II SA/Wa 2178/22

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Tomasz Szmydt, Sędzia WSA Łukasz Krzycki (spr.), Asesor WSA Arkadiusz Koziarski, po rozpoznaniu w trybie uproszczonym w dniu 17 maja 2023 r. sprawy ze skargi [...] Akademii [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. umarza postępowanie przed Prezesem Urzędu Ochrony Danych Osobowych; 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącej [...] Akademii [...] kwotę 200 zł (słownie: dwieście) złotych, tytułem zwrotu kosztów postępowania.

Zaskarżoną decyzją – przywołując art. 104 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2021 r. poz. 735 ze zm.), zwanej dalej "K.p.a.", oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", wobec skargi p. L. S., zwanej dalej "Wnioskodawcą", na nieprawidłowości w przetwarzaniu jej danych osobowych przez [...] Akademię im. [...], zwaną dalej "Uczelnią" - polegające na udostępnieniu danych osobowych Wnioskodawcy - w zakresie wyniku egzaminu - przez nauczyciela akademickiego (p. S. K.), zwanego dalej "Nauczycielem" na rzecz osób trzecich – udzielono Uczelni upomnienia za naruszenie art. 6 ust. 1 i art. 5 ust. 1 lit. c RODO, polegające na udostępnieniu przez Nauczyciela danych osobowych Wnioskodawcy w zakresie wyniku egzaminu, na rzecz osób trzecich. W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - wobec wpływu skargi Wnioskodawcy - w toku prowadzonego postępowania - ustalono następujący stan faktyczny: - Uczelnia przetwarza dane osobowe Wnioskodawcy w zakresie wyniku egzaminu z przedmiotu "Regulamin i ceremoniał wojskowy" przeprowadzonego przez Nauczyciela w formie papierowej (protokół z przebiegu egzaminu, karta okresowych osiągnięć studenta) oraz w systemie teleinformatycznym — system "Wirtualny Dziekanat" w celu: prowadzenia akt osobowych studenta, sporządzenia karty okresowej osiągnięć studenta, dokumentującej określenie formy weryfikacji osiągnięć studenta uzyskanych w ramach zajęć w danym semestrze lub roku, oraz udokumentowania uzyskanej oceny, udokumentowania przebiegu studiów, archiwizacji (tak: pismo Uczelni z [...] listopada2021 r.), - wedle wyjaśnień Uczelni podstawą prawną do przetwarzania danych osobowych Wnioskodawcy stanowi § 15 ust. 1 pkt 5, § 15 ust. 3b, § 15 ust. 4, § 17 ust. 1 pkt 5 i 6 rozporządzenia Ministra Nauki i Szkolnictwa Wyższego z dnia 27 września 2018 r. w sprawie studiów (Dz. U. 2021 poz. 661), - Nauczyciel - [...] lipca 2021 r. w ramach przeprowadzonego przez siebie egzaminu w formie on-line za pośrednictwem MS Teams z przedmiotu "[...]" - w obecności studentów biorących udział w egzaminie, wskazał ustnie, że Wnioskodawca nie zdał egzaminu i musi ponownie do niego podejść (tak: pismo Wnioskodawcy z [...] października 2021 r., pismo Uczelni z [...] listopada 2021 r.); - Uczelnia wskazała: podstawą prawną do ustnego przekazania informacji o wyniku egzaminu Wnioskodawcy, w obecności biorących udział w egzaminie studentów, stanowiła ich zgoda wyrażona ustnie, na jednych z pierwszych zajęć dydaktycznych, w celu wskazywania informacji przez prowadzącego zajęcia, które z osób będą zobligowane do ponownego podejścia do zaliczenia ćwiczeń lub egzaminu poprawkowego (tak: pismo Uczelni z [...] listopada 2021 r.); Nauczyciel - omawiając syllabus przedmiotu - ustalił z grupą zasady oceniania i sposób prezentowania oraz ogłaszania wyników z egzaminu; zaproponował studentom, że wyniki z egzaminu przeprowadzonego w formie zdalnej, mógłby przedstawić ustnie - w obecności pozostałych uczestników egzaminu - bezpośrednio po jego zakończeniu; wskazał jednocześnie, że gdyby którykolwiek ze studentów się na taką formę ogłoszenia wyników nie godził, to może w trakcie zajęć - również w formie ustnej - zasygnalizować swój sprzeciw - stanowiący o braku zgody na ogłoszenie wyników egzaminu w obecności studentów, biorących w nim udział; żaden ze studentów - na