VIII SA/Wa 590/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Marek Wroczyński (sprawozdawca), Sędziowie Sędzia WSA Sławomir Fularski, Sędzia WSA Iwona Szymanowicz - Nowak, , po rozpoznaniu na posiedzeniu niejawnym w dniu 7 października 2021 r. w Radomiu sprawy ze skargi Zespołu Szkół [...] im. [...] w R. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.

Zaskarżoną decyzją z dnia [...] kwietnia 2021 roku, nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej organ lub Prezes UODO) na podstawie art. 104 § 1ustawy z 14 czerwca 1960 roku Kodeks postępowania administracyjnego (DZ.U z 2020 roku, poz. 256, dalej kpa), art. 7 ust.1 i 2 ustawy z 10 maja 2018 roku o ochronie danych osobowych (DZ.U z 2019 roku, poz. 1781), art. 6 ust.1 oraz art. 58 ust.2 lit.b) Rozporządzenia Parlamentu Europejskiego i Rady(UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej rozporządzenie 2016/697 lub RODO) oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str.1, Dz. Urz. UE z 23 maja 2018 roku, str.2 oraz Dz.Urz. UE L 74 z 4 marca 2021, str.35), po przeprowadzeniu postępowania administracyjnego w sprawie skargi M. Z., na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Zespół Szkół E. im. [...] w R. (dalej skarżąca) osobom trzecim : 1. udzielił Zespołowi Szkół E. im. [...] w R. upomnienia za naruszenie art. 6 ust.1 rozporządzenia 2016/697 polegające na udostępnieniu danych osobowych M. Z., podczas zebrania rady pedagogicznej w dniu [...] lipca 2018 roku w zakresie odwołania od oceny pracy i przyczyn wystawienia tej oceny, a także podczas zebrania rady pedagogicznej w dniu [...] sierpnia 2018 roku w zakresie treści kuratoryjnego uzasadnienia oceny pracy i orzeczenia o zmianie tej oceny, 2. odmówił uwzględnienia wniosku w pozostałym zakresie. Podstawą rozstrzygnięcia były następujące ustalenia faktyczne i ocena prawna. Do organu ochrony danych osobowych wpłynęła skarga M. Z. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez skarżącą polegającą na ujawnieniu informacji z jej akt osobowych przechowywanych w miejscu pracy osobom trzecim. Organ ustalił, iż M. Z. jest pracownikiem skarżącej szkoły. W trakcie roku szkolnego 2017/18 skarżąca została poddana ocenie pracy, od której to oceny złożyła odwołanie. W trakcie zebrania rady pedagogicznej w skarżącej szkole w dniu [...] lipca 2018 roku z uwagi na pismo Kuratorium Oświaty w W. – Delegatura w R. z dnia [...] lipca 2018 roku rada pedagogiczna, działająca w skarżącej szkole dokonała merytorycznej oceny pracy nauczyciela M. Z. oraz w formie uchwały wyłoniła swojego przedstawiciela do udziału w pracach zespołu oceniającego do rozpoznania odwołania od ustalonej oceny. W toku dyskusji podczas obrad rady opiniowano i oceniano merytoryczny dorobek ocenianego nauczyciela, a głos zabierali uczestnicy tego gremium. W dniu [...] sierpnia 2018 roku w trakcie zebrania rady pedagogicznej na wniosek uczestnika zebrania rady pedagogicznej dyrektor skarżącej szkoły przedstawił uzasadnienie decyzji zmieniającej ocenę pracy nauczyciela oraz poinformował uczestników zebrania o braku trybu odwoławczego od decyzji zmieniającej pierwotną ocenę. Organ w pierwszej kolejności wskazał, że rozporządzenie 2016/679 określa obowiązki administratora danych osobowych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w wyżej powołanym rozporządzeniu. Przepisem upoważniającym administratorów danych osobowych do przetwarzania zwykłych danych osobowych osób fizycznych jest art. 6 ust.1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z wymienionych w art. 6 ust.1 RODO przesłanek. Katalog przesłanek tam wymienionych jest katalogiem zamkniętym i każda przesłanka ma charakter autonomiczny i niezależny. W przedmiotowej sprawie Kuratorium Oświaty w W. zwróciło się przewodniczącego rady pedagogicznej w skarżącej szkole o wyłonienie przedstawiciela