II SA/Wa 1142/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj, Sędzia WSA Arkadiusz Koziarski (spr.), Asesor WSA Mateusz Rogala, po rozpoznaniu w trybie uproszczonym w dniu 17 lutego 2026 r. sprawy ze skargi A. W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla punkt 2 zaskarżonej decyzji; 2. oddala skargę w pozostałym zakresie; 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącej A. W. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania.

Decyzją z dnia [...] maja 2025 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej "PUODO" lub "organ"), działając na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572, dalej "k.p.a.") w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, dalej "u.o.d.o."), art. 6 ust. 1 lit. f, art. 9 ust. 2 lit. f, art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie skargi A.W. (dalej "skarżąca") na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Zespół Placówek Oświatowych w [...], polegające na udostępnieniu jej danych osobowych na rzecz podmiotów nieuprawnionych, 1. umorzył postępowanie w zakresie dotyczącym udostępnienia przez Zespół Placówek Oświatowych w [...] danych osobowych skarżącej, o których mowa w piśmie z 19 maja 2022 r., na rzecz rodziców uczniów tej placówki; 2. odmówił uwzględnienia wniosku w pozostałym zakresie. W uzasadnieniu organ wyjaśnił, że do Urzędu Ochrony Danych Osobowych wpłynęła skarga skarżącej na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Zespół Placówek Oświatowych w [...] (dalej "Szkoła"), polegające na udostępnieniu jej danych osobowych na rzecz podmiotów nieuprawnionych. W treści skargi skarżąca wskazała, że Szkoła w piśmie z 29 listopada 2022 r. kierowanym do Przewodniczącej Rady Miejskiej w [...] oraz Przewodniczącego Komisji, Skarg i Wniosków w [...] bezprawnie udostępniła jej dane osobowe dotyczące stanu zdrowia. Skarżąca wskazała również, że rodzice uczniów Szkoły posiadali informacje o wydarzeniach w Szkole z jej udziałem, których nie byli bezpośrednimi świadkami, a o których pisali w skardze z 19 maja 2022 r. do Dyrektora Szkoły, tj. częste przebywanie przez skarżącą na zwolnieniu lekarskim oraz narażanie dzieci na niepotrzebny stres poprzez pozostawanie na stanowisku pracy mimo złego stanu zdrowia. PUODO wskazał, że w toku przeprowadzonego postępowania wyjaśniającego ustalił następujący stan faktyczny: 1. skarżąca jest pracownikiem Szkoły od 1 września 2018 r. zatrudnionym na podstawie umowy o pracę na czas nieokreślony w stopniu nauczyciela mianowanego. 2. Pismem z 19 maja 2022 r. Rada Rodziców skierowała do Szkoły skargę, która dotyczyła między innymi skarżącej. W treści skargi wskazane zostało imię nazwisko skarżącej oraz w ocenie Rodziców uczniów Szkoły "rażące zachowania" skarżącej, tj.: zabranianie dzieciom w Przedszkolu mówienia; ograniczania dzieciom ilości dostępnych zabawek; zasłabnięcie na placu zabaw w obecności dzieci, częste przebywanie na zwolnieniu lekarskim czego przejawem były częste zmiany opiekunów grup przedszkolnych. Ponadto w treści skargi rodzice przywołali publicznie znaną informację o leczeniu psychiatrycznym skarżącej oraz przejmowaniu stosownych leków, co w ich ocenie rodzi obawy czy skarżąca jest w pełni zdolna sprawować obowiązki wychowawcze nad dziećmi 3. Odnosząc się do udostępnienia danych skarżącej na rzecz Przewodniczącej Rady Miasta i Gminy [...] Szkoła wskazała, że nauczyciel jest funkcjonariuszem publicznym, dlatego w jej ocenie dane osobowe w zakresie imienia i nazwiska są dostępne publicznie i zostały przekazane Przewodniczącej Rady Miasta i Gminy [...] wtoku procedury wyjaśniającej w odpowiedzi na wezwanie z 1 listopada 2022 r. dotyczące między innymi skargi skarżącej. Szkoła wskazała, że osoby pełniące funkcje Radnych Miasta i Gminy [...] posiadają kompetencje kontrolne, a ich obowiązkiem było żądanie pełnych wyjaśnień w toku procedowania i omawiania przedmiotowej sprawy. Szkoła wskazała, że skarżąca sama przedstawiła się i podała swoje dane osobowe w treści skargi, co potwierdza fakt posługiwania się danymi przez Radę Gminy i Miasta [...]. Ponadto Dyrektor Szkoły wskazała, że celem udzielenia Radzie Miasta i Gminy [...] stosownych wyjaśnień w piśmie z 29 listopada 2022 r. nawiązała do zdarzeń z udziałem skarżącej zasłabnięcia na placu zabaw i zdarzeń z przeszłości skarżącej (śmierć członków rodziny w tragicznym wypadku), które miały na nią duży wpływ i sposób postępowania oraz działania podejmowane przez Szkołę oraz udostępniła wnioskowane dokumenty, w tym wykaz nieobecności skarżącej. 