach świadczonych w ramach systemu opieki zdrowotnej. Przetwarzanie będzie polegać na publikacji danych w ogólnodostępnym portalu internetowym [...], który umożliwia wyszukiwanie miejsc, w których udzielane są świadczenia medyczne. Przed rozpoczęciem przetwarzania Pani/Pana danych osobowych, oceniliśmy, że nasz interes jest nadrzędny wobec Pani/Pana interesów i praw." Klauzula stanowi również, że "Informujemy, że nie wolno nam przetwarzać danych osobowych, o ile nie istnieją ważne prawnie uzasadnione podstawy do przetwarzania, nadrzędne f wobec interesów, praw i wolności osoby. Oznacza to, że w przypadku - przedstawienia swojej szczególnej sytuacji, ponownie ocenimy, czy przetwarzanie przez nas Pani/Pana danych osobowych jest legalne."

5. Spółka wyjaśniła, że pozyskała dane Skarżącego [...] sierpnia 2023 r. w zakresie imienia, nazwiska i prywatnego adresu email Skarżącego, w pozostałym zakresie dane Skarżącego miały być pozyskane [...] sierpnia 2023 r. Spółka wyjaśniła, że źródłem danych Skarżącego w zakresie imienia, nazwiska, zawodu i prywatnego adresu email Skarżącego była korespondencja skierowana do Spółki przez Skarżącego w sprawie publikacji informacji w portalu [...] W pozostałym zakresie źródłem danych osobowych jest Rejestr Praktyk Zawodowych.

6. Spółka wyjaśniła, że podstawą przetwarzania danych Skarżącego w zakresie imienia i nazwiska, numeru PWZ, NIP, zdobytych specjalizacji i adresu e- mail jest art. 6 ust. 1 lit. f RODO i przetwarzanie odbywa się w celu wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora, tj. publikacji dla szerokiego grona odbiorców na ogólnodostępnym portalu [...] informacji o usługach świadczonych w ramach systemu opieki zdrowotnej. Celem Spółki było stworzenie wiarygodnego informatora zawierającego kompletne dane o lekarzach. Spółka udostępnia dane osobowe Skarżącego w ww. zakresie od [...].08.2023 r.

7. Spółka wskazała, że spełniła wobec Skarżącego obowiązek informacyjny [...] sierpnia 2023 r., [...] stycznia 2024 r. oraz [...] stycznia 2024 r. poprzez przesłanie na adres e-mail Skarżącego treści klauzuli informacyjnej oraz poprzez wskazanie mu adresu URL pod którym jest ona opublikowana. Spółka nie dysponuje dowodem dopełnienia obowiązku informacyjnego dnia [...] sierpnia 2023 r., rozpoczynając przetwarzanie Spółka wysłała klauzulę informacyjną i zapisała datę nadania wiadomości email, nie zachowując jej kopii.

8. Spółka, podniosła, że przed przystąpieniem do przetwarzania danych w oparciu o swój uzasadniony interes, wykonała test równowagi i przekazała jego kopię jako dowód w sprawie.

9. Na stronie internetowej Spółki od [...] stycznia 2023 r. dostępny był regulamin serwisu internetowego [...] z którego wynikało, że Spółka świadczy usługi informacyjne dotyczące zakładów opieki zdrowotnej, świadczeniodawców, lekarzy oraz innych podmiotów związanych z usługami medycznymi, zwanych dalej: Podmiotami, a w szczególności: usługi w zakresie informowania o Podmiotach, w szczególności: o nazwie, adresie, zakresie świadczonych usług, godzinach pracy i lokalizacji, rozpowszechniania tekstów informacyjnych w szczególności o tematyce związanej z ochroną zdrowia, organizacji medycyny, zasad świadczenia usług medycznych i podobnych, usługi w zakresie wyrażania przez Usługobiorców publicznych opinii o Podmiotach oraz o tekstach określonych powyżej. Usługobiorcą mogła być każda osoba fizyczna, nie musieli się oni rejestrować w serwisie prowadzonym przez Spółkę.

10. Aktualnie, od [...] czerwca 2024 r., na stronie internetowej Spółki dostępny jest nowy Regulamin serwisu internetowego [...], z którego wynika, że serwis internetowy [...] został wpisany do sądowego rejestru dzienników i czasopism prowadzonego przez Sąd Okręgowy w [...] Wydział [...] pod l.p. [...], postanowienie z [...] marca 2024 r., sygn. [...] i portal [...] należy traktować jako wydawcę prasowego, a opublikowane w serwisie informacje jako materiały prasowe w rozumieniu ustawy z dnia 26 stycznia 1984 r. prawo prasowe. Z treści nowego Regulaminu wynika, że usługobiorcy mogą w serwisie internetowym [...] wyrażać publiczne opinie o działalności Podmiotów oraz o opublikowanych artykułach. Wypowiedzi Usługobiorców są powszechnie dostępne w Serwisie. Inni Usługobiorcy mogą komentować wypowiedzi Usługobiorcy. Spółka nie sprawdza treści pochodzących od Usługobiorców przed ich rozpowszechnieniem, ani też po rozpowszechnieniu. Spółka nie zapewnia, że publikowane opinie dotyczące produktów lub usług, pochodzą od osób, które faktycznie z nich korzystały.

11. Spółka [...] marca 2024 r. zarejestrowała tytuł prasowy "[...]". Sąd Okręgowy w [...] Wydział [...] postanowieniem z [...] marca 2024 r. w sprawie o sygn. akt [...] wpisał do rejestru dzienników i czasopism pod L.p. [...] "[...]" wydawany jako tygodnik przez Spółkę w formie internetowej pod adresem [...].

Spółka wskazała, że od [...] marca 2024 r. publikacja dotycząca Skarżącego pod linkiem [...] jest materiałem prasowym. Przetwarzanie danych Skarżącego jest niezbędne do prowadzenia działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych. Podstawą prawną działalności prasowej jest i. Prawo prasowe oraz art. 14 Konstytucji RP. Zakres publikowanych danych to: imię i nazwisko, numer PWZ, NIP, zdobyte specjalizacje. Publikowane dane są informacjami dotyczącymi wykonywania przez Skarżącego zawodu lekarza, czyli są to informacje związane bezpośrednio z działalnością publiczną Skarżącego oraz pełnieniem regulowanego zawodu zaufania publicznego. Zgodnie z art. 14 Prawa prasowego dopuszcza się publikację tego typu informacji bez zgody osoby zainteresowanej. W ocenie Spółki postępowanie w sprawie Skarżącego stało się "bezprzedmiotowe, gdyż podlega ono wyjątkowi na podstawie art. 2 u.o.d.o.

Prezes UODO włączył do materiału dowodowego przedmiotowej sprawy wydruk ze strony internetowej [...] z dnia [...] grudnia 2024 r.

14. Prezes UODO włączył do materiału dowodowego przedmiotowej sprawy wydruk z Rejestru Podmiotów Wykonujących Działalność Leczniczą dotyczący Skarżącego, aktualny na dzień wpisu Spółki do rejestru dzienników i czasopism – [...] marca 2024 r.

W uzasadnieniu zaskarżonej decyzji organ wskazał, że o tym jaki jest charakter i zakres żądania zawarty w piśmie wniesionym przez stronę w postępowaniu administracyjnym, decyduje ostatecznie strona, a nie organ, do którego pismo zostało skierowane. Skarżący zakwestionował w swojej skardze brak wypełnienia wobec niego obowiązku informacyjnego przez Spółkę, przetwarzanie przez Spółkę jego danych osobowych na stronie internetowej [...] bez podstawy prawnej oraz brak spełnienia żądania usunięcia jego danych osobowych przez Spółkę.

Przepisy RODO określają obowiązki administratora, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Organ przytoczył treść art. 4 pkt. 1 i 2 RODO, art. 6 ust. 1 RODO, art. 14 ust. 1 i 2 RODO w zw. z motywem 60 RODO, art. 17 RODO, art. 21 ust. 1 RODO,art.12 RODO, art. 85 ust. 1 RODO, motyw 153 RODO

Organ wyjaśnił, że w polskim porządku prawnym wyjątek dziennikarski z RODO został uregulowany w ustawie z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r. poz. 1781, dalej jako: "u.o.d.o."). Art. 2 u.o.d.o. stanowi, że do działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy z dnia 26 stycznia 1984 r. - Prawo prasowe (Dz. U. z 2018 r. poz. 1914, dalej jako: "prawo prasowe"), a także do wypowiedzi w ramach działalności literackiej lub artystycznej nie stosuje się przepisów art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10 oraz art. 30 RODO.

Organ odnosząc się do zarzutu Skarżącego dotyczącego przetwarzania jego danych osobowych przez Spółkę bez podstawy prawnej, organ wyjaśnił, że Spółka wskazała, iż przetwarzała te dane najpierw na podstawie prawnie uzasadnionego interesu - art. 6 ust. 1 lit. f RODO, zaś po [...] marca 2024 r. Spółka działa pod tytułem prasowym "[...]" wpisanym do rejestru dzienników i czasopism Sądu Okręgowego w [...] i od tego dnia publikacja danych osobowych Skarżącego stanowi materiał prasowy i w ocenie Spółki nie mają do niej zastosowania wybrane przepisy RODO, w związku z wyjątkiem przewidzianym w art. 2 u.o.d.o. Jednym z przepisów, które nie mają zastosowania w przypadku prowadzenia działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych (w rozumieniu prawa prasowego) jest art. 6 RODO.

W związku z powyższym Prezes UODO uznał za zasadne zbadanie zgodności z prawem przetwarzania danych osobowych Skarżącego przez Spółkę w odniesieniu do dwóch okresów: okresu przed wpisem Spółki do rejestru dzienników i czasopism (od ich pozyskania [...] sierpnia 2023 r. do [...] marca 2024 r.) oraz po dokonaniu tego wpisu (po [...] marca 2024 r.).

W odniesieniu do przetwarzania danych osobowych Skarżącego od momentu ich pozyskania do [...] marca 2024 r. Spółka wskazała, że przetwarzała te dane osobowe na podstawie art. 6 ust. 1 lit. f RODO. Art. 6 ust. 1 lit. f RODO stanowi, że przetwarzanie danych osobowych jest zgodne z prawem, jeżeli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem.

W celu legalizacji procesu przetwarzania w oparciu o art. 6 ust. 1 lit f RODO, w pierwszym etapie koniecznym jest kumulatywne spełnienie dwóch przesłanek, tj. istnienie po stronie administratora lub strony trzeciej prawnie uzasadnionego interesu oraz niezbędności przetwarzania do realizacji celu wynikającego z powyższego interesu. W drugim etapie należy natomiast ocenić czy nie jest spełniona przesłanka o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej (D. Lubasz, W. Chomiczewski [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, Warszawa 2018, art. 6.).

Ustanawiając omawianą przesłankę dopuszczalności przetwarzania danych, prawodawca unijny posłużył się zwrotem niedookreślonym "prawnie uzasadniony interes", nie definiując tego pojęcia. Jak przyjmuje się w doktrynie, prawnie uzasadniony interes nie powinien być rozumiany wąsko, jedynie jako interes wprost wynikający z przepisu prawa (przyznającego podmiotowi określone uprawnienie), należy interpretować go szerzej, jako różnego rodzaju interes, który znajduje swoje uzasadnienie w przepisach (Fajgielski Paweł, Test ważenia interesów i praw przy stosowaniu klauzuli prawnie uzasadnionych interesów, LEX). Może być to zatem interes faktyczny, gospodarczy lub prawny, ale taki, który jest zgodny z prawem. Prawodawca unijny w motywie 47 i 49 RODO, jako przykłady tego typu interesów wskazał: marketing bezpośredni, zapobieganie oszustwom, czy zapewnienie bezpieczeństwa usług oferowanych lub udostępnianych poprzez sieci i systemy.

