II SA/Wa 273/20

SENTENCJA Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Tomasz Szmydt, Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Andrzej Góraj (spr.), po rozpoznaniu na posiedzeniu niejawnym w dniu 10 listopada 2020 r. sprawy ze skargi M. P. oraz małoletnich I. P. i M. P. reprezentowanych przez przedstawiciela ustawowego M. P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych uchyla zaskarżoną decyzję UZASADNIENIE M. P. złożył do Generalnego Inspektora Ochrony Danych Osobowych (dalej również jako GIODO) skargę dotyczącą przetwarzania jego danych osobowych oraz danych osobowych jego dzieci przez Dyrektora Publicznej Szkoły Podstawowej (z oddziałami przedszkolnymi) Stowarzyszenia Rozwoju [...] – J. S., przewodniczącego Rady Rodziców M. S. i Zarząd Stowarzyszenia Rozwoju [...] (dalej jako Zarząd Stowarzyszenia). Skarżący zwrócił uwagę na fakt odczytania przez dyrektora wspomnianej szkoły na posiedzeniu Zarządu Stowarzyszenia w dniu [...] stycznia 2011 r. jego pism z dnia [...] listopada 2011 r. i [...] grudnia 2010 r., kierowanych do dyrektora szkoły oraz dotyczącego tej sprawy pisma dyrektora szkoły z dnia [...] grudnia 2010 r., notatek służbowych nauczycielek przedszkola K. C. i K. W., notatki służbowej nauczycielki szkoły I. R. oraz podsumowania konsultacji psychologa E. J. z dnia [...] grudnia 2010 r. Ponadto dyrektor szkoły odczytał powyższe dokumenty na zebraniu Rady Rodziców Szkoły w dniu [...] stycznia 2011 r. M. P. podniósł, iż oba gremia omawiały sprawę jego rodziny, opisaną w powyższych pismach, bez upoważnienia ze strony skarżącego do upublicznienia tej korespondencji. Ponadto na zebraniu Rady Rodziców rozpowszechniono pismo dotyczące przedmiotowej sprawy, autorstwa przewodniczącego Rady Rodziców – M.S.. Jednocześnie M. P. podkreślił, iż nie wyrażał zgody, aby jego dzieci brały udział w konsultacjach psychologicznych psychologa E. J.. W jego ocenie, doszło do rażącego naruszenia poufności dokumentów oraz bezprawnego wykorzystania danych osobowych jego rodziny i udostępnienia tych danych i informacji osobom nieuprawnionym, dlatego zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych o podjęcie działań przewidzianych w ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm., obecnie Dz. U. z 2014 r., poz. 1182 ze zm. – dalej jako u.o.d.o.), tzn. usunięcia danych osobowych jego rodziny i przywrócenia stanu zgodnego z prawem. Generalny Inspektor Ochrony Danych Osobowych ustalając stan faktyczny w toku przeprowadzanego w niniejszej sprawie postępowania administracyjnego stwierdził, że pomiędzy skarżącym a szkołą zaistniał konflikt na tle sformułowanego przez skarżącego zarzutu, iż jego syn był w szkole "długotrwale nękany fizycznie i psychicznie" (cytat z pisma skarżącego do dyrektora szkoły z dnia [...] listopada 2010 r.). W konsekwencji dzieci skarżącego zostały przez niego przeniesione do innych placówek oświatowych. W związku z powyższym M. P. skierował do dyrektora szkoły szereg pism obrazujących kwestionowaną przez niego sytuację i wzywających do poinformowania go o podjętych w szkole działaniach w tej sprawie. Z uwagi na to w szkole podjęte zostały czynności, które - w ocenie dyrektora - służyły wyjaśnieniu sytuacji i zapobieżeniu podobnym incydentom w przyszłości. W szczególności szkoła zaaranżowała spotkanie z psychologiem i pedagogiem E. J., na którym jednak nie pojawił się skarżący z dziećmi. W aktach sprawy znajdują się także m. in. notatki wychowawczyni - K. W. z dnia [...] grudnia 2010 r. i wicedyrektora I. R. z dnia [...] grudnia 2010 r., informujące dyrektora szkoły o zdarzeniach z udziałem skarżącego i jego dzieci oraz o zastrzeżeniach skarżącego odnośnie do sposobu traktowania jego syna w szkole i córki w oddziale przedszkolnym. Odnosząc się do kwestii odczytania korespondencji skarżącego, notatek nauczycielek oraz opinii psychologa na posiedzeniu Zarządu Stowarzyszenia w dniu [...] stycznia 2011 r., pismem z dnia [...] lipca 2012 r. dyrektor szkoły wyjaśnił GIODO, że poinformował on Zarząd - jako organ prowadzący szkołę - o zdarzeniu, dotyczącym skarżącego i jego dzieci, które miało miejsce w szkole, na podstawie art. 5 ust. 7 pkt 1 oraz art. 34a ust. 2 pkt 2 ustawy z dnia 7 września 1991 r. o systemie oświaty (t.j.: Dz. U. z 2004 r., nr 256, poz. 2572 ze zm. – dalej jako ustawa o systemie oświaty). Dzieci skarżącego od dnia [...] grudnia 2010 r. nie są uczniami tej szkoły. Dane osobowe wymienionych osób nie są przetwarzane - kserokopie dokumentów skarżącego i jego dzieci zostały usunięte z akt Zarządu Stowarzyszenia i zniszczone przez dyrektora szkoły. Natomiast w dniu 19 stycznia 2011 r. odbyło się zebranie Rady Rodziców, zwołane w celu wspólnego wyjaśnienia sytuacji i przedstawienia jej rodzicom, w którym uczestniczyli m. in. dyrektor szkoły i przewodniczący Rady Rodziców M. S.. W trakcie zebrania - jak wynika ze sporządzonego protokołu - dyrektor J. Ś.ponownie odczytał zebranym wspomnianą wcześniej korespondencję