4. Odnosząc się do udostępnienia danych skarżącej na rzecz uczniów Szkoła wskazała, że informacje zawarte w skardze Rady Rodziców z 19 maja 2022 r. do Szkoły w zakresie zasłabnięcia na placu zabaw nie są danymi dotyczącymi zdrowia skarżącej. Szkoła wskazała, że zachowanie skarżącej polegające na zasłabnięciu na placu zabaw może zdarzyć się każdemu. Zasłabnięcie z udziałem skarżącej miało miejsce 21 października 2021 r., w godzinach pracy i wiązało się z wezwaniem karetki pogotowia oraz przeprowadzeniem czynności przez komisje powypadkową. Dyrektor Szkoły wskazała, że w dniu zdarzenia nie przekazywała nikomu jakichkolwiek informacji dotyczących stanu zdrowia skarżącej, ani innych danych skarżącej, które nie są publiczne znane, w tym znane rodzicom uczniów (imienia, nazwiska, zatrudnienia, stanowiska, miejsca pracy), jak również nie posiada informacji aby inni pracownicy udostępniali dane osobowe skarżącej komukolwiek. Następnie, odnosząc się do zarzutu skarżącej udostępnienia jej danych osobowych przez Szkołę Rodzicom Uczniów, które posłużyły do napisania przez nich skargi na nauczycieli do Dyrektor Szkoły, PUODO wskazał, że w niniejszej sprawie analiza materiału dowodowego nie wykazała w sposób jednoznaczny i bezsporny, aby doszło do nieuprawnionego udostępnienia danych osobowych skarżącej przez Szkołę. Stawianym zarzutom zaprzeczyła Szkoła. Skarżąca nie przedstawiła natomiast jakichkolwiek dowodów potwierdzających stawiane w skardze zarzuty. Ponadto w treści skargi z 16 maja 2022 r., jak wskazuje w wyjaśnieniach Szkoła, rodzice uczniów Szkoły odwołują się do wydarzeń między innymi z udziałem skarżącej i dzieci, tj. zasłabnięcia skarżącej na placu zabaw podczas sprawowania opieki nad uczniami, nieobecność skarżącej w pracy, których świadkami były inne osoby, w tym uczniowie lub rodzice, którzy mogli opisać przebieg zdarzeń rodzicom składającym w ich imieniu skargę. Organ zauważył, że zgromadzony w sprawie materiał dowodowy jak również treść skargi wskazuje na istnienie konfliktów pomiędzy Szkołą a skarżącą. PUODO wyjaśnił, że nie jest właściwy do rozstrzygnięcia przedmiotowego sporu, a jedynie w sposób obiektywny ocenia czy doszło lub nie do naruszenia ochrony danych osobowych skarżącej. Skarga została złożona przez skarżącą po upływie 2 lat od zdarzeń, których przebieg ona kwestionuje. Zdaniem organu materiał dowodowy zebrany w sprawie nie świadczy o prawdziwości opisanych w skardze okoliczności we wskazanym zakresie. Wobec powyższego, zdaniem PUODO, postępowanie w zakresie dotyczącym udostępnienia przez Szkołę danych osobowych skarżącej, o których mowa w piśmie z 19 maja 2022 r., na rzecz rodziców uczniów tej placówki, należało umorzyć na podstawie art. 105 § 1 k.p.a. Odnośnie zarzutu skarżącej w zakresie udostępnienia przez Szkołę jej danych osobowych na rzecz Przewodniczącej Rady Miasta i Gminy [...] oraz Przewodniczącego Komisji, Skarg i Wniosków Rady Miasta i Gminy [...] PUODO wskazał, że przepisem uprawniającym administratorów do przetwarzania danych osób fizycznych jest art. 6 ust. 1 RODO, natomiast przesłanki legalności przetwarzania szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO, w tym danych osobowych dotyczących zdrowia, określone zostały w art. 9 ust. 2 RODO.Katalog przesłanek wymienionych w art. 6 ust. 1 i art. 9 ust. 2 RODO jest zamknięty. Przesłanki te mają charakter autonomiczny i niezależny. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, ponieważ proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator wykaże spełnienie innej z wyżej wymienionych przesłanek. Organ wyjaśnił, że ze zgromadzonego w sprawie materiału dowodowego wynika, że Rada Miasta i Gminy [...] prowadziła w 2022 r. postępowanie kontrolne wobec Szkoły w związku ze skargą złożoną między innymi przez skarżącą. W ramach prowadzonych czynności kontrolnych Przewodnicząca Rady Miasta i Gminy w [...] skierowała do Dyrektor Szkoły wezwanie celem uzyskania stosownych wyjaśnień oraz określonych dokumentów, w tym dotyczących skarżącej. PUODO podniósł, że zgodnie z art. 223 § 1 k.p.a. organy państwowe, organy samorządu terytorialnego i inne organy samorządowe oraz organy organizacji społecznych - rozpatrują oraz załatwiają skargi i wnioski w ramach swojej właściwości. Zgodnie zaś z § 9 rozporządzenia Rady Ministrów w sprawie organizacji, przejmowania i rozpatrywania skarg i wniosków (Dz. U. z 2002 r. nr 2 poz. 46) jeżeli rozpatrzenie skargi lub wniosku wymaga uprzedniego zbadania i wyjaśnienia sprawy, organ właściwy do rozpatrzenia skargi lub wniosku zbiera niezbędne materiały. W tym celu może zwrócić się do innych organów