Wyrok Naczelnego Sądu Administracyjnegoz 2 kwietnia 2015 r., sygn. akt I OSK 1814/13

Uzasadnienie

Wyrokiem z dnia 18 kwietnia 2013 r. o sygn. akt II SA/Wa 190/13 Wojewódzki Sąd Administracyjny w Warszawie w sprawie ze skargi M. P. oraz reprezentowanych przez niego I. P. i M. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2012 r. nr [...] w przedmiocie ochrony danych osobowych uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] września 2012 r., a także orzekł, że zaskarżona decyzja nie podlega wykonaniu w całości.

Wyrok ten zapadł na tle następującego stanu faktycznego i prawnego sprawy.

M. P. złożył do Generalnego Inspektora Ochrony Danych Osobowych (dalej również jako GIODO) skargę dotyczącą przetwarzania jego danych osobowych oraz danych osobowych jego dzieci przez Dyrektora Publicznej Szkoły Podstawowej (z oddziałami przedszkolnymi) Stowarzyszenia [...] – J. Ś., przewodniczącego Rady Rodziców M. S. i Zarząd Stowarzyszenia [...] (dalej jako Zarząd Stowarzyszenia). Skarżący zwrócił uwagę na fakt odczytania przez dyrektora wspomnianej szkoły na posiedzeniu Zarządu Stowarzyszenia w dniu 18 stycznia 2011 r. jego pism z dnia 28 listopada 2011 r. i 13 grudnia 2010 r., kierowanych do dyrektora szkoły oraz dotyczącego tej sprawy pisma dyrektora szkoły z dnia 8 grudnia 2010 r., notatek służbowych nauczycielek przedszkola K. C. i K. W., notatki służbowej nauczycielki szkoły I. R. oraz podsumowania konsultacji psychologa E. J. z dnia 14 grudnia 2010 r. Ponadto dyrektor szkoły odczytał powyższe dokumenty na zebraniu Rady Rodziców Szkoły w dniu 19 stycznia 2011 r.

M. P. podniósł, iż oba gremia omawiały sprawę jego rodziny, opisaną w powyższych pismach, bez upoważnienia ze strony skarżącego do upublicznienia tej korespondencji. Ponadto na zebraniu Rady Rodziców rozpowszechniono pismo dotyczące przedmiotowej sprawy, autorstwa przewodniczącego Rady Rodziców – M. S. Jednocześnie M. P. podkreślił, iż nie wyrażał zgody, aby jego dzieci brały udział w konsultacjach psychologicznych psychologa E. J. W jego ocenie, doszło do rażącego naruszenia poufności dokumentów oraz bezprawnego wykorzystania danych osobowych jego rodziny i udostępnienia tych danych i informacji osobom nieuprawnionym, dlatego zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych o podjęcie działań przewidzianych w ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm., obecnie Dz. U. z 2014 r., poz. 1182 ze zm. – dalej jako u.o.d.o.), tzn. usunięcia danych osobowych jego rodziny i przywrócenia stanu zgodnego z prawem.

Generalny Inspektor Ochrony Danych Osobowych ustalając stan faktyczny w toku przeprowadzanego w niniejszej sprawie postępowania administracyjnego stwierdził, że pomiędzy skarżącym a szkołą zaistniał konflikt na tle sformułowanego przez skarżącego zarzutu, iż jego syn był w szkole "długotrwale nękany fizycznie i psychicznie" (cytat z pisma skarżącego do dyrektora szkoły z dnia 28 listopada 2010 r.). W konsekwencji dzieci skarżącego zostały przez niego przeniesione do innych placówek oświatowych.

W związku z powyższym M. P. skierował do dyrektora szkoły szereg pism obrazujących kwestionowaną przez niego sytuację i wzywających do poinformowania go o podjętych w szkole działaniach w tej sprawie. Z uwagi na to w szkole podjęte zostały czynności, które - w ocenie dyrektora - służyły wyjaśnieniu sytuacji i zapobieżeniu podobnym incydentom w przyszłości. W szczególności szkoła zaaranżowała spotkanie z psychologiem i pedagogiem E. J., na którym jednak nie pojawił się skarżący z dziećmi.

W aktach sprawy znajdują się także m. in. notatki wychowawczyni – K. W. z dnia 14 grudnia 2010 r. i wicedyrektora I. R. z dnia 8 grudnia 2010 r., informujące dyrektora szkoły o zdarzeniach z udziałem skarżącego i jego dzieci oraz o zastrzeżeniach skarżącego odnośnie do sposobu traktowania jego syna w szkole i córki w oddziale przedszkolnym.

Odnosząc się do kwestii odczytania korespondencji skarżącego, notatek nauczycielek oraz opinii psychologa na posiedzeniu Zarządu Stowarzyszenia w dniu 18 stycznia 2011 r., pismem z dnia 16 lipca 2012 r. dyrektor szkoły wyjaśnił GIODO, że poinformował on Zarząd - jako organ prowadzący szkołę - o zdarzeniu, dotyczącym skarżącego i jego dzieci, które miało miejsce w szkole, na podstawie art. 5 ust. 7 pkt 1 oraz art. 34a ust. 2 pkt 2 ustawy z dnia 7 września 1991 r. o systemie oświaty (t.j.: Dz. U. z 2004 r., nr 256, poz. 2572 ze zm. – dalej jako ustawa o systemie oświaty). Dzieci skarżącego od dnia 13 grudnia 2010 r. nie są uczniami tej szkoły. Dane osobowe wymienionych osób nie są przetwarzane - kserokopie dokumentów skarżącego i jego dzieci zostały usunięte z akt Zarządu Stowarzyszenia i zniszczone przez dyrektora szkoły.