M. P. ze szkołą, notatki nauczycielek oraz opinię psychologa. Ponadto odczytano pismo M. S., adresowane do rodziców uczniów szkoły. W skierowanym do GIODO piśmie z dnia 18 lutego 2012 r., zawierającym wyjaśnienia odnośnie do okoliczności przedmiotowej sprawy, M. S. oświadczył, że nigdy nie udostępniał danych skarżącego oraz osób jemu bliskich na rzecz innych podmiotów i nie ma wiedzy w tym zakresie. Pismo jego autorstwa, na które powołuje się M. P., było jedynie notatką propozycji wystąpienia do rodziców, które wygłosił ustnie jako członek Rady Rodziców, w następstwie skarg wnoszonych nie tylko przez skarżącego. Notatek tych nikomu nie udostępniał i nie wie nic o okolicznościach, w jakich miały być one rozpowszechniane. W aktach sprawy znajduje się ponadto kopia fragmentu pisma M. S. z dnia 18 lutego 2011 r., adresowanego do członków Zarządu Stowarzyszenia, w którym wskazał on, iż I. J., pełniąca funkcję sekretarza Rady Rodziców, bez porozumienia z kimkolwiek z Rady, a tym bardziej z przewodniczącym, potwierdziła za zgodność jego pismo, które nigdy nie zostało rozpowszechnione i wydała je razem z częścią dokumentacji Rady skarżącemu. Z kolei dyrektor szkoły w skierowanym do GIODO piśmie z dnia 20 lutego 2012 r. oświadczył, że zbiór danych osobowych skarżącego był przetwarzany przez zamieszczenie go w programie komputerowym szkoły PROGMAN - sekretariat, księdze uczniów szkoły, księdze dzieci, dzienniku lekcyjnym, arkuszach ocen. Na posiedzeniu w dniu 19 stycznia 2011 r. dyrektor poinformował Radę Rodziców i jej przewodniczącego M. S. na ich prośbę o zaistniałej sytuacji w zakresie niezbędnym, tj. odczytał pismo skarżącego i notatki nauczycieli. Wymienionych informacji nie rozpowszechnił i nie upublicznił innym osobom. Działania te oparte były na podstawie art. 54 ust. 1 ustawy o systemie oświaty. Prezes Zarządu Stowarzyszenia w piśmie do GIODO z dnia 19 marca 2012 r. oświadczył, że na spotkaniu Zarządu Stowarzyszenia w dniu 18 stycznia 2011 r. dyrektor szkoły poinformował Zarząd o zajściu, jakie miało miejsce w szkole pod koniec listopada 2010 r. Dyrektor przekazał kserokopie pism (notatki służbowe nauczycieli) oraz dwa pisma (kserokopie) rodzica skierowane do dyrektora szkoły, dotyczące tego zdarzenia. Na spotkaniu Zarządu w dniu 3 marca 2011 r., na którym obecna była Komisja Rewizyjna Stowarzyszenia, odczytano pismo przewodniczącego Rady Rodziców. Wyjaśnień na temat kwestii zawartych w wymienionym piśmie udzieliła I. J. - w zakresie powodów udostępnienia protokołów jednemu z rodziców. Z kolei w piśmie Prezesa Zarządu z dnia 31 maja 2012 r. stwierdzono, że obecnie Zarząd nie przetwarza żadnych, nawet potencjalnych danych osobowych, dotyczących skarżącego oraz jego rodziny. Przekazane przez dyrektora informacje na temat zdarzenia w szkole zostały usunięte (oddane dyrektorowi szkoły), aby nie padały żadne podejrzenia o przetwarzanie przez Zarząd jakichkolwiek informacji związanych z rodziną skarżącego. Komisja Rewizyjna bada zaś całą działalność Zarządu, a zatem ma prawo wstępu na jego posiedzenia. W związku z tym uzyskała ona informacje na temat zajścia w szkole podczas obrad Zarządu. Generalny Inspektor Ochrony Danych Osobowych po zapoznaniu się ze zgromadzonym w sprawie materiałem dowodowym dnia 4 września 2012 r. wydał decyzję odmawiającą uwzględnienia wniosku M. P.. Następnie decyzją z dnia [...] listopada 2012 r. po ponownym rozpatrzeniu sprawy GIODO utrzymał w mocy swoje wcześniejsze rozstrzygnięcie. W uzasadnieniu decyzji organ wskazał, że każda forma przetwarzania danych osobowych powinna znaleźć oparcie w jednej z przesłanek warunkujących legalność procesu przetwarzania danych osobowych, enumeratywnie wymienionych w art. 23 ust. 1 u.o.d.o. Niezależnie od zgody osoby, której dane dotyczą, przetwarzanie danych osobowych jest dopuszczalne m. in. wówczas, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 u.o.d.o.). Organ uznał, że udostępnienie danych osobowych M. P. i jego dzieci na rzecz Zarządu Stowarzyszenia - jako organu prowadzącego szkołę - znajdowało prawne uzasadnienie w art. 5 ust. 7 pkt 1 w zw. z art. 34a ust. 2 pkt 2 ustawy z dnia 7 września 1991 r. o systemie oświaty (Dz. U. z 2004 r. nr 256, poz. 2572 ze zm.) w zw. z art. 23 ust. 1 pkt 2 u.o.d.o. Dyrektor szkoły na mocy powołanych przepisów był uprawniony do zawiadomienia organu prowadzącego szkołę o konflikcie pomiędzy skarżącym a szkołą, powstałym na tle zarzutów skarżącego dotyczących bezpieczeństwa jego dzieci i ich nienależytego traktowania w placówkach oświatowych prowadzonych przez Stowarzyszenie. GIODO nie uwzględnił argumentacji M. P., iż w ramach nadzoru organ zarządzający może pozyskiwać tylko informacje o charakterze finansowym i administracyjnym, nie zaś dane osobowe. W ocenie GIODO kwestionowane przez skarżącego udostępnienie danych osobowych nie naruszało również art. 26 ust. 1 pkt 1 i 2 oraz art. 36 u.o.d.o. Organ podkreślił ponadto, wszystkie informacje pozyskane przez Zarząd