{\rtf1\ansi\ansicpg1252 \deff0{\fonttbl{\f0\froman\fcharset0 Times New Roman;}{\f1\froman\fcharset0 Helvetica;}{\f2\froman\fcharset0 Arial;}{\f3\froman\fcharset0 unknown;}} {\colortbl\red0\green0\blue0;\red255\green255\blue255;\red192\green192\blue192;} {\stylesheet {\style\s1 \ql\fi0\li0\ri0\f2\fs32\b\cf0 heading 1;} {\style\s2 \ql\fi0\li0\ri0\f2\fs28\b\i\cf0 heading 2;} {\style\s3 \ql\fi0\li0\ri0\f2\fs26\b\cf0 heading 3;} {\style\s0 \ql\fi0\li0\ri0\f2\fs24\cf0 Normal;} } {\*\listtable } {\*\listoverridetable } {\info} \paperw11907\paperh16840\margl1440\margr1120\margt1720\margb1440 {\footer \pard\plain\s0\ql\fi0\li0\ri0\plain\f0 2026-04-13 02:58\par }{\header \trowd \trftsWidth3\trwWidth9347\trqc\trgaph10\trpaddl0\trpaddr0\trpaddfl3\trpaddfr3 \clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrt\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth7630 \cellx7630\clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrt\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth1716 \cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f0 Centralna Baza Orzecze\u324? S\u261?d\u243?w Administracyjnych \cell\pard\plain\intbl\s0\qr\fi0\li0\ri0\plain\f0 Str \f3{\field{\*\fldinst PAGE}{\fldrslt }}\f0 / \f3{\field{\*\fldinst NUMPAGES \\* Arabic}{\fldrslt 1 }} \cell \trowd \trftsWidth3\trwWidth9347\trqc\trgaph10\trpaddl0\trpaddr0\trpaddfl3\trpaddfr3 \clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrt\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth7630 \cellx7630\clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrt\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth1716 \cellx9346\row \pard}\pgwsxn11907\pghsxn16840 \marglsxn1440\margrsxn1120\margtsxn1720\margbsxn1440\pard\plain\s0\fi0\li0\ri0\plain\f1\fs24\b III OSK 6801/21 - Wyrok\b0\par \par\trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw30\brdrcf0 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw30\brdrcf0 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Data orzeczenia\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 2025-02-07 \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw30\brdrcf0 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw30\brdrcf0 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Data wp\u322?ywu\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 2021-09-29 \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b S\u261?d\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Naczelny S\u261?d Administracyjny \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b S\u281?dziowie\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Hanna Knysiak - Sudyka /sprawozdawca/ \par Olga \u379?urawska - Matusiak \par Wojciech Jakimowicz /przewodnicz\u261?cy/ \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Symbol z opisem\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 647 Sprawy zwi\u261?zane z ochron\u261? danych osobowych \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Has\u322?a tematyczne\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Ochrona danych osobowych \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Sygn. powi\u261?zane\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 II SA/Wa 2129/20 \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Skar\u380?ony organ\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Generalny Inspektor Ochrony Danych Osobowych \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Tre\u347?\u263? wyniku\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Oddalono skarg\u281? kasacyjn\u261? \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Powo\u322?ane przepisy\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Dz.U. 2019 nr 0 poz 2167; art. 1 par 2; Ustawa z dnia 25 lipca 2002 r. Prawo o ustroju s\u261?d\u243?w administracyjnych - tekst jedn. \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth9346 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Sentencja\b0 \par\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs22 Naczelny S\u261?d Administracyjny w sk\u322?adzie: Przewodnicz\u261?cy: s\u281?dzia NSA Wojciech Jakimowicz S\u281?dziowie: s\u281?dzia NSA Olga \u379?urawska-Matusiak s\u281?dzia del. WSA Hanna Knysiak-Sudyka (spr.) Protokolant: asystent s\u281?dziego Aleksandra Kraus po rozpoznaniu w dniu 7 lutego 2025 r. na rozprawie w Izbie Og\u243?lnoadministracyjnej skargi kasacyjnej Szko\u322?y G\u322?\u243?wnej Gospodarstwa Wiejskiego w Warszawie od wyroku Wojew\u243?dzkiego S\u261?du Administracyjnego w Warszawie z dnia 13 maja 2021 r. sygn. akt II SA/Wa 2129/20 w sprawie ze skargi Szko\u322?y G\u322?\u243?wnej Gospodarstwa Wiejskiego w Warszawie na decyzj\u281? Prezesa Urz\u281?du Ochrony Danych Osobowych z dnia 21 sierpnia 2020 r., nr ZSO\u346?S.421.25.2019.88353 w przedmiocie przetwarzania danych osobowych 1. oddala skarg\u281? kasacyjn\u261?; 2. zas\u261?dza od Szko\u322?y G\u322?\u243?wnej Gospodarstwa Wiejskiego w Warszawie na rzecz Prezesa Urz\u281?du Ochrony Danych Osobowych kwot\u281? 2700 (dwa tysi\u261?ce siedemset) z\u322?otych tytu\u322?em zwrotu koszt\u243?w post\u281?powania kasacyjnego. \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth9346 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth9346 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Uzasadnienie\b0 \par\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs22 Wojew\u243?dzki S\u261?d Administracyjny w Warszawie wyrokiem z dnia 13 maja 2021 r. sygn. akt II SA/Wa 2129/20 oddali\u322? skarg\u281? Szko\u322?y G\u322?\u243?wnej Gospodarstwa Wiejskiego w Warszawie na decyzj\u281? Prezesa Urz\u281?du Ochrony Danych Osobowych z dnia [...] r. nr [...] w przedmiocie przetwarzania danych osobowych. \par \par Wyrok zapad\u322? w nast\u281?puj\u261?cym stanie faktycznym i prawnym sprawy. \par \par Prezes Urz\u281?du Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") decyzj\u261? z [...] r. nr [...], dzia\u322?aj\u261?c na podstawie art. 104 \u167? 1 ustawy z dnia 14 czerwca 1960 r. Kodeks post\u281?powania administracyjnego (Dz. U. z 2020 r. poz. 256 z p\u243?\u378?n. zm., zwana dalej: "k.p.a."), art. 7 ust. 1, art. 60, art. 102 ust. 1 i ust. 3 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz art. 57 ust. 1 lit. a, art. 58 ust. 2 lit. d oraz lit. i w zw. z art. 5 ust. 1 lit. e i lit. f, art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 lit. b. i lit. d, art. 32 ust. 2, art. 38 ust. 1, art. 39 ust. 1 lit. b i art. 39 ust. 2, art. 30 ust. 1 lit. d, i art. 83 ust. 1 - 3, art. 83 ust. 4 lit. a i art. 83 ust. 5 lit. a rozporz\u261?dzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony os\u243?b fizycznych w zwi\u261?zku z przetwarzaniem danych osobowych i w sprawie swobodnego przep\u322?ywu takich danych oraz uchylenia dyrektywy 95/46/WE (og\u243?lne rozporz\u261?dzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm., zwane dalej: "rozporz\u261?dzenie 2016/679") stwierdzi\u322? naruszenie przez skar\u380?\u261?c\u261? przepis\u243?w art. 5 ust. 1 lit. e, art. 5 ust. 1 lit. f, art. 5 ust. 2, art. 25 ust. 1, art. 32 ust. 1 lit. b, art. 32 ust. 1 lit. d, art. 32 ust. 2, art. 38 ust. 1, art. 39 ust. 1 lit. b i art. 39 ust. 2 rozporz\u261?dzenia RODO i na\u322?o\u380?y\u322? na skar\u380?