II SA/Wa 2204/23

II SA/Wa 2204/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-06-26
orzeczenie prawomocne
Data wpływu
2023-11-21
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek
Joanna Kruszewska-Grońska /przewodniczący/
Mateusz Rogala /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151, art. 153, art. 190
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U. 2004 nr 265 poz 2572
art. 1 pkt 4, art 22 ust. 2 pkt 11
Ustawa z dnia 7 września 1991 r. o systemie oświaty - tekst jedn.
Dz.U. 2016 poz 922
art. 23 ust. 1 pkt 2, art. 26 ust. 1 pkt 1 i 3, art 18 ust. 1
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
Dz.U.UE.L 2016 nr 119 poz 1 art. 6 ust. 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dz.U. 2019 poz 1781
art. 160 ust. 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Andrzej Wieczorek, Asesor WSA Mateusz Rogala (spr.), Protokolant referent stażysta Marta Stec, po rozpoznaniu na rozprawie w dniu 26 czerwca 2024 r. sprawy ze skargi M. P., I. P. oraz M. P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Zaskarżoną do Wojewódzkiego Sądu Administracyjnego w Warszawie decyzją z dnia [...] września 2023 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych, działając m.in. na podstawie art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781 ze zm.) w zw. z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm., powoływanej dalej jako u.o.d.o.) oraz art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, powoływanego dalej jako RODO), po przeprowadzeniu postępowania w sprawie skargi M. P., dotyczącej przetwarzania jego danych osobowych oraz danych osobowych jego dzieci: I. P. i M. P., przez Dyrektora Publicznej Szkoły Podstawowej Stowarzyszenia [...], przez M. S. oraz przez Zarząd Stowarzyszenia [...], w pkt 1 nakazał Publicznej Szkole Podstawowej [...] usunięcie uchybień w procesie przetwarzania danych osobowych M. P. i jego córki M. P. oraz I. P., poprzez usunięcie danych osobowych M. P., I. P. oraz małoletniej M. P. zawartych w: notatkach służbowych nauczycieli (notatce służbowej I. R. oraz notatce służbowej K. W.), podsumowaniu konsultacji psychologicznych z dnia [...] grudnia 2010 r. sporządzonego przez E. J. oraz pismach M. P. adresowanych do Dyrektora Szkoły (tj. pism z dnia [...] listopada 2010 r. i [...] grudnia 2010 r.); a w pkt 2 odmówił uwzględnienia wniosku w pozostałym zakresie.
W uzasadnieniu swojego rozstrzygnięcia organ podniósł, że M. P. złożył do Generalnego Inspektora Ochrony Danych Osobowych skargę dotyczącą przetwarzania jego danych osobowych oraz danych osobowych jego dzieci przez Dyrektora Publicznej Szkoły Podstawowej (z oddziałami przedszkolnymi) Stowarzyszenia [...], przez M. S. oraz przez Zarząd Stowarzyszenia [...]. Skarżący wskazał na odczytanie przez dyrektora szkoły na posiedzeniu Zarządu Stowarzyszenia jego pism z dnia [...] listopada 2011 r. i z dnia [...] grudnia 2010 r., kierowanych do dyrektora szkoły oraz pismo dyrektora szkoły z dnia [...] grudnia 2010 r. w tej sprawie, "notatki służbowe" nauczycielek przedszkola K. C. i K. W., "notatkę służbową" nauczycielki szkoły I. R., podsumowanie konsultacji psychologicznych z dnia [...] grudnia 2010 r. psychologa E. J., bez upoważnienia do ich upublicznienia ze strony M. P.. Skarżący wskazał również na fakt odczytania przez dyrektora szkoły powyższych dokumentów na zebraniu Rady Rodziców szkoły w dniu [...] stycznia 2011 r. bez upoważnienia do ich upublicznienia ze strony M. P.. Skarżący podniósł, iż oba gremia omawiały sprawę jego rodziny opisaną w powyższych pismach, bez upoważnienia do ich upublicznienia ze strony M. P., a nadto na zebraniu Rady Rodziców rozpowszechniono pismo w tej sprawie autorstwa przewodniczącego Rady Rodziców – M. S..
M. P. podkreślił, że nie wyrażał zgody na upowszechnienie spraw jego rodziny, nie wyrażał zgody, aby jego dzieci brały udział w konsultacjach psychologicznych psychologa E. J.. W jego ocenie, doszło do rażącego naruszenia poufności dokumentów oraz bezprawnego wykorzystywania danych osobowych jego rodziny i udostępnienia tych danych i informacji osobom nieuprawnionym i dlatego prosił Generalnego Inspektora Ochrony Danych Osobowych o dokonanie działań przewidzianych w ustawie o ochronie danych osobowych to jest usunięcia danych osobowych jego rodziny i przywrócenia stanu zgodnego z prawem.
Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] września
2012 r. odmówił uwzględnienia wniosku skarżącego. Decyzja ta została następnie utrzymana w mocy przez ten organ decyzją z dnia [...] listopada 2012 r.
