Pełny tekst orzeczenia

120/11/A/2014

WYROK
z dnia 18 grudnia 2014 r.
Sygn. akt K 33/13*

* Sentencja została ogłoszona dnia 7 stycznia 2015 r. w Dz. U. poz. 16.

W imieniu Rzeczypospolitej Polskiej

Trybunał Konstytucyjny w składzie:

Małgorzata Pyziak-Szafnicka – przewodniczący
Stanisław Biernat – sprawozdawca
Marek Kotlinowski
Teresa Liszcz
Stanisław Rymar,

protokolant: Krzysztof Zalecki,

po rozpoznaniu, z udziałem wnioskodawcy oraz Sejmu i Prokuratora Generalnego, na rozprawie w dniach 15 lipca i 18 grudnia 2014 r., wniosku Rzecznika Praw Obywatelskich o zbadanie zgodności:


art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. Nr 113, poz. 657, ze zm.) z art. 47 oraz art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3 oraz z art. 92 ust. 1 Konstytucji Rzeczypospolitej Polskiej,


o r z e k a:

1. Art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. Nr 113, poz. 657 i Nr 174, poz. 1039 oraz z 2014 r. poz. 183 i 998) w zakresie, w jakim przewiduje określenie przedmiotu rejestrów medycznych przez ministra w drodze rozporządzenia, jest niezgodny z art. 47 oraz art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3 Konstytucji Rzeczypospolitej Polskiej.

2. Art. 20 ust. 1 pkt 5 ustawy powołanej w punkcie 1, w części, w jakiej przewiduje, że w rozporządzeniu minister określa zakres i rodzaj danych przetwarzanych w rejestrze spośród danych określonych w art. 19 ust. 6 tej ustawy, jest niezgodny z art. 47 oraz art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3 Konstytucji.

3. Art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy powołanej w punkcie 1 w zakresie, w jakim przewiduje określenie przedmiotu rejestrów medycznych przez ministra w drodze rozporządzenia, jest niezgodny z art. 92 ust. 1 Konstytucji, przy czym rejestry utworzone przed dniem ogłoszenia niniejszego wyroku nadal mogą być prowadzone.

UZASADNIENIE

I


1. Pismem z 19 lipca 2013 r. do Trybunału Konstytucyjnego wpłynął wniosek Rzecznika Praw Obywatelskich (dalej: Rzecznik, wnioskodawca) o orzeczenie, że art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. Nr 113, poz. 657, ze zm.; dalej: ustawa o systemie informacji) jest niezgodny z art. 47 oraz art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3 oraz z art. 92 ust. 1 Konstytucji Rzeczypospolitej Polskiej.



1.1. W ocenie wnioskodawcy, kwestionowany przepis jest niezgodny z art. 47 i art. 51 Konstytucji, przez to, że nie respektuje wymagania uregulowania rejestrów medycznych w ustawie. Utworzenie jedynie trzech rejestrów w drodze ustawy i pozostawienie do unormowania w rozporządzeniu ministra właściwego do spraw zdrowia pozostałych rejestrów medycznych nie jest, zdaniem wnioskodawcy, dopuszczalne w świetle Konstytucji.

Rzecznik przytoczył orzecznictwo Trybunału oraz poglądy doktryny dotyczące prawa do prywatności, autonomii informacyjnej jednostki, ochrony danych osobowych oraz informacji o stanie zdrowia. W szczególności przywołał orzecznictwo akcentujące niedopuszczalność przekazania przez ustawodawcę kompetencji normodawczych innemu organowi w materiach związanych ze sferą wolności i praw człowieka. Zdaniem Rzecznika, z treści art. 51 ust. 1 i 5 Konstytucji wynika, że ustawodawca musi uwzględnić wymaganie formy ustawowej zarówno dla przepisów regulujących pozyskiwanie danych jak i dla tych, które dotyczą zasad i trybu gromadzenia oraz zasad i trybu udostępniania informacji o jednostce.



1.2. Wnioskodawca zarzucił również, że zawarte w kwestionowanym przepisie upoważnienie do wydania rozporządzenia nie spełnia określonego w art. 92 ust. 1 Konstytucji warunku, aby rozporządzenie było wydane w celu wykonania ustawy. Całościowe przekazanie tworzenia rejestrów medycznych do rozporządzeń jest niezgodne z wymaganiem określenia bezpośrednio w treści ustawy wszystkich zasadniczych elementów regulacji prawnej, co ma szczególnie istotne znaczenie, gdy unormowanie dotyczy praw i wolności jednostek, czy też podejmowania przez organy władzy publicznej czynności władczych wobec obywateli. Rzecznik podniósł, że w art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy o systemie informacji przekazano ministrowi właściwemu do spraw zdrowia do uregulowania w drodze rozporządzenia bardzo szeroki katalog zagadnień mających fundamentalne znaczenie dla poziomu ochrony praw jednostki. Wnioskodawca zauważył, że ustawa o systemie informacji nie ogranicza ministra właściwego do spraw zdrowia co do określenia zakresu danych, w tym danych wrażliwych, jakie mogą być przetwarzane w ramach rejestrów medycznych tworzonych przez niego w drodze rozporządzenia.

Wnioskodawca przytoczył także orzecznictwo Trybunału dotyczące wymagań wobec przepisu stanowiącego upoważnienie do wydania rozporządzenia. W szczególności Rzecznik podkreślił, że zakres upoważnienia powinien być tym węższy i tym bardziej szczegółowe powinny być wytyczne dotyczące treści aktu wykonawczego, im większy jest wpływ materii ustawowej na sferę praw i wolności jednostki.



2. W piśmie z 13 grudnia 2013 r. Marszałek Sejmu w imieniu Sejmu zajął stanowisko w sprawie, wnosząc o orzeczenie, że art. 20 ust. 1 ustawy o systemie informacji jest zgodny z art. 47 oraz z art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3, a także z art. 92 ust. 1 Konstytucji.

Sejm, odwołując się do zasady falsa demonstratio non nocet, uznał, że ze względu na wyrażone expressis verbis w treści art. 20 ust. 1 ustawy o systemie informacji odesłanie do art. 19 ust. 1 tej ustawy wskazywanie obu tych przepisów jako przedmiotu kontroli należy uznać za zbędne.



2.1. Zdaniem Sejmu, włączenie do odpowiedniego rejestru medycznego danych osobowych oraz jednostkowych danych medycznych pacjenta powoduje ograniczenie autonomii informacyjnej jednostki, czyli możliwości decydowania o zakresie i rodzaju udostępnionych informacji dotyczących sfery jej życia prywatnego. Jednak – w ocenie Sejmu – ingerencja ta nie narusza standardów wynikających z konstytucyjnej zasady proporcjonalności. Niezasadny jest również zarzut naruszenia wymagania ustawowej podstawy ingerencji ustawodawcy w prawo do prywatności jednostki. Brak jest ponadto uzasadnienia tezy o braku mechanizmów ochrony jednostki przed tego typu ingerencją.

W ocenie Sejmu, z analizy postanowień ustawy o systemie informacji wynika, że konstrukcja kreowania rejestrów medycznych nie ma charakteru blankietowego. Swoboda działania ministra jest bowiem wyraźnie ograniczona przepisami ustawy. Przede wszystkim okoliczności ujawnienia danych osobowych ograniczone zostały do ściśle określonych przypadków, a ich przetwarzanie możliwe jest zasadniczo jedynie za zgodą zainteresowanych osób. Za tą tezą przemawiać ma kilka argumentów. Po pierwsze, zakres danych gromadzonych w rejestrach utworzonych rozporządzeniem nie może wykraczać poza katalog danych usługobiorców enumeratywnie wymienionych w ustawie o systemie informacji. Po drugie, w treści art. 19 ust. 1 ustawy o systemie informacji ustawodawca szczegółowo określił cel przetwarzania danych w rejestrach. Po trzecie, ustawodawca w treści art. 19 ust. 8 ustawy o systemie informacji jednoznacznie przesądził o źródłach pozyskiwania danych gromadzonych w rejestrach medycznych. Po czwarte, w ustawie został przewidziany mechanizm mający fundamentalne znaczenie gwarancyjne dla konstytucyjnych praw jednostki, a mianowicie przesłanka zgody osoby zainteresowanej na udostępnienie danych medycznych. W przypadku wniesienia przez osobę uprawnioną sprzeciwu wobec przetwarzania określonych danych, administrator danych zawartych w rejestrze jest obowiązany do usunięcia z rejestru wszelkich danych umożliwiających identyfikację osoby, chyba że ich przetwarzanie jest niezbędne w celu uniknięcia zagrożenia życia i zdrowia ludzi (art. 19 ust. 9 ustawy o systemie informacji). Sejm podkreślił, że ustawa o systemie informacji zawiera mechanizm czyniący jednostkę dysponentem informacji medycznej związanej z jej osobą.

Sejm zwrócił uwagę na celowość, konieczność oraz proporcjonalność przyjętych rozwiązań dotyczących tworzenia i likwidacji rejestrów medycznych. Powołując się na wypowiedź przedstawiciela ministerstwa zdrowia w toku prac parlamentarnych nad projektem ustawy o systemie informacji, Sejm wskazał, że szczegółowe unormowanie każdego z rejestrów w akcie rangi ustawowej stanowiłoby rozwiązanie dysfunkcjonalne wobec zasadniczego celu ustawy. Elastyczna formuła kreowania rejestrów służy zapewnieniu funkcjonalności infrastruktury informatycznej w ochronie zdrowia. Dla oceny konstytucyjności zakwestionowanych rozwiązań nie bez znaczenia pozostaje okoliczność, że przyjęty w ustawie o systemie informacji mechanizm tworzenia rejestrów medycznych miał za zadanie sanowanie dotychczasowej, w znacznej mierze niezgodnej z Konstytucją, praktyki funkcjonowania takich rejestrów.