od dyrektora zostały mu zwrócone (oświadczenie z dnia 31 maja 2012 r.), a następnie przez niego zniszczone, zatem aktualnie Zarząd nie przetwarza żadnych danych skarżącego i jego dzieci, co czyni zarzuty pod jego adresem bezprzedmiotowymi. Załączone przez skarżącego do jego wniosku o ponowne rozpatrzenie sprawy dokumenty w postaci kopii oświadczeń członka Zarządu Stowarzyszenia oraz przewodniczącego i członka Komisji Rewizyjnej Stowarzyszenia wskazujące na brak wiedzy tych osób w przedmiocie komisyjnego niszczenia przez Zarząd Stowarzyszenia jakichkolwiek dokumentów czy też ich zwrotu dyrektorowi szkoły nie dowodzi, że Zarząd w dalszym ciągu przetwarza kwestionowane dane osobowe skarżącego i jego dzieci. Za bezzasadny został także uznany zarzut dotyczący udostępnienia danych osobowych skarżącego i jego dzieci przez dyrektora szkoły na rzecz Rady Rodziców i jej ówczesnego przewodniczącego - M. S.. Zgromadzony materiał dowodowy potwierdza, że w dniu 19 stycznia 2011 r. odbyło się zebranie Rady Rodziców, w trakcie którego na wniosek Rady udostępniono jej kwestionowane dane osobowe. Podobnie jak w przypadku udostępnienia informacji na rzecz Zarządu, działanie to było jednak uprawnione na gruncie art. 23 ust. 1 pkt 2 u.o.d.o. Stosownie bowiem do art. 54 ust. 1 ustawy o systemie oświaty, rada rodziców może występować do dyrektora z wnioskami we wszystkich sprawach szkoły. W ocenie GIODO nie potwierdził się również zarzut udostępnienia przez M. S. kwestionowanych danych osobowych skarżącego i jego dzieci na rzecz osób nieupoważnionych (innych niż obecne na zebraniu Rady Rodziców w dniu 19 stycznia 2011 r.) - w szczególności nie dowodzą tego przedłożone przez skarżącego do akt sprawy dokumenty. Istotne jest ponadto, że - jak oświadczył M. S. - nie przetwarza on aktualnie kwestionowanych danych osobowych skarżącego ani członków jego rodziny. GIODO podkreślił zarazem, iż warunkiem wydania wobec skarżonego podmiotu jakiegokolwiek nakazu przewidzianego art. 18 ust. 1 u.o.d.o. jest stwierdzenie naruszenia przepisów o ochronie danych osobowych według stanu istniejącego w chwili orzekania. Tymczasem w niniejszej sprawie kwestionowane przez skarżącego działania, polegające na przetwarzaniu jego danych osobowych i danych osobowych jego dzieci przez dyrektora szkoły oraz M. S., nie są obecnie kontynuowane. Następnie za pośrednictwem Generalnego Inspektora Ochrony Danych Osobowych, M. P. pismem z 26 grudnia 2012 r., złożył do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na ww. decyzję, w której wniósł o uchylenie w całości decyzji Generalnego Inspektora Ochrony Danych Osobowych z [...] listopada 2012 r. oraz poprzedzającej jej decyzji z [...] września 2012 r. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 18 kwietnia 2013 r. sygn. akt II SA/Wa 190/13 uchylił zaskarżoną decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] listopada 2012 r. oraz poprzedzającą ją decyzję z dnia [...] września 2012 r. W związku z powyższym Generalny Inspektor Ochrony Danych Osobowych złożył skargę kasacyjną od wyroku WSA w Warszawie do Naczelnego Sądu Administracyjnego w Warszawie, która została oddalona wyrokiem z 2 kwietnia 2015 r. o sygn. l OSK 1814/13. WSA w Warszawie w uzasadnieniu wyroku wskazał, że "uznanie przez Generalnego Inspektora Ochrony Danych Osobowych za prawidłowe debatowanie przez Radę Rodziców Publicznej Szkoły Podstawowej Stowarzyszenia [...] oraz przez Zarząd Stowarzyszenia [...] nad indywidualnymi problemami dzieci Skarżącego oraz rozpatrywanie przez te organy spraw rodziny skarżącego, z ujawnieniem ich danych osobowych, jest naruszeniem art. 23 ust. 1 pkt. 2 ustawy o ochronie danych osobowych, poprzez wadliwą wykładnię przepisów art. 33, art. 39 w związku z art. 54 i art. 34, art. 6 34a, art. 34b, art. 34c ustawy o systemie oświaty." W opinii NSA i WSA w Warszawie, Generalny Inspektor Ochrony Danych Osobowych oceniając kompetencje rady rodziców, jak i organu założycielskiego szkoły, powinien także odnieść się do stwierdzeń zawartych w pismach [...] Kuratora Oświaty, znajdujących się w aktach postępowania administracyjnego. Ponadto, WSA w Warszawie wskazał, że Generalny Inspektor Ochrony Danych Osobowych dopuścił się uchybień na etapie gromadzenia materiału dowodowego, co miało istotny wpływ na ustalenie stanu faktycznego oraz wynik prowadzonego przez organ postępowania administracyjnego. Zarówno WSA w Warszawie, jak i NSA, wskazały na konieczność ponownego przeprowadzenia postępowania administracyjnego, w celu zbadania, czy wskazane przez Skarżącego dokumenty zostały udostępnione Radzie Rodziców i Zarządowi Stowarzyszenia w pełnej formie oraz czy zawierały one dane wrażliwe, a w przypadku zidentyfikowania w dokumentach danych wrażliwych Skarżącego lub jego dzieci, ustalenie, czy dokumentacja zawierająca dane wrażliwe jest właściwie przechowywana przez Dyrektora Szkoły. Ponadto, GIODO został zobowiązany przez WSA do dokonania oceny dokumentów, obejmujących notatki