{\rtf1\ansi\ansicpg1252 \deff0{\fonttbl{\f0\froman\fcharset0 Times New Roman;}{\f1\froman\fcharset0 Helvetica;}{\f2\froman\fcharset0 Arial;}{\f3\froman\fcharset0 unknown;}} {\colortbl\red0\green0\blue0;\red255\green255\blue255;\red192\green192\blue192;} {\stylesheet {\style\s1 \ql\fi0\li0\ri0\f2\fs32\b\cf0 heading 1;} {\style\s2 \ql\fi0\li0\ri0\f2\fs28\b\i\cf0 heading 2;} {\style\s3 \ql\fi0\li0\ri0\f2\fs26\b\cf0 heading 3;} {\style\s0 \ql\fi0\li0\ri0\f2\fs24\cf0 Normal;} } {\*\listtable } {\*\listoverridetable } {\info} \paperw11907\paperh16840\margl1440\margr1120\margt1720\margb1440 {\footer \pard\plain\s0\ql\fi0\li0\ri0\plain\f0 2026-04-12 17:27\par }{\header \trowd \trftsWidth3\trwWidth9347\trqc\trgaph10\trpaddl0\trpaddr0\trpaddfl3\trpaddfr3 \clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrt\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth7630 \cellx7630\clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrt\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth1716 \cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f0 Centralna Baza Orzecze\u324? S\u261?d\u243?w Administracyjnych \cell\pard\plain\intbl\s0\qr\fi0\li0\ri0\plain\f0 Str \f3{\field{\*\fldinst PAGE}{\fldrslt }}\f0 / \f3{\field{\*\fldinst NUMPAGES \\* Arabic}{\fldrslt 1 }} \cell \trowd \trftsWidth3\trwWidth9347\trqc\trgaph10\trpaddl0\trpaddr0\trpaddfl3\trpaddfr3 \clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrt\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth7630 \cellx7630\clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrt\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth1716 \cellx9346\row \pard}\pgwsxn11907\pghsxn16840 \marglsxn1440\margrsxn1120\margtsxn1720\margbsxn1440\pard\plain\s0\fi0\li0\ri0\plain\f1\fs24\b III OSK 4804/21 - Wyrok\b0\par \par\trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw30\brdrcf0 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw30\brdrcf0 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Data orzeczenia\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 2024-10-10 \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw30\brdrcf0 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw30\brdrcf0 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Data wp\u322?ywu\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 2021-05-11 \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b S\u261?d\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Naczelny S\u261?d Administracyjny \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b S\u281?dziowie\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Maciej Kobak /sprawozdawca/ \par Olga \u379?urawska - Matusiak /przewodnicz\u261?cy/ \par Rafa\u322? Stasikowski \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Symbol z opisem\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 647 Sprawy zwi\u261?zane z ochron\u261? danych osobowych \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Has\u322?a tematyczne\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Ochrona danych osobowych \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Sygn. powi\u261?zane\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 II SA/Wa 809/20 \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Skar\u380?ony organ\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Generalny Inspektor Ochrony Danych Osobowych \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Tre\u347?\u263? wyniku\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Oddalono skarg\u281? kasacyjn\u261? \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Powo\u322?ane przepisy\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Dz.U. 2019 nr 0 poz 1781; art. 5 ust. 1 lit. c, art. 5 ust. 1 i 2, art. 17 ust. 1 lit a, art. 6 ust. 1 llit. a-f, art. 9 ust. 1 i ust. 2, art. 4 pkt 11; Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.) \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth9346 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Sentencja\b0 \par\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs22 Naczelny S\u261?d Administracyjny w sk\u322?adzie: Przewodnicz\u261?cy: S\u281?dzia NSA Olga \u379?urawska - Matusiak S\u281?dziowie S\u281?dzia NSA Rafa\u322? Stasikowski S\u281?dzia del. WSA Maciej Kobak (spr.) po rozpoznaniu w dniu 10 pa\u378?dziernika 2024 r. na rozprawie w Izbie Og\u243?lnoadministracyjnej przy udziale Rzecznika Praw Dziecka skargi kasacyjnej Prezesa Urz\u281?du Ochrony Danych Osobowych od wyroku Wojew\u243?dzkiego S\u261?du Administracyjnego w Warszawie z dnia 7 sierpnia 2020 r., sygn. akt II SA/Wa 809/20 w sprawie ze skargi Szko\u322?y X na decyzj\u281? Prezesa Urz\u281?du Ochrony Danych Osobowych z dnia 18 lutego 2020 r., nr ZSZZS.440.768.2018.FT.MW.66936 w przedmiocie przetwarzania danych osobowych oddala skarg\u281? kasacyjn\u261?. \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth9346 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth9346 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Uzasadnienie\b0 \par\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs22 Wyrokiem z dnia 7 sierpnia 2020 r. sygn. akt II SA/Wa 809/20, Wojew\u243?dzki S\u261?d Administracyjny w Warszawie po rozpoznaniu skargi Szko\u322?y X (dalej: "skar\u380?\u261?ca" lub "szko\u322?a") uchyli\u322? decyzj\u281? Prezesa Urz\u281?du Ochrony Danych Osobowych (dalej: "organ") z dnia 18 lutego 2020 r., nr ZSZZS.440.768.2018.FT.MW.66936 w przedmiocie przetwarzania danych osobowych. \par \par Powy\u380?szy wyrok zapad\u322? w nast\u281?puj\u261?cych okoliczno\u347?ciach faktycznych i prawnych sprawy. \par \par Prezes Urz\u281?du Ochrony Danych Osobowych na skutek powzi\u281?cia informacji o nieprawid\u322?owo\u347?ciach w procesie przetwarzania danych osobowych uczni\u243?w skar\u380?\u261?cej szko\u322?y, polegaj\u261?cych na gromadzeniu odcisk\u243?w palc\u243?w dzieci korzystaj\u261?cych z us\u322?ug sto\u322?\u243?wki szkolnej, wszcz\u261?\u322? z urz\u281?du post\u281?powanie wyja\u347?niaj\u261?ce. \par \par Ustosunkowuj\u261?c si\u281? do wezwania organu, skar\u380?\u261?ca z\u322?o\u380?y\u322?a obszerne wyja\u347?nienia w pismach z dnia 27 grudnia 2018 r. i 30 wrze\u347?nia 2019 r. W pierwszym z nich poda\u322?a m. in., \u380?e korzysta z czytnika biometrycznego o nazwie Kontroler Papilarno-Transponderowy KPT, umieszczonego przy wej\u347?ciu do sto\u322?\u243?wki szkolnej, kt\u243?ry identyfikuje dzieci pobieraj\u261?ce posi\u322?ki w celu weryfikacji uiszczenia op\u322?aty za posi\u322?ek wydany w danym dniu. Skar\u380?\u261?ca wskaza\u322?a, \u380?e pozyskuje dane biometryczne swoich uczni\u243?w na podstawie pisemnej zgody rodzica (opiekuna prawnego), oraz \u380?e nie posiada \u380?adnego zbioru, kt\u243?ry zawiera\u322?by obrazy linii papilarnych dzieci. \par \par Zgodnie z wyja\u347?nieniami skar\u380?\u261?cej, rodzic posiada\u322? mo\u380?liwo\u347?