W ocenie Sejmu, przyjęte rozwiązania co do rejestrów medycznych uwzględniają postulaty Generalnego Inspektora Ochrony Danych Osobowych (dalej: GIODO) i zyskały jego akceptację. Sejm przyjął poprawki senackie uwzględniające te postulaty, z których wynika obowiązek poinformowania każdej osoby, której dane są w nich przetwarzane, m.in. o nazwie i adresie siedziby, celu i zakresie prowadzonego rejestru, prawie dostępu do danych, kręgu osób, którym dane są udostępniane, a także o możliwości odmowy udzielenia zgody na przetwarzanie danych, jeżeli ich przetwarzanie opiera się na zasadzie dowolności.



2.2. Następnie Sejm odniósł się do zarzutu naruszenia art. 92 ust. 1 Konstytucji. W jego ocenie treść art. 20 ust. 1 ustawy o systemie informacji stanowiącego upoważnienie do wydania rozporządzenia, w drodze którego minister może tworzyć rejestry medyczne, odpowiada standardom wyznaczonym w art. 92 ust. 1 Konstytucji. Ustawodawca określił organ, któremu powierzył kompetencje prawotwórcze, zakres powierzonych mu do uregulowania spraw oraz sformułował czytelne wytyczne dotyczące treści rozporządzenia.



3. W piśmie z 16 grudnia 2013 r. Prokurator Generalny zajął stanowisko w sprawie, wnosząc o stwierdzenie, że art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy o systemie informacji jest niezgodny z art. 47 oraz art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3, jak również z art. 92 ust. 1 Konstytucji.



3.1. Zdaniem Prokuratora Generalnego, kwestionowany przepis narusza konstytucyjne wymaganie uregulowania problematyki wkraczania w sferę praw i wolności jednostki wyłącznie w ustawie, jak również zakaz regulowania zasad i trybu gromadzenia oraz udostępniania informacji dotyczących osoby (w tym danych osobowych i wrażliwych) w innym akcie normatywnym niż ustawa.

W ocenie Prokuratora Generalnego, kwestionowany przepis upoważnia organ władzy wykonawczej do unormowania, w drodze aktu podustawowego, takich zagadnień jak: po pierwsze, sposób prowadzenia rejestru, czyli zasady i tryb gromadzenia i udostępniania informacji; po drugie, zakres i rodzaj danych przetwarzanych w rejestrze spośród danych określonych w art. 4 ust. 3 i art. 19 ust. 6 ustawy o systemie informacji (w tym „innych” danych dających się powiązać z określoną osobą fizyczną, czyli bliżej niedookreślonych, co pozwala podmiotom prowadzącym rejestr na nadmierną swobodę interpretacyjną); po trzecie, sposób zabezpieczenia danych osobowych zawartych w rejestrze przed nieuprawnionym dostępem. Ponadto Prokurator Generalny zwrócił uwagę, że w katalogu danych zawartych w art. 4 ust. 3 ustawy o systemie informacji znajdują się pozycje o wątpliwym związku z najszerzej nawet rozumianą ochroną zdrowia, jak na przykład stan cywilny czy wykształcenie chorego.

Odnosząc się do możliwości złożenia przez osobę zainteresowaną sprzeciwu wobec przetwarzania dotyczących jej danych, Prokurator Generalny wskazał, że z woli ustawodawcy, sprzeciw ten jest bezskuteczny, jeżeli podmiot prowadzący rejestr uzna, że przetwarzanie tych danych jest niezbędne w celu uniknięcia zagrożenia życia i zdrowia ludzi (art. 19 ust. 5 ustawy o systemie informacji).

Zdaniem Prokuratora Generalnego, jedynym istotnym nałożonym przez ustawodawcę na ministra ograniczeniem tworzenia i prowadzenia rejestrów medycznych, jest wymaganie poprzedzenia utworzenia rejestru analizą potrzeb jego utworzenia (art. 19 ust. 3 ustawy o systemie informacji).



3.2. Według Prokuratora Generalnego, kwestionowany przepis jest niezgodny z zasadą, że rozporządzenie może służyć jedynie wykonaniu ustawy. Brak jest dostatecznie określonych wytycznych, zapewniających wystarczającą ochronę jednostki przed nadmiernym wkraczaniem władzy wykonawczej w sferę wolności i praw jednostki.



Upoważnienie ustawowe zawarte w kwestionowanym przepisie pozostawia ministrowi właściwemu do spraw zdrowia decyzję o utworzeniu bliżej nieokreślonych rejestrów medycznych oraz udostępnianiu informacji o jednostce zgromadzonych w tych rejestrach. Tym samym ustawodawca przekazał funkcje prawodawcze organowi władzy wykonawczej w zakresie, w jakim jest to niedopuszczalne w świetle standardów konstytucyjnych. Nie można przyjąć, że rozporządzenia tworzące rejestry na podstawie upoważnienia ustawowego zawartego w art. 20 ust. 1 ustawy o systemie informacji mają charakter wyłącznie wykonawczy, skoro ustawa nie wymienia nawet, jakie rejestry medyczne minister może tworzyć.



4. Trybunał Konstytucyjny wystąpił do Ministra Zdrowia o zajęcie stanowiska w sprawie.

W piśmie z 13 marca 2014 r. Minister Zdrowia zajął stanowisko, stosownie do którego art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy o systemie informacji jest zgodny z art. 47 oraz art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3 oraz z art. 92 ust. 1 Konstytucji.

Minister Zdrowia podkreślił, że przyczyną uchwalenia ustawy o systemie informacji była realizacja obowiązków nałożonych na państwa członkowskie Unii Europejskiej wynikających „z szeregu dokumentów UE”. Ponadto ustawa ta miała na celu stworzenie warunków informacyjnych umożliwiających podejmowanie w dłuższej perspektywie decyzji w zakresie polityki zdrowotnej oraz poprawę funkcjonowania opieki zdrowotnej w całym kraju.

Minister Zdrowia wskazał na czynny udział GIODO w pracach parlamentarnych nad projektem ustawy o systemie informacji. W jego ocenie, w toku prac parlamentarnych zarówno opinia GIODO, jak i zawarte w niej postulaty zostały całkowicie uwzględnione.

Zdaniem Ministra Zdrowia, tworzone rejestry medyczne jasno i precyzyjnie określają zakres przetwarzanych danych. Nie mogą to być inne dane, niż określone w art. 4 ust. 3 i art. 19 ust. 6 ustawy o systemie informacji, wobec czego nie można uznać, że brakuje regulacji ustawowej dotyczącej zakresu gromadzonych danych. Ponadto ustawa o systemie informacji gwarantuje każdemu podmiotowi, którego dane są przetwarzane, pełną informację w zakresie ich przetwarzania oraz możliwość złożenia sprzeciwu, prowadzącego do usunięcia wszystkich danych z rejestru.



5. Trybunał Konstytucyjny wystąpił do Generalnego Inspektora Ochrony Danych Osobowych z pismem o zajęcie stanowiska w sprawie.

W piśmie z 19 marca 2014 r. GIODO podzielił zarzuty wnioskodawcy co do niezgodności art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy o systemie informacji z art. 47 i art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3 oraz z art. 92 ust. 1 Konstytucji.

GIODO zwrócił uwagę, że rozwiązanie prawne przewidujące, iż tworzenie przez ministra rejestrów medycznych zawierających dane o stanie zdrowia, czyli dane podlegające szczególnej ochronie zgodnie z art. 27 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926, ze zm.), będzie następować w drodze aktów wykonawczych, budziło zasadnicze wątpliwości organu do spraw ochrony danych osobowych w trakcie całego procesu legislacyjnego ustawy o systemie informacji. Argumentacja podniesiona wówczas przez GIODO zyskała akceptację ustawodawcy jedynie co do zwiększenia poziomu ochrony osób, których dane są przetwarzane (wprowadzenie obowiązku informowania – art. 19 ust. 9 ustawy o systemie informacji). Nieuwzględniony natomiast został postulat odstąpienia od tworzenia rejestrów medycznych na podstawie rozporządzeń ministra.

GIODO podkreślił, że prawo do ochrony prywatności oraz do ochrony danych osobowych są prawami osobistymi gwarantowanymi w art. 47 i art. 51 Konstytucji, co oznacza, że ograniczenie tych praw wymaga regulacji ustawowej (art. 31 ust. 3 Konstytucji). Tymczasem ustawa o systemie informacji przewiduje, że całość regulacji odnoszących się do przetwarzania, wysoce wrażliwych dla jednostki, danych dotyczących jej stanu zdrowia, chorób i leczenia ma znaleźć się w rozporządzeniach wydawanych przez ministra, czyli w aktach podustawowych. Zdaniem GIODO, tak istotnej wadliwości rozwiązań prawnych przyjętych w art. 19 i art. 20 ustawy o systemie informacji nie może konwalidować wprowadzenie przez ustawodawcę rozwiązań podwyższających poziom ochrony praw osób, których dane będą przetwarzane w rejestrach medycznych (prawo do zgłoszenia sprzeciwu – art. 19 ust. 4 oraz obowiązek informowania – art. 19 ust. 9 ustawy o systemie informacji).



II




1. Na rozprawie 15 lipca 2014 r. przedstawiciel Rzecznika Praw Obywatelskich, uzasadniając stanowisko zawarte we wniosku, wskazał m.in., że art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. Nr 113, poz. 657, ze zm.; dalej: ustawa o systemie informacji) „nie daje odpowiedzi na pytania, ile będzie rejestrów, jakich rejestrów, kiedy one powstaną, przez kogo będą prowadzone, kto będzie miał do tych rejestrów dostęp, jakie będą szczegółowe cele ich działania”. W jego ocenie, zaskarżone przepisy nie przewidują żadnych wyraźnych granic podmiotowych i przedmiotowych, jeżeli chodzi o zakres zbieranych danych; mają zatem charakter blankietowy. Przedstawiciel wnioskodawcy podkreślił, że regulacja ustawowa ma funkcje gwarancyjne dla ochrony praw jednostek, zapewnia przejrzystość stanowienia prawa i procesu legislacyjnego oraz umożliwia wpływanie przez organy parlamentarne na kształt danych rozwiązań.