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 18 kwietnia 2013 r. sygn. akt II SA/Wa 190/13 uchylił decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2012 r. oraz poprzedzającą ją decyzję z dnia [...] września 2012 r. Naczelny Sąd Administracyjny wyrokiem z dnia 2 kwietnia 2015 r. sygn. akt I OSK 1814/13 oddalił skargę kasacyjną od powyższego wyroku. W obydwu tych judykatach sądy administracyjne zawarły wskazania dla organu co do dalszego postępowania. Po pierwsze, sądy nakazały organowi ustalenie, w jakiej formie dokumenty zawierające dane osobowe skarżącego i jego dzieci zostały przekazane. Po drugie, odniesienie się do zawartości tych dokumentów w aspekcie danych wrażliwych i dokonanie oceny sposobu ich zabezpieczenia. Po trzecie, dokonanie oceny, w jaki sposób należy obchodzić się z dokumentami dotyczącymi konsultacji psychologicznych. Po czwarte, wskazanie, które dowody organ uznał za wiarygodne i dlaczego. Po piąte, wypowiedzenie się, czy sporne działania były zgodne z ustawą o ochronie danych osobowych, czy też ją naruszały. Po szóste, zbadanie prawidłowości przeprowadzenia konsultacji psychologicznych w kontekście ochrony danych osobowych. I po siódme, odniesienie się do zgromadzonych w aktach sprawy wzajemnie niezgodnych oświadczeń co do okoliczności zniszczenia dokumentów.
Po ponownym rozpatrzeniu sprawy Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] listopada 2019 r. nakazał Stowarzyszeniu [...] usunięcie uchybień w procesie przetwarzania danych osobowych M. P. i jego córki M. P. oraz I. P., poprzez usunięcie danych osobowych M. P. i M. P. oraz danych osobowych I. P., zawartych w notatkach służbowych nauczycieli (notatce służbowej I. R. oraz notatce służbowej K. W.), podsumowaniu konsultacji psychologicznych z dnia [...] grudnia 2010 r. sporządzonego przez E. J. oraz pismach M. P. adresowanych do Dyrektora Szkoły (tj. pisma z dnia [...] listopada 2010 r. i [...] grudnia 2010 r.) oraz odmówił uwzględnienia wniosku w pozostałym zakresie.
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 10 listopada
2020 r. uchylił decyzję z dnia [...] listopada 2019 r., uznając, że organ naruszył art. 153 i art. 190 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., powoływanej dalej jako p.p.s.a.), bowiem wykonał wyłącznie dwa z siedmiu zaleceń zawartych w uprzednio wydanych w tej sprawie wyrokach. Ustalił jedynie, że dyrektor przekazał w formie niezanonimizowanej dokumenty objęte skargą, a także że w spornych dokumentach nie było danych wrażliwych. Pozostałe zalecenia organ natomiast pominął.
Po ponownym rozpatrzeniu sprawy organ wydał będącą przedmiotem skargi w niniejszej sprawie decyzję z dnia [...] września 2023 r.
W dalszej części uzasadnienia tej decyzji organ wyjaśnił, że kwestionowane przez skarżącego działania w zakresie udostępnienia danych osobowych jego oraz jego dzieci przez Dyrektora Szkoły Podstawowej Stowarzyszenia [...] na rzecz M. S., członków Rady Rodziców oraz Zarządu Stowarzyszenia, przetwarzania danych osobowych skarżącego oraz jego dzieci, w tym ich udostępnienia, na rzecz członków Zarządu Stowarzyszenia oraz Rady Rodziców przez M. S., a także przetwarzania danych osobowych skarżącego oraz jego dzieci przez Zarząd Stowarzyszenia, miały miejsce w przeszłości, nie są obecnie kontynuowane i miały charakter jednorazowy. Powyższe organ ustalił w oparciu o przedstawione przez skarżącego dowody w załączeniu do skargi z dnia [...] listopada 2011 r., wyjaśnienia Dyrektora Szkoły oraz w toku kontroli przeprowadzonej w siedzibie Stowarzyszenia.
Organ stwierdził, że w tym zakresie właściwe jest zastosowanie przepisów obowiązujących w czasie, gdy doszło do zarzucanych przez skarżącego nieprawidłowości w procesie przetwarzania danych osobowych, tj. ustawy o ochronie danych osobowych z 1997 r.
Natomiast kwestionowane przez skarżącego działanie w zakresie przetwarzania przez Dyrektora, reprezentującego Szkołę Podstawową Stowarzyszenia [...], danych osobowych skarżącego oraz jego dzieci, rozpoczęło się w 2010 r., a pozyskane wówczas dane osobowe skarżącego i jego dzieci – M. P. i I. P., są w dalszym ciągu przetwarzane przez Szkołę. Powyższe organ ustalił w toku kontroli przeprowadzonej w siedzibie Szkoły, tym samym nie dając wiary złożonym w tym zakresie odrębnym wyjaśnieniom Dyrektora Szkoły z dnia [...] lipca 2012 r. wskazującym na usunięcie danych osobowych skarżącego i jego dzieci, będących przedmiotem niniejszego postępowania.
W odniesieniu zatem do czynności przetwarzania danych osobowych skarżącego oraz jego dzieci dokonywanych przez szkołę przed [...] maja 2018 r., właściwe jest zastosowanie przepisów u.o.d.o., natomiast w odniesieniu do czynności przetwarzania danych osobowych skarżącego oraz jego dzieci dokonywanych przez Szkołę po [...] maja 2018 r., właściwe jest zastosowanie przepisów RODO.
Organ wyjaśnił następnie, że odmiennie niż w decyzji z dnia [...] listopada 2019 r. uznał, że Szkoła jest odrębnym od Stowarzyszenia administratorem danych osobowych i dlatego nakaz usunięcia danych osobowych skierował do Publicznej Szkoły Podstawowej Stowarzyszenia [...].