Następnie, konieczne jest wykazanie przez administratora, iż przetwarzanie jest niezbędne dla realizacji prawnie uzasadnionych interesów. Nie wystarczy zatem samo występowanie tych interesów, lecz dodatkowo ich urzeczywistnienie musi wymagać przetwarzania danych osobowych. Podobnie jak na gruncie przepisu art. 6 ust. 1 lit. b RODO, również tutaj musi występować bezpośredni związek pomiędzy realizacją prawnie uzasadnionego interesu a potrzebą przetwarzania danych osobowych (D. Lubasz, W. Chomiczewski [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, Warszawa 2018, art. 6.).

Spółka w ramach złożonych w przedmiotowej sprawie wyjaśnień przedstawiła przeprowadzony test równowagi w celu wykazania spełnienia przesłanki zgodności przetwarzania z prawem z art. 6 ust. 1 lit. f RODO. Jako swój prawnie uzasadniony interes Spółka wskazała: budowanie portalu informacyjnego i generowanie przychodu z reklam. Jako prawnie uzasadniony interes innych osób realizowany przez Spółkę wskazano: ułatwianie pacjentom uzyskania informacji w bardziej przystępny i szybki sposób oraz możliwość zapoznania się z opiniami na temat świadczeniodawców w celu wyboru świadczeniodawców na najwyższym poziomie. Spółka wskazała, że publikowanie informacji adresowych realizuje prawo dostępu do informacji, zaś publikowanie opinii realizuje prawo wolności słowa oraz prawo dostępu do informacji. Spółka uznała, że przetwarzanie jest niezbędne, gdyż stworzenie bazy danych jest osią jej działalności gospodarczej i jest niezbędne dla funkcjonowania Spółki. Niezbędna jest kompletna i aktualna baza danych, tak żeby pacjenci mieli dostęp do wiarygodnych informacji. Niezbędne jest także publikowanie opinii, gdyż jest to wartość pożądana i oczekiwana społecznie, a brak opinii spowoduje mniejsze przyciąganie użytkowników, co zmniejszy zysk.

W odniesieniu do istnienia prawnie uzasadnionego interesu Spółki w postaci budowania portalu informacyjnego generującego przychody dla Spółki, Prezes UODO nie kwestionował jego istnienia. Organ podkreślił jednak, że dla zapewnienia zgodności przetwarzania z prawem, konieczne jest wykazanie niezbędności przetwarzania danych osobowych do realizacji tego celu. Nie wystarczy więc samo występowanie tych interesów, lecz dodatkowo ich urzeczywistnienie musi wymagać przetwarzania konkretnych danych osobowych. Portal [...] poza bazą danych o lekarzach i innych podmiotach leczniczych publikuje artykuły związane z szeroko rozumianą kategorią zdrowia, a także zawiera zakładkę "blog" w której publikowane są krótkie komentarze i analizy wydarzeń na szeroko rozumianym rynku ochrony zdrowia, proponowanych zmian prawnych i organizacyjnych w służbie zdrowia itp. Artykuły na temat zdrowia i rynku ochrony zdrowia są integralną częścią portalu Spółki i są pod nimi wyświetlane reklamy. W ocenie Organu przychód Spółki jest więc również generowany w związku z zamieszaniem materiałów na ww. wskazane tematy i tym samym nie jest w całości zależny od bazy danych o lekarzach i innych podmiotach leczniczych. Przesłanka "niezbędności" przetwarzania musi być rozumiana wąsko jako brak rzeczywistych i racjonalnych alternatyw dla osiągnięcia określonego celu. Spółka nie wykazała, że do realizacji jej zarobkowego celu jest niezbędne przetwarzanie danych osobowych Skarżącego. W tym miejscu należy również zwrócić uwagę na zasadę minimalizacji danych, zgodnie z którą przetwarzane dane powinny być ograniczone do tego co niezbędne do celów, w których są przetwarzane. Spółka nie wykazała w szczególności w jaki sposób niezbędne jest udostępnianie przez nią informacji na temat Skarżącego, takich jak na przykład udostępnianie daty rozpoczęcia działalności leczniczej, numeru NIP tej działalności czy wskazanie izby lekarskiej do której należy Skarżący, nie tylko bezpośrednio wpływa na osiąganie przez nią przychodów, ale jest też niezbędne do ich osiągania, czy bez udostępniania określonych kategorii danych nadal mogłaby ona generować dochody czy też nie. W ocenie Prezesa UODO Spółka nie wykazała, iż rzetelnie przeprowadziła test ważenia swoich uzasadnionych interesów w postaci generowania ruchu na stronie internetowej, który ma przekładać się na zyski z reklam, wobec podstawowych praw i wolności osób, których dane dotyczą, zwłaszcza w świetle zasady minimalizacji danych. Organ przywołał wyrok Trybunał Sprawiedliwości w wyroku z [...] maja 2014 r. [...], w sprawie [...].

Prezes UODO uznał, że przeprowadzona przez Trybunał w ww. sprawie analiza znajduje również zastosowanie na gruncie przedmiotowego postępowania. Organ zgodził się, że prawa i wolności osób, których dane dotyczą mają zasadniczo charakter nadrzędny wobec interesów gospodarczych podmiotów przetwarzających te dane. Organ zgodził się również, że wyjątkiem od takiej sytuacji jest okoliczność, w której osoba, której dane dotyczą odgrywa znaczącą rolę w życiu publicznym. Prezes UODO uznał jednak, że pomimo doniosłości społecznej zawodu lekarza, co do zasady lekarze nie pełnią funkcji publicznych ani nie są osobami publicznymi. Powszechnym na gruncie polskiego prawa jest rozumienie, że do kategorii osób publicznych "należą zarówno osoby sprawujące funkcje publiczne, jak i osoby, które nie pełniąc ich, odgrywają rolę w różnych dziedzinach życia publicznego, takich jak polityka, życie społeczne, kultura i sztuka" (Wyrok SN z 24.01.2008 r" I CSK 341/07, OSNC 2009, nr 3, poz. 45).

W przedmiotowej sprawie - w odniesieniu do Skarżącego - Prezes UODO nie stwierdził, aby pełnił on znaczącą rolę w życiu publicznym i Spółka nie wykazała również zaistnienia takiej okoliczności. Prezes UODO stwierdza również, że na przestrzeni trwania przedmiotowego postępowania żadna z jego stron nie udowodniła, aby jakakolwiek opinia została opublikowana na temat Skarżącego, a więc nie stwierdzono, aby wokół jego osoby toczyła się jakakolwiek "debata".

W świetle ww. wyroku Trybunału Sprawiedliwości organ stwierdził, iż pierwotna zgodność z prawem udostępnienia danych osobowych w danym źródle nie przesądza o zgodności z prawem ich następczego wykorzystania w innym kontekście i innej przestrzeni.

W odniesieniu do prawnie uzasadnionego interesu osób trzecich, polegającego na łatwym uzyskiwaniu informacji na temat podmiotów leczniczych oraz opinii na ich temat w przystępny i szybki sposób, Spółka podnosiła, że pozyskuje z powszechnie dostępnych w Internecie rejestrów, takich jak Rejestr Podmiotów Wykonujących Działalność Leczniczą, Centralna Ewidencja i Informacja o Działalności Gospodarczej oraz rejestry Narodowego Funduszu Zdrowia, zaś, bezpośredni dostęp do danych dostępnych w publicznych rejestrach jest dla przeciętnego odbiorcy utrudniony, nie wszyscy bowiem mają świadomość ich istnienia, a dostępne wyszukiwarki internetowe podczas wyszukiwania (np. konkretnego lekarza) nie odsyłają do tych rejestrów.

Prezes UODO stwierdził, iż łatwość i szybkość dostępu do informacji nie - stanowi wartości chronionej samej w sobie, lecz jest to instrument do osiągnięcia innych celów, które muszą mieć swoje uzasadnienie. Ochrona danych osobowych nie może być ograniczona ze względu na samo ułatwianie dostępu informacji, gdyż przyjęcie takiego założenia prowadziłoby ostatecznie do erozji systemu ochrony danych osobowych. Spółka nie wykazała w przedmiotowej sprawie w szczególności, że np. po pobraniu danych osobowych z rejestrów lub po pozyskaniu ich od użytkowników dokonywała wstępnej weryfikacji ich prawdziwości, nie wykazała też, że weryfikowała okresowo aktualność danych już raz udostępnionych. Spółka nie publikuje również na swojej stronie internetowej wszystkich danych zawartych w dostępnych publicznie rejestrach. Spółka nie zapewnia więc ani kompletności informacji, ani ich prawdziwości, a tym samym nie realizuje ona w rzeczywistości celu ułatwienia informowania osób trzecich o świadczeniodawcach w zastępstwie za publiczne rejestry.

Spółka wskazała, że dzięki informacjom na jej stronie internetowej osoby trzecie będą mogły wybrać świadczeniodawców, którzy będą na najwyższym dostępnym poziomie, co zostanie zweryfikowane poprzez zapoznanie się z opiniami dostępnymi na ich temat. Spółka uznała, że dzięki dostępności rzetelnych i nieocenzurowanych opinii możliwa będzie weryfikacja podmiotu leczniczego zanim, osoby trzecie skorzystają z jego usług. Samo pozyskanie informacji przez osoby trzecie nie jest więc celem samym w sobie, lecz rzeczywistym celem osób trzecich do którego realizacji dąży Spółka jest wybór najbardziej odpowiedniego świadczeniodawcy i skorzystanie z jego usług. Wobec powyższego, Organ zwrócił uwagę, że Spółka nie zdefiniowała w żadnym miejscu na czym jej zdaniem polega wybór świadczeniodawcy na najwyższym poziomie i kim są tacy świadczeniodawcy. Przyjęcie przez Spółkę subiektywnego kryterium "najwyższego poziomu" czy też "najlepszych świadczeniodawców" powoduje również relatywizację interesu osób trzecich, który traci charakter konkretny, zobiektywizowany czy mierzalny. Określenie interesu osób trzecich w sposób subiektywny powoduje, że nie jest możliwe uznanie ich pierwszeństwa wobec obiektywnego interesu Skarżącego w ochronie jego konkretnych danych osobowych.

Prezes UODO uznał, iż pomimo powoływania się na istnienie prawnie uzasadnionego interesu osób trzecich do pozyskiwania informacji, Spółka nie dążyła faktycznie do jego realizacji. Wskazuje na to sama treść Regulaminu serwisu internetowego "[...]" obowiązującego w momencie rozpoczęcia udostępniania przez Spółkę danych osobowych Skarżącego na stronie internetowej Spółki , z którego wynika, że publikowane dane nie są weryfikowane. Organ zwrócił uwagę, że samo zadeklarowanie istnienia określonego interesu przez Spółkę nie jest wystarczające, konieczne jest również rzeczywiste zmierzanie do jego realizacji, zaś Spółka tego nie wykazała, a zgromadzony materiał dowodowy zaprzecza takim zamiarom Spółki.

Dodatkowo organ stwierdził, iż Spółka z nieuzasadnionych przyczyn założyła w treści swojego testu równowagi, iż opinie opublikowane na jej stronie internetowej będą miały charakter rzetelny, a więc tym samym, że osoby trzecie rzeczywiście będą mogły skutecznie zweryfikować na ich podstawie najlepszych świadczeniodawców. W treści Regulaminu obowiązującego w czasie, w którym opublikowała ona dane Skarżącego wskazno w szczególności, że Spółka nie sprawdza treści pochodzących od usługobiorców jej serwisu przed ich rozpowszechnieniem, ani też po rozpowszechnieniu i Spółka nie zapewnia, że opublikowane opinie dotyczące produktów lub usług pochodzą od osób, które faktycznie z nich korzystały (§7 pkt 3 i 5). § 6 ust. 2 Regulaminu stanowi, że Spółka nie ponosi odpowiedzialności za działania i zaniechania osób trzecich podjętych pod wpływem opinii i komentarzy rozpowszechnianych przez usługobiorców w serwisie. Spółka nie bada więc i nie ma nawet faktycznej możliwości każdorazowego zbadania prawdziwości informacji udostępnianych w opiniach.