Natomiast w dniu 19 stycznia 2011 r. odbyło się zebranie Rady Rodziców, zwołane w celu wspólnego wyjaśnienia sytuacji i przedstawienia jej rodzicom, w którym uczestniczyli m. in. dyrektor szkoły i przewodniczący Rady Rodziców M. S. W trakcie zebrania - jak wynika ze sporządzonego protokołu - dyrektor J. Ś. ponownie odczytał zebranym wspomnianą wcześniej korespondencję M. P. ze szkołą, notatki nauczycielek oraz opinię psychologa. Ponadto odczytano pismo M. S., adresowane do rodziców uczniów szkoły.

W skierowanym do GIODO piśmie z dnia 18 lutego 2012 r., zawierającym wyjaśnienia odnośnie do okoliczności przedmiotowej sprawy, M. S. oświadczył, że nigdy nie udostępniał danych skarżącego oraz osób jemu bliskich na rzecz innych podmiotów i nie ma wiedzy w tym zakresie. Pismo jego autorstwa, na które powołuje się M. P., było jedynie notatką propozycji wystąpienia do rodziców, które wygłosił ustnie jako członek Rady Rodziców, w następstwie skarg wnoszonych nie tylko przez skarżącego. Notatek tych nikomu nie udostępniał i nie wie nic o okolicznościach, w jakich miały być one rozpowszechniane. W aktach sprawy znajduje się ponadto kopia fragmentu pisma M. S. z dnia 18 lutego 2011 r., adresowanego do członków Zarządu Stowarzyszenia, w którym wskazał on, iż I. J., pełniąca funkcję sekretarza Rady Rodziców, bez porozumienia z kimkolwiek z Rady, a tym bardziej z przewodniczącym, potwierdziła za zgodność jego pismo, które nigdy nie zostało rozpowszechnione i wydała je razem z częścią dokumentacji Rady skarżącemu.

Z kolei dyrektor szkoły w skierowanym do GIODO piśmie z dnia 20 lutego 2012 r. oświadczył, że zbiór danych osobowych skarżącego był przetwarzany przez zamieszczenie go w programie komputerowym szkoły [...], księdze uczniów szkoły, księdze dzieci, dzienniku lekcyjnym, arkuszach ocen. Na posiedzeniu w dniu 19 stycznia 2011 r. dyrektor poinformował Radę Rodziców i jej przewodniczącego M. S. na ich prośbę o zaistniałej sytuacji w zakresie niezbędnym, tj. odczytał pismo skarżącego i notatki nauczycieli. Wymienionych informacji nie rozpowszechnił i nie upublicznił innym osobom. Działania te oparte były na podstawie art. 54 ust. 1 ustawy o systemie oświaty.

Prezes Zarządu Stowarzyszenia w piśmie do GIODO z dnia 19 marca 2012 r. oświadczył, że na spotkaniu Zarządu Stowarzyszenia w dniu 18 stycznia 2011 r. dyrektor szkoły poinformował Zarząd o zajściu, jakie miało miejsce w szkole pod koniec listopada 2010 r. Dyrektor przekazał kserokopie pism (notatki służbowe nauczycieli) oraz dwa pisma (kserokopie) rodzica skierowane do dyrektora szkoły, dotyczące tego zdarzenia. Na spotkaniu Zarządu w dniu 3 marca 2011 r., na którym obecna była Komisja Rewizyjna Stowarzyszenia, odczytano pismo przewodniczącego Rady Rodziców. Wyjaśnień na temat kwestii zawartych w wymienionym piśmie udzieliła I. J. - w zakresie powodów udostępnienia protokołów jednemu z rodziców.

Z kolei w piśmie Prezesa Zarządu z dnia 31 maja 2012 r. stwierdzono, że obecnie Zarząd nie przetwarza żadnych, nawet potencjalnych danych osobowych, dotyczących skarżącego oraz jego rodziny. Przekazane przez dyrektora informacje na temat zdarzenia w szkole zostały usunięte (oddane dyrektorowi szkoły), aby nie padały żadne podejrzenia o przetwarzanie przez Zarząd jakichkolwiek informacji związanych z rodziną skarżącego. Komisja Rewizyjna bada zaś całą działalność Zarządu, a zatem ma prawo wstępu na jego posiedzenia. W związku z tym uzyskała ona informacje na temat zajścia w szkole podczas obrad Zarządu.

Generalny Inspektor Ochrony Danych Osobowych po zapoznaniu się ze zgromadzonym w sprawie materiałem dowodowym dnia [...] września 2012 r. wydał decyzję odmawiającą uwzględnienia wniosku M. P. Następnie decyzją z dnia [...] listopada 2012 r. po ponownym rozpatrzeniu sprawy GIODO utrzymał w mocy swoje wcześniejsze rozstrzygnięcie. W uzasadnieniu decyzji organ wskazał, że każda forma przetwarzania danych osobowych powinna znaleźć oparcie w jednej z przesłanek warunkujących legalność procesu przetwarzania danych osobowych, enumeratywnie wymienionych w art. 23 ust. 1 u.o.d.o. Niezależnie od zgody osoby, której dane dotyczą, przetwarzanie danych osobowych jest dopuszczalne m. in. wówczas, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 u.o.d.o.).

Organ uznał, że udostępnienie danych osobowych M. P. i jego dzieci na rzecz Zarządu Stowarzyszenia - jako organu prowadzącego szkołę - znajdowało prawne uzasadnienie w art. 5 ust. 7 pkt 1 w zw. z art. 34a ust. 2 pkt 2 ustawy z dnia 7 września 1991 r. o systemie oświaty (Dz. U. z 2004 r. nr 256, poz. 2572 ze zm.) w zw. z art. 23 ust. 1 pkt 2 u.o.d.o. Dyrektor szkoły na mocy powołanych przepisów był uprawniony do zawiadomienia organu prowadzącego szkołę o konflikcie pomiędzy skarżącym a szkołą, powstałym na tle zarzutów skarżącego dotyczących bezpieczeństwa jego dzieci i ich nienależytego traktowania w placówkach oświatowych prowadzonych przez Stowarzyszenie. GIODO nie uwzględnił argumentacji M. P., iż w ramach nadzoru organ zarządzający może pozyskiwać tylko informacje o charakterze finansowym i administracyjnym, nie zaś dane osobowe.