służbowe sporządzone przez nauczycielki oraz dokumentu zawierającego podsumowanie konsultacji psychologicznych z dnia [...] grudnia 2010 r., "w aspekcie, w jaki sposób należy obchodzić się z tego typu dokumentami w oświacie, w tym bacząc na dokumentację psychologiczną." W wyniku ponownego rozpoznania sprawy Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] listopada 2019 r. nr [...], działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256 ze zm.) art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000) w zw. z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) oraz art. 6 ust. 1 lit. c Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), nakazał Stowarzyszeniu [...] z siedzibą w [...], usunięcie uchybień w procesie przetwarzania danych osobowych M. P. i jego córki M. P., oraz I. P., poprzez usunięcie danych osobowych M. P. i M. P. oraz danych osobowych I. P., zawartych w notatkach służbowych nauczycieli (notatce służbowej I. R. oraz notatce służbowej K. W.), podsumowaniu konsultacji psychologicznych z dnia [...] grudnia 2010 r. sporządzonego przez E. J. oraz pismach M. P. adresowanych do Dyrektora Szkoły (tj. pisma z dnia 28 listopada 2010 r. i 13 grudnia 2010 r.) oraz odmówił uwzględnienia wniosku w pozostałym zakresie. W wyniku przeprowadzonych czynności kontrolnych organ ustalił, że dzieci skarżącego były uczniami Szkoły do dnia [...] grudnia 2010 r. Szkoła przetwarza dane osobowe Skarżącego w zakresie imienia, nazwiska oraz adresu zamieszkania (w księdze ewidencji dzieci i księdze uczniów). Dane osobowe I. P. w zakresie imienia i nazwiska, daty i miejsca urodzenia oraz adresu zamieszkania, przetwarzane są przez Szkołę w księdze uczniów Szkoły, księdze ewidencji dzieci - dodatkowo dane osobowe I. P. przetwarzane są w systemie informatycznym o nazwie "Sekretariat" (informacja w przedmiocie opuszczenia szkoły przez I. P.), dziennikach lekcyjnych i arkuszach ocen. Dane osobowe M. P. w zakresie imienia i nazwiska, daty i miejsca urodzenia oraz adresu zamieszkania przetwarzane są przez Szkołę w księdze ewidencji dzieci, Dyrektor Szkoły na spotkaniu Zarządu Stowarzyszenia w dniu 18 stycznia 2011 r. oraz na zebraniu Rady Rodziców Szkoły w dniu 19 stycznia 2011 r. odczytał i przekazał kserokopie pism w formie pełnej (niezanonimizowanej): pismo Skarżącego z dnia 28 listopada 2010 r., pismo Skarżącego z 13 grudnia 2010 r., notatkę służbową I. R. z dnia 8 grudnia 2010 r., notatkę służbową K. W. z dnia 14 grudnia 2010 r. oraz podsumowanie konsultacji psychologicznych z dnia [...;] grudnia 2010 r. sporządzone przez E. J.. Zakres danych osobowych przetwarzanych ww. pismach obejmował: imię, nazwisko Skarżącego oraz jego małżonki, imiona i nazwiska dzieci Skarżącego, adres zamieszkania ww. osób, informacje o realizacji obowiązku szkolnego i przedszkolnego w Szkole, informacje o nękaniu psychicznym i fizycznym syna Skarżącego przez uczniów Szkoły. Dane osobowe Skarżącego oraz jego dzieci przetwarzane w ww. dokumentach nie należały do kategorii danych osobowych, o których mowa w art. 27 ust. 1 ustawy, tj. danych szczególnie chronionych. W szczególności dokument zatytułowany "Podsumowanie konsultacji psychologicznych", sporządzony w dniu [...] grudnia 2010 r. przez psychologa - E. J., nie zawierał informacji dotyczących stanu zdrowia I. P., a jedynie opis stanu faktycznego oraz opis zachowania chłopca. W uzasadnieniu decyzji organ podkreślił, że decydujące znaczenie dla rozstrzygnięcia, jakie musi być wydane przedmiotowej sprawie, ma okoliczność, że: kwestionowane przez Skarżącego działania w zakresie udostępnienia danych osobowych Skarżącego oraz jego małoletnich dzieci przez Dyrektora Szkoły Podstawowej Stowarzyszenia [...] na rzecz M. S., członków Rady Rodziców oraz Zarządu Stowarzyszenia, przetwarzania danych osobowych Skarżącego oraz jego małoletnich dzieci, w tym ich udostępnienia na rzecz członków Zarządu Stowarzyszenia oraz Rady Rodziców, przez M. S. - Przewodniczącego Rady Rodziców przy Szkole Podstawowej Stowarzyszenia [...] miały miejsce w przeszłości, nie są obecnie kontynuowane i miały charakter jednorazowy. Organ stwierdził zatem, że właściwe w przedmiotowej sprawie jest zastosowanie przepisów obowiązujących w czasie, gdy doszło do zarzucanych przez Skarżącego nieprawidłowości w procesie przetwarzania danych osobowych, tj. ustawy o ochronie danych osobowych z 1997 r. (Dz. U. z 2002 r. Nr 101 poz, 926 ze zm.). Natomiast kwestionowane przez Skarżącego działania w zakresie: przetwarzania danych osobowych Skarżącego oraz jego małoletnich dzieci przez Zarząd Stowarzyszenia [...], przetwarzania przez Dyrektora, reprezentującego Szkołę Podstawową Stowarzyszenia [...], danych osobowych Skarżącego oraz jego małoletnich dzieci, rozpoczęły się w 2010 r., a pozyskane wówczas dane osobowe Skarżącego i jego dzieci - M. P. i I. P., są w dalszym ciągu przetwarzane przez Szkołę i Stowarzyszenie. Mając na uwadze spoczywający na organie obowiązek zastosowania przepisów