\u261?c\u261? kar\u281? pieni\u281?\u380?n\u261? w wysoko\u347?ci 50.000 z\u322? oraz w pozosta\u322?ym zakresie post\u281?powanie umorzy\u322?. \par \par W uzasadnieniu tej decyzji organ poda\u322?, \u380?e Szko\u322?a G\u322?\u243?wna Gospodarstwa Wiejskiego w Warszawie (dalej: "SGGW") dokona\u322?a zg\u322?oszenia Prezesowi Urz\u281?du Ochrony Danych osobowych faktu naruszenia ochrony danych osobowych kandydat\u243?w na studia w SGGW. \par \par Od 19 listopada do 29 listopada 2019 r. dokonano czynno\u347?ci kontrolnych w Szkole G\u322?\u243?wnej Gospodarstwa Wiejskiego w Warszawie. Zakresem kontroli obj\u281?to przetwarzanie przez Szko\u322?\u281? G\u322?\u243?wn\u261? Gospodarstwa Wiejskiego w Warszawie danych osobowych os\u243?b, kt\u243?rych dotyczy naruszenie ochrony danych osobowych, zg\u322?oszone Prezesowi Urz\u281?du Ochrony Danych Osobowych. \par \par Stan faktyczny ustalony podczas kontroli szczeg\u243?\u322?owo opisano w protokole kontroli, kt\u243?ry zosta\u322? podpisany przez rektora SGGW. \par \par Na podstawie zgromadzonego w sprawie materia\u322?u dowodowego ustalono, \u380?e w procesie przetwarzania danych osobowych kandydat\u243?w na studia w SGGW Uczelnia jako administrator naruszy\u322?a przepisy o ochronie danych osobowych. Naruszenie przepis\u243?w polega\u322?o na: \par \par 1) dokonaniu w spos\u243?b niewystarczaj\u261?cy przez administratora oceny skuteczno\u347?ci \u347?rodk\u243?w technicznych i organizacyjnych maj\u261?cych zapewni\u263? bezpiecze\u324?stwo przetwarzania danych osobowych kandydat\u243?w, co stanowi naruszenie art. 5 ust. 1 lit. e, art. 5 ust. 1 lit. f, art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 lit. b, art. 32 ust. 1 lit. d, art. 32 ust. 2 i art. 38 ust. 1 rozporz\u261?dzenia 2016/679; \par \par 2) nieuwzgl\u281?dnianiu w spos\u243?b wystarczaj\u261?cy przez administratora, przy korzystaniu z systemu s\u322?u\u380?\u261?cego do przetwarzania danych osobowych kandydat\u243?w, zasady rozliczalno\u347?ci, co stanowi naruszenie art. 5 ust. 2 rozporz\u261?dzenia 2016/679; \par \par 3) wype\u322?nianiu przez inspektora ochrony danych zada\u324? bez nale\u380?ytego uwzgl\u281?dnienia ryzyka zwi\u261?zanego z operacjami przetwarzania, co stanowi naruszenie art. 24 ust. 1, art. 32 ust. 1, art. 32 ust. 2, art. 38 ust. 1, art. 39 ust. 1 lit. b i art. 39 ust. 2 rozporz\u261?dzenia 2016/679; \par \par 4) nieuwzgl\u281?dnieniu w prowadzonym w SGGW rejestrze czynno\u347?ci przetwarzania danych osobowych, w zakresie czynno\u347?ci przetwarzania danych osobowych kandydat\u243?w na studia pierwszego, drugiego stopnia i jednolitych studi\u243?w magisterskich w SGGW wszystkich wymaganych przepisami rozporz\u261?dzenia 2016/679 informacji, co stanowi naruszenie art. 30 ust. 1 lit. d rozporz\u261?dzenia 2016/679. \par \par Ustalono, \u380?e naruszenie ochrony danych osobowych kandydat\u243?w na studia w SGGW, kt\u243?re mia\u322?o miejsce 5 listopada 2019 r., zwi\u261?zane by\u322?o z kradzie\u380?\u261? przeno\u347?nego prywatnego komputera pracownika SGGW dr. hab. A. G. - adiunkta w Katedrze [...] SGGW, pe\u322?ni\u261?cego r\u243?wnie\u380? funkcj\u281? sekretarza [...] SGGW. Skradziony laptop by\u322? u\u380?ywany przez tego pracownika do cel\u243?w prywatnych i s\u322?u\u380?bowych, w tym r\u243?wnie\u380? do przetwarzania danych osobowych kandydat\u243?w na studia w SGGW na potrzeby czynno\u347?ci rekrutacyjnych w ramach pe\u322?nionej funkcji sekretarza [...]. Z Systemu Obs\u322?ugi Kandydat\u243?w s\u322?u\u380?\u261?cego do przetwarzania danych osobowych kandydat\u243?w na studia I i II stopnia oraz jednolitych studi\u243?w magisterskich (zwanym dalej tak\u380?e: "SOK") za pomoc\u261? zaimplementowanej w nim funkcjonalno\u347?ci, importowa\u322? na sw\u243?j prywatny komputer zestawy danych osobowych, obejmuj\u261?cych m.in. imi\u281?, nazwisko, nazwisko rodowe, imiona rodzic\u243?w, numer identyfikacyjny PESEL, p\u322?e\u263?, narodowo\u347?\u263?, obywatelstwo, adres zamieszkania, seri\u281? i numer dowodu osobistego b\u261?d\u378? innego dokumentu to\u380?samo\u347?ci, w tym paszportu, numer telefonu kom\u243?rkowego i/lub stacjonarnego, informacje o dotychczasowym wykszta\u322?ceniu, informacje o kwalifikacji na studia. Uczelnia, b\u281?d\u261?ca administratorem tych danych osobowych, nie posiada\u322?a informacji o tym fakcie. Operacja ta r\u243?wnie\u380? nie by\u322?a rejestrowana w SOK. Dr hab. A. G. pobrane zestawy danych przygotowywa\u322? do kwalifikacji poprzez ich odpowiednie filtrowanie w arkuszu kalkulacyjnym wed\u322?ug odpowiednich kryteri\u243?w kwalifikacyjnych, kt\u243?re s\u261? okre\u347?lone dla poszczeg\u243?lnych kierunk\u243?w studi\u243?w, a nast\u281?pnie przedstawia\u322? na spotkaniu kwalifikacyjnym komisji rekrutacyjnej. Na podstawie pobranych zestaw\u243?w danych osobowych pan dr hab. A. G. sporz\u261?dza\u322? r\u243?wnie\u380? raporty ko\u324?cowe z zestawieniami statystycznymi wed\u322?ug wybranych kryteri\u243?w. Na skradzionym komputerze mia\u322? za\u322?o\u380?ony katalog z rekrutacj\u261? na konkretny rok, w kt\u243?rym przechowywa\u322? r\u243?\u380?ne pliki raportowo-bazowe, a tak\u380?e inne dokumenty, jak np. odpowiedzi na pisma w sprawach zwi\u261?zanych z rekrutacj\u261?. \par \par Naruszenie ochrony danych osobowych dotyczy kandydat\u243?w na studia w SGGW z okresu ostatnich 5 lat i z przeprowadzonych przez Uczelni\u281? oblicze\u324? wynika, \u380?e obejmuje 81 624 rekordy (wpisy) w Systemie Obs\u322?ugi Kandydat\u243?w. \par \par W zwi\u261?zku z powy\u380?szym, pismem z 19 marca 2020 r. Prezes UODO wszcz\u261?\u322? z urz\u281?du post\u281?powanie administracyjne w zakresie stwierdzonych uchybie\u324?, w celu ustalenia zgodno\u347?ci przetwarzania danych osobowych kandydat\u243?w na studia w SGGW z przepisami o ochronie danych osobowych. \par \par W odpowiedzi na zawiadomienie o wszcz\u281?ciu post\u281?powania administracyjnego Rektor SGGW z\u322?o\u380?y\u322? wyja\u347?nienia i podj\u261?\u322? polemik\u281? z ustaleniami i ocenami organu. \par \par Organ po zapoznaniu si\u281? z tymi wyja\u347?nieniami i rozwa\u380?eniu ca\u322?ego zgromadzonego materia\u322?u dowodowego uzna\u322? jednak, \u380?e Uczelnia w spos\u243?b niewystarczaj\u261?cy dokonywa\u322?a oceny skuteczno\u347?ci \u347?rodk\u243?w technicznych i organizacyjnych maj\u261?cych zapewni\u263? bezpiecze\u324?stwo przetwarzania danych osobowych kandydat\u243?w na studia, co stanowi naruszenie art. 5 ust. 1 lit. e, art. 5 ust. 1 lit. f, art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 lit. b, art. 32 ust. 1 lit. d, art. 32 ust. 2 i art. 38 ust. 1 rozporz\u261?dzenia 2016/679, w tym nie uwzgl\u281?dnia\u322?a w spos\u243?b wystarczaj\u261?cy zasady rozliczalno\u347?ci korzystaj\u261?c z systemu informatycznego s\u322?u\u380?\u261?cego do przetwarzania danych osobowych kandydat\u243?w na studia, co stanowi naruszenie art. 5 ust. 2 rozporz\u261?dzenia 2016/679. \par \par Prezes Urz\u281?du Ochrony Danych Osobowych, korzystaj\u261?c z przys\u322?uguj\u261?cego mu uprawnienia okre\u347?lonego w art. 58 ust. 2 lit. i rozporz\u261?dzenia 2016/679, zgodnie z kt\u243?rym ka\u380?demu organowi nadzorczemu przys\u322?uguje uprawnienie do zastosowania, opr\u243?cz lub zamiast innych \u347?rodk\u243?w naprawczych przewidzianych w art. 58 ust. 2 lit. a-h oraz lit. j tego rozporz\u261?dzenia, administracyjnej kary pieni\u281?