o przekazanie niezbędnych materiałów i wyjaśnień. Organ ocenił, że Szkoła otrzymując wezwanie Komisji Skarg, Wniosków i Petycji Rady Miasta i Gminy [...] w sprawie dotyczącej skargi skarżącej zobowiązana była do udzielenia stosownych wyjaśnień celem umożliwienia rozpatrzenia złożonej skargi oraz obrony przed stawianymi jej zarzutami. PUODO uznał, że przetwarzanie przez Szkołę danych osobowych skarżącej, w tym udostępnienie ich na rzecz Rady Miasta i Gminy [...], celem udzielenia stosownych wyjaśnień oraz przesłania wnioskowanych dokumentów, jest zgodne z art. 6 ust. 1 lit. f (w zakresie danych, o których mowa w art. 6 ust. 1 RODO) oraz art. 9 ust. 2 lit. f RODO (w zakresie danych o jej stanie zdrowia - nieobecności w pracy z powodu otrzymania zwolnienia lekarskiego) oraz adekwatne do celu jakim była obrona Szkoły przed stawianymi zarzutami oraz udzielenie Komisji Skarg, Wniosków i Petycji Rady Miasta i Gminy [...] wyjaśnień umożliwiających prawidłową ocenę stawianych Szkole (Dyrektor Szkoły) zarzutów i wydanie rzetelnego rozstrzygnięcia. Ponadto organ dodał, że jeżeli wskutek okoliczności podniesionych w skardze doszło, w ocenie skarżącej, do naruszenia jej dóbr osobistych, to istnieje możliwość wystąpienia z osobnym powództwem cywilnym wobec administratora. Stosownie bowiem do art. 23 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz. U. z 2022 r. poz. 1360 ze zm.) dobra osobiste człowieka pozostają pod ochroną prawa cywilnego niezależnie od ochrony przewidzianej w innych przepisach. Zgodnie natomiast z art. 24 § 1 Kodeksu cywilnego ten, czyje dobro osobiste zostaje zagrożone cudzym działaniem, może żądać zaniechania tego działania, chyba że nie jest ono bezprawne. W razie dokonanego naruszenia może on także żądać, ażeby osoba, która dopuściła się naruszenia, dopełniła czynności potrzebnych do usunięcia jego skutków, w szczególności złożyła oświadczenie odpowiedniej treści i w odpowiedniej formie. Na zasadach przewidzianych w kodeksie można również żądać zadośćuczynienia pieniężnego lub zapłaty odpowiedniej sumy pieniężnej na wskazany cel społeczny. Artykuł 17 ustawy z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego (Dz. U. z 2021 r. poz. 805 ze zm.) wskazuje na właściwość sądów okręgowych do rozstrzygania spraw tego rodzaju. Natomiast, jeżeli wskutek naruszenia dobra osobistego została wyrządzona szkoda majątkowa, poszkodowana może żądać jej naprawienia na zasadach ogólnych. Na powyższą decyzję skarżąca wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżonej decyzji skarżąca zarzuciła: 1. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. art. 7 w związku z art. 77 § 1 w związku z art. 80 w związku z art. 107 § 3 w związku z art. 138 §1 pkt 1 k.p.a. poprzez ich niewłaściwe zastosowanie, a to brak podjęcia wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego, niewyczerpujące rozpatrzenie materiału dowodowego, co w ostateczności spowodowało wydanie wadliwej decyzji; 2. naruszenie art. 6 ust. 1 lit. f w zw. z art. 9 ust. 2 lit. f RODO poprzez uznanie, iż administrator danych osobowych, będąc zobowiązanym do udzielenia stosownych wyjaśnień Komisji Skarg, Wniosków i Petycji Rady Miasta i Gminy [...] był uprawniony do obrony przed zarzutami, podczas gdy nie sposób uznać, że ujawnianie danych wrażliwych dotyczących własnych pracowników (stan zdrowia) stanowić może odpowiednią i trafną formę odpierania zarzutów dotyczących mobbingu, dyskryminacji i innych działań, które zarzucane były administratorowi, obrona przed roszczeniami może i powinna następować w sposób nie naruszający praw osób trzecich i przede wszystkim w sposób mający minimalizować potencjalne konflikty, a nie generować, czego organ nie wziął pod uwagę, uznając, że w obronie własnej można również ujawniać na zewnątrz informacje o charakterze intymnym; 3. naruszenie art. 33 ust. 1 RODO poprzez jego niezastosowanie i przyjęcie, iż administrator danych nie był zobowiązany do podjęcia stosownych działań w przypadku naruszenia ochrony danych osobowych (zgłoszenie organowi nadzorczemu), podczas gdy z akt sprawy wynika, że rada rodziców w skardze 19 maja 2022 r. ujawnia wrażliwe dane osobowe skarżącej w postaci jej stanu zdrowia i pomijając już aspekt bezprawnego ujawniania tej informacji, to rada rodziców nie jest i nie była podmiotem który dysponował takimi informacjami lub byłby uprawniony do posiadania takich danych; zatem doszło do ujawnienia nieuprawnionemu podmiotowi danych wrażliwych pracowników administratora, a więc naruszenia ochrony danych osobowych, co w konsekwencji obligowało administratora