Prezes UODO stwierdził następnie, że J. S. - dyrektor Publicznej Szkoły Podstawowej Stowarzyszenia [...], na początku 2011 r. przekazał w formie niezanonimizowanej notatki służbowe nauczycieli (tj. notatkę służbową I. R. oraz notatkę służbową K. W.), podsumowanie konsultacji psychologicznych z dnia [...] grudnia 2010 r. sporządzone przez E. J. oraz pisma skarżącego adresowane do Dyrektora Szkoły (tj. pisma z dnia [...] listopada 2010 r. i [...] grudnia 2010 r.), zawierające dane osobowe skarżącego oraz jego dzieci: I. i M. P., na rzecz Zarządu Stowarzyszenia [...] oraz M. S. - Przewodniczącego Rady Rodziców przy Szkole Podstawowej Stowarzyszenia [...]. Wskazane dane osobowe były następnie przetwarzane również przez Zarząd Stowarzyszenia oraz M. S., który udostępnił je członkom Rady Rodziców.
Organ nie znalazł w zgromadzonym materiale dowodowym, w tym pismach przedłożonych przez skarżącego, podstaw do negowania wyjaśnień Dyrektora Szkoły w zakresie przesłanek będących podstawą do sporządzania notatek przez nauczycieli oraz podsumowania konsultacji psychologicznej przez E. J. i przyjęcia twierdzeń skarżącego odnośnie tworzenia tych dokumentów zawierających dane osobowe jego oraz jego dzieci w celu zdyskredytowania jego osoby oraz jego dzieci. Jednocześnie, biorąc pod uwagę wyroki WSA i NSA oraz pismo Kuratorium Oświaty w [...] z dnia [...] marca 2011 r., organ wskazał, że nie jest właściwy do oceny działań podejmowanych przez Szkołę w celu zapewnienia dzieciom bezpieczeństwa i higienicznych warunków pobytu w szkole, w tym w związku ze zdarzeniami w Szkole z udziałem dzieci skarżącego lub stwierdzenia braku ich podjęcia.
W konsekwencji, zgodnie z właściwością organu, do oceny pozostaje wyłącznie prawidłowość przetwarzania danych osobowych, a nie uzasadnienia dla podejmowania przez Szkołę ww. działań. Dokonując tej oceny, organ przyjął, że Szkoła przetwarzała dane osobowe skarżącego i jego dzieci, zawarte w treści ww. dokumentów, zgodnie z obowiązującymi wówczas przepisami prawa, tj. art. 23 ust. 1 pkt 2 u.o.d.o. w związku z § 1 i 2 rozporządzenia Ministra Edukacji Narodowej z dnia 17 listopada 2010 r. w sprawie zasad udzielania i organizacji pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach (Dz. U. z 2010 r. Nr 228, poz. 1487) w związku z art. 1 pkt 4 oraz art. 22 ust. 2 pkt 11 ustawy z dnia 7 września 1991 r. o systemie oświaty (Dz. U. z 2004 r. Nr 256, poz. 2572 ze zm.).
W ocenie organu, konsultacje, których pochodną jest sporządzone przez E. J. podsumowanie konsultacji psychologicznych z dnia [...] grudnia 2010 r., przeprowadzone zostały z innymi, niż I. P., dziećmi Szkoły, na co zgodnie z rozporządzeniem z dnia 17 listopada 2010 r. zgoda rodziców I. P. (skarżącego) nie była wymagana. Przetwarzanie danych osobowych I. P. przez Szkołę było konsekwencją omawiania i potwierdzenia z uczniami przebiegu zdarzeń mających miejsce w Szkole z jego udziałem (nękanie przez inne dzieci) i odbywało się zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. w związku z art. 22 ust. 2 pkt 11 ustawy o systemie oświaty oraz rozporządzeniem z dnia 17 listopada 2010 r.
Organ stwierdził natomiast, że udostępnienie danych osobowych skarżącego i jego dzieci celem poinformowania organu prowadzącego Szkołę o zdarzeniu, jakie miało miejsce w Szkole, dotyczącym skarżącego i jego dzieci, nie znajdowało podstawy w żadnej z przesłanek art. 23 ust. 1 u.o.d.o., a co za tym idzie stanowiło naruszenie ochrony danych osobowych oraz zasad zawartych w art. 26 ust. 1 pkt 1 i 3 u.o.d.o.
Zdaniem organu, wbrew twierdzeniom Szkoły i Stowarzyszenia, podstawy udostępnienia i dalszego przetwarzania danych nie stanowił art. 5 ust. 7 pkt 1 i art. 34a ust. 2 pkt 2 ustawy o systemie oświaty. Rezultatem wskazanych powyżej naruszeń było przetwarzanie danych osobowych skarżącego i jego dzieci, zawartych w notatkach służbowych nauczycieli (notatce służbowej I. R. oraz notatce służbowej K. W.), podsumowaniu konsultacji psychologicznych z dnia [...] grudnia 2010 r. sporządzonym przez E. J. oraz pismach M. P. adresowanych do Dyrektora Szkoły (tj. pisma z dnia [...] listopada 2010 r. i [...] grudnia 2010 r.), przez podmiot nieuprawniony, tj. Stowarzyszenie, który trwał do [...] maja 2012 r., tj. dnia zwrócenia dokumentacji zawierającej dane skarżącego i jego dzieci Szkole. Zakończenie procesu nieuprawnionego przetwarzania danych osobowych potwierdzone zostało przez GIODO w toku kontroli przeprowadzonej w siedzibie Stowarzyszenia, w ramach której przeprowadzono oględziny dokumentacji pod kątem zawartości danych osobowych skarżącego i jego dzieci.
