Decyzja

DECYZJA

Na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 2017 r. poz. 1257 ze zm.) w związku z art. 160 ust. 1 oraz ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000) oraz art. 6 ust. 1 lit. c) i lit. e) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku Pana P.K. o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia 12 października 2017 r. (znak: DOLiS/DEC-1234/17/75783,75795), w sprawie skargi na przetwarzanie jego danych osobowych przez S. z siedzibą w W., Prezes Urzędu Ochrony Danych Osobowych

utrzymuje w mocy zaskarżoną decyzję.

Uzasadnienie

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana P.K., zwanego dalej Skarżącym, na przetwarzanie jego danych osobowych przez S. z siedzibą w W., zwaną dalej Uczelnią.

Skarżący w treści skargi zwrócił się do organu o cyt.:,,(…) nakazanie Rektorowi (…) natychmiastowego wykonania załączonego wezwania do usunięcia danych osobowych (załącznik 1)”. Z załączonego do skargi pisma skierowanego do Uczelni wynikało, że Skarżący wnosił o usunięcie jego danych osobowych. Skarżący zaznaczył przy tym, że jego żądanie dotyczy cyt.: „ w szczególności (…) prywatnego adresu e-mail:[…] zgromadzonego podczas wykonywania „Wezwania do udzielenia informacji” zgłoszonego (…) w grudniu 2016 bezpośrednio do rektora Szkoły zgodnie z trybem ustalonym w ustawie z dn. 14 czerwca 1960 r. Kodeks postepowania administracyjnego (…)”. [pisownia oryginalna].

W toku postępowania administracyjnego przeprowadzonego w niniejszej sprawie Generalny Inspektor Ochrony Danych Osobowych ustalił następujące okoliczności faktyczne.

1. Skarżący był studentem Uczelni.
2. Skarżący pismem z dnia […] lipca 2017 r. skierowanym do władz Uczelni, zatytułowanym „Wezwanie do usunięcia danych osobowych”, zażądał usunięcia swoich danych osobowych w postaci adresu e-mail: […]. Uczelnia odmówiła realizacji przedmiotowego żądania. 
3. W piśmie z dnia […] sierpnia 2017 r. Uczelnia wskazała podstawę prawną (ustawa z dnia 27 lipca 2005 r. Prawo o szkolnictwie wyższym, ustawa z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach, ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego) oraz cele przetwarzania danych osobowych Skarżącego (cele wskazane w ustawie Prawo o szkolnictwie wyższym, cel archiwalny oraz cel prowadzenia postepowań administracyjnych z udziałem Skarżącego). Uczelnia w treści ww. pisma podniosła, że cyt.: „P.K. był studentem S. w W. i S. w W. na podstawie art. 26 ust. 1 pkt 2 jest administratorem danych osobowych, które są zbierane i przetwarzane do celów wskazanych w ustawie prawo o szkolnictwie wyższym”. W dalszej części wyjaśnień Uczelnia zaznaczyła także, że cyt.: „(…) Uczelnia prowadzi archiwum, którego działalność regulują przepisy ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (…). Zatem w przedmiocie przetwarzania danych osobowych studentów po zakończeniu studiów, czyli dla celów archiwalnych, zastosowanie znajdują przepisy tej ustawy”. Jednocześnie Uczelnia podkreśliła, że cyt.: „p. P.K. jest autorem wielu wezwań do udzielenia informacji, wniosków o przekazanie odpisów dokumentów oraz skarg do S. w W. kierowanych drogą pocztową oraz e-mailową wszczynających postępowania administracyjne. Wobec konieczności udzielenia odpowiedzi na każde z tych pism dane osobowe są przetwarzane w toku prowadzonych postepowań administracyjnych.”.

Po przeprowadzeniu postępowania administracyjnego w sprawie, Generalny Inspektor Ochrony Danych Osobowych wydał decyzję administracyjną z dnia 12 października 2017 r.  (DOLIS/DEC-1234/17/75783,75795) mocą, której odmówił uwzględnienia wniosku w przedmiotowej sprawie.

