II SA/Wa 1211/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Andrzej Cichoń, Asesor WSA Mateusz Rogala, Protokolant referent Beata Kowalska po rozpoznaniu na rozprawie w dniu 8 kwietnia 2026 r. sprawy ze skargi Krajowej Szkoły Sądownictwa i Prokuratury w [...] na punkt 1 i 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Decyzją z dnia [...] maja 2025 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej także jako: Prezes UODO, Organ) działając na podstawie art. 104 § 1 i art. 105 ust. 1 Ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2024 r. poz. 572, dalej: k.p.a.) oraz art. 6 ust. 1 i art. 5 ust. 1 lit. a oraz b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej: RODO), po przeprowadzeniu postępowania administracyjnego w sprawie skargi pana A. K. (dalej także jako: Skarżący) na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Krajową Szkołę Sądownictwa i Prokuratury z siedzibą w [...] (dalej także jako: KSSiP), polegające na przetwarzaniu danych osobowych Skarżącego po zakończeniu współpracy, udostępnieniu jego danych osobowych na rzecz osób trzecich oraz braku spełnienia wobec Skarżącego obowiązku informacyjnego, o którym mowa w art. 15 ust. 1 RODO, Prezes Urzędu Ochrony Danych Osobowych: 1. udzielił Krajowej Szkole Sądownictwa i Prokuratury z siedzibą w [...] upomnienia za naruszenie art. 6 ust. 1 i art. 5 ust. 1 lit. a oraz b RODO polegające na wykorzystaniu danych osobowych A. K. zamieszkałego w [...], [...], zgromadzonych na platformie szkoleniowej zlokalizowanej pod adresem [...] celem utworzenia konta użytkownika, utworzenie i utrzymywanie tego konta na platformie zlokalizowanej pod adresem [...] bez podstawy prawnej; 2. udzielił Krajowej Szkole Sądownictwa i Prokuratury z siedzibą w [...] ([...]) przy ul. [...] upomnienia za naruszenie art. 6 ust. 1 i art. 5 ust. 1 lit. a RODO polegające na udostępnieniu danych osobowych A. K. zamieszkałego w [...], [...], w zakresie: imię i nazwisko, jednostka organizacyjna, w której był on zatrudniony, adres miejsca zatrudnienia, numer telefonu (służbowego), adres e-mail, datę pierwszego i ostatniego logowania na platformie szkoleniowej, na rzecz osób trzecich bez podstawy prawnej; 3. umorzył postępowanie w zakresie braku spełnienia przez Krajową Szkołę Sądownictwa i Prokuratury z siedzibą w [...] wobec A. K., zamieszkałego w [...], [...], obowiązku informacyjnego, o którym mowa w art. 15 ust. 1 RODO w związku z jego żądaniem z [...].08.2022 r.; 4. w pozostałym zakresie odmówił uwzględnienia wniosku. Do wydania przedmiotowego rozstrzygnięcia doszło w następującym stanie faktycznym i prawnym. Do Urzędu Ochrony Danych Osobowych wpłynęła skarga pana A. K. zamieszkałego w [...], [...], na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Krajową Szkołę Sądownictwa i Prokuratury z siedzibą w [...] ([...]) przy ul. [...], polegające na przetwarzaniu danych osobowych Skarżącego po zakończeniu współpracy, udostępnieniu jego danych osobowych na rzecz osób trzecich oraz braku spełnienia wobec Skarżącego obowiązku informacyjnego, o którym mowa w art. 15 ust. 1 RODO. W toku prowadzonego postępowania administracyjnego, Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny: 1. Skarżący do 2017 r. był czynnym wykładowcą KSSiP. Każdorazowo zajęcia prowadzone były na podstawie odrębnych umów zlecenia zawieranych pomiędzy Skarżącym a KSSiP. Ostatnia umowa nr [...] została zawarta na okres [...]–[...].02.2017 r. (dowód: pismo Skarżącego z [...].08.2022 r. wraz z załącznikami; pismo KSSiP z dnia [...].01.2023 r. wraz z załącznikami; pismo KSSiP z dnia [...].05.2023 r. wraz z załącznikami). 2. KSSiP przetwarza dane osobowe Skarżącego w związku z uzyskaniem przez niego statusu wykładowcy KSSiP w zakresie: imię, nazwisko, data urodzenia, informacja o stanowisku, stopień naukowy, nr telefonu służbowego, nr telefonu prywatnego, adres e-mail, adres zamieszkania, specjalizacje wykładowcy KSSiP oraz informacje o opinii Rady Programowej wraz z numerem uchwały. Dane osobowe Skarżącego zgromadzone są w zbiorze "Baza wykładowców KSSiP" (dowód: pismo KSSiP z dnia [...].01.2023 r.; pismo KSSiP z dnia [...].05.2023 r. wraz z załącznikami). 