Tym samym organ uznał zarzuty skarżącego dotyczące bezprawnego udostępnienia przez Dyrektora Szkoły danych osobowych Skarżącego i jego dzieci na rzecz Zarządu Stowarzyszenia oraz przetwarzania tych danych w sposób nieuprawniony przez Zarząd Stowarzyszenia za uzasadnione. Jednocześnie wobec ustalenia w toku przeprowadzonej w siedzibie Stowarzyszenia kontroli, że nie jest ona już w posiadaniu dokumentacji zawierającej dane osobowe skarżącego i jego dzieci, organ uznał za zakończony proces nieuprawnionego przetwarzania danych przez Stowarzyszenie.
W odniesieniu do zarzutu udostępnienia przez Dyrektora Szkoły danych osobowych skarżącego oraz jego dzieci na rzecz M. S. - Przewodniczącego Rady Rodziców oraz przetwarzania tych danych przez członków Rady Rodziców, organ wskazał, że rada rodziców jest organem wewnętrznym szkoły, działającym w imieniu szkoły i na jej rachunek. W konsekwencji, w ocenie organu, Rada Rodziców nie może zostać uznana za odrębnego od Szkoły administratora danych osobowych uczniów i ich rodziców - tym niemniej, ocenie organu podlega uprawnienie każdej z osób, wchodzących w skład Rady Rodziców, do dostępu do danych osobowych, czy to na podstawie upoważnienia nadawanego przez administratora danych osobowych, czy też upoważnienia ustawowego.
Organ podzielił przy tym stanowisko zawarte w wyrokach sądów administracyjnych wydanych w tej sprawie, zgodnie z którym rada rodziców, rozpatrując sprawy wychowawczo-oświatowe, nie zajmuje się indywidualnymi sprawami lecz problemami ogólnymi, zaś sprawy wychowawcze poszczególnych uczniów, powinny być omawiane na radach nauczycielskich, w zamkniętym gronie nauczycieli danej szkoły. Tym samym, kwestionowane przez skarżącego działania Dyrektora Szkoły, polegające na przekazaniu na rzecz Rady Rodziców danych osobowych zawartych w treści notatek sporządzonych przez nauczycieli oraz korespondencji skarżącego z Dyrektorem Szkoły, nie znajdują umocowania w przepisach powoływanych w uprzednich decyzjach organu, tj. art. 54 ust. 1 ustawy o systemie oświaty w zw. z art. 26 ust. 1 pkt 1 i 3 u.o.d.o., czym naruszają normę prawną określoną w art. 23 u.o.d.o.
Organ uznał, że również działania Rady Rodziców, w tym jej przewodniczącego – M. S., polegające na przetwarzaniu (w tym rozpowszechnianiu) danych osobowych będących przedmiotem skargi, podejmowane były bez podstawy prawnej określonej w przepisach prawa oświatowego, co doprowadziło do naruszenia zasad zawartych w art. 26 ust. 1 pkt 1 i 3 u.o.d.o i art. 23 u.o.d.o.
Rezultatem tych naruszeń było przetwarzanie danych osobowych skarżącego i jego dzieci, przez osoby nieupoważnione. W niniejszej sprawie dane osobowe skarżącego i jego dzieci, zostały wykorzystane przez Dyrektora Szkoły również nieadekwatnie do celu, dla którego dane te zostały pozyskane przez Szkołę. Dyrektor Szkoły udostępnił dokumenty zawierające dane osobowe skarżącego i jego dzieci Radzie Rodziców, celem poinformowania o konflikcie pomiędzy skarżącym a Szkołą, podczas gdy prawnie uzasadnionym celem przetwarzania danych osobowych skarżącego i jego dzieci, zawartych w tych dokumentach, mogło być wyłącznie podejmowanie działań w zakresie pomocy psychologiczno-pedagogicznej. Udostępnienie danych osobowych zbędnych do realizacji prawnie usprawiedliwionego lub ustawowego celu, uznać należy za nieadekwatne i merytorycznie niepoprawne, a tym samym niezgodne z art. 26 ust. 1 pkt 3 u.o.d.o., wskazującym na obowiązek administratora danych do zapewnienia merytorycznej poprawności i adekwatności danych w stosunku do celów ich przetwarzania.
Organ podkreślił, że za nieprawidłowości dotyczące przetwarzania danych osobowych w związku z wykonywaniem zadań przez pracowników administratora danych osobowych lub podmioty mu podległe, odpowiada sam administrator, zgodnie z art. 26 ust. 1 pkt 1 i 2 w zw. z art. 7 pkt 4 u.o.d.o. Z uwagi na brak odrębności organizacyjnej Rady Rodziców, podmiotem odpowiedzialnymi za naruszenie art. 26 ust 1 pkt 3 u.o.d.o., jest w tym zakresie Szkoła.
Prezes UODO stwierdził następnie, że cel, w jakim dane osobowe objęte skargą były przetwarzane, został już zrealizowany, a w związku z przeniesieniem dzieci skarżącego do innej placówki oświatowej, Szkoła nie podejmuje już w ww. zakresie żadnych działań względem skarżącego i jego dzieci. Wobec powyższego, kontynuowanie przez Szkołę do chwili obecnej przetwarzania danych osobowych skarżącego i jego dzieci, zawartych w korespondencji pomiędzy skarżącym a Dyrektorem Szkoły, notatkach nauczycieli i podsumowaniu konsultacji psychologicznych, organ uznał za nieadekwatne, zbędne i niezgodne z zasadami, o których mowa w art. 5 ust. 1 RODO oraz stanowiące naruszenie art. 6 ust. 1 RODO.