W dniu […] października 2017 r. do Biura GIODO wpłynęło pismo Skarżącego zatytułowane „SKARGA NA DECYZJĘ”, w którym Skarżący wskazał, że w jego ocenie cyt.: „przytoczone w decyzji stanowisko i opinia S. nie jest wystarczająca aby odrzucić wniosek o usunięcie danych osobowych”. Skarżący podniósł, że cyt.: „stanowisko S. jest bardzo ogólne a przytoczone argumenty takie jak to że: działalność S. regulują przepisy ustawy o szkolnictwie wyższym, przepisy o narodowym zasobie archiwalnym są powszechnienie znane i nie wnoszą nic nowego w przedmiotowej sprawie”. W konsekwencji powyższego Skarżący wniósł o nakazanie Uczelni usunięcia jego danych osobowych, które są nadal przetwarzane przez Uczelnię i nie zostały zarchiwizowane, z wyjątkiem danych osobowych zgromadzonych w toku postępowań administracyjnych.

W związku z wątpliwościami organu co do charakteru ww. pisma, Skarżący w dniu […] listopada 2017 r. został wezwany przez Generalnego Inspektora Ochrony Danych Osobowych do wskazania czy jego pismo zatytułowane „SKARGA NA DECYZJĘ” stanowi wniosek o ponowne rozpatrzenie przez Generalnego Inspektora Ochrony Danych Osobowych sprawy zakończonej decyzją z dnia 12 października 2017 r. czy też jest to skarga do Wojewódzkiego Sądu Administracyjnego na tą decyzję.

Skarżący pismem z dnia […] listopada 2017 r. wyjaśnił, że wnosi o ponowne rozpatrzenie przez Generalnego Inspektora Ochrony Danych Osobowych sprawy zakończonej decyzją z dnia 12 października 2017 r. oraz uchylenie przedmiotowej decyzji. Ponadto Skarżący ponownie wniósł o nakazanie Uczelni usunięcia jego danych osobowych, które są nadal przetwarzane przez Uczelnię i nie zostały zarchiwizowane, z wyjątkiem danych osobowych zgromadzonych w toku postępowań administracyjnych.

Po zapoznaniu się z całością materiału dowodowego zgromadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych, zwany dalej również Prezesem Urzędu, zważył, co następuje.

W pierwszej kolejności zaznaczenia wymaga, że z dniem wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000) na podstawie art. 166 ust. 1 tej ustawy, Generalny Inspektor Ochrony Danych Osobowych stał się Prezesem Urzędu Ochrony Danych Osobowych, zaś na podstawie art. 167 ust. 1 tej samej ustawy, Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Z kolei na podstawie art. 160 tej samej ustawy, postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu (ust. 1) na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922), zwanej dalej również u.o.d.o., zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r., poz. 1257) (ust. 2), zwanej dalej również K.p.a. Czynności dokonane w postępowaniach, o których mowa w ust. 1, pozostają skuteczne (ust. 3). 

Ponadto wskazać należy, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję administracyjną, zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi się w doktrynie „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego M. Jaśkowska, A. Wróbel, Lex., el/2012). Ponadto, w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07, Naczelny Sąd Administracyjny stwierdził, iż „badając […] legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Podkreślenia wymaga, że decydujące znaczenie dla rozstrzygnięcia, jakie musi być wydane w przedmiotowej sprawie, ma okoliczność, że przetwarzanie danych osobowych Skarżącego rozpoczęło się w okresie obowiązywania ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i obecnie jest kontynuowane. Stwierdzić zatem należy, że właściwe w przedmiotowej sprawie jest zastosowanie przepisów obowiązujących w czasie wydawania rozstrzygnięcia sprawy tj. Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych  i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwane dalej również RODO, ponieważ Prezes Urzędu musi ocenić czy kwestionowany proces przetwarzania danych osobowych na dzień wydania decyzji administracyjnej jest zgodny z prawem.  

Wskazać należy, że ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych określała zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 u.o.d.o.). Przetwarzanie danych osobowych jest procesem legalnym, gdy administrator danych legitymuje się posiadaniem co najmniej jednej z przesłanek wymienionych w art. 23 ust. 1 u.o.d.o. Zgodnie z treścią art. 23 ust. 1 u.o.d.o., przetwarzanie danych osobowych jest dopuszczalne, gdy: osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1), jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3), jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5).

Każda z przesłanek przetwarzania danych ustanowionych w art. 23 ust.1 u.o.d.o. miała charakter autonomiczny i niezależny, dlatego też spełnienie co najmniej jednej z nich stanowiło o zgodnym z prawem przetwarzaniu danych osobowych. Jednocześnie zgoda osoby, której dane dotyczą nie była jedyną przesłanką legalizującą proces przetwarzania danych osobowych. Jeżeli istnieją przepisy prawa, które regulują przetwarzanie danych, to stanowią one samodzielną podstawę prawną przetwarzania danych osobowych, o której mowa w art. 23 ust. 1 pkt 2 u.o.d.o.