dalszym etapie prowadzonych zajęć - nie wycofał wyrażonej przez siebie zgody; Nauczyciel - w trakcie pierwszych zajęć z prowadzonego przez siebie przedmiotu - informował studentów, że celem przekazania danych w zakresie oceny z egzaminu jest poinformowanie konkretnie określonej grupy studentów o uzyskanych efektach uczenia się w sposób sprawny, bez zbędnej zwłoki; dzięki temu studenci mieli uzyskać informację o ocenie z egzaminu bezpośrednio po jego przeprowadzeniu - nie musieli oczekiwać na wprowadzenie ocen do kart ocen; celem było także udostępnienie studentom informacji o konieczności przygotowania się do egzaminu poprawkowego (tak: pismo Akademii z [...] kwietnia 2021 r.); - Wnioskodawca oświadczył, że nigdy i w żadnej formie oraz w jakimkolwiek zakresie nie wyraził zgody na ujawnienie informacji o wyniku jego egzaminu przez Nauczyciela (tak: pismo Wnioskodawcy z [...] marca 2022 r.), - RODO określa obowiązki administratora, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu; przepisem uprawniającym administratorów do przetwarzania danych osób fizycznych jest art. 6 ust. 1; zgodnie z nim przetwarzanie danych jest dopuszczalne tylko, gdy spełniono jedną z przesłanek, wskazanych w tym przepisie; ich katalog jest zamknięty; każda z nich ma charakter autonomiczny i niezależny; oznacza to, że przesłanki te są - co do zasady – równoprawne; wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych, - Uczelnia wskazała, że podstawą udostępnienia przez Nauczyciela danych osobowych Wnioskodawcy w zakresie wyniku egzaminu na rzecz osób trzecich - grupy studentów biorących udział w egzaminie - była zgoda zainteresowanego, - zgodnie z art. 4 pkt 11 RODO, zgoda osoby, której dotyczą dane, oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych; zgody można udzielić poprzez "oświadczenie" lub "wyraźne działanie potwierdzające"; zgoda może być wyrażona zarówno przez wyraźne oświadczenie, jak i może być dorozumiana z oświadczenia o innej treści, jeżeli działanie takie w sposób jednoznaczny potwierdza chęć wyrażenia zgody; udzielenie zgody musi być jednakże aktywnym działaniem podmiotu danych; nie będzie zatem wyraźnym działaniem potwierdzającym milczenie, domyślne zaznaczenie okna zgody lub niepodjęcie działania (motyw 32 RODO), - zgodnie z art. 7 ust. 1 RODO, gdy przetwarzanie odbywa się w oparciu o zgodę, administrator musi być w stanie wykazać, że osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych; przepisy RODO nie wymagają, aby oświadczenie o zgodzie składać w określonej formie prawnej; administrator może więc zdecydować, jak będzie pozyskiwał zgodę; powinien zadbać jednak, aby nie było wątpliwości, że oświadczenie o zgodzie jest dobrowolne, konkretne, świadome i jednoznaczne (P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 7.), - w przedmiotowej sprawie prowadzący zajęcia ustalił z grupą zasady oceniania i sposób prezentowania oraz ogłaszania wyników z egzaminu; zaproponował studentom, że wyniki z egzaminu przeprowadzonego w formie zdalnej za pośrednictwem MS Teams, mogłyby zostać przedstawione przez niego ustnie w obecności pozostałych uczestników egzaminu, bezpośrednio po zakończonym egzaminie; wskazał jednocześnie, że gdyby którykolwiek ze studentów się na taką formę ogłoszenia wyników nie godził, to może w formie również ustnej zasygnalizować, w trakcie zajęć, swój sprzeciw - stanowiący o braku zgody na ogłoszenie wyników egzaminu w obecności biorących udział w egzaminie studentów; oznacza to, że nie spełniono przesłanki zgody; w opisanej procedurze brak jest aktywnego działania Wnioskodawcy; brak sprzeciwu na zaproponowany sposób przekazania informacji o wynikach egzaminu nie może automatycznie oznaczać, że wyraził on zgodę na udostępnienie swoich danych osobowych w tym zakresie, - wszelkie formy przetwarzania danych osobowych muszą odbywać się ponadto zgodnie z zasadami wymienionymi