Wobec powyższego, Prezes UODO uznał, iż Spółka nie wykazała, aby realizowała prawnie uzasadniony interes osób trzecich w postaci szybkiego i łatwego uzyskiwania informacji na temat podmiotów leczniczych oraz rzetelnych opinii na ich temat w celu wyboru świadczeniodawców na najwyższym poziomie. Spółka nie wykazała, aby zmierzała do faktycznego realizowania prawa dostępu do prawdziwych, kompletnych i aktualnych informacji przysługującego osobom trzecim. Spółka nie wykazała również, aby przetwarzane przez nią dane osobowe były niezbędne do osiągnięcia wyżej wskazanych interesów osób trzecich.

Odnosząc się do argumentu Spółki dotyczącego realizacji prawa wolności słowa osób trzecich poprzez umożliwienie im wyrażania opinii, Prezes UODO nie kwestionował istnienia takiego interesu, podlega on ochronie min. w przepisach Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz. U. Nr 78, poz. 483 z ze zm., dalej jako: "Konstytucja RP"), gdyż zgodnie z art. 54 ust. 1 Konstytucji RP, każdemu zapewnia się wolność wyrażania swoich poglądów oraz pozyskiwania i rozpowszechniania informacji. O wolności wypowiedzi i informacji mówi również Karta praw podstawowych Unii Europejskiej (Dz. U. UE. C. z 2007 r. Nr 303, str. 1 z ze zm., dalej jako: "Karta Praw Podstawowych UE") w art. 11 ust. 1 - każdy ma prawo do wolności wypowiedzi. Prawo to obejmuje wolność posiadania poglądów oraz otrzymywania i przekazywania informacji i idei bez ingerencji władz publicznych i bez względu na granice państwowe.

Prezes UODO zwrócił uwagę, że inną wartością chronioną, zarówno na gruncie Konstytucji RP (art. 51) jak i Karty Praw Podstawowych UE (art. 8) są dane osobowe, a także prawo do ochrony prywatności wyrażone w art. 47 Konstytucji RP i w art. 7 Karty Praw Podstawowych UE. Zgodnie z art. 31 ust. 3 Konstytucji RP, ograniczenia w zakresie korzystania z konstytucyjnych wolności i praw mogą być ustanawiane tylko w ustawie i tylko wtedy, gdy są konieczne w demokratycznym państwie dla jego bezpieczeństwa lub porządku publicznego, bądź dla ochrony środowiska, zdrowia i moralności publicznej, albo wolności i praw innych osób. Ograniczenia te nie mogą naruszać istoty wolności i praw.

W przypadku konfliktu wartości chronionych konieczne jest odnalezienie rozwiązania proporcjonalnego, wyważającego te wartości w indywidualnej sprawie w, której konflikt ten się narodził.

Tym samym Spółka - jak wskazał organ - powinna była w świetle art. 6 ust. 1 lit. f RODO, dokonać wyważenia prawa wolności wypowiedzi i dostępu do informacji osób trzecich względem prawa Skarżącego nie tylko do ochrony danych osobowych, ale również prawem Skarżącego do wolności wypowiedzi i dostępu do informacji. W ocenie Prezesa UODO Spółka nie wykazała, że wolności i prawa Skarżącego nie mają charakteru nadrzędnego wobec ww. prawa osób trzecich, z poniższych powodów.

Prezes UODO nie zgodził się z twierdzeniem Spółki wyrażonym w teście równowagi, zgodnie z którym "publikowanie danych podmiotów leczniczych pozyskanych z Rejestru mieści się w zakresie uzasadnionego oczekiwania tych podmiotów - podmioty te muszą liczyć się z tym, że skoro informacje o praktyce leczniczej zamieszczone są w publicznie dostępnym Rejestrze, to informacje te mogą być w szerszym zakresie rozpowszechniane w internetowych bazach danych". Lekarze są zobowiązani do podawania swoich danych zgodnie z przepisami szczególnymi, w celu udostępnienia informacji na swój temat w publicznych rejestrach. Nie należy tego obowiązku rozumieć jako zgody, ani nawet przyzwolenia na dalsze przetwarzanie ich danych w komercyjnych stronach internetowych, takich jak strona Spółki.

Organ powołał art. 14 ust. 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (t.j. Dz. U. z 2022 r. poz. 633 z ze zm., dalej jako: "ustawa o działalności leczniczej") podmiot wykonujący działalność leczniczą podaje do wiadomości publicznej informacje o zakresie i rodzajach udzielanych świadczeń zdrowotnych. Treść i forma tych informacji nie mogą mieć cech reklamy. Z kolei art. 8 ust. 1 ustawy z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza [...] (t.j. Dz. U. z 2022 r. poz. 1731 z ze zm., dalej jako: "u.o.z.l."), stanowi, iż lekarz, który uzyskał prawo wykonywania zawodu, podlega wpisowi do rejestru prowadzonego przez właściwą okręgową radę lekarską. Jednocześnie stosownie do brzmienia przepisu art. 86 RODO, dane osobowe zawarte w dokumentach urzędowych, które posiada organ lub podmiot publiczny lub podmiot prywatny w celu wykonania zadania realizowanego w interesie publicznym, mogą zostać przez ten organ lub podmiot ujawnione zgodnie z prawem Unii lub prawem państwa członkowskiego, któremu podlegają ten organ lub podmiot, dla pogodzenia publicznego dostępu do dokumentów urzędowych z prawem do ochrony danych osobowych na mocy RODO.

Organ wskazał również, iż w orzecznictwie wyrażony został pogląd, że tylko rejestr prowadzony przez właściwą okręgową izbę lekarską pełni zarówno funkcję informacyjną, jak też ochronną (wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 29 stycznia 2014 r., sygn. akt II SA/Wa 1819/13). Zaznaczył, że tworzenie i utrzymywanie rejestrów zarządzanych przez organy publiczne działające na podstawie obowiązujących i stosowanych przepisów, jest czymś zupełnie innym od wykorzystania danych pochodzących z publicznych rejestrów przez podmioty prywatne. Udostępnianie bowiem w ten sposób (na prywatnych portalach) danych osób fizycznych może nadawać im inne niż pierwotne znaczenie i w ten sposób powodować negatywne konsekwencje dla osób, których dane dotyczą. Podniósł, że jawność rejestru nie upoważnia do przetwarzania danych osobowych w nim zawartych w dowolnych celach i bez legitymowania się odpowiednią podstawą prawną dla takiego przetwarzania. Rejestry publiczne pełnią funkcję ochronną i nadają ramy przetwarzaniu znajdujących się w nich informacji w określonym kontekście i w wyraźnym celu.

Zdaniem organu przyjęcie poglądu, że dane zawarte w rejestrach publicznych mogłyby być w nieograniczony sposób wykorzystywane bez woli osób w nich ujętych do tworzenia baz danych przez podmiot prywatny realizujący aktywność komercyjną w Internecie, prowadziłoby w istotny sposób do wykluczenia możliwości ochrony osób, których dane figurują w tych rejestrach, spod regulacji dotyczących przetwarzania danych osobowych osób fizycznych. Organ stwierdził zatem, że w obecnym stanie prawnym możliwość przetwarzania danych osobowych Skarżącego przez Spółkę na portalu z uwagi na ujawnione w publicznych rejestrach dane osobowe Skarżącego, nie znajduje uzasadnienia. Prawo do ponownego wykorzystywania danych podlega bowiem ograniczeniu ze względu na prywatność osoby fizycznej, w tym ochronę danych osobowych.

W odniesieniu do interesów i podstawowych praw i wolności Skarżącego, Organ zauważył również, że sam fakt udostępniania na stronie internetowej Spółki informacji na temat Skarżącego dotyczących jego aktywności zawodowej oraz fakt, iż jako lekarz wykonuje on zawód zaufania publicznego, nie oznacza, iż Skarżący pozbawiony jest ochrony jego interesów i podstawowych praw i wolności. Z uwzględnieniem przytoczonych już wyżej przepisów Konstytucji RP, pamiętać również należy, że zgodnie z art. 51 ust. 4 Konstytucji RP, każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą. W wyroku z dnia 2 sierpnia 2018 r., sygn. II SA/Wa 1997/17, Wojewódzki Sąd Administracyjny w Warszawie zważył, iż: "samo poinformowanie przez administratora danych o uprawnieniach korekcyjnych względem zebranych danych - bez ustalenia, czy korekta ta jest faktycznie możliwa - nie stanowi o zgodności z prawem przetwarzania danych. Stanowi jedynie o wypełnieniu obowiązku informacyjnego wobec osoby, której dane są przetwarzane".

Zdaniem Prezesa UODO, Skarżący, wobec spoczywającego na nim jako lekarzu obowiązku zachowania w tajemnicy informacji związanych z leczeniem, a uzyskanych w związku z wykonywaniem zawodu, w pewnych przypadkach (kiedy jedyna możliwość wykazania niepoprawności danych prowadziłaby do naruszenia tajemnicy lekarskiej) jest pozbawiony rzeczywistej możliwości wykazania Spółce merytorycznej niepoprawności udostępnianych danych osobowych przedstawianych w opiniach na stronie internetowej serwisu. W tym kontekście chybiony jest - w ocenie organu - przedstawiony przez Spółkę w teście równowagi argument, iż skoro opinie o np. mechanikach mogą być rozpowszechniane w Internecie, to tym bardziej mogą i powinny być rozpowszechniane opinie na temat podmiotów leczniczych którym powierzamy swoje życie i zdrowie. Spółka w teście równowagi twierdzi też, że osoby, których dotyczą opinie mogą na nie odpowiedzieć lub je zgłosić. W odniesieniu do tajemnicy zawodowej lekarza - lekarze nie będą mieli takiej możliwości, aby nie naruszając swojej tajemnicy zawodowej i prawa pacjenta do prywatności, odnieść się do treści opinii lub skutecznie zgłosić wobec administratora w jaki sposób opinie mogą być nieprawdziwe czy nierzetelne. Nie ma więc tutaj sytuacji, w której zachodzi równość podmiotów korzystających ze swobody wypowiedzi w ramach strony internetowej Spółki. W ocenie Prezesa UODO, obowiązek zachowania tajemnicy lekarskiej ma zasadnicze znaczenie w przedmiotowej sprawie. Obowiązek ten modyfikuje bowiem wolność Skarżącego do wypowiedzi na tematy związane z leczeniem pacjentów, a tym samym modyfikuje możliwość korzystania z tego samego zakresu swobody wypowiedzi na portalu Spółki, co osoby komentujące pod profilem Skarżącego jako lekarza. .

W teście równowagi, w ramach analizy praw i wolności osoby, której dane dotyczą, Spółka wskazała, że przetwarzanie może mieć wpływ na prawo do czci - dobrego imienia - gdyż może zdarzyć się sytuacja, w której zamieszczone opinie będą naruszać te prawa, jak i przetwarzanie może, mieć wpływ na zarobki z prowadzonej działalności leczniczej - wielość negatywnych opinii może powodować, że potencjalni pacjenci będą rezygnować z usługi. Równocześnie jednak Spółka wskazała, że przetwarzanie może mieć korzystny wpływ na prawa i wolności osoby, której dane dotyczą, gdyż pozytywne opinie budują wiarygodność podmiotu medycznego, prawidłowa reakcja powoduje osłabienie skutku negatywnych komentarzy, a całkowity brak opinii może wzbudzać brak zaufania. Tak więc to sama Spółka stwierdziła, że zapewnienie przez nią możliwości publikacji opinii na jej stronie internetowej niesie największe ryzyko naruszenia interesów oraz praw i wolności osób o których opinie te są wystawiane. Spółka tworząc system opinii, których prawdziwości nie bada i nie jest ostatecznie w stanie zbadać, w odniesieniu do profili lekarzy, które to również nie są przez Spółkę weryfikowane co do prawidłowości przetwarzanych na nich danych, w nieuzasadniony sposób hierarchizuje lekarzy, uznając, że tylko wiele pozytywnych opinii na temat danego lekarza na stronie internetowej spółki może pozytywnie wpływać na jego działalność leczniczą.