Z dniem wejścia w życie Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z Rozporządzeniem również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a) RODO) przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne dla wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c) RODO) lub jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e) RODO).

Jak zostało to już wskazane w uzasadnieniu skarżonej decyzji w przedmiotowej sprawie Uczelnia przetwarzała dane osobowe Skarżącego, w tym jego adres e-mail, na podstawie art. 13 b ustawy z dnia 27 lipca 2005 r. Prawo o szkolnictwie wyższym (Dz. U. z 2016 r. poz. 1842 t.j.) w celu monitoringu karier zawodowych absolwentów. W tym miejscu podkreślić należy, że na podstawie art. 169 pkt 3 ustawy z dnia 3 lipca 2018 r. wprowadzającej ustawę Prawo o szkolnictwie wyższym i nauce (Dz. U. z 2018 r., poz. 1669) utraciła moc ustawa z dnia 27 lipca 2005 r. Prawo o szkolnictwie wyższym. W obowiązującej od 1 października 2018 r. ustawie z 20 lipca 2018 r. Prawo o szkolnictwie wyższym i nauce (Dz. U. z 2018 r., poz.1668) monitoring karier absolwentów został unormowany w art. 352. W związku z powyższym od dnia wejścia w życie ww. ustawy Uczelnia przetwarza dane osobowe Skarżącego na podstawie art. 352 ustawy z 20 lipca 2018 r. Prawo o szkolnictwie wyższym i nauce. Powyższy przepis dot. jednej z form przetwarzania danych osobowych absolwentów uczelni. Wskazuje w związku z tym administratora danych osobowych, cel i zakres ich przetwarzania, zasady udostępniania i okres przetwarzania tych danych. W ten sposób wypełnia treść przesłanki przetwarzania danych osobowych, którą jest realizacja uprawnienia lub spełnienie obowiązku wynikającego z przepisu prawa, o których była mowa w art. 23 ust. 1 pkt 2 u.o.d.o, a obecnie zaś art. 6 ust. 1 lit. c) RODO. Oznacza to brak konieczności uzyskiwania zgody absolwentów na przetwarzanie danych w zakresie wskazanym ww. przepisie.

Ponadto Uczelnia przetwarzała dane osobowe Skarżącego na podstawie art. 34a ustawy z dnia 27 lipca 2005 r. Prawo o szkolnictwie wyższym w celu prowadzenia Systemu Informacji o Szkolnictwie Wyższym w ramach Zintegrowanego Systemu Informacji o Nauce i Szkolnictwie Wyższym „POL-on”. W obecnie obowiązującej ustawie powyższy cel znajduje oparcie w art. 342 w zw. z art. 344 tej ustawy. Zgodnie bowiem z art. 342 ww. ustawy Minister prowadzi Zintegrowany System Informacji o Szkolnictwie Wyższym i Nauce POL-on, który to system obejmuje m.in. bazę danych zawierającą wykaz studentów. Dane w powyższym Systemie są przetwarzane w celu wykonywania zadań związanych z ustalaniem i realizacją polityki naukowej państwa, przeprowadzaniem ewaluacji jakości kształcenia, ewaluacji szkół doktorskich i ewaluacji jakości działalności naukowej, prowadzeniem postępowań w sprawie nadania stopnia doktora, stopnia doktora habilitowanego i tytułu profesora, ustalaniem wysokości subwencji i dotacji, nadzorem nad systemem szkolnictwa wyższego i nauki, realizacją zadań przez NAWA, NCBiR oraz NCN.  Przepis art. 344 ww. ustawy określa z kolei jaki zakres danych obejmuje przedmiotowy wykaz. W powyższym wykazie znajdują się m.in. dane takie jak: imię i nazwisko, numer PESEL, data rozpoczęcia studiów, data ukończenia studiów oraz nazwa uzyskanego tytułu zawodowego albo data skreślenia z listy studentów. W związku z powyższym Uczelnia przetwarzając dane osobowe w Zintegrowanym Systemie Informacji o Nauce i Szkolnictwie Wyższym „POL-on legitymowała się przesłanką określoną w art.23 ust. 1 pkt 4 u.o.d.o., a obecnie w art. 6 ust. 1 lit. e) RODO.

