III OSK 2603/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Tamara Dziełakowska Sędziowie: sędzia NSA Rafał Stasikowski (sprawozdawca) sędzia del. WSA Kazimierz Bandarzewski Protokolant: starszy asystent sędziego Łukasz Sielanko po rozpoznaniu w dniu 1 lipca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 17 maja 2023 r. sygn. akt II SA/Wa 2178/22 w sprawie ze skargi [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 28 września 2022 r. nr DS.523.7052.2021.ZS.WWB w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie; 2. zasądza od [...] na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 480 (czterysta osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego. Wyrokiem z 17 maja 2023 r., II SA/Wa 2178/22, Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu skargi [...] (dalej "skarżąca" lub "Uczelnia") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej "organ" lub Prezes "UODO") z 28 września 2022 r., nr DS.523.7052.2021.ZS.WWB, w przedmiocie przetwarzania danych osobowych: 1. uchylił zaskarżoną decyzję; 2. umorzył postępowanie przed Prezesem UODO; 3. zasądził od Prezesa UODO na rzecz skarżącej kwotę 200 zł tytułem zwrotu kosztów postępowania. Wyrok zapadł w następujących okolicznościach faktycznych i prawnych. Decyzją z 28 września 2022 r. Prezes UODO, przywołując art. 104 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2021 r. poz. 735 ze zm.; dalej "k.p.a."), oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L. nr 119. str. 1, ze zm.; dalej "RODO"), wobec skargi L.S. (dalej "wnioskodawczyni") na nieprawidłowości w przetwarzaniu jej danych osobowych przez [...], polegające na udostępnieniu danych osobowych wnioskodawczyni w zakresie wyniku egzaminu przez nauczyciela akademickiego (S.K.) na rzecz osób trzecich, udzielił Uczelni upomnienia za naruszenie art. 6 ust. 1 i art. 5 ust. 1 lit. c RODO, polegające na udostępnieniu przez nauczyciela danych osobowych wnioskodawczyni w zakresie wyniku egzaminu, na rzecz osób trzecich. Organ ustalił, że uczelnia przetwarza dane osobowe wnioskodawczyni w zakresie wyniku egzaminu z przedmiotu "[...]" przeprowadzonego przez nauczyciela w formie papierowej (protokół z przebiegu egzaminu, karta okresowych osiągnięć studenta) oraz w systemie teleinformatycznym — system "Wirtualny Dziekanat" w celu: prowadzenia akt osobowych studenta, sporządzenia karty okresowej osiągnięć studenta, dokumentującej określenie formy weryfikacji osiągnięć studenta uzyskanych w ramach zajęć w danym semestrze lub roku, oraz udokumentowania uzyskanej oceny, udokumentowania przebiegu studiów, archiwizacji. Podstawą prawną do przetwarzania danych osobowych stanowi § 15 ust. 1 pkt 5, § 15 ust. 3b, § 15 ust. 4, § 17 ust. 1 pkt 5 i 6 rozporządzenia Ministra Nauki i Szkolnictwa Wyższego z dnia 27 września 2018 r. w sprawie studiów (Dz. U. 2021 poz. 661). W dniu 11 lipca 2021 r. nauczyciel, w ramach przeprowadzonego przez siebie egzaminu w formie on-line za pośrednictwem MS Teams z przedmiotu "[...]", w obecności studentów biorących udział w egzaminie, wskazał ustnie, że wnioskodawczyni nie zdała egzaminu i musi ponownie do niego podejść. Uczelnia wskazała, że nauczyciel, omawiając syllabus przedmiotu, ustalił z grupą zasady oceniania i sposób prezentowania oraz ogłaszania wyników z egzaminu. Zaproponował studentom, że wyniki z egzaminu przeprowadzonego w formie zdalnej mógłby przedstawić ustnie - w obecności pozostałych uczestników egzaminu - bezpośrednio po jego zakończeniu. Wskazał, że gdyby którykolwiek ze studentów się na taką formę ogłoszenia wyników nie godził, to może w trakcie zajęć - również w formie ustnej - zasygnalizować swój sprzeciw - stanowiący o braku zgody na ogłoszenie wyników egzaminu w obecności studentów, biorących w nim udział. Żaden ze studentów nie wycofał wyrażonej