\u380?nej na mocy art. 83 rozporz\u261?dzenia 2016/679, maj\u261?c na wzgl\u281?dzie okoliczno\u347?ci ustalone w post\u281?powaniu stwierdzi\u322?, \u380?e w rozpatrywanej sprawie zaistnia\u322?y przes\u322?anki uzasadniaj\u261?ce na\u322?o\u380?enie na Uczelni\u281? administracyjnej kary pieni\u281?\u380?nej. \par \par Na powy\u380?sz\u261? decyzj\u281? Szko\u322?a G\u322?\u243?wna Gospodarstwa Wiejskiego w Warszawie wnios\u322?a skarg\u281? do Wojew\u243?dzkiego S\u261?du Administracyjnego w Warszawie. \par \par Prezes Urz\u281?du Ochrony Danych Osobowych w odpowiedzi na skarg\u281? wni\u243?s\u322? o jej oddalenie. \par \par Wojew\u243?dzki S\u261?d Administracyjny w Warszawie w powo\u322?anym wy\u380?ej wyroku oddali\u322? skarg\u281? Szko\u322?y G\u322?\u243?wnej Gospodarstwa Wiejskiego w Warszawie uznaj\u261?c, \u380?e zaskar\u380?ona decyzja zosta\u322?a wydana zgodnie z prawem. \par \par Uzasadniaj\u261?c swoje stanowisko S\u261?d pierwszej instancji wskaza\u322?, \u380?e podstawowy zarzut skargi sprowadza si\u281? do nieuznania przez organ A. G. za administratora danych osobowych i przypisanie narusze\u324? przepis\u243?w rozporz\u261?dzenia RODO w zwi\u261?zku z przetwarzaniem danych kandydat\u243?w na studia w SGGW tej Uczelni, a nie A. G. Zdaniem skar\u380?\u261?cej Uczelni, A. G., ze wzgl\u281?du na przechowywanie danych osobowych w swoim prywatnym komputerze, bez zgody i wiedzy Uczelni sta\u322? si\u281? faktycznie odr\u281?bnym, samodzielnym administratorem tych danych. W ocenie S\u261?du zarzuty s\u261? nieuzasadnione. \par \par Wojew\u243?dzki S\u261?d Administracyjny w Warszawie podkre\u347?li\u322?, \u380?e z okoliczno\u347?ci sprawy wynika, \u380?e dr hab. A. G. w dniu 5 listopada 2019 r., kiedy dosz\u322?o do kradzie\u380?y jego przeno\u347?nego prywatnego komputera, nie by\u322? podmiotem, kt\u243?ry samodzielnie ustala\u322? cele i sposoby przetwarzania danych osobowych kandydat\u243?w na studia w SGGW oraz samodzielnie wykonywa\u322? czynno\u347?ci przetwarzania, poniewa\u380? by\u322? pracownikiem tej Uczelni (adiunktem w Katedrze [...] SGGW i pe\u322?ni\u322? funkcj\u281? sekretarza [...] SGGW). Zajmowa\u322? si\u281? przetwarzaniem danych osobowych jako osoba zaanga\u380?owana przez Uczelni\u281? w proces przetwarzania danych osobowych, w ramach rekrutacji kandydat\u243?w na studia na tej Uczelni. By\u322? zatem niew\u261?tpliwie osob\u261? dzia\u322?aj\u261?c\u261? w warunkach zale\u380?no\u347?ci (podporz\u261?dkowania) pracodawcy (SGGW), wynikaj\u261?cej ze stosunku pracy \u322?\u261?cz\u261?cego go z t\u261? Uczelni\u261?. \par \par S\u261?d pierwszej instancji wskaza\u322?, \u380?e nale\u380?y podkre\u347?li\u263?, \u380?e z istoty stosunku pracy wynika, \u380?e w stosunkach zewn\u281?trznych pracownik nie wyst\u281?puje jako odr\u281?bny podmiot prawa (z wyj\u261?tkiem, gdy wchodzi w gr\u281? jego osobista odpowiedzialno\u347?\u263? typu karnego czy odpowiedzialno\u347?\u263? za wykroczenia). Z punktu widzenia prawa jego dzia\u322?ania s\u261? dzia\u322?aniami pracodawcy i pracodawca ponosi za nie odpowiedzialno\u347?\u263?, zachowuj\u261?c w stosunku do pracownika regres w postaci mo\u380?liwo\u347?ci egzekwowania od niego odpowiedzialno\u347?ci odszkodowawczej, porz\u261?dkowej lub dyscyplinarnej. \par \par Zdaniem Wojew\u243?dzkiego S\u261?du Administracyjnego w Warszawie nie zmienia tej sytuacji prawnej dzia\u322?anie naruszaj\u261?ce czy wykraczaj\u261?ce poza zakres powierzonych mu przez pracodawc\u281? zada\u324? i obowi\u261?zk\u243?w pracowniczych (w tym przypadku polegaj\u261?cych na przetwarzaniu danych kandydat\u243?w na studia). W\u243?wczas dalej mamy do czynienia z dzia\u322?aniem pracownika (naruszaj\u261?cego swoje obowi\u261?zki pracownicze), podlegaj\u261?cym jednak zarachowaniu na rzecz pracodawcy, a nie z samodzielnym dzia\u322?aniem osoby, kt\u243?ra wykracza w ten spos\u243?b poza sw\u243?j status pracowniczy. \par \par S\u261?d pierwszej instancji uzna\u322?, \u380?e nie ulega zatem w\u261?tpliwo\u347?ci, \u380?e w rozpatrywanym przypadku administratorem danych osobowych by\u322?a SGGW, a nie jej pracownik, dr hab. A. G. W konsekwencji, wbrew zapatrywaniu skar\u380?\u261?cej Uczelni, nie ponosi on odpowiedzialno\u347?ci administracyjnej za naruszenie przepis\u243?w rozporz\u261?dzenia RODO. \par \par Zdaniem Wojew\u243?dzkiego S\u261?du Administracyjnego w Warszawie Prezes Urz\u281?du Ochrony Danych Osobowych prawid\u322?owo stwierdzi\u322?, \u380?e SGGW w zwi\u261?zku z przetwarzaniem danych osobowych kandydat\u243?w na studia naruszy\u322?a art. 5 ust. 1 lit. e, art. 5 ust. 1 lit. f, art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 lit. b, art. 32 ust. 1 lit. d, art. 32 ust. 2 i art. 38 ust. 1, art. 39 ust. 1 lit. b i art. 39 ust. 2 rozporz\u261?dzenia 2016/679. \par \par Z obszernego materia\u322?u dowodowego bardzo szeroko zaprezentowanego w uzasadnieniu zaskar\u380?onej decyzji wynika zdaniem S\u261?du, \u380?e skar\u380?\u261?ca Uczelnia dopu\u347?ci\u322?a si\u281? naruszenia tych zasad, staraj\u261?c si\u281? przerzuci\u263? odpowiedzialno\u347?\u263? za te naruszenia na swojego pracownika, pomijaj\u261?c sw\u243?j udzia\u322? w powstaniu narusze\u324?, polegaj\u261?cy zar\u243?wno na niedope\u322?nieniu swoich obowi\u261?zk\u243?w pracodawcy w zakresie kontroli pracy pracownika, jak i niedope\u322?nieniu obowi\u261?zk\u243?w administratora danych osobowych, okre\u347?lonych w rozporz\u261?dzeniu RODO. \par \par Wojew\u243?dzki S\u261?d Administracyjny w Warszawie podzieli\u322? zapatrywanie organu, \u380?e Uczelnia jako administrator danych osobowych kandydat\u243?w na studia w spos\u243?b niewystarczaj\u261?cy dokonywa\u322?a oceny skuteczno\u347?ci \u347?rodk\u243?w technicznych i organizacyjnych maj\u261?cych zapewni\u263? bezpiecze\u324?stwo przetwarzania tych danych i w ten spos\u243?b naruszy\u322?a art. 5 ust. 1 lit. e, art. 5 ust. 1 lit. f, art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 lit. b, art. 32 ust. 1 lit. d, art. 32 ust. 2 i art. 38 ust. 1 oraz art. 5 ust. 2 rozporz\u261?dzenia 2016/679. \par \par S\u261?d pierwszej instancji podkre\u347?li\u322?, \u380?e Uczelnia ograniczy\u322?a si\u281? do odebrania od dra hab. A. G. o\u347?wiadczenia o zachowaniu danych osobowych w tajemnicy i o zapoznaniu si\u281? z zasadami przetwarzania danych osobowych. Maj\u261?c \u347?wiadomo\u347?\u263? istnienia technicznej mo\u380?liwo\u347?ci przetwarzania, polegaj\u261?cej na eksportowaniu na zewn\u281?trzny no\u347?nik danych osobowych z systemu SOK, nie kontrolowa\u322?a jednak w spos\u243?b dostateczny procesu przetwarzania przez niego danych osobowych w zwi\u261?zku z czynno\u347?ciami podejmowanymi, nie weryfikowa\u322?a prawid\u322?owo\u347?ci przetwarzania przez pracownika tych danych. \u346?wiadczy o tym to, \u380?e nie posiada\u322?a wiedzy o mo\u380?liwo\u347?ci pobierania danych z SOK bez rejestrowania tego procesu w systemie informatycznym oraz o tym, \u380?e jej pracownik dr hab. A. G. z SOK importowa\u322? na sw\u243?j prywatny komputer zestawy danych osobowych kandydat\u243?w na studia z okresu ostatnich 5 lat, a wi\u281?c przetwarza\u322? je poza przewidziany okres 3 miesi\u281?cy, poza zakresem upowa\u380?nienia oraz gromadzi\u322? poza obszarem przetwarzania (upowa\u380?nienie nie obejmowa\u322?o zapisywania i przechowywania danych osobowych na prywatnym komputerze i wynoszeniu ich poza teren SGGW). \par \par Z okoliczno\u347?ci sprawy wynika, \u380?e skar\u380?