W ocenie GIODO kwestionowane przez skarżącego udostępnienie danych osobowych nie naruszało również art. 26 ust. 1 pkt 1 i 2 oraz art. 36 u.o.d.o.

Organ podkreślił ponadto, że wszystkie informacje pozyskane przez Zarząd od dyrektora zostały mu zwrócone (oświadczenie z dnia 31 maja 2012 r.), a następnie przez niego zniszczone, zatem aktualnie Zarząd nie przetwarza żadnych danych skarżącego i jego dzieci, co czyni zarzuty pod jego adresem bezprzedmiotowymi. Załączone przez skarżącego do jego wniosku o ponowne rozpatrzenie sprawy dokumenty w postaci kopii oświadczeń członka Zarządu Stowarzyszenia oraz przewodniczącego i członka Komisji Rewizyjnej Stowarzyszenia wskazujące na brak wiedzy tych osób w przedmiocie komisyjnego niszczenia przez Zarząd Stowarzyszenia jakichkolwiek dokumentów czy też ich zwrotu dyrektorowi szkoły nie dowodzi, że Zarząd w dalszym ciągu przetwarza kwestionowane dane osobowe skarżącego i jego dzieci.

Za bezzasadny został także uznany zarzut dotyczący udostępnienia danych osobowych skarżącego i jego dzieci przez dyrektora szkoły na rzecz Rady Rodziców i jej ówczesnego przewodniczącego – M. S. Zgromadzony materiał dowodowy potwierdza, że w dniu 19 stycznia 2011 r. odbyło się zebranie Rady Rodziców, w trakcie którego na wniosek Rady udostępniono jej kwestionowane dane osobowe. Podobnie jak w przypadku udostępnienia informacji na rzecz Zarządu, działanie to było jednak uprawnione na gruncie art. 23 ust. 1 pkt 2 u.o.d.o. Stosownie bowiem do art. 54 ust. 1 ustawy o systemie oświaty, rada rodziców może występować do dyrektora z wnioskami we wszystkich sprawach szkoły.

W ocenie GIODO nie potwierdził się również zarzut udostępnienia przez M. S. kwestionowanych danych osobowych skarżącego i jego dzieci na rzecz osób nieupoważnionych (innych niż obecne na zebraniu Rady Rodziców w dniu 19 stycznia 2011 r.) - w szczególności nie dowodzą tego przedłożone przez skarżącego do akt sprawy dokumenty. Istotne jest ponadto, że - jak oświadczył M. S. - nie przetwarza on aktualnie kwestionowanych danych osobowych skarżącego ani członków jego rodziny.

GIODO podkreślił zarazem, iż warunkiem wydania wobec skarżonego podmiotu jakiegokolwiek nakazu przewidzianego art. 18 ust. 1 u.o.d.o. jest stwierdzenie naruszenia przepisów o ochronie danych osobowych według stanu istniejącego w chwili orzekania. Tymczasem w niniejszej sprawie kwestionowane przez skarżącego działania, polegające na przetwarzaniu jego danych osobowych i danych osobowych jego dzieci przez dyrektora szkoły oraz M. S., nie są obecnie kontynuowane.

M. P. wniósł skargę na decyzję GIODO z dnia [...] listopada 2012 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie zarzucając organowi:

1. 1. naruszenie art. 23 ust. 1 pkt 2 u.o.d.o. poprzez przyjęcie, iż przetwarzanie przez Dyrektora Publicznej Szkoły Podstawowej Stowarzyszenia [...] danych osobowych skarżących, zawartych w korespondencji pomiędzy skarżącym a dyrektorem szkoły, w notatkach służbowych nauczycieli szkoły – I. R. i P. I. oraz nauczycielki przedszkola K. W. oraz w dokumencie "podsumowanie konsultacji psychologicznych" sporządzonym przez psychologa E. J. poprzez ich odczytywanie na zebraniu Rady Rodziców w dniu 19 stycznia 2011 r., na zebraniu Zarządu Stowarzyszenia w dniu 18 stycznia 2011 r. oraz udostępnienie ich M. S. znajduje uzasadnienie w powołanym wyżej przepisie w zw. z przepisami art. 39 ust. 1, art. 5 ust. 7 art. 34a ust. 1 pkt 2 i art. 54 ust. 1 u.o.d.o.;
2. 2. naruszenie art. 23 ust.1 pkt 2 u.o.d.o. poprzez przyjęcie dopuszczalności zakwestionowanego przetwarzania danych osobowych skarżących przez Zarząd Stowarzyszenia oraz M. S.;
3. 3. naruszenie przepisów art. 33 ust. 1 pkt 6 i 7 oraz art. 39 ust. 1 ustawy o systemie oświaty poprzez przyjęcie, iż zapewnienie w szkole bezpiecznych i higienicznych warunków nauki, wychowania i opieki uzasadniało łamanie praw małoletnich dzieci skarżącego, w tym w zakresie ochrony ich danych osobowych;
4. 4. naruszenie art. 34b ustawy o systemie oświaty;
5. 5. naruszenie art. 22 ust. 2 pkt 11 ustawy o systemie oświaty, rozporządzenia Ministra Edukacji Narodowej i Sportu z dnia 7 stycznia 2003 r. w sprawie zasad udzielania i organizacji pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach (Dz. U. z 2003 r. nr 11, poz. 114), jak również aktualnie obowiązującego rozporządzenia Ministra Edukacji Narodowej z dnia 17 listopada 2010 r. w sprawie zasad udzielania i organizacji pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach (Dz. U. z 2010 r. nr 228, poz. 1487), a w szczególności § 3 powołanego rozporządzenia oraz ustawy z dnia 8 czerwca 2001 r. o zawodzie psychologa i samorządzie zawodowym psychologów (Dz. U. z 2001 r. nr 73, poz. 763) poprzez przyjęcie w skarżonej decyzji dopuszczalności odczytywania przez dyrektora szkoły na zebraniu Rady Rodziców oraz Zarządu Stowarzyszenia w J. "podsumowań konsultacji psychologicznych" wymienionych w skardze, a także udostępnienie powołanego dokumentu Zarządowi Stowarzyszenia i M. S.;
6. 6. wydanie decyzji z pominięciem przepisów rozporządzenia Ministra Edukacji Narodowej i Sportu z dnia 19 lutego 2002 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji;
7. 7. naruszenie art. 26 u.o.d.o., który nakłada na administratora danych obowiązek dbania o legalność i rzetelność przetwarzania danych osobowych;
8. 8. naruszenie art. 7 i art. 77 k.p.a. poprzez pobieżne, a w konsekwencji niedokładne wyjaśnienie stanu faktycznego przedmiotowej sprawy z pominięciem istotnych dowodów, a w konsekwencji oparcie rozstrzygnięcia na faktach rzekomo potwierdzających tezę postawioną na początku postępowania przez GIODO;
9. 9. naruszenie art. 11 k.p.a. poprzez pobieżne i niedokładne wyjaśnienie przesłanek, którymi GIODO kierował się przy wydaniu przedmiotowego rozstrzygnięcia;
10. 10. naruszenie art. 51 ust. 4 i 5 Konstytucji RP;
11. 11. naruszenie art. 30, 41, 47 i 30 Konstytucji RP poprzez próbę ograniczenia skarżoną decyzją konstytucyjnego prawa do godności, dobrego imienia oraz nietykalności i wolności osobistej skarżących.

Jednocześnie skarżący wniósł o uchylenie w całości zaskarżonej decyzji i poprzedzającej ją decyzji z dnia [...] września 2012 r.

GIODO w odpowiedzi na skargę wniósł o jej oddalenie, wskazując na argumentację zawartą w uzasadnieniu zaskarżonej decyzji.

Wspomnianym na wstępie wyrokiem WSA w Warszawie uchylił zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] września 2012 r.

W uzasadnieniu orzeczenia Sąd w pierwszej kolejności zauważył, że GIODO zebrał materiał dowodowy w sposób niestaranny, co miało istotny wpływ na wynik prowadzonego postępowania administracyjnego. W tym zakresie organ naruszył treść art. 7, art. 77 i art. 107 § 3 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j.: Dz. U. z 2013 r., poz. 267 ze zm. – dalej jako k.p.a.). Odnosząc się do tej kwestii Sąd zwrócił uwagę, że organ posłużył się w niniejszej sprawie niekompletnymi dokumentami. Znajdujące się na kartach 28-31 akt administracyjnych dokumenty są kserokopiami w widoczny sposób niekompletnymi. Na rozprawie pełnomocnik organu stwierdził, iż można domniemywać ich nieudolne zanonimizowanie.

Niewyjaśnione pozostaje zatem zagadnienie, w jakiej formie zostały przedstawione na zebraniu Zarządu Stowarzyszenia oraz na zebraniu Rady Rodziców wskazane przez skarżącego dokumenty, tzn. jego pisma z dnia 28 listopada 2011 r. i z dnia 13 grudnia 2010 r., kierowane do dyrektora szkoły oraz pismo dyrektora szkoły z dnia 8 grudnia 2010 r. skierowane do skarżącego, "notatki służbowe" nauczycielek przedszkola K. C. i K. W., "notatka służbowa" nauczycielki szkoły I. R. oraz podsumowanie konsultacji psychologicznych z dnia 14 grudnia 2010 r. psychologa E. J. Nie wiadomo, jaka jest pełna treść tych dokumentów i czy "wycięcie" danych w ostatnim z nich dotyczyło innych osób niż skarżący. Nie zostało również ustalone, czy przedmiotowe dokumenty były prezentowane podczas wspomnianych zebrań Zarządu Stowarzyszenia i Rady Rodziców w formie pełnej, czy też takiej, jak na wyżej wskazanych kartach akt administracyjnych sprawy, czy może w jeszcze innej, skróconej formie.

To samo dotyczy wątpliwości odnośnie do działań M. S. Dokonanie ustaleń w powyższym zakresie ma w ocenie Sądu kluczowe znaczenie dowodowe w rozpatrywanej sprawie. Treść udostępnionych dokumentów, w zależności od zakresu wyłączenia określonych danych, decyduje o diametralnie różnym stanie faktycznym sprawy, szczególnie wobec dokumentów opisanych jako podsumowanie konsultacji psychologicznych, "notatki służbowe" nauczycielek przedszkola oraz "notatka służbowa" nauczycielki szkoły. Zważyć tu należy, iż według ustaleń organu powyższe dokumenty były prezentowane wraz z pismami skarżącego do dyrektora szkoły i pismem dyrektora szkoły do skarżącego, zatem kontekst ujawnianych informacji zależał od tego, czy dokumenty były prezentowane w formie pełnej czy skróconej, a jeśli skróconej, to o jakie informacje.