3. KSSiP wskazał, że przetwarza dane osobowe Skarżącego z chwilą, gdy wszedł w skład kadry dydaktycznej KSSiP na podstawie art. 6 ust. 1 lit c RODO w zw. z art. 53 i nast. Ustawy 23 stycznia 2009 r. o Krajowej Szkole Sądownictwa i Prokuratury (Dz. U. z 2022 r. poz. 217). KSSiP stoi na stanowisku, iż przepisy prawa nie przewidują wykreślenia wykładowcy ze składu kadry dydaktycznej KSSiP, nawet jeżeli nie zostały powierzone mu jakiekolwiek zajęcia dydaktycznych. Utrata statusu wykładowcy KSSiP możliwa jest jedynie na wniosek Ministra Sprawiedliwości, członka Rady lub z własnej inicjatywy Dyrektora KSSiP, po zastosowaniu wskazanej w tym przepisie procedury dotyczącej zaopiniowania w zakresie należytego wypełniania obowiązków wykładowcy i przydatności do realizacji procesów dydaktycznych i nie odbywa się na wniosek wykładowcy (dowód: pismo KSSiP z [...].10.2022 r., pismo KSSiP z [...].01.2023 r. wraz z załącznikami). 4. KSSiP wskazał, że w związku z rozliczeniem zawieranych umów przetwarza dane osobowe Skarżącego zawarte w umowie, rachunku oraz oświadczeniu dla celów podatkowych oraz ZUS w następującym zakresie: imię i nazwisko, adres zamieszkania, kwota wynagrodzenia, numer PESEL, informacja o zatrudnieniu, numer rachunku bankowego. Dane osobowe Skarżącego zgromadzone są w zbiorze "Baza wykładowców KSSiP", "Prace zlecone", "Listy płac", a także w deklaracji PIT-11 za 2017 r. (dowód: pismo KSSiP z [...].09.2023 r., pismo KSSiP z dnia [...].05.2023 r. wraz z załącznikami). 5. Aktualnie KSSiP przetwarza dane osobowe Skarżącego w celach archiwalnych. W Jednolitym Rzeczowym Wykazie Akt KSSiP wskazano, że dokumenty zawierające dane osobowe Skarżącego, tj. "Prace zlecone" (112) ma kategorię archiwalną B10, a okres przechowywania upłynie w 2028 r.; "Listy płac" (331) ma kategorię archiwalną B10, a okres przechowywania upłynie w 2028 r.; "Baza wykładowców KSSiP (432) ma kategorię archiwalną A z wieczystym okresem przechowywania. Natomiast ostatnia wystawiona deklaracja P1T-11 za 2017 r. miała kategorię archiwalną B5 i była przechowywana do 2024 r. (dowód: pismo KSSiP z [...].01.2023 r. wraz z załącznikami; pismo KSSiP z [...].05.2023 r. z załączeniami). 6. KSSiP w celach prowadzenia zajęć dydaktycznych do [...].03.2020 r. udostępniała platformę szkoleniową pod adresem [...]. Skarżący [...].02.2014 r. zarejestrował się na wskazanej platformie. Ostatnie logowanie Skarżącego nastąpiło [...].01.2016 r. (dowód: pismo KSSiP z [...].01.2023 r. wraz z załącznikami; decyzja Prezesa UODO z [...].02.20221 r. nr [...] w aktach sprawy). 7. Od [...].03.2020 r. KSSiP wdrożyła aktualnie funkcjonującą wersję Platformy Szkoleniowej eKSSiP pod adresem [...]. Wdrożenie aktualnej wersji Platformy Szkoleniowej eKSSiP wiązało się z migracją bazy danych zawierającej dane osobowe użytkowników poprzedniej wersji platformy. Migracji poddano dane osobowe Skarżącego: imię i nazwisko, jednostkę organizacyjną, w której był zatrudniony, adres miejsca zatrudnienia, numer telefonu (służbowego), adres e-mail, datę pierwszego i ostatniego logowania na platformie szkoleniowej, (dowód: pismo KSSiP z [...].01.2023 r. wraz z załącznikami; decyzja Prezesa UODO z [...].02.20221 r. nr [...] w aktach sprawy). 8. [...].02.2020 r. doszło do wycieku migrowanych danych osobowych, które wymagane były do utworzenia kont na aktualnej Platformie Szkoleniowej eKSSiP pod adresem ekssip.kssip.gov.pl, w związku z czym doszło do pozyskania przez nieustaloną osobę danych Skarżącego w zakresie: imię i nazwisko, jednostka organizacyjna, w której był on zatrudniony, adres miejsca zatrudnienia, numer telefonu (służbowego), adres e-mail, datę pierwszego i ostatniego logowania na platformie szkoleniowej (dowód: pismo KSSiP z [...].09.2022 r. wraz z załącznikami; decyzja Prezesa UODO z [...].02.20221 r. nr [...] w aktach sprawy). 9. Po utworzeniu konta Skarżącego na Platformie Szkoleniowej eKSSiP pod adresem [...], KSSiP przetwarzała dane osobowe Skarżącego w zakresie: imię, nazwisko, data urodzenia, adres e-mail, miejscowość zamieszkania, informacja o przyznanej roli w systemie, tj. wykładowca. Na skutek wniosku Skarżącego, jego konto na Platformie Szkoleniowej eKSSiP zostało usunięte [...].01.2023 r., tym samym aktualnie KSSiP nie przetwarza danych osobowych Skarżącego w związku z prowadzonym kontem na wskazanej platformie (dowód: pismo KSSiP z [...].01.2023 r. wraz z załącznikami; pismo KSSiP z [...].05.2023 r. z załączeniami). 