Stan faktyczny
L.S., studentka Uczelni „A.”, zgłosiła do Prezesa Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO) nieprawidłowości w zakresie przetwarzania jej danych osobowych. Jak wskazała, jeden z nauczycieli, w ramach przeprowadzonego przez siebie egzaminu w formie on-line, w obecności studentów biorących udział w tym egzaminie, poinformował ustnie, że L.S. nie zdała egzaminu i musi ponownie do niego podejść. L.S. oświadczyła w zgłoszeniu, że nigdy w żadnej formie oraz w jakimkolwiek zakresie nie wyraziła zgody na ujawnienie informacji o wyniku egzaminu.
Uczelnia „A.” wyjaśniła, że nauczyciel, omawiając sylabus przedmiotu, ustalił z grupą zasady oceniania i sposób prezentowania oraz ogłaszania wyników z egzaminu. Zaproponował studentom, że wyniki z egzaminu przeprowadzonego w formie zdalnej mógłby przedstawić ustnie, w obecności pozostałych uczestników egzaminu, bezpośrednio po jego zakończeniu. Powiedział też, że jeśli którykolwiek ze studentów nie godzi się na taką formę ogłoszenia wyników, może w trakcie zajęć zasygnalizować swój sprzeciw. Żaden ze studentów tego zrobił.
Prezes UODO udzielił Uczelni „A.” upomnienia za naruszenie art. 6 ust. 1 i art. 5 ust. 1 lit. c RODO, polegające na udostępnieniu osobom trzecim danych osobowych L.S. w postaci wyniku egzaminu. W ocenie organu, nie został spełniony wymóg uzyskania zgody studentki na przetwarzanie jej danych osobowych w ten sposób. Prezes UODO podkreślił, że wbrew twierdzeniom Uczelni „A.”, brak sprzeciwu L.S. wobec zaproponowanej przez wykładowcę formy przekazania informacji o wynikach egzaminu, nie może automatycznie prowadzić do wniosku, że wyraziła ona zgodę na udostępnienie swoich danych osobowych w tym zakresie.
Orzeczenie WSA
Uczelnia „A.” w skardze do WSA w Warszawie kwestionowała przede wszystkim ustalenie, że wynik egzaminu jest daną osobową, o której mowa w art. 4 pkt 1 RODO, czyli informacją o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Dowodziła, że po samej ocenie z wyniku egzaminu osoba fizyczna nie jest możliwa do zidentyfikowania, zarówno bezpośrednio jak i pośrednio.
WSA w Warszawie uchylił zaskarżoną decyzję i umorzył postępowanie przed Prezesem UODO. Sąd nie zgodził się jednak z twierdzeniami skarżącej, że daną osobową są jedynie informacje dające możliwość zidentyfikowania osoby. Są nią bowiem także dane dotyczące osoby, której tożsamość znana jest odbiorcom informacji. Tak jak w tym konkretnym przypadku: wynik egzaminu dotyczył studenta, którego personalia są znane innym.
Jednocześnie jednak Sąd stwierdził, że przepisy RODO dotyczą zdarzeń związanych z takim przetwarzaniem informacji, w ramach którego możliwe jest mechaniczne odnajdywanie informacji o osobach, w szczególności w ramach systemów teleinformatycznych. RODO nie dotyczy natomiast zdarzeń związanych z ujawnieniem danych osobowych w innych sytuacjach, np. możliwości zapoznania się przez osoby trzecie z wynikami egzaminów studenta. Co istotne, oceny tej nie zmieniłoby wprowadzenie ich jednocześnie do określonego zbioru informacji – bazy danych czy systemu teleinformatycznego, dotyczącego toku studiów. W rozpoznawanej sprawie przekazana innym studentom informacja nie jest przydatna dla systemowego gromadzenia danych o osobach, czy ich transferu w ramach określonych zbiorów czy rejestrów.