przez siebie zgody. Z kolei wnioskodawczyni oświadczyła, że nigdy i w żadnej formie oraz w jakimkolwiek zakresie nie wyraziła zgody na ujawnienie informacji o wyniku jego egzaminu przez nauczyciela. Zdaniem Prezesa UODO z art. 4 pkt 11, art. 5 ust. 1 i art. 7 ust. 1 RODO wynika, że w sprawie nie spełniono przesłanki zgody wnioskodawczyni na przetwarzanie jej danych osobowych w opisany wyżej sposób. W opisanej procedurze brak jest aktywnego działania wnioskodawczyni - brak sprzeciwu na zaproponowany sposób przekazania informacji o wynikach egzaminu nie może automatycznie oznaczać, że wyraziła ona zgodę na udostępnienie swoich danych osobowych w tym zakresie. Udostępnienie danych osobowych wnioskodawczyni nie miało więc oparcia w przesłankach określonych w art. 6 ust. 1 RODO oraz nie było zgodne z zasadami określonymi w art. 5 ust. 1 lit. c RODO, co stanowi to naruszenie tych przepisów o ochronie danych osobowych. Skargę na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie wniosła Uczelnia. W odpowiedzi na skargę organ administracji wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. Uwzględniając skargę, Sąd pierwszej instancji wskazał, że trafne są zarzuty Uczelni w zakresie, w którym zakwestionowała ona stanowisko organu, jakoby w rozpoznawanym przypadku doszło do bezprawnego ujawnienia danych osobowych w rozumieniu RODO. Zdaniem tego Sądu przepisy RODO nie znajdują zastosowania do wszelkich przypadków przetwarzania danych osobowych (formą przetwarzania jest ich ujawnianie – tak art. 4 pkt 3 RODO), lecz tylko gdy chodzi o te objęte zakresem danej regulacji. Dotyczy to danych przetwarzanych w sposób całkowicie lub częściowo zautomatyzowany, zaś pozostałych tylko, gdy stanowią zbiór lub mogą stanowić część zbioru danych. Z kolei potencjalny zbiór danych to jedynie ich zestaw dostępny według określonych kryteriów. Oceny takiej nie zmienia to, że przetwarzanie (w tym ujawnienie) może - w myśl art. 4 pkt 3 RODO - nastąpić automatycznie lub także w inny sposób. Brzmienie danej definicji nie prowadzi do poszerzenia zakresu danych podlegających regułom RODO wedle treści art. 2 ust. 1. Mianowicie - gdy chodzi o dane przetwarzane w sposób inny niż zautomatyzowany – dotyczy ono tylko tych, które stanowią część zbioru danych lub mogą stanowić część zbioru danych w rozumieniu art. 4 pkt 6 RODO. W ocenie Sądu pierwszej instancji RODO dotyczy zdarzeń związanych z przetwarzaniem informacji (gromadzenie, transfer itp.) gdzie możliwe jest mechaniczne odnajdywanie informacji o osobach - ich danych osobowych – w szczególności w ramach systemów teleinformatycznych. Nie dotyczy ono zaś zdarzeń pozostających w związku z ujawnieniem (w następstwie wykorzystywania) danych osobowych w innych sytuacjach - np. możliwości zapoznania się przez osoby trzecie z wynikami egzaminów studenta (tu wiadomość o nieuzyskaniu pozytywnego wyniku), nawet gdy wprowadzono je równocześnie w określonym zbiorze informacji Uczelni - bazie danych czy systemie teleinformatycznym, dotyczącym toku studiów. Inna ocena mogłaby dotyczyć tylko przypadku, gdy określone informacje upowszechniane byłyby w takiej postaci, że realnie możliwe byłoby ich niekontrolowane gromadzenie przez osoby nieuprawnione - bez wiedzy zainteresowanych. Tymczasem przedmiotowa sprawa dotyczy ustnego poinformowania o wynikach egzaminu wobec innych osób w naturalnie zamkniętej grupie studentów, którzy zdawali określony egzamin (w ramach zajęć on-line). Przekazana innym studentom dotycząca wnioskodawczyni jednostkowa informacja nie jest przydatna dla systemowego gromadzenia danych o osobach, czy ich transferu w ramach określonych zbiorów czy rejestrów. Tego zaś przedmiotowo dotyczą reguły RODO. Zdaniem tego Sądu w sprawie przywołano zdarzenie, które nie dotyczyły ujawnienia danych osobowych z określonego