Opisane przez Spółkę ryzyko - potencjalnie pozytywne i negatywne skutki publikowania opinii na jej stronie internetowej - nie zostało wyważone i Spółka nie jest w stanie sama jednoznacznie stwierdzić w teście równowagi, iż prawa i wolności osób, których dane dotyczą nie mają charakteru nadrzędnego wobec potencjalnych naruszeń przywoływanego przez nią prawa do czci, dobrego imienia.

Spółka domyślnie uznaje, że głównym przedmiotem prowadzonej przez nią działalności gospodarczej jest opiniowanie świadczeniodawców, jak sama wskazywała- im więcej opinii na jej stronie internetowej, tym większy generuje to ruch na stronie i tym samym większe są dochody z reklam dla Spółki. Informacje o świadczeniodawcach nie są udostępniane "samodzielnie", lecz umieszczane są one w kontekście funkcjonalności strony internetowej Spółki, polegającej na umożliwieniu dodawania opinii. W ocenie Prezesa UODO, Spółka nie przewidziała faktycznie żadnych realnych zabezpieczeń dla interesów, podstawowych praw i wolności osób, o których wystawiane są opinie. Co więcej, przedstawione przez nią w teście równowagi przyjęte środki ochrony mają w rzeczywistości charakter pozorny, gdyż Spółka nie ma możliwości weryfikacji prawdziwości i rzetelności opinii. Sam fakt, że Spółka może np. usuwać opinie zawierające wulgaryzmy lub usuwać opinie mające charakter spamu, a więc zamieszczane wielokrotnie z tego samego adresu IP, a także fakt, że istnieje możliwość zgłoszenia opinii nie jest wystarczający do stwierdzenia, że nie istnieje zagrożenie dla interesów, podstawowych praw i wolności osób, których dane dotyczą.

Prezes UODO, stwierdził brak skutecznego wykazania oparcia przetwarzania danych osobowych Skarżącego przez Spółkę na podstawie art. 6 ust. 1 lit. f RODO

Następnie, w odniesieniu do przetwarzania danych osobowych Skarżącego po [...] marca 2024 r., Spółka wskazała, iż publikacja danych osobowych Skarżącego stanowi materiał prasowy i nie mają do niej zastosowania wybrane przepisy RODO, w związku z wyjątkiem przewidzianym w art. 2 u.o.d.o. Wobec tego, Prezes UODO uznaje za zasadne zbadanie, czy w przedmiotowej sprawie, w odniesieniu do publikacji na stronie [...] zastosowanie będzie miał wyjątek przewidziany w art. 2 u.o.d.o.

W tym miejscu należy Prezes UODO podkreślił ,że pomimo braku zmiany treści i formy informacji dotyczących Skarżącego, Prezes UODO zauważył, iż Spółka zmierza w kierunku uznania, że to na skutek samego zarejestrowania tytułu prasowego i wpisu Spółki do rejestru dzienników i czasopism informacje dotyczące Skarżącego opublikowane na stronie internetowej Spółki stały się automatycznie materiałem prasowym, a tym samym przetwarzanie danych Skarżącego podlega wyjątkowi przewidzianemu w art. 2 u.o.d.o. z 2018, zgodnie z którym do działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu prawa prasowego, nie stosuje się przepisów art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 210 oraz art. 30 RODO.

Zgodnie z regulaminem dostępnym na stronie internetowej Spółki, który wszedł w życie [...] czerwca 2024 r., Spółka jako wydawca świadczy usługi informacyjne polegające na publikowaniu materiałów prasowych dotyczących zakładów opieki zdrowotnej, świadczeniodawców, lekarzy oraz innych podmiotów związanych z usługami medycznymi (zwanych w tym regulaminie "Podmiotami") a w szczególności rozpowszechnia teksty informacyjne o nazwie, adresie, zakresie świadczonych usług, godzinach pracy i lokalizacji podmiotów oraz rozpowszechnia teksty jnformacyjne o tematyce związanej z ochroną zdrowia, organizacją medycyny, zasadach świadczenia usług medycznych i podobnych. Zgodnie z regulaminem, Spółka jako wydawca umożliwia swoim usługobiorcom publiczne wyrażanie w jej serwisie opinii o Podmiotach oraz komentarzy o opublikowanych materiałach prasowych.

Prezes UODO nie zakwestionował działalności Spółki jako wydawcy zarejestrowanego tytułu prasowego "[...]" w formie tygodnika wydawanego w formie internetowej pod adresem [...] Niemniej w ocenie organu rejestracja tytułu prasowego przez jakikolwiek podmiot nie powoduje automatycznego przekształcenia wszystkich opublikowanych przez ten podmiot treści, w tym opublikowanych jeszcze przed wpisem do rejestru dzienników i czasopism, w materiały prasowe. W sposób oczywisty na stronie prowadzonego przez . Spółkę serwisu internetowego można wyodrębnić część zajmującą się działalnością dziennikarską, na której zamieszczane są materiały prasowe w postaci artykułów i wpisów na blogu dotyczących szeroko pojętych kwestii związanych ze zdrowiem natomiast druga część stanowi bazę danych o lekarzach i innych podmiotach wykonujących działalność leczniczą. Powyższe rozgraniczenie stosuje również Spółka, o czym świadczy zapis § 6 pkt. 2 Regulaminu z [...] czerwca 2024 r.: ,,[w]szelkie udostępnione w Serwisie utwory podlegają ochronie wynikającej z przepisów ustawy o prawie autorskim i prawach pokrewnych. W zakresie, w jakim udostępnione informacje stanowią bazę danych, podlegają one ochronie wynikającej z ustawy o ochronie baz danych." Według Organu powyższy zapis wskazuje na rozróżnienie przez samą Spółkę dwóch dziedzin, którym poświęcono serwis internetowy. Również sam układ strony internetowej Spółki wskazuje na takie rozróżnienie, gdyż na stronie startowej [...] znajdują się wyraźnie wizualnie i funkcjonalnie wyodrębnione części: wyszukiwarka w nagłówku oraz poniżej części opisane jako "Znajdź placówkę NFZ z najkrótszą kolejką", "Najnowsze artykuły" i "Najczęściej czytane", "Leczenie prywatne" oraz "Najnowsze komentarze". W stopce strony internetowej dostępne są zaś zakładki: "artykuły", "polityka prywatności", "regulamin", "blog" i "kontakt".

Na powyższe wskazuje także przytoczona już wyżej treść § 2 ust. 1 pkt 1 Regulaminu z [...] czerwca 2024 r., z którego wynika, że Wydawca (czyli Spółka) "świadczy usługi informacyjne, polegające na publikowaniu materiałów prasowych dotyczących zakładów opieki zdrowotnej, świadczeniodawców, lekarzy oraz innych podmiotów związanych z usługami medycznymi (dalej zwanych Podmiotami) a w szczególności rozpowszechniania tekstów informacyjnych o Podmiotach, w szczególności: o nazwie, adresie, zakresie świadczonych usług, godzinach pracy i lokalizacji". Natomiast jak wynika z § 11 ust. 1 i 2 Regulaminu z [...] czerwca2024 r. "dane o Podmiotach pochodzą z publicznych rejestrów, w szczególności prowadzonych przez Narodowy Fundusz Zdrowia (w tym dostępnych pod adresem: https://api.nfz.gov.pl/) i Centrum e-Zdrowia, oraz od użytkowników Serwisu. Usługodawca nie ponosi odpowiedzialności za prawdziwość, prawidłowość, kompletność i aktualność danych przetwarzanych w publicznych rejestrach".

Wobec powyższego zdaniem Prezesa UODO, zasadne było zbadanie czy informacje opublikowane pod adresem [...] a więc informacje: w zakładce lekarze - Izba Lekarska w [...] -D. F. o treści: "D. F. ma tytuł lekarza [...]. Jego numer prawa wykonywania zawodu [...]. Swoją obecną działalność leczniczą otworzył dnia [...]- 06-2021, działalność ma numer NIP: [...]." stanowią materiał prasowy, a więc podlegają wyłączeniu przewidzianemu w art. 2 u.o.d.o. Zgodnie z definicją w art. 7 ust. 2 pkt. 4 prawa prasowego, materiałem prasowym jest każdy opublikowany lub przekazany do opublikowania w prasie tekst albo obraz o charakterze informacyjnym, publicystycznym, dokumentalnym lub innym, niezależnie od środków przekazu, rodzaju, formy, przeznaczenia czy autorstwa.

W pierwszej kolejności Prezes UODO zwrócił uwagę, że dostęp do informacji na temat Skarżącego jest możliwy na stronie internetowej Spółki przy wykorzystaniu wyszukiwarki lekarzy. Spółka w części serwisu internetowego [...] w zakładce "Lekarze" (bezpośredni link: [...]) stworzyła bazę danych o lekarzach pogrupowanych na regiony pod względem Izby Lekarskiej do której lekarze przynależą. Serwis pozwala na wyszukanie informacji o konkretnym lekarzu oraz umożliwia dodanie opinii na jego temat. Informacje na temat Skarżącego nie są dostępne w zakładkach strony "artykuły" ani "blog". Tym samym funkcjonalność i układ strony internetowej Spółki nie wskazują na zamiar umieszczenia informacji na temat Skarżącego w zakładkach strony internetowej zawierających w domyśle teksty o charakterze materiałów prasowych.

Prezes UODO ustalił, iż na stronie internetowej [...] w ramach Rejestru Podmiotów Wykonujących Działalność Leczniczą, na dzień wpisu Spółki do rejestru dzienników i czasopism ([...] marca 2024 r.) w księdze rejestrowej nr [...] dostępne były wszystkie dane Skarżącego udostępnione przez Spółkę na jej stronie internetowej: rubryka 2.2- kod organu rejestrowego: [...] - Okręgowa Izba Lekarska w [...]; rubryka 4 - imię i nazwisko oraz tytuł zawodowy: D. F. Lekarz [...], rubryka 6 - numer prawa wykonywania zawodu: [...]; rubryka 8 - numer identyfikacji podatkowej: [...]; rubryka 14.1 - data rozpoczęcia działalności leczniczej: 2021-06-[...], a także dodatkowe dane, których Spółka nie udostępniła. Tym samym wszystkie informacje dostępne na stronie internetowej Spółki pod adresem [...] stanowią wyłącznie powielenie wybranych informacji dostępnych w księdze rejestrowej RPWDL nr [...] Na wyżej wskazanej stronie internetowej Spółki nie znajdują się żadne dodatkowe informacje na temat Skarżącego, ponad te, które dostępne są w RPWDL.

Organ zauważył także, iż po wpisie Spółki do rejestru dzienników i czasopism nie dokonano zmian na stronie internetowej Spółki, zwłaszcza w części zawierającej dane osobowe Skarżącego, wskazujących na jej nowy charakter. Nie zmienił się układ strony, nie zmieniła się funkcjonalność wyszukiwarki, która nadal działa jako w pierwszej kolejności wyszukiwarka przychodni, a następnie wyszukiwarka lekarzy. Co więcej, nie jest możliwe skorzystanie z wyszukiwarki strony internetowej Spółki w celu odnalezienia jakiegokolwiek artykułu lub wpisu na blogu. Artykuły prasowe na stronie Spółki, w odróżnieniu od informacji o lekarzach, mają podane daty publikacji, daty aktualizacji, tytuły, treść o oczywistym charakterze informacyjnym i publicystycznym, możliwe jest ich dalsze udostępnienie w mediach społecznościowych - takiej możliwości nie ma w przypadku profili lekarzy, a pod artykułem istnieje możliwość dodawania komentarzy (nie zaś opinii, tak jak w przypadku profili lekarzy). Rozróżnienie między częścią strony internetowej Spółki zawierającą materiały o charakterze prasowym oraz pozostałymi elementami strony, które nie mają takiego charakteru, jest więc oczywiste. Prezes UODO zwraca uwagę, iż zawarta w art. 7 ust. 2 pkt 4 prawa prasowego definicja materiału prasowego ma szeroki zakres, niemniej nie jest możliwe rozumienie jej w sposób nieograniczony, nielogiczny i sprzeczny z przeznaczeniem prawa prasowego.