Kolejnym celem przetwarzania danych osobowych Skarżącego przez Uczelnię było prowadzenie systemu biblioteczno - informacyjnego na podstawie art. 88 ust. 4 ustawy z dnia 27 lipca 2005 r. Prawo o szkolnictwie wyższym. Zgodnie zaś z art. 88 ust. 6 ww. ustawy oraz przepisami ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2016 r. poz. 1506 t. j.) Uczelnia przetwarzała dane osobowe Skarżącego także w celu prowadzenia archiwum zakładowego w rozumieniu przepisów ustawy o narodowym zasobie archiwalnym i archiwach. Obecnie powyższe cele mają oparcie w art. 49 ust. 2 oraz ust. 3 ustawy z 20 lipca 2018 r. Prawo o szkolnictwie wyższym i nauce. Zgodnie z ust. 2 powyższego przepisu w uczelni działa system biblioteczno-informacyjny, którego podstawę stanowi biblioteka. Uczelnia może przetwarzać określone w jej statucie dane osobowe osób korzystających z tego systemu. Ponadto na mocy art. 49 ust. 3 ww. ustawy w uczelni działa archiwum.

Jak już wskazano w uzasadnieniu skarżonej decyzji, kolejną, niezależną od powyżej wskazanych przepisów, podstawę prawną przetwarzania danych osobowych Skarżącego, jako osoby składającej pisma i skargi do władz Uczelni, stanowią przepisy art. 63 § 1, art. 223 § 1, art. 224, art. 254, art. 226 K.p.a. w związku z przepisami Rozporządzenia Rady Ministrów z dnia 8 stycznia 2002 r. w sprawie organizacji przyjmowania i rozpatrywania skarg i wniosków (Dz. U. z 2002 r. nr 5 poz. 46) oraz art. 5 ust. 1 pkt 1 ustawy o narodowym zasobie archiwalnym i archiwach. Powyższe przepisy regulują m.in. kwestie przyjmowania i rozpatrywania wniosków składanych do organów państwowych i innych państwowych jednostek organizacyjnych oraz ich archiwizacji. Podkreślenia wymaga, że Uczelnia na mocy art. 5 ust. 1 pkt 1 ustawy o narodowym zasobie archiwalnym i archiwach ma obowiązek przechowywać sporządzoną przez nią oraz wpływającą dokumentację, w tym korespondencję kierowaną do niej przez Skarżącego zarówno drogą pocztową, jak i mailową, a następnie przekazać tę dokumentację po upływie 25 lat do właściwego archiwum państwowego.

Biorąc wszystko powyższe pod uwagę wskazać należy, że Uczelnia jest zobowiązana do przetwarzania danych osobowych Skarżącego, w tym jego adresu e-mail, w celu wykonania obowiązków nałożonych na nią przez przepisy powyżej wymienionych ustaw, co stanowi wypełnienie przesłanki legalizującej proces przetwarzania danych osobowych, na podstawie art. 23 ust. 1 pkt 2 u.o.d.o., obecnie zaś na podstawie art. 6 ust. 1 lit. c) RODO oraz w celu wykonania zadania realizowanego w interesie publicznym, co stanowi wypełnienie przesłanki legalizującej proces przetwarzania danych osobowych, na podstawie art. 23 ust. 1 pkt 4 u.o.d.o., obecnie zaś na podstawie art. 6 ust. 1 lit. e) RODO.

Ocena dokonywana przez Prezesa Urzędu Ochrony Danych Osobowych w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 18 ust. 1 u.o.d.o. służącego przywróceniu stanu zgodnego z prawem, w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. W ocenie Prezesa Urzędu Ochrony Danych Osobowych nie ma podstaw do stwierdzenia, iż dane osobowe Skarżącego przed dniem 25 maja 2018 r. były przetwarzane przez Uczelnię w sposób niezgodny z przepisami ustawy o ochronie danych osobowych. Skarżony proces znajdował bowiem oparcie w  przesłance określonej w art. 23 ust. 1 pkt 2 oraz pkt 4 u.o.d.o. Obecnie natomiast Uczelnia przetwarzając dane osobowe Skarżącego legitymuje się przesłanką określoną w art. 6 ust. 1 lit. c) oraz lit. e) RODO.

W tym stanie faktycznym i prawnym, Prezes Urzędu Ochrony Danych Osobowych uznał za prawidłowe rozstrzygnięcie zawarte w decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia 12 października 2017 r. i utrzymał je w mocy.

Decyzja jest ostateczna. Na podstawie art. 21 ust. 2 ustawy w zw. z art. 13 § 2, art. 53 § 1 oraz art. 54 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2018r. poz. 1302), stronie niezadowolonej z niniejszej decyzji przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o zwolnienie od kosztów sądowych lub prawo pomocy.