tego organu do udziału w pracach zespołu oceniającego odwołanie od oceny pracy nauczyciela tej szkoły. Podczas zebrania rady pedagogicznej w dniu [...] lipca i [...] sierpnia 2018 roku ujawniona została zarówno treść oceny pracy, jak i treść uzasadnienia decyzji odwoławczej oceny pracy nauczyciela. W obu przypadkach dyrektor skarżącej szkoły nie wskazał żadnej z przesłanek legalizujących proces przetwarzania danych osobowych z art. 6 ust.1 RODO. Organ wskazywał, że z uwagi na treść art. 5 ust.1 lit.c) RODO na szkole jako administratorze danych ciąży również obowiązek minimalizacji danych, które przez nią są przetwarzane. Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust.2 RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych osobowych. Na podstawie powołanego przepisu Prezesowi UODO przysługują uprawnienia naprawcze, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów RODO przez operacje przetwarzania danych. Prezes UODO w realiach niniejszej sprawy uznał, że właściwe jest zastosowanie wobec skarżącej szkoły upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust.1 RODO, gdyż przetwarzanie danych osobowych nauczyciela podczas zebrania rady pedagogicznej w dniu [...] lipca 2018 roku w zakresie treści odwołania od oceny pracy i przyczyn wystawienia oceny, a także podczas zebrania rady pedagogicznej w dniu [...] sierpnia 2018 roku w zakresie treści kuratoryjnego uzasadnienia oceny pracy i orzeczenia o zmianie oceny, stanowiło naruszenie norm ochrony danych osobowych. Organ wskazał też, że M. Z. jest pracownikiem szkoły, zatrudnionym na stanowisku nauczyciela na podstawie art. 10 ustawy z dnia 26 stycznia 1982 roku Karta Nauczyciela (DZ.U z 2019 roku, poz. 2215). Na podstawie art. 63 wyżej powołanej ustawy organ szkoły jest obowiązany z urzędu występować w obronie nauczyciela, gdy ustalone dla nauczyciela uprawnienia zostaną naruszone. Organ przedstawił również swoje rozważania w zakresie możliwości ujawnienia danych nauczyciela w kontekście przepisów ustawy z 6 września 2001 roku o dostępie do informacji publicznej( Dz.U z 2019 roku, poz. 1429). Organ wskazał, że nauczyciel realizuje zadania funkcjonariusza publicznego i w trybie ustawy o dostępie do informacji publicznej można by rozważać możliwość udostępnienia informacji w tym zakresie z zachowaniem ograniczeń co do informacji dotyczącej prywatności osoby fizycznej. Organ wskazywał, że z zebranego materiału dowodowego nie wynika aby dane osobowe skarżącej zostały ogłoszone w trybie wyżej powołanej ustawy. Z tych względów zdaniem organu, skarżąca bez podstawy udostępniła dane osobowe podczas zebrania rady pedagogicznej w dniu [...] lipca i [...] sierpnia 2018 roku, co stanowiło naruszenie norm z zakresu ochrony danych osobowych – art. 6 ust.1 RODO. W zakresie roszczeń M. Z. o ograniczenie i zabezpieczenie przetwarzania jej danych oraz o ukaranie winnych naruszeń, to zdaniem organu udostępnienie miało już miejsce i jest nieodwracalne i nie mogły zostać uwzględnione. Organ wskazywał, że roszczenia o ograniczenie oraz zabezpieczenie przetwarzania i nałożenie kary administracyjnej mogą być przedmiotem postępowania wszczętego z urzędu przez organ, a nie na wniosek. Z tego powodu nie mogły zostać uwzględnione. Skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z [...] kwietnia 2021 roku wniósł Zespół Szkół E. im. [...] w R.. Zaskarżonej zarzucał: - naruszenie prawa materialnego - art. 2 ust.1 rozporządzenia Parlamentu Europejskiego i Rady(UE) 2016/679 poprzez jego niezastosowanie i nieuwzględnienia, iż wskazane rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych; - naruszenie prawa materialnego – art. 4 ust.2 rozporządzenia 2016/679 poprzez jego niezastosowanie i nieuwzględnienie definicji ,, przetwarzania’’; - naruszenie prawa materialnego – art. 4 ust.6 rozporządzenia 2016/679 poprzez