W rezultacie Sąd uznał, że Prezes UODO nie był właściwy dla oceny legalności tego zdarzenia, gdyż nie pozostawało ono w żadnym związku z procesem mechanicznego przetwarzania danych bądź posługiwania się danymi mogącymi stanowić wyodrębnioną bazę informacji uporządkowanych wedle pewnych kryteriów w dniu zdarzenia. W ocenie Sądu okoliczności sprawy uzasadniają ewentualne wystąpienie przez L.S. z roszczeniem cywilnoprawnym z uwagi na naruszenie prawa L.S. do prywatności.
W uzasadnieniu wyroku WSA wskazał, że w RODO wprowadzono zaostrzone rygory sposobu zbierania danych w celu ich przetwarzania, aby ograniczyć możliwości wykorzystywania danych wbrew woli zainteresowanych. Na przykład nie ma możliwości domniemania zgody czy potrzeby legitymowania się nią przez administratora. Jak podkreślił Sąd, brakuje jednak racjonalnych przesłanek, aby te reguły odnosić do wszelkich relacji w komunikacji społecznej, w których zwyczajowo dochodzi do posłużenia się danymi osobowymi. WSA wyjaśnił, że w okolicznościach tej konkretnej sprawy wymagałoby to daleko idącego sformalizowania relacji międzyludzkich, a to znacznie utrudniałoby wykonywanie szeregu prostych czynności w procesie dydaktycznym. Zdaniem Sądu zakres posługiwania się danymi osobowymi w bieżącej działalności dydaktycznej powinien być determinowany przyjętymi dobrymi obyczajami. WSA uznał też, że wykładowca może oczekiwać od uczestników procesu dydaktycznego aktywności w kwestii kształtowania reguł w tym zakresie, na przykład artykułowania sprzeciwu.
Stanowisko NSA
W wyroku z 1.7.2026 r., III OSK 2603/23, Legalis, NSA uwzględnił skargę kasacyjną Prezesa UODO, uchylił zaskarżony wyrok i przekazał sprawę do ponownego rozpoznania WSA w Warszawie. Jak wyjaśnił, zgodnie z art. 2 ust. 1 RODO należy rozróżnić dwa rodzaje procesów przetwarzania danych osobowych kwalifikujących je do objęcia zakresem ochronnym RODO. Pierwszy to przetwarzanie danych osobowych odbywające się w sposób zautomatyzowany lub częściowo zautomatyzowany bez związku z tym, czy dane w ten sposób przetwarzane staną się lub mają (mogą) stać się częścią zbioru. Drugi proces to przetwarzanie w sposób inny niż zautomatyzowany wówczas, gdy dane w ten sposób przetwarzane stanowią część zbioru danych lub mają (mogą) stanowić część zbioru danych.
W ocenie NSA akta osobowe studenta stanowią wskazany w art. 4 pkt 6 RODO zbiór danych osobowych, ponieważ zawierają dane osobowe studenta, mają określoną strukturę oraz są dostępne według określonych kryteriów. Dane osobowe w postaci wyniku egzaminu stanowią więc część zbioru danych, prowadzonego przez Uczelnię „A.”, a w rezultacie podlegają regułom określonym w art. 2 ust. 1 RODO.
Wbrew stanowisku Sądu I instancji, prawidłowość przetwarzania tych danych przez Uczelnię „A.” podlega ocenie w ramach postępowania przed Prezesem UODO. Z uwagi na błędne rozstrzygnięcie kluczowego dla tej sprawy zagadnienia, Sąd I instancji nie dokonał merytorycznej kontroli decyzji Prezesa UODO i nie ocenił jej zgodności z prawem przez pryzmat przepisów RODO. WSA został zobowiązany do odniesienia się do zarzutów skargi, a także do przyjętego przez organ stanu faktycznego sprawy, w tym kwestii zgody L.S. na przetwarzanie jej danych osobowych, oraz oceny czy ujawnienie danych było zgodne z prawem.
Wyrok NSA z 1.7.2026 r., III OSK 2603/23, Legalis
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