obowiązujących w czasie, gdy doszło do zarzucanych przez Skarżącego nieprawidłowości w procesie przetwarzania danych osobowych, organ stwierdził, że w odniesieniu do czynności przetwarzania danych osobowych Skarżącego oraz jego małoletnich dzieci dokonywanych przez Szkołę i Stowarzyszenie przed 25 maja 2018 r., właściwe jest zastosowanie przepisów ustawy o ochronie danych osobowych z 1997 r. (Dz. U. z 2002 r. Nr 101 poz. 926 ze zm.), natomiast w odniesieniu do czynności przetwarzania danych osobowych Skarżącego oraz jego małoletnich dzieci dokonywanych przez Szkołę i Stowarzyszenie po 25 maja 2018 r., właściwe jest zastosowanie przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. Ponadto organ wskazał, że kluczową kwestią dla rozstrzygnięcia w niniejszej sprawie jest ustalenie, który z podmiotów przetwarzających dane osobowe Skarżącego i jego dzieci, jest administratorem tych danych, w tym ustalenie, czy Szkoła i Stowarzyszenie są odrębnymi administratorami danych osobowych, tj. czy Szkoła posiada odrębność majątkowo-organizacyjną względem Stowarzyszenia, która umożliwiałaby jej decydowanie o celach i środkach przetwarzania danych osobowych. szkoła nie tylko umożliwia uczniom realizację obowiązku szkolnego oraz kontroluje jego spełnianie, ale także organizuje system opiekuńczo-wychowawczy, wspierający wszechstronny rozwój ucznia. Szkoła Podstawowa Stowarzyszenia [...], jak stanowi jej statut, jest szkołą publiczną i jest uprawniona do przetwarzania danych osobowych uczniów i ich rodziców, w zakresie niezbędnym do realizacji zadań wynikających z przepisów oświatowych organ prowadzący szkołę lub placówkę sprawował nadzór nad jej działalnością w zakresie spraw finansowych i administracyjnych, z uwzględnieniem odrębnych przepisów, w szczególności zaś nadzór nad przestrzeganiem obowiązujących przepisów dotyczących bezpieczeństwa i higieny pracy pracowników i uczniów. W przedmiotowej sprawie organem prowadzącym Szkołę jest Stowarzyszenie [...], działające w formie stowarzyszenia posiadającego osobowość prawną, którego celem jest, jak ujawniono w Krajowym Rejestrze Sądowym, m.in. cyt.: "prowadzenie szkół i placówek, których funkcjonowanie określa ustawa o systemie oświaty". Co do zasady, organ prowadzący szkołę i szkoła, są odrębnymi administratorami danych osobowych, wobec czego organ prowadzący szkołę nie powinien mieć dostępu do danych osobowych uczniów i ich rodziców, zawartych w dokumentacji prowadzonej przez szkołę, które odnoszą się do indywidualnych problemów pedagogicznych lub psychologicznych uczniów. Szkoła natomiast jest uprawniona do przekazywania gromadzonych przez siebie danych osobowych organowi prowadzącemu, jeżeli takie działanie ma odpowiednią podstawę prawną, przy czym dostęp organu prowadzącego do danych osobowych musi być odpowiedni do celu przetwarzania tych danych. W treści statutu Publicznej Szkoły Podstawowej Stowarzyszenia [...] nie zamieszczono informacji, wskazującej na posiadanie przez Szkołę odrębności majątkowej i organizacyjnej względem Stowarzyszenia [...]. Dodatkowo, na brak takiej odrębności wskazuje postanowienie zamieszczone w art. 2.2 ust. 1 Statutu Szkoły, z którego wynika, że cyt.: "budżet Szkoły jest prowadzony w ramach budżetu Stowarzyszenia", a także fakt, że Szkoła oraz Stowarzyszenie posługują się tym samym Numerem Identyfikacji Podatkowej (NIP). Okoliczności te pozwalają uznać, że Szkoła nie posiada samodzielności organizacyjno-majątkowej względem Stowarzyszenia. W efekcie organ przyjął, że zarówno w świetle przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r., jak i w świetle uprzednio obowiązujących przepisów ustawy o ochronie danych osobowych z 1997 r., z uwagi na brak samodzielności organizacyjnej i majątkowej, Szkoła nie decyduje o celach, środkach oraz sposobach przetwarzania danych osobowych, a tym samym nie można uznać jej za odrębnego od Stowarzyszenia, administratora danych osobowych. W konsekwencji organ ustalił, że administratorem danych osobowych uczniów i ich rodziców przetwarzanych przez Szkołę, jest Stowarzyszenie [...]. Dalej organ podał, że Dyrektor Szkoły na podstawie Statutu Szkoły kieruje całokształtem działań Szkoły i jest jej organem reprezentującym na zewnątrz. Jak ustalił organ w toku postępowania administracyjnego, udostępnione przez Dyrektora Szkoły ww. notatki, zawierające dane osobowe Skarżącego i jego dzieci, zostały sporządzone doraźnie, w ramach podejmowanych przez nauczycieli i psychologa, działań w zakresie pomocy psychologiczno-pedagogicznej, obejmującej wsparcie rodziców i nauczycieli w rozwiązywaniu problemów wychowawczych. Przyczyną do ich wytworzenia były działania podejmowane przez Skarżącego na terenie Szkoły oraz formułowane przez niego zarzuty, dotyczące bezpieczeństwa jego dzieci i ich należytego traktowania w Szkole. Przedmiotowe notatki zawierały w swojej treści opisy zachowania Skarżącego oraz jego dzieci, a także opisy stanu faktycznego - nie zawierały one natomiast