\u263? wyra\u380?enia zgody na korzystanie z czytnika na odcisk palca, lub jej nieudzielenia. Strona skar\u380?\u261?ca poinformowa\u322?a ponadto, \u380?e po rozwi\u261?zaniu umowy o korzystanie z obiad\u243?w w sto\u322?\u243?wce szkolnej dane potrzebne do identyfikacji na odcisk palca, czyli ci\u261?g bajt\u243?w zapisany w czytniku zostaje usuni\u281?ty. \par \par W wyniku analizy zgromadzonego materia\u322?u dowodowego, organ decyzj\u261? z dnia 18 lutego 2020 r. nr ZSZZS.440.768.2018.FT.MW.66936 dzia\u322?aj\u261?c na podstawie \par \par art. 104 \u167? 1 ustawy z dnia 14 czerwca 1960 r. Kodeks post\u281?powania administracyjnego (Dz. U. z 2020 r. poz. 256, dalej: "k.p.a.") oraz art. 7 ust. 1 i 2, art. 60 i art. 102 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm.; dalej: "u.o.d.o.") w zwi\u261?zku z art. 5 ust. 1 lit. c, art. 9 ust. 1, art. 58 ust. 2 lit. f, lit. g i lit. i oraz z art. 83 ust. 2 i 3, art. 83 ust. 5 lit. a, art. 83 ust. 7 rozporz\u261?dzenia Parlamentu \par \par Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony os\u243?b fizycznych w zwi\u261?zku z przetwarzaniem danych osobowych i w sprawie swobodnego przep\u322?ywu takich danych oraz uchylenia dyrektywy 95/46AA/E (og\u243?lne rozporz\u261?dzenie o ochronie danych) (Dz. U. UE.L.2016.119.1, dalej: "RODO") nakaza\u322? skar\u380?\u261?cej usuni\u281?cie danych osobowych w zakresie przetworzonych do postaci cyfrowej informacji o charakterystycznych punktach linii papilarnych palc\u243?w dzieci korzystaj\u261?cych z us\u322?ug sto\u322?\u243?wki szkolnej (pkt 1); zaprzestanie zbierania danych osobowych w zakresie przetworzonych do postaci cyfrowej informacji o charakterystycznych punktach linii papilarnych palc\u243?w dzieci korzystaj\u261?cych z us\u322?ug sto\u322?\u243?wki szkolnej (pkt 2); a tak\u380?e na\u322?o\u380?y\u322? na skar\u380?\u261?c\u261? kar\u281? pieni\u281?\u380?n\u261? w wysoko\u347?ci 20.000,00 z\u322?otych za naruszenie stwierdzone w tej decyzji (pkt 3). \par \par Prezes UODO stwierdzi\u322?, \u380?e \u8211? wbrew wyja\u347?nieniom strony skar\u380?\u261?cej - pozyskane przez ni\u261? dane uczni\u243?w, obejmuj\u261?ce informacje o charakterystycznych punktach linii papilarnych palc\u243?w przetworzone do postaci zapisu cyfrowego, stanowi\u261? dane biometryczne, w rozumieniu przepisu art. 4 pkt 14 RODO. Organ zauwa\u380?y\u322? bowiem, \u380?e w wyniku zestawienia wzorca biometrycznego zarejestrowanego na urz\u261?dzeniu z palcem dziecka przy\u322?o\u380?onym do czytnika biometrycznego, a tak\u380?e pozosta\u322?ymi informacjami (m.in. numerem pozycji, imieniem, nazwiskiem, klas\u261? oraz uprawnieniniem do odebrania obiadu) mo\u380?liwa jest jego identyfikacja. \par \par Organ zwr\u243?ci\u322? uwag\u281?, \u380?e przetwarzanie szczeg\u243?lnej kategorii danych osobowych, do kt\u243?rej nale\u380?\u261? dane biometryczne, regulowane jest w art. 9 ust. 1 RODO, zgodnie z kt\u243?rym, przetwarzanie danych osobowych ujawniaj\u261?cych dane biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej jest zabronione. \par \par Na marginesie Prezes UODO podkre\u347?li\u322?, \u380?e zasady wydawania obiad\u243?w umieszczone na stronie internetowej sto\u322?\u243?wki prowadzonej przez skar\u380?\u261?c\u261? wprowadzaj\u261? nier\u243?wne traktowanie uczni\u243?w, poniewa\u380? wyra\u378?nie promuj\u261? uczni\u243?w posiadaj\u261?cych identyfikacj\u281? biometryczn\u261?. \par \par W pi\u347?mie z dnia 16 marca 2020 r. skar\u380?\u261?ca, dzia\u322?aj\u261?c za po\u347?rednictwem organu, wnios\u322?a do Wojew\u243?dzkiego S\u261?du Administracyjnego w Warszawie skarg\u281? na powy\u380?sz\u261? decyzj\u281?. Wnosz\u261?c o jej uchylenie, a tak\u380?e o zas\u261?dzenie od organu nadzorczego zwrotu koszt\u243?w post\u281?powania wed\u322?ug norm przepisanych, skar\u380?\u261?ca zarzuci\u322?a naruszenie przepis\u243?w prawa materialnego - poprzez b\u322?\u281?dn\u261? ich interpretacj\u281? przez organ nadzorczy. \par \par W uzasadnieniu skargi skar\u380?\u261?ca stwierdzi\u322?a, \u380?e cho\u263? sporna decyzja organu wydaje si\u281? by\u263? kontrowersyjn\u261? zw\u322?aszcza w stwierdzeniu, \u380?e zgoda rodzica nie mo\u380?e by\u263? przes\u322?ank\u261? legalizuj\u261?c\u261? przetwarzanie danych biometrycznych, natychmiast po jej wydaniu tj. w dniu 24 lutego 2020 r. usun\u281?\u322?a dane osobowe w zakresie przetworzonych do postaci cyfrowej informacji o charakterystycznych punktach linii papilarnych palc\u243?w dzieci korzystaj\u261?cych z us\u322?ug sto\u322?\u243?wki szkolnej oraz zaprzesta\u322?a zbierania danych osobowych w zakresie przetworzonych do postaci cyfrowej informacji o charakterystycznych punktach linii papilarnych palc\u243?w dzieci korzystaj\u261?cych z us\u322?ug sto\u322?\u243?wki szkolnej. \par \par Niezale\u380?nie od powy\u380?szego, skar\u380?\u261?ca nie zgodzi\u322?a si\u281? z zawartym w spornej decyzji stwierdzeniem organu nadzorczego, jakoby pozyskane przez skar\u380?\u261?c\u261? dane uczni\u243?w obejmuj\u261?ce informacje o charakterystycznych punktach linii papilarnych palc\u243?w przetworzone do postaci zapisu cyfrowego, stanowi\u322?y dane biometryczne w rozumieniu przepisu art. 4 pkt 14 RODO. \par \par Skar\u380?\u261?ca podnios\u322?a, \u380?e za\u322?\u261?czy\u322?a do skargi opini\u281? specjalisty system\u243?w automatycznej identyfikacji, w kt\u243?rej stwierdzono, \u380?e sporne dane osobowe pobierane przez ni\u261? nie s\u261? danymi biometrycznymi. \par \par W odpowiedzi na skarg\u281? organ wni\u243?s\u322? o jej oddalenie, podtrzymuj\u261?c swoje dotychczasowe stanowisko. Stwierdzi\u322?, \u380?e z uwagi na charakter przetwarzania (specjalne przetwarzanie techniczne), a tak\u380?e charakter samych danych, kt\u243?re dotycz\u261? cech fizjologicznych i fizycznych, wskaza\u263? nale\u380?y, \u380?e przetwarzane do postaci cyfrowej informacje o charakterystycznych punktach linii papilarnych palc\u243?w dzieci stanowi\u261? dane biometryczne, albowiem s\u322?u\u380?\u261? do zautomatyzowanej weryfikacji uprawnienia konkretnej osoby fizycznej. \par \par Organ nadzorczy wskaza\u322?, \u380?e w takiej sytuacji zgoda rodzica nie mo\u380?e by\u263? przes\u322?ank\u261? legalizuj\u261?c\u261? przetwarzanie danych biometrycznych, poniewa\u380? zgoda stanowi podstaw\u281? legalizuj\u261?c\u261? przetwarzanie danych osobowych jedynie wtedy, gdy nie istniej\u261? inne przes\u322?anki na te przetwarzanie. Zdaniem Prezesa UODO, uznanie faktu wyra\u380?enia zgody przez rodzic\u243?w dzieci, jako okoliczno\u347?ci legalizuj\u261?cej pobranie od dzieci innych danych, ni\u380? wskazane przez polskiego prawodawc\u281?, stanowi\u322?oby obej\u347?cie tych przepis\u243?w. W zwi\u261?zku z powy\u380?szym, organ nadzorczy uzna\u322?, \u380?e przetwarzanie przez skar\u380?