10. Skarżący wiadomością e-mail z [...].08.2022 r. zwrócił się do KSSiP z wnioskiem o udzielenie informacji o treści: "W załączeniu przesyłam mail, jaki otrzymałem dzisiaj, zawierający realne groźby oraz informacje, że moje dane osobowe, jako wykładowcy KSSiP, zostały udostępnione autorowi przez Szkołę. Proszę o pilne ustosunkowanie się, czy prawdą jest, że Szkoła upubliczniła moje dane, w jaki sposób, co było tego powodem i kto jest za to odpowiedzialny, a także jakie działania ochronne dla mojej osoby zostały podjęte". KSSiP wiadomością e-mail z [...].08.2022 r. poinformowała, iż [...].04.2020 r. miał miejsce tzw. "wyciek" danych osobowych, w związku z czym zostały podjęte wszystkie możliwe środki zabezpieczające dane osobowe. Kolejno Skarżący wiadomością e-mail z [...].09.2022 r. poinformował KSSiP, iż złożył on stosowne zawiadomienia do Prokuratury Regionalnej w [...] i Prezesa Urzędu Ochrony Danych Osobowych oraz że zażądał on także wyjaśnień z jakich powodów KSSiP nadal przetwarza jego dane osobowe (dowód: pismo KSSiP z [...].09.2022 r. wraz z załącznikami). 11. KSSiP stanęła na stanowisku, iż Skarżący nie zwracał się do KSSiP o spełnienie obowiązku informacyjnego realizowanego na wniosek, o którym mowa w art. 15 ust.1 RODO, w tym informacji o udostępnieniu jego danych osobowych. KSSiP wiadomością e-mail z [...].09.2022 r. poinformowała Skarżącego o szczegółach tzw. "wycieku" jego danych osobowych, a także o celu oraz podstawie dalszego przetwarzania danych osobowych Skarżącego (dowód: pismo KSSiP z [...].01.2023 r. wraz z załącznikiem). W uzasadnieniu wskazanej na wstępie decyzji Prezes UODO wskazał, że w przedmiotowej sprawie należy odróżnić przetwarzanie danych osobowych Skarżącego w celach archiwalnych w związku z prowadzeniem przez niego w przeszłości zajęć dydaktycznych na uczelni oraz jego przynależnością do kadry dydaktycznej KSSiP zgodnie z art. 53b ust. 4 Ustawy z dnia 23 stycznia 2009 r. o Krajowej Szkole Sądownictwa i Prokuratury (Dz. U. z 2022 r. poz. 217 z późn. zm.), zwanej dalej uKSSiP, od przetwarzania jego danych osobowych celem utworzenia w 2020 r. konta użytkownika, utrzymywania tego konta na platformie szkoleniowej zlokalizowanej pod adresem [...] oraz udostępnienia danych osobowych Skarżącego na rzecz osób trzecich. Organ wskazał w decyzji, że KSSiP po zakończeniu współpracy ze Skarżącym ma podstawę do przetwarzania jego danych osobowych, pozyskanych w związku z jego współpracą z KSSIP w ramach świadczenia przez niego prac zleconych, wypłaty wynagrodzeń oraz prowadzenia "Bazy wykładowców KSSiP", w celach archiwalnych, zgodnie z art. 6 ust. 1 lit. c RODO w związku z art. 5 ust. i pkt. 1 i 2 Ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2020 r. poz.164 z późn. zm., dalej: n.z.a.). W przedmiotowej sprawie KSSiP w Jednolitym Rzeczowym Wykazie Akt KSSiP określiła okresy przechowywania wytworzonych dokumentów. Tym samym dokumenty zawierające dane osobowe Skarżącego, tj. "Prace zlecone" (112) ma kategorię archiwalną B10, a okres przechowywania upłynie w 2028 r.; "Listy płac" (331) ma kategorię archiwalną B10, a okres przechowywania upłynie w 2028 r.; "Baza wykładowców KSSiP (432) ma kategorię archiwalną A z wieczystym okresem przechowywania. Odnosząc się natomiast do przetwarzania danych osobowych Skarżącego przez KSSiP w związku ze świadczeniem usługi platformy szkoleniowej, Prezes UODO wskazał, iz KSSiP przetwarzała również dane osobowe Skarżącego po zakończeniu z nim współpracy w związku ze świadczeniem usługi platformy szkoleniowej. Organ ustalił, iż Skarżący [...].02.2014 r. zarejestrował się na platformie szkoleniowe zlokalizowanej pod adresem [...]. Skarżący nie złożył dyspozycji usunięcia wskazanego konta. W ocenie Prezesa UODO przetwarzanie danych osobowych Skarżącego przez KSSiP w związku ze świadczeniem mu usługi konta na Platformie Szkoleniowe zlokalizowanej pod adresem [...] było zgodnie z prawem, gdyż oparte było o zgodę Skarżącego, a także było niezbędne do świadczenia mu usługi konta. Wskazano, że ze zgromadzonego w sprawie materiału dowodowego bezspornie wynika, iż KSSiP w 2020 r. utworzyła nową platformę szkoleniową o nazwie Platforma Szkoleniowa eKSSiP zlokalizowaną pod adresem [...]