Zdaniem Sądu, z uwagi na opisaną wyżej niekompletność dokumentów nie sposób na obecnym etapie sprawy określić, czy wspomniane cztery dokumenty (podsumowanie konsultacji i notatki służbowe) zawierają tzw. dane wrażliwe. Oceniając te dokumenty pod kątem możliwości ich upublicznienia organ powinien rozważyć, czy zawierają one informacje mogące naruszać sferę spraw osobistych rodziny skarżącego, zaś w celu dokonania oceny sposobu posługiwania się dokumentem opisanym jako podsumowanie konsultacji psychologicznych zastosować przepisy rozporządzenia Ministra Edukacji Narodowej i Sportu z dnia 7 stycznia 2003 r. w sprawie zasad udzielania i organizacji pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach (Dz. U. z 2003 r. nr 11, poz. 114), jak również aktualnie obowiązującego rozporządzenia Ministra Edukacji Narodowej z dnia 17 listopada 2010 r. w sprawie zasad udzielania i organizacji pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach (Dz. U. z 2010 r. nr 228, poz. 1487), w szczególności § 3 powołanego rozporządzenia.

W ocenie WSA w Warszawie, organ powinien w kwestii posługiwania się przedmiotowymi dokumentami odnieść się także do stwierdzeń zawartych w pismach Opolskiego Kuratora Oświaty, znajdujących się w aktach administracyjnych. Jakkolwiek to GIODO jest jedynym w Polsce organem administracji wyspecjalizowanym w zagadnieniach ochrony danych osobowych, jednakże ustalenia wyspecjalizowanego organu oświatowego nie powinny być lekceważone.

Sąd I instancji wskazał również, że dokonując ustaleń w postępowaniu GIODO nie sprawdził, czy dokumenty zawierające dane wrażliwe są właściwie przechowywane przez dyrektora szkoły. Tymczasem niezależnie od treści wniosku i żądań stawianych przez skarżącego, organ powinien z urzędu podjąć działania w tym zakresie.

Z kolei w kwestii dalszego przetwarzania wspomnianych wcześniej dokumentów przez Zarząd Stowarzyszenia organ ustalił, iż zostały one zniszczone. Jednakże organ nie ustalił, czy takie zniszczenie dokumentów było prawnie dozwolone. Natomiast skarżący przedstawił dokumenty w postaci kopii oświadczeń członka Zarządu Stowarzyszenia oraz przewodniczącego i członka Komisji Rewizyjnej Stowarzyszenia, wskazujące na brak informacji co do komisyjnego niszczenia przez Zarząd Stowarzyszenia jakichkolwiek dokumentów czy też ich zwrotu dyrektorowi szkoły. Należy zauważyć, iż Komisja Rewizyjna Stowarzyszenia zajmowała się m.in. sprawą upowszechnienia danych osobowych rodziny skarżącego. Niewyjaśnione pozostaje zatem, dlaczego organ odmówił wiary powyższym oświadczeniom oraz twierdzeniom skarżącego w tym zakresie, a przyjął za prawdziwe oświadczenia Zarządu Stowarzyszenia.

WSA w Warszawie dostrzegł również naruszenie art. 107 § 3 k.p.a. ze względu na brak dogłębnej analizy materiału dowodowego pod kątem jego wiarygodności. Ponadto w niniejszej sprawie uznanie administracyjne co do oceny i wiarygodności zgromadzonych w sprawie dowodów, mimo prowadzenia postępowania administracyjnego przez blisko rok, nosi cechy znacznej dowolności.

Następnie Sąd I instancji odniósł się do kolejnego uznanego za zasadny zarzutu skargi, tj. naruszenia przez organ art. 23 ust. 1 pkt. 2 ustawy o ochronie danych osobowych poprzez wadliwą wykładnię przepisów art. 33 i art. 39 ustawy o systemie oświaty.

Dla określenia granic kompetencji organu wewnętrznego szkoły, jakim jest rada rodziców oraz organu założycielskiego szkoły, należy odnieść się do treści art. 34, 34a, 34b, 34c i art. 54 ustawy o systemie oświaty. Oba te organy, rozpatrując sprawy wychowawczo-oświatowe, nie zajmują się indywidualnymi sprawami, ale problemami ogólnymi. Sprawy wychowawcze poszczególnych uczniów są omawiane na radach nauczycielskich, w zamkniętym gronie nauczycieli danej szkoły. Natomiast sprawami takimi w ogóle nie powinny zajmować się rada rodziców oraz tym bardziej organ założycielski szkoły. Analizując treść art. 33 i art. 39 ustawy o systemie oświaty GIODO nie dostrzega różnicy pomiędzy indywidualizowaniem danego zagadnienia od strony konkretnego ucznia a problemem pojmowanym niejako abstrakcyjnie jako ogólne zagadnienie zapewnienia bezpieczeństwa czy dobrego samopoczucia dziecka w szkole. Oba wymienione organy zajmować się powinny uchwalaniem i opiniowaniem programów czy innych projektów, preliminarzem budżetowym szkoły, a nie problemami poszczególnych uczniów i ich rodziców.

W tej materii wystarczy odnieść się do przykładowo wskazanych zakresów kompetencji rady rodziców zawartych w art. 54 ust. 2 ustawy o systemie oświaty albo do uregulowań kompetencyjnych dotyczących organu założycielskiego szkoły, zawartych w art. 34a powołanej ustawy.

Podsumowując swoje rozważania WSA w Warszawie stwierdził, że nawet w tak wadliwie ustalonym stanie faktycznym uznanie przez GIODO za prawidłowe omawiania przez Radę Rodziców oraz Zarząd Stowarzyszenia indywidualnych problemów dzieci skarżącego oraz rozpatrywania przez te organy spraw jego rodziny, z ujawnieniem ich danych osobowych, jest naruszeniem art. 23 ust. 1 pkt 2 u.o.d.o., poprzez wadliwą wykładnię przepisów art. 33, art. 39 w zw. z art. 54 oraz art. 34, 34a, 34b i 34c ustawy o systemie oświaty.