\u261?c\u261? danych biometrycznych uczni\u243?w jest niezgodne z zasad\u261? minimalizacji. \par \par Maj\u261?c na uwadze powy\u380?sze ustalenia, organ stwierdzi\u322?, \u380?e w rozpatrywanej sprawie zaistnia\u322?y przes\u322?anki warunkuj\u261?ce na\u322?o\u380?enie na skar\u380?\u261?c\u261? administracyjnej kary pieni\u281?\u380?nej. Zauwa\u380?y\u322? jednocze\u347?nie, \u380?e decyduj\u261?c o jej na\u322?o\u380?eniu i ustalaj\u261?c jej wysoko\u347?\u263?, kierowa\u322? si\u281? tre\u347?ci\u261? art. 83 ust. 2 RODO, bior\u261?c pod uwag\u281? szczeg\u243?\u322?owo okre\u347?lone w zaskar\u380?onym rozstrzygni\u281?ciu okoliczno\u347?ci indywidualne dotycz\u261?ce przedmiotowej sprawy. \par \par Opisanym na wst\u281?pie wyrokiem WSA w Warszawie uwzgl\u281?dni\u322? skarg\u281?. \par \par S\u261?d doszed\u322? do wniosku, \u380?e organ nadzorczy, wydaj\u261?c decyzj\u281? dopu\u347?ci\u322? si\u281? przede wszystkim istotnego naruszenia przepis\u243?w RODO, w szczeg\u243?lno\u347?ci art. 5 ust. 1 lit. c oraz art. 9 ust. 1 i ust. 2 lit. a RODO - poprzez ich niew\u322?a\u347?ciw\u261? wyk\u322?adni\u281? \par \par i zastosowanie, a w konsekwencji wadliwe uznanie, \u380?e skar\u380?\u261?ca, przetwarzaj\u261?c dane biometryczne swoich uczni\u243?w podczas korzystania przez nich z us\u322?ug sto\u322?\u243?wki szkolnej, dopu\u347?ci\u322?a si\u281? zar\u243?wno naruszenia zasady "minimalizacji danych", o kt\u243?rej mowa w art. 5 ust. 1 lit. c RODO, jak r\u243?wnie\u380? naruszenia polegaj\u261?cego na przetwarzaniu wspomnianych wy\u380?ej danych wra\u380?liwych (sensytywnych) ze z\u322?amaniem zakazu przetwarzania takich danych, o kt\u243?rym mowa w art. 9 ust. 1 RODO, z uwagi na niespe\u322?nienie - zdaniem organu nadzorczego - jednej z przes\u322?anek uchylaj\u261?cych \u243?w zakaz, na kt\u243?r\u261? powo\u322?ywa\u322?a si\u281? strona skar\u380?\u261?ca, a kt\u243?ra polega\u263? mia\u322?a na wyra\u380?eniu wyra\u378?nej zgody przez osob\u281?, kt\u243?rej dane dotycz\u261? (art. 9 ust. 2 lit. a RODO). W konsekwencji istotnego naruszenia przepis\u243?w RODO, organ w spos\u243?b nieuzasadniony zastosowa\u322? uprawienia wynikaj\u261?ce z przepis\u243?w art. 58 ust. 2 lit. f i lit. g RODO, nakazuj\u261?c skar\u380?\u261?cej usuni\u281?cie danych osobowych w zakresie przetworzonych do postaci cyfrowej informacji o charakterystycznych punktach linii papilarnych palc\u243?w dzieci korzystaj\u261?cych z us\u322?ug sto\u322?\u243?wki szkolnej, a tak\u380?e w spos\u243?b nieuprawniony nakazuj\u261?c stronie skar\u380?\u261?cej zaprzestanie zbierania wspomnianych danych biometrycznych uczni\u243?w. \par \par Jednocze\u347?nie, w ocenie S\u261?du, organ nadzorczy w spos\u243?b nieuzasadniony zastosowa\u322? wobec skar\u380?\u261?cej Szko\u322?y uprawienie wynikaj\u261?ce z przepis\u243?w art. 58 ust. 2 lit. i w zwi\u261?zku z art. 83 RODO, nak\u322?adaj\u261?c na stron\u281? skar\u380?\u261?c\u261? kar\u281? pieni\u281?\u380?n\u261? w wysoko\u347?ci 20.000,00 z\u322?otych. \par \par Zdaniem S\u261?du, nie mo\u380?na zgodzi\u263? si\u281? ze stanowiskiem zaprezentowanym przez organ nadzorczy, jakoby wspomniana wy\u380?ej pisemna zgoda przez skar\u380?\u261?c\u261? nie \u347?wiadczy\u322?a o spe\u322?nieniu przez administratora spornych danych przes\u322?anki, o kt\u243?rej mowa w art. 9 ust. 2 lit. a RODO. W tej sytuacji S\u261?d uzna\u322?, \u380?e - wbrew stanowisku organu nadzorczego - skar\u380?\u261?ca nie naruszy\u322?a generalnego zakazu przetwarzania danych osobowych ustanowionego w przepisie art. 9 ust. 1 RODO, albowiem legitymowa\u322?a si\u281? wyra\u378?n\u261? zgod\u261? na przetwarzanie danych biometrycznych uczni\u243?w udzielon\u261? przez ich rodzic\u243?w. \par \par Zaprezentowana przez organ nadzorczy wyk\u322?adnia art. 5 ust. 1 lit. c RODO \par \par i wyra\u380?onej w nim zasady minimalizacji danych jest w ocenie WSA b\u322?\u281?dna, gdy\u380? w spos\u243?b nieuprawniony pomija w ramach jej oceny istotny aspekt adekwatno\u347?ci i stosowno\u347?ci, co prowadzi w konsekwencji do zbyt rygorystycznego postrzegania tej zasady. S\u261?d uzna\u322?, \u380?e nie mo\u380?na zgodzi\u263? si\u281? z organem nadzorczym, i\u380? przetwarzanie przez skar\u380?\u261?c\u261? danych biometrycznych uczni\u243?w jest niezgodne z zasad\u261? minimalizacji, o kt\u243?rej mowa w art. 5 ust. 1 lit. c RODO. \par \par Zdaniem S\u261?du, nie ulega w\u261?tpliwo\u347?ci, \u380?e skar\u380?\u261?ca, jako administrator spornych danych biometrycznych, uzasadni\u322?a w toku post\u281?powania wyja\u347?niaj\u261?cego istnienie uzasadnionego zwi\u261?zku mi\u281?dzy celem przetwarzania a ustalonym przez ni\u261? zakresem danych, kt\u243?re planuje przetwarza\u263?, a tak\u380?e wyja\u347?ni\u322?a w spos\u243?b precyzyjny, dlaczego poprzednio stosowane metody weryfikacji danych okaza\u322?y si\u281? nie spe\u322?nia\u263? pok\u322?adanych oczekiwa\u324?. \par \par Sk\u322?ad orzekaj\u261?cy uzna\u322?, \u380?e organ, wydaj\u261?c sporn\u261? decyzj\u281? administracyjn\u261? \u8211? dopu\u347?ci\u322? si\u281? w powy\u380?szym zakresie istotnego naruszenia zasady praworz\u261?dno\u347?ci wyra\u380?onej w przepisach art. 6 k.p.a. i art. 7 in principia k.p.a. oraz art. 7 Konstytucji RP. Analizowane dzia\u322?anie organu w spos\u243?b istotny narusza\u322?o tak\u380?e zasad\u281? zaufania obywateli do organ\u243?w praworz\u261?dnego pa\u324?stwa i stosowanego przez nie prawa, wyra\u380?onej w art. 8 k.p.a. Nie ulega bowiem w\u261?tpliwo\u347?ci, \u380?e zasada zaufania wyra\u380?ona w powy\u380?szym przepisie ma kontekst konstytucyjny i unijny, za\u347? organy administracji publicznej s\u261? obowi\u261?zane, w ramach wyk\u322?adni zgodnej z prawem UE i Konstytucj\u261? RP, uwzgl\u281?dnia\u263?, \u380?e zasada zaufania, r\u243?wnie\u380? w aspekcie procesowym, jest zasadniczym elementem zasady demokratycznego pa\u324?stwa prawa i jako taka ma swoje umocowanie i \u378?r\u243?d\u322?o w art. 2 Konstytucji RP. \par \par Skarg\u281? kasacyjn\u261? od powy\u380?szego wyroku wni\u243?s\u322? organ, kwestionuj\u261?c go w ca\u322?o\u347?ci i zarzucaj\u261?c mu: \par \par a) naruszenie przepis\u243?w post\u281?powania, tj. art. 145 \u167? 1 pkt 1 lit. c) ustawy z dnia 30 sierpnia 2002 r. Prawo o post\u281?powaniu przed s\u261?dami administracyjnymi (Dz. U. z 2019 r. poz. 2325, dalej: "p.p.s.a.") w zwi\u261?zku z art. 6, 7, 8 K.p.a. oraz art. 7 Konstytucji poprzez b\u322?\u281?dne uznanie, \u380?e organ wydaj\u261?c sporn\u261? decyzj\u281? dopu\u347?ci\u322? si\u281? istotnego naruszenia zasady praworz\u261?dno\u347?ci i zasady zaufania obywateli do organ\u243?w praworz\u261?dnego pa\u324?stwa i stosowanego przez nie prawa, co mia\u322?o istotny wp\u322?yw na wynik sprawy, skutkuj\u261?cy uchyleniem zaskar\u380?onej decyzji. \par \par b) naruszenie przepis\u243?w prawa materialnego, tj.: \par \par i. art. 5 ust. 1 lit. c) RODO, okre\u347?laj\u261?cego zasad\u281? minimalizacji danych poprzez jego b\u322?