w art. 5 ust. 1 RODO; dane osobowe powinny być przetwarzane m.in. zgodnie z prawem, w jasno określonym celu, adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); w tym zakresie - nawet, gdy określone dane odpowiadają celowi, dla którego są zbierane i są dla tego celu adekwatne - nie wynika z tego, że można je przetwarzać, w tym też udostępniać innym podmiotom, (tak również: J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych, Komentarz, Kraków 2007, wyd. 4, str. 510), - ocena dokonywana przez organ służy w każdym przypadku zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych; jest więc uzasadniona i potrzebna tylko, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją; w przedmiotowej sprawie udostępnienie danych osobowych Wnioskodawcy nie miało oparcia w przesłankach określonych w art. 6 ust. 1 RODO oraz nie było zgodne z zasadami określonymi w art. 5 ust. 1 lit. c RODO; stanowi to naruszenie tych przepisów o ochronie danych osobowych. W skardze zarzucono wydanie kwestionowanej decyzji z naruszeniem przepisów: - postępowania: - art. 7, 77 § 1 i art. 80 K.p.a., co polegało na niewyczerpującym rozpatrzeniu materiału dowodowego, poprzez pominięcie stanowiska Uczelni przedstawionego w pismach z [...] kwietnia oraz z [...] czerwca 2022 r.; w konsekwencji dowolnie ustalono i niejako przyjęto "z góry", że informacja o wyniku egzaminu stanowi daną osobową; - art. 11 w zw. z art. 107 § 3 K.p.a. poprzez takie sformułowanie uzasadnienia zaskarżonej decyzji, z którego nie wynika, na jakich przesłankach oparto ustalenia, że wynik egzaminu stanowi daną osobową, o której mowa w art. 4 pkt 1 RODO, - prawa materialnego: - art. 58 ust. 2 lit. b w zw. z art. 2 ust. 1 i art. 4 pkt 1 RODO, przez przyjęcie rozumienia pojęcia "danych osobowych" sprzecznie z definicją zawartą w art. 4 pkt 1 danego aktu; nie uwzględniono również, że dla Uczelni informacje, będące przedmiotem postępowania administracyjnego - wynik z egzaminu - nie mają charakteru danych osobowych; na skutek tego niesłusznie udzielono upomnienia w związku z przetwarzaniem danych osobowych; - art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. c RODO, poprzez jego błędną wykładnię; konsekwencją tego było przyjęcie przez organ, że w przedmiotowej sprawie doszło do udostępnienia danych osobowych Wnioskodawcy przez Uczelnię, które nie miało oparcia w przesłankach, określonych w art. 6 ust. 1 RODO. W uzasadnieniu skargi podniesiono m.in.: - Uczelnia - w pismach z [...] kwietnia oraz [...] czerwca 2022 r. wskazała, że informacja o wyniku egzaminu nie stanowi informacji o osobie, mogącej stanowić daną osobową, - po samej ocenie z wyniku egzaminu osoba fizyczna nie jest możliwa do zidentyfikowania, zarówno bezpośrednio jak i pośrednio; oceny z egzaminu (czy z zaliczenia w toku studiów) nie można traktować, jako identyfikator, numer identyfikacyjny czy dana o lokalizacji lub identyfikator internetowy; wynik z egzaminu nie stanowi żadnego z kilku szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej w rozumieniu art. 4 pkt 1 RODO, pozwalających choćby w sposób pośredni zidentyfikować osobę fizyczną;, oceny z egzaminu na studiów nie można zaliczyć ponadto do kategorii danych podstawowych - odnoszących się w szczególności do tożsamości danej osoby fizycznej (m. in. imię, nazwisko, imiona rodziców, data urodzenia), danych kontaktowych (np. adres e-mail, numer telefonu, adres do korespondencji); tym bardziej wyniku z egzaminu nie można traktować, jako danej dotyczącej zachowania lub preferencji, nie są to również dane finansowe czy dane szczególnej kategorii, - organ do tego stanowiska nawet się nie odniósł, zaś - wydając decyzje - błędnie uznał, jakoby doszło do przetwarzania danych osobowych bez podstawy prawnej. W odpowiedzi na skargę organ administracji wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. Skargę rozpoznano w trybie