1.1. Przedstawiciel Sejmu zwrócił uwagę, że rozwiązania przyjęte w kwestionowanej ustawie o systemie informacji są celowe, konieczne i proporcjonalne. Na ich podstawie minister może ad hoc reagować na ujawniające się potrzeby przetwarzania jednostkowych danych medycznych. Szczegółowe opisanie każdego z rejestrów, a więc utworzenie czy też likwidacja, w akcie rangi ustawowej stanowiłoby rozwiązanie dysfunkcjonalne wobec zasadniczego celu ustawy. Ponadto przedstawiciel Sejmu zauważył, że decyzja o utworzeniu konkretnego rejestru zawsze zostaje podana do publicznej wiadomości i może zostać poddana ocenie opinii publicznej, a także kontroli sądowej.





1.2. Przedstawiciel Prokuratora Generalnego podtrzymał stanowisko wyrażone na piśmie. Podkreślił, że rozporządzenia, które Minister Zdrowia może tworzyć na podstawie kwestionowanych przepisów nie mają charakteru wykonawczego, skoro ustawa nie wymienia nawet, jakie rejestry mają być tworzone, czy nie określa nazw tych rejestrów. Ponadto przedstawiciel Prokuratora Generalnego zwrócił uwagę na bardzo szeroki zakres danych, które mogą być objęte rejestrami tworzonymi w drodze rozporządzenia, wskazując że ustawodawca nie wprowadził żadnych ograniczeń zbierania i przetwarzania tych danych.





1.3. Stanowisko w sprawie zajęli również przedstawiciele Ministra Zdrowia (dalej: minister) oraz Generalny Inspektor Ochrony Danych Osobowych (dalej: GIODO) wezwani przez przewodniczącego składu orzekającego w trybie art. 38 pkt 4 ustawy z dnia 1 sierpnia 1997 r. o Trybunale Konstytucyjnym (Dz. U. Nr 102, poz. 643, ze zm.).


1.3.1. Przedstawicielka Ministra Zdrowia podkreśliła, że minister wnikliwie rozważa konieczność utworzenia rejestru medycznego w drodze rozporządzenia. O utworzenie tych rejestrów wnoszą głównie świadczeniodawcy, czyli podmioty lecznicze, które chciałyby zbierać określone dane. Jako jeden z przykładów obrazujących znaczenie rejestrów, przedstawicielka ministerstwa zdrowia wskazała uzyskanie informacji na temat liczby chorych na daną chorobę, co ma znaczenie dla ministra podczas negocjacji z firmami farmaceutycznymi. Przedstawiciel ministra, wskazał, że rejestry medyczne mają charakter rejestrów zamkniętych; dostęp do nich mają tylko konkretni lekarze czy osoby zatrudnione w podmiocie prowadzącym rejestr. Istnieje również możliwość udostępnienia danych zawartych w rejestrach do celów naukowo-badawczych lub statystycznych (art. 19 ust. 7 ustawy o systemie informacji). Następuje to w drodze udostępnienia „kopii podzbioru danych”. Podmiotem, który decyduje o możliwości udostępnienia danych do celów statystycznych lub naukowo-badawczych, jest administrator rejestru, czyli minister.


Przedstawicielka ministra zwróciła uwagę na zasadność zbierania w rejestrach medycznych danych osobowych; takie informacje jak wykształcenie czy stan cywilny dotyczą czynników, które mogą mieć wpływ na stan zdrowia. Dane, które znalazły się już w rejestrze, są pozbawiane tych elementów, które umożliwiają identyfikację konkretnej osoby fizycznej; są anonimizowane, depersonalizowane lub pseudonimizowane.


Przedstawiciel Sejmu oraz przedstawiciele ministra nie byli w stanie podać przykładów przewidzianych w art. 19 ust. 6 ustawy o systemie informacji „innych danych niż określone w art. 4 ust. 3 ustawy”.


1.3.2. GIODO w całości podzielił wątpliwości zgłoszone we wniosku Rzecznika Praw Obywatelskich. Przekazanie pewnych spraw do uregulowania w rozporządzeniu nie powinno doprowadzić do nadania ustawie charakteru blankietowego, tj. pozostawienia organowi władzy wykonawczej możliwości samodzielnego uregulowania całego kompleksu zagadnień; tymczasem kwestionowana regulacja powoduje występowanie takiej sytuacji. Zdaniem GIODO, konstrukcja przyjęta w kwestionowanej ustawie służy omijaniu jakiejkolwiek kontroli zewnętrznej procesu legislacyjnego aktów zawierających normy prawa powszechnie obowiązującego. Zasada wyłączności ustawowej zapewnia możliwość przeprowadzenia prawidłowych konsultacji na każdym etapie tworzenia aktu prawnego i eliminuje – występującą w niniejszej sprawie – sytuację, w której treść aktu prawnego ustala samodzielnie minister bez odnoszenia się do krytycznych uwag zgłaszanych m.in. przez GIODO.


Zdaniem GIODO, określenia zawarte art. 4 ustawy o systemie informacji mają charakter bardzo ogólny i umożliwiają zbieranie wszystkich danych w nich wymienionych na potrzeby każdego z rejestrów, podczas gdy rejestry są od siebie znacząco różne. GIODO zwrócił uwagę na dwa „zakresy informacyjne”, które należałoby uregulować w ustawie, a mianowicie dokładny zestaw danych, które powinny być zbierane dla konkretnego rejestru oraz powiązania pomiędzy rejestrami nawzajem, czyli korzystanie przez jeden rejestr z danych znajdujących się w innym rejestrze. W ocenie GIODO, ustawa powinna określać również rodzaje rejestrów, które mogłyby być tworzone w drodze rozporządzenia. GIODO zwrócił uwagę, że tworzenie rejestrów medycznych w drodze rozporządzenia może stanowić ograniczenie w zakresie dostępu tych rejestrów do danych zawartych w niektórych innych rejestrach publicznych tworzonych w drodze ustawy.


Odnosząc się do przewidzianej w art. 19 ust. 5 ustawy o systemie informacji możliwości wniesienia sprzeciwu, GIODO zauważył, że realizacja prawa do sprzeciwu jest praktycznie niewykonalna, nie ma bowiem możliwości poinformowania wszystkich osób, których dane znajdują się w rejestrach o przysługującym im prawie. Nawet gdyby jednak byłoby to możliwe, to nie można przyjąć, że spowoduje to usunięcie problemu formalnego, który dotyczy uregulowania rejestrów na poziomie rozporządzenia.


Zdaniem GIODO, nie ma wątpliwości, że dane zebrane do rejestru medycznego są danymi osobowymi, które indywidualizują konkretną osobę. Indywidualizacja konkretnej osoby ma na celu stwierdzenie, czy określona osoba została już umieszczona w rejestrze, czy jeszcze nie. GIODO zwrócił jednak uwagę, że wraz z pozbawieniem określonych danych elementów umożliwiających identyfikację określonej osoby, dane te przestają być danymi osobowymi. Tym samym nie mają do nich zastosowania ograniczenia udostępniania danych osobowych przewidziane w przepisach prawa dla.





2. Na rozprawie 18 grudnia 2014 r. wnioskodawca i pozostali uczestnicy postępowania podtrzymali swoje stanowiska. Przedstawiciela ministra poinformowała Trybunał, że minister wydał w dniu 5 grudnia 2014 r. rozporządzenie w sprawie Polskiego Rejestru Wrodzonych Wad Rozwojowych.



III



Trybunał Konstytucyjny zważył, co następuje:


1. Przedmiot kontroli.


1.1. Rzecznik Praw Obywatelskich zakwestionował zgodność z Konstytucją art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. Nr 113, poz. 657, ze zm.; dalej: ustawa o systemie informacji) upoważniające ministra właściwego do spraw zdrowia (dalej: minister) do tworzenia rejestrów medycznych w drodze rozporządzenia.
Zgodnie z art. 20 ust. 1 ustawy o systemie informacji:
„Tworzenie rejestrów medycznych, o których mowa w art. 19 ust. 1, następuje w drodze rozporządzenia. W rozporządzeniu minister właściwy do spraw zdrowia określa:
1) cel i zadania rejestru,
2) podmiot prowadzący rejestr,
3) okres, na jaki utworzono rejestr – w przypadku rejestru tworzonego na czas oznaczony,
4) sposób prowadzenia rejestru,
5) zakres i rodzaj danych przetwarzanych w rejestrze spośród danych określonych w art. 4 ust. 3 i art. 19 ust. 6,
6) sposób zabezpieczenia danych osobowych zawartych w rejestrze przed nieuprawnionym dostępem
– mając na uwadze analizę potrzeb utworzenia rejestru, o której mowa w art. 19 ust. 3, oraz zapewnienie proporcjonalności zakresu i rodzaju danych przetwarzanych w rejestrze z celami utworzenia rejestru”.
Z kolei art. 19 ust. 1 ustawy o systemie informacji stanowi:
„Minister właściwy do spraw zdrowia w celu:
1) monitorowania zapotrzebowania na świadczenia opieki zdrowotnej,
2) monitorowania stanu zdrowia usługobiorców,
3) prowadzenia profilaktyki zdrowotnej lub realizacji programów zdrowotnych
– może tworzyć i prowadzić lub tworzyć i zlecać prowadzenie rejestrów medycznych, stanowiących uporządkowany zbiór danych i informacji o zachorowaniach, chorobach, stanie zdrowia, metodach leczenia, diagnozowania, monitorowania postępów w leczeniu oraz zagrożeniach związanych z występowaniem niektórych chorób”.