\u261?ca Uczelnia nie dokona\u322?a oceny ryzyka w zakresie mo\u380?liwo\u347?ci naruszenia zasady poufno\u347?ci danych osobowych czy zasady ograniczenia przechowywania danych (art. 5 ust. 1 lit. f i lit. e rozporz\u261?dzenia), wynikaj\u261?cego z zagro\u380?enia, jakim jest mo\u380?liwo\u347?\u263? eksportowania z systemu SOK danych osobowych kandydat\u243?w na studia w SGGW na no\u347?nik zewn\u281?trzny. SGGW nie wykaza\u322?a, zgodnie z zasad\u261? rozliczalno\u347?ci, aby administrator danych osobowych dokona\u322? analizy ryzyka zwi\u261?zanego z przetwarzaniem danych osobowych kandydat\u243?w na studia w SGGW oraz nadzorowa\u322? przestrzeganie przez dr hab. A. G. zasad dotycz\u261?cych przetwarzania danych osobowych, okre\u347?lonych w przepisach prawa powszechnie obowi\u261?zuj\u261?cego oraz w Polityce Bezpiecze\u324?stwa, Instrukcji Zarz\u261?dzania Systemem Informatycznym s\u322?u\u380?\u261?cym do przetwarzania danych. Inspektor danych osobowych nie by\u322? anga\u380?owany w proces rekrutacji na studia, nie by\u322? w\u322?\u261?czany przez administratora w sprawy dotycz\u261?ce ochrony danych osobowych w zakresie podejmowanych rozwi\u261?za\u324? technicznych w ramach funkcjonowania SOK (art. 38 ust. 1), a wykonuj\u261?c swoje zadania nie uwzgl\u281?dni\u322? ryzyka zwi\u261?zanego z operacjami przetwarzania danych, co stanowi o naruszeniu przez Uczelni\u281?, jako administratora danych, art. 24 ust. 1, art. 32 ust. 1, art. 32 ust. 2, art. 38 ust. 1, art. 39 ust. 1 lit. b i art. 39 ust. 2 rozporz\u261?dzenia 2016/679. Mo\u380?na doda\u263?, \u380?e dr hab. A. G., mimo \u380?e by\u322? zaanga\u380?owany w proces przetwarzania danych osobowych na Uczelni podczas rekrutacji kandydat\u243?w na studia, nie uczestniczy\u322? w szkoleniu dotycz\u261?cym ochrony danych osobowych w procesie przetwarzania. \par \par Z tych wzgl\u281?d\u243?w prawnych wyja\u347?nienia Uczelni, \u380?e ze swej strony dok\u322?ada\u322?a stara\u324? w zakresie przestrzegania zasad przetwarzania danych osobowych kandydat\u243?w na studia nie mog\u322?y mie\u263? istotnego znaczenia przy podj\u281?ciu decyzji o na\u322?o\u380?eniu kary. \par \par Zdaniem S\u261?du pierwszej instancji Prezes Urz\u281?du Ochrony Danych Osobowych ustalaj\u261?c wysoko\u347?\u263? kary za nieprawid\u322?owe przetwarzanie danych osobowych uwzgl\u281?dni\u322? okoliczno\u347?ci wymienione w art. 83 ust. 2 rozporz\u261?dzenia, takie jak: charakter, wag\u281? i czas trwania naruszenia (5 lat), kategorie danych osobowych, kt\u243?rych dotyczy\u322?o naruszenie; liczb\u281? poszkodowanych os\u243?b (100 000), rozmiar poniesionej przez nie szkody; wysoki stopie\u324? odpowiedzialno\u347?ci administratora, kt\u243?ry w procesie przetwarzania danych nie stosowa\u322? podstawowych zasad dotycz\u261?cych przetwarzania danych osobowych, okre\u347?lonych w rozporz\u261?dzeniu, ale tak\u380?e okoliczno\u347?ci \u322?agodz\u261?ce, maj\u261?ce wp\u322?yw na wymiar kary, takie jak podj\u281?cie przez Uczelni\u281? mo\u380?liwych dzia\u322?a\u324? maj\u261?cych na celu usuniecie naruszenia, dobr\u261? wsp\u243?\u322?prac\u281? Uczelni z organem nadzorczym w trakcie post\u281?powania w celu usuni\u281?cia naruszenia oraz z\u322?agodzenia jego ewentualnych negatywnych skutk\u243?w; fakt, \u380?e Uczelnia nie dopu\u347?ci\u322?a si\u281? uprzednio naruszenia przepis\u243?w rozporz\u261?dzenia. \par \par W niniejszej sprawie Wojew\u243?dzki S\u261?d Administracyjny w Warszawie stwierdzi\u322?, ze zarzuty skargi s\u261? nieuzasadnione i dlatego na podstawie art. 151 ustawy z 30 sierpnia 2002 r. Prawo o post\u281?powaniu przed s\u261?dami administracyjnymi (Dz. U. z 2019 r. poz. 2325 z p\u243?\u378?n. zm., zwana dalej: "p.p.s.a.") orzek\u322? jak w sentencji. \par \par Skarg\u281? kasacyjn\u261? od tego wyroku wnios\u322?a Szko\u322?a G\u322?\u243?wna Gospodarstwa Wiejskiego w Warszawie, zaskar\u380?aj\u261?c wyrok w ca\u322?o\u347?ci i zarzucaj\u261?c mu: \par \par I. naruszenie przez Wojew\u243?dzki S\u261?d Administracyjny w Warszawie przepis\u243?w post\u281?powania: \par \par a) tj. art. 1 \u167? 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju s\u261?d\u243?w administracyjnych (Dz. U. z 2019 r. poz. 2167 z p\u243?\u378?n. zm., zwana dalej: "p.u.s.a."), art. 3 \u167? 1 p.p.s.a. w zw. z art. 145 \u167? 1 pkt 1 lit. c p.p.s.a. w zwi\u261?zku z art. 1, art. 77 \u167? 1 i art. 80 k.p.a. poprzez brak dokonania w I instancji post\u281?powania s\u261?dowoadministracyjnego wyczerpuj\u261?cych i w\u322?asnych ustale\u324? polegaj\u261?cych na zbadaniu stanu faktycznego i jego weryfikacji w oparciu o przes\u322?anki mog\u261?ce prowadzi\u263? do uznania pana dr. hab. A. G. za administratora (w rozumieniu art. 4 ust. 7 rozporz\u261?dzenia 2016/679) zgromadzonych przez niego danych osobowych na prywatnym komputerze w zakresie w jakim okre\u347?la\u322? on bez wiedzy i zgody SGGW cel i spos\u243?b przetwarzania tych danych, a wy\u322?\u261?cznie bezkrytyczne przyj\u281?cie i powielenie tezy organu, i\u380? nie mo\u380?e by\u263? on traktowany jako administrator, poniewa\u380? by\u322? pracownikiem Uczelni, osob\u261? dzia\u322?aj\u261?c\u261? w warunkach zale\u380?no\u347?ci (podporz\u261?dkowania) pracodawcy (SGGW), wynikaj\u261?cej ze stosunku pracy \u322?\u261?cz\u261?cego go z t\u261? Uczelni\u261?; \par \par b) tj. art. 1 \u167? 2 p.u.s.a., art. 3 \u167? 1 p.p.s.a. w zw. z art. 141 \u167? 4 p.p.s.a. - poprzez zaniechanie w uzasadnieniu orzeczenia zamieszczenia oceny i weryfikacji zarzutu skar\u380?\u261?cej Uczelni zawartego w pkt 1 skargi (w tym w szczeg\u243?lno\u347?ci dotycz\u261?cego braku zgromadzenia przez organ jakiegokolwiek materia\u322?u dowodowego w celu oceny pod k\u261?tem przes\u322?anek uznania za administratora w rozumieniu art. 4 ust. 7 rozporz\u261?dzenia 2016/679 pana dr. hab. A. G. wobec bezprawnie przechowywanych przez niego danych osobowych kandydat\u243?w na prywatnym komputerze w zakresie, w jakim okre\u347?la\u322? on bez wiedzy i zgody SGGW cel i spos\u243?b przetwarzania tych danych), \par \par II. naruszenie przez Wojew\u243?dzki S\u261?d Administracyjny w Warszawie w zaskar\u380?onym wyroku przepis\u243?w prawa materialnego, kt\u243?re dotyczy: \par \par a) "art. 145 \u167? 1 pkt 1 lit. p.p.s.a." w zwi\u261?zku z art. 4 ust. 7 rozporz\u261?dzenia 2016/679 (definicja administratora) poprzez jego niew\u322?a\u347?ciwe zastosowanie wobec pana dr. hab. A. G. - adiunkta w Katedrze [...] SGGW, pe\u322?ni\u261?cego r\u243?wnie\u380? funkcj\u281? sekretarza [...] SGGW w zakresie, w jakim bez wiedzy i zgody Szko\u322?y G\u322?