W związku z powyższym, organ, korzystając z uprawnienia określonego w art. 18 ust. 1 pkt 1 u.o.d.o., nakazał usunięcie danych osobowych skarżącego i jego dzieci zawartych w przedmiotowych notatkach, ich administratorowi, tj. Szkole.
Odnosząc się natomiast do zarzutu udostępnienia przez Dyrektora Szkoły danych osobowych skarżącego i jego dzieci, na rzecz M. S. i Stowarzyszenia oraz przetwarzania tych danych przez członków Rady Rodziców, organ uznał, że w tym zakresie doszło do naruszenia przepisów o ochronie danych osobowych. Stwierdził jednak, że brak jest podstaw tak faktycznych, jak i prawnych, do wydania w sprawie jakiegokolwiek nakazu, o którym mowa w art. 18 ust. 1 u.o.d.o., a zgodnie z którym Prezes Urzędu w przypadku naruszenia przepisów o ochronie danych osobowych, z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem. Obecnie dane osobowe skarżącego i jego dzieci nie są bowiem przetwarzane przez Radę Rodziców i M. S. oraz Stowarzyszenie w kwestionowanych w skardze celach, a Prezes Urzędu, prowadząc zgodnie z art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych postępowanie na podstawie u.o.d.o., nie dysponuje instrumentami prawnymi, które umożliwiałyby zniwelowanie skutków dokonanego już, nieuprawnionego udostępnienia danych osobowych skarżącego i jego dzieci. Naruszenie przepisów u.o.d.o., do którego doszło we wskazanym zakresie, ma bowiem charakter nieodwracalny, co oznacza, że nie jest możliwe doprowadzenie do takiej sytuacji, jaka miałaby miejsce, gdyby do tego naruszenia nie doszło.
M. P., działając w imieniu własnym oraz małoletniej córki M. P., oraz I. P. wnieśli na powyższą decyzję skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, zaskarżając ją w całości i wnosząc o jej uchylenie.
Skarżący wnieśli o uznanie skargi z dnia [...] grudnia 2012 r., odpowiedzi skarżących z dnia [...] lipca 2013 r., skargi z dnia [...] stycznia 2020 r. oraz pisma skarżących z dnia [...] lutego 2020 r. znajdujących się w aktach sprawy, jako integralnej części niniejszej skargi.
Skarżący zarzucili decyzji naruszenie przepisów prawa powołanych w skardze z dnia [...] grudnia 2012 r. skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie oraz w odpowiedzi skarżących z dnia [...] lipca 2013 r. złożonej na skargę kasacyjną wniesioną przez Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 18 kwietnia 2013 r., jak również w skardze z dnia [...] stycznia 2020 r. skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie oraz pisma skarżących z dnia [...] lutego 2020 r. stanowiącego replikę na odpowiedź na skargę z dnia [...] lutego 2020 r. złożoną przez Prezesa Urzędu Ochrony Danych Osobowych, w tym m.in. naruszenie powołanych w skargach przepisów u.o.d.o., ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, przepisów RODO, ustawy o systemie oświaty, przepisów rozporządzenia Ministra Edukacji Narodowej i Sportu z dnia 7 stycznia 2003 r., a także przepisów k.p.a. Zdaniem skarżących w toku postępowania doszło do rażącej przewlekłości postępowania oraz bezczynności. Postępowanie nie było również prowadzone obiektywnie i rzetelnie, ale z naruszeniem przepisów kodeksu postępowania administracyjnego, a w szczególności art. 7, art. 8, art. 10, art. 12, art. 35, art. 36, art. 75, art. 77, art. 78 i art. 80 k.p.a. Ponadto organ ponownie nie dokonał oceny materiału dowodowego poprzez wskazanie, które dowody uznał za wiarygodne i dlaczego, a większości dowodów przedkładanych przez skarżących albo nie zauważa, albo deprecjonuje lub całkowicie pomija dokonując ustaleń wbrew ich treści.
Skarżący zarzucili również organowi ponowne nieuwzględnienie oceny prawnej i wskazań co do dalszego postępowania, zawartych w wyrokach Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 18 kwietnia 2013 r. i z dnia 10 listopada 2020 r. oraz wyroku Naczelnego Sądu Administracyjnego z dnia 2 kwietnia 2015 r. zarówno w zakresie odniesienia się m.in. do treści przetwarzanych dokumentów, oceny ich zabezpieczenia, usuwania, niszczenia i udostępniania innym osobom, prawidłowości przeprowadzonych przedmiotowych konsultacji psychologicznych w kontekście ochrony danych osobowych, jak również analizy całego zgromadzonego w sprawie materiału dowodowego ze wskazaniem, dlaczego jednym dowodom dał wiarę, a innym odmówił wiarygodności i z jakich powodów (art. 107 § 3 k.p.a.).
Ponadto, zdaniem skarżących, zaskarżona decyzja nie została doręczona skarżącemu I. P. oraz małoletniej M. P., którzy są stronami postępowania.