zbioru. Za takie można by uznać np. pozyskanie przez osoby trzecie danych o wynikach egzaminów ze stosownej bazy danych Uczelni. Posłużono się natomiast danymi osobowymi wnioskodawczyni w toku zajęć dydaktycznych. Wyspecjalizowany w zakresie ochrony danych osobowych organ nie był właściwy dla oceny legalności tego zdarzenia, nie pozostawało ono w żadnym związku z procesem mechanicznego przetwarzania danych bądź posługiwania się danymi mogącymi stanowić wyodrębnioną bazę, jako zespół informacji, uporządkowanych wedle pewnych kryteriów w dniu zdarzenia. W ocenie Sądu pierwszej instancji okoliczności sprawy uzasadniają ewentualne wystąpienie z roszczeniem cywilnoprawnym, a organ nie był kompetentny do zastosowania przyznanych mu w RODO uprawnień w zakresie zastosowania środków dyscyplinujących. Zdarzenie opisane w skardze nie dotyczyło bowiem przetwarzania danych osobowych w rozumieniu RODO. Za chybione Sąd ten uznał wywody skargi, jakoby informacja o wynikach egzaminu osoby, której tożsamość jest znana adresatem wiadomości, nie stanowiła danych osobowych, w rozumieniu art. 4 pkt 1 RODO. Mylne jest stanowisko Uczelni, oparte na założeniu, że daną osobową są jedynie informacje dające możliwość zidentyfikowania osoby. Są nią także dane dotyczące osoby, której tożsamość znana jest adresatom informacji - np. o wynikach egzaminów studenta, którego personalia są znane innym. Na podstawie art. 145 § pkt 1 lit. a oraz § 3 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postepowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935 ze zm.; dalej p.p.s.a.), Wojewódzki Sąd Administracyjny w Warszawie uchylił zaskarżoną decyzję i umorzył postępowanie przed organem. O kosztach orzekł na podstawie art. 200 p.p.s.a. Skargę kasacyjną od powyższego wyroku wywiódł Prezes UODO, zaskarżając wyrok w całości. Wniósł o uchylenie zaskarżonego wyroku w całości i oddalenie skargi, ewentualnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy Sądowi pierwszej instancji do ponownego rozpoznania. Nadto wniósł o rozpoznanie sprawy na rozprawie i zasądzenie zwrotu kosztów postępowania. Zaskarżonemu wyrokowi zarzucił naruszenie prawa materialnego: - art. 2 pkt 1 RODO poprzez jego błędne zastosowanie tj. wadliwe uznanie, że z prawidłowo ustalonego w sprawie stanu faktycznego wynika, że przepisy RODO nie mają zastosowania do kwestionowanego przetwarzania danych osobowych uczestniczki (wnioskodawczyni) przez Uczelnię, co skutkowało umorzeniem postępowania administracyjnego toczącego się przed Prezesem UODO z uwagi na jego bezprzedmiotowość, podczas gdy dane osobowe uczestniczki w zakresie wyniku egzaminu stanowią część zbioru danych, tj. akt osobowych studenta, tym samym ich przetwarzanie przez stronę przeciwną, m.in. udostępnienie, podlega reżimowi przepisów RODO, a co za tym idzie prawidłowość ich przetwarzania przez stronę przeciwną (Uczelnię) winna być oceniona wtoku postępowania przed Prezesem UODO; - art. 58 ust. 2 lit. b w zw. z art. 6 ust. 1 RODO poprzez jego niezastosowanie, podczas gdy z prawidłowo ustalonego stanu faktycznego wynika, iż strona przeciwna (Uczelnia) nie legitymowała się żadną z przesłanek legalizujących udostępnienie danych osobowych uczestniczki (wnioskodawczyni), wobec czego zasadnym było udzielenie jej upomnienia za naruszenie przepisów RODO; W odpowiedzi na skargę kasacyjną Uczelnia wniosła o jej oddalenie oraz o zasądzenie zwrotu kosztów postępowania kasacyjnego. Naczelny Sąd Administracyjny zważył, co następuje. Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Skarga kasacyjna zasługiwała na uwzględnienie. Istota pierwszego z zarzutów skargi kasacyjnej sprowadza się do zakwestionowania stanowiska Sądu pierwszej instancji, którego zdaniem stan faktyczny niniejszej sprawy nie uzasadniał zastosowania RODO, wymykając się zakresowi materialnoprawnemu zastosowania tego aktu prawnego wynikającego z art. 2 ust. 1 RODO. W ocenie tego Sądu udostępnienie danych osobowych wnioskodawczyni w zakresie wyniku egzaminu przez nauczyciela akademickiego na rzecz osób trzecich (innych studentów z grupy) nie podlega przepisom RODO. Stanowisko to jest błędne. Przedmiotowy zakres zastosowania przepisów RODO w aspekcie pozytywnym określony został w przepisie art. 2 ust. 1 RODO. Zgodnie z art. 2 ust. 1 RODO rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych. Zatem rozróżnić należy dwa rodzaje relewantnych procesów przetwarzania danych osobowych kwalifikujących je do objęcia zakresem ochronnym rozporządzenia. Pierwszy to przetwarzanie danych osobowych odbywające się w sposób zautomatyzowany lub częściowo zautomatyzowany bez związku z tym, czy dane w ten sposób przetwarzane staną się lub mają (mogą) stać się częścią zbioru. Drugi natomiast to przetwarzanie w sposób inny niż zautomatyzowany, jednakże wówczas, gdy dane w ten sposób przetwarzane stanowią część zbioru danych lub mają (mogą) stanowić część zbioru danych (zob. D. Lubosz, RODO. Ogólne rozporządzenie o ochronie danych, Komentarz, Warszawa 2018, s. 125). Z przepisu tego wynika więc, że przetwarzanie danych, które odbywa się w sposób niezautomatyzowany (ręcznie), a jednocześnie przetwarzane dane nie stanowią (lub nie mają stanowić) zbioru, nie jest objęte zakresem przedmiotowym RODO. Nadto RODO nie znajduje zastosowania także do przetwarzania danych osobowych: a) w ramach działalności nieobjętej zakresem prawa Unii; b) przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres tytułu V rozdział 2 TUE; c) przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze; d) przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom (art. 2 ust. 2 RODO). Ochrona prawa podstawowego do prywatności, zagwarantowanego przez art. 7 Karty Praw Podstawowych UE, wymaga, aby odstępstwa od ochrony danych osobowych i jej ograniczenia były stosowane jedynie wtedy, gdy jest to absolutnie konieczne, a wykładnia regulujących je przepisów powinna być dokonywana przez pryzmat praw podstawowych zawartych w Karcie i w sposób ścisły. Przetwarzanie, o którym mowa w art. 2 ust. 1 RODO, zostało definicyjnie ujęte szeroko i czynnościowo w art. 4 pkt 2 RODO. W rozumieniu tego przepisu "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Jednocześnie "zbiór danych" to uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie (art. 4 pkt 6 RODO). W świetle tej definicji zbiorem danych jest zestaw informacji spełniające następujące kryteria: - musi to być zestaw informacji stanowiących dane osobowe w rozumieniu przepisu art. 4 pkt 1 RODO, - zestaw tych danych musi być uporządkowany, a zatem musi mieć określoną strukturę, - dane osobowe zawarte w tym zestawie informacji dostępne być muszą według określonych kryteriów (zob. D. Lubosz, RODO. Ogólne rozporządzenie o ochronie danych, Komentarz, Warszawa 2018, s. 210). Dopełnieniem przedstawionych powyżej kryteriów jest wskazanie, iż na fakt istnienia zbioru danych nie ma wpływu to czy "zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie". Przy współczesnych możliwościach technicznych kwestia miejsca faktycznego położenia danych tworzących zbiór nie ma charakteru zasadniczego, podobnie jak podział funkcjonalny. Zbiór może być scentralizowany, tzn. dane mogą być skupione w jednym miejscu albo zdecentralizowany, tzn. dane mogą być skupione w różnych miejscach, co nie przeszkadza ich traktować jako jeden zbiór danych. Wskazać należy także, że do przetwarzana danych osobowych wykorzystywane są tzw. rozproszone bazy danych, których charakterystyczną cechą jest to, iż mimo, że dane znajdują się w wielu miejscach, to traktowane są one jako jedna logiczna całość (por. wyroki NSA: z 23 lutego 2024 r., III OSK 