1.2. Z treści art. 19 ust. 1 i art. 20 ust. 1 ustawy o systemie informacji wynikają następujące elementy konstrukcji prawnej rejestrów medycznych:
– przyznanie ministrowi kompetencji do tworzenia i prowadzenia lub tworzenia i zlecania prowadzenia rejestrów medycznych (art. 19 ust. 1);
– wskazanie, że minister tworzy rejestry medyczne w formie rozporządzenia (art. 20 ust. 1);
– określenie składników treści rozporządzeń (art. 20 ust. 1 pkt 1-6);
– wskazanie celów tworzenia przez ministra rejestrów medycznych (art. 19 ust. 1 pkt 1-3);
– wprowadzenie definicji rejestrów medycznych jako uporządkowanych zbiorów danych i informacji o zachorowaniach, chorobach, stanie zdrowia, metodach leczenia, diagnozowania, monitorowania postępów w leczeniu oraz zagrożeniach związanych z występowaniem niektórych chorób (art. 19 ust. 1 in fine);
– wskazanie okoliczności, które należy brać pod uwagę podczas tworzenia rejestrów, a mianowicie analizy potrzeb utworzenia rejestru oraz zapewnienia proporcjonalności zakresu i rodzaju danych przetwarzanych w rejestrze z celami utworzenia rejestru (art. 20 ust. 1 in fine).
Powołane przepisy są ze sobą ściśle związane; zakres zaskarżenia w niniejszej sprawie jest wyznaczany na podstawie treści obu tych przepisów. Główny zarzut w niniejszej sprawie dotyczy dopuszczalności tworzenia rejestrów medycznych przez ministra w drodze rozporządzeń. Dlatego należy uznać, że z uwagi na związek występujący między treścią tych przepisów oraz istotę zarzutu zasadne jest ujęcie art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy o systemie informacji jako przedmiotu kontroli w niniejszej sprawie.


2. Unormowania dotyczące rejestrów medycznych w ustawie o systemie informacji.



2.1. Zgodnie z art. 5 ust. 1 ustawy o systemie informacji, system informacji w ochronie zdrowia obejmuje bazy danych funkcjonujące w ramach: 1) Systemu Informacji Medycznej; 2) dziedzinowych systemów informatycznych wymienionych w ustawie; 3) rejestrów medycznych.

Rejestrem medycznym jest tworzony zgodnie z prawem rejestr, ewidencja, lista, spis albo inny uporządkowany zbiór danych osobowych lub jednostkowych danych medycznych (art. 2 pkt 12 ustawy o systemie informacji).



2.2. Ustawa o systemie informacji przewiduje utworzenie trzech rejestrów medycznych, a mianowicie: 1) Centralnego Wykazu Usługobiorców (art. 15 ust. 1), 2) Centralnego Wykazu Usługodawców (art. 16 ust. 1), 3) Centralnego Wykazu Pracowników Medycznych (art. 17 ust. 1). Ustawa określa cel utworzenia tych rejestrów, zakres danych w nich gromadzonych oraz zasady przetwarzania danych, sposób prowadzenia rejestrów, a także wskazuje, że ich administratorem jest minister.



2.3. Oprócz wskazanych rejestrów medycznych utworzonych w drodze ustawy, ustawodawca przewidział w zaskarżonym w niniejszej sprawie art. 19 ust. 1 ustawy o systemie informacji możliwość tworzenia i prowadzenia lub zlecania prowadzenia dalszych rejestrów medycznych. Art. 19 ust. 7 ustawy o systemie informacji dopuszcza możliwość wykorzystania danych gromadzonych w rejestrach medycznych utworzonych przez ministra do innych celów, niż określone w art. 19 ust. 1 tej ustawy. Zgodnie z treścią tego przepisu, dane zawarte w rejestrach medycznych utworzonych przez ministra mogą być udostępniane do celów statystycznych i naukowo-badawczych jednakże jedynie w formie uniemożliwiającej ich powiązanie z konkretną osobą fizyczną.

2.3.1. Stosownie do art. 19 ust. 3 ustawy o systemie informacji, warunkiem utworzenia rejestru medycznego przez ministra jest uprzednie przeprowadzenie analizy potrzeb jego utworzenia. Zgodnie z art. 19 ust. 4 ustawy o systemie informacji analiza ta obejmuje w szczególności:

1) zdefiniowanie problemu i weryfikację potrzeby utworzenia rejestru;
2) spodziewane efekty i korzyści wynikające z wdrożenia rejestru;
3) uzasadnienie konieczności sfinansowania lub dofinansowania rejestru przez ministra;
4) określenie maksymalnej wysokości środków niezbędnych do utworzenia i prowadzenia rejestru;
5) ocenę nowatorstwa zaproponowanych rozwiązań oraz wykorzystania dotychczasowych doświadczeń i istniejących środków;
6) ocenę przydatności rejestru i możliwości jego wykorzystania w przyszłości oraz dalszego prowadzenia tego rejestru;
7) wskaźniki monitorowania oczekiwanych efektów wdrożenia rejestru.
2.3.2. W rejestrach medycznych utworzonych przez ministra mogą być przetwarzane dane określone w art. 4 ust. 3 ustawy o systemie informacji, a mianowicie:

1) dane osobowe: imię (imiona) i nazwisko, nazwisko rodowe, płeć, obywatelstwo, stan cywilny, wykształcenie, numer PESEL, data urodzenia, serię i numer dowodu osobistego, paszportu lub innego dokumentu stwierdzającego tożsamość – w przypadku osób, które nie mają nadanego numeru PESEL, adres miejsca zamieszkania i adres do korespondencji, adres miejsca pobytu na terytorium Rzeczypospolitej Polskiej, jeżeli dana osoba nie ma na terytorium Rzeczypospolitej Polskiej miejsca zamieszkania, adres poczty elektronicznej, numery ubezpieczenia, stopień niepełnosprawności, rodzaj uprawnień oraz numer i termin ważności dokumentów potwierdzających uprawnienia do świadczeń opieki zdrowotnej określonego rodzaju oraz data utraty tych uprawnień, numery identyfikacyjne i numery ewidencyjne nadawane usługobiorcom przez płatników lub usługodawców, data i przyczyna zgonu;

2) jednostkowe dane medyczne;
3) data dokonania wpisu.
Zgodnie z art. 2 pkt 7 ustawy o systemie informacji, jednostkowe dane medyczne to dane osobowe oraz inne dane osób fizycznych dotyczące uprawnień do udzielonych, udzielanych i planowanych świadczeń opieki zdrowotnej, stanu zdrowia, a także inne dane przetwarzane w związku z planowanymi, udzielanymi i udzielonymi świadczeniami opieki zdrowotnej oraz profilaktyką zdrowotną i realizacją programów zdrowotnych.
Ponadto art. 19 ust. 6 ustawy o systemie informacji dopuszcza przetwarzanie innych danych w rejestrach medycznych utworzonych przez ministra. Stosownie do tego przepisu, dane inne, niż wymienione w art. 4 ust. 3 tej ustawy, dające się powiązać z konkretną osobą fizyczną mogą być przetwarzane w rejestrach medycznych utworzonych przez ministra, wyłącznie wtedy, gdy źródłem danych w nich zawartych jest dokument obejmujący dane osobowe niedające się oddzielić przy ich przekazywaniu lub gdy identyfikacja jest niezbędna do realizacji zadań i celów rejestru.
2.3.3. Ustawa o systemie informacji przewiduje pewne uprawnienia osób, których dane są gromadzone w rejestrach medycznych utworzonych przez ministra.

Przede wszystkim ustawa nakłada na podmiot prowadzący rejestr medyczny obowiązek poinformowania każdej osoby, której dane dotyczą i są przetwarzane w tym rejestrze, w terminie 30 dni od dnia rozpoczęcia przetwarzania danych osobowych o: 1) adresie swojej siedziby i pełnej nazwie; 2) celu, zakresie i sposobie przetwarzania dotyczących jej danych; 3) prawie dostępu do treści swoich danych oraz ich poprawiania; 4) kategoriach odbiorców, którym dane z rejestru są udostępniane; 5) dobrowolności albo obowiązku podania danych, które są przetwarzane w rejestrze, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej (art. 19 ust. 9 ustawy o systemie informacji).

Ponadto osoby zainteresowane mają możliwość wniesienia sprzeciwu wobec przetwarzania danych, które ich dotyczą. Zgodnie z art. 19 ust. 5 ustawy o systemie informacji administrator danych zawartych w rejestrze medycznym utworzonym przez ministra jest obowiązany do usunięcia z tego rejestru wszelkich danych umożliwiających identyfikację osoby, w przypadku wniesienia przez nią sprzeciwu wobec przetwarzania tych danych. Jednakże ustawodawca przewidział możliwość odmowy usunięcia danych, w sytuacji gdy ich przetwarzanie jest „niezbędne w celu uniknięcia zagrożenia dla życia i zdrowia ludzi”.

2.3.4. Do dnia wydania niniejszego wyroku na podstawie kwestionowanego art. 20 ust. 1 ustawy o systemie informacji zostało wydanych sześć rozporządzeń, którymi utworzono rejestry medyczne. Są to: rozporządzenie Ministra Zdrowia z dnia 20 grudnia 2012 r. w sprawie utworzenia Krajowego Rejestru Nowotworów (Dz. U. poz. 1497; dalej: rozporządzenie k.r.n.), rozporządzenie Ministra Zdrowia z dnia 14 czerwca 2013 r. w sprawie Rejestru Medycznie Wspomaganej Prokreacji (Dz. U. poz. 721; dalej: rozporządzenie r.m.w.p.), rozporządzenie Ministra Zdrowia z dnia 17 października 2013 r. w sprawie Krajowego Rejestru Operacji Kardiochirurgicznych (Dz. U. poz. 1233; dalej: rozporządzenie k.r.o.k.), rozporządzenie Ministra Zdrowia z dnia 17 października 2013 r. w sprawie Ogólnopolskiego Rejestru Ostrych Zespołów Wieńcowych (Dz. U. poz. 1234; dalej: rozporządzenie o.r.o.z.w.), rozporządzenie Ministra Zdrowia z dnia 9 września 2014 r. w sprawie Rejestru Nowotworów Niezłośliwych Dużych Gruczołów Ślinowych (Dz. U. poz. 1246; dalej: rozporządzenie r.n.n.d.g i rozporządzenie z dnia 5 grudnia 2014 r. w sprawie Polskiego Rejestru Wrodzonych Wad Rozwojowych (Dz. U. poz. 1823).

Rozporządzenia te nie zostały zakwestionowane we wniosku i tym samym nie stanowią przedmiotu kontroli w niniejszej sprawie. Trybunał będzie się jednak odwoływać do treści rozporządzeń dla zilustrowania sposobów wykonania przez ministra kompetencji wynikającej z zaskarżonych przepisów.