W uzasadnieniu skargi podnieśli, że za zupełnie gołosłowne należy przyjąć twierdzenia organu, iż dane osobowe skarżących nie są dalej przetwarzane przez osoby nieuprawnione, skoro wbrew przepisom dokumentacja Rady Rodziców nie była przechowywana w Szkole, której skład osobowy ulegał zmianie, a pisma M. S. były udostępniane rodzicom na Radzie Rodziców oraz zarządowi Stowarzyszenia. Organ nie poczynił w tym zakresie żadnych ustaleń, podobnie nie odniósł się do sposobu zabezpieczenia powyższych dokumentów w okresie poprzedzającym kontrolę przeprowadzoną dopiero po kilku latach od złożenia skargi.
W ocenie skarżących, wydane w toku postępowania dotychczasowe decyzje organu legalizowały bezprawne działania uczestników, w wyniku których doszło do naruszenia praw skarżących, w tym małoletnich dzieci wystarczająco już skrzywdzonych przez działania uczestników. Brak podjęcia przez organ przewidzianych prawem działań doprowadził do dalszego naruszania danych osobowych skarżących nawet w toku postępowania i doprowadził do nieodwracalnych konsekwencji.
W dalszej części uzasadnienia skargi skarżący szeroko przedstawili argumentację przemawiającą za tym, że doszło do niezgodnego z prawem przetwarzania ich danych osobowych przez Szkołę, Radę Rodziców, Zarząd Stowarzyszenia oraz M. S..
W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie.
W piśmie procesowym z dnia [...] grudnia 2023 r. skarżący podtrzymali zarzuty dotyczące niedoręczenia zaskarżonej decyzji wszystkim stronom postępowania.
W piśmie procesowym z dnia [...] marca 2024 r. M. P., która uzyskała pełnoletność w dniu [...] listopada 2023 r., oświadczyła, że w całości popiera skargę wniesioną w jej imieniu przez ojca.
Wojewódzki Sąd Administracyjny w Warszawie, zważył co następuje:
Skarga nie zasługuje na uwzględnienie. Zaskarżona decyzja nie narusza bowiem prawa zarówno w części dotyczącej rozstrzygnięcia zawartego w punkcie 1, jak i w pkt 2. Organ podjął w tej sprawie decyzję po dokonaniu pełnych ustaleń stanu faktycznego niezbędnych do jej rozstrzygnięcia.
Po pierwsze, zdaniem Sądu, organ wykonał wszystkie wskazania Wojewódzkiego Sądu Administracyjnego w Warszawie oraz Naczelnego Sądu Administracyjnego zawarte w wydanych uprzednio w tej sprawie wyrokach.
Po pierwsze, organ ustalił, w jakiej formie dokumenty zawierające dane osobowe skarżącego i jego dzieci zostały przekazane i stwierdził, że dokumenty te zostały udostępnione w formie niezanonimizowanej (s. 16 uzasadnienia zaskarżonej decyzji). Okoliczność, że dokumenty zostały przekazane w formie niezanonimizowanej jest zresztą na obecnym etapie postępowania bezsporna.
Po drugie, organ odniósł się do zawartości tych dokumentów w aspekcie danych wrażliwych i dokonał oceny sposobu ich zabezpieczenia, stwierdzając, że "dane osobowe Skarżącego oraz jego dzieci przetwarzane w ww. dokumentach nie należały do kategorii danych osobowych, o których mowa w art. 27 ust. 1 ustawy, tj. danych szczególnie chronionych. W szczególności dokument zatytułowany "Podsumowanie konsultacji psychologicznych", sporządzony w dniu [...] grudnia 2010 r. przez psychologa - Panią E. J. , nie zawierał informacji dotyczących stanu zdrowia I. P., a jedynie opis stanu faktycznego oraz opis zachowania chłopca ustalony na podstawie rozmów Pani E. J. z uczniami Szkoły (dowód: ustalenia z kontroli przeprowadzonej przez GIODO w Publicznej Szkole Podstawowej Stowarzyszenia [...] wraz z załącznikami, k. 301-308)" (s. 7 uzasadnienia zaskarżonej decyzji).
Po trzecie, organ dokonał oceny, w jaki sposób należy obchodzić się z dokumentami dotyczącymi konsultacji psychologicznych i wyjaśnił, że "ocena sposobu posługiwania się określonymi dokumentami, w tym dokumentacją wytworzoną przez szkoły i placówki oświatowe, leży poza sferą kompetencji Prezesa Urzędu. Przepisy ustawy o ochronie danych osobowych nie regulowały bowiem zasad posługiwania się dokumentami, będącymi nośnikami przetwarzanych danych, jak również obecnie Prezes UODO, nie posiada takich kompetencji (patrz: wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 27 kwietnia 2020 r. II SA/Wa 2748/19). Organ ma jednak na uwadze, że jest właściwy do oceny przetwarzania danych osobowych zawartych w dokumentach, co w niniejszym rozstrzygnięciu uczynił uwzględniając przy tym zalecenia sformułowane przez NSA" (s. 18 uzasadnienia zaskarżonej decyzji).