uproszczonym, wobec treści art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 r., poz. 259 ze zm.). Sąd zważył, co następuje. Skarga zasługuje na uwzględnienie, chociaż nie z przyczyn w niej podniesionych. Sąd - w związku z art. 134 § 1 ustawy - Prawo o postępowaniu przed sądami administracyjnymi - nie jest związany zarzutami i wnioskami skargi. Trafne są zarzuty Uczelni, gdy zakwestionowano konstatację organu, jakoby w rozpoznawanym przypadku doszło do bezprawnego ujawnienia danych osobowych w rozumieniu RODO. Chybiona jest jednak argumentacja skargi na potwierdzenie tej tezy. Na wstępie należy wskazać, że w sprawie są bezsporne jej istotne okoliczności faktyczne, co do istotnych okoliczności zdarzenia, którego dotyczyła skarga. Chodziło mianowicie o posłużenie się danymi osobowymi Wnioskodawcy w trakcie spotkania on-line - w sieci Internet za pośrednictwem MS Teams - w związku z prowadzeniem zajęć dydaktycznych, wyłącznie wobec grupy studentów zdających określony egzamin. Nie twierdzono, aby Nauczyciel - jako pracownik Uczelni - przetwarzał dane Wnioskodawcy ujawnione w czasie przedmiotowych zajęć w szerszym zakresie – np. udostępniał je ich osobom trzecim w sieci Internet, jako materiały utrwalone w ramach prowadzenia zajęć dydaktycznych. W każdym razie nie tego dotyczyła skarga i w danym zakresie organ w sprawie nie orzekał – co wynika wprost z komparycji decyzji. Poza sporem - zastrzeżeniami Wnioskodawcy - jest też przetwarzanie jego danych o wyniku egzaminu przez Uczelnię w ramach dokumentacji toku studiów - w systemach informatycznych. Trafnie z kolei organ przywołał uwarunkowania prawne sprawy - w kontekście przytoczenia stosownych regulacji, dotyczących przetwarzania danych osobowych, gdy dany proces podlega reżimowi RODO. Wobec zreferowania stanowiska organu w danym zakresie, ponowne jego przytaczanie byłoby bezzasadne. Rozpoznając sprawę organ winien był mieć jednak na uwadze jej następujące uwarunkowania formalnoprawne. W myśl art. 1 ust. 1 ustawy ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781), zwanej dalej "ustawą o danych", jej przepisy stosuje się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w zakresie określonym w art. 2 i 3 RODO, zaś - wobec art. 1 ust. 2 pkt 4 i 5 tej ustawy - określa ona m.in.: organ właściwy w sprawie ochrony danych osobowych i same reguły postępowania w sprawie naruszenia przepisów o ochronie danych osobowych. Uzasadnia to wniosek, że materialnoprawne ramy, co do właściwości danego, wyspecjalizowanego organu - jest nim wedle art. 60 ustawy o danych Prezes Urzędu Ochrony Danych Osobowych - zakreślają wyczerpująco postanowienia RODO. Już z treści zawartych w części wstępnej tego aktu motywów wynika, że generalnie celem jego ustanowienia, jest przyczynienie się do "tworzenia przestrzeni wolności, bezpieczeństwa i sprawiedliwości oraz unii gospodarczej, do postępu społeczno-gospodarczego, do wzmacniania i konwergencji gospodarek na rynku wewnętrznym, a także do pomyślności ludzi." (tak motyw 2 zd. 2). Z kolei, w motywie 3 - posłużono się tam jeszcze nomenklaturą, zaczerpniętą z dyrektywy zastępowanej przez RODO – wskazano, że celem regulacji jest "zharmonizowanie ochrony podstawowych praw i wolności osób fizycznych w związku z czynnościami przetwarzania oraz zapewnienie swobodnego przepływu danych osobowych między państwami członkowskimi". W motywie 6 przywołano natomiast wprost następujące przesłanki przyjęcia regulacji: "Szybki postęp techniczny i globalizacja przyniosły nowe wyzwania w dziedzinie ochrony danych osobowych. Skala zbierania i wymiany danych osobowych znacząco wzrosła. Dzięki technologii zarówno przedsiębiorstwa prywatne, jak i organy publiczne mogą na niespotykaną dotąd skalę wykorzystywać dane osobowe w swojej działalności. Osoby fizyczne coraz częściej udostępniają informacje osobowe publicznie i globalnie. Technologia zmieniła