. Platforma funkcjonuje od [...] marca 2020 r. W związku z jej uruchomieniem KSSiP dokonała migracji danych użytkowników kont na wcześniejszej platformie celem utworzenia kont użytkowników, co skutkowało niezamierzonym udostępnieniem migrowanych danych osobowych. Migracji podlegały również dane osobowe Skarżącego w zakresie: imię i nazwisko, jednostka organizacyjna, w której był zatrudniony użytkownik, adres miejsca zatrudnienia, numer telefonu (służbowego), adres e-mail, datę pierwszego i ostatniego logowania. Organ wyjaśnił, że zgodnie z art. 4 pkt. 2 RODO przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Zgodnie z art. 6 ust. 1 każdy proces przetwarzania danych osobowych musi być zgodny z prawem poprzez spełnienie chociażby jednego z warunków wskazanych w tym przepisie. Nadto wskazać należy, że wszelkie formy przetwarzania danych osobowych muszą odbywać się zgodnie z zasadami wymienionymi w art. 5 ust. 1 RODO. Dane osobowe powinny być przetwarzane m.in. zgodnie z prawem, w jasno określonym celu, adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). W tym zakresie Prezes Urzędu Ochrony Danych Osobowych podziela stanowisko, zgodnie z którym nawet wówczas, gdy określone dane odpowiadają celowi, dla którego są zbierane i są dla tego celu adekwatne, to nie wynika z tego, iż mogą być one przetwarzane, w tym też udostępniane innym podmiotom (tak również: J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2007, wyd. 4, s. 510). Organ zauważył, iż o ile sam cel platformy szkoleniowej nie uległ zmianie, to mamy do czynienia z dwoma odrębnymi systemami. W związku z wdrożeniem nowej platformy szkoleniowej, KSSiP sama tworzyła konta użytkowników w oparciu o dane zgromadzone na pierwotnej platformie szkoleniowej. Brak jest zatem podstawy do uznania, iż zgoda na przetwarzanie danych osobowych (art. 6 ust. 1 lit. a RODO) Skarżącego w celu świadczenia usługi konta na pierwotnej platformie szkoleniowej, w tym brak korzystania przez Skarżącego z platformy od stycznia 2016 r., ma również zastosowanie do przetwarzania danych osobowych na nowej platformie. Nadto w toku przedmiotowego postępowania KSSiP nie wykazała istnienia po swojej stronie innej podstawy prawnej do wskazanego przetwarzania danych osobowych Skarżącego. Biorąc pod uwagę, że ostatnia umowa zawarta przez KSSiP ze Skarżącym obowiązywała do [...] lutego 2017 r. i w momencie tworzenia kont na nowej platformie Skarżący nie był czynnym wykładowcą KSSiP oraz nie prowadził zajęć dydaktycznych, migracja jego danych do nowej platformy szkoleniowej w 2020 r. nie była niezbędna. Wobec czego Organ uznał, że wskazane działanie KSSiP stanowiło naruszenie ochrony danych osobowych Skarżącego wobec braku podstaw przetwarzania danych oraz braku zgodności procesu przetwarzania z zasadą określoną w art. 5 ust. 1 lit a oraz b RODO i udzielił KSSiP zgodnie z art. 58 ust. 2 lit. b RODO upomnienia. W przedmiotowej sprawie bezspornym jest również, że [...] lutego 2020 r. doszło do wycieku migrowanych przez KSSiP danych osobowych, które wymagane były do utworzenia kont na aktualnej Platformie Szkoleniowej eKSSiP pod adresem [...], w związku z czym doszło do pozyskania przez nieustaloną osobę danych Skarżącego w zakresie: imię i nazwisko, jednostka organizacyjna, w której był on zatrudniony, adres miejsca zatrudnienia, numer telefonu (służbowego), adres e-mail, datę pierwszego i ostatniego logowania na platformie szkoleniowej (dowód: pismo KSSiP z [...].09.2022 r. wraz z załącznikami; decyzja Prezesa UODO z [...].02.2021 r. nr [...] w aktach sprawy, skarga Skarżącego wraz z załącznikami). KSSiP nie legitymowała się żadną podstawą prawną wskazaną w art. 6 ust. 1 RODO do takiego przetwarzania danych osobowych Skarżącego. Działanie to nie było również zgodne z zasadą wyrażoną w art. 5 ust. 1 lit a RODO, która wskazuje, iż administrator przetwarza dane osobowe zgodnie z prawem. Wobec naruszenia ochrony danych osobowych Skarżącego poprzez ich bezpodstawne udostępnienie, Organ również w przedmiotowym zakresie udzielił KSSiP zgodnie z art. 58 ust. 2 lit. b RODO upomnienia (punkt 2 decyzji z [...] maja 2025 r.). W skardze skierowanej do Prezesa UODO Skarżący kwestionował również brak udzielenia przez KSSiP odpowiedzi na jego żądanie o udzielenie informacji złożone wiadomością e-mail z [...].08.2022 r. Zgodnie z art. 15 ust. 1 RODO osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: cele przetwarzania, kategorie odnośnych danych osobowych, informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; informacje o prawie wniesienia skargi do organu nadzorczego; jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle; informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. Odpowiedź na żądanie osoby, której dane dotyczą wniesiona na podstawie art. 15 ust. 1 RODO, winna zostać udzielona bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia (art. 12 ust. 3 RODO). Prezes UODO wskazał, iż żądanie Skarżącego zawarte w wiadomości e-mail z [...].08.2022 r. dotyczy udostępnienia jego danych osobowych, sposobu