Prezes UODO stwierdził, iż informacje na temat Skarżącego udostępnione na stronie internetowej Spółki nie spełniają definicji materiału prasowego. Materiałem prasowym jest opublikowany lub przekazany do opublikowania w prasie tekst lub obraz. Na stronie internetowej Spółki dostępny jest tekst na temat Skarżącego, natomiast został on udostępniony przez Spółkę jeszcze przed rozpoczęciem przez nią działalności w charakterze prasy. Sam fakt, że informacje na temat Skarżącego nie zostały usunięte po wpisie Spółki do rejestru dzienników i czasopism, nie oznacza, iż zostały one opublikowane lub przekazane do opublikowania w prasie. Pojęcie "prasa" zgodnie z art. 7 ust. 2 pkt 1 prawa prasowego oznacza w szczególności publikacje periodyczne opatrzone stałym tytułem albo nazwą, numerem bieżącym i datą, prasą są także wszelkie istniejące i powstające w wyniku postępu technicznego środki masowego przekazywania, upowszechniające publikacje periodyczne. Tytuł prasowy "[...]" został zarejestrowany jako tygodnik. Jednak Spółka nie wskazała na przykład pod jakim numerem bieżącym lub datą jej tygodnika został opublikowany jej materiał prasowy na temat Skarżącego, ani nawet kto dokonał redakcji, utworzenia i przygotowania tego materiału prasowego. Definicja materiału prasowego wymaga również, by miał on charakter "informacyjny, publicystyczny, dokumentalny lub inny". Otwarta formuła charakteru materiału prasowego nie może oznaczać jednak, iż każdy tekst opublikowany w prasie będzie uznawany za materiał prasowy. Jak wskazano już wyżej, udostępniane dane o lekarzach, w tym o Skarżącym, są tożsame z informacjami zamieszczonymi w Rejestrze Praktyk Zawodowych Lekarzy i Lekarzy [...] i nie stanowią materiału prasowego wymagającego inwencji dziennikarza, jak również nie noszą znamion autorskiego wkładu w udostępnionej informacji. Udostępnione przez Spółkę dane Skarżącego nie stanowią fragmentu artykułu czy materiału prasowego, wypowiedzi dziennikarskiej czy informacji prasowej, w której dane osobowe Skarżącego stanowiłyby element dłuższego tekstu informacyjnego na temat np. prowadzonej przez niego działalności zawodowej. Dane Skarżącego publikowane przez Spółkę zostały pobrane z publicznego rejestru i stanowią jedynie wizytówkę - profil Skarżącego - lekarza w bazie lekarzy utworzonej przez Spółkę. Z tego powodu Organ kwestionuje możliwość zakwalifikowania udostępnianych informacji o Skarżącym jako materiał prasowy, podlegający wyłączeniu stosowania przepisów RODO, zgodnie z art. 2 ust. 1 u.o.d.o. Zgodnie z motywem 153 RODO, przetwarzanie danych osobowych jedynie do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej powinno podlegać wyjątkom lub odstępstwom od niektórych przepisów rozporządzenia, jeżeli jest to niezbędne, by pogodzić prawo do ochrony danych osobowych z prawem do wolności wypowiedzi i informacji, przewidzianymi w art. 11 Karty Praw Podstawowych Unii Europejskiej z dnia 7 grudnia 2000 r. (Dz.Urz.UE z 2016 r" C 202, s. 1, dalej także: ,,KPP).

W ocenie Prezesa UODO, udostępnione na stronie internetowej Spółki informacje na temat Skarżącego nie służą realizacji prawa do informacji chronionego przez art. 11 KPP, ponieważ nie zostały one wytworzone przez Spółkę, nie zostały one przez nią po raz pierwszy odkryte czy też ustalone i opublikowane w źródłach publicznie dostępnych. Informacje na temat Skarżącego były wcześniej dostępne w publicznych rejestrach, są to informacje jawne i utrwalone w sposób i w zakresie przewidzianymi przepisami prawa. Tym samym ich ewentualne usunięcie ze strony Spółki nie wpływa na realizację prawa do informacji, gdyż informacje te dostępne są już m.in. w RPWDL.

Podobnie, udostępnione na stronie internetowej Spółki informacje na temat Skarżącego nie służą realizacji prawa do wolności wypowiedzi, gdyż nie noszą one żadnych cech autorskiej wypowiedzi czy też opinii. Zgodnie z art. 2 ust. 1 pkt. 1 ustawy z dnia 27 lipca 2001 r. o ochronie baz danych (t.j. Dz. U. z 2024 r. poz. 1769) baza danych oznacza zbiór danych lub jakichkolwiek innych materiałów i elementów zgromadzonych według określonej systematyki lub metody, indywidualnie dostępnych w jakikolwiek sposób, w tym środkami elektronicznymi, wymagający istotnego, co do jakości lub ilości, nakładu inwestycyjnego w celu sporządzenia, weryfikacji lub prezentacji jego zawartości. Zgodnie natomiast z art. 3 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (t.j. Dz. U. z 2025 r. poz. 24 z późn. zm.) zbiory, antologie, wybory, bazy danych spełniające cechy utworu są przedmiotem prawa autorskiego, nawet jeżeli zawierają niechronione materiały, o ile przyjęty w nich dobór, układ lub zestawienie ma twórczy charakter, bez uszczerbku dla praw do wykorzystanych utworów. W ocenie Prezesa UODO, w szczególności wobec stanowiska Spółki zawartego w Regulaminie z [...] czerwca 2024 r. w § 11, w którym Spółka podaje źródło danych o Podmiotach oraz wskazuje, że "nie ponosi odpowiedzialności za prawdziwość, prawidłowość, kompletność i aktualność danych przetwarzanych w publicznych rejestrach" baza danych o Podmiotach udostępniana w serwisie [...] stanowi kalkę danych udostępnianych w publicznych rejestrach i nie nosi znamion twórczego charakteru. Tym samym baza danych Podmiotów, wśród których udostępniane są dane osobowe Skarżącego nie podlega ochronie wynikającej z ustawy o prawach autorskich i prawach pokrewnych. Przepisy RODO nie zakazują przetwarzania danych osobowych w komercyjnie utworzonych bazach danych, niemniej dysponent takiej bazy jako administrator przetwarzanych danych musi stosować się do obwarowań prawnych nałożonych ww. rozporządzeniem. Dane osobowe zebrane w bazie danych muszą więc być przetwarzane w oparciu o co najmniej jedną przesłankę wynikającą z art. 6 ust. 1 RODO lub art. 9 ust. 2 RODO w przypadku szczególnych kategorii danych, jak również przetwarzane zgodnie z zasadami zawartymi w art. 5 ust. 1 RODO. Administrator musi mieć także na względzie prawa osób fizycznych, których dane przetwarza, w szczególności prawo do informacji (art. 13-15 RODO), do bycia zapomnianym (art. 17 RODO) czy też sprzeciwu wobec przetwarzania (art. 21 RODO).

Na marginesie Prezes UODO zwrócił uwagę, że art. 38 prawa prasowego przewiduje odpowiedzialność za naruszenie spowodowane opublikowaniem materiału prasowego, którą ponoszą autor, redaktor lub inna osoba, którzy spowodowali opublikowanie tego materiału i nie wyłącza to odpowiedzialności wydawcy, wobec czego przywołane wyżej postanowienie w Regulaminie z [...] czerwca 2024 r. w § 11 również świadczy o tym, że Spółka nie traktuje opublikowanych przez siebie danych osobowych na profilach lekarzy jako materiałów prasowych.

Organ zauważył również, że przymiotu prasy nie przysparza publikowanym w serwisie [...] informacji z danymi osobowymi lekarzy, w tym Skarżącego, umożliwienie użytkownikom serwisu wyrażania opinii i komentowania usług świadczonych przez lekarza. Prezes UODO podzielił stanowisko wyrażone w orzecznictwie, zgodnie z którym "Inny jest status prawny części redakcyjnej portalu, a inny części zawierającej komentarze internautów, stanowiącej tzw. forum internetowe nawet, jeżeli komentarze te zostały wywołane artykułem prasowym umieszczonym przez autora portalu. Tego typu wypowiedzi, komentarze anonimowych autorów nie mogą być uznane za materiał prasowy w rozumieniu art. 7 ust. 2 pkt 1 i 4 i 5 ustawy z 1984 r. - Prawo prasowe" (por. Wyrok Sądu Najwyższego z 24.11.2017 r" I CSK 73/17, OSNC-ZD 2018, nr 4, poz. 61). "Stworzenie samej możliwości komentowania bieżących zdarzeń, zabierania głosu w dyskusji toczącej się na tematy poruszane w prasowej działalności portalu, nie może być postrzegane w kategoriach publikowania materiałów prasowych. Trudno również uznać, aby intencją uczestników dyskusji było coś więcej niż zabranie głosu w trwającej debacie, a przez to ukazanie się ich komentarzy na forum, nie zaś publikowanie ich treści w rozumieniu Prawa prasowego" (por- Wyrok Sądu Rejonowego w [...] z [...].12.2008 r., [...], LEX nr [...]).

W związku z powyższym, Prezes UODO stwierdził, iż informacje udostępniane przez Spółkę pod adresem: [...] nie stanowią materiału prasowego, tym samym nie może mieć do nich zastosowania wyjątek przewidziany w art. 2 u.o.d.o. z 2018 i nie mogą mieć zastosowania wyłączenia stosowania RODO. Informacje opublikowane pod adresem [...] podlegają w pełnym zakresie ocenie pod kątem zgodności z przepisami RODO. Tak jak ustalono już wyżej, Spółka nie wykazała skutecznie, aby przetwarzała dane osobowe Skarżącego na podstawie art. 6 ust. 1 lit, f RODO i nie wykazała zgodności przetwarzania z prawem na innej podstawie prawnej. Prezes UODO stwierdza, że dane osobowe Skarżącego są udostępniane przez Spółkę pod adresem: [...] bez podstawy prawnej.

Zgodnie z art. 17 ust.1 lit. d RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli dane osobowe były przetwarzane niezgodnie z prawem. Spółka w związku z otrzymanym od Skarżącego [...] stycznia 2024 r. żądaniem, powinna była usunąć dane osobowe Skarżącego. Dane Skarżącego publikowane są przez Spółkę w komercyjnej bazie danych, a nie w materiale prasowym, w związku z czym Spółka nie może skorzystać z wyłączenia stosowania prawa do usunięcia danych osobowych zawartego w art. 17 ust. 3 lit. a RODO, zgodnie z którym art. 17 ust. 1 i 2 nie ma zastosowania w zakresie w jakim przetwarzanie jest niezbędne do korzystania z prawa do wolności wypowiedzi i informacji. To Skarżący, jako lekarz i osoba prowadząca działalność gospodarczą powinien zdecydować, czy chce informować społeczeństwo o prowadzonej działalności w sposób inny, niż wymagają tego przepisy szczególne, a jeżeli tak to od jego woli, jako osoby, której dane dotyczą, powinno zależeć w jakiej przestrzeni publicznej, portalu internetowym udostępnić swoje dane.

Prawo społeczeństwa do informacji o tym, czy Skarżący wykonuje zawód lekarza zostało zagwarantowane przepisami u.o.z.l. i ustawy o działalności leczniczej.