Powyższe uchybienie jest w ocenie Sądu I instancji istotne z tego względu, że nieprawidłowo kwalifikuje przetwarzanie danych osobowych jako działanie w tym przypadku usprawiedliwione konkretnymi przepisami prawa, co wypacza istotę sprawy.

Zgodnie z wytycznymi WSA w Warszawie, GIODO rozpatrując ponownie niniejszą sprawę po pierwsze ustali w sposób dokładny i precyzyjny, w jakiej formie - pełnej czy niepełnej - były przetwarzane przez Radę Rodziców Publicznej Szkoły Podstawowej Stowarzyszenia [...], Zarząd Stowarzyszenia [...] oraz przez M. S. dokumenty wskazane przez skarżącego w jego wniosku z dnia 30 listopada 2011 r. inicjującym sprawę. Następnie organ odniesie się do zawartości powyższych dokumentów w aspekcie ewentualnych danych wrażliwych oraz oceni sposób ich zabezpieczenia przez szkołę. Co do dokumentów opisanych jako: "notatki służbowe" nauczycielek przedszkola K. C. i K. W., "notatka służbowa" nauczycielki szkoły I. R., podsumowanie konsultacji psychologicznych z dnia 14 grudnia 2010 r. psychologa E. J., organ oceni, jak należy obchodzić się z tego typu dokumentami w oświacie, mając na uwadze również dokumentację psychologiczną.

Jednakże dołączone przez skarżącego pismem z dnia 14 kwietnia 2013 r. do akt postępowania przed WSA w Warszawie dokumenty nie mogą stanowić materiału dowodowego, gdyż nie mogły być znane organowi przed wydaniem ostatecznej decyzji, z uwagi na daty sporządzenia tych dokumentów.

Dopiero po zgromadzeniu w podany sposób materiału dowodowego, przy wskazaniu, które dowody uznano za wiarygodne i dlaczego, organ dokona analizy sprawy pod kątem ewentualnego zastosowania odpowiednich działań przewidzianych w art. 18 u.o.d.o. Niezależnie jednak od zastosowania sankcji przewidzianych w powołanym przepisie, organ powinien wypowiedzieć się, czy działania Rady Rodziców Publicznej Szkoły Podstawowej Stowarzyszenia [...], Zarządu Stowarzyszenia [...] oraz M. S. wskazane przez M. P. we wniosku z dnia 30 listopada 2011 r. były zgodne z ustawą o ochronie danych osobowych, czy też naruszają określone w niej zasady. Tego ostatniego elementu ocennego nie sposób pominąć, bowiem GIODO jest jedynym organem administracyjnym powołanym do oceny naruszenia ustawy o ochronie danych osobowych, zaś niniejsza sprawa ma dużą wagę społeczną i dotyczy występującego powszechnie problemu.

Skargę kasacyjną od powyższego wyroku wniósł Generalny Inspektor Danych Osobowych, zaskarżając go w całości i wnosząc o jego uchylenie w całości oraz przekazanie sprawy do ponownego rozpoznania WSA w Warszawie.

Zaskarżonemu orzeczeniu zarzucono naruszenie przepisów postępowania, tzn. art. 145 § 1 pkt 1 lit. c i art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.: Dz. U. z 2012 r., poz. 270 ze zm. – dalej jako p.p.s.a.) w zw. z art. 1 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (t. j.: Dz. U. z 2014 r., poz. 1647) w zw. z art. 7, 77 i 107 § 3 k.p.a. przez dokonanie niewłaściwej kontroli postępowania administracyjnego i uwzględnienie skargi, na skutek błędnego przyjęcia, iż GIODO wydając zaskarżoną decyzję i decyzję ją poprzedzającą uchybił wymienionym przepisom Kodeksu postępowania administracyjnego, tj. nie podjął działań niezbędnych dla dokładnego wyjaśnienia stanu faktycznego sprawy i jej załatwienia, nie zgromadził w sposób wyczerpujący materiału dowodowego, w konsekwencji czego oparł swe rozstrzygnięcia o niekompletny materiał dowodowy; nie wskazał w uzasadnieniu faktycznym decyzji faktów, które uznał za udowodnione, dowodów na których się oparł oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, co miało istotny wpływ na wynik sprawy.

Ponadto zarzucono naruszenie przepisów prawa materialnego, tzn. art. 23 ust. 1 pkt 2 u.o.d.o. w związku z art. 33, 34a, 39 i 54 ust. 1 ustawy o systemie oświaty poprzez ich błędną wykładnię, polegającą na przyjęciu, iż przepisy te nie stanowią podstawy prawnej udostępnienia przez dyrektora szkoły danych osobowych skarżącego i jego dzieci, w zakresie przez niego zakwestionowanym, organowi prowadzącemu szkołę i radzie rodziców oraz przetwarzania tych danych przez podmioty, którym je udostępniono.

W uzasadnieniu skargi kasacyjnej pełnomocnik organu podkreślił, że zakres postępowania wyjaśniającego jest determinowany zakresem wniosku strony zwracającej się o wszczęcie tego postępowania, zaś zakres danych osobowych skarżącego i jego dzieci, udostępnionych wskazanym w skardze podmiotom, w ocenie organu nie budził wątpliwości. Ponadto wskazał, że dostęp do danych osobowych i możliwość ich przetwarzania przez organ prowadzący szkołę jest w świetle przepisów ustawy o systemie oświaty konieczny dla sprawowania nadzoru nad jej działalnością. Dotyczy to m.in. bezpieczeństwa i higieny pracy pracowników i uczniów. Ponadto umożliwia realizację dyrektywy o współpracy dyrektora szkoły z radą szkoły, radą pedagogiczną, rodzicami i samorządem uczniowskim. Skarżący kasacyjnie podniósł, że w niniejszej sprawie istniejący konflikt dotyczył właśnie bezpieczeństwa w szkole.