udostępnienia, osób odpowiedzialnych za udostępnienie, a także działań podjętych w związku z udostępnieniem jego danych. Żądanie to nie dotyczy żądnej z informacji wskazanych w art. 15 ust. 1 RODO, do udzielenia której zobowiązany jest administrator. Tym samym Skarżący nie mógł dochodzić realizacji złożonego żądania z [...].08.2022 r. na gruncie przepisów RODO. Zatem postępowanie w tym zakresie było bezprzedmiotowe i ulega umorzeniu na podstawie art. 105 § 1 k.p.a. Na marginesie Prezes UODO zauważył, iż wiadomość e-mail Skarżącego z [...].08.2022 r. dotyczy informacji, do udzielenia których administrator zobowiązany jest w przypadku stwierdzenia naruszenia ochrony danych osobowych. Zgodnie z art. 34 ust. 1 i 2 RODO jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu. Zawiadomienie jasnym i prostym językiem opisuje charakter naruszenia ochrony danych osobowych oraz zawiera przynajmniej informacje o inspektorze ochrony danych lub innym punkcie kontaktowym, od którego można uzyskać więcej informacji. Zawiadomienie takie opisuje również możliwe konsekwencje naruszenia ochrony danych osobowych, a także opisuje środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków. Jednakże obowiązki administratora związane z bezpieczeństwem przetwarzania (określone w rozdziale IV RODO), takie jak m.in. zgłaszanie naruszenia do organu nadzorczego i zawiadamianie osoby, której dane dotyczą, o powstałym naruszeniu nie dają skarżącym indywidualnej podstawy prawnej do żądania ich egzekwowania przez organ. Wskazane obowiązki związane są z bezpieczeństwem przetwarzania wszelkich danych osobowych, a nie prawami osób, których dane dotyczą. Z treści tych norm prawnych nie można wywieść prawa osoby, której dane dotyczą, do żądania spełnienia konkretnego obowiązku przez administratora. Skargę na powyższą decyzję w zakresie pkt 1 i 2 do Wojewódzkiego Sądu Administracyjnego w Warszawie wywiodła Krajową Szkołę Sądownictwa i Prokuratury. Zaskarżonej decyzji zarzuciła naruszenie przepisów prawa materialnego tj.: 1. art. 5 ust. 1 lit. a i b oraz art. 6 ust. 1 RODO poprzez przyjęcie, iż Krajowa Szkoła wykorzystała dane osobowe A. K., zgromadzone uprzednio na platformie szkoleniowej zlokalizowanej pod adresem szkolenia.kssip.gov.pl, celem utworzenia konta użytkownika, utworzenia i utrzymywania tego konta, na platformie zlokalizowanej pod adresem ekssip.gov.pl bez podstawy prawnej, a w konsekwencji bezzasadne udzielenie jej upomnienia, 2. art. 5 ust. 1 lit a oraz art. 6 ust. 1 RODO poprzez przyjęcie, iż Krajowa Szkoła udostępniła dane osobowe A. K. na rzecz osób trzecich bez podstawy prawnej, a w konsekwencji bezzasadne udzielenie jej upomnienia. W związku z powyższym wnosiła o: 1. uchylenie zaskarżonej decyzji w części dotyczącej pkt 1 i 2 oraz 2. zasądzenie od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Krajowej Szkoły kosztów postępowania, w tym kosztów zastępstwa adwokackiego według norm prawem przepisanych. W uzasadnieniu skargi wskazała, iż Organ błędnie przyjął, że dalsze przetwarzanie danych osobowych wykładowców KSSiP, w tym A. K., które zostały zgromadzone na pierwotnej platformie szkoleniowej wymagały nowej podstawy prawnej do ich przetwarzania w ramach nowo utworzonej platformy szkoleniowej. Podkreślono, iż migracja ze starej do nowej platformy szkoleniowej nie dotyczyła danych osobowych użytkowników platformy, tylko ich kont, a zatem nie doszło do zebrania bądź w inny sposób pozyskania jakichkolwiek danych osobowych aniżeli te, którymi KSSiP już dysponowała. Nowa platforma szkoleniowa została wykonana w identycznej technologii ([...]) i z takimi samymi funkcjonalnościami jak poprzednia. Została zbudowana od nowa tylko dlatego, że koszt jej utworzenia był niższy od kosztu modernizacji starej platformy. Z technicznego punktu widzenia nastąpiła tylko zmiana wersji aplikacji obsługującej tą samą bazę danych ([...]). Kopię bazy przeniesiono na serwer współpracujący z nową aplikacją. Operacja ta odbywała się na zasobach tego samego dostawcy, w tej samej lokalizacji, a nawet pod tym samym adresem. Z uwagi na trwałość umów o hosting zasobów operacja przeniesienia bazy danych miała i ma miejsce cyklicznie co 2 lata, a zmiana adresu platformy szkoleniowej – na co także zwraca uwagę Organ – wynika z tego, że nie mogą istnieć 2 platformy szkoleniowe pod tym samym adresem, a przez kilka miesięcy obie te platformy funkcjonowały równolegle. Powyższe czynności, bez względu na okoliczność, czy zostaną uznane