\u281?dn\u261? wyk\u322?adni\u281?, polegaj\u261?c\u261? na przyj\u281?ciu przez S\u261?d I instancji, \u380?e przetwarzanie danych biometrycznych dzieci w celu korzystania przez nie ze sto\u322?\u243?wki szkolnej jest adekwatne do celu, w kt\u243?rym s\u261? przetwarzane; \par \par ii. naruszenie przepis\u243?w prawa materialnego, tj. art. 9 ust. 2 lit. a RODO, poprzez jego b\u322?\u281?dn\u261? wyk\u322?adni\u281? i niew\u322?a\u347?ciwe zastosowanie polegaj\u261?ce na przyj\u281?ciu, \u380?e przetwarzanie danych biometrycznych dzieci w celu korzystania przez nie ze sto\u322?\u243?wki szkolnej znajduje oparcie w dobrowolnej zgodzie ich rodzic\u243?w (opiekun\u243?w prawnych); \par \par Na podstawie powy\u380?szych zarzut\u243?w wniesiono o uchylenie w ca\u322?o\u347?ci zaskar\u380?onego wyroku i przekazanie sprawy do ponownego rozpoznania, rozpoznanie skargi kasacyjnej na rozprawie oraz zas\u261?dzenie zwrotu koszt\u243?w post\u281?powania wed\u322?ug norm przepisanych. \par \par Naczelny S\u261?d Administracyjny zwa\u380?y\u322?, co nast\u281?puje: \par \par Stosownie do art. 183 \u167? 1 p.p.s.a., Naczelny S\u261?d Administracyjny rozpoznaje spraw\u281? w granicach skargi kasacyjnej, bior\u261?c pod rozwag\u281? z urz\u281?du jedynie niewa\u380?no\u347?\u263? post\u281?powania. W rozpoznawanej sprawie nie zachodzi \u380?adna z okoliczno\u347?ci skutkuj\u261?cych niewa\u380?no\u347?ci\u261? post\u281?powania, o jakich mowa w art. 183 \par \par \u167? 2 p.p.s.a. i nie zachodzi \u380?adna z przes\u322?anek, o kt\u243?rych mowa w art. 189 p.p.s.a., kt\u243?re Naczelny S\u261?d Administracyjny rozwa\u380?a z urz\u281?du dokonuj\u261?c kontroli zaskar\u380?onego skarg\u261? kasacyjn\u261? wyroku. Wobec tego Naczelny S\u261?d Administracyjny przeszed\u322? do zbadania zarzut\u243?w kasacyjnych. \par \par Skarga kasacyjna jest niezasadna i jako taka podlega oddaleniu. Skarga kasacyjna jest sformalizowanym \u347?rodkiem zaskar\u380?enia wyznaczaj\u261?cym granice kontroli instancyjnej sprawowanej przez Naczelny S\u261?d Administracyjny. Na podmiocie wnosz\u261?cym skarg\u281? kasacyjn\u261? spoczywa obowi\u261?zek wyznaczenia jej granic poprzez prawid\u322?owe sformu\u322?owanie podstaw zaskar\u380?enia \u8211? zarzut\u243?w. Naczelny S\u261?d Administracyjny kontroluje zaskar\u380?one skarg\u261? kasacyjn\u261? orzeczenie s\u261?du pierwszej instancji przez pryzmat podniesionych w niej narusze\u324? prawa. Mo\u380?liwo\u347?\u263? przeprowadzenia tej kontroli uzale\u380?niona jest od identyfikowalno\u347?ci tych narusze\u324?. Innymi s\u322?owy, Naczelny S\u261?d Administracyjny mo\u380?e przeprowadzi\u263? kontrol\u281? orzeczenia S\u261?du pierwszej instancji, je\u380?eli w skardze kasacyjnej powo\u322?ano konkretne przepisy prawa, kt\u243?re w ocenie wnosz\u261?cego ten \u347?rodek zaskar\u380?enia zosta\u322?y naruszone. \par \par Przed przyst\u261?pieniem do merytorycznej oceny podniesionych w skardze kasacyjnej zarzut\u243?w nale\u380?y poda\u263? zbi\u243?r fakt\u243?w i ocen prawnych, kt\u243?re z uwagi na granice skargi kasacyjnej pozostaj\u261? bezsporne w tym znaczeniu, \u380?e nie podlegaj\u261? weryfikacji instancyjnej. Za bezsporne nale\u380?a\u322?o zatem uzna\u263?, \u380?e: \par \par 1. Szko\u322?a przetwarza\u322?a dane biometryczne dzieci podczas korzystania przez nie ze sto\u322?\u243?wki szkolnej; \par \par 2. Dane biometryczne obejmowa\u322?y odciski palc\u243?w przetworzone do postaci cyfrowej informacji o charakterystycznych punktach linii papilarnych palc\u243?w; \par \par 3. Szko\u322?a przetwarza\u322?a ww. dane biometryczne na podstawie pisemnej zgodny rodzic\u243?w dzieci; \par \par 4. Szko\u322?a przetwarza\u322?a dane biometryczne dzieci w celu zweryfikowania, czy w danym dniu maj\u261? op\u322?acony posi\u322?ek na sto\u322?\u243?wce. \par \par Maj\u261?c na uwadze powy\u380?sze niekwestionowane elementy podstawy faktycznej \par \par i prawnej zaskar\u380?onego wyroku WSA, Naczelny S\u261?d Administracyjny negatywnie zweryfikowa\u322? zarzut b\u322?\u281?dnej wyk\u322?adni art. 5 ust. 1 lit. c) RODO. Naruszenia tego przepisu skar\u380?\u261?cy kasacyjnie upatruje w wadliwym przyj\u281?ciu przez WSA, \u380?e przetwarzanie danych biometrycznych dzieci w celu korzystania przez nie ze sto\u322?\u243?wki szkolnej jest adekwatne do celu, w kt\u243?rym s\u261? przetwarzane. \par \par Wst\u281?pnie trzeba odnotowa\u263?, \u380?e art. 5 ust. 1 RODO wyra\u380?a zasady przetwarzania danych osobowych. Jest to przepis, kt\u243?ry okre\u347?la obowi\u261?zki, jakie spoczywaj\u261? na administratorze danych osobowych i dodatkowo zobowi\u261?zuje go do tego, aby zawsze m\u243?g\u322? wykaza\u263?, \u380?e si\u281? do nich stosuje \u8211? art. 5 ust. 2 RODO. Przypisanie postanowieniom art. 5 ust. 1 RODO przymiotu "zasad" oznacza, i\u380? s\u261? to dyrektywy normatywne (normy prawne) o szczeg\u243?lnym charakterze, wyznaczaj\u261?ce warto\u347?ci i cele ka\u380?dego procesu przetwarzania danych osobowych. Z tego wzgl\u281?du art. 5 ust. 1 RODO powinien by\u263? uwzgl\u281?dniany przy interpretacji pozosta\u322?ych przepis\u243?w RODO, tak aby wywodzone z ich tre\u347?ci normy prawne by\u322?y z nim zgodne \par \par w uj\u281?ciu funkcjonalnym, systemowym i aksjologicznym. \par \par Podstawow\u261? zasad\u261? przetwarzania danych osobowych jest zgodno\u347?\u263? \par \par z prawem \u8211? art. 5 ust. 1 lit a RODO. Przetwarzanie danych osobowych jest zgodne \par \par z prawem, gdy uwzgl\u281?dnia zar\u243?wno przepisy RODO, jak i postanowienia akt\u243?w krajowych, reguluj\u261?cych ten proces. Przetwarzaj\u261?c dane osobowe administrator ma zatem obowi\u261?zek stosowa\u263? si\u281? do rygor\u243?w wynikaj\u261?cych ze wszystkich przepis\u243?w RODO, w tym i tych, kt\u243?re wywodzi si\u281? z pozosta\u322?ych zasad przetwarzania danych osobowych proklamowanych postanowieniami art. 5 ust. 1 RODO. Zadekretowana \par \par w tre\u347?ci art. 5 ust. 1 lit c RODO zasada minimalizacji danych osobowych nak\u322?ada na administratora obowi\u261?zek, aby dane osobowe by\u322?y "adekwatne, stosowne oraz ograniczone do tego, co niezb\u281?dne do cel\u243?w, w kt\u243?rych s\u261? przetwarzane". W motywie 39 RODO wyja\u347?niono, \u380?e realizacja przedmiotowej zasady wymaga "w szczeg\u243?lno\u347?ci zapewnienia ograniczenia okresu przechowywania danych do \u347?cis\u322?ego minimum. Dane osobowe powinny by\u263? przetwarzane tylko w przypadkach, gdy celu przetwarzania nie mo\u380?na w rozs\u261?dny spos\u243?b osi\u261?gn\u261?\u263? innymi sposobami. Aby zapobiec przechowywaniu danych osobowych przez okres d\u322?u\u380?szy, ni\u380? jest to niezb\u281?dne, administrator powinien ustali\u263? termin ich usuwania lub okresowego przegl\u261?du." Z powy\u380?szego fragmentu motywu 39 RODO wynika kilka wniosk\u243?w. \par \par Po pierwsze, zasada minimalizacji danych limituje okres przetwarzania danych wy\u322?