W obszernej odpowiedzi na skargę kasacyjną M. P. wniósł o jej oddalenie.

Naczelny Sąd Administracyjny zważył, co następuje.

Skarga kasacyjna nie zasługiwała na uwzględnienie.

Stosownie do art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania, której przesłanki określone zostały w § 2 wymienionego przepisu. Wobec niestwierdzenia przyczyn nieważności, skarga kasacyjna w niniejszej sprawie podlegała rozpoznaniu w granicach przytoczonej w niej podstawy.

Autor skargi kasacyjnej zarzucił zaskarżonemu orzeczeniu naruszenie zarówno przepisów postępowania, jak też przepisów prawa materialnego. W takiej sytuacji, co do zasady, jako pierwsze podlegają rozpatrzeniu zarzuty naruszenia przepisów postępowania, gdyż weryfikacja prawidłowości wykładni przepisów prawa materialnego, dokonanej przez Sąd I instancji, jest możliwa jedynie w przypadku stwierdzenia braku uchybień natury procesowej, mogących mieć istotny wpływ na treść rozstrzygnięcia.

Z uwagi na powyższe, przechodząc do podniesionych w skardze kasacyjnej zarzutów, w pierwszej kolejności należy odnieść się do kwestii naruszenia przepisów postępowania.

W ocenie NSA, Sąd I instancji po zbadaniu okoliczności rozpatrywanej sprawy trafnie doszedł do przekonania, iż organ dopuścił się uchybień na etapie gromadzenia materiału dowodowego, co spowodowało wadliwe ustalenie stanu faktycznego będącego podstawą wydania zaskarżonych decyzji.

W związku z powyższym konieczne jest ponowne przeprowadzenie postępowania administracyjnego ze względu na konieczność zbadania, czy wskazane przez skarżącego dokumenty, tzn. jego korespondencja z dyrektorem szkoły, notatki służbowe nauczycielek oraz podsumowanie konsultacji psychologicznych, zostały przedstawione na zebraniu Zarządu Stowarzyszenia oraz na zebraniu Rady Rodziców w pełnym brzmieniu czy też w innej formie. Wyjaśnienie tej kwestii ma kluczowe znaczenie dla ustalenia zakresu przetwarzania danych osobowych skarżącego i jego rodziny, w tym ewentualnego ujawnienia tzw. danych wrażliwych w odniesieniu do notatek służbowych i podsumowania konsultacji psychologicznych.

W ramach rozpatrywanej sprawy odrębnie należy zwrócić uwagę na kwestię przeprowadzenia w szkole konsultacji psychologicznych z grupą uczniów i rodziców na temat zachowania I. P. pod nieobecność jego samego oraz jego rodziców. Odnosząc się do tego zdarzenia M. P. w skardze do GIODO podniósł, że nie wyrażał zgody na udział w takich konsultacjach i zgłosił swój sprzeciw dyrektorowi jeszcze zanim się one odbyły. Wymaga zatem rozważenia prawidłowość przeprowadzenia przedmiotowych konsultacji psychologicznych w kontekście ochrony danych osobowych. Stąd też Sąd I instancji odwołał się do wspomnianych wcześniej rozporządzeń regulujących zasady udzielania i organizację pomocy psychologiczno-pedagogicznej – zarówno tego obowiązującego w dacie zdarzenia, jak też wydania wyroku. Sąd podkreślił zarazem zasadę dobrowolności korzystania z pomocy psychologicznej, przewidzianą w tych aktach normatywnych.

Jednocześnie należy zauważyć, że - jak wskazał Sąd I instancji - GIODO w toku postępowania pominął uwagi zawarte w piśmie Opolskiego Kuratora Oświaty z dnia 18 marca 2011 r., adresowanym do M. P. W korespondencji tej Kurator poinformował skarżącego o uznaniu za zasadną jego skargi na działalność dyrektora i nauczycieli szkoły ze względu na stwierdzone liczne nieprawidłowości w tym zakresie, m.in. odnośnie do zapoznania przez dyrektora osób uczestniczących w zebraniu Rady Rodziców dnia 19 stycznia 2011 r. z pełną dokumentacją sprawy skarżącego oraz dyskutowania z nimi o sprawach będących przedmiotem skargi M. P. Ponadto Kurator zawiadomił Prokuraturę Rejonową w P. o podejrzeniu popełnienia przestępstwa podrabiania lub przerabiania dokumentu w celu użycia go za autentyczny, przekazując organowi ścigania dwie różniące się od siebie wersje protokołu posiedzenia Rady Rodziców z dnia 19 stycznia 2011 r.

W tym kontekście WSA w Warszawie zasadnie zwrócił uwagę na brak dokładnej analizy materiału dowodowego, szczególnie w odniesieniu do wzajemnie niezgodnych oświadczeń Zarządu Stowarzyszenia [...] oraz członka i przewodniczącego Zarządu, jak też członka Komisji Rewizyjnej Stowarzyszenia w przedmiocie komisyjnego niszczenia przez Zarząd Stowarzyszenia dokumentów zawierających dane osobowe skarżącego, czy też ich zwrotu dyrektorowi szkoły. Jakkolwiek bowiem ustalenia Opolskiego Kuratorium Oświaty nie są wiążące dla GIODO, to jednak fakt stwierdzenia przez ten organ szeregu poważnych nieprawidłowości w funkcjonowaniu szkoły już sam w sobie stwarzał potrzebę dokładnego wyjaśnienia przez organ powołany do ochrony danych osobowych kwestii zniszczenia przedmiotowych dokumentów, jak również sposobu zabezpieczenia danych wrażliwych. GIODO w zaskarżonych decyzjach nie uzasadnił, dlaczego wobec rozbieżności w złożonych oświadczeniach za wiarygodne uznał twierdzenia Zarządu Stowarzyszenia, a nie pozostałych osób.

