Pierwszą karę prezes UODO Mirosław Wróblewski nałożył na CMU za zamontowanie urządzeń rejestrujących obraz na dwóch salach oddziału neonatologii. Kamery były ukryte w zegarach i od 1 do 23 lipca 2023 r. rejestrowały noworodki i ich matki podczas dokonywania intymnych czynności, takich jak karmienie dzieci czy ich pielęgnacja. Prezes UODO ustalił, że pacjenci i pracownicy placówki nie zostali poinformowani o tym, że są nagrywani.

Monitoring został zarejestrowany ze względu na wzmożoną liczbę objawów zakażenia układu pokarmowego noworodków. Prezes w swojej decyzji stwierdził jednak, że centrum nie wykazało wpływu zainstalowania kamer na zdrowie noworodków.

Placówka uważała też, że w odpowiedni sposób powiadomiła pacjentów o stosowaniu monitoringu, ponieważ umieściła na ścianach placówki naklejki informujące o kamerach i z kodem QR, który przekierowywał do strony z informacjami nt. monitoringu. Jak jednak ustalił prezes UODO, nie było tam wzmianki, że monitoring znajduje się na tych dwóch konkretnych salach.

W związku z opisanymi naruszeniami przepisów RODO organ nałożył na Centrum Medyczne karę w wysokości 687 534,75 zł.

Zaginione karty pamięci

Równolegle Centrum Medyczne zgłosiło prezesowi UODO zagubienie lub kradzież kart pamięci z kamer rejestrujących obraz na tych dwóch salach oddziału neonatologii. Nie zostały one zaszyfrowane, a wykorzystane do rejestracji obrazu urządzenia nie zostały skonfigurowane w sposób odpowiadający wymaganiom obowiązującym w placówce. W związku z tym prezes UODO nałożył na Centrum Medyczne drugą karę w wysokości 458 356,50 zł.

Skarga na decyzję UODO

Centrum wniosło skargę na tę decyzję do WSA w Warszawie. Spółka zarzuciła m.in. prezesowi UODO niepodjęcie wszelkich niezbędnych czynności prowadzących do dokładnego wyjaśnienia stanu faktycznego. CMU uważało też, że wysokość nałożonych kar była nieproporcjonalna do okoliczności sprawy.

Poza tym kary te, ich zdaniem, nie powinny zostać nałożone odrębnie, jako dwie, bowiem wszystkie zarzuty naruszenia przepisów RODO powinny zostać uznane w ramach tych samych lub powiązanych operacji. Spółka powołała się tutaj na art. 83 ust. 3RODO.

Mówi on, że jeżeli administrator lub podmiot przetwarzający narusza umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów niniejszego rozporządzenia, całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie.

Co postanowił Sąd?

WSA w Warszawie nie uwzględnił skargi Centrum Medycznego. Sąd zgodził się ze stanowiskiem prezesa UODO, że doszło do niezgodnego z prawem przetwarzania danych osobowych, w tym danych szczególnej kategorii, poprzez zastosowanie monitoringu w salach szpitalnych. WSA przychylił się też do oceny prezesa UODO, że CMU naruszyło przepisy, nie informując pacjentów, że są nagrywani i nie wdrażając środków bezpieczeństwa.

WSA nie zgodził się także z CMU, że prezes UODO mógł naruszyć przepisy prawa administracyjnego, poprzez nieprawidłowe ustalenie stanu faktycznego sprawy i dokonanie dowolnej oceny.

WSA nie uznał też zarzutu nieprawidłowego wymierzenia dwóch oddzielnych kar; w opinii Sądu wysokość kar również jest zasadna.

Sąd uznał, że zaskarżona decyzja nie narusza przepisów prawa procesowego ani materialnego w stopniu uzasadniającym jej uchylenie, co w efekcie skutkowało oddaleniem skargi Centrum Medycznego Ujastek.

Orzecznictwo

Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 30 września 2025 r., sygn. akt II SA/Wa 536/25