2.4. System Informacji jest obsługiwany przez Platformę Udostępniania On-Line Usług i Zasobów Cyfrowych Rejestrów Medycznych (dalej: Platforma Udostępniania) oraz Elektroniczną Platformę Gromadzenia, Analizy i Udostępniania Zasobów Cyfrowych o Zdarzeniach Medycznych (dalej: Platforma Gromadzenia) – art. 5 ust. 2 ustawy o systemie informacji. Zgodnie z art. 6 ust. 1 ustawy o systemie informacji Platforma Udostępniania jest systemem teleinformatycznym umożliwiającym w szczególności: 1) komunikowanie się Systemu Informacji Medycznej z rejestrami medycznymi w celu pozyskiwania danych nich przetwarzanych; 2) dokonywanie aktualizacji danych w rejestrach medycznych; 3) integrację rejestrów medycznych; 4) udostępnianie usługodawcom i płatnikom, w zakresie posiadanych uprawnień, danych z rejestrów medycznych. Z kolei, zgodnie z art. 7 ust. 1 pkt 5 ustawy o systemie informacji, Platforma Gromadzenia jest systemem teleinformatycznym, który umożliwia dostęp podmiotów prowadzących rejestry medyczne, w zakresie realizowanych zadań i posiadanych uprawnień, do danych przetwarzanych w Systemie Informacji Medycznej, za pośrednictwem Platformy Udostępniania.

Art. 8 ust. 1 ustawy o systemie informacji stanowi, że podmioty prowadzące rejestr medyczny, używają do realizacji zadań związanych z jego prowadzeniem systemów teleinformatycznych spełniających minimalne wymagania określone w ustawie z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2014 r. poz. 1114; dalej: ustawa o informatyzacji). Do rejestrów medycznych i systemów teleinformatycznych używanych do prowadzenia rejestrów medycznych stosuje się odpowiednio przepisy art. 14 ust. 1 (obowiązki podmiotu prowadzącego rejestr publiczny), art. 15 (zasady udostępniania danych) i art. 16 (zasady przetwarzania danych) ustawy o informatyzacji oraz przepisy wydane na ich podstawie oraz na podstawie art. 18 (upoważnienie do określenia przez Radę Ministrów minimalnych wymagań dla systemów teleinformatycznych oraz rejestrów publicznych) tej ustawy.



3. Problem konstytucyjny.

Zaskarżone przepisy – w ocenie wnioskodawcy – są niezgodne z Konstytucją przez to, że naruszają wymaganie ustawowej formy dla ograniczeń prawa do prywatności i autonomii informacyjnej jednostki. Wnioskodawca wiąże zatem problem konstytucyjny w niniejszej sprawie z odpowiedzią na pytanie, czy w świetle art. 47 i art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3 Konstytucji dopuszczalne jest tworzenie rejestrów medycznych w drodze rozporządzeń. Kolejny problem konstytucyjny jest związany ze spełnieniem przez kwestionowane przepisy ustawy o systemie informacji wymagań określonych w art. 92 ust. 1 Konstytucji, czyli tych, które powinien spełniać przepis ustawy upoważniający do wydania rozporządzenia wykonawczego.

Trybunał stwierdził, że niezbędne jest zbadanie, jak – w świetle konstytucyjnego standardu ochrony autonomii informacyjnej jednostki – przedstawiają się wymagania dotyczące tworzenia i normowania rejestrów medycznych w przepisach ustawowych, oraz ustalenie, czy i jakie materie mogą być uregulowane w rozporządzeniach. Następnie należy odnieść ten standard do kwestionowanych przepisów ustawowych określających zakres spraw przekazanych do unormowania w rozporządzeniach oraz wyznaczających treść rozporządzeń o utworzeniu poszczególnych rejestrów medycznych.

Zgodność z Konstytucją regulacji stanowiącej ograniczenie zakresu korzystania z wolności i praw jednostki badana jest w dwóch aspektach: proceduralnym (formalnym), czyli oceny rangi aktu prawnego, mocą którego wprowadza się dane ograniczenie, oraz materialnym, czyli oceny racji wprowadzenia danego ograniczenia, w razie wystąpienia którejś z konstytucyjnych przesłanek.
Z uzasadnienia wniosku wynika, że zarzut dotyczy formalnego aspektu ograniczenia autonomii informacyjnej jednostki, czyli wprowadzenia tego ograniczenia w akcie prawnym rangi podustawowej. Trybunał zauważył, że ze względu na cele rejestrów medycznych, samo ich tworzenie może być uznane za niezbędne w demokratycznym państwie prawnym (art. 51 ust. 2 Konstytucji). Zarówno monitorowanie zapotrzebowania na świadczenia opieki zdrowotnej oraz stanu zdrowia obywateli, jak i prowadzenie profilaktyki zdrowotnej i realizacja programów zdrowotnych służą zapewnieniu bezpieczeństwa publicznego oraz zdrowia (art. 31 ust. 3 Konstytucji). Uwzględnienie tych wartości może przemawiać za ograniczeniem konstytucyjnych wolności i praw, jeśli zakres i formy tego ograniczenia spełniają przesłankę konieczności oraz nie naruszają istoty wolności i praw. Ze względu na treść wniosku, zagadnienie to nie stanowi jednak przedmiotu postępowania w niniejszej sprawie.


4. Prawo do prywatności i autonomia informacyjna na tle dotychczasowego orzecznictwa Trybunału Konstytucyjnego.

4.1. Art. 47 Konstytucji wyraża prawo każdej osoby do „ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym”. Trybunał wskazywał, że prawo do prywatności odnosi się m.in. do danych dotyczących sytuacji majątkowej obywatela (zob. orzeczenie z 24 czerwca 1997 r., sygn. K 21/96, OTK ZU nr 2/1997, poz. 23 oraz wyrok z 20 listopada 2002 r., sygn. K 41/02, OTK ZU nr 6/A/2002, poz. 83), informacji o stanie zdrowia (zob. wyrok TK z 19 maja 1998 r., sygn. U 5/97, OTK ZU nr 4/1998, poz. 46), danych przetwarzanych w ramach procedury lustracji (zob. wyrok z 11 maja 2007 r., sygn. K 2/07, OTK ZU nr 5/A/2007, poz. 48), danych dotyczących pokrewieństwa lub jego braku (zob. wyrok z 13 lipca 2004 r., sygn. K 20/03, OTK ZU nr 7/A/2004, poz. 63) czy też danych dostarczanych na potrzeby statystyki publicznej (zob. wyrok z 13 grudnia 2011 r., sygn. K 33/08, OTK ZU nr 10/A/2011, poz. 116).

4.2. Autonomia informacyjna oznacza prawo do samodzielnego decydowania o ujawnianiu innym informacji dotyczących swojej osoby, a także prawo do sprawowania kontroli nad takimi informacjami, jeśli znajdują się w posiadaniu innych podmiotów (zob. wyroki TK z: 19 lutego 2002 r., sygn. U 3/01, OTK ZU nr 1/A/2002, poz. 3; 20 listopada 2002 r., sygn. K 41/02). Art. 51 Konstytucji wyraża prawo jednostki do ochrony danych osobowych, w zakres którego wchodzi m.in. wymaganie ustawowej podstawy nałożenia obowiązku ujawnienia przez daną osobę informacji jej dotyczących (ust. 1), zakaz pozyskiwania, gromadzenia i udostępniania innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym (ust. 2), prawo dostępu jednostki do dokumentów i zbiorów danych oraz żądania sprostowania bądź usunięcia danych nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą (ust. 3 i 4). Art. 51 ust. 5 Konstytucji przewiduje natomiast, że „Zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa”.

4.3. Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r. poz. 1182; dalej: ustawa o ochronie danych) rozróżnia dwa rodzaje danych osobowych: dane zwykłe oraz dane wrażliwe, wymienione w art. 27 tej ustawy. Do danych wrażliwych należą także dane o stanie zdrowia. Ustawa wprowadza generalny zakaz przetwarzania wymienionych w niej danych wrażliwych, a jednocześnie ustanawia wyjątki od tego zakazu. Zgodnie z art. 27 ust. 2 pkt 7 tej ustawy, przetwarzanie danych o stanie zdrowia jest dopuszczalne, jeżeli jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych. Trzeba zatem podkreślić, że dane przetwarzane w rejestrach medycznych to dane o stanie zdrowia należące do kategorii danych wrażliwych w rozumieniu ustawy o ochronie danych.
Pojęcie „danych wrażliwych” występuje również w orzecznictwie Trybunału (zob. wyroki z: 20 marca 2006 r., sygn. K 17/05, OTK ZU nr 3/A/2006, poz. 30; 11 maja 2007 r., sygn. K 2/07; 23 czerwca 2009 r., sygn. K 54/07, OTK ZU nr 6/A/2009, poz. 86). W rejestrach medycznych przetwarzane są dane należące do najbardziej chronionej sfery prywatności.

4.4. Wnioskodawca w pierwszym zarzucie wskazał jako wzorce kontroli art. 47 oraz art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3 Konstytucji. Art. 47 i art. 51 Konstytucji pozostają w określonej relacji: prawo do prywatności wyrażone w art. 47 Konstytucji, zagwarantowane jest m.in. przez ochronę danych osobowych, przewidzianą w art. 51 Konstytucji (zob. wyrok o sygn. U 5/97). Autonomia informacyjna stanowi zatem istotny element składowy prawa do prywatności (zob. wyroki z: 17 czerwca 2008 r., sygn. K 8/04, OTK ZU nr 5/A/2008, poz. 81; 13 grudnia 2011 r., sygn. K 33/08). Art. 47 i art. 51 Konstytucji służą ochronie tej samej wartości (zob. wyroki o sygn.: K 41/02 i K 33/08 oraz wyrok z 22 lipca 2014 r., sygn. K 25/13, OTK ZU nr 7/A/2014, poz. 76). Okoliczność ta ma znaczenie zarówno dla określenia, czy przepisy te mogą być łącznie wzorcem kontroli danego aktu normatywnego. Trybunał w wielu sprawach ujmował wskazane przepisy łącznie jako wzorzec kontroli aktu normatywnego (zob. wyrok o sygn. K 25/13 i przywołane tam orzeczenia).