Odnosząc się do ostatniego zarzutu Skarżącego - braku spełnienia wobec niego obowiązku informacyjnego - Spółka wskazała, że wypełniła ten obowiązek [...] sierpnia 2023 r., [...] stycznia 2024 r. oraz [...] stycznia 2024 r. poprzez przesłanie na adres e-mail Skarżącego treści klauzuli informacyjnej oraz poprzez wskazanie mu adresu URL pod którym jest ona opublikowana. Spółka nie przekazała dowodu na wypełnienie wobec Skarżącego obowiązku informacyjnego [...] sierpnia 2023 r. Prezes UODO zwraca uwagę, że zgodnie z art. 5 ust. 2 RODO, to na administratorze spoczywa obowiązek przestrzegania przepisów art. 5 ust. 1 RODO (takich jak- obowiązek przetwarzania zgodnego z prawem, rzetelnego i w sposób przejrzysty dla osoby, której dane dotyczą - lit. a) i administrator musi być w stanie wykazać ich przestrzeganie. Spółka nie wykazała w przedmiotowej sprawie, aby wypełniła wobec Skarżącego skutecznie obowiązek informacyjny wynikający z art. 14 RODO w rozsądnym terminie, najpóźniej w terminie miesiąca od rozpoczęcia przetwarzania danych osobowych Skarżącego (czyli zgodnie z twierdzeniami Spółki - miesiąca sierpnia 2023 r.). Prezes UODO zauważa również, że Spółka składała w przedmiotowej sprawie niekonsekwentne wyjaśnienia dotyczące samego pozyskania danych osobowych Skarżącego- Spółka twierdziła, że pozyskała dane Skarżącego [...] sierpnia 2023 r. w zakresie imienia, nazwiska i prywatnego adresu email Skarżącego, w pozostałym zakresie dane Skarżącego miały być pozyskane [...] sierpnia 2023 r., kiedy to Skarżący wysłał pierwszą wiadomość do Spółki [...] stycznia 2024 r., a więc po dacie wskazanej przez Spółkę, jako pierwsze pozyskanie danych. Okoliczność ta świadczy o tym, że Spółka nie ma żadnej kontroli nad przetwarzanymi danymi osobowymi, nie rejestruje prawidłowo operacji przetwarzania i nie jest w stanie skutecznie wykazać zgodności swoich działań z przepisami RODO, twierdzenia Spółki dotyczące pozyskania danych osobowych Skarżącego, zwłaszcza w zakresie adresu e-mail, a także twierdzenia dotyczące wypełnienia obowiązku informacyjnego nie mogły zostać przez Organ uznane za wiarygodne.

Prezes UODO poinformował, że wydając decyzję administracyjną, zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jest to zgodne z ugruntowanym w doktrynie stanowiskiem, zgodnie z którym "organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (...). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają" (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego M. Jaśkowska, A. Wróbel, Lex., el/2012). Jednocześnie tut. Organ podzielił stanowisko wyrażone przez Naczelny Sąd Administracyjny w wyroku z dnia 25 listopada 2013 r., wydanym w sprawie o sygn. akt I OPS 6/1, w którym ww. Sąd wskazał cyt.: "W postępowaniu administracyjnym, regulowanym przepisami Kodeksu postępowania administracyjnego, zasadą jest, że organ administracji publicznej załatwia sprawę przez wydanie decyzji, która rozstrzyga sprawę co do jej istoty, według stanu prawnego i faktycznego na dzień wydania decyzji".

Prezesa UODO zaznaczył także, że cena dokonywana przez w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. W przedmiotowej sprawie ustalono, że Spółka przetwarza bez podstawy prawnej dane osobowe Skarżącego i Spółka nie spełniła jego żądania usunięcia danych osobowych ani nie wykazała, aby wypełniła wobec Skarżącego obowiązek informacyjny w terminie miesiąca od rozpoczęcia przetwarzania jego danych osobowych.

Mając powyższe na uwadze Prezes UODO, uznał za zasadne skorzystanie z przysługującego mu na mocy art. 58 ust. 2 lit. c RODO uprawnienia naprawczego, polegającego na nakazaniu Spółce spełnienia żądania Skarżącego, wynikającego z prawa przysługującego mu na mocy art. 17 ust. 1 RODO, poprzez usunięcie danych osobowych Skarżącego w zakresie: imienia, nazwiska, specjalizacji, numeru prawa wykonywania zawodu, daty rozpoczęcia działalności leczniczej, izby lekarskiej do której przynależy oraz numeru NIP przetwarzanych za pośrednictwem strony internetowej dostępnej pod adresem: [...].

Pismem z [...] kwietnia 2025 r. [...] spółka z o.o. z siedzibą w [...], zastępowana przez profesjonalnego pełnomocnika, złożyła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa UODO z dnia [...] marca 2025 r. nr [...].

Na podstawie art. 57 § 1 pkt 3 p.p.s.a. zaskarżonej decyzji zarzuciła:

Naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy:

naruszenie art. 7, art. 10 § 1 , art. 77 § 1 i art. 80 k.p.a., polegające na: niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie przejawiającej się w uznaniu, że Skarżący powinien zrealizować prawo do bycia zapomnianym poprzez uznanie sprzeciwu D. F., pomimo, że przetwarzanie danych jest dla Skarżącego niezbędne do wykonywania prawnie uzasadnionego interesu, co Skarżący wyraźnie wskazał w odpowiedzi na żądanie usunięcia danych z dnia [...] stycznia 2024 roku, a co doprowadziło do uznania, że Skarżący dopuścił się naruszenia przepisów o ochronie danych osobowych (art. 17 RODO) brak wystarczającego dokonania oględzin strony www Spółki, bądź też wezwania strony do uzupełnienia materiału dowodowego, a w konsekwencji brak uwzględnienia okoliczności, w której możliwość publikowania i odpowiadanie na opinie na stronie Administratora dostępna jest również dla podmiotów ocenianych, bez konieczności logowania się, wybiórczą i arbitralną analizę uzasadnionego interesu administratora, polegającą na pominięciu ustaleń testu równowagi strony skarżącej, w odniesieniu do przetwarzania danych osobowych, dokonując nieprawidłowego wyważenia, nadmiernie chroniąc interes lekarza (dotyczący danych już jawnych), a niedostatecznie doceniając wagę prawa obywateli do informacji i ułatwionego dostępu do danych o opiece zdrowotnej, co w konsekwencji nakazania mu usunięcia danych w oparciu o art. 58 ust. 2 RODO, jednocześnie organ potraktował materiał dowodowy w sposób wybiórczy, bez uwzględnienia kontekstu jakim jest pełnienie przez p. D. F. zawodu zaufania publicznego, a także dowolną i nie znajdującą oparcia w praktyce funkcjonowania periodyków internetowych, interpretację tego jakie materiały mogą korzystać z tzw. wyjątku prasowego.

- przekroczeniu granic swobodnej oceny dowodów i nieuprawnione przyjęcie, że skarżąca spółka nie wykazała niezbędności (potrzeby) przetwarzania danych osobowych, pomimo że z materiału dowodowego wynika, że Spółka wskazywała w wyjaśnieniach wyczerpująco i szczegółowo, jakie względy przemawiają za słusznością dalszego przetwarzania danych osobowych,

- pominięcie okoliczności, że w przypadku skarżącego, jego dane (poza adresem email) pochodzą z Rejestru Praktyk Zawodowych, prowadzonego przez Centrum e- Zdrowia: [...] publikowane dane są okresowo aktualizowane informacjami zawartymi w Rejestrze dostępnymi do pobrania np. na stronie [...], przy jednoczesnym uznaniu przez Urząd, że dane nie różnią się od danych zawartych w publicznym rejestrze, braku sprecyzowania jakie prawa i wolności skarżącego p. D. F. zostały zagrożone,

- brak dokonania ustaleń czy w ocenianej sytuacji faktycznej istnieje dysproporcja sił, przy jednoczesnym założeniu a priori, że dysproporcja istnieje i dokonanie oceny na niekorzyść skarżącej spółki, bez uwzględnienia specyfiki sprawy, przyjęcie, że istnieje rażąca dysproporcja pomiędzy prawami administratora(spółki) i interesem ekonomicznym spółki, a prawami lekarza, którego dane zamieszczono, podczas, gdy osoba, której dane zamieszczono może odnosić się do treści opinii na portalu w takim zakresie jak oceniający świadczone usługi,

- brak odniesienia się do kontekstu danej sprawy, przy jednoczesnej analizie działalności całej spółki, a nie tylko celów i zakresu portalu [...] brak wystarczającego zbadania sprawy, a przez to wywiedzenie błędnych wniosków w zakresie aktualizacji i weryfikacji, a także sposobu realizacji celu wskazanego przez spółkę na podstawie własnej, wyrwanej z kontekstu sprawy analizy Regulaminu serwisu,

- brak wezwania administratora do złożenia wyjaśnień w zakresie sposobu realizacji deklarowanych celów, przy jednoczesnym arbitralnym przyjęciu, że "Spółka nie weryfikowała więc przed udostępnieniem określonych informacji (...) i nie zmierzała do aktywnego badania prawdziwości udostępnienia informacji", który to zarzut został postawiony w oderwaniu od stanu faktycznego sprawy, a także uznaniu, że spółka nie działa w interesie publicznym.

naruszenie art. 105 § 1 k.p.a., poprzez brak zastosowania przepisu i bezzasadne prowadzenie postępowania administracyjnego zainicjowanego skargą D. F. z dnia [...] lutego 2025 roku, podczas gdy skarżony Organ nie miał podstaw do prowadzenia przedmiotowego postępowania z uwagi na niepodleganie przez Skarżącego w zakresie działalności portalu [...] przepisom RODO, z uwagi na jego profil tj. tytuł prasowy wpisany do rejestru dzienników i czasopism i tym samym istniały przesłanki do umorzenia postępowania jako bezprzedmiotowego.

art. 68 ust. 1 w związku z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (dalej jako u.o.d.o.) poprzez jego niezastosowanie polegające na braku przeprowadzenia postępowania kontrolnego, podczas gdy istniała potrzeba uzupełnienia dowodów,

art. 58 ust. 2 RODO poprzez jego niewłaściwe zastosowanie i nakazanie Skarżącemu usunięcia danych, w wyniku przyjęcia przez Organ, że Skarżący dopuścił się naruszenia przepisów RODO.

II. Naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, a to:

art. 6 ust. 1 lit. f RODO w zw. art. 17 ust. 1 i 2 RODO poprzez jego błędną wykładnię, skutkującą uznaniem, że:

skarżąca spółka nie wykazała w wystarczającym stopniu niezbędności przetwarzanych danych osobowych do realizacji uzasadnionego interesu administratora, pomimo jego wykazania i spełnienia przez spółkę wymogów testu równowagi,

spółka nieprawidłowo dokonała wyważenia praw i wolności osób trzecich do informacji, przyznając prymat prawu do prywatności lekarza, przy czym z akt sprawy wynika, że spółka nie publikuje danych prywatnych, które naruszałyby sferę prywatności osoby pełniącej funkcję zawodu zaufania publicznego, a jedynie ponownie wykorzystuje dane sektora publicznego, osoba, której dane dotyczą nie doznaje zatem uszczerbku w sferze swojej prywatności,

nieprawidłowe uznanie, że osoba pełniąca zawód zaufania publicznego nie może rozsądnie Oczekiwać, że jej dane publiczne nie znajdą się na ogólnodostępnych portalach, w sytuacji, w której wymiana opinii na temat usług lekarskich w Internecie jest sytuacją powszechną i pożądaną z punktu widzenia jakości tych usług i badania dostępności, przy czym zakres przetwarzanych danych przez spółkę nie prowadzi do jakiegokolwiek naruszenia prywatności osób, których dane są przetwarzane.

art. 17 ust. 3 lit. a i c) RODO poprzez jego niezastosowanie, skutkujące bezpodstawnym przyjęciem, że Skarżący jest zobowiązany do usunięcia danych w warunkach art. 17 ust. 1 lit. a) RODO, mimo że Skarżący może przetwarzać dane do korzystania z prawa do wolności wypowiedzi i informacji tj. publikacji prasowej (art. 17 ust. 3 lit. a RODO w związku z art. 85 ust. 1 RODO w zw. z art. 7 ust. 2 pkt 4 ustawy z dnia 26 stycznia 1984 r.Prawo prasowe (dalej jako u.p.p).