\u243?wnej Gospodarstwa Wiejskiego w Warszawie zaimportowa\u322? on na sw\u243?j prywatny komputer zestawy danych osobowych kandydat\u243?w na studia l i II stopnia oraz jednolitych studi\u243?w magisterskich w SGGW w Warszawie z lat 2015-2019 oraz okre\u347?la\u322? on bez wiedzy i zgody SGGW cel i spos\u243?b przetwarzania tych danych; \par \par b) "art. 145 \u167? 1 pkt 1 lit. p.p.s.a." w zwi\u261?zku z art. 5 ust. 1 lit. e rozporz\u261?dzenia 2016/679, statuuj\u261?cego zasad\u281? "ograniczonego przechowywania" poprzez b\u322?\u281?dne przyj\u281?cie, \u380?e skar\u380?\u261?ca przechowywa\u322?a dane przez okres d\u322?u\u380?szy ni\u380? to by\u322?o niezb\u281?dne do cel\u243?w, w kt\u243?rych te dane by\u322?y przetwarzane, podczas gdy SGGW przeanalizowa\u322?a i okre\u347?li\u322?a w\u322?a\u347?ciwy okres przechowywania danych kandydat\u243?w na studia (3 miesi\u261?ce) - co wynika z tre\u347?ci protoko\u322?u kontroli; \par \par c) "art. 145 \u167? 1 pkt 1 lit. p.p.s.a." w zwi\u261?zku z art. 5 ust. 1 lit. f, statuuj\u261?cego zasad\u281? "poufno\u347?ci i integralno\u347?ci" poprzez b\u322?\u281?dne przyj\u281?cie, \u380?e skar\u380?\u261?ca nie zapewni\u322?a odpowiedniego bezpiecze\u324?stwa danych, podczas gdy w toku post\u281?powania kontrolnego SGGW wykaza\u322?a, i\u380? posiada\u322?a stosowne i obowi\u261?zuj\u261?ce w tym czasie regulacje wewn\u281?trzne wprowadzone zarz\u261?dzeniem Rektora Szko\u322?y G\u322?\u243?wnej Gospodarstwa Wiejskiego w Warszawie 88/2013 z 3.12.2013 r. w sprawie Polityki bezpiecze\u324?stwa oraz Instrukcji zarz\u261?dzania systemem informatycznym s\u322?u\u380?\u261?cym do przetwarzania danych, kt\u243?rych przestrzeganie zapewnia\u322?o w wystarczaj\u261?cym stopniu spe\u322?nienie wymogu bezpiecze\u324?stwa i integralno\u347?ci; \par \par d) "art. 145 \u167? 1 pkt 1 lit. p.p.s.a." w zwi\u261?zku z art. 5 ust. 2 poprzez nieuwzgl\u281?dnianie w spos\u243?b wystarczaj\u261?cy, przy korzystaniu z systemu s\u322?u\u380?\u261?cego do przetwarzania danych osobowych kandydat\u243?w, zasady rozliczalno\u347?ci poprzez pomini\u281?cie dowod\u243?w z akt\u243?w normatywnych obowi\u261?zuj\u261?cych w SGGW i innych dowod\u243?w z dokument\u243?w i wyja\u347?nie\u324? z\u322?o\u380?onych w trakcie kontroli prowadzonej przez Prezesa UODO oraz w trakcie post\u281?powania administracyjnego; \par \par e) "art. 145 \u167? 1 pkt 1 lit. p.p.s.a." w zwi\u261?zku z art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 lit. b, art. 32 ust. 1 lit. d, art. 32 ust. 2 i art. 38 ust. 1 rozporz\u261?dzenia 2016/679 poprzez niezasadne przyj\u281?cie, i\u380? Uczelnia w spos\u243?b niewystarczaj\u261?cy dokonywa\u322?a oceny skuteczno\u347?ci \u347?rodk\u243?w technicznych i organizacyjnych maj\u261?cych zapewni\u263? bezpiecze\u324?stwo przetwarzania danych osobowych kandydat\u243?w, podczas gdy z materia\u322?u dowodowego sprawy wynika, \u380?e dzia\u322?ania takie podejmowa\u322?a, a ponadto dzia\u322?ania te nie mog\u261? by\u263? oceniane wy\u322?\u261?cznie przez ich skutek wynikaj\u261?cy z ujawnionego poprzez kradzie\u380? prywatnego komputera zachowania dra hab. A. G. naruszaj\u261?cego owe \u347?rodki techniczne i organizacyjne - co stanowi\u322?o podstaw\u281? do wszcz\u281?cia post\u281?powania wyja\u347?niaj\u261?cego w sprawie ewentualnego pope\u322?nienia przez niego przest\u281?pstwa stypizowanego w art. 107 ustawy z 10 maja 2018 r. o ochronie danych osobowych oraz post\u281?powania wyja\u347?niaj\u261?cego prowadz\u261?cego do odpowiedzialno\u347?ci dyscyplinarnej nauczyciela akademickiego w SGGW; \par \par f) "art. 145 \u167? 1 pkt 1 lit. p.p.s.a." w zwi\u261?zku z art. 39 ust. 1 lit. b i art. 39 ust. 2 poprzez b\u322?\u281?dne przyj\u281?cie, i\u380? to skar\u380?\u261?ca ponosi odpowiedzialno\u347?\u263? za czynno\u347?ci podejmowane przez Inspektora Ochrony Danych Osobowych, podczas gdy odpowiedzialno\u347?\u263? ta nie jest okre\u347?lona w przepisach rozporz\u261?dzenia 2016/679 na zasadzie ryzyka, a na zasadzie winy. \par \par Maj\u261?c powy\u380?sze na uwadze skar\u380?\u261?ca kasacyjnie SGGW wnios\u322?a o uchylenie zaskar\u380?onego wyroku i rozpoznanie skargi przez NSA (art. 188 p.p.s.a.) poprzez uchylenie decyzji Prezesa Urz\u281?du Ochrony Danych Osobowych z 21 sierpnia 2020 r., wzgl\u281?dnie w przypadku uznania, i\u380? nie zachodz\u261? przes\u322?anki wskazane w art. 188 p.p.s.a., uchylenie zaskar\u380?onego wyroku i przekazanie sprawy do ponownego rozpoznania Wojew\u243?dzkiemu S\u261?dowi Administracyjnemu w Warszawie. Jednocze\u347?nie wnios\u322?a o zas\u261?dzenie koszt\u243?w post\u281?powania, w tym koszt\u243?w zast\u281?pstwa procesowego, a tak\u380?e przeprowadzenie rozprawy w celu rozpoznania skargi kasacyjnej. \par \par Powy\u380?sze zarzuty rozwini\u281?to w uzasadnieniu skargi kasacyjnej. \par \par W odpowiedzi na skarg\u281? kasacyjn\u261? Prezes Urz\u281?du Ochrony Danych Osobowych wni\u243?s\u322? o jej oddalenie. \par \par Naczelny S\u261?d Administracyjny zwa\u380?y\u322?, co nast\u281?puje: \par \par Zgodnie z art. 183 \u167? 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o post\u281?powaniu przed s\u261?dami administracyjnymi (t.j. Dz.U. z 2024 r., poz. 935; dalej "p.p.s.a.") Naczelny S\u261?d Administracyjny rozpoznaje spraw\u281? w granicach skargi kasacyjnej, bierze jednak z urz\u281?du pod rozwag\u281? niewa\u380?no\u347?\u263? post\u281?powania, kt\u243?rej przes\u322?anki okre\u347?lone w \u167? 2 art. 183 p.p.s.a. w rozpoznawanej sprawie nie wyst\u281?puj\u261?. \par \par Zwi\u261?zanie Naczelnego S\u261?du Administracyjnego podstawami skargi kasacyjnej wymaga prawid\u322?owego ich okre\u347?lenia w samej skardze. Nale\u380?y zatem wskaza\u263? konkretne przepisy prawa, kt\u243?rym - zdaniem skar\u380?\u261?cego - uchybi\u322? s\u261?d i zamie\u347?ci\u263? uzasadnienie podstawy kasacyjnej, czyli uzasadni\u263? uchybienia zarzucane s\u261?dowi. \par \par Uzasadnienie podstaw kasacyjnych polega na wykazaniu przez autora skargi kasacyjnej, \u380?e stawiane przez niego zarzuty maj\u261? usprawiedliwion\u261? podstaw\u281? i zas\u322?uguj\u261? na uwzgl\u281?dnienie. Zgodnie z art. 174 p.p.s.a. skarg\u281? kasacyjn\u261? mo\u380?na oprze\u263? na nast\u281?puj\u261?cych podstawach: \par \par 1) naruszeniu prawa materialnego przez b\u322?\u281?dn\u261? jego wyk\u322?adni\u281? lub niew\u322?a\u347?ciwe zastosowanie; \par \par 2) naruszeniu przepis\u243?w post\u281?powania, je\u380?eli uchybienie to mog\u322?o mie\u263? istotny wp\u322?yw na wynik sprawy. \par \par W rozpoznawanej sprawie zarzuty skargi kasacyjnej obejmuj\u261? zar\u243?wno naruszenie prawa materialnego, jak i naruszenie przepis\u243?w post\u281?powania. W tej sytuacji w pierwszej kolejno\u347?ci nale\u380?y rozpozna\u263? zarzuty powi\u261?zane z drug\u261? podstaw\u261? kasacyjn\u261? (art. 174 pkt 2 p.p.s.a.), gdy\u380? zarzuty naruszenia prawa materialnego nale\u380?y rozwa\u380?a\u263? w ustalonym, niew\u261?tpliwym stanie faktycznym sprawy. \par \par Zgodnie z art. 174 pkt 2 p.p.s.a. naruszenie przepis\u243?w post\u281?powania stanowi usprawiedliwion\u261? podstaw\u281? kasacyjn\u261? jedynie wtedy, je\u380?eli uchybienie to mog\u322?o mie\u263? istotny wp\u322?yw na wynik sprawy. Poprzez "istotny wp\u322?yw na wynik sprawy" nale\u380?y rozumie\u263? zwi\u261?zek przyczynowy pomi\u281?dzy uchybieniem procesowym a wydanym w sprawie orzeczeniem. Wykazanie wp\u322?ywu na wynik sprawy sprowadza si\u281? do podania stosownej argumentacji uzasadniaj\u261?cej twierdzenie, \u380?e gdyby nie dosz\u322?o do zarzucanego naruszenia, to w sprawie mog\u322?oby zosta\u263? wydane inne rozstrzygni\u281?cie, ni\u380? kwestionowane skarg\u261? kasacyjn\u261?. \par \par Najdalej id\u261?cym zarzutem skargi kasacyjnej jest zarzut naruszenia art. 1 \u167? 