3838/21, LEX nr 3745698; z 11 lutego 2025 r., III OSK 6134/21, LEX nr 3850800). Zatem aby określone dane mogły być kwalifikowane jako zbiór lub jako jego część muszą być nośnikiem informacji charakterystycznych lub specyficznych dla tego zbioru np. wynik egzaminu z przedmiotu akademickiego, który stanowi dane osobowe składające się na akta osobowe studenta. W sprawie Uczelnia pełniła rolę administratora danych osobowych wnioskodawczyni (uczestniczki postępowania) i przetwarzała je jako dane osobowe studenta, zaś wynik egzaminu z przedmiotu "[...]" przeprowadzonego przez nauczyciela w formie papierowej (protokół z przebiegu egzaminu, karta okresowych osiągnięć studenta) oraz w systemie teleinformatycznym — system "Wirtualny Dziekanat" stanowi element danych osobowych studenta zawartych w aktach osobowych (teczce), stosownie do § 15 ust. 1 pkt 5, § 15 ust. 3b, § 15 ust. 4, § 17 ust. 1 pkt 5 i 6 rozporządzenia Ministra Nauki i Szkolnictwa Wyższego z dnia 27 września 2018 r. w sprawie studiów (Dz. U. 2021 poz. 661). Z powyższego wynika, że akta osobowe studenta (teczka) stanowią wskazany w art. 4 pkt 6 RODO zbiór danych osobowych, ponieważ zawierają dane osobowe studenta, mają określoną strukturę oraz są dostępne według określonych kryteriów. Dane osobowe w postaci wyniku egzaminu stanowią część zbioru danych, prowadzonego przez [...], a także podlegają regułom określonym w art. 2 ust. 1 RODO. Trafnie więc organ zarzucił Sądowi pierwszej instancji błędne zastosowanie art. 2 ust. 1 RODO i przyjęcie, że przedmiotowa sprawa nie podlega regulacjom RODO. Sąd pierwszej instancji ustalił, że pracownik Uczelni w trakcie spotkania on-line - w sieci Internet za pośrednictwem MS Teams - w związku z prowadzeniem zajęć dydaktycznych ujawnił wobec pozostałej grupy studentów uczestniczących w tych zajęciach wynik egzaminu uczestniczki postępowania, zaś pozostali studenci mogli przypisać ten wynik konkretnej osobie - uczestniczce. Skoro wynik egzaminu stanowi dane osobowe posiadane przez Uczelnię (administratora danych) i stanowią one część zbioru danych prowadzonego przez Uczelnię, to ich przetwarzanie przez nią, a więc m.in. udostępnienie, podlega reżimowi przepisów RODO, a co za tym idzie prawidłowość ich przetwarzania przez stronę przeciwną (Uczelnię) podlega ocenie w ramach postępowania przed Prezesem UODO. W niniejszej sprawie organ miał więc podstawy do działania i wbrew stanowisku Sądu pierwszej instancji w sprawie nie występowały przesłanki dla odmowy wszczęcia postępowania, bądź wobec jego wszczęcia – umorzenia postępowania, jako bezprzedmiotowego. Zarzut pierwszy zasługiwał więc na uwzględnienie. Z uwagi na błędne rozstrzygnięcie zagadnienia podstawowego, Sąd pierwszej instancji nie dokonał więc w istocie merytorycznej kontroli decyzji Prezesa UODO i nie ocenił jej zgodności z prawem przez pryzmat przepisów RODO. Sąd ten nie odniósł się w pełni do zarzutów skargi, nie ocenił całokształtu stanu faktycznego sprawy, który legł u podstaw wydania decyzji przez organ. Z tego powodu przedwczesne byłoby wypowiadanie się przez Naczelny Sąd Administracyjny do kwestii poruszonych w drugim zarzucie skargi kasacyjnej. W tym stanie rzeczy konieczne więc było uchylenie zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Sądowi pierwszej instancji, o czym orzeczono w pkt 1 sentencji wyroku na podstawie art. 185 § 1 p.p.s.a. Ponownie rozpoznając sprawę, Sąd ten uwzględni przedstawioną wyżej wykładnię prawa materialnego i odniesie się do zarzutów skargi, a także do przyjętego przez organ stanu faktycznego sprawy, w tym do kwestii zgody wnioskodawczyni na przetwarzanie jej danych osobowych, oraz oceni czy ujawnienie danych było zgodne z prawem w myśl obowiązujących regulacji. O kosztach postępowania kasacyjnego orzeczono na podstawie art. 203 pkt 2) p.p.s.a.