naruszenie art. 6 ust. 1 RODO poprzez jego poprzez jego błędną wykładnię i bezpodstawne przyjęcie, że przepis ten ma zastosowanie w sprawie, podczas, gdy z treści art. 2 ust. 1 u.o.d.o. wynika, że stosowanie tego przepisu jest wyłączone w przypadku działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy z dnia 26 stycznia 1984 roku - Prawo prasowe (t. j.: Dz.U. z 2018 r., poz. 1914),

naruszenie art. 21 RODO poprzez jego błędną wykładnię i bezpodstawne przyjęcie, że przepis ten ma zastosowanie w sprawie, podczas, gdy z treści art. 2 ust. 1 u.o.d.o. wynika, że stosowanie tego przepisu jest wyłączone w przypadku działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy - Prawo prasowe, art. 2 ust. 1 u.o.d.o. w związku z art. 85 RODO w zw. poprzez ich niezastosowanie i błędne przyjęcie, że nie zachodzi wyłączenie stosowania przepisów RODO (tzw. wyjątek prasowy),

art. 52 ust. 4 ustawy z dnia 2 grudnia 2009 roku o izbach lekarskich (t. j.: Dz.U. z 2021 r., poz. 1342) poprzez jego niezastosowanie i pominięcie okoliczności, że informacje o osobach wykonujących praktykę zawód lekarza zaliczają się do informacji publicznej,

art. 106 ust. la ustawy z dnia 15 kwietnia 2011 roku o działalności leczniczej (t. j.: Dz.U. z 2025 r., poz. 450) poprzez jego niezastosowanie i tym samym pominięcie okoliczności jaką jest powszechna dostępność i jawność danych z rejestru podmiotów wykonujących działalność leczniczą,

art. 5 ust. 2 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (t. j.: Dz.U. z 2022 r., poz. 902) poprzez jego niezastosowanie polegające na braku uwzględnienia, że ograniczenie prawa do informacji publicznej ze względu na prywatność osoby fizycznej nie dotyczy informacji o osobach pełniących funkcje publiczne, mających związek z pełnieniem tych funkcji, w tym o warunkach powierzenia i wykonywania funkcji, podczas, gdy z szeregu przepisów prawnych i orzecznictwa sądów administracyjnych wynika, że osoby wykonujące zawód lekarza są osobami publicznymi,

art. 5 ust. 1 w związku z art. 11 ust. 5 ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego (t. j.: Dz.U. z 2023 r., poz. 1524) poprzez ich niezastosowanie i w konsekwencji nieuwzględnienie, iż wykorzystywanie powszechnie dostępnych danych zawartych w rejestrach publicznych jest dozwolone i nie uchybia przepisom o ochronie danych osobowych, art. 7 ust. 2 u.p.p. przez jego błędną wykładnię polegającą na:

przyjęciu, że publikacje zawarte na portalu będącym tytułem prasowym muszą nosić znamiona twórczego charakteru w rozumieniu przepisów o prawie autorskim, -sprzecznym z definicją materiału prasowego, wskazującym na to, że każda treść publikowana w prasie stanowi materiał prasowy, przy jednoczesnym pominięciu integralności tytułu prasowego,

brak uwzględnienia szerokiej definicji legalnej materiału prasowego, podczas gdy publikacja zweryfikowanych (pochodzących z oficjalnych rejestrów) danych o osobach wykonujących zawód publicznego zaufania w dziedzinie kluczowej dla społeczeństwa (ochrona zdrowia) ma z samej definicji i istoty, charakter informacyjny i mieści się w zakresie wskazanej definicji. Informacja prasowa nie musi to być forma tradycyjnego artykułu, gdyż jej celem może być dostarczenie informacji publicznie istotnej, co jest zadaniem prasy.

wykraczającym poza zakres kompetencji Organu arbitralnej decyzji czy dana forma (np. profil w bazie danych) "zasługuje" na miano materiału prasowego, ingerując w wolność prasy.

art. 4 ust. 4 ustawy z dnia 4 lutego 1994 roku o prawie autorskim i prawach pokrewnych (t. j.: Dz. U. z 2025 r., poz. 24 ze zm.) poprzez jego niezastosowanie i w konsekwencji pominięcie okoliczności, że publikacje zawarte na portalu będącym tytułem prasowym nie muszą nosić znamiona twórczego charakteru jako tzw. proste informacje prasowe,

naruszenie art. 14 i 15 ustawy z dnia z dnia 18 lipca 2002 roku świadczeniu usług drogą elektroniczną (t. j.: Dz. U. z 2024 r. poz. 1513 ze zm.) poprzez błędną wykładnię i przyjęcie, że Skarżący jako właściciel portalu ponosi odpowiedzialność za komentarze zamieszczane na portalu.

Wobec powyższych zarzutów wniosła o:

rozpoznanie sprawy w trybie uproszczonym na podstawie art. 119 pkt 1 i 2 p.p.s.a.,

stwierdzenie nieważności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2025 roku w całości - na podstawie art. 145 § 1 pkt 2 p.p.s.a. w zw. z art. 156 §1 pkt 2 k.p.a.,

ewentualnie z ostrożności procesowej, na wypadek nieuznania przez Sąd, że powyższe naruszenie prawa miało charakter rażący - uchylenie - na podstawie art. 145 § 1 pkt 1 lit a) i c) p.p.s.a. - zaskarżonej decyzji w całości.

zasądzenie - na podstawie art. 200 p.p.s.a. - kosztów postępowania według norm przepisanych,

wstrzymanie - na podstawie art. 61 § 2 pkt 1 p.p.s.a. - w całości wykonania przez Organ zaskarżonej decyzji, a w przypadku nieuwzględnienia tego wniosku o wstrzymanie w całości wykonania zaskarżonej decyzji przez Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 61 § 3 p.p.s.a. ze względu na prawdopodobieństwo naruszenia prawa przez zaskarżoną decyzję i wyrządzenia znacznej szkody majątkowej oraz niemajątkowej, w przypadku ostania się w obrocie prawnym skarżonej decyzji.

W szerokim uzasadnieniu skargi skarżąca rozwinęła swoje zarzuty.

W odpowiedzi na skargę organ wniósł no jej oddalenie.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

W świetle art. 1 § 1 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2024 r. poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym stosownie do § 2 art. 1 powołanej ustawy kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.

Skarga, nie zasługuje na uwzględnienie.

Zaskarżona decyzja Prezesa UODO nie narusza wskazanych w skardze przepisów postępowania. Organ w sposób wyczerpujący i wystarczający dla rozstrzygnięcia niniejszej sprawy zebrał niezbędny materiał dowodowy. Dokonana przez organ ocena tego materiału dowodowego nie była dowolna. Także uzasadnienie zaskarżonej decyzji spełnia wymogi art. 107 § 3 K.p.a. i nie pozostawia wątpliwości dlaczego organ rozstrzygnął sprawę w sposób w nim określony. Sąd nie dopatrzył się w tej sprawie również naruszenia przez organ przepisu art. 6 ust. 1 lit. f RODO. Organ prawidłowo bowiem uznał, że udostępnienie danych osobowych D. F. pod adresem [...] nastąpiło bez podstawy prawnej i skutkowało nakazaniem usunięcia tych danych.

Podkreślić należy, że aby można było mówić o zgodnym z prawem przetwarzaniu danych osobowych, w tym ich udostępnieniu (ujawnieniu), konieczne jest istnienie jednej z przesłanek legalizujących proces przetwarzania danych osobowych, o których mowa w art. 6 ust. 1 RODO. W świetle powołanego przepisu, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

W niniejszej sprawie bezsprzecznie uczestnik postępowa( na etapie postępowania administracyjnego skarżący) – D. F. nie wyraził zgody na przetwarzanie przez Spółkę swoich danych osobowych w zakresie imienia, nazwiska, specjalizacji, numeru prawa wykonywania zawodu, daty rozpoczęcia działalności leczniczej, izby lekarskiej do której należy oraz numeru NIP przez na stronie internetowej pod adresem [...] Portal internetowy "[...]", a po stronie Spółki nie zaistniała przesłanka z art. 6 ust. 1 lit. f RODO.

Wskazana powyżej przesłanka z art. 6 ust. 1 lit. f RODO stanowi przejaw uznania przez prawodawcę unijnego, że mogą zdarzyć się przypadki, gdy administrator nie może powołać się na zgodę, przepis ani realizację umowy, a mimo to powinien on mieć możliwość przetwarzania danych, ponieważ za dopuszczalnością przetwarzania przemawia "prawnie uzasadniony interes".

Przyjmuje się, że prawnie uzasadniony interes to interes wynikający (choćby pośrednio) z przepisów prawa, w sytuacji, gdy przepisy te nie regulują dopuszczalności przetwarzania danych, a jedynie wskazują jakiś interes (np. uprawnienie), do realizacji którego przetwarzanie danych jest potrzebne. W motywie 47 preambuły wyjaśniono, że "prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki, by spodziewać się, że może nastąpić przetwarzanie danych w tym celu". Przykładem tego rodzaju prawnie uzasadnionego interesu jest - wskazany w motywie 47 in fine preambuły - cel w postaci marketingu bezpośredniego. Natomiast w motywie 48 preambuły wskazano, że "administratorzy, którzy są częścią grupy przedsiębiorstw lub instytucji powiązanych z podmiotem centralnym, mogą mieć prawnie uzasadniony interes w przesyłaniu danych osobowych w ramach grupy przedsiębiorstw do wewnętrznych celów administracyjnych, co dotyczy też przetwarzania danych osobowych klientów lub pracowników".

Podkreślenia wymaga, że wskazana podstawa dopuszczalności przetwarzania danych osobowych nie ma charakteru bezwarunkowego, jest skonstruowana jako mechanizm ważenia interesów. Na jednej szali nakazuje umieścić prawnie uzasadniony interes administratora danych (lub strony trzeciej), a na drugiej - wymagające ochrony podstawowe prawa i wolności osoby, której dane dotyczą.

Jeżeli wynik tego ważenia interesów będzie wskazywał, że za przeważające należy uznać wymagające ochrony prawa podmiotu danych, to administrator nie powinien opierać przetwarzania danych na omawianej tu podstawie prawnej.

W analizowanym przypadku strona skarżąca w postępowaniu prowadzonym przez Prezesa UODO wskazała, że wyważyła uzasadniony interes administratora danych oraz wymagające ochrony podstawowe prawa i wolności osoby, której dane osobowe przetwarzała. Wskazano bowiem na przeprowadzony test równowagi. Jako swój prawnie uzasadniony interes Spółka wskazała: budowanie portalu informacyjnego i generowanie przychodu z reklam. Jako prawnie uzasadniony interes innych osób realizowany przez Spółkę wskazano: ułatwianie pacjentom uzyskania informacji w bardziej przystępny i szybki sposób oraz możliwość zapoznania się z opiniami na temat świadczeniodawców w celu wyboru świadczeniodawców na najwyższym poziomie. Spółka wskazała, że publikowanie informacji adresowych realizuje prawo dostępu do informacji, zaś publikowanie opinii realizuje prawo wolności słowa oraz prawo dostępu do informacji. Spółka uznała, że przetwarzanie jest niezbędne, gdyż stworzenie bazy danych jest osią jej działalności gospodarczej i jest niezbędne dla funkcjonowania Spółki. Niezbędna jest kompletna i aktualna baza danych, tak żeby pacjenci mieli dostęp do wiarygodnych informacji. Niezbędne jest także publikowanie opinii, gdyż jest to wartość pożądana i oczekiwana społecznie, a brak opinii spowoduje mniejsze przyciąganie użytkowników, co zmniejszy zysk.

Tak zakreślony test równowagi nie wykazał jednak, zdaniem organu ,które Sąd w pełni podziela, że do generowania zysków spółki konieczne jest przetwarzania danych osobowych uczestnika postępowania. Z analizy portalu [...] wynika bowiem, że poza bazą danych o lekarzach i innych podmiotach leczniczych na portalu zamieszczane są artykuły prasowe-kategoria zdrowie ,"blog" dotyczący szeroko rozumianego rynku ochrony zdrowia zmian prawnych i organizacyjnych w służbie zdrowiał Reasumując Sąd przyznaje rację organowi, że przychód Spółki nie jest w całości zależny od bazy danych o lekarzach i innych podmiotach leczniczych.