gospodarkę i życie społeczne i powinna nadal ułatwiać swobodny przepływ danych osobowych w Unii oraz ich przekazywanie do państw trzecich i organizacji międzynarodowych, równocześnie zaś powinna zapewniać wysoki stopień ochrony danych osobowych.". Same sformułowane przez prawodawcę cele ustanowienia danej regulacji uzasadniają wprawdzie konkluzję, że generalnie RODO ma się przyczynić do lepszej ochrony danych osobowych obywateli państw członkowskich Unii Europejskiej. Rozporządzenie to nie stanowi jednakże aktu, służącego pełnemu, ramowemu uregulowaniu ochrony praw w danym zakresie. Dotyczy jedynie komponentu danych, które podlegają automatycznemu przetworzeniu bądź mogą podlegać takiemu przetworzeniu, jako baza informacji o osobach. Wniosek taki potwierdza wprost treść normatywna przepisów wstępnych RODO. W myśl art. 2 ust. 1, akt ten znajduje zastosowanie wyłącznie "do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych". Z kolei - wobec art. 4 pkt 6 RODO - zbiór danych to "uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie". Oznacza to, że przepisy RODO nie znajdują zastosowania do wszelkich przypadków przetwarzania danych osobowych (formą przetwarzania jest ich ujawnianie – tak art. 4 pkt 3 RODO), lecz tylko gdy chodzi o te, objęte zakresem danej regulacji. Dotyczy to danych przetwarzanych w sposób całkowicie lub częściowo zautomatyzowany, zaś pozostałych tylko, gdy stanowią zbiór lub mogą stanowić część zbioru danych. Z kolei potencjalny zbiór danych to jedynie ich zestaw dostępny według określonych kryteriów. Oceny takiej nie zmienia to, że przetwarzanie (w tym ujawnienie) może - w myśl art. 4 pkt 3 RODO - nastąpić automatycznie lub także w inny sposób. Brzmienie danej definicji nie prowadzi do poszerzenia zakresu danych podlegających regułom RODO wedle treści art. 2 ust. 1. Mianowicie - gdy chodzi o dane przetwarzane w sposób inny niż zautomatyzowany – dotyczy ono tylko tych, które stanowią część zbioru danych lub mogą stanowić część zbioru danych, w rozumieniu art. 4 pkt 6 RODO. Odmienne rozumienie przepisów RODO prowadziłoby do trudnych do przypisanie racjonalnemu prawodawcy wniosków - jakoby danym rozporządzeniem uregulowano w sposób szczególny wszelkie zasady ochrony danych osobowych, w zakresie, gdzie może to prowadzić m.in. do naruszenia dóbr osobistych (prawa do prywatności - jak w tym przypadku). Wobec przyznania w RODO kompetencji rozstrzygania spraw na tym gruncie wyspecjalizowanym organom administracji państw członkowskich (tak art. 58 ust. 2 RODO i odpowiednio art. 34 ust. 2 oraz art. 60 ustawy o danych), oznaczałoby to ukształtowanie alternatywnej drogi ochrony praw przez wszystkie osoby, których prawa naruszono – np. ingerując w prawo do prywatności. Wobec przywołanych uwarunkowań, uzasadniony jest wniosek, że - wobec wyartykułowanych celów przyjęcia RODO i treści jego regulacji wstępnych - akt ten dotyczy zdarzeń związanych z przetwarzaniem informacji (gromadzenie, transfer itp.) gdzie możliwe jest mechaniczne odnajdywanie informacji o osobach - ich danych osobowych – w szczególności w ramach systemów teleinformatycznych. Nie dotyczy ono zaś zdarzeń pozostających w związku z ujawnieniem (w następstwie wykorzystywania) danych osobowych w innych sytuacjach - np. możliwości zapoznania się przez osoby trzecie z wynikami egzaminów studenta (tu wiadomość o nieuzyskaniu pozytywnego wyniku). nawet gdy wprowadzono je równocześnie w określonym zbiorze informacji Uczelni - bazie danych czy systemie teleinformatycznym, dotyczącym toku studiów. Inna ocena mogłaby dotyczyć tylko przypadku, gdy określone informacje upowszechniane byłyby w takiej postaci, że realnie możliwe byłoby ich niekontrolowane gromadzenie przez osoby nieuprawnione - bez wiedzy zainteresowanych. Sytuacja taka - co bezsporne - nie miała jednak miejsca w rozpatrywanej sprawie. Opisany przypadek dotyczył niewątpliwie