Tak wynika z jednego z ostatnich wyroków Naczelnego Sądu Administracyjnego (NSA) w kolejnym sporze o ochronę danych osobowych. Sprawa trafiła na wokandę z inicjatywy studenta, który poskarżył się na swoją uczelnię do prezesa Urzędu Ochrony Danych Osobowych (UODO). Alarmował, że w lipcu 2021 r. nauczyciel w trakcie jednego z egzaminów, który odbywał się online za pośrednictwem aplikacji Teams, złamał prawo. A to dlatego, że w obecności innych zdających przekazał ustnie fakt oblania przez niego egzaminu. Wykładowca miał stwierdzić publicznie, że mężczyzna go nie zdał i musi ponownie do niego podejść. Student tłumaczył, że nigdy i w żadnej formie oraz w jakimkolwiek zakresie nie wyraził zgody na ujawnienie informacji o wyniku jego egzaminu przez wykładowcę.
Wynik egzaminu na uczelni a ochrona danych osobowych
UODO postanowił przyjrzeć się sprawie. Uczelnia broniła się jednak, że podstawą prawną do ustnego przekazania informacji o wyniku egzaminu studenta w obecności pozostałych zdających była zgoda wyrażona ustnie, na jednych z pierwszych zajęć dydaktycznych. Chodziło o umożliwienie przekazywania przez prowadzącego zajęcia informacji, które z osób będą zobligowane do ponownego podejścia do zaliczenia ćwiczeń lub egzaminu poprawkowego. Nauczyciel ustalił wówczas z grupą zasady oceniania i sposób prezentowania oraz ogłaszania wyników z egzaminu. Zaproponował studentom, że wyniki z testu w formie zdalnej mógłby przedstawić ustnie – w obecności wszystkich – zaraz po jego zakończeniu. Zastrzegł, że można zgłosić sprzeciw, ale żaden ze studentów z tej opcji nie skorzystał. Uczelnia podkreślała, że chodziło o szybkie informowanie konkretnej grupy studentów o uzyskanych efektach nauki. Te tłumaczenia nie przekonały prezesa UODO, który za naruszenie RODO w postaci ujawnienia danych osobowych studenta w zakresie wyniku egzaminu osobom trzecim upomniał uczelnię. I choć kara nie należała do najbardziej dotkliwych z arsenału organu nadzoru, akademia się z nią nie pogodziła. W skardze do sądu administracyjnego przekonywała, że informacja o wyniku egzaminu nie stanowi informacji o osobie, więc w ogóle nie jest daną osobową.
Czytaj więcej
Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę Szkoły Głównej Handlowej w Warszawie na decyzję Prezesa UODO w sprawie kary za zignorowan...
Wojewódzki Sąd Administracyjny (WSA) w Warszawie uwzględnił jej skargę. Uznał, że w sprawie nie doszło do bezprawnego ujawnienia danych osobowych w rozumieniu RODO. WSA nie kwestionował, że sporny przypadek dotyczył ustnego poinformowania o wynikach egzaminu wobec innych osób w naturalnie zamkniętej grupie studentów, którzy zdawali go w ramach zajęć online. Niemniej zdaniem sądu przekazana jednostkowa informacja nie jest przydatna dla systemowego gromadzenia danych o osobach, czy ich transferu w ramach określonych zbiorów czy rejestrów. Tego zaś przedmiotowo dotyczą reguły RODO. Zdaniem sądu nawet jeżeli w trakcie spotkania online doszło do ujawnienia wyników egzaminów, na co student nie wyrażał zgody, a uczelnia wywodzi, że była ona dorozumiana, to ewentualnie doszło do naruszenia prawa, ale prywatności. A w takim przypadku sporem powinien zająć się sąd powszechny, a nie UODO. WSA uznał bowiem, że prezes UODO nie był kompetentny do ewentualnego zastosowania przyznanych mu uprawnień w zakresie zastosowania środków dyscyplinujących. A to dlatego, że sporne zdarzenie nie dotyczyło przetwarzania danych osobowych, w rozumieniu RODO.
Akta osobowe studenta a naruszenie RODO
Do diametralnie innych wniosków doszedł jednak NSA. Jego zdaniem wynik egzaminu stanowi element danych studenta zawartych w aktach osobowych, które są wskazanym w art. 4 pkt 6 RODO zbiorem danych osobowych. Sprawa dotyczy przetwarzania danych osobowych w sposób nieautomatyzowany. A w takim przypadku to przetwarzanie nie jest objęte RODO, tylko gdy dane nie stanowią zbioru. Tymczasem w opinii NSA choć w sprawie mamy do czynienia z przetwarzaniem danych osobowych ręcznie, to akta osobowe stanowią zbiór danych, o którym mowa w art. 4 pkt 6 RODO. Przypomniał, że podstawą prowadzenia danych w aktach osobowych studenta są przepisy rozporządzenia Ministra Nauki i Szkolnictwa Wyższego z 27 września 2018 r. w sprawie studiów. To one określają, co w takich aktach się powinno znaleźć. Wynik egzaminu stanowi jego część i dotyczy informacji, które muszą być gromadzone. I właśnie te przepisy przemówiły za tym, żeby akta osobowe uznać za zbiór danych osobowych, do których zastosowanie ma RODO. Co przesądziło zaś, że w przypadku ich przetwarzania mamy do czynienia ze sprawą administracyjną, a nie prywatną, gdzie ewentualne roszczenia można formułować w oparciu o kodeks cywilny? Sędzia NSA Rafał Stasikowski zwracał uwagę, że sporna sytuacja jest specyficzna. Chodzi bowiem o zbiór, w którym są gromadzone dane osobowe, przetwarzanie zaś polegało na ustnym ujawnieniu jego elementu. Nie doszło zatem do ujawnienia całego zbioru, tylko jego elementu. Niemniej, dokonując błędnej wykładni WSA w istocie nie dokonał kontroli zaskarżonej decyzji i będzie musiał jeszcze raz zająć się sprawą co do meritum. Wyrok jest prawomocny.
Sygnatura akt: III OSK 2603/23
Podstawowe definicje RODO
Co to jest zbiór danych?
Zgodnie z art. 4 pkt 6 RODO zbiór danych oznacza uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie.