do podjęcia odpowiednich działań, których w ostateczności zaniechał; 4. naruszenie art. 58 ust. 2 RODO poprzez zaniechanie zastosowania uprawnień naprawczych wskazanych w lit a)-b) w sytuacji, gdy działania podejmowane przez administratora danych osobowych, jakim był Zespół Placówek Oświatowych w [...] nie stanowiły realizacji uprawnień administratora, a jedynie arbitralne i dowolne obracanie danymi pracowników według własnego uznania, z pominięciem przepisów dotyczących ochrony danych osobowych. W oparciu o powyższe zarzuty skarżąca wniosła o uchylenie zaskarżonej decyzji w całości, rozpoznanie sprawy w trybie uproszczonym oraz o zasądzenie od organu na jej rzecz zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. W uzasadnieniu skargi skarżąca podniosła m.in., że przekazanie danych dotyczących zdrowia, zgodnie z art. 9 ust. 1 RODO, co do zasady jest zabronione, zaś przetwarzanie ich wymaga spełnienia jednej z przesłanek szczególnych. W ocenie skarżącej organ w zaskarżonej decyzji bezpodstawnie uznał, że przetwarzanie to nie narusza przepisów RODO, opierając się na domniemanym interesie administratora danych. Tymczasem przed stosowaniem tej podstawy prawnej przetwarzania danych, która została wskazana w decyzji (art. 6 ust. 1 lit. f RODO lub art. 9 ust. 2 lit. f RODO) niezbędne jest przeprowadzenie testu równowagi interesów (tzw. "balancing test"), uwzględniającego nadrzędność praw i wolności osoby, której dane dotyczą. Skarżąca zarzuciła, że organ nie wykazał, by przeprowadzono wymagane ważenie interesów, nic nie wskazuje, aby uwzględniono i porównano interes administratora z prawem skarżącej do prywatności i ochrony jej danych. Organ nawet nie podjął próby wyjaśnienia tego zagadnienia w uzasadnieniu decyzji. W ocenie skarżącej przed podjęciem jakiejkolwiek operacji związanej z danymi osobowymi, chcąc powołać się na prawnie uzasadniony interes, administrator winien przeprowadzić taki test, a organ jest zobowiązany zweryfikować czy zostało to uczynione. Skarżąca podniosła również, że zgodnie z art. 9 ust. 2 lit. f RODO dopuszczalne jest przetwarzanie danych szczególnych kategorii ale jedynie, gdy jest to niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Zdaniem skarżącej administrator nie wskazał, aby którakolwiek z przesłanek z art. 9 ust. 2 RODO była spełniona, a mimo to dopuścił się przetwarzania danych dotyczących stanu zdrowia. W odpowiedzi na skargę organ wniósł o oddalenie skargi, podnosząc argumentację tożsamą z zaprezentowaną w zaskarżonej decyzji. Ponadto organ wyjaśnił, że w niniejszej sprawie w celu zweryfikowania zarzutów skarżącej względem Szkoły, zgromadził pełny materiał dowodowy i dokonał jego oceny w sposób rzetelny i wyczerpujący w zgodzie z zasadą wynikającą z art. 80 k.p.a., a wyniki tej oceny znalazły odzwierciedlenie w uzasadnieniach decyzji. Organ zwracał się kilkukrotnie do Szkoły oraz skarżącej o złożenie pisemnych wyjaśnień oraz potwierdzających je dowodów w sprawie przedstawionej w ww. skardze. Sposób działania organu ochrony danych osobowych był zdeterminowany spoczywającym na nim, na mocy art. 77 § 1 k.p.a., obowiązkiem wyczerpującego zebrania oraz rozpatrzenia całego materiału dowodowego. Wydanie decyzji administracyjnej w sprawie należącej do właściwości PUODO musiało być bowiem poprzedzone dokładnym zbadaniem jej okoliczności faktycznych oraz zebraniem niezbędnego i wystarczającego oraz wewnętrznie spójnego materiału dowodowego. PUODO stwierdził, że prowadząc postępowanie w niniejszej sprawie przedsięwziął wszelkie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych przedmiotowej sprawy i zebraniu materiału dowodowego potrzebnego do rozstrzygnięcia jej decyzją administracyjną. Przedmiot postępowania po dokonaniu kompleksowej analizy całości zebranego w postępowaniu materiału dowodowego stosownie do treści art. 77 k.p.a., został rzetelnie oceniony przez PUODO przez pryzmat przepisów RODO. Pod uwagę wzięte zostały zarówno składane przez Szkołę wyjaśnienia wraz załącznikami, jak i skarga skarżącej wraz z załącznikami. Organ działał także zgodnie z art. 8 § 1 k.p.a. prowadząc postępowanie w sposób budzący zaufanie jego uczestników do władzy publicznej, kierując się zasadami proporcjonalności, bezstronności i równego traktowania. Ponadto organ poinformował pełnomocnik skarżącej o zebraniu materiału dowodowego w sprawie pismem z 10 września 2024 r. wskazując na możliwość zapoznania się z aktami sprawy oraz możliwość wypowiedzenia się co do zebranych dowodów i materiałów oraz zgłoszenia żądań. Organ stwierdził, że Szkoła otrzymując