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju s\u261?d\u243?w administracyjnych (t.j. Dz.U. z 2024 r., poz. 1267; dalej: "p.u.s.a."), art. 3 \u167? 1 p.p.s.a. w zwi\u261?zku z art. 141 \u167? 4 p.p.s.a. Zgodnie z art. 1 \u167? 2 p.u.s.a. kontrola, o kt\u243?rej mowa w \u167? 1 tego przepisu, sprawowana jest pod wzgl\u281?dem zgodno\u347?ci z prawem, je\u380?eli ustawy nie stanowi\u261? inaczej. Z kolei art. 3 \u167? 1 p.p.s.a. stanowi, \u380?e s\u261?dy administracyjne sprawuj\u261? kontrol\u281? dzia\u322?alno\u347?ci administracji publicznej i stosuj\u261? \u347?rodki okre\u347?lone w ustawie. Naruszenie powy\u380?szych przepis\u243?w zosta\u322?o powi\u261?zane z naruszeniem art. 141 \u167? 4 p.p.s.a. Nale\u380?y podnie\u347?\u263?, \u380?e zarzut naruszenia art. 141 \u167? 4 p.p.s.a. mo\u380?e by\u263? skutecznie postawiony w dw\u243?ch przypadkach: gdy uzasadnienie wyroku nie zawiera wszystkich element\u243?w, wymienionych w tym przepisie i gdy w ramach przedstawienia stanu sprawy wojew\u243?dzki s\u261?d administracyjny nie wska\u380?e, jaki i dlaczego stan faktyczny przyj\u261?\u322? za podstaw\u281? orzekania. Naruszenie to musi by\u263? przy tym na tyle istotne, aby mog\u322?o mie\u263? wp\u322?yw na wynik sprawy (art. 174 pkt 2 p.p.s.a.). Za jego pomoc\u261? nie mo\u380?na skutecznie zwalcza\u263? prawid\u322?owo\u347?ci przyj\u281?tego przez s\u261?d stanu faktycznego, czy kwestionowa\u263? stanowiska s\u261?du co do wyk\u322?adni b\u261?d\u378? zastosowania prawa materialnego. Przepis art. 141 \u167? 4 p.p.s.a. jest przepisem proceduralnym, reguluj\u261?cym wymogi uzasadnienia. W ramach rozpatrywania zarzutu naruszenia tego przepisu Naczelny S\u261?d Administracyjny zobowi\u261?zany jest jedynie do kontroli zgodno\u347?ci uzasadnienia zaskar\u380?onego wyroku z wymogami wynikaj\u261?cymi z powy\u380?szej normy prawnej. Wadliwo\u347?\u263? uzasadnienia orzeczenia mo\u380?e stanowi\u263? przedmiot skutecznego zarzutu kasacyjnego z art. 141 \u167? 4 p.p.s.a. w sytuacji, gdy sporz\u261?dzone jest ono w taki spos\u243?b, \u380?e niemo\u380?liwa jest kontrola instancyjna zaskar\u380?onego wyroku. \par \par Opisane wy\u380?ej sytuacje nie mia\u322?y miejsca w niniejszej sprawie. Uzasadnienie zaskar\u380?onego wyroku pozwala na poznanie motyw\u243?w rozstrzygni\u281?cia oraz dokonanie kontroli instancyjnej zaskar\u380?onego wyroku. S\u261?d pierwszej instancji uzna\u322?, \u380?e organ w spos\u243?b prawid\u322?owy dokona\u322? ustale\u324? stanu faktycznego sprawy, a fakt, i\u380? skar\u380?\u261?cy kasacyjnie nie godzi si\u281? z tak\u261? ocen\u261? nie przes\u261?dza o zasadno\u347?ci zarzutu naruszenia art. 141 \u167? 4 p.p.s.a. Nale\u380?y podnie\u347?\u263?, \u380?e w post\u281?powaniu administracyjnym zosta\u322?y ustalone wszystkie okoliczno\u347?ci relewantne z punktu widzenia rozstrzygni\u281?cia. S\u261?d administracyjny nie ma natomiast obowi\u261?zku szczeg\u243?\u322?owego odniesienia si\u281? do wszystkich zarzut\u243?w skargi. Uzasadnienie wyroku powinno by\u263? tak sporz\u261?dzone, aby wynika\u322?o z niego, dlaczego s\u261?d uzna\u322? zaskar\u380?one orzeczenie za zgodne lub niezgodne z prawem, dlaczego nie stwierdzi\u322? czy stwierdzi\u322? w rozpatrywanej sprawie naruszenia przez organy administracji przepis\u243?w prawa materialnego, czy te\u380? przepis\u243?w procedury w stopniu, kt\u243?ry m\u243?g\u322?by mie\u263? wp\u322?yw na tre\u347?\u263? rozstrzygni\u281?cia. Powy\u380?sze wymogi zosta\u322?y zrealizowane, st\u261?d omawiany zarzut skargi kasacyjnej nie jest zasadny. W szczeg\u243?lno\u347?ci S\u261?d pierwszej instancji odni\u243?s\u322? si\u281? do kwestii ustalenia podmiotu, kt\u243?ry w niniejszej sprawie jest administratorem danych (rozwa\u380?ania na s. 17 i 18 uzasadnienia zaskar\u380?onego wyroku). Kontrola sprawowana przez S\u261?d pierwszej instancji nie wykroczy\u322?a poza ustawowe kryterium zgodno\u347?ci z prawem. Fakt, i\u380? skar\u380?\u261?ca kasacyjnie nie podziela stanowiska S\u261?du pierwszej instancji w kwestii ustalenia podmiotu b\u281?d\u261?cego administratorem danych nie mo\u380?e przes\u261?dza\u263? o zasadno\u347?ci omawianego zarzutu skargi kasacyjnej. \par \par Nie jest zasadny r\u243?wnie\u380? zarzut naruszenia art. 1 \u167? 2 p.u.s.a., art. 3 \u167? 1 p.p.s.a. w zwi\u261?zku z art. 145 \u167? 1 pkt 1 lit. c p.p.s.a. w zwi\u261?zku z art. 7, art. 77 \u167? 1 i art. 80 k.p.a. Przede wszystkim nale\u380?y podnie\u347?\u263?, \u380?e co do zasady s\u261?d administracyjny orzeka na podstawie materia\u322?u faktycznego i dowodowego sprawy zgromadzonego w post\u281?powaniu przed organami administracji. W post\u281?powaniu przed s\u261?dem administracyjnym post\u281?powanie dowodowe mo\u380?e by\u263? prowadzone tylko jako post\u281?powanie uzupe\u322?niaj\u261?ce, ograniczone do dowod\u243?w z dokument\u243?w (art. 106 \u167? 3 p.p.s.a.). Przeprowadzenie dowodu uzupe\u322?niaj\u261?cego z dokument\u243?w jest mo\u380?liwe, je\u380?eli kumulatywnie spe\u322?nione s\u261? dwa warunki: jest to niezb\u281?dne do wyja\u347?nienia istotnych w\u261?tpliwo\u347?ci i nie spowoduje nadmiernego przed\u322?u\u380?enia post\u281?powania w sprawie. Zakres post\u281?powania dowodowego w post\u281?powaniu s\u261?dowoadministracyjnym jest determinowany podstawow\u261? funkcj\u261? tego post\u281?powania, tj. ocen\u261? z punktu widzenia zgodno\u347?ci z prawem procesu konkretyzacji norm prawa administracyjnego materialnego w okre\u347?lonym stanie faktycznym. Post\u281?powanie dowodowe przed s\u261?dem administracyjnym i w konsekwencji dokonywanie przez ten s\u261?d ustale\u324? faktycznych jest dopuszczalne w zakresie uzasadnionym celami post\u281?powania administracyjnego i powinno umo\u380?liwia\u263? s\u261?dowi dokonywanie ustale\u324?, kt\u243?re b\u281?d\u261? stanowi\u322?y podstaw\u281? oceny zgodno\u347?ci z prawem zaskar\u380?onej decyzji (por. K. Sobieralski, Z problematyki post\u281?powania rozpoznawczego przed s\u261?dem administracyjnym, ST 2002/7\u8211?8, s. 51). Oznacza to, \u380?e s\u261?d administracyjny nie mo\u380?e dokonywa\u263? ustale\u324?, kt\u243?re mog\u322?yby s\u322?u\u380?y\u263? merytorycznemu rozstrzyganiu sprawy za\u322?atwionej w post\u281?powaniu administracyjnym (por. A. Hanusz, Dow\u243?d z dokumentu w post\u281?powaniu przed s\u261?dami administracyjnymi, PiP 2009/2, s. 44; K. Radzikowski, Orzekanie przez s\u261?d administracyjny na podstawie akt sprawy, ZNSA 2009/2, s. 55). Nie jest zatem zasadny zarzut opieraj\u261?cy si\u281? na "braku dokonania w I instancji post\u281?powania s\u261?dowoadministracyjnego wyczerpuj\u261?cych i w\u322?asnych ustale\u324? polegaj\u261?cych na zbadaniu stanu faktycznego i jego weryfikacji", co mia\u322?oby w ocenie skar\u380?