danych szczególne chronionych, o których mowa w art. 27 ust. 1 u.o.d.o, w tym danych dotyczących stanu zdrowia Skarżącego oraz jego dzieci. W konsekwencji organ przyjął, że Szkoła przetwarzała dane osobowe Skarżącego i jego dzieci, zawarte w treści przedmiotowych dokumentów, zgodnie z obowiązującymi wówczas przepisami prawa, tj. art. 23 ust. 1 pkt 2 u.o.d.o. w zw. z § 1 i 2 Rozporządzenia Ministra Edukacji Narodowej z dnia 17 listopada 2010 r., w sprawie zasad udzielania i organizacji pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach (Dz.U. z 2010 r. Nr 228, poz. 1487) w zw. z art. 1 pkt 4 oraz art. 22 ust. 2 pkt 11 ustawy z dnia 7 września 1991 r. o systemie oświaty (Dz. U. z 2004 r. Nr 256 poz. 2572 ze zm.). Organ odnosząc się do zaleceń zawartych w wyrokach WSA w Warszawie i NSA wskazujących, że dla dokonania oceny posługiwania się dokumentem opisanym jako podsumowanie konsultacji psychologicznych z dnia [...] grudnia 2010 r. psychologa E. J., organ powinien zastosować przepisy rozporządzenia Ministra Edukacji Narodowej i Sportu z dnia 1 listopada 2010 r. w sprawie zasad udzielania i organizacji pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach (Dz. U. z 2010 r. nr 228, poz. 1487), w szczególności jego § 3, należy zauważyć, że przywołany przez Sąd akt prawny, nie regulował sposobu dysponowania wytworzonymi w związku ze świadczeniem tej pomocy dokumentami. Ponadto w zdaniem organu, ocena sposobu posługiwania się określonymi dokumentami, w tym dokumentacją wytworzoną przez szkoły i placówki oświatowe, leży poza sferą kompetencji Prezesa Urzędu. Przepisy ustawy o ochronie danych osobowych nie regulowały bowiem zasad posługiwania się dokumentami, będącymi nośnikami przetwarzanych danych. Organ wyjaśnił, że udostępnienie danych osobowych było jedną z operacji wykonywanych na danych osobowych w ramach ich przetwarzania, o czym stanowił art. 7 pkt 2 u.o.d.o. i oznaczało faktyczne przekazanie danych osobowych, w wyniku którego nowy dysponent tych danych stawał się ich administratorem, a tym samym decydował o sposobie i celach przetwarzania przekazanych mu danych osobowych, W okolicznościach niniejszej sprawy nie doszło do udostępnienia danych osobowych w rozumieniu przepisów ustawy o ochronie danych osobowych z 1997 r., ponieważ kwestionowane przez Skarżącego przekazanie danych osobowych, odbyło się w ramach tego samego administratora danych. W konsekwencji, zarzuty Skarżącego dotyczące udostępnienia przez Dyrektora Szkoły danych osobowych Skarżącego i jego dzieci na rzecz Zarządu Stowarzyszenia oraz przetwarzania tych danych w sposób nieuprawniony przez Zarząd Stowarzyszenia, organ uznał za nieuzasadnione. W odniesieniu do zarzutu udostępnienia przez Dyrektora Szkoły danych osobowych Skarżącego oraz jego dzieci, na rzecz Pana M. S. - Przewodniczącego Rady Rodziców oraz przetwarzania tych danych przez członków Rady Rodziców, organ podniósł, że rada rodziców jest organem wewnętrznym szkoły, działającym w imieniu szkoły i na jej rachunek. W konsekwencji, w ocenie organu, Rada Rodziców nie może zostać uznana za odrębnego od Szkoły administratora danych osobowych uczniów i ich rodziców - tym nie mniej, ocenie Prezesa Urzędu podlega uprawnienie każdej z osób do dostępu do danych osobowych, czy to na podstawie upoważnienia nadawanego przez administratora danych osobowych, czy też upoważnienia ustawowego. Tym samym, kwestionowane przez Skarżącego działania Dyrektora Szkoły, polegające na przekazaniu na rzecz Rady Rodziców danych osobowych zawartych w treści notatek sporządzonych przez nauczycieli oraz korespondencji Skarżącego z Dyrektorem Szkoły, zdaniem organu, nie znajdują umocowania w przepisach powoływanych w uprzednich decyzjach organu, tj. art. 54 ust. 1 ustawy o systemie oświaty w zw. z art. 26 ust. 1 pkt. 1 i 3 u.o.d.o., czym naruszają normę prawną określoną w art. 23 u.o.d.o. Zgodnie z ustaleniami poczynionymi przez Prezesa Urzędu, również działania Rady Rodziców, w tym jej przewodniczącego - M. S., polegające na przetwarzaniu danych osobowych będących przedmiotem skargi, podejmowane były bez podstawy prawnej określonej w przepisach prawa oświatowego, co doprowadziło do naruszenia art. 26 ust. 1 pkt 1 i 3 u.o.d.o. Zdaniem organu implikacją wskazanych naruszeń było przetwarzanie danych osobowych Skarżącego i jego dzieci, przez osoby nieupoważnione. W niniejszej sprawie dane osobowe Skarżącego i jego dzieci, zostały wykorzystane przez Dyrektora Szkoły również nieadekwatnie do celu, dla którego dane te zostały pozyskane przez Szkołę. Dyrektor Szkoły udostępnił dokumenty zawierające dane osobowe Skarżącego i jego dzieci Radzie Rodziców, celem poinformowania o konflikcie pomiędzy Skarżącym a Szkołą, podczas gdy prawnie uzasadnionym celem przetwarzania danych osobowych Skarżącego i jego dzieci, zawartych w tych dokumentach, było podejmowanie działań w zakresie pomocy psychologiczno-pedagogicznej. Zgromadzony w sprawie materiał dowodowy wskazuje, że Szkoła w dalszym ciągu przetwarza dane osobowe Skarżącego i jego dzieci, w kwestionowanym przez Skarżącego zakresie. Szkoła wskazała w toku postępowania kontrolnego, że przedmiotowe dane osobowe przetwarza obecnie w celach archiwalnych, jednakże nie wskazała podstaw prawnych regulujących zakres i okres tego przetwarzania, stanowiących podstawę do przetwarzania tych danych z związku z art. 6 ust. 1 lit. c RODO. W związku z powyższym Prezes Urzędu Ochrony Danych Osobowych, korzystając z uprawnienia określonego w art. 18 ust. 1 pkt. 1 u.o.d.o., nakazał usunięcie danych osobowych Skarżącego i jego dzieci zawartych w przedmiotowych notatkach, ich administratorowi - Stowarzyszeniu [...]