Przechodząc z kolei do podniesionych w skardze kasacyjnej zarzutów naruszenia prawa materialnego należy stwierdzić, że nie są one zasadne. Sąd I instancji w swoich rozważaniach doszedł do prawidłowej konkluzji, że przyjęty przez organ za podstawę rozstrzygnięcia stan faktyczny – nawet pomimo wykazanych uchybień przy jego ustalaniu – nie pozwalał na uznanie za działanie uprawnione omawiania przez Radę Rodziców oraz Zarząd Stowarzyszenia indywidualnych problemów dzieci skarżącego oraz rozpatrywania przez te organy spraw rodziny skarżącego, z ujawnieniem ich danych osobowych.

Należy podkreślić, że powołana wcześniej ustawa o ochronie danych osobowych ustanawia zakaz wszelkiego przetwarzania danych osobowych, które nie jest dozwolone w przypadkach w tej ustawie przewidzianych. W rozpatrywanej sprawie organ błędnie przyjął, że przetwarzanie danych osobowych M. P. i jego małoletnich dzieci przez Radę Rodziców i Zarząd Stowarzyszenia jest dopuszczalne na podstawie art. 23 ust. 1 pkt 2 u.o.d.o., tzn. gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. W ocenie NSA ustawa o systemie oświaty nie przyznaje bowiem wymienionym podmiotom żadnych uprawnień ani nie nakłada na nie obowiązków uzasadniających konieczność przetwarzania danych osobowych.

Powoływany przez stronę skarżącą kasacyjnie art. 34a ustawy o systemie oświaty upoważnia organ prowadzący szkołę jedynie do nadzoru nad jej działalnością w zakresie spraw finansowych i administracyjnych, w tym przestrzegania przepisów dotyczących bezpieczeństwa i higieny pracy pracowników i uczniów. Do wykonywania tego nadzoru stosuje się odpowiednio niektóre przepisy o uprawnieniach nauczycieli sprawujących nadzór pedagogiczny, m.in. art. 33 ust. 3 pkt 2, obejmujący prawo wglądu do prowadzonej przez szkołę dokumentacji dotyczącej przebiegu nauczania, wychowania i opieki oraz organizacji pracy. Odpowiednie stosowanie powołanego przepisu przy wykonywaniu uprawnień nadzorczych organu prowadzącego szkołę oznacza, że organ ten ma dostęp do dokumentacji szkolnej tylko w takim zakresie, jaki jest niezbędny do nadzoru nad sprawami finansowymi i administracyjnymi szkoły.

W ocenie NSA, sprawdzanie stopnia przestrzegania norm bezpieczeństwa i higieny pracy nie wymaga wglądu do danych osobowych uczniów. Należy bowiem odróżnić rozwiązywanie ogólnych problemów o charakterze organizacyjnym od ingerowania w konflikty personalne między poszczególnymi uczniami lub rodzicami.

Analogicznie pod względem dostępu do danych osobowych kształtują się przewidziane w art. 54 ustawy o systemie oświaty uprawnienia rady rodziców do składania wniosków i opinii oraz współdecydowania w ogólnych sprawach dotyczących społeczności szkolnej, do których należy uchwalanie w porozumieniu z radą pedagogiczną programu wychowawczego szkoły i programu profilaktyki oraz opiniowanie programu i harmonogramu poprawy efektywności kształcenia lub wychowania, jak też projektu planu finansowego składanego przez dyrektora szkoły. Analiza treści wymienionego przepisu nie daje podstaw do przyjęcia, że stanowi on podstawę prawną dla rozpatrywania indywidualnych spraw poszczególnych uczniów danej szkoły w jakimkolwiek zakresie, a w konsekwencji przetwarzania ich danych osobowych. Innymi słowy, realizacja określonych w powołanym przepisie uprawnień przez radę rodziców - tak jak w przypadku organu prowadzącego szkołę – nie wymaga dostępu do danych osobowych uczniów.

Jednocześnie należy podkreślić, że powoływany w skardze kasacyjnej art. 54 ust. 1 ustawy o systemie oświaty umożliwia radzie rodziców występowanie do dyrektora i innych organów szkoły z wnioskami i opiniami we wszystkich sprawach szkoły, jednakże z uwagi na ogólny charakter uprawnień tego podmiotu trzeba uznać, że jego wnioski i opinie mogą dotyczyć jedynie kwestii generalnej poprawy sytuacji w szkole.

Podsumowując powyższe uwagi NSA pragnie zauważyć, że w pełni zasługuje na poparcie stanowisko Sądu I instancji, zgodnie z którym sprawy wychowawcze poszczególnych uczniów należy omawiać w zamkniętym gronie nauczycieli danej szkoły, nie zaś na posiedzeniach organu prowadzącego szkolę lub rady rodziców, bowiem działanie takie nie znajduje oparcia w przepisach prawa, a bezprawne udostępnianie osobom nieupoważnionym danych osobowych małoletnich dzieci może wywołać szczególnie dotkliwe skutki z perspektywy ich procesu wychowawczego.

Z uwagi na to Generalny Inspektor Ochrony Danych Osobowych rozpatrując sprawę ponownie uwzględni wytyczne zawarte w wyroku Sądu I instancji, mając na względzie szczególną wagę społeczną występujących w niniejszej sprawie zagadnień.

W tej sytuacji NSA działając na podstawie art. 184 p.p.s.a. oddalił skargę kasacyjną.