4.5. Zarówno prawo do prywatności jak i jego element składowy, jakim jest ochrona autonomii informacyjnej jednostki, nie mają charakteru absolutnego. W orzecznictwie Trybunału wyrażany jest pogląd, że zawarta w art. 51 ust. 2 Konstytucji przesłanka „niezbędności” gromadzenia informacji o obywatelach w demokratycznym państwie prawnym nie jest wyłączna; dopuszczalność ograniczenia autonomii informacyjnej jednostki zależy również od spełnienia przesłanek określonych w art. 31 ust. 3 Konstytucji (zob. wyroki o sygn. K 8/04 i K 25/13). Pozyskiwanie informacji o jednostkach może być uzasadnione zarówno wartościami wymienionymi w art. 31 ust. 3 Konstytucji jak i dalszymi, jeśli – stosownie do art. 51 ust. 2 Konstytucji – zostaną uznane za niezbędne w demokratycznym państwie prawnym (zob. wyrok o sygn. K 33/08).
Biorąc pod uwagę związki treściowe oraz funkcjonalne między art. 47 i art. 51 ust. 1, 2 i 5 Konstytucji zasadne jest łączne ujęcie tych przepisów jako wzorca kontroli oceny przedstawionego przez wnioskodawcę zarzutu oraz zastosowanie także przesłanek dopuszczalności ograniczenia konstytucyjnych wolności i praw wyrażonych w art. 31 ust. 3 Konstytucji do oceny dopuszczalności ograniczenia ochrony życia prywatnego i autonomii informacyjnej przez przepisy kwestionowane w niniejszej sprawie.

4.6. Jak już zostało wskazane, zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa (zob. art. 51 ust. 5 Konstytucji). Wymaganie ograniczeń prywatności i autonomii informacyjnej w ustawie nie jest jednak równoznaczne z wyłącznością, rozumianą jako pełne unormowanie w ustawie bez możliwości posłużenia się także rozporządzeniami. W dziedzinie przetwarzania danych osobowych można wyróżnić zagadnienia istotne, które wymagają uregulowania w ustawie. Trybunał wskazywał, że „sprawy istotne, które muszą zostać uregulowane w ustawie, obejmują w szczególności warunki dopuszczalności przetwarzania danych osobowych. Ustawa powinna określać w sposób szczególnie precyzyjny warunki przetwarzania danych dotyczących sfery intymności jednostki”. Niedopuszczalne jest dowolne określenie w rozporządzeniu zakresu danych, które mogą być przetwarzane – musi on wynikać z przepisów ustawy. Trybunał wskazywał natomiast, że „ustawodawca może (…) przekazać do unormowania w drodze rozporządzenia niektóre sprawy szczegółowe i techniczne związane z przetwarzaniem danych osobowych”. Sprawy te nie mogą jednak wyznaczać, w oderwaniu od ustawy, podstawowych elementów określających zakres ingerencji w autonomię informacyjną jednostki. Dotyczy to w szczególności zakresu danych, które mogą być przetwarzane (wyrok o sygn. U 3/01).

5. Ocena zgodności art. 20 ust. 1 ustawy o systemie informacji z art. 47 oraz art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3 Konstytucji.