wezwanie Komisji Skarg, Wniosków i Petycji Rady Miasta i Gminy [...] w sprawie dotyczącej skargi skarżącej zobowiązana była do udzielenia stosownych wyjaśnień celem umożliwienia rozpatrzenia złożonej skargi oraz obrony przed stawianymi jej zarzutami. Tym samym, w ocenie PUODO, uznać należy, że przetwarzanie przez Szkołę danych osobowych skarżącej, w tym udostępnienie ich na rzecz Rady Miasta i Gminy [...], celem udzielenia stosownych wyjaśnień oraz przesłania wnioskowanych dokumentów, za zgodne z art. 6 ust. 1 lit. f (w zakresie danych, o których mowa w art. 6 ust. 1 RODO) oraz art. 9 ust 2 lit. f RODO (w zakresie danych o jej stanie zdrowia) oraz adekwatne do celu jakim była obrona Szkoły przed stawianymi zarzutami oraz udzielenie Komisji Skarg, Wniosków i Petycji Rady Miasta i Gminy [...] wyjaśnień umożliwiających prawidłową ocenę stawianych Szkole (Dyrektor Szkoły) zarzutów i wydanie rzetelnego rozstrzygnięcia. Organ wskazał również, że w jego ocenie zakres udostępnionych danych skarżącej był adekwatny do celu, odnosił się do jej sytuacji zawodowej i wydarzeń związanych i wpływających na jej zatrudnienie w Szkole. Udostępniane informacje były prawdziwe i nie wymagały aktualizacji. Skarżąca w toku postępowania UODO nie podważała prawdziwości powyższej informacji. Tym samym organ nie miał podstaw do stwierdzenia naruszenia zasad określonych w art. 6 ust. 1, art. 9 ust. 1 lub art. 5 ust. 1 lit. a, b, c RODO. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Na wstępie należy wyjaśnić, że złożona w niniejszej sprawie skarga została rozpoznana na posiedzeniu niejawnym w trybie uproszczonym, stosownie do art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2026 r. poz. 143, z późn. zm.), dalej "p.p.s.a." Zgodnie z powołaną regulacją, sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. W skardze skarżąca wniosła o rozpoznanie sprawy w trybie uproszczonym pozostałe strony nie zażądały zaś przeprowadzenia rozprawy. Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r. poz. 2492, z późn. zm.), sądy administracyjne sprawują wymiar sprawiedliwości m. in. przez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Skarga oceniana w świetle powyższych kryteriów częściowo zasługuje na uwzględnienie. W punkcie 2 rozstrzygnięcia zaskarżonej decyzji organ odmówił uwzględnienia wniosku skarżącej dotyczącego, zdaniem skarżącej, bezprawnego udostępnienia na rzecz Przewodniczącego Rady Miejskiej w [...] oraz Przewodniczącego Komisji Skarg, Wniosków i Petycji Rady Miasta i Gminy [...] jej danych osobowych. Zaznaczenia przy tym wymaga, że skarżąca w skierowanej do PUODO skardze odnośnie tego zarzutu wyraźnie wskazywała, iż dotyczy on przetwarzania danych osobowych w zakresie informacji o jej stanie zdrowia. Organ w zaskarżonej decyzji uznał, że Szkoła była uprawniona do przetwarzania danych osobowych skarżącej poprzez ich udostępnienie na rzecz Przewodniczącego Rady Miejskiej w [...] oraz Przewodniczącego Komisji Skarg, Wniosków i Petycji Rady Miasta i Gminy [...] na podstawie art. 6 ust. 1 lit f oraz art. 9 ust. 2 lit f RODO. Odnośnie podstawy z art. 6 ust. 1 lit f RODO organ wskazał, że był on podstawą przetwarzania przez Szkołę "w zakresie danych, o których mowa w art. 6 ust. 1 RODO". Organ nie wyjaśnił, jakie dane osobowe ma w tym przypadku na uwadze. Biorąc pod uwagę treść skargi skierowanej przez skarżącą do PUODO poważne wątpliwości budzi zatem to, jaki proces przetwarzania danych osobowych organ oceniał w kontekście art. 6 ust. 1 lit f RODO, oraz to, jakie dane osobowe skarżącej w tym procesie były przez Szkołę przetwarzane. Uchybienia te świadczą o naruszeniu przez organ art. 107 § 3 k.p.a., albowiem uzasadnienie decyzji nie wyjaśnia zastosowanej przez organ podstawy prawnej rozstrzygnięcia. Dalej należy zwrócić uwagę, że zgodnie z art. 6 ust. 1 lit f RODO przetwarzanie danych osobowych uważa się za legalne, jeśli jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Omawiana przesłanka przetwarzania danych osobowych może być stosowana jedynie przez podmioty prywatne (np. przedsiębiorców), natomiast nie powinny się na nią powoływać podmioty publiczne. Wynika to z końcowej części przepisu ust. 1 komentowanego artykułu, w której stwierdzono, że podstawa określona w "lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań". Oznacza to, że zasadniczo podstawą przetwarzania danych przez podmioty publiczne (w tym organy administracji publicznej) powinny być przepisy prawa, natomiast za swoisty odpowiednik omawianej tu klauzuli uzasadnionych interesów uznać można podstawę określoną w ust. 