\u261?cznie do czasu, w kt\u243?rym jest to niezb\u281?dne dla celu tego przetwarzania. \par \par Po drugie, rozstrzyga o dopuszczalno\u347?ci przetwarzania danych osobowych wy\u322?\u261?cznie w takich uk\u322?adach, w kt\u243?rych nie da si\u281? poda\u263? innych rozs\u261?dnych sposob\u243?w osi\u261?gni\u281?cia celu tego przetwarzania. Prawodawca unijny nie dookre\u347?li\u322?, co nale\u380?y rozumie\u263? przez inn\u261? ni\u380? przetwarzanie danych osobowych rozs\u261?dn\u261? alternatyw\u281? osi\u261?gni\u281?cia celu przetwarzania. W ocenie Naczelnego S\u261?du Administracyjnego chodzi tu o wskazanie takich dzia\u322?a\u324?, kt\u243?re bez konieczno\u347?ci przetwarzania danych osobowych pozwol\u261? osi\u261?gn\u261?\u263? okre\u347?lony cel, a jednocze\u347?nie nie generuj\u261? zasadniczo wy\u380?szych "koszt\u243?w" materia\u322?owych, finansowych, czasowych i osobowych od tych, jakie nale\u380?a\u322?oby ponie\u347?\u263?, gdyby do realizacji tego celu dosz\u322?o poprzez przetwarzanie danych osobowych. W istocie chodzi wi\u281?c o skonfrontowanie wielko\u347?ci szeroko uj\u281?tych koszt\u243?w dw\u243?ch tryb\u243?w osi\u261?gni\u281?cia tego samego celu: trybu uwzgl\u281?dniaj\u261?cego przetwarzanie danych osobowych i trybu, kt\u243?ry takiego przetwarzania nie uwzgl\u281?dnia. W tej pespektywie zasada minimalizacji danych zobowi\u261?zuje zatem do tego, aby nie dochodzi\u322?o do przetwarzania danych osobowych w tych skonfigurowaniach, w kt\u243?rych cel, dla kt\u243?rego to przetwarzanie mia\u322?o by\u263? prowadzone, z wykorzystaniem por\u243?wnywalnych zasob\u243?w, mo\u380?na osi\u261?gn\u261?\u263? bez przetwarzania danych osobowych. \par \par Po trzecie, zasad\u281? minimalizacji danych nale\u380?y rozumie\u263? r\u243?wnie\u380? w ten spos\u243?b, \u380?e je\u380?eli nie mo\u380?na osi\u261?gn\u261?\u263? za\u322?o\u380?onego celu bez przetwarzania danych osobowych, to dane, kt\u243?re podlegaj\u261? przetwarzaniu musz\u261? by\u263? do tego celu adekwatne, stosowne i ograniczone. W tym uj\u281?ciu zasada minimalizacji danych wprowadza swego rodzaju rygor proporcjonalno\u347?ci przetwarzania danych. Chodzi wi\u281?c o to: 1) aby administrator pozyska\u322? wy\u322?\u261?cznie taki rodzaj danych osobowych, kt\u243?rych przetworzenie jest niezb\u281?dne do osi\u261?gni\u281?cia celu przetwarzania; 2) aby administrator pozyska\u322? dane osobowe w minimalnej wystarczaj\u261?cej ilo\u347?ci dla osi\u261?gni\u281?cia celu przetwarzania; \par \par 3) aby administrator przetwarza\u322? je wy\u322?\u261?cznie w taki spos\u243?b, kt\u243?ry jest niezb\u281?dny do osi\u261?gni\u281?cia celu przetwarzania; 4) aby administrator przetwarza\u322? dane osobowe wy\u322?\u261?cznie przez czas niezb\u281?dny do osi\u261?gni\u281?cia celu przetwarzania. \par \par Uwzgl\u281?dnienie przyj\u281?tych za\u322?o\u380?e\u324? uzasadnia wniosek, \u380?e zasada minimalizacji danych dopuszcza przetwarzanie danych osobowych wy\u322?\u261?cznie wtedy, gdy jest to niezb\u281?dne do osi\u261?gni\u281?cia celu przetwarzania i wy\u322?\u261?cznie w zakresie, w ilo\u347?ci, w spos\u243?b i przez czas, jakie s\u261? niezb\u281?dne do osi\u261?gni\u281?cia celu przetwarzania. Powy\u380?szy wniosek znajduje bezpo\u347?rednie potwierdzenie w tre\u347?ci art. 17 ust. 1 lit a RODO, kt\u243?ry uprawnia do \u380?\u261?dania usuni\u281?cia swoich danych osobowych, gdy "nie s\u261? ju\u380? niezb\u281?dne do cel\u243?w, w kt\u243?rych zosta\u322?y zebrane lub w inny spos\u243?b przetwarzane". Niezb\u281?dno\u347?\u263? danych osobowych do celu przetwarzania wyra\u380?a wi\u281?c istot\u281? regulacyjnej funkcji zasady minimalizacji danych. \par \par W artykule 6 ust. 1 lit. a-f RODO prawodawca unijny wskaza\u322? zamkni\u281?ty katalog warunk\u243?w przetwarzania danych osobowych, zastrzegaj\u261?c jednoznacznie, \u380?e dla oceny zgodno\u347?ci z prawem tego przetwarzania wystarczaj\u261?ce jest spe\u322?nienie "co najmniej" jednego z nich \u8211? art. 6 ust. 1 in principio RODO. I tak, przetwarzanie danych osobowych jest zgodne z prawem, gdy: \par \par a) osoba, kt\u243?rej dane dotycz\u261? wyrazi\u322?a zgod\u281? na przetwarzanie swoich danych osobowych w jednym lub wi\u281?kszej liczbie okre\u347?lonych cel\u243?w; \par \par b) przetwarzanie jest niezb\u281?dne do wykonania umowy, kt\u243?rej stron\u261? jest osoba, kt\u243?rej dane dotycz\u261?, lub do podj\u281?cia dzia\u322?a\u324? na \u380?\u261?danie osoby, kt\u243?rej dane dotycz\u261?, przed zawarciem umowy; \par \par c) przetwarzanie jest niezb\u281?dne do wype\u322?nienia obowi\u261?zku prawnego ci\u261?\u380?\u261?cego na administratorze; \par \par d) przetwarzanie jest niezb\u281?dne do ochrony \u380?ywotnych interes\u243?w osoby, kt\u243?rej dane dotycz\u261?, lub innej osoby fizycznej; \par \par e) przetwarzanie jest niezb\u281?dne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania w\u322?adzy publicznej powierzonej administratorowi; \par \par f) przetwarzanie jest niezb\u281?dne do cel\u243?w wynikaj\u261?cych z prawnie uzasadnionych interes\u243?w realizowanych przez administratora lub przez stron\u281? trzeci\u261?, z wyj\u261?tkiem sytuacji, w kt\u243?rych nadrz\u281?dny charakter wobec tych interes\u243?w maj\u261? interesy lub podstawowe prawa i wolno\u347?ci osoby, kt\u243?rej dane dotycz\u261?, wymagaj\u261?ce ochrony danych osobowych, w szczeg\u243?lno\u347?ci gdy osoba, kt\u243?rej dane dotycz\u261?, jest dzieckiem. \par \par W przekonaniu Naczelnego S\u261?du Administracyjnego nale\u380?y zwr\u243?ci\u263? uwag\u281? na specyficzn\u261? konstrukcj\u281? warunk\u243?w dopuszczalno\u347?ci przetwarzania danych osobowych. Ot\u243?\u380? w art. 6 ust. 1 lit. b-f RODO okre\u347?lono cele przetwarzania danych osobowych rozstrzygaj\u261?c, i\u380? s\u261? to: wykonanie umowy (lit. b), wype\u322?nienie obowi\u261?zku prawnego ci\u261?\u380?\u261?cego na administratorze (lit. c), ochrona \u380?ywotnych interes\u243?w osoby, kt\u243?rej dane dotycz\u261?, lub innej osoby fizycznej (lit. d), wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania w\u322?adzy publicznej powierzonej administratorowi (lit. e), osi\u261?gni\u281?cie cel\u243?w wynikaj\u261?cych z prawnie uzasadnionych interes\u243?w realizowanych przez administratora lub przez stron\u281? trzeci\u261? (lit. f). \par \par Pierwszy warunek legitymizuj\u261?cy przetwarzanie danych osobowych, okre\u347?lony w art. 6 ust. 1 lit. a RODO, zosta\u322? skonstruowany inaczej. Dopuszcza on przetwarzanie danych osobowych, gdy osoba, kt\u243?rej dane dotycz\u261? wyrazi\u322?a zgod\u281? na to przetwarzanie w jednym lub wi\u281?kszej liczbie okre\u347?lonych cel\u243?w. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit a RODO wymaga wi\u281?c okre\u347?lenia celu przetwarzania, jednak\u380?e samo RODO tego celu nie identyfikuje. Pozwala na okre\u347?lenie celu (lub cel\u243?w) przetwarzania albo administratorowi danych, albo osobie, kt\u243?rej dane dotycz\u261?. W jednym i drugim uk\u322?adzie dzia\u322?aniem koniecznym dla stwierdzenia, \u380?e przetwarzanie jest zgodne z prawem konieczna jest zgoda podmiotu, kt\u243?rego dotycz\u261? dane osobowe. \par \par Analogiczne rozwi\u261?zanie przyj\u281?to wobec danych wra\u380?liwych, okre\u347?lonych \par \par w art. 9 ust. 1 RODO. W tym wypadku prawodawca unijny wprowadzi\u322? og\u243?lny zakaz przetwarzania danych osobowych o tym charakterze, przewiduj\u261?c jednocze\u347?nie enumeratywnie wskazane wyj\u261?tki, kt\u243?re go znosz\u261?. Podobnie, jak w art. 6 ust. 1 RODO, jako przes\u322?ank\u281? wyj\u347?ciow\u261? legalizuj\u261?c\u261? przetwarzanie danych osobowych wra\u380?liwych przewidziano zgod\u281? osoby, kt\u243?rej dane dotycz\u261? \u8211? art. 9 ust. 2 lit. a RODO. Zgoda ta ma posta\u263? kwalifikowan\u261?, gdy\u380? poza cechami dobrowolno\u347?ci, konkretno\u347?ci, \u347?wiadomo\u347?ci i jednoznaczno\u347?ci sk\u322?adaj\u261?cego si\u281? na ni\u261? okazania woli, powinna by\u263? r\u243?wnie\u380? wyra\u378?na. Zgoda wyra\u378?na na przetwarzanie wra\u380?liwych danych osobowych ma wi\u281?c by\u263? zgod\u261? wprost, zgod\u261? kt\u243?rej tre\u347?\u263? nie pozostawia \u380?adnych w\u261?tpliwo\u347?ci, \u380?e dotyczy przetwarzania okre\u347?lonego rodzaju danych osobowych, o kt\u243?rych mowa \par \par w art. 9 ust. 1 RODO. W pozosta\u322?ych jednostkach redakcyjnych art. 9 ust. 2 lit. b-j RODO prawodawca unijny wskaza\u322? warunki dopuszczalno\u347?ci przetwarzania danych osobowych wra\u380?liwych poprzez zorientowanie na okre\u347?lony cel lub spos\u243?b ich uzyskania: wype\u322?nienie obowi\u261?zk\u243?w i wykonywania szczeg\u243?lnych praw przez administratora lub osob\u281?, kt\u243?rej dane dotycz\u261?, w dziedzinie prawa pracy, zabezpieczenia spo\u322?ecznego i ochrony socjalnej (lit. b); ochrona \u380?ywotnych interes\u243?w osoby, kt\u243?rej dane dotycz\u261? (lit. c); przetwarzania dokonuje si\u281? w ramach uprawnionej dzia\u322?alno\u347?ci prowadzonej z zachowaniem odpowiednich zabezpiecze\u324? przez fundacj\u281?, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, \u347?wiatopogl\u261?dowych, religijnych lub zwi\u261?zkowych, pod warunkiem \u380?e przetwarzanie dotyczy wy\u322?\u261?cznie cz\u322?onk\u243?w lub by\u322?ych cz\u322?onk\u243?w tego podmiotu lub os\u243?b utrzymuj\u261?cych z nim sta\u322?e kontakty w zwi\u261?zku z jego celami oraz \u380?e dane osobowe nie s\u261? ujawniane poza tym podmiotem bez zgody os\u243?b, kt\u243?rych dane dotycz\u261? (lit. d); przetwarzanie danych osobowych w spos\u243?b oczywisty upublicznionych przez osob\u281?, kt\u243?rej dane dotycz\u261? (lit. e); ustalenie, dochodzenie lub obrona roszcze\u324? lub w ramach sprawowania wymiaru sprawiedliwo\u347?ci przez s\u261?dy (lit. f); wa\u380?ny interes publiczny, na podstawie prawa Unii lub prawa pa\u324?stwa cz\u322?onkowskiego, kt\u243?re s\u261? proporcjonalne do wyznaczonego celu, nie naruszaj\u261? istoty prawa do ochrony danych i przewiduj\u261? odpowiednie i konkretne \u347?rodki ochrony praw podstawowych i interes\u243?w osoby, kt\u243?rej dane dotycz\u261? (lit. g); realizacja cel\u243?w profilaktyki zdrowotnej lub medycyny pracy (lit. h); interes publiczny w dziedzinie zdrowia publicznego (lit. i); cele archiwalne \par \par w interesie publicznym, do cel\u243?w bada\u324? naukowych lub historycznych lub do cel\u243?w statystycznych (lit. j). \par \par Istotny wydaje si\u281? fakt, \u380?e wy\u322?\u261?cznie w art. 9 ust. 2 lit. g i lit. j przewidziano, \u380?e przetwarzanie danych osobowych wra\u380?liwych ma by\u263? proporcjonalne do wyznaczonego celu. Jak si\u281? wydaje wy\u322?\u261?cznie wobec dw\u243?ch wskazanych w tych przepisach kategorii danych osobowych przyj\u281?to, \u380?e zasada minimalizacji danych ma szczeg\u243?lne znaczenie. W stosunku do przetwarzania wra\u380?liwych danych osobowych na podstawie zgody osoby, kt\u243?rej dotycz\u261? prawodawca zastrzega\u322? natomiast, i\u380? nie jest ono dopuszczalne, gdy prawo Unii lub prawo pa\u324?stwa cz\u322?onkowskiego przewiduj\u261?, i\u380? nie mo\u380?na uchyli\u263? zakazu ich przetwarzania. \par \par Systemowa analiza tre\u347?ci art. 6 ust. 1 i art. 9 ust. 1 i ust. 2 RODO wykaza\u322?a, \u380?e cel przetwarzania danych osobowych na podstawie zgody podmiotu, kt\u243?rego dotycz\u261? dane osobowe nie musi wynika\u263? z przepis\u243?w prawa. Przes\u261?dza o tym wprost art. 6 ust. 3 RODO, kt\u243?ry stanowi, \u380?e wy\u322?\u261?cznie warunki przetwarzania okre\u347?lone \par \par art. 6 ust. 1 lit. c i e musz\u261? by\u263? okre\u347?lone w prawie Unii lub w prawie pa\u324?stwa cz\u322?onkowskiego, kt\u243?remu podlega administrator. Cel przetwarzania musi natomiast by\u263? konkretny, wyra\u378?ny i prawnie uzasadniony \u8211? art. 5 ust. 1 lit. b RODO (zasada ograniczenia celu). W swoim orzecznictwie Europejski Trybuna\u322? Sprawiedliwo\u347?ci wyja\u347?ni\u322?, \u380?e na\u322?o\u380?ony postanowieniami art. 5 ust. 1 lit. b RODO wym\u243?g, zgodnie \par \par z kt\u243?rym dane osobowe musz\u261? by\u263? zbierane w konkretnych, wyra\u378?nych i prawnie uzasadnionych celach oznacza przede wszystkim, \u380?e cele przetwarzania nale\u380?y okre\u347?li\u263? najp\u243?\u378?niej w momencie zbierania danych osobowych (konkretno\u347?\u263? celu), nast\u281?pnie - \u380?e cele tego przetwarzania musz\u261? zosta\u263? jasno okre\u347?lone (wyra\u378?no\u347?\u263? celu) i wreszcie - \u380?e cele owego przetwarzania powinny gwarantowa\u263? mi\u281?dzy innymi zgodno\u347?\u263? przetwarzania tych danych z prawem w rozumieniu art. 6 ust. 1 lub art. 9 ust. 2 RODO (prawne uzasadnienie celu) - zob. wyroki ETS z 24 lutego 2022 r., Valsts ie\u326?\u275?mumu dienests, C-175/20, EU:C:2022:124, pkt 64-66 i z 20 pa\u378?dziernika 2022 r., Nemzeti Adatv\u233?delmi \u233?s Inform\u225?ci\u243?szabads\u225?g Hat\u243?s\u225?g, C-77/21, UE:C:2022/472/10, pkt 27. \par \par Realizacja zasady ograniczono\u347?ci celu nabiera szczeg\u243?lnego znaczenia, gdy prawnym uzasadnieniem przetwarzania danych osobowych jest zgoda osoby, kt\u243?rej te dane dotycz\u261? \u8211? art. 6 ust. 1 lit. a i art. 9 ust. 2 lit. a RODO. W takim skonfigurowaniu to strony procesu przetwarzania danych osobowych \u8211? podmiot danych i administrator danych \u8211? okre\u347?laj\u261?c cel tego przetwarzania powinny uwzgl\u281?dnia\u263? rygory wynikaj\u261?ce \par \par z tej zasady \u8211? art. 5 ust. 1 lit. b RODO. Realizacja tego wymogu obci\u261?