5.1. Aby dokonać oceny zasadności zarzutu w niniejszej sprawie, konieczne jest ustalenie, czy i które wymienione w art. 20 ust. 1 ustawy o systemie informacji składniki regulacji prawnej rejestrów medycznych pociągają za sobą istotne ograniczenie prywatności i autonomii informacyjnej jednostek, czego konsekwencją byłaby konieczność ich unormowania w drodze ustawy, a nie w drodze rozporządzenia. Należy również ustalić, czy samo utworzenie rejestrów medycznych w drodze rozporządzenia jest dopuszczalne.
W celu odpowiedzi na wskazane pytania trzeba przeanalizować art. 20 ust. 1 pkt 1-6 ustawy o systemie informacji wyznaczający elementy, które minister może określić w rozporządzeniu o utworzeniu rejestru medycznego.
5.2.1. Zgodnie z art. 20 ust. 1 pkt 1 tej ustawy minister określa „cel i zadania” tworzonych rejestrów medycznych. Należy przyjąć, że w ramach tego pojęcia zawarte jest również określenie przedmiotu poszczególnych rejestrów. Określenie przedmiotu jest podstawowym elementem rejestru, czynnikiem, który identyfikuje rejestr i odróżnia go od innych. Należy zbadać, w jakim stopniu przedmiot rejestrów określony jest w ustawie, a w jakim ustawodawca pozostawił tę materię do określenia ministrowi w drodze rozporządzenia, a następnie ocenić, czy obowiązująca regulacja odpowiada wymaganiu ograniczania autonomii informacyjnej jednostki w drodze ustawy.
Ustawa określa zbiorczo w art. 19 ust. 1 przedmiot rejestrów medycznych, które mogą być tworzone w drodze rozporządzeń. Nie precyzuje jednak, jakich konkretnych zachorowań, metod leczenia, diagnozowania i monitorowania postępów w leczeniu których chorób oraz zagrożeń związanych z jakimi chorobami rejestry te mogłyby dotyczyć. Dokonuje tego dopiero minister w przepisach poszczególnych rozporządzeń o utworzeniu rejestrów.
Trybunał zauważa zatem, że ustawa o systemie informacji określa zbiorczo przedmiot wszystkich potencjalnych rejestrów medycznych. Natomiast jedynymi przepisami, które wyznaczają przedmiot poszczególnych rejestrów, są przepisy rozporządzeń określające cel i zadania danych rejestrów. Taki sposób określenia w ustawie zakresu przedmiotowego rejestrów medycznych tworzonych przez ministra ma charakter zbyt ogólny i nie spełnia wymagania, zgodnie z którym ograniczenie autonomii informacyjnej może nastąpić jedynie w drodze ustawy.
Nie budzi wątpliwości wymaganie określenia przedmiotu rejestrów medycznych w ustawach z uwagi na zagrożenie naruszenia autonomii informacyjnej dotyczącej szczególnie wrażliwej i intymnej sfery jednostki związanej z danymi o jej stanie zdrowia czy procesie leczenia. Konieczne jest, aby ustawa określała przedmiot rejestrów przez wskazanie, dla których zachorowań, chorób, metod leczenia, diagnozowania czy monitorowania postępów w leczeniu oraz zagrożeń związanych z występowaniem których chorób możliwe jest utworzenie rejestrów medycznych przez ministra. W takiej sytuacji samo dookreślenie celu i zadań poszczególnych rejestrów w rozporządzeniu tak, jak to przewiduje art. 20 ust. 1 pkt 1 ustawy o systemie informacji, byłoby dopuszczalne.
5.2.2. Art. 20 ust. 1 pkt 2 ustawy o systemie informacji stanowi, że minister określa w rozporządzeniu, jaki podmiot prowadzi tworzony rejestr medyczny. Z art. 19 ust. 1 ustawy o systemie informacji wynika, że minister może sam prowadzić rejestr lub zlecić jego prowadzenie.
Zgodnie z art. 19 ust. 2 ustawy o systemie informacji minister może zlecić prowadzenie rejestrów medycznych podmiotom wykonującym działalność leczniczą w rozumieniu ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (Dz. U. z 2013 r. poz. 217, ze zm.) oraz jednostkom podległym lub nadzorowanym przez tego ministra.
W rozporządzeniach wydanych do dnia wydania niniejszego wyroku minister zlecił innym podmiotom prowadzenie czterech utworzonych przez niego rejestrów (zob. § 4 ust. 2 rozporządzenia o.r.o.z.w., § 4 ust. 2 rozporządzenia k.r.o.k., § 4 ust. 1 rozporządzenia k.r.n., § 4 ust. 2 rozporządzenia r.n.n.d.g.ś.), natomiast sam prowadzi Rejestr Medycznie Wspomaganej Prokreacji (§ 4 ust. 1 rozporządzenia r.m.w.p.).
Trybunał stwierdza, że ustawa uregulowała kwestię podmiotów prowadzących rejestry w sposób wystarczający do spełnienia wymagania ustawowego unormowania ograniczeń autonomii informacyjnej. Ustawodawca w art. 19 ust. 2 ustawy o systemie informacji określił, jakiego rodzaju podmiotom minister może zlecać prowadzenie rejestru. Zapobiega to sytuacji, w której podmiot nieprzewidziany przez ustawę, prowadząc rejestr, miałby dostęp do danych o stanie zdrowia pacjentów. Z tej przyczyny, Trybunał uznał, że art. 20 ust. 1 pkt 2 ustawy o systemie informacji, przewidując, że minister określa w rozporządzeniu podmiot prowadzący rejestr medyczny, nie narusza wymagania ograniczania prawa do prywatności i autonomii informacyjnej jednostki w drodze ustawy.
5.2.3. Stosownie do art. 20 ust. 1 pkt 3 ustawy o systemie informacji, minister w rozporządzeniu określa okres, na jaki utworzono rejestr – w przypadku rejestru tworzonego na czas oznaczony. Żadne z obecnie obowiązujących pięciu rozporządzeń o utworzeniu rejestrów medycznych nie przewiduje utworzenia rejestru medycznego na czas oznaczony. Jednak zgodnie z § 2 ust. 2 rozporządzenia r.m.w.p., celem Rejestru Medycznie Wspomaganej Prokreacji jest monitorowanie udzielania świadczeń opieki zdrowotnej w zakresie leczenia niepłodności w ramach programu zdrowotnego „Program – Leczenie Niepłodności Metodą Zapłodnienia Pozaustrojowego na lata 2013-2016”.
Określenie terminu, na jaki utworzono rejestr, nie ingeruje w prawo do prywatności i jego elementu, jakim jest autonomia informacyjna jednostki, w stopniu uzasadniającym konieczność uregulowania tego zagadnienia w drodze ustawy. Z tej przyczyny Trybunał uznał, że przewidziana w art. 20 ust. 1 pkt 3 ustawy o systemie informacji możliwość określenia przez ministra w drodze rozporządzenia okresu, na jaki utworzono rejestr, nie narusza wymagania ograniczania autonomii informacyjnej jednostki w drodze ustawy.
5.2.4. Art. 20 ust. 1 pkt 4 ustawy o systemie informacji stanowi, że minister określa w rozporządzeniu sposób prowadzenia rejestru. Z treści ustawy nie wynika, jak rozumieć to sformułowanie. Należy jednak zauważyć, że istotne zagadnienia związane ze sposobem prowadzenia rejestru zostały już uregulowane w ustawie. Dotyczy to w szczególności przedstawionych już wyżej obowiązków informacyjnych podmiotu prowadzącego rejestr wobec pacjentów (zob. cz. III, pkt 2.3.3. uzasadnienia). Natomiast art. 8 ust. 2 ustawy o systemie informacji odsyła do stosowania przy prowadzeniu rejestrów medycznych właściwych przepisów ustawy o informatyzacji, a mianowicie: art. 14 ust. 1, który określa obowiązki podmiotu prowadzącego rejestr publiczny, art. 15 i art. 16 oraz przepisów wydanych na podstawie art. 16 i art. 18 tej ustawy (zob. cz. III, pkt 2.4. uzasadnienia).
Oznacza to, że kwestie związane ze sposobem prowadzenia rejestrów, które wyznaczają zakres ingerencji w autonomię informacyjną jednostki, zostały uregulowane w ustawie, a to przesądza o dopuszczalności uregulowania w rozporządzeniach kwestii szczegółowych, mieszczących się w granicach regulacji wyznaczonej przepisami rangi ustawowej. W wydanych dotąd rozporządzeniach można wskazać na przykład przepisy, stosownie do których rejestr jest prowadzony z wykorzystaniem systemu teleinformatycznego (zob. § 4 ust. 1 rozporządzenia o.r.o.z.w.; § 4 ust. 1 rozporządzenia k.r.o.k.; § 4 ust. 2 rozporządzenia r.m.w.p.; § 4 ust. 1 rozporządzenia r.n.n.d.g.ś.) lub w postaci elektronicznej (§ 4 ust. 2 rozporządzenia k.r.n.). W niektórych rozporządzeniach ustala się również, jak często są przekazywane dane do rejestrów przez podmioty określone w art. 19 ust. 8 ustawy o systemie informacji, oraz precyzuje procedurę, w ramach której to następuje (zob. § 5 rozporządzenia k.r.n.). Z tej przyczyny, Trybunał uznał, że przewidziana w art. 20 ust. 1 pkt 4 ustawy o systemie informacji możliwość dookreślenia przez ministra w drodze rozporządzenia sposobu prowadzenia rejestru medycznego nie narusza wymagania ograniczania autonomii informacyjnej jednostki w drodze ustawy.
5.2.5. Stosownie do art. 20 ust. 1 pkt 5 ustawy o systemie informacji minister zdrowia w rozporządzeniu określa zakres i rodzaj danych przetwarzanych w rejestrze spośród danych określonych w art. 4 ust. 3 i art. 19 ust. 6.
Dla oceny spełnienia wymagania, aby ograniczenie autonomii informacyjnej następowało w drodze ustawy, istotne jest ustalenie, w jaki sposób zakres danych, które mogą być przetwarzane w danym rejestrze, został już wyznaczony w samej ustawie o systemie informacji. W tym celu należało poddać analizie kolejno przepisy powołane w art. 20 ust. 1 pkt 5 ustawy o systemie informacji.
Katalog danych wymienionych w art. 4 ust. 3 pkt 1 ustawy o systemie informacji ma charakter zamknięty. Ustawodawca wymienia wprost, jakie dane mogą być przetwarzane w rejestrach medycznych tworzonych przez ministra (zob. cz. III, pkt 2.3.2. uzasadnienia). Rolą ministra jest wyznaczenie, które dane z tego katalogu będą przetwarzane w poszczególnych rejestrach. Minister może określić w rozporządzeniu, że w ramach konkretnego rejestru będą również przetwarzane jednostkowe dane medyczne, o których mowa w art. 4 ust. 3 pkt 2 w związku z art. 2 pkt 7 ustawy o systemie informacji.
W ocenie Trybunału rozwiązanie ustawowe, stosownie do którego minister został upoważniony do ustalania w rozporządzeniach, które dane spośród danych określonych w art. 4 ust. 3 pkt 1 i 2 ustawy o systemie informacji będą przetwarzane w rejestrach medycznych nie narusza zasady ochrony autonomii informacyjnej jednostki, ponieważ ustawa w wystarczającym stopniu precyzuje te dane przez ich wymienienie (dane osobowe) lub zdefiniowanie (jednostkowe dane medyczne).
Odrębnym zagadnieniem, pozostającym poza zakresem kontroli Trybunału w niniejszej sprawie, jest to, które konkretnie dane z katalogu zawartego w art. 4 ust. 3 pkt 1 ustawy o systemie informacji oraz które jednostkowe dane medyczne powinny podlegać przetwarzaniu w poszczególnych rejestrach medycznych. Wybierając te dane minister powinien się kierować wytycznymi określonymi w art. 20 ust. 1 in fine ustawy o systemie informacji oraz uwzględniać przesłanki dopuszczalnego zakresu ograniczania autonomii informacyjnej wynikające z art. 51 ust. 2 i art. 31 ust. 3 Konstytucji. Przepisy rozporządzeń określające dane podlegające przetwarzaniu mogą być oczywiście poddane kontroli zgodności z Konstytucją i ustawą. Odmienny charakter ma zawarte w art. 20 ust. 1 pkt 5 w związku z art. 19 ust. 6 ustawy o systemie informacji upoważnienie dla ministra do określenia w rozporządzeniu „innych danych” które mogą być przetwarzane w rejestrach tworzonych w drodze rozporządzenia. Z treści art. 19 ust. 6 w związku z art. 4 ust. 3 pkt 2 i art. 2 pkt 7 ustawy o systemie informacji wynika jedynie, że chodzi o dane niemieszczące się w zakresie danych wymienionych w art. 4 ust. 3 pkt 1 i 2 ustawy o systemie informacji. Przepisy ustawy nie pozwalają na ustalenie, o jakie dane może chodzić, poza tym, że mogą to być także dane dające się powiązać z konkretną osobą fizyczną. Również uczestnicy postępowania nie potrafili na rozprawie w dniu 15 lipca 2014 r. podać przykładów danych, o które mogłoby chodzić.
Trybunał stwierdził, że art. 20 ust. 1 pkt 5, w części, w jakiej upoważnia ministra do określenia w rozporządzeniu, że przetwarzaniu w rejestrze będą podlegać niesprecyzowane „inne dane”, o których mowa w art. 19 ust. 6 ustawy, nie odpowiada konstytucyjnemu wymaganiu normowania ograniczeń autonomii informacyjnej w ustawie. Regulacja ustawowa dotycząca „innych danych” jest w pełni blankietowa.
5.2.6. Stosownie do art. 20 ust. 1 pkt 6 ustawy o systemie informacji minister określa w rozporządzeniu sposób zabezpieczenia danych osobowych zawartych w rejestrze przed nieuprawnionym dostępem. Należy zauważyć, że kwestie związane z funkcjonowaniem systemów teleinformatycznych obsługujących system informacji, czyli również rejestrów medycznych, w tym te związane z zabezpieczeniem danych, zostały uregulowane ustawowo (zob. cz. III pkt 2.4. uzasadnienia). Tym samym można uznać, że co do sposobu zabezpieczenia danych osobowych zawartych w rejestrze medycznym przed nieuprawnionym dostępem wymaganie podstawy ustawowej regulacji zostało spełnione.
W każdym z wydanych przez ministra rozporządzeń dotyczących utworzenia rejestrów medycznych znajduje się przepis przewidujący ochronę danych osobowych na poziomie wysokim, stosownie do ustawy o ochronie danych i przepisów wydanych na jej podstawie (zob. np. § 5 ust. 1 rozporządzenia r.n.n.d.g.ś.). Kwestie, których dotyczy art. 20 ust. 1 pkt 6 ustawy o systemie informacji, związane są z techniczną stroną funkcjonowania systemu teleinformatycznego obsługującego rejestry, i dopóki nie wykraczają poza wyznaczone przepisami ustawy ramy dotyczące zabezpieczenia tego systemu, dopóty ich uregulowanie w drodze rozporządzenia należy uznać za dopuszczalne.