\u261?cego kasacyjnie prowadzi\u263? do uznania dra hab. A. G. za administratora danych w rozumieniu art. 4 ust. 7 rozporz\u261?dzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony os\u243?b fizycznych w zwi\u261?zku z przetwarzaniem danych osobowych i w sprawie swobodnego przep\u322?ywu takich danych oraz uchylenia dyrektywy 95/46/WE (og\u243?lne rozporz\u261?dzenie o ochronie danych); Dz.U.UE.L.2016.119.1; dalej: "rozporz\u261?dzenie 2016/697" lub "RODO"). \par \par Je\u347?li z kolei uzna\u263?, \u380?e omawiany zarzut jest nakierowany na kwestionowanie b\u322?\u281?dnego przyj\u281?cia przez S\u261?d pierwszej instancji, i\u380? stan faktyczny sprawy zosta\u322? ustalony przez organ w post\u281?powaniu wyja\u347?niaj\u261?cym w spos\u243?b prawid\u322?owy, to r\u243?wnie\u380? nie jest on zasadny. Trzeba wskaza\u263?, \u380?e nie jest kwestionowana okoliczno\u347?\u263?, na kt\u243?r\u261? powo\u322?uje si\u281? skar\u380?\u261?ca kasacyjnie, i\u380? dr hab. A. G. bez wiedzy i zgody skar\u380?\u261?cej kasacyjnie importowa\u322? na sw\u243?j prywatny komputer i przechowywa\u322? na nim zestawy danych osobowych kandydat\u243?w na studia I i II stopnia oraz jednolitych studi\u243?w magisterskich, poza zakresem nadanego mu upowa\u380?nienia do przetwarzania danych osobowych. Kwesti\u261? zasadnicz\u261? jednak by\u322?o to, czy skar\u380?\u261?ca kasacyjnie w spos\u243?b wystarczaj\u261?cy dokonywa\u322?a oceny skuteczno\u347?ci \u347?rodk\u243?w technicznych i organizacyjnych maj\u261?cych zapewni\u263? bezpiecze\u324?stwo przetwarzania danych. W tym zakresie zosta\u322?y poczynione ustalenia, kt\u243?rych skar\u380?\u261?ca kasacyjnie skutecznie nie zakwestionowa\u322?a, i\u380? od dra hab. A. G. zosta\u322?o odebrane o\u347?wiadczenie o zachowaniu danych osobowych w tajemnicy i o zapoznaniu si\u281? z zasadami przetwarzania danych osobowych. Zasadnicze znaczenie ma okoliczno\u347?\u263?, \u380?e istnia\u322?a techniczna mo\u380?liwo\u347?\u263? przetwarzania polegaj\u261?ca na eksportowaniu danych osobowych z systemu SOK na zewn\u281?trzny no\u347?nik, a strona skar\u380?\u261?ca nie kontrolowa\u322?a w dostateczny spos\u243?b procesu przetwarzania przez pracownika tych danych, gdy\u380? nie posiada\u322?a wiedzy o mo\u380?liwo\u347?ci pobierania danych z SOK bez rejestrowania tego procesu w systemie informatycznym oraz o fakcie importowania danych przez dra hab. A. G. Powy\u380?sze ustalenia \u8211? kt\u243?re nie zosta\u322?y skutecznie zakwestionowane w skardze kasacyjnej - doprowadzi\u322?y do trafnego wniosku, i\u380? skar\u380?\u261?ca kasacyjnie nie dokona\u322?a oceny ryzyka w zakresie mo\u380?liwo\u347?ci naruszenia zasady poufno\u347?ci danych osobowych oraz zasady ograniczenia przechowywania danych (art. 5 ust. 1 lit. f i e rozporz\u261?dzenia 2016/697). Okoliczno\u347?ci, na kt\u243?re powo\u322?uje si\u281? w uzasadnieniu omawianego zarzutu skar\u380?\u261?ca kasacyjnie, nie maj\u261? znaczenia z punktu widzenia podstawy prawnej rozstrzygni\u281?cia, dotycz\u261? bowiem okoliczno\u347?ci zaistnia\u322?ych w p\u243?\u378?niejszym okresie, a ich wyst\u261?pienie nie zmienia oceny prawnej w odniesieniu do ustalonego stanu faktycznego sprawy. \par \par Przechodz\u261?c do oceny zarzut\u243?w naruszenia prawa materialnego nale\u380?y wskaza\u263?, \u380?e zgodnie z art. 4 pkt 7 RODO "administrator" oznacza osob\u281? fizyczn\u261? lub prawn\u261?, organ publiczny, jednostk\u281? lub inny podmiot, kt\u243?ry samodzielnie lub wsp\u243?lnie z innymi ustala cele i sposoby przetwarzania danych osobowych; je\u380?eli cele i sposoby takiego przetwarzania s\u261? okre\u347?lone w prawie Unii lub w prawie pa\u324?stwa cz\u322?onkowskiego, to r\u243?wnie\u380? w prawie Unii lub w prawie pa\u324?stwa cz\u322?onkowskiego mo\u380?e zosta\u263? wyznaczony administrator lub mog\u261? zosta\u263? okre\u347?lone konkretne kryteria jego wyznaczania. Niew\u261?tpliwie dr hab. A. G. nie jest osob\u261? ustalaj\u261?c\u261? cele i sposoby przetwarzania danych osobowych. Administrator jest podmiotem, kt\u243?ry okre\u347?la, dlaczego odbywa si\u281? przetwarzanie (tj. "w jakim celu", "po co") i jak ten cel zostanie osi\u261?gni\u281?ty (tj. jakie \u347?rodki zostan\u261? zastosowane, aby osi\u261?gn\u261?\u263? ten cel). Dla administratora zosta\u322?y zastrze\u380?one takie decyzje, jak: wyb\u243?r danych, jakie b\u281?d\u261? przetwarzane, czas trwania przetwarzania, kategorie odbiorc\u243?w danych, ustalenie, czyje dane osobowe b\u281?d\u261? przetwarzane. Pracownik strony skar\u380?\u261?cej kasacyjnie nie mia\u322? uprawnienia do podejmowania decyzji w wy\u380?ej wskazanych zakresie, nie mo\u380?na zatem uzna\u263? go za administratora danych. Dr hab. A. G. nie posiada\u322? podstaw do przetwarzania danych osobowych, lecz uzyska\u322? do nich dost\u281?p w zakresie udzielonym przez administratora, kt\u243?rym jest strona skar\u380?\u261?ca kasacyjnie. Trzeba te\u380? zaznaczy\u263?, \u380?e nawet je\u347?li podmiot b\u281?d\u261?cy administratorem wyznacza konkretn\u261? osob\u281? fizyczn\u261?, kt\u243?ra odpowiada za zapewnienie zgodno\u347?ci z RODO, a nawet decyduje o celach przetwarzania danych osobowych pod jego kontrol\u261?, nie prowadzi to do uzyskania przez t\u281? osob\u281? przymiotu administratora danych \u8211? w dalszym ci\u261?gu jest nim pierwotny administrator, w imieniu kt\u243?rego dzia\u322?a wyznaczona osoba fizyczna. \par \par Trzeba te\u380? wskaza\u263?, \u380?e art. 32 RODO nak\u322?ada na administratora i podmiot przetwarzaj\u261?cy obowi\u261?zek zabezpieczenia przetwarzanych danych. Zgodnie z art. 32 ust. 4 RODO administrator oraz podmiot przetwarzaj\u261?cy podejmuj\u261? dzia\u322?ania w celu zapewnienia, by ka\u380?da osoba fizyczna dzia\u322?aj\u261?ca z upowa\u380?nienia administratora lub podmiotu przetwarzaj\u261?cego, kt\u243?ra ma dost\u281?p do danych osobowych, przetwarza\u322?a je wy\u322?\u261?cznie na polecenie administratora, chyba \u380?e wymaga tego od niej prawo Unii lub prawo pa\u324?stwa cz\u322?onkowskiego. Odpowiednie zabezpieczenia powinny zosta\u263? wdro\u380?one zar\u243?wno w przypadku przetwarzania danych w spos\u243?b zautomatyzowany (z wykorzystaniem system\u243?w informatycznych), jak i w odniesieniu do przetwarzania danych w spos\u243?b niezautomatyzowany ("r\u281?cznie", w zbiorach danych). Przedmiotem zabezpieczenia s\u261? dane osobowe, natomiast faktycznie zastosowane zabezpieczenia mog\u261? odnosi\u263? si\u281? nie tylko do samych danych, ale tak\u380?e do system\u243?w informatycznych, za pomoc\u261? kt\u243?rych dane s\u261? przetwarzane, jak r\u243?wnie\u380? no\u347?nik\u243?w, na kt\u243?rych dane s\u261? zapisane (por. P. Fajgielski, Komentarz do rozporz\u261?dzenia nr 2016/679 w sprawie ochrony os\u243?b fizycznych w zwi\u261?zku z przetwarzaniem danych osobowych i w sprawie swobodnego przep\u322?ywu takich danych oraz uchylenia dyrektywy 95/46/WE (og\u243?lne rozporz\u261?dzenie o ochronie danych), [w:] Og\u243?lne rozporz\u261?dzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, opublikowano: WKP 2022, teza 8). Trafne jest stanowisko organu, i\u380? administrator musi mie\u263? pe\u322?n\u261? kontrol\u281? nad procesem przetwarzania danych, tak aby zapobiec powstawaniu zdarze\u324? nara\u380?aj\u261?cych dane na udost\u281?pnienie osobom nieupowa\u380?nionym oraz wiedz\u281? na temat ca\u322?o\u347?ci procesu przetwarzania. Administrator odpowiada zatem za czyny swoich pracownik\u243?w w zakresie narusze\u324? w procesie przetwarzania danych osobowych (por. wyrok NSA z 4 kwietnia 2003 r., sygn. akt II SA 2935/02). \par \par Zgodnie z art. 29 RODO podmiot przetwarzaj\u261?cy oraz ka\u380?da osoba dzia\u322?aj\u261?ca z upowa\u380?nienia administratora lub podmiotu przetwarzaj\u261?cego i maj\u261?ca dost\u281?p do danych osobowych przetwarzaj\u261? je wy\u322?