jego niezastosowanie i nieuwzględnienie definicji ,, zbioru danych’’; - naruszenie prawa materialnego – art. 6 ust.1 rozporządzenia 2016/679 poprzez błędną jego wykładnię i przyjęcie, że nie został spełniony żaden z warunków określonych w powołanym przepisie, a w konsekwencji, uznanie iż przetwarzanie danych było niezgodne z prawem; - naruszenie prawa materialnego – art. 6 ust.1 lit. e) rozporządzenia 2016/679 poprzez brak zastosowania i brak przyjęcia, że w okolicznościach sprawy został spełniony warunek z tego przepisu, a w konsekwencji przetwarzanie było zgodne z prawem; - naruszenie prawa materialnego – art. 58 ust.2 lit.b) rozporządzenia 2016/679 poprzez błędną wykładnię i uznanie, iż w realiach niniejszej sprawy organ był uprawniony do udzielenia upomnienia. W związku z powyższym skarżąca wnosiła o uchylenie zaskarżonej decyzji oraz zasądzenie kosztów postępowania według norm przepisanych. W uzasadnieniu skargi skarżąca w pierwszej kolejności podnosiła, iż w przedmiotowej sprawie nie mogły mieć zastosowania przepisy rozporządzenia 2016/679 z uwagi na fakt, iż nie zostały spełnione przesłanki z art. 2 ust.1 rozporządzenia 2016/679. Rozporządzenie znajduje zastosowanie wyłącznie ,,do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych‘’. Natomiast zgodnie z art. 4 pkt 6 RODO zbiór danych to ,,uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezalenie od tego, czy zestaw ten jest scentralizowany czy rozproszony funkcjonalnie lub geograficznie ‘’. W ocenie skarżącej powyższe regulacje wskazują, że przepisy RODO nie znajdują zastosowania do wszelkich przypadków przetwarzania danych osobowych, lecz tylko do tych, które są objęte zakresem danej regulacji. Niewątpliwie w przedmiotowej sprawie udostępnienie treści odwołania od oceny pracy oraz kuratoryjnego uzasadnienia oceny pracy i orzeczenia o zmianie tej oceny nie nastąpiło w sposób zautomatyzowany lub częściowo zautomatyzowany. W rozpoznawanej sprawie uzasadnione jest również stwierdzenie, że przedmiotowe zdarzenie nie stanowiło również posługiwania się danymi mogącymi stanowić wyodrębnioną bazę, jako zespołu informacji uporządkowanych wedle pewnych kryteriów w dniu zdarzenia. Skarżąca dla poparcia swojego stanowiska odwołała się do uzasadnienia Wojewódzkiego Sądu Administracyjnego w Warszawie z wyroku z dnia 15 września 2020 roku, sygn. akt II SA/Wa 2227/19. W ocenie skarżącej przetwarzanie danych w niniejszej sprawie poprzez ich ujawnienie nie powinno być objęte regułami zawartymi w RODO. Organ nie był uprawniony do wykonywania kompetencji określonych w art. 58 ust.2 lit.b) RODO i tym samym orzekając w tej sprawie naruszył wskazany przepis. Z ostrożności procesowej skarżąca wskazała, iż zgodnie z art.3 pkt 9 ustawy z 7 września 1991 roku o systemie oświaty (DZ.U z 2018 roku, poz. 1457), nauczyciel jest pracownikiem pedagogicznym szkoły. Tym samym nauczyciel jest osobą pełniącą funkcję publiczną w rozumieniu ustawy o dostępie do informacji publicznej. Zgodnie z art. 6a Karty Nauczyciela praca nauczyciela podlega ocenie. Procedura wystawiania oceny nauczycielowi i odwoływania się od niej jest szczegółowo regulowana przepisami prawa. Zdaniem skarżącej należy podkreślić, iż dane osobowe M. Z. ujawnione w toku posiedzeń rady pedagogicznej w dniach [...] lipca i [...] sierpnia 2018 roku nie stanowiły danych dotyczących jej życia prywatnego, lecz wyłącznie wykonywanego przez nią zawodu nauczyciela. W tym stanie rzeczy w ocenie skarżącej udostępnianie danych nie naruszyło art. 6 ust.1 RODO. Ujawnienie treści wskazanych dokumentów dotyczących oceny pracy M. Z. nastąpiło na podstawie art. 6 ust.1 lit.e) RODO – przetwarzanie danych było niezbędne do wykonywania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Nadto skarżąca odwołała się do art. 69 ust.1 ustawy prawo oświatowe, który stanowi, że rada