Po czwarte, organ wskazał, które dowody organ uznał za wiarygodne i dlaczego. W szczególności powołał się na ustalenia z kontroli przeprowadzonej przez GIODO w Publicznej Szkole Podstawowej Stowarzyszenia [...] (k. 301-303 akt administracyjnych). Wyjaśnił, że zweryfikował składane w toku postępowania oświadczenia Zarządu Stowarzyszenia oraz członka Komisji Rewizyjnej Stowarzyszenia w przedmiocie komisyjnego niszczenia przez Zarząd Stowarzyszenia dokumentów zwierających dane skarżącego i jego dzieci, czy też ich zwrotu Szkole i w toku oględzin przeprowadzonych w siedzibie Stowarzyszenia nie stwierdził, aby dane osobowe skarżącego oraz jego dzieci były nadal przetwarzane przez Stowarzyszenie. Ponadto, w toku kontroli przeprowadzonej w siedzibie Szkoły i Stowarzyszenia, zweryfikował i ocenił zabezpieczenia danych, co znalazło swoje odzwierciedlenie w opisie stanu faktycznego sprawy (s. 25 uzasadnienia zaskarżonej decyzji).
Po piąte, organ wypowiedział się, czy sporne działania były zgodne z ustawą o ochronie danych osobowych, czy też ją naruszały. Ocenę co do wystąpienia w tej sprawie naruszeń przepisów u.o.d.o. organ zawarł w uzasadnieniu zaskarżonej decyzji: na s. 17 ("należy przyjąć, że Szkoła przetwarzała dane osobowe Skarżącego i jego dzieci, zawarte w treści przedmiotowych dokumentów, zgodnie z obowiązującymi wówczas przepisami prawa, tj. art. 23 ust. 1 pkt 2 u.o.d.o. w związku z § 1 i 2 rozporządzenia Ministra Edukacji Narodowej z dnia 17 listopada 2010 r. w sprawie zasad udzielania i organizacji pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach w związku z art. 1 pkt 4 oraz art. 22 ust. 2 pkt 11 ustawy z dnia 7 września 1991 r. o systemie oświaty"), na s. 18 ("Przetwarzanie danych osobowych I. P. przez Szkołę było konsekwencją omawiania i potwierdzenia z uczniami przebiegu zdarzeń mających miejsce w Szkole z jego udziałem (nękanie przez inne dzieci) i odbywało się zgodnie z art. 23 ust 1 pkt 2 u.o.d.o. w związku z art. 22 ust. 2 pkt 11 ustawy o systemie oświaty oraz rozporządzeniem z dnia 17 listopada 2010 r."), na s. 19 ("Prezes UODO stwierdza, że udostępnienie danych osobowych Skarżącego i jego dzieci celem poinformowania organu prowadzącego Szkołę o zdarzeniu jakie miało miejsce w Szkole, dotyczącym Skarżącego i jego dzieci, nie znajdowało podstawy w żadnej z przesłanek art. 23 ust. 1 u.o.d.o., a co za tym idzie stanowiło naruszenie ochrony danych osobowych oraz zasad zawartych w art. 26 ust. 1 pkt 1 i 3 u.o.d.o.") oraz na s. 21 ("również działania Rady Rodziców, w tym jej przewodniczącego - Pana M. S., polegające na przetwarzaniu (w tym rozpowszechnianiu) danych osobowych będących przedmiotem skargi, podejmowane były bez podstawy prawnej określonej w przepisach prawa oświatowego, co doprowadziło do naruszenia zasad zawartych w art. 26 ust. 1 pkt 1 i 3 u.o.d.o i art. 23 u.o.d.o.").
Po szóste, organ zbadał prawidłowość przeprowadzenia konsultacji psychologicznych w kontekście ochrony danych osobowych i stwierdził, że "konsultacje, których pochodną jest sporządzone przez Panią E. J. podsumowanie konsultacji psychologicznych z dnia [...] grudnia 2010 r., przeprowadzone zostały z innymi dziećmi Szkoły, niż I. P., na co zgodnie z rozporządzeniem Ministra Edukacji Narodowej i Sportu z dnia 17 listopada 2010 r. w sprawie zasad udzielania i organizacji pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach (Dz. U. z 2010 r. nr 228, poz. 1487) zgoda rodziców I. P. (Skarżącego) nie była wymagana (dowód: podsumowanie konsultacji psychologicznych z dnia [...] grudnia 2010 r.)" (s. 18 uzasadnienia zaskarżonej decyzji).
Po siódme, organ odniósł się do zgromadzonych w aktach sprawy wzajemnie niezgodnych oświadczeń co do okoliczności zniszczenia dokumentów i powołując się na ustalenia z kontroli przeprowadzonej przez GIODO w Publicznej Szkole Podstawowej Stowarzyszenia [...], stwierdził, że dane skarżącego i jego dzieci w dalszym ciągu są przetwarzane przez Szkołę. Wyjaśnił przy tym, że nie dał wiary złożonym w tym zakresie odrębnym wyjaśnieniom Dyrektora Szkoły z dnia [...] lipca 2012 r. wskazującym na usunięcie danych osobowych skarżącego i jego dzieci.
Z podanych wyżej przyczyn, Sąd uznał, że organ w sposób prawidłowy zrealizował wskazania co do dalszego postępowania zawarte w wyrokach Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 18 kwietnia 2013 r. oraz z dnia 10 listopada
2020 r., a także w wyroku Naczelnego Sądu Administracyjnego z dnia 2 kwietnia 2015 r. Organ nie naruszył tym samym art. 153 i art. 190 p.p.s.a.