\u261?cznie na polecenie administratora, chyba \u380?e wymaga tego prawo Unii lub prawo pa\u324?stwa cz\u322?onkowskiego. Powy\u380?szy przepis w powi\u261?zaniu z art. 32 ust. 4 RODO nak\u322?ada na administratora obowi\u261?zek sprawowania kontroli nad tym kto i w jakim zakresie ma dost\u281?p do danych osobowych oraz na jakich zasadach i w jaki spos\u243?b je przetwarza. Podejmowane przez administratora \u347?rodki powinny s\u322?u\u380?y\u263? w szczeg\u243?lno\u347?ci zapobieganiu nieuprawnionemu wyprowadzaniu danych osobowych i nieuzasadnionej ingerencji w te dane. Zastosowane przez stron\u281? skar\u380?\u261?c\u261? kasacyjnie \u347?rodki by\u322?y niewystarczaj\u261?ce, skoro pracownik by\u322? w stanie pobiera\u263? dane z SOK bez rejestrowania tego procesu w systemie informatycznym oraz o importowa\u263? dane, o czym skar\u380?\u261?ca kasacyjnie nie uzyskiwa\u322?a wiedzy z systemu. \par \par Trafne jest stanowisko S\u261?du pierwszej instancji, \u380?e strona skar\u380?\u261?ca kasacyjnie nie dokona\u322?a w spos\u243?b prawid\u322?owy oceny ryzyka w zakresie mo\u380?liwo\u347?ci naruszenia zasady poufno\u347?ci danych osobowych oraz zasady ograniczenia przechowywania danych (art. 5 ust. 1 lit. e i f RODO). Zgodnie z powy\u380?szymi regulacjami: "Dane osobowe musz\u261? by\u263?: \par \par e) przechowywane w formie umo\u380?liwiaj\u261?cej identyfikacj\u281? osoby, kt\u243?rej dane dotycz\u261?, przez okres nie d\u322?u\u380?szy, ni\u380? jest to niezb\u281?dne do cel\u243?w, w kt\u243?rych dane te s\u261? przetwarzane; dane osobowe mo\u380?na przechowywa\u263? przez okres d\u322?u\u380?szy, o ile b\u281?d\u261? one przetwarzane wy\u322?\u261?cznie do cel\u243?w archiwalnych w interesie publicznym, do cel\u243?w bada\u324? naukowych lub historycznych lub do cel\u243?w statystycznych na mocy art. 89 ust. 1, z zastrze\u380?eniem \u380?e wdro\u380?one zostan\u261? odpowiednie \u347?rodki techniczne i organizacyjne wymagane na mocy niniejszego rozporz\u261?dzenia w celu ochrony praw i wolno\u347?ci os\u243?b, kt\u243?rych dane dotycz\u261? ("ograniczenie przechowywania"); \par \par f) przetwarzane w spos\u243?b zapewniaj\u261?cy odpowiednie bezpiecze\u324?stwo danych osobowych, w tym ochron\u281? przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkow\u261? utrat\u261?, zniszczeniem lub uszkodzeniem, za pomoc\u261? odpowiednich \u347?rodk\u243?w technicznych lub organizacyjnych ("integralno\u347?\u263? i poufno\u347?\u263?")". \par \par Naruszenie powy\u380?szych zasad nast\u261?pi\u322?o z przyczyn wy\u380?ej opisanych, to jest z powodu naruszenia art. 32 ust. 4 RODO. Fakt, i\u380? wprowadzono regulacje wewn\u281?trzne dotycz\u261?ce okresu przechowywania danych kandydat\u243?w oraz w zakresie bezpiecze\u324?stwa danych nie zmienia faktu, i\u380? w tej konkretnej sytuacji strona skar\u380?\u261?ca kasacyjnie nie wdro\u380?y\u322?a systemowych rozwi\u261?za\u324?, kt\u243?re mog\u322?yby zapobiec nieuprawnionemu wyprowadzaniu danych osobowych kandydat\u243?w na studia i nieuzasadnionej ingerencji w te dane. Z tych samych przyczyn nie jest zasadny zarzut naruszenia art. 5 ust. 2 RODO, kt\u243?ry stanowi, \u380?e administrator jest odpowiedzialny za przestrzeganie przepis\u243?w ust. 1 i musi by\u263? w stanie wykaza\u263? ich przestrzeganie ("rozliczalno\u347?\u263?"). Wbrew stanowisku skar\u380?\u261?cej kasacyjnie nie wykaza\u322?a ona w post\u281?powaniu administracyjnym realizacji zasady rozliczalno\u347?ci. Sam fakt obowi\u261?zywania wewn\u281?trznych regulacji w zakresie ochrony danych osobowych nie stanowi sam w sobie okoliczno\u347?ci egzoneracyjnej. Raz jeszcze trzeba podkre\u347?li\u263?, \u380?e w niniejszej sprawie zasadnicze znaczenie mia\u322?a okoliczno\u347?\u263? braku mo\u380?liwo\u347?ci sprawowania realnej kontroli nad procesem przetwarzania danych przez podmiot korzystaj\u261?cy z systemu SOK, z uwagi na to, \u380?e system umo\u380?liwia\u322? pobieranie danych bez rejestrowania tej operacji. Nie jest r\u243?wnie\u380? zasadny zarzut, \u380?e ocena stanu faktycznego zosta\u322?a dokonana wy\u322?\u261?cznie przez "skutek wynikaj\u261?cy z ujawnionego poprzez kradzie\u380? prywatnego komputera zachowania dr hab. A. G. naruszaj\u261?cego owe \u347?rodki techniczne i organizacyjne". Skar\u380?\u261?ca kasacyjnie zdaje si\u281? nie dostrzega\u263? zwi\u261?zku pomi\u281?dzy sposobem dzia\u322?ania systemu SOK, za kt\u243?ry przecie\u380? odpowiada, a skutkiem w postaci narusze\u324? w procesie przetwarzania danych osobowych. \par \par Z powy\u380?szych przyczyn nie jest zasadny r\u243?wnie\u380? zarzut naruszenia art. 39 ust. 1 lit. b oraz art. 39 ust. 2 RODO. Zgodnie z art. 39 ust. 1 lit. b na inspektorze ochrony danych spoczywa zadanie w postaci monitorowania przestrzegania rozporz\u261?dzenia, innych przepis\u243?w Unii lub pa\u324?stw cz\u322?onkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzaj\u261?cego w dziedzinie ochrony danych osobowych, w tym podzia\u322? obowi\u261?zk\u243?w, dzia\u322?ania zwi\u281?kszaj\u261?ce \u347?wiadomo\u347?\u263?, szkolenia personelu uczestnicz\u261?cego w operacjach przetwarzania oraz powi\u261?zane z tym audyty. Zgodnie z art. 39 ust. 2 RODO inspektor ochrony danych wype\u322?nia swoje zadania z nale\u380?ytym uwzgl\u281?dnieniem ryzyka zwi\u261?zanego z operacjami przetwarzania, maj\u261?c na uwadze charakter, zakres, kontekst i cele przetwarzania. \par \par Jedn\u261? z grup zada\u324? inspektora ochrony danych stanowi\u261? zadania monitoruj\u261?ce i nadzorcze, o kt\u243?rych mowa w art. 39 ust. 1 lit. b RODO. Okre\u347?lenie "monitorowanie" rozumie\u263? mo\u380?na jako prowadzenie sta\u322?ej obserwacji i kontroli zgodno\u347?ci proces\u243?w przetwarzania danych z przepisami o ochronie danych. Wbrew stanowisku skar\u380?\u261?cej kasacyjnie naruszenie powy\u380?szego przepisu mo\u380?e poci\u261?gn\u261?\u263? za sob\u261? odpowiedzialno\u347?\u263? w postaci na\u322?o\u380?enia przez organ nadzorczy na administratora lub podmiot przetwarzaj\u261?cy administracyjnej kary pieni\u281?\u380?nej, o kt\u243?rej mowa w art. 83 ust. 4 RODO. \par \par Poniewa\u380? podstawy skargi kasacyjnej okaza\u322?y si\u281? nieusprawiedliwione, Naczelny S\u261?d Administracyjny, na podstawie art. 184 p.p.s.a., skarg\u281? kasacyjn\u261? oddali\u322?. \par \par O kosztach post\u281?powania kasacyjnego orzeczono na podstawie art. 204 pkt 1 p.p.s.a. \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth9346 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \pard}