1 pkt e art. 6, która dopuszcza przetwarzanie danych, jeżeli jest ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (zob. P. Fajgielski, Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. III, Lex, komentarz do art. 6). Organ dokonał oceny legalności przetwarzania danych osobowych skarżącej w opisanym wyżej zakresie pomijając końcową część art. 6 ust. 1 RODO i wynikające z tego przepisu konsekwencje. Szkoła podstawowa oraz przedszkole, prowadzone przez jednostkę samorządu terytorialnego (gminę), są jednostkami organizacyjnymi gminy, które realizują zadania własne gminy w zakresie edukacji publicznej (art. 7 ust. 1 pkt 8 ustawy z dnia 8 marca 1990 r. o samorządzie gminnym, Dz.U. z 2025 r. poz. 1153, z późn. zm.) na zasadach określonych w ustawie z dnia 14 grudnia 2016 r. Prawo oświatowe (Dz.U. z 2025 r. poz. 1043, z późn. zm.). W świetle art. 68 ust. 2 ustawy Prawo oświatowe dyrektor szkoły lub placówki może, w drodze decyzji, skreślić ucznia z listy uczniów w przypadkach określonych w statucie szkoły lub placówki. Jest on zatem organem władzy publicznej. Nie ulega zatem wątpliwości, że Szkoła jest "organem publicznym" w rozumieniu art. 6 ust. 1 zdanie ostatnie RODO. Zakładanie i prowadzenie publicznych przedszkoli oraz szkół podstawowych należy do zadań własnych gmin (art. 8 ust. 15 ustawy Prawo oświatowe). Stosownie natomiast do treści art. 57 ust. 1 ustawy Prawo oświatowe organ prowadzący szkołę lub placówkę sprawuje nadzór nad jej działalnością w zakresie spraw finansowych i administracyjnych, z uwzględnieniem odrębnych przepisów. Otwarty katalog zakresu tego nadzoru określa art. 57 ust. 2 cytowanej ustawy. Rozpatrywanie skarg na szkołę, czy też na działanie jej dyrektora, mieści się w ramach tak określonego nadzoru. Dyrektor szkoły ustosunkowując się do wniesionej skargi i przedstawiając w tym zakresie wyjaśnienia organowi prowadzącemu działa zatem "w ramach realizacji swoich zadań" w rozumieniu art. 6 ust. 1 zdanie ostatnie RODO. Powyższe prowadzi do wniosku, że, niezależnie od tego jakie dane osobowe skarżącej organ miał na uwadze, podstawą ich przetwarzania przez Szkołę poprzez udostępnienie na rzecz Przewodniczącego Rady Miejskiej w [...] oraz Przewodniczącego Komisji Skarg, Wniosków i Petycji Rady Miasta i Gminy [...] nie mógł być art. 6 ust. 1 lit f RODO. Organ naruszył zatem ten przepis poprzez jego błędne zastosowanie. Ponadto wyjaśnić należy, że oparcie przetwarzania danych osobowych na przepisie art. 6 ust. 1 lit. f RODO wymaga kumulatywnego spełnienia dwóch przesłanek pozytywnych. Po pierwsze, musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią. Po drugie, konieczna jest weryfikacja, czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów. Nie wystarczy zatem samo występowanie takich interesów, lecz dodatkowo ich realizacja musi wymagać przetwarzania danych osobowych. Oceny wymaga również spełnienie przesłanki o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej. Stosowanie tej negatywnej przesłanki polega w istocie na wyważeniu dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej z jednej strony i interesów, podstawowych praw oraz wolności podmiotu danych - z drugiej. Oceniając "wagę" tych interesów, należy uwzględnić takie kryteria jak w szczególności: charakter interesu administratora, rodzaj interesu podmiotu danych, rodzaj prawa lub wolności, rodzaj przetwarzanych danych osobowych, sposób przetwarzania. Przetwarzanie danych na podstawie art. 6 ust. 1 lit. f RODO nie będzie dopuszczalne, jeżeli po dokonaniu tej oceny okaże się, że interesy, podstawowe prawa i wolności podmiotu danych, które wymagają ochrony są nadrzędne nad prawnie uzasadnionymi interesami administratora lub strony trzeciej (por. Witold Chomiczewski, Komentarz praktyczny do art. 6 ust. 1 rozporządzenia, LEX/el. 2018). Nawet zatem gdyby przyjąć, że art. 6 ust. 1 lit f RODO mógł stanowić podstawę przetwarzania danych osobowych skarżącej przez Szkołę w kwestionowany przez nią sposób, to z uzasadnienia zaskarżonej decyzji nie wynika aby organ dokonywał jakichkolwiek ustaleń, czy tego rodzaju przetwarzanie było niezbędne do celów wynikających z prawnie uzasadnionych interesów Szkoły. Brak jest jakiejkolwiek analizy tego zagadnienia w uzasadnieniu zaskarżonej decyzji. W toku postępowania organ pismem z dnia 7 maja 2024 r. zwrócił się do Szkoły o wskazanie podstawy prawnej składania przez Szkołę wyjaśnień i udostępnienia danych skarżącej na rzecz Rady Miejskiej w [...] oraz przesłanie kopii pisma Rady Miejskiej w [...], na które odpowiedzią było pismo Szkoły z 29 listopada 