\u380?a przede wszystkim administratora danych, albowiem to on "musi by\u263? w stanie wykaza\u263?, \u380?e osoba, kt\u243?rej dane dotycz\u261?, wyrazi\u322?a zgod\u281? na przetwarzanie swoich danych osobowych" \u8211? art. 7 ust. 1 RODO. \par \par Zgodnie z definicj\u261? zawart\u261? w art. 4 pkt 11 RODO "zgoda" osoby, kt\u243?rej dane dotycz\u261? oznacza dobrowolne, konkretne, \u347?wiadome i jednoznaczne okazanie woli, kt\u243?rym osoba ta, w formie o\u347?wiadczenia lub wyra\u378?nego dzia\u322?ania potwierdzaj\u261?cego, przyzwala na przetwarzanie dotycz\u261?cych jej danych osobowych. Z kolei w motywie 32 RODO przes\u261?dzono, \u380?e zgoda powinna przybra\u263? posta\u263? o\u347?wiadczenia b\u261?d\u378? zachowania, kt\u243?re w danym kontek\u347?cie jasno wskazuje, \u380?e osoba, kt\u243?rej dane dotycz\u261?, zaakceptowa\u322?a proponowane przetwarzanie jej danych osobowych. Zgoda powinna dotyczy\u263? wszystkich czynno\u347?ci przetwarzania dokonywanych w tym samym celu lub \par \par w tych samych celach. Je\u380?eli przetwarzanie s\u322?u\u380?y r\u243?\u380?nym celom, potrzebna jest zgoda na wszystkie te cele. \par \par Przymiot "dobrowolno\u347?ci" zgody zak\u322?ada rzeczywist\u261? mo\u380?liwo\u347?\u263? dokonania wyboru przez osoby, kt\u243?rych dane dotycz\u261?, oraz sprawowania przez nie kontroli nad procesem ich przetwarzania. Co do zasady RODO stanowi, \u380?e je\u380?eli osobie, kt\u243?rej dane dotycz\u261?, nie przys\u322?uguje rzeczywista mo\u380?liwo\u347?\u263? wyboru, czuje si\u281? ona zmuszona do wyra\u380?enia zgody lub poniesie negatywne konsekwencje w przypadku jej niewyra\u380?enia, zgoda b\u281?dzie niewa\u380?na \u8211? Motyw 42 RODO oraz wytyczne 5/2020 Europejskiej Rady Ochrony Danych (dost\u281?pne: https://www.edpb.europa.eu/sites/-default/files/files/file1/edpb_guidelines_202005_consent_pl.pdf). Dodatkowo, art. 7 ust. 4 RODO wymaga, aby przy ocenie, czy zgod\u281? wyra\u380?ono dobrowolnie, w jak najwi\u281?kszym stopniu uwzgl\u281?dnia\u263?, czy mi\u281?dzy innymi od zgody na przetwarzanie danych nie jest uzale\u380?nione wykonanie umowy, w tym \u347?wiadczenie us\u322?ugi, je\u347?li przetwarzanie danych osobowych nie jest niezb\u281?dne do wykonania tej umowy. \par \par Konkretno\u347?\u263? zgodny oznacza, \u380?e musi ona odnosi\u263? si\u281? dok\u322?adnie do okre\u347?lonego przetwarzania danych i nie mo\u380?e zosta\u263? wywnioskowana z tre\u347?ci wyra\u380?enia woli maj\u261?cego inny cel \u8211? wyrok ETS z 11 listopada 2020 r., Orange Romania, C-61/19, EU:C:2020:901, pkt 38. \par \par Zgod\u281? na przetwarzanie danych osobowych nale\u380?y oceni\u263?, jako \u347?wiadom\u261?, gdy administrator danych dostarczy osobie, kt\u243?rej dane dotycz\u261?, informacje na temat wszelkich okoliczno\u347?ci zwi\u261?zanych z przetwarzaniem danych maj\u261?ce zrozumia\u322?\u261? \par \par i \u322?atwo dost\u281?pn\u261? form\u281? oraz wyra\u380?one jasnym i prostym j\u281?zykiem, przy czym osoba ta powinna w szczeg\u243?lno\u347?ci by\u263? w stanie dowiedzie\u263? si\u281?, jakiego rodzaju dane b\u281?d\u261? przetwarzane, kto jest administratorem danych, przez jaki czas i w jaki spos\u243?b dane te b\u281?d\u261? przetwarzane oraz w jakich celach. Rzeczone informacje powinny umo\u380?liwi\u263? takiej osobie \u322?atwe ustalenie konsekwencji zgody, kt\u243?rej mo\u380?e udzieli\u263?, oraz gwarantowa\u263?, \u380?e zgoda ta zostanie udzielona przy pe\u322?nej znajomo\u347?ci stanu rzeczy -zob. wyrok ETS z 1 pa\u378?dziernika 2019 r., Planet49, C-673/17, EU:C:2019:801, pkt 74. \par \par W ocenie Naczelnego S\u261?du Administracyjnego istnieje silne skorelowanie normatywne pomi\u281?dzy zasad\u261? ograniczono\u347?ci celu (art. 5 ust. 1 lit. b RODO) \par \par a konstrukcj\u261? zgody na przetwarzanie danych osobowych. Nadanie zgodzie na przetwarzanie danych osobowych cech wymaganych przepisami RODO \u8211? dobrowolno\u347?ci, konkretno\u347?ci, \u347?wiadomo\u347?ci i jednoznaczno\u347?ci (art. 4 pkt 11) \u8211? jest bowiem r\u243?wnoznaczne w skutkach z ustalaniem celu tego przetwarzania w spos\u243?b konkretny, wyra\u378?ny i prawnie uzasadniony (art. 5 ust. 1 lit. b). Je\u380?eli administrator danych osobowych, realizuj\u261?c ci\u261?\u380?\u261?cy na nim obowi\u261?zek informacyjny \u8211? art. 13 ust. 1 RODO \u8211? najp\u243?\u378?niej w momencie zbierania danych osobowych poinformuje osob\u281?, kt\u243?rej te dane dotycz\u261?, o celu przetwarzania danych, zakresie przetwarzanych danych, sposobie przetwarzania danych, okresie przetwarzania danych i osoba ta \par \par w warunkach dobrowolno\u347?ci wyrazi zgod\u281? na to przetwarzanie, nale\u380?y przyj\u261?\u263?, \u380?e zasada ograniczenia celu przetwarzania zosta\u322?a zrealizowana. \par \par Przedstawione uwarunkowania realizacji zasady ograniczenia celu przetwarzania danych oraz cech, jakie powinna posiada\u263? zgoda na przetwarzanie danych maj\u261? zasadnicze znaczenie na wyznaczenie granic stosowania i normowania zasady minimalizacji danych. W ocenie Naczelnego S\u261?du Administracyjnego wyra\u380?enie zgody na przetwarzanie danych osobowych z zachowaniem rygor\u243?w przewidzianych w postanowieniach RODO wyznacza ramy dopuszczalnego dzia\u322?ania administratora danych osobowych, kt\u243?re z za\u322?o\u380?enia nie mog\u261? narusza\u263? zasady minimalizacji danych. Wyra\u380?aj\u261?c zgod\u281? na przetwarzanie danych, najp\u243?\u378?niej \par \par w momencie rozpocz\u281?cia zbierania danych przez administratora, osoba kt\u243?rej te dane dotycz\u261?: akceptuje cel przetwarzania danych, akceptuje rodzaj (zakres) przetwarzanych danych, akceptuje ilo\u347?\u263? przetwarzanych danych, akceptuje spos\u243?b przetwarzania danych, akceptuje okres przetwarzania danych. Wyra\u380?enie zgody na przetwarzanie danych osobowych jest wi\u281?c swego rodzaju uzgodnieniem pomi\u281?dzy administratorem danych a osob\u261?, kt\u243?rej dotycz\u261? przetwarzane dane, tre\u347?ci\u261? kt\u243?rego jest wsp\u243?lna ocena, \u380?e dla realizacji zaakceptowanego przez te podmioty celu, najlepszym rozwi\u261?zaniem b\u281?dzie przetwarzanie, w przyj\u281?ty spos\u243?b, okre\u347?lonych zakresowo i ilo\u347?ciowo danych osobowych, przez niezb\u281?dny czas. Podmioty procesu przetwarzania danych (administrator i osoba, kt\u243?rej dotycz\u261? dane) wsp\u243?lnie formu\u322?uj\u261? subiektywn\u261? ocen\u281?, \u380?e b\u281?dzie on zgodny \u8211? mi\u281?dzy innymi \u8211? z zasad\u261? minimalizacji danych. \par \par Przyj\u281?te za\u322?o\u380?enie w kontek\u347?cie podniesionego w skardze kasacyjnej zarzutu naruszenia art. 5 ust. 1 lit. c RODO ma kardynalne znaczenie. Wy\u322?