w znaczeniu informatycznym jako modernizacja już istniejącej platformy, czy też zaistnienie nowego systemu, miały wyłącznie charakter techniczny, a nie merytoryczny. Zakres danych osobowych nie uległ zmianie w stosunku do tych, które zostały pierwotnie pozyskane, zarówno w oparciu o zgodę użytkowników, a następnie funkcjonowały i nadal istnieją dla celów realizacji zadań ustawowych KSSiP (zatem w oparciu o art. 6 ust. 1 lit. c RODO, jak wynika z akt sprawy). Co więcej, cele przetwarzania tych danych, co zresztą sam podnosi Organ, oraz zasady ich przetwarzania na obydwóch platformach nie uległy zmianie. Stąd nie sposób przyjąć, iż w ramach zaistnienia nowej platformy szkoleniowej KSSiP zobowiązana była do ponownego zebrania zgód na przetwarzanie danych od użytkowników platformy szkoleniowej, co Organ podkreśla wskazując, iż: "Brak jest zatem podstawy do uznania, iż zgoda na przetwarzanie danych osobowych (art. 6 ust. 1 lit. a RODO) Skarżącego w celu świadczenia usługi konta na pierwotnej platformie szkoleniowej ma również zastosowanie do przetwarzania danych osobowych na nowej platformie", bowiem już dysponowała tymi danymi, nie zmieniając ani celu ani zakresu ich przetwarzania. Co więcej, zgoda na przetwarzanie danych osobowych (co odzwierciedla dokumentacja zgromadzona w aktach sprawy) była udzielana na początkowym etapie ich zbierania, a zatem, jeśli wykładowca aplikował do posiadania statusu wykładowcy i udostępniał Skarżącej wymagane, a niezbędne dane do realizacji tej funkcji. Następnie, zarówno w ramach starej jak i nowej (funkcjonalnie jedynie) platformy szkoleniowej, podstawę prawną ich dalszego przetwarzania (i to bez względu na fakt, czy dana osoba jest powołana do prowadzenia danych zajęć szkoleniowych) stanowi art. 6 ust. 1 lit. c RODO, a zatem dane te są przetwarzane w związku z realizacją ustawowych zadań przez KSSiP, o których mowa w art. 2 ustawy o Krajowej Szkole Sądownictwa i Prokuratury. Tym samym bezzasadne są twierdzenia Organu, iż KSSiP nie legitymowała się żadnym interesem, do realizacji którego niezbędnym było wskazane przetwarzanie danych osobowych w oparciu o art. 6 ust. 1 lit. f RODO, bowiem przetwarzanie danych opierało się na innej, ww. podstawie prawnej do powyższego. W tym zakresie ustalenia Organu są wzajemnie sprzeczne, o czym szerzej poniżej. Tym samym niezasadne są także zarzuty Organu, iż w momencie tworzenia kont na nowej platformie A. K. nie był czynnym wykładowca KSSiP i nie prowadził zajęć dydaktycznych, a ostatnie logowanie do starej platformy szkoleniowej miało miejsce w styczniu 2016 r. Jak zostało wykazane przez Skarżącą w toku postępowania i zresztą przyjęte przez Organ (w ramach odstąpienia od stwierdzenia naruszeń w pozostałym zakresie) ww. osoba weszła w skład kadry dydaktycznej KSSiP i jednocześnie nie została przeprowadzona, zgodnie z wymogami ustawy o Krajowej Szkole, procedura wskutek której zostałby on wykreślony ze składu kadry dydaktycznej KSSiP. Tym samym Organ zasadnie przyjął, iż na KSSiP ciążył i nadal ciąży obowiązek prawny przetwarzania danych jego i innych wykładowców w związku z posiadaniem przez niego statusu wykładowcy KSSiP, nawet po zakończeniu prowadzenia przez niego zajęć dydaktycznych. Prezes UODO stwierdził, iż "podstawą przetwarzania danych osobowych A. K. w zakresie informacji o posiadaniu przez niego statusu wykładowcy KSSiP jest art. 6 ust. 1 lit. c RODO. Wobec zatem posiadania przez KSSiP podstawy legalności przetwarzania danych osobowych A. K. w kwestionowanym zakresie Prezes UODO odmówił uwzględnienia wniosku Skarżącego w tym zakresie". Tym samym Organ potwierdził, iż fakt, czy dany użytkownik platformy jest czynnym wykładowcą czy też nie pozostaje bez znaczenia, bowiem podstawą "utrzymywania" tych danych na platformie szkoleniowej (po ich zebraniu w oparciu o pierwotne zgody) jest art. 6 ust. 1 lit. c RODO. Mając na uwadze powyższe Organ błędnie przyjął, iż brak było podstawy legalizującej proces przetwarzania danych osobowych A. K. na nowej platformie szkoleniowej i działanie KSSiP stanowiło naruszenie ochrony danych osobowych ww. osoby, co uzasadnia zarzuty skargi naruszenia przez Organ przepisów prawa materialnego. Jednocześnie podniesiono, iż wbrew ustaleniom Organu KSSiP poinformowała użytkowników starej platformy szkoleniowej o planowanym działaniu, o utworzeniu nowej platformy szkoleniowej, formułując stosowne w tym zakresie komunikaty na stronie internetowej Krajowej Szkoły (funkcjonujące także obecnie), na dowód czego KSSiP przedłożyła treść tych komunikatów wraz z ich wydrukiem ze strony internetowej KSSiP i wniosła o zaliczenie ich w poczet dowodów. W odpowiedzi na skargę Organ wniósł o jej oddalenie. Uczestnik postępowania również przyłączył się do stanowiska Organu. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2026 r. poz. 143 z późn. zm, dalej: p.p.s.a.), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż zadaniem wojewódzkiego sądu administracyjnego jest zbadanie legalności zaskarżonego aktu pod względem jego zgodności z prawem, to znaczy ustalenie czy organ prawidłowo zinterpretował i zastosował przepisy prawa w odniesieniu do właściwie ustalonego stanu faktycznego. W przypadku stwierdzenia, iż w sprawie naruszono przepisy – czy to prawa materialnego, czy też postępowania – sąd uchyla zaskarżoną decyzję i zwraca sprawę do postępowania przed organem administracyjnym, właściwym do jej rozstrzygnięcia. Oceniając zaskarżoną decyzję w ramach powyższych kryteriów należało uznać, iż skarga na pkt 1 i 2 decyzji podlega oddaleniu w całości. Prezes Urzędu Ochrony Danych Osobowych w zaskarżonej decyzji stwierdził: 1. naruszenie przez Krajową Szkołę Sądownictwa i Prokuratury z siedzibą w [...] przepisów art. 6 ust.1 i art. 5 ust. 1 lit. a oraz b RODO polegające na wykorzystaniu danych osobowych A. K., zamieszkałego w [...], [...], zgromadzonych na platformy szkoleniowej zlokalizowanej pod adresem [...], celem utworzenia konta użytkownika, utworzenie i utrzymywanie tego konta na platformie zlokalizowanej pod adresem [...] bez podstawy prawnej; 2. naruszenie przez Krajową Szkołę Sądownictwa i Prokuratury z siedzibą w [...] przepisów art. 6 ust.1 i art. 5 ust. 1 lit. a RODO polegające na udostępnieniu danych osobowych A. K. zamieszkałego w [...], [...], w zakresie: imię i nazwisko, jednostka organizacyjna, w której był on zatrudniony, adres miejsca zatrudnienia, numer telefonu (służbowego), adres e-mail, datę pierwszego i ostatniego logowania na platformie szkoleniowej, na rzecz osób trzecich bez podstawy prawnej. Za każde z powyższych naruszeń Organ nałożył na KSSiP karę upomnienia. W ocenie Sądu zarzuty dotyczące punktu pierwszego decyzji przedstawione w skardze stanowią polemikę z ustaleniami organu dokonanymi w toku postępowania. Jak słusznie zauważył Organ w zaskarżonej decyzji w przedmiotowej sprawie należy oddzielnie rozpatrywać przetwarzanie danych osobowych Skarżącego w celach archiwalnych w związku z prowadzeniem przez niego w przeszłości zajęć dydaktycznych na uczelni oraz przynależnością jego do kadry dydaktycznej KSSiP, zgodnie z art. 53b ust. 4 Ustawy z dnia 23 stycznia 2009 r. o Krajowej Szkole Sądownictwa i Prokuratury (Dz. U. z 2022 r. poz. 217 z późn. zm.), od przetwarzania jego danych osobowych celem utworzenia w 2020 r. konta użytkownika, utrzymywania tego konta na platformie szkoleniowej zlokalizowanej pod adresem [...] oraz udostępnienia danych osobowych Skarżącego na rzecz osób trzecich. Organ nie kwestionował prawidłowości przetwarzania danych skarżącego w celach archiwalnych. W ocenie Organu niezgodne z prawem było przetwarzania danych osobowych uczestnika celem utworzenia w 2020 r. konta użytkownika, utrzymywania tego konta na platformie szkoleniowej zlokalizowanej pod adresem [...]. Z akt sprawy wynika, że KSSiP w 2020 r. utworzyła nową platformę szkoleniową zlokalizowaną pod adresem [...], na której w wyniku migracji zostały przeniesione konta użytkowników zawierające ich dane osobowe z platformy szkoleniowej funkcjonującej pod adresem [...], w tym konto uczestnika postępowania. Migracji podlegały dane osobowe uczestnika w zakresie: imię i nazwisko, jednostka organizacyjna, w której był zatrudniony użytkownik, adres miejsca zatrudnienia, numer telefonu (służbowego), adres e-mail, datę pierwszego i ostatniego logowania. W tym miejscu należy postawić pytanie, czy migracja danych stanowi ich przetwarzanie. Na tak postawione pytanie, kierując się treścią art. 4 pkt 2 RODO należy udzielić odpowiedzi pozytywnej, gdyż, zgodnie z art. 4 pkt 2 RODO, przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Zgodnie natomiast z art. 6 ust. 1 RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Zgodnie natomiast z treścią art. 5 ust 1 RODO lit a i c dane osobowe muszą być: 1) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); 2) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); W sprawie nie ulega wątpliwości, że dane uczestnika