Odnosząc się do pozostałych stawianych przez skarżących zarzutów, należy podkreślić, że organ w istocie podzielił stanowisko przedstawiane przez skarżących w toku postępowania przed organem i sądami administracyjnymi, że po pierwsze w tej sprawie miały miejsce zdarzenia stanowiące naruszenie przepisów o ochronie danych osobowych, a także, że dane osobowe skarżących są w dalszym ciągu przetwarzane niezgodnie z prawem. Zdaniem organu, takim niezgodnym z prawem działaniem było zarówno przekazanie przez Dyrektora Szkoły danych osobowych skarżących Zarządowi Stowarzyszenia (s. 19 uzasadnienia zaskarżonej decyzji), jak i przetwarzanie tych danych przez członków Rady Rodziców, w tym M. S. (s. 21 uzasadnienia).
Jednak, jak wyjaśnił organ w uzasadnieniu zaskarżonej decyzji, w związku ze stwierdzonymi naruszeniami, które miały miejsce pod rządami ustawy o ochronie danych osobowych z 1997 r., ma on jedynie kompetencje do podjęcia działań naprawczych o ograniczonym charakterze. Otóż, jak stanowi art. 18 ust. 1 u.o.d.o., który miał w tej sprawie zastosowanie na podstawie art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień; 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych; 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe; 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego; 5) zabezpieczenie danych lub przekazanie ich innym podmiotom; 6) usunięcie danych osobowych.
Wymienione działania są zatem nakierunkowane na przywrócenie stanu zgodnego z prawem. Jeżeli, tak jak miało to miejsce w rozpoznawanej sprawie, naruszenie miało charakter zdarzenia jednorazowego i nieodwracalnego, brak jest możliwości przywrócenia stanu zgodnego z prawem w inny sposób niż poprzez nakazanie usunięcia danych tym podmiotom, które dane te w dalszym ciągu przetwarzają w sposób niezgodny z prawem. Takie właśnie rozstrzygnięcie wydał organ w rozpoznawanej sprawie, nakazując w pkt 1 zaskarżonej decyzji Publicznej Szkole Podstawowej Stowarzyszenia [...] usunięcie uchybień w procesie przetwarzania danych osobowych M. P. i jego córki M. P. oraz I. P., poprzez usunięcie danych osobowych M. P., I. P. oraz małoletniej M. P. zawartych w: notatkach służbowych nauczycieli (notatce służbowej I. R. oraz notatce służbowej K. W.), podsumowaniu konsultacji psychologicznych z dnia [...] grudnia 2010 r. sporządzonego przez E. J. oraz pismach M. P. adresowanych do Dyrektora Szkoły (tj. pism z dnia [...] listopada 2010 r. i [...] grudnia 2010 r.).
Jak wynika z dokonanej przez organ oceny zgromadzonego materiału dowodowego, w tym również z przeprowadzonej kontroli w siedzibie administratora, jedynie Szkoła w dalszym ciągu przetwarza dane osobowe skarżących, a przetwarzanie to jest niezgodne z prawem. To stanowisko organu, Sąd w składzie rozpoznającym niniejszą sprawę w całości podziela. Należy przy tym uznać, że organ prawidłowo zidentyfikował Szkołę jako podmiot będący administratorem danych osobowych skarżących.
Zdaniem Sądu, organ w sposób kompleksowy i wyczerpujący zgromadził w tej sprawie materiał dowodowy, a następnie dokonał jego prawidłowej oceny w kontekście zastosowanych w tej sprawie przepisów prawa materialnego. Organ nie naruszył zatem przepisów postępowania w stopniu mogącym mieć istotny wpływ na wynik sprawy. Prawidłowo zastosował również przepisy prawa materialnego, tj. art. 18 ust. 1 ustawy o ochronie danych osobowych z dnia 19 sierpnia 1997 r. oraz art. 6 ust. 1 RODO.
Odnosząc się do zarzutów skarżących dotyczących bezczynności organu oraz przewlekłego prowadzenia przez organ postępowania w niniejszej sprawie, należy wyjaśnić, że przedmiotem kontroli sądu administracyjnego w tej sprawie była decyzja z dnia [...] września 2023 r. kończąca postępowanie administracyjne zainicjowane skargą M. P.. Natomiast ewentualna bezczynność organu lub przewlekłość postępowania mogła być przedmiotem skargi stron postępowania, którą składa się do sądu administracyjnego w odrębnym trybie. Naruszenie zasady szybkości postępowania (tj. art. 12, art. 35 i art. 36 k.p.a.) mogłoby stać się przyczyną uchylenia zaskarżonej decyzji, gdyby z okoliczności sprawy wynikało, że takie naruszenie mogło mieć istotny wpływ na wynik sprawy. tzn., że gdyby rozstrzygnięcie zostało wydane szybciej, wynik postępowania mógłby być inny. Z taką sytuacją nie mamy jednak do czynienia w niniejszej sprawie.
Jeśli chodzi o zarzuty skargi dotyczące niedoręczenia zaskarżonej decyzji wszystkim stronom postępowania, należy zauważyć, że jak wynika z akt administracyjnych zaskarżona decyzja została doręczona M. P. w dniu [...] września 2023 r. (zwrotne potwierdzenie odbioru k. 511d akt administracyjnych). M. P. występował na tym etapie postępowania w imieniu własnym oraz jako przedstawiciel ustawowy małoletniej córki – M. P., a także jako pełnomocnik I. P. (pełnomocnictwo – k. 346 akt administracyjnych). Sąd uznał zatem, że doszło do prawidłowego doręczenia zaskarżonej decyzji zarówno M. P., jak i M. P. oraz I. P..
Mając wszystkie powyższe okoliczności na uwadze, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a. orzekł jak w sentencji.