pedagogiczna jest organem kolegialnym szkoły. Natomiast zgodnie z art. 73 ust.3 tej ustawy osoby biorące udział w zebraniu rady pedagogicznej są obowiązane do nieujawniania spraw poruszanych na zebraniu rady, które mogą naruszać dobra osobiste uczniów lub rodziców, a także nauczycieli i innych pracowników szkoły lub placówki. W odpowiedzi na skargę organ nie uznawał jej zarzutów, wnosił o jej oddalenie oraz podtrzymywał dotychczas zajmowane stanowisko w sprawie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.) sądy administracyjne sprawują wymiar sprawiedliwości, przez kontrolę działalności administracji publicznej pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Sąd w zakresie swojej właściwości ocenia zaskarżoną decyzję z punktu widzenia jej zgodności z prawem materialnym i przepisami postępowania administracyjnego według stanu faktycznego i prawnego obowiązującego w dacie wydania tej decyzji. Dokonując takiej kontroli Sąd uznał, że skarga nie zasługuje na uwzględnienie. Należy zauważyć, iż skarżąca nie kwestionując ustaleń faktycznych w sprawie stawia wyłącznie zarzuty naruszenia przepisów prawa materialnego – rozporządzenia 2016/679. Najdalej idącym zarzutem stawianym zaskarżonej decyzji, iż przepisy wyżej powołanego rozporządzenia nie mogły mieć zastosowania w przedmiotowej sprawie. Skarżąca wskazuje na naruszenie przepisów art. 2 ust.1, art. 4 ust.2 i art. 4 ust.6 rozporządzenia RODO. Sięgając po treść art. 2 ust.1 RODO należy zauważyć, iż rozporządzenie znajduje zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych. Zgodnie z ustawą z dnia 15 kwietnia 2011 roku o systemie informacji oświatowej (DZ.U z 2021 roku, poz. 584, dalej jako ustawa o systemie informacji) istnieje system informacji oświatowej, który zawiera między innymi dane osobowe nauczycieli( dane identyfikacyjne, dane dziedzinowe). Baza ta jest prowadzona przez ministra do spraw oświaty i wychowania, a informacje i dane są przekazywane między innymi przez szkoły. W bazie danych, w zbiorach danych szkół i placówek oświatowych są przechowywane dane osobowe – dziedzinowe, o otrzymanej ocenie pracy o której mówi art. 6a ustawy karta nauczyciela. Tak więc administrator danych osobowych - Zespół Szkół E. im. [...] w R. posiadał zbiór danych osobowych między innymi nauczycieli tej szkoły, w tym M. Z.. Częścią tego zbioru danych osobowych była informacja o wynikach przeprowadzonej oceny pracy tego nauczyciela. Zgodnie z art. 4 pkt 2 RODO pod pojęciem przetwarzania należy rozumieć operację lub zestaw operacji wykonywanych na danych osobowych lub ich zestawach w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adoptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczenie, usuwanie lub niszczenie. Pojęcie przetwarzania składa się z dwóch elementów. Pierwszym jest ogólna definicja, a drugim katalog przykładowych operacji, które mogą być uznane za przetwarzanie. Operacja na danych powinna być działaniem człowieka i chodzi o zależność operacji na danych osobowych od woli człowieka, przejawiającą się w podjęciu decyzji o wykonywania określonych operacji na danych osobowych. W sytuacji ujawnienia informacji o wynikach oceny pracy nauczyciela dokonanej przez dyrektora szkoły i ocena dokonanej przez komisję odwoławczą kuratorium na posiedzeniach rady pedagogicznej szkoły w dniach [...] lipca i [...] sierpnia 2018 roku doszło do przetwarzania danych osobowych opinii - o wynikach oceny pracy nauczyciela M. Z., która to informacja część jej danych osobowych, którymi administruje skarżąca szkoła. W ocenie Sądu stanowisko skarżącej, iż w przedmiotowym przypadku nie mogły mieć zastosowania przepisy RODO nie znajduje dostatecznego usprawiedliwienia. Stanowisko skarżącej, iż przedmiotowe zdarzenie nie stanowiło przypadku posługiwania się danymi mogącymi stanowić wyodrębnioną bazę pozostaje co