ustnego poinformowania o wynikach egzaminu wobec innych osób w naturalnie zamkniętej grupie studentów, którzy zdawali określony egzamin (w ramach zajęć on-line). Przekazana innym studentom dotycząca Wnioskodawcy jednostkowa informacja nie jest przydatna dla systemowego gromadzenia danych o osobach, czy ich transferu w ramach określonych zbiorów czy rejestrów. Tego zaś przedmiotowo dotyczą reguły RODO. Konstatacje taką potwierdza też treść regulacji RODO, przywołanych przez organ zaś dotyczących rygoru przetwarzania danych osobowych w ramach systemu ich zbierania. W danym akcie, właśnie dla ograniczenia możliwości pozyskiwania a potem wykorzystywania danych wbrew woli zainteresowanych, wprowadzono zaostrzone rygory, co do sposobu zbierania danych w celu ich przetwarzania - np. brak możliwości domniemania zgody, potrzeba legitymowania się nią przez administratora. Nie ma racjonalnych przesłanek, aby dane reguły odnosić do wszelkich relacji w komunikacji społecznej, gdzie zwyczajowo posługuje się danymi osobowymi. W przypadku jak rozpoznawany, wymagałoby to daleko idącego sformalizowania relacji międzyosobowych, a więc znacznie utrudniałoby to wykonywanie szeregu prostych czynności w procesie dydaktycznym, lecz - analogicznie - wiele działań w życiu codziennym. Potrzeba wykazania się przez osobę wykorzystującą dane osobowe - we wszelkich przypadkach - zgodą, determinowałaby potrzebę generowanie i gromadzenia znacznej ilości dokumentów dla potrzeb wykonywania prostych powszechnych czynności, gdy nie służą one celom osobistym lub domowym - w rozumieniu art. 2 ust. 2 lit. c RODO. Nie sposób zakładać, aby taki cel przyświecał prawodawcy w ramach określenia reguł przetwarzania danych w RODO. W każdym razie nie wynika to z brzmienia stosownych regulacji normatywnych danego aktu ani też nie wyrażono tego w motywach przyjęcia danego aktu. Nie ma też racjonalnych przesłanek dla założenia, jakoby celem prawodawcy było doregulowanie wszelkich sfer relacji aktywności ludzkiej, gdzie wykorzystane są dane osobowe, w tym dotyczących, jak w rozpoznawanym przypadku, osób o stosownym statusie wykształcenia - studenci wyższej uczelni ich wykładowca. Zakres posługiwania się danymi osobowymi w bieżącej działalności dydaktycznej, winien być wszak determinowany przyjętymi dobrymi obyczajami, zaś od uczestników procesu dydaktycznego ich wykładowca może oczekiwać aktywności w kwestii kształtowania reguł w danym zakresie - na przykład artykułowania sprzeciwu. Nie ma racjonalnych przesłanek, aby tego rodzaju relacje w pełni ujednolicać i ujmować w regulacje szczegółowe - jak RODO. Zwłaszcza gdy ich artykułowanym przez prawodawcę celem jest w istocie ograniczenie możliwości transferu danych i gromadzenia informacji o osobach w systemach teleinformatycznych, przede wszystkim w kontekście transgranicznym. Powyższe uwagi potwierdzają konstatację, że reguły RODO dotyczą wyłącznie zdarzeń, gdzie posłużono się danymi osobowymi, związanych z ich przetwarzaniem w określonych warunkach - wskazanych uprzednio. Przy przyjęciu odmiennego rozumienia regulacji RODO, także przekazywanie wszelkich informacji, nawet w zamkniętych gronach, dotyczących osób, których tożsamość znana jest adresatom wiadomości (a więc, co do osób możliwych do zidentyfikowania) podlegałaby reżimowi wynikającemu z RODO. Stanowiłoby wobec tego przypadek podlegający rozpoznawaniu przez wyspecjalizowane organy administracji - w ramach procedur, przewidzianych RODO. Nie sposób racjonalnemu prawodawcy przypisać intencji przeniesienia tego typu spraw do rozstrzygania na drodze administracyjnej. Potwierdza to konkluzję, że generalnie w RODO uregulowano tylko zagadnienia pozostające w bezpośrednim związku z pozyskiwaniem informacji z konkretnych zbiorów danych bądź tworzeniem zbiorów, umożliwiających uzyskanie określonych informacji o osobach. Nie jest zaś kwestią kluczową (przesądzającą), czy sprawa w ogóle dotyczy danych osobowych. RODO ingeruje bowiem w tą problematykę wyłącznie w kontekście określonych form przetwarzanie danych osobowych. Nie jest więc wystarczającym dla ustalenia właściwości wyspecjalizowanego organu stwierdzenie, że sprawa dotyczyła wykorzystania danych osobowych Wnioskodawcy. Nie można tego utożsamiać z ich przetworzeniem w myśl RODO. W rozpoznawanej sprawie - w skardze do wyspecjalizowanego organu - przywołano zdarzenie, które nie dotyczyły ujawnienia danych osobowych z określonego zbioru. Za takie można by uznać np. pozyskanie przez osoby trzecie danych o wynikach egzaminów Wnioskodawcy ze stosownej bazy danych Uczelni. Posłużono się natomiast danymi osobowymi Wnioskodawcy w toku zajęć dydaktycznych. Wyspecjalizowany w zakresie ochrony danych osobowych organ nie był właściwy da oceny legalności tego zdarzenia. Uzasadniona jest bowiem ocena, że nie pozostawało ono w żadnym związku z procesem mechanicznego przetwarzania danych bądź posługiwanie się danymi mogącymi, stanowić wyodrębnioną bazę, jako zespół informacji, uporządkowanych wedle pewnych kryteriów w dniu zdarzenia. Jeżeli, wedle twierdzeń Wnioskodawcy – wobec ujawnienia w trakcie spotkania on-line wyników egzaminów, na co jak twierdzi Wnioskodawca nie wyrażał zgody, zaś Uczelnia wywodzi, że zgoda była dorozumiana - doszło do naruszenia jego prawa do prywatności, sprawa ta może być rozpatrywana w stosownym trybie przed sądami powszechnymi - w razie zainicjowania stosownego postępowania przez Wnioskodawcę. W tej sytuacji - wobec bezsporności faktów, istotnych w kontekście oceny, czy dany organ administracji jest kompetentny do zastosowania środków, przewidzianych w RODO, w świetle reguł ustawy o danych – nie było podstaw do orzekania w sprawie, co do meritum. Powyższe konstatacje prowadzą do wniosku, że w sprawie występowały przesłanki dla odmowy wszczęcia postępowania, bądź wobec jego wszczęcia – np. wobec konieczności ustalenia określonych faktów - umorzenia postępowania, jako bezprzedmiotowego. Organ nie był bowiem kompetentny do ewentualnego zastosowania przyznanych mu w RODO uprawnień w zakresie zastosowania środków dyscyplinujących. Zdarzenie opisane w skardze nie dotyczyło bowiem przetwarzania danych osobowych, w rozumieniu RODO. Chybione są natomiast wywody skargi, jakoby informacji o wynikach egzaminu osoby, której tożsamość jest znana adresatem wiadomości (tu było poza sporem, że studenci się znali), nie stanowiła danych osobowych, w rozumieniu art. 4 pkt 1 RODO. Mylne jest stanowisko Uczelni, oparte na założeniu, że daną osobową są jedynie informacje dające możliwość zidentyfikowania osoby. Są nią także dane dotyczące osoby, której tożsamość znana jest adresatom informacji - np. o wynikach egzaminów studenta, którego personalia są znane innym. W tym kontekście nie mógł mieć też znaczenia zarzucany w skardze brak szczegółowego odniesienia przez organ do argumentacji, formułowanej w kierowanych przez Uczelnię pismach. Nie ma to jednak znaczenia dla wyniku sprawy, skoro Sąd był obowiązany z urzędu skontrolować legalność oskarżonego aktu. Zasadne było jedynie samo przywołanie w skardze przepisów prawa materialnego, zakreślających ramy przetwarzania danych osobowych oraz przesłanki stosowania sankcji przez wyspecjalizowany organ określonych w RODO - jako naruszone, przy wydaniu kwestionowanego orzeczenia. Przepisy te nie znajdowały bowiem istotnie w przedmiotowej sprawie zastosowanie, zaś wydanie orzeczenia (o charakterze dyscyplinującym – upomnienia) w oparciu o ich brzmienie nie było zasadne. Z przytoczonych wyżej przyczyn, na podstawie art. 145 § pkt 1 lit. a oraz § 3 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w pkt 1 i 2 sentencji. O kosztach orzeczono w pkt 3 wobec treści art. 200 wskazanego aktu. Zasądzone koszty to uiszczony wpis od skargi. ----------------------- 2