W ocenie Sądu, która to ocena jest zbieżna z oceną Prezesa UODO, Spółka nie wykazała, iż rzetelnie przeprowadziła test ważenia swoich uzasadnionych interesów w postaci generowania ruchu na stronie internetowej, który ma przekładać się na zyski z reklam, wobec podstawowych praw i wolności osób, których dane dotyczą, zwłaszcza w świetle zasady minimalizacji danych. Spółka nie wykazała, że uczestnik postępowania pełni znacząca role w życiu publicznym ani że na jego temat opublikowano jakąś opinie i wokół jego osoby toczy się jakaś debata. Co do zasady lekarz nie pełni funkcji publicznej ani nie jest osoba publiczną.

Celem ustawy z 10 maja 2018 r. o ochronie danych osobowych oraz RODO jest ochrona prywatności w rozumieniu art. 47 Konstytucji RP (wyrok NSA z 30 marca 2006 r. sygn. akt I OSK 628/05, LEX nr 198299; uchwała w składzie 7 sędziów z 6 czerwca 2005 r. sygn. akt I OPS 2/05).

W tym miejscu należy przytoczyć wyrok Trybunału Sprawiedliwości z [...] maja 2014 r.[...] w sprawie [...] w którym wskazano, że: "osoba, której dane dotyczą może, ze względu na przysługujące jej i przewidziane w art. 7 i 8 karty prawa podstawowe, zażądać, aby dana informacja nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na takiej liście wyników wyszukiwania, prawa te są co do zasady nadrzędne nie tylko wobec interesu gospodarczego operatora wyszukiwarki internetowej, lecz również wobec interesu, jaki ten krąg odbiorców może mieć w znalezieniu rzeczonej informacji w ramach wyszukiwania prowadzonego w przedmiocie imienia i nazwiska tej osoby. Taka sytuacja nie ma jednak miejsca, jeśli ze szczególnych powodów, takich jak rola odgrywana przez tę osobę w życiu publicznym, należałoby uznać, że ingerencja w prawa podstawowe tej osoby jest uzasadniona nadrzędnym interesem tego kręgu odbiorców polegającym na posiadaniu, dzięki temu zawarciu na liście, dostępu do danej informacji".

Zdaniem Sądu prawa i wolności osób, których dane dotyczą mają zasadniczo charakter nadrzędny wobec interesów gospodarczych podmiotów przetwarzających te dane. . Wskazać również należy, że dane uczestnika postępowania Spółka pozyskała w części od uczestnika na skutek prowadzonej korespondencji jak również z Rejestru Praktyk Zawodowych.

Uwzględniając powyższe wskazać należy, że tworzenie powołanych wyżej rejestrów publicznych, z których Spółka pozyskała dane uczestnika postępowania, regulowane jest odpowiednimi aktami prawnymi, które stanowią podstawę do przetwarzania danych w zakresie w nich wskazanym. Rejestry takie tworzone są przez uprawnione organy państwowe, z których to rejestrów mogą korzystać inne podmioty. Rejestr. praktyk zawodowych lekarzy stanowi część elektronicznego Rejestru Podmiotów Wykonujących Działalność Leczniczą (RPWDL), uregulowanego przepisami Działu IV ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (Dz.U. z 2024 r. poz. 799 ze zm.). Zamieszczenie danych osobowych lekarzy w tego rodzaju rejestrze nie oznacza jednak, że inne podmioty - korzystając z danych osobowych zawartych w tych rejestrach - nie są zobowiązane do stosowania przepisów dotyczących ochrony danych osób, których dane taki rejestr zawiera, ze względu na fakt, że dane te zostały w takim rejestrze upublicznione (por. Wyrok WSA w Warszawie z dnia 4 lutego 2019 r. II SA/Wa 1129/18, z dnia 2 sierpnia 2018 r., sygn. akt II SA/Wa 1997/17; CBOSA).

Zaznaczyć przy tym należy, że prowadzony przez Spółkę portal [...] nie jest wyłącznie prostym powtórzeniem treści Rejestru Praktyk Zawodowych prowadzonego przez Centrum e-zdrowie, CEDiG i NFZ. Użytkownicy tego portalu, jak wskazano powyżej, mogą zamieszczać komentarze (opinie) przy wpisach dotyczących poszczególnych lekarzy, co prowadzi do stworzenia swoistego "rankingu" lekarzy.

Reasumując pierwotna zgodność z prawem udostępnienia danych osobowych w jednym źródle nie przesądza o zgodności z prawem ich następczego wykorzystania w innym kontekście i innej przestrzeni.

W realiach niniejszej sprawy ważny jest kontekst celu przetwarzania danych osobowych osoby wykonującej zawód zaufania publicznego. Spółka nie wykorzystywała danych osobowych uczestnika podstępowania jedynie w celu informowania użytkowników serwisu internetowego o osobie lekarza w zakresie informacji ogólnodostępnych w rejestrach (każdy lekarz posiadający prawo wykonywania zawodu podlega wpisowi do rejestru prowadzonego przez właściwą okręgowa radę lekarską - art. 8 ust. 1 ustawy o zawodach lejkarza i lekarza [...]), lecz w głównej mierze w celu wyrażania przez użytkowników opinii o lekarzu.

Lekarz jako osoba nieświadoma faktu, iż jej dane osobowe związane z wykonywanym zawodem i miejscem pracy są wykorzystywane w celu formułowania subiektywnych ocen i ich rozpowszechniania w szerokim gronie użytkowników portalu , nie ma "rozsądnych" przesłanek, by spodziewać się, że może nastąpić przetwarzanie" jego danych osobowych. Nie każda bowiem osoba, ze względu na cechy osobowości, predyspozycje, wiek, umiejętności posługiwania się nowymi technologiami komunikacji, itp., chce korzystać z możliwości promocji i budowania dobrego wizerunku specjalisty w serwisie internetowym. O fakcie posługiwania się danymi osobowymi przez określony podmiot, ocenach i opiniach pozytywnych, bądź negatywnych zainteresowany lekarz może nie mieć wiedzy lub powziąć wiedzę w dłuższej perspektywie czasowej. Wówczas takie dobra osobiste jak: cześć, wizerunek (art. 23 Kodeksu cywilnego) pojmowane powszechnie jako dobre imię, reputacja lekarza są narażone na utratę, zaś osoba zainteresowana nie ma realnej możliwości ich prawnej ochrony.

W związku z powyższym całkowicie uprawnione jest stanowisko Prezesa UODO wskazujące, że w zaistniałej sytuacji występuje znacząca asymetria pomiędzy interesem gospodarczym Spółki, a dobrami uczestnika postępowania, ze wskazaniem na faworyzowanie jednej ze stron - Spółki.

Asymetrii tej nie zmieni również uzasadniony interes osób trzecich do pozyskiwania informacji, Spółka nie dążyła faktycznie do jego realizacji. Świadczy o tym treść Regulaminu serwisu internetowego "[...]" obowiązującego w momencie rozpoczęcia udostępniania przez Spółkę danych osobowych Skarżącego na stronie internetowej Spółki. Zgodnie z treścią ówczesnego Regulaminu §8 pkt 2, Spółka "nie ponosi odpowiedzialności za prawdziwość, prawidłowość, kompletność i aktualność opublikowanych danych". § 8 pkt 1 tego Regulaminu stanowi zaś, iż Spółka pozyskuje dane z rejestrów publicznych oraz od użytkowników. Spółka nie weryfikowała więc przed udostępnieniem określonych informacji ich prawdziwości i nie zmierzała do aktywnego badania prawdziwości udostępnianych informacji. Z §8 pkt 3 Regulaminu wynika, że dopiero po uzyskaniu informacji na temat * niekompletności lub nieaktualności publikowanych danych od każdej zainteresowanej osoby, Spółka rozważała poprawienie opublikowanych danych. Spółka nie weryfikowała również publikowanych o lekarzach opinii.

W analizowanym przypadku Spółka nie wykazała prymatu prawnie uzasadnionego interesu administratora danych nad podstawowymi prawami i wolnościami uczestnika postępowania, co oznacza, że nie legitymowała się przesłanką legalizującą przetwarzanie danych z art. 6 ust. 1 lit. f RODO.

Ponadto w toku postępowania Spółka podniosła, że dane osobowe uczestnika po [...] marca 2024 r. a więc po wpisie Spółki do rejestru dzienników i czasopism stanowią materiał prasowy i nie maja do nich zastosowania przepisy RODO .

Sąd powyższego stanowiska Spółki nie podziela.

Jak słusznie zauważył organ sam fakt rejestracji tytułu prasowego nie powoduje automatycznego przekształcenia treści publikowanych przez Spółkę przed rejestracją w materiał prasowy.

Na portalu internetowym prowadzonym przez Spółkę można wyodrębnić część prasową i bezę danych. W ocenie Sądu inny jest status prawny części redakcyjnej portalu, a inny części zawierającej bazę danych o lekarzach i innych podmiotach wykonujących działalność leczniczą.

Zgodnie z art. 7 ust.2 pkt 4 ustawy z dnia 26 stycznia 1986 r. prawo prasowe (Dz.U.z 2018 r.poz. 1914 t.j. ) materiałem prasowym jest każdy opublikowany lub przekazany do opublikowania w prasie tekst albo obraz o charakterze informacyjnym, publicystycznym, dokumentalnym lub innym, niezależnie od środków przekazu, rodzaju, formy, przeznaczenia czy autorstwa.

Pod adresem [...] zarówno przed rejestracją tytułu prasowego jak i po jego rejestracji widniały takie same dane osobowe uczestnika postępowania.

W tym miejscu należy wskazać, że Spółka stoi na stanowisku, że dane skarżącego przez samą rejestrację tytułu prasowego stały się materiałem prasowym.

Przypomnieć należy, że dane osobowe skarżącego nie figurują na portalu jako odrębna informacja umieszczone są bowiem w prowadzonej przez portal- serwis internetowy "[...]" bazie danych zawierającej dane lekarzy i innych podmiotów prowadzących działalność leczniczą.

W tym miejscu Sąd wskazuje ,że bazy danych, których układ jest twórczy, chroni prawo autorskie. Bazy nieoryginalne, w które zainwestowano znaczące środki, chroni ustawa o ochronie baz danych. W działalności dziennikarskiej istotne jest, aby odróżnić bazę danych jako samodzielny utwór od danych, które są w niej jedynie przechowywane i same w sobie nie podlegają ochronie autorskiej. Tego typu dane nie mogą być również uznane za materiał prasowy w rozumieniu art. 7 ust. 2 pkt 1 i 4 i 5 ustawy z 1984 r. - Prawo prasowe. Jak wskazał Sąd Okręgowy w [...] w wyroku z dnia [...] czerwca 2009 r. sygn..akt [...]. Zamieszczenie określonych materiałów na portalu uprawnia do uznania ich za materiały prasowe jedynie w przypadku stwierdzenia, że zostały one opublikowane lub przekazane do opublikowania w prasie, stosownie do definicji materiału prasowego, przewidzianej w art. 7 ust. 2 pkt 4 Prawa prasowego. W niniejszej sprawie sytuacja taka nie miała miejsca, gdyż o czym mowa była powyżej dane osobowe uczestnika widniały na stronie [...], zarówno przed rejestracją tytułu prasowego jak i po jego rejestracji. W ocenie Sądu także wpisy na forach internetowych nie są materiałem prasowym, tak więc również opinie o lekarzach publikowane przez Spółkę nie stanowią materiału prasowego.

Wykorzystanie baz danych zawierających dane osobowe w celach prasowych musi być zgodne z RODO. Wolność prasy może usprawiedliwiać przetwarzanie danych, ale wymaga wyważenia z prawem do prywatności ,czego Spółka w niniejszej sprawie nie wykonała.

Reasumując Sąd stoi na stanowisku, że zastosowany przez organ środek naprawczy z art. 58 ust. 2 lit.c RODO był. adekwatny w niniejszej sprawie ,gdyż dane uczestnika postępowania mimo jego wniosku nie zostały przez Spółkę usunięte.

Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. DZ. U. z 2023 r. poz. 1634, z późn. zm.) orzekł jak w sentencji wyroku.

-----------------------

#

#