postępowania były przetwarzane na platformie szkoleniowej zlokalizowanej pod adresem [...] zgodnie z prawem. Podkreślić jednak należy za stanowiskiem doktryny, że nawet wówczas, gdy określone dane odpowiadają celowi, dla którego są zbierane i są dla tego celu adekwatne, to nie wynika z tego, iż mogą być one przetwarzane, w tym też udostępniane innym podmiotom (tak również: J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2007, wyd. 4, s. 510). W niniejszej sprawie cel platformy szkoleniowej nie uległ zmianie, jednak doszło tu do wdrożenia nowej platformy szkoleniowej, tak więc KSSiP powinien legitymować się podstawą do przetwarzania danych o której mowa w art. 6 ust.1 RODO. Sąd w tym miejscu nie podziela stanowiska KSSiP, że zgoda Skarżącego na świadczenie usługi konta na platformie szkoleniowej funkcjonującej pod adresem [...] rozciąga się automatycznie na platformę szkoleniową zlokalizowana pod adresem pod adresem [...], funkcjonującym od 2020 r. W tym miejscu podkreślić również należy, że uczestnik nie był czynnym wykładowcą KSSiP od 2017 r., a co się z tym wiąże, nie prowadził również zajęć dydaktycznych. Podkreślenia również wymaga, że KSSiP nie wskazał również na żadną inną podstawę przetwarzania danych osobowych uczestnika. KSSiP w swojej skardze próbuje wykazać, że de facto mamy do czynienia z modyfikacją starej platformy szkoleniowej, przeczy jednak temu treść komunikatu załączanego do skargi, z którego wynika, iż mamy do czynienia z innowacyjnym i intuicyjnym narzędziem, zlokalizowanym pod adresem [...] – powyższa platforma e-KSSiP zastąpi dotychczasową. Reasumując, w ocenie składu orzekającego w niniejszej sprawie, Organ był uprawniony do zastosowania środka naprawczego z art. 58 ust.2 lit. b RODO za naruszenie art. 6 ust. 1 i art. 5 ust. 1 lit. a oraz b RODO polegające na wykorzystaniu danych osobowych A. K., zamieszkałego w [...], [...], zgromadzonych na platformy szkoleniowej zlokalizowanej pod adresem szkolenia.kssip.gov.pl celem utworzenia konta użytkownika, utworzenie i utrzymywanie tego konta na platformie zlokalizowanej pod adresem [...] bez podstawy prawnej. Przechodząc do drugiego zarzutu skargi należy wskazać, że w sprawie niewątpliwie doszło do wycieku danych osobowych wskutek migracji danych z platformy szkoleniowej zlokalizowanej pod adresem [...] na platformę szkoleniową zlokalizowaną pod adresem [...], tak więc niewątpliwie doszło do udostępnienia danych uczestnika postepowania na rzecz osób trzecich. Jak wskazał Naczelny Sąd Administracyjny w wyroku z 12 czerwca 2025 r., sygn. akt III OSK 1394/22, który dotyczył nałożenia na KSSiP kary pieniężnej za naruszenie przepisów o ochronie danych osobowych, z brzmienia art. 24 ust. 1 RODO wynika, że uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać, Krajowa Szkoła Sądownictwa i Prokuratury z siedzibą w [...] nie podjęła wystarczających działań mających na celu zweryfikowanie bezpieczeństwa środowiska przetwarzania przed rozpoczęciem działań migracyjnych, jak i po ich zakończeniu, w szczególności nie zweryfikowała w okresie od [...] luty 2020 r. do [...] kwietnia 2020 r., czy we wskazanej przez KSSiP lokalizacji nadal znajduje się kopia bazy danych z [...] lutego 2020 r. Decydując się na nieangażowanie podmiotu przetwarzającego w proces migracji i nieudzielenie pełnych informacji o podejmowanych czynnościach i oczekiwanych rezultatach, administrator nie upewnił się, że przetwarzane dane osobowe są odpowiednio zabezpieczone. Weryfikacji tej administrator podjął się dopiero w dniu stwierdzenia naruszenia. Zdaniem organu stanowi to o rażącym zaniedbaniu obowiązków KSSiP i naruszeniu przepisów art. 32 ust. 1 i ust. 2 RODO. Wskazać również należy, że KSSiP nie przedstawił w uzasadnieniu skargi żadnych zarzutów odnośnie punktu drugiego decyzji. Reasumując, w ocenie składu orzekającego w niniejszej sprawie organ był uprawniony do zastosowania środka naprawczego z art. 58 ust. 2 lit. b RODO w postaci upomnienia za naruszenie przez KSSiP art. 6 ust. 1 i art. 5 ust. 1 lit. a RODO, polegające na udostępnieniu danych osobowych A. K., zamieszkałego w [...], [...], w zakresie: imię i nazwisko, jednostka organizacyjna, w której był on zatrudniony, adres miejsca zatrudnienia, numer telefonu (służbowego), adres e-mail, datę pierwszego i ostatniego logowania na platformie szkoleniowej, na rzecz osób trzecich bez podstawy prawnej. Biorąc powyższe pod rozwagę, działając na postawie art. 151 p.p.s.a., Sąd skargę oddalił.