najmniej chybione. We wcześniejszym fragmencie Sąd odwoływał się do ustawy o systemie informacji oświatowej, która tworzy centralny system danych osobowych oświatowych, między innymi o nauczycielach. Dane osobowe oświatowe do centralnego systemu są przekazywane przez szkoły i placówki oświatowe. Tak więc szkoły posiadają zbiory danych osobowych oświatowych, między innymi o nauczycielach. Jedną z części tej bazy danych są informacje o wynikach oceny pracy nauczyciela. Szkoła jako administrator danych osobowych zgodnie z art. 5 RODO jest zobowiązana do przetwarzania danych osobowych zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Przetwarzania w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. Rada pedagogiczna zgodnie z art. 70 ustawy z 14 grudnia 2016 roku Prawo oświatowe (DZ.U z 2021 roku, poz. 1082 dalej prawo oświatowe) nie ma kompetencji w zakresie oceny, czy też opinii o pracy nauczyciela. Rada pedagogiczna wyłania tylko swojego przedstawiciela do komisji odwoławczej w kuratorium celem rozpoznania odwołania( § 7 ust.1 pkt 2 rozporządzenia Ministra Edukacji Narodowej z 9 grudnia 2016 roku w sprawie kryteriów i trybu dokonywania oceny pracy nauczyciela, trybu postępowania odwoławczego oraz składu i sposobu powoływania zespołu oceniającego( DZ.U z 2016 roku, poz. 2035). Tak więc nie zachodziła podstawa aby na forum rady pedagogicznej zajmowano się oceną pracy nauczyciela M. Z., a takie dane zostały przekazane członkom rady pedagogicznej. Zdaniem Sądu w niniejszej sprawie faktycznie nie zachodzi żaden z warunków określonych w art. 6 ust.1 RODO. Skarżąca we wniesionej skardze wskazywała, iż w przedmiotowej sprawie zastosowanie miały norma prawna z art. 6 ust.1 pkt e) RODO – przetwarzanie jest niezbędne do wykonywania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Przetwarzanie danych osobowych w przypadku wyżej określonym musi być do tego celu niezbędne. Podstawowe i relewantne dla jej kształtowania jest kryterium konieczności. Musi istnieć związek między przetwarzaniem danych, a wykonywaniem zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Taki związek powinien podlegać ocenie przez pryzmat zasady proporcjonalności wynikającej z art. 8 ust.2 Europejskiej Konwencji Praw Człowieka, art. 31 ust.3 Konstytucji RP, a także zasad przetwarzania danych sformułowany w art. 5 RODO, w szczególności zasady ograniczenia celu, zasady minimalizacji danych. Taką wykładnię wzmacnia motyw 39 RODO w którym podkreślono, że dane osobowe powinny być przetwarzane w sytuacjach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć w inny sposób (komentarz do art. 6 rozporządzenia RODO pod redakcją Edyty Bielak – Jomaa – WKP 2018). W ocenie Sądu skarżąca w żadnym stopniu nie wykazała, aby przetwarzanie danych osobowych było niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Do realizacji procesu oceny pracy nauczyciela dokonywanej przez dyrektora szkoły nie było niezbędne przetwarzanie danych poprzez ich ujawnienie w ramach posiedzenia rady pedagogicznej. Fakt, że nauczyciel pełni funkcję publiczną nie dawał administratorowi danych – skarżącej szkole w ramach realizacji oceny pracy do przetwarzania danych. Tak więc organ wydając niniejsze rozstrzygnięcie nie naruszył przepisu art. 58 ust.2 lit.b) RODO. Powoływanie się przez skarżącą na art. 69 ust.1 prawa oświatowego zobowiązujący osoby biorące udział w zebraniu rady pedagogicznej do nieujawniania spraw poruszanych na zebraniu, które mogą naruszać dobra osobiste uczniów lub rodziców, a także nauczycieli i innych pracowników szkoły lub placówki nie zwalnia administratora do zachowywania zasad przetwarzania danych osobowych określonych w rozporządzeniu 2016/679. W związku z powyższym biorąc za podstawę art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r. poz. 1302) oraz art. 6 ust.1 RODO, Sąd skargę oddalił.