5.3. Z przeprowadzonej powyżej analizy wynika, że kwestionowany art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy o systemie informacji narusza wymaganie wprowadzania ograniczeń autonomii informacyjnej jednostki w dwóch kwestiach.
Po pierwsze, ustawa nie wyznacza przedmiotu poszczególnych rejestrów, który mieści się w ramach sformułowania „cel i zadania” (art. 20 ust. 1 pkt 1 ustawy o systemie informacji)Brakuje bowiem sprecyzowania, jakich lub jakiego rodzaju zachorowań, chorób, stanu zdrowia, metod leczenia, diagnozowania, monitorowania postępów w leczeniu oraz zagrożeń związanych z występowaniem których chorób mają one dotyczyć (zob. cz. III, pkt. 5.2.1. uzasadnienia). Ogólne określenie przedmiotu rejestrów zawarte w art. 19 ust. 1 in fine ustawy o systemie informacji wyznacza jedynie zbiorcze ramy dla wszystkich rejestrów medycznych. Nie jest to jednak wystarczające dla spełnienia wymagań ograniczenia autonomii informacyjnej obywateli i innych osób w drodze ustawy. Wymagane jest zatem uszczegółowienie obecnego ogólnego określenia przez wskazanie w ustawie przedmiotu konkretnych rejestrów. Zapewni to prawidłową relację między ustawą a rozporządzeniami o utworzeniu rejestrów.
Po drugie, niektóre dane, jakie mogą być przetwarzane w rejestrach tworzonych przez ministra, nie zostały sprecyzowane w ustawie. Warunku prawidłowej regulacji ustawowej nie spełnia użycie wyrażenia „inne dane”, których możliwość przetwarzania w rejestrach przewiduje art. 20 ust. 1 pkt 5 w związku z 19 ust. 6 ustawy o systemie informacji.
Trybunał Konstytucyjny stwierdził zatem, że:
1) art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy o systemie informacji w zakresie, w jakim przewiduje określenie przedmiotu rejestrów medycznych przez ministra w drodze rozporządzenia, jest niezgodny z art. 47 oraz art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3 Konstytucji;
2) art. 20 ust. 1 pkt 5 ustawy o systemie informacji, w części, w jakiej przewiduje, że w rozporządzeniu minister określa zakres i rodzaj danych przetwarzanych w rejestrze spośród danych określonych w art. 19 ust. 6 tej ustawy, jest niezgodny z art. 47 oraz art. 51 ust. 1, 2 i 5 w związku z art. 31 ust. 3 Konstytucji.
5.3.1. Należy zauważyć, że w pozostałym zakresie kwestionowane przepisy nie naruszają wymagania formy ustawowej dla ograniczenia autonomii informacyjnej. Tak więc zgodne z Konstytucją jest upoważnienie ustawowe do określenia przez ministra w drodze rozporządzenia: podmiotu prowadzącego rejestr (art. 20 ust. 1 pkt 2), okresu, na jaki utworzono rejestr (art. 20 ust. 1 pkt 3), sposobu prowadzenia rejestru w ramach wyznaczonych przepisami ustawowymi (art. 20 ust. 1 pkt 4), zakresu i rodzaju danych przetwarzanych w rejestrze spośród danych określonych w art. 4 ust. 3 ustawy o systemie informacji (art. 20 ust. 1 pkt 5), sposobu zabezpieczenia danych osobowych zawartych w rejestrze przed nieuprawnionym dostępem, uwzględniając regulację ustawową, która obecnie reguluje to zagadnienie (art. 20 ust. 1 pkt 6). Zgodne z Konstytucją jest także unormowanie w rozporządzeniu celu i zadań rejestru, o ile jego przedmiot zostanie najpierw określony w ustawie (zob. cz. III. pkt 5.2. uzasadnienia).
5.3.2. Zdaniem Trybunału, samo przyznanie ministrowi właściwemu do spraw zdrowia kompetencji do tworzenia rejestrów medycznych w drodze rozporządzenia nie narusza wymagania ograniczenia prawa do prywatności oraz autonomii informacyjnej jednostki w drodze ustawy. Takie rozwiązanie jest racjonalne, ponieważ pozwala na elastyczność tworzenia poszczególnych rejestrów i umożliwia skuteczne realizowanie celów, dla których rejestry mają być tworzone, sformułowanych w art. 19 ust. 1 ustawy o systemie informacji. Wobec wymagań ograniczenia prawa do prywatności w aspekcie ochrony autonomii informacyjnej jednostki w drodze ustawy konieczne jest jednak, aby przedmiot rejestrów został wyznaczony przez ustawę, a także dane, które mogłyby być w nich gromadzone, zostały wyraźnie ustalone w ustawie. Natomiast minister – na podstawie uprawnienia przewidzianego w art. 19 ust. 1 ustawy o systemie informacji – ma kompetencje do decydowania, czy i jakie rejestry tworzyć. W tym kontekście na uwagę zasługuje przewidziana w art. 19 ust. 3 i 4 ustawy o systemie informacji procedura analizy potrzeb utworzenia rejestru medycznego, która jest obowiązkowym etapem poprzedzającym wydanie rozporządzenia o utworzeniu rejestru.

6. Ocena zgodności art. 20 ust. 1 ustawy o systemie informacji z art. 92 ust. 1 Konstytucji.
Art. 92 ust. 1 Konstytucji formułuje wymagania, jakim musi odpowiadać upoważnienie ustawowe do wydania rozporządzenia. Przepis ten dopuszcza stanowienie rozporządzeń tylko na podstawie „szczegółowego upoważnienia zawartego w ustawie i w celu jej wykonania”. Upoważnienie musi mieć zatem charakter szczegółowy pod względem: 1) podmiotowym (musi określać organ właściwy do wydania rozporządzenia), 2) przedmiotowym (musi określać zakres spraw przekazanych do uregulowania) oraz 3) treściowym (musi określać wytyczne dotyczące treści aktu).
Kwestionowane przepisy spełniają wymaganie określenia organu upoważnionego do wydania rozporządzenia. Zgodnie z art. 19 ust. 1 oraz art. 20 ust. 1 ustawy o systemie informacji jest nim minister właściwy do spraw zdrowia.
Art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy o systemie informacji, jak już wskazano powyżej, nie określają jednak precyzyjnie przedmiotu rozporządzeń, czyli zakresu spraw przekazanych do uregulowania w rozporządzeniu. Ustawodawca pozostawił ministrowi w treści art. 19 ust. 1 ustawy o systemie informacji możliwość wydawania rozporządzeń dotyczących tworzenia rejestrów obejmujących bliżej nieokreślone i niesprecyzowane choroby, zachorowania, metody leczenia, diagnozowania, stanu zdrowia, czy też zagrożeń wynikających z niektórych chorób (zob. cz. III, pkt 5.2. uzasadnienia). Trybunał zauważa, że te same niedostatki regulacji zawartej w art. 20 ust. 1 ustawy o systemie informacji, które powodują niezgodność z art. 47 w związku z art. 51 ust. 1, 2 i 5 Konstytucji, prowadzą do wniosku o niezgodności zaskarżonego przepisu z art. 92 ust. 1 Konstytucji.
Wytyczne do wydania rozporządzenia dookreślające jego treść zostały zawarte przede wszystkim w art. 20 ust. 1 ustawy o systemie informacji. Zgodnie z orzecznictwem Trybunału, wytyczne nie muszą być zamieszczone w przepisie zawierającym upoważnienie ustawowe (zob. wyrok z 29 maja 2002 r., sygn. P 1/01, OTK ZU nr 3/A/2002, poz. 36). Również art. 19 ust. 1 i art. 19 ust. 4 ustawy o systemie informacji zawierają wytyczne do wydania rozporządzeń tworzących rejestry. Przepisy te pośrednio wyznaczają treść rozporządzenia. W ocenie Trybunału, sposób określenia wytycznych do wydania rozporządzeń o tworzeniu rejestrów medycznych nie budzi wątpliwości z punktu widzenia zgodności z art. 92 ust. 1 Konstytucji.
Trybunał stwierdza, że w ustawie o systemie informacji brak jest przepisu określającego przedmiot rozporządzeń o utworzeniu rejestrów medycznych. Biorąc pod uwagę powyższe, Trybunał orzekł, że art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy o systemie informacji w zakresie, w jakim przewiduje określenie przedmiotu rejestrów medycznych przez ministra w drodze rozporządzenia, jest niezgodny z art. 92 ust. 1 Konstytucji.

7. Skutki wyroku.

7.1. Z uwagi na utratę mocy obowiązującej przepisów uznanych przez Trybunał za niezgodne z Konstytucją po wejściu w życie niniejszego wyroku nie będzie dopuszczalne tworzenie nowych rejestrów medycznych przez ministra na podstawie art. 20 ust. 1 w związku z art. 19 ust. 1 ustawy o systemie informacji. Aby stało się to możliwe, konieczne jest określenie w ustawie przedmiotu rozporządzeń przez sprecyzowanie, jakich lub jakiego rodzaju zachorowań, chorób, stanu zdrowia, metod leczenia, diagnozowania, monitorowania postępów w leczeniu oraz zagrożeń związanych z występowaniem których chorób mogą dotyczyć rejestry medyczne tworzone przez ministra. Może to nastąpić przez ich wymienienie w treści ustawy o systemie informacji czy też przez wskazanie, że szczegółowy wykaz jest zawarty w załączniku do ustawy.
Od decyzji ustawodawcy zależy, czy w rejestrach medycznych dopuszczalne będzie przetwarzanie dalszych danych poza tymi, które zostały wymienione w art. 4 ust. 3 pkt 1 i 2 ustawy o systemie informacji. W takim razie niezbędne będzie wymienienie lub zdefiniowanie tych dodatkowych danych.

7.2. Zgodnie z orzecznictwem Trybunału, „utrata mocy obowiązującej uznanego za niezgodny z Konstytucją przepisu ustawowego, upoważniającego do wydania rozporządzenia, automatycznie pociąga za sobą także utratę mocy obowiązującej wydanego na jego podstawie rozporządzenia” (wyrok z 9 maja 2009 r., sygn. P 4/05, OTK ZU nr 5/A/2006, poz. 55). Trybunał zauważył jednak, że rozporządzenia wydawane na podstawie art. 20 ust. 1 ustawy o systemie informacji mają nietypowy charakter. Będąc formalnie źródłami prawa powszechnie obowiązującego, wykazują w istocie cechy aktów indywidualnych (zob. o takich aktach S. Wronkowska, Modele rozporządzenia jako aktu wykonawczego do ustaw w świetle Konstytucji i praktyki, [w:] Konstytucyjny system źródeł prawa w praktyce, red. A. Szmyt, Warszawa 2005, s. 87-89). Ich główną funkcją nie jest wydanie przepisów wykonawczych do ustawy, ale utworzenie poszczególnych rejestrów medycznych. Dyspozycje norm zawartych w przepisach, z których wynika, że „tworzy się” określone rejestry, zostały zrealizowane wraz z wejściem w życie poszczególnych rozporządzeń. Utrata mocy obowiązującej przepisu, na podstawie którego normy te obowiązywały, nie pociąga za sobą automatycznej eliminacji skutku w postaci utworzenia poszczególnych rejestrów medycznych. Dominująca funkcja kreacyjna omawianych rozporządzeń powoduje, że zakresowe orzeczenie o niezgodności z Konstytucją przepisu ustawowego upoważniającego do wydania rozporządzenia nie oznacza likwidacji rejestrów. Oznacza to, że rejestry medyczne utworzone w drodze rozporządzeń, które weszły w życie przed dniem ogłoszenia niniejszego wyroku w Dzienniku Ustaw, mogą nadal być prowadzone.


Z tych względów Trybunał Konstytucyjny orzekł jak w sentencji.