2022 r. W wykonaniu tego wezwania Szkoła przedstawiła pismo Przewodniczącego Rady Miejskiej w [...] z dnia 2 listopada 2022 r. W piśmie tym wskazano: "W związku rozpatrywanymi skargami, na wniosek Przewodniczącego Komisji Skarg Wniosków i Petycji Rady Miejskiej w [...] w załączeniu przesyłam jego prośbę o przekazanie dokumentacji." Załącznikiem do tego pisma jest niepodpisane pismo, w którego treści wskazano "Proszę o przekazanie komisji:". Następnie wskazana jest licząca 31 punktów lista dokumentów. Ani z pisma z 2 listopada 2022 r., ani też z załącznika do tego pisma, nie wynika, aby Przewodniczący Rady Miejskiej w [...], czy też Przewodniczący Komisji Skarg, Wniosków i Petycji Rady Miejskiej w [...], żądali od Szkoły przekazania jakichkolwiek danych osobowych skarżącej. Trudno w tej sytuacji stwierdzić, na jakiej podstawie, w oparciu o jakie dowody zgormadzone w sprawie, organ uznał, że przetwarzanie danych osobowych skarżącej poprzez ich udostępnienie Przewodniczącemu Rady Miejskiej w [...] oraz Przewodniczącemu Komisji Skarg, Wniosków i Petycji Rady Miejskiej w [...], było niezbędne do celów wynikających z prawnie uzasadnionych interesów Szkoły. O ile bowiem można uznać, że Szkoła była zobowiązana do udzielania wyjaśnień celem umożliwienia rozpatrzenia złożonej skargi, to ze znajdującego się w aktach sprawy materiału dowodowego nie wynika, że Szkoła była zobowiązana do przekazania danych osobowych skarżącej. Z uzasadnienia zaskarżonej decyzji nie wynika również aby organ oceniał, czy w tym przypadku interesy lub podstawowe prawa i wolności skarżącej mają charakter nadrzędny wobec prawnie uzasadnionych interesów Szkoły. Brak jest jakiejkolwiek wypowiedzi organu odnośnie tego zagadnienia. W zaskarżonej decyzji PUODO uznał ponadto, że podstawą prawną przetwarzania przez Szkołę danych osobowych skarżącej dotyczących jej stanu zdrowia poprzez ich udostępnienie Przewodniczącemu Rady Miejskiej w [...] oraz Przewodniczącemu Komisji Skarg, Wniosków i Petycji Rady Miejskiej w [...] przez Szkołę był art. 9 ust. 2 lit f RODO. Zgodnie z art. 9 ust. 1 RODO zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Stosownie natomiast do treści art. 9 ust. 2 lit. f RODO ust. 1 nie ma zastosowania, jeżeli przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy. Z treści art. 9 ust 2 lit f RODO wynika, że aby możliwe było uznanie, iż przetwarzanie danych osobowych dotyczących stanu zdrowia w celu obrony przed roszczeniami jest uprawnione w oparciu o ten przepis musi ono być niezbędne do tego celu. Również w tym przypadku organ nie dokonywał żadnych ustaleń dotyczących tego, czy przetwarzanie danych osobowych skarżącej dotyczących jej stanu zdrowia było niezbędne do obrony przed roszczeniami. W odniesieniu do tej kwestii w pełni pozostają aktualne powyższe uwagi dotyczące treści skierowanego do Szkoły pisma Przewodniczącego Rady Miejskiej w [...] z dnia 2 listopada 2022 r. oraz załącznika do tego pisma. Ani z tego pisma, ani też z załącznika do tego pisma, nie wynika, aby Przewodniczący Rady Miejskiej w [...] czy też Przewodniczący Komisji Skarg, Wniosków i Petycji Rady Miejskiej w [...] żądali od Szkoły przekazania danych osobowych skarżącej dotyczących jej stanu zdrowia. W tym przypadku również trudno jest stwierdzić, na jakiej podstawie, w oparciu o jakie dowody zgormadzone w sprawie, organ uznał, że przetwarzanie wskazanych wyżej danych osobowych skarżącej poprzez ich udostępnienie Przewodniczącemu Rady Miejskiej w [...] oraz Przewodniczącemu Komisji Skarg, Wniosków i Petycji Rady Miejskiej w [...], było niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Można bowiem przyjąć, że Szkoła była zobowiązana do udzielania wyjaśnień celem umożliwienia rozpatrzenia złożonej skargi, jednak ze znajdującego się w aktach sprawy materiału dowodowego nie wynika, że Szkoła była zobowiązana do przekazania danych dotyczących stanu zdrowia skarżącej. Opisane wyżej okoliczności wskazują, że organ dopuścił się również naruszenia art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w stopniu mogącym mieć istotny wpływ na wynik sprawy. Zgodnie bowiem z art. 7 ust. 1 u.o.d.o., w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed PUODO, o których mowa w rozdziałach 4-7 i 11, stosuje się ustawę z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego. Postępowaniami, o których mowa w rozdziale 7 ustawy są postępowania w sprawie naruszenia przepisów o ochronie danych osobowych, do których zalicza się postępowania prowadzone w ramach realizacji przez PUODO zadań i uprawnień organu nadzorczego określonych