. W odniesieniu do przetwarzania przez Stowarzyszenie [...] danych osobowych Skarżącego i jego dzieci, zawartych w treści przedmiotowych dokumentów, zgromadzony w sprawie materiał dowodowy wskazuje, że kopie tych dokumentów zostały zwrócone przez Zarząd Stowarzyszenia Dyrektorowi Szkoły, która kontynuuje przetwarzanie zawartych w nich danych osobowych. Mając na uwadze, że Stowarzyszenie jest administratorem danych osobowych przetwarzanych przez Szkołę, a Szkoła obecnie przetwarza dane osobowe Skarżącego i jego dzieci w celach archiwalnych, w sposób niezgodny z obowiązującymi przepisami o ochronie danych osobowych, organ uznał za zasadne nakazanie Stowarzyszeniu [...] usunięcie danych osobowych Skarżącego oraz jego dzieci - M. P. i I. P., zawartych w korespondencji pomiędzy Skarżącym a Dyrektorem Szkoły, notatkach nauczycieli i podsumowaniu konsultacji psychologicznych. W odniesieniu do zarzutu udostępnienia przez Dyrektora Szkoły danych osobowych Skarżącego i jego dzieci, na rzecz M. S. - Przewodniczącego Rady Rodziców oraz przetwarzania tych danych przez członków Rady Rodziców, Prezes Urzędu uznał, że w tym zakresie doszło do naruszenia przepisów o ochronie danych osobowych. Niemniej jednak, aktualnie brak jest podstaw tak faktycznych, jak i prawnych, do wydania w sprawie jakiegokolwiek nakazu, o którym mowa w art. 18 ust. 1 u.o.d.o., a zgodnie z którym Prezes Urzędu w przypadku naruszenia przepisów o ochronie danych osobowych, z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem. Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2019 roku sygn. [...] stała się przedmiotem skargi I. P. oraz M. P. działającego w imieniu własnym oraz M. P. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżący zaskarżonej decyzji zarzucili naruszenie przepisów prawa powołanych w skardze z dnia 26 grudnia 2012 r. skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie oraz w odpowiedzi skarżących z dnia 10 lipca 2013 r. złożonej na skargę kasacyjną wniesioną przez Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 18 kwietnia 2013 roku w sprawie o sygn. akt II SA/Wa 190/13. Z tych względów skarżący wnieśli o uchylenie w całości zaskarżonej decyzji. Zdaniem skarżących Prezes Urzędu Ochrony Danych Osobowych w Warszawie nie uwzględnił oceny prawnej i wskazań co do dalszego postępowania, zawartych w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 18 kwietnia 2013 r. sygn. akt II SA/Wa 190/13 oraz w wyroku Naczelnego Sądu Administracyjnego w Warszawie z dnia 02 kwietnia 2015 r. sygn. akt I OSK 1814/13. W obu orzeczeniach Sądy wskazały bowiem m.in., że rozpatrywanie spraw rodziny skarżącego zarówno przez Zarząd Stowarzyszenia [...], jak również Radę Rodziców Publicznej Szkoły Podstawowej Stowarzyszenia [...] jest naruszeniem art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Nadto zdaniem skarżących organ nie dokonał również ustaleń fatycznych umożliwiających ocenę celu wytworzenia i użycia zaskarżonych dokumentów, w tym nie uwzględnił ustaleń innego organu, tj. Kuratora Oświaty w [...], podchodząc do wyjaśnień strony przeciwnej w sposób zupełnie bezkrytyczny i dowolny. Nie wskazał również, jakim dowodom dał wiarę, a jakim odmówił wiarygodności oraz na jakiej podstawie. Powoływany natomiast w zaskarżonej decyzji konflikt, nie jest elementem stanu faktycznego, a stanowi jego ocenę, która w niniejszej sprawie jest nieuprawniona. Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując argumentację zawartą w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z treścią przepisu art.1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr. z 2019, poz. 2167 z późn. zm.) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż powinna ona zostać wyeliminowana z obrotu prawnego jako wadliwa. Na obecnym etapie postępowania, jego istota sprowadzała się do ustalenia, czy organ wydając skarżone rozstrzygnięcie, wykonał zalecenia Wojewódzkiego Sądu Administracyjnego zawarte w wyroku uchylającym poprzednie rozstrzygnięcie organu, oraz Naczelnego Sądu Administracyjnego oddalającego skargę kasacyjną od powyższego rozstrzygnięcia. Zgodnie bowiem z regulacją zawartą w przepisie art.153 p.p.s.a. organ któremu sprawa została przekazana , związany jest wykładnią prawa dokonaną w tej sprawie przez Wojewódzki Sąd Administracyjny, zaś zgodnie z regulacją zawartą w przepisie art. 190 p.p.s.a. Sąd, któremu sprawa została przekazana , związany jest wykładnią prawa dokonaną w tej sprawie przez Naczelny Sąd Administracyjny. W świetle powyższego w pierwszej kolejności podnieść należało, iż Sąd I instancji w wyroku z dnia 18 kwietnia 2013 r. przesądził m.in. że organ winien uzupełnić materiał dowodowy sprawy i powinien ustalić "w sposób dokładny i precyzyjny, w jakiej formie pełnej czy niepełnej były przetwarzane przez Radę Rodziców Publicznej Szkoły Podstawowej, Zarząd Stowarzyszenia oraz przez M. S. dokumenty wskazane przez skarżącego w jego wniosku z dnia [...] listopada 2011 r. inicjującym sprawę. Następnie organ odniesie się do zawartości powyższych dokumentów w aspekcie ewentualnych danych wrażliwych oraz oceni sposób ich zabezpieczenia przez szkołę". Co do dokumentów opisanych jako: "notatki służbowe" nauczycielek przedszkola K. C. i K. W., "notatka służbowa" nauczycielki szkoły I. R., podsumowanie konsultacji psychologicznych z dnia [...] grudnia 2010 r. psychologa E. J. Sąd zobowiązał organ, by dokonał "ich oceny w aspekcie, w jaki sposób należy obchodzić się z tego typu dokumentami w oświacie, w tym bacząc na dokumentację psychologiczną". Dalej Sąd I instancji wskazał organowi, iż "dopiero mając na uwadze w taki sposób zgromadzony materiał dowodowy, przy wskazaniu, które i dlaczego dowody uznano za wiarygodne, organ dokona analizy sprawy pod kątem ewentualnego zastosowania odpowiednich działań przewidzianych w treści art. 18 ustawy o ochronie danych osobowych. Przy czym niezależnie od zastosowania sankcji przewidzianych w powyższym przepisie, organ powinien wypowiedzieć się, czy działania Rady Rodziców Publicznej Szkoły Podstawowej, Zarządu Stowarzyszenia oraz M. S. wskazane przez M. P. we wniosku z dnia [...] listopada 2011 r. były zgodne z ustawą o ochronie danych osobowych, czy też naruszają określone w tej ustawie zasady". Co szczególnie podkreślił Sąd, "tego ostatniego elementu ocennego nie sposób pominąć, albowiem Generalny Inspektor Ochrony Danych Osobowych jest jedynym organem administracyjnym powołanym do oceny naruszenia ustawy o ochronie danych osobowych, zaś niniejsza sprawa ma dużą wagę społeczną i cechuje się znaczną powszechnością". W tym miejscu zasadnym jest też wskazanie, że Naczelny Sąd Administracyjny rozpoznając sprawę wskutek wywiedzionej skargi kasacyjnej dodatkowo zobowiązał organ do tego, aby poczynił dodatkowe działania pisząc w uzasadnieniu wyroku, że " wymaga zatem rozważenia prawidłowość przeprowadzenia przedmiotowych konsultacji psychologicznych w kontekście ochrony danych osobowych". Dodatkowo Sąd kasacyjny podniósł, że "WSA w Warszawie zasadnie zwrócił uwagę na brak dokładnej analizy materiału dowodowego, szczególnie w odniesieniu do wzajemnie niezgodnych oświadczeń Zarządu Stowarzyszenia, oraz członka i przewodniczącego Zarządu, jak też członka Komisji Rewizyjnej Stowarzyszenia w przedmiocie komisyjnego niszczenia przez Zarząd Stowarzyszenia dokumentów zawierających dane osobowe skarżącego, czy też ich zwrotu dyrektorowi szkoły. Jakkolwiek bowiem ustalenia [...] Kuratorium Oświaty nie są wiążące dla GIODO, to jednak fakt stwierdzenia przez ten organ szeregu poważnych nieprawidłowości w funkcjonowaniu szkoły już sam w sobie stwarzał potrzebę dokładnego wyjaśnienia przez organ powołany do ochrony danych osobowych kwestii zniszczenia przedmiotowych dokumentów, jak również sposobu zabezpieczenia danych wrażliwych. GIODO w zaskarżonych decyzjach nie uzasadnił, dlaczego wobec rozbieżności w złożonych oświadczeniach za wiarygodne uznał twierdzenia Zarządu Stowarzyszenia, a nie pozostałych osób". Powyższe zalecenia zawarte w omawianych wyrokach są ze wszech miar zrozumiałe i jasne. Nie sposób więc przyjąć, że organ mógł je przeoczyć, czy też by mógł mieć kłopoty z ich odkodowaniem. Mimo tego organ z powyższych 7 zaleceń zawartych w wyrokach Sądów obydwu instancji, wykonał wyłącznie dwa. Ustalił tylko, że dyrektor przekazał w formie niezanonimizowanej dokumenty objęte skargą. Ustalił także że w spornych dokumentach nie było danych wrażliwych. Pozostałe zalecenia pominął jednakże. Tego rodzaju uchybienie, nie tylko pozostaje w sprzeczności z przytoczonymi regulacjami art. 153 i 190 P.p.s.a. ale także w sposób bezpośredni rzutuje na prawidłowość rozstrzygnięcia. Skoro bowiem wytyczne zawierały wskazania m.in. dotyczące ustaleń faktycznych, to brak ich realizacji przez organ sprawia, że stan faktyczny nie może być uznany za ustalony w sposób wyczerpujący. W konsekwencji powyższego, samo rozstrzygnięcie, jako oparte na niepełnie ustalonym stanie faktycznym, jawi się jako przedwczesne. W tym stanie sprawy, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art.145 § 1 pkt. 1c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 z późn. zm.). Ponownie rozpoznając sprawę organ będzie zobligowany do tego, aby wykonać wszystkie zalecenia zawarte w wyrokach obydwu instancji.