w art. 57 i art. 58 RODO. Obowiązek stosowania przepisów k.p.a. oznacza, że organ nadzorczy w postępowaniu poprzedzającym wydanie decyzji administracyjnej zobowiązany jest kierować się, określonymi w k.p.a., ogólnymi zasadami postępowania oraz przepisami określającymi jego obowiązki w postępowaniu dowodowym. Stosownie do treści art. 7 k.p.a. w toku postępowania organy administracji publicznej stoją na straży praworządności, z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Przepis art. 77 § 1 k.p.a. obliguje zaś do wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego. Na podstawie art. 80 k.p.a. organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. Z kolei art. 11 oraz art. 107 § 1 pkt 6 i § 3 k.p.a. nakazują należycie umotywować podjęte rozstrzygnięcie. Wyjaśnić należy, że uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. Wynikającą z art. 107 § 3 k.p.a. rolą uzasadnienia jest objaśnienie toku myślenia, który doprowadził organ administracji do zastosowania lub niezastosowania przepisu prawa w konkretnej sprawie (zob. J. Borkowski [w:] Kodeks postępowania administracyjnego, Komentarz, B. Adamiak, J. Borkowski, Warszawa 2012 r., str. 441). W sferze faktów (uzasadnienia faktycznego) chodzi tu o wyjaśnienie okoliczności wskazujących na potrzebę lub konieczność wydania decyzji w danej sprawie i wobec określonych podmiotów oraz wpływu tych okoliczności na treść rozstrzygnięcia. W sferze prawa (uzasadnienia prawnego) chodzi zaś o wskazanie obowiązującej normy i jej znaczenia ustalonego w drodze wykładni (zob. J. Zimmermann, Motywy decyzji administracyjnej i jej uzasadnienie, Warszawa 1981 r., str. 118 – 122). Jak przyjmuje się w orzecznictwie Naczelnego Sądu Administracyjnego (zob. np. wyroki z 6 października 2020 r. sygn. akt I OSK 3235/18, z 24 kwietnia 2018 r. sygn. akt I OSK 1351/16 – niepublikowane; dostępne: https://orzeczenia.nsa.gov.pl), do naruszenia art. 107 § 3 k.p.a. dochodzi wtedy, gdy uzasadnienie decyzji nie zawiera wszystkich elementów wymienionych w tym przepisie, albo gdy mimo formalnej poprawności jego treść nie pozwala na skontrolowanie poprawności rozstrzygnięcia sprawy, a tym samym czyni w stopniu istotnym wątpliwym poprawność przeprowadzenia postępowania wyjaśniającego w sprawie. W tej sytuacji konieczne było uchylenie zaskarżonej decyzji w części obejmującej punkt 2 jej rozstrzygnięcia. W ocenie Sądu prawidłowo organ umorzył zaś postępowanie w sprawie w zakresie zarzutu przetwarzania danych osobowych skarżącej na rzecz rodziców uczniów Szkoły (punkt 1 rozstrzygnięcia zaskarżonej decyzji). Zdaniem skarżącej o udostępnieniu przez Szkołę jej danych osobowych rodzicom uczniów świadczy treść skargi z dnia 19 maja 2022 r., jaka została skierowana przez Radę Rodziców do Dyrektora Szkoły. W toku postępowania Szkoła jednak zaprzeczyła aby udostępniała dane osobowe skarżącej rodzicom uczniów. Skarżąca nie przedstawiła zaś żadnych dowodów na to, że do takiego udostępnienia jednak doszło, czy też aby było ono wynikiem naruszenia danych osobowych, o jakim mowa w art. 33 ust. 1 RODO. Trudno w tym przypadku uznać aby organ naruszył przepisy postępowania, tj. art. 7, art. 77 § 1 oraz art. 80 k.p.a. Skarga z dnia 19 maja 2022 r. mogła być bowiem sporządzona z wykorzystaniem danych na temat faktów, które mogły być zaobserwowane przez rodziców dzieci. Szkoła niekoniecznie musiała być jedynym źródłem danych użytych w przedmiotowej skardze. Twierdzenia skarżącej, iż dane te pochodzą od Szkoły opierają się wyłącznie na pewnym założeniu dokonanym przez skarżąca, które nie zostało potwierdzone w toku postępowania. Trudno stwierdzić, jakie jeszcze czynności mógłby podjąć organ aby wyjaśnić zgłaszane w tym zakresie zarzuty skarżącej. Skarga w tym zakresie jako niezasadna podlegała zatem oddaleniu. Ponowne rozpatrzenie sprawy w zakresie, w jakim Sąd uchylił zaskarżoną decyzję, winno nastąpić z uwzględnieniem powyższych uwag. Organ ponownie ustali, czy przetwarzanie danych osobowych skarżącej dotyczących jej stanu zdrowia w kwestionowany przez skarżącą sposób znajdowało podstawę w przepisach RODO. Mając powyższe na uwadze Sąd, na podstawie art. 145 § 1 pkt 1 lit. a) i c) p.p.s.a., uchylił zaskarżoną decyzję w części obejmującej punkt 2 jej rozstrzygnięcia. Rozstrzygniecie zawarte w punkcie 2 sentencji wyroku Sąd wydał na podstawie art. 151 p.p.s.a. O kosztach postępowania w punkcie 3 sentencji wyroku, Sąd orzekł na podstawie art. 200 w zw. z art. 205 § 2 p.p.s.a. w związku z § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz. U. z 2023 r. poz. 1964, z późn. zm.).