\u261?cza bowiem mo\u380?liwo\u347?ci podwa\u380?enia tre\u347?ci zgody na przetwarzanie danych osobowych przez organ nadzoru (PUODO). Naczelny S\u261?d Administracyjny nie podziela stanowiska organu, \u380?e posiada on kompetencj\u281? do podwa\u380?enia prawid\u322?owo wyra\u380?onej zgody na przetwarzanie danych osobowych, poprzez wykazanie, \u380?e dla osi\u261?gni\u281?cia wskazanego przez administratora danych osobowych celu przetwarzania, wystarczaj\u261?ce jest podj\u281?cie innych dzia\u322?a\u324?, ingeruj\u261?cych w dane osobowe w ni\u380?szym stopniu lub w og\u243?le. Je\u380?eli podstaw\u261? przetwarzania danych osobowych jest zgoda osoby, kt\u243?rej te dane dotycz\u261? i jest to zgoda wyra\u380?ona w spos\u243?b zgodny z rygorami RODO, organ nadzoru nie mo\u380?e kwestionowa\u263? przyj\u281?tego przez strony celu przetwarzania, zakresu i ilo\u347?ci przetwarzanych danych, sposobu ich przetwarzania oraz okresu ich przetwarzania. Wymienione parametry przetwarzania wi\u261?\u380?\u261?co dookre\u347?laj\u261? strony procesu przetwarzania danych osobowych. Jedyny wyj\u261?tek od tej regu\u322?y zosta\u322? przewidziany w art. 9 ust. 2 lit a RODO, kt\u243?ry wy\u322?\u261?cza mo\u380?liwo\u347?\u263? wyra\u380?enia zgody na przetwarzanie tzw. wra\u380?liwych danych osobowych, je\u380?eli prawo Unii lub prawo pa\u324?stwa cz\u322?onkowskiego przewiduj\u261?, \u380?e nie mo\u380?na wy\u322?\u261?czy\u263? zakazu ich przetwarzania. Skar\u380?\u261?cy kasacyjnie organ nie wykaza\u322? przepis\u243?w prawa, kt\u243?re in concreto wy\u322?\u261?cza\u322?yby mo\u380?liwo\u347?\u263? wyra\u380?enia zgody na przetwarzanie przez szko\u322?\u281? danych biometrycznych dzieci. \par \par Naczelny S\u261?d Administracyjny nie podziela stanowiska organu, \u380?e zaaprobowanie ocen prawnych S\u261?du pierwszej instancji mo\u380?e prowadzi\u263? do gromadzenia wszelkich danych osobowych niezale\u380?nie od celu przetwarzania. Raz jeszcze nale\u380?y podkre\u347?li\u263?, \u380?e przy przetwarzaniu danych osobowych na podstawie prawid\u322?owo wyra\u380?onej zgody osoby, kt\u243?rej dane dotycz\u261? to strony procesu przetwarzania danych uzgadniaj\u261?, jakie dane uznaj\u261? za niezb\u281?dne do osi\u261?gni\u281?cia przyj\u281?tego celu przetwarzania. Je\u380?eli organ nadzoru nie wyka\u380?e wadliwo\u347?ci samej zgody lub przepis\u243?w wy\u322?\u261?czaj\u261?cych zniesienie zakazu przetwarzania danych wra\u380?liwych (art. 9 ust. 2 lit a in fine), nie ma mo\u380?liwo\u347?ci formu\u322?owania zarzutu naruszenia zasady minimalizacji danych wywodz\u261?c brak adekwatno\u347?ci procesu przetwarzania danych do za\u322?o\u380?onego celu przetwarzania. \par \par Skar\u380?\u261?cy kasacyjnie organ eksponuje, \u380?e stosownie do postanowie\u324? art. 106 ustawy Prawo o\u347?wiatowe w celu zapewnienia prawid\u322?owej realizacji zada\u324? opieku\u324?czych, w szczeg\u243?lno\u347?ci wspierania prawid\u322?owego rozwoju uczni\u243?w, szko\u322?a mo\u380?e zorganizowa\u263? sto\u322?\u243?wk\u281?. W ocenie organu przedmiotowa okoliczno\u347?\u263? \u347?wiadczy o tym, \u380?e podstaw\u261? przetwarzania przez szko\u322?\u281? danych osobowych dzieci w celu realizacji zadania, jakim jest prowadzenie sto\u322?\u243?wki, mo\u380?e by\u263? wy\u322?\u261?cznie art. 6 ust. 1 \par \par lit. e RODO. Stosownie do tre\u347?ci tego przepisu przetwarzanie danych osobowych jest zgodne z prawem mi\u281?dzy innymi, gdy jest niezb\u281?dne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania w\u322?adzy publicznej powierzonej administratorowi. Oznacza to, \u380?e szko\u322?a przetwarza dane osobowe ucznia na podstawie przepis\u243?w prawa, wykonuj\u261?c swoje ustawowe zadania. Zdaniem organu realizuj\u261?c t\u281? us\u322?ug\u281? szko\u322?a mo\u380?e przetwarza\u263? tylko te dane osobowe ucznia, kt\u243?re s\u261? niezb\u281?dne do \u347?wiadczenia us\u322?ugi sto\u322?\u243?wki szkolnej. Naczelny S\u261?d Administracyjny co do zasady zgadza si\u281? ze skar\u380?\u261?cym kasacyjnie organem, \u380?e przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. e RODO odbywa si\u281? bez zgody podmiotu, kt\u243?rego dotycz\u261? dane, a zatem kontrola adekwatno\u347?ci przetwarzanych danych do wskazanego w przepisach prawa celu przetwarzania (kontrola realizacji zasady minimalizacji danych) przez organ nadzoru jest dopuszczalna. Konieczna jest bowiem mo\u380?liwo\u347?\u263? weryfikacji proporcjonalno\u347?ci przetwarzanych danych do przyj\u281?tego prawem celu przetwarzania. Odbywa si\u281? ona poprzez por\u243?wnanie ram przetwarzania danych osobowych przej\u281?tych przez administratora z granicami dopuszczalnego przetwarzania danych osobowych wyznaczonymi przez przepisy RODO i innych akt\u243?w prawnych. Nie oznacza to jednak, \u380?e podmiot kt\u243?rego dotycz\u261? dane nie mo\u380?e \par \par w ramach prawid\u322?owo wyra\u380?onej zgody autonomicznie okre\u347?li\u263? zakresu i ilo\u347?ci przetwarzanych danych oraz czasu i sposobu ich przetwarzania. Organ pomija fakt, \u380?e okre\u347?lone tre\u347?ci\u261? art. 6 ust. 1 i art. 9 ust. 2 RODO przes\u322?anki legalizuj\u261?ce przetwarzanie danych osobowych maj\u261? wobec siebie charakter samodzielny \par \par i roz\u322?\u261?czny. Samodzielno\u347?\u263? i roz\u322?\u261?czno\u347?\u263? okre\u347?lonych w art. 6 ust. 1 i art. 9 ust. 2 RODO warunk\u243?w przetwarzania danych osobowych oznacza, \u380?e ka\u380?dy z tych warunk\u243?w samodzielnie i osobno potwierdza zgodno\u347?\u263? z prawem tego procesu. Nie oznacza to jednak, \u380?e warunki przetwarzania danych osobowych okre\u347?lone w tych przepisach nie mog\u261? si\u281? kumulowa\u263?. O dopuszczalno\u347?ci kumulowania przes\u322?anek przetwarzania danych osobowych prawodawca unijny przes\u261?dzi\u322? wprost w art. 6 ust. 1 RODO, w kt\u243?rym zastrze\u380?ono, \u380?e przetwarzanie danych osobowych jest zgodne \par \par z prawem, gdy spe\u322?niony jest "co najmniej" jeden z wymienionych w tym przepisie warunk\u243?w. W tre\u347?ci art. 9 ust. ust. 2 RODO analogicznego zastrze\u380?enia nie uczyniono ("spe\u322?niony jest jeden z poni\u380?szych warunk\u243?w"), niemniej w ocenie Naczelnego S\u261?du Administracyjnego istniej\u261? systemowe argumenty przemawiaj\u261?ce za dopuszczeniem kumulowania si\u281? podstaw przetwarzania wra\u380?liwych danych osobowych, wymienionych w art. 9 ust. 2 lit a-j RODO. \u346?wiadczy o tym tre\u347?\u263? art. 17 ust.1 lit. b RODO, kt\u243?ry dopuszcza \u380?\u261?danie usuni\u281?cia danych osobowych, gdy "osoba, kt\u243?rej dane dotycz\u261?, cofn\u281?\u322?a zgod\u281?, na kt\u243?rej opiera si\u281? przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania". Prawodawca unijny zak\u322?ada zatem wprost, \u380?e zgoda nie musi w konkretnym przypadku stanowi\u263? jedynej podstawy przetwarzania wra\u380?liwych danych osobowych. Mo\u380?e ona wsp\u243?\u322?wyst\u281?powa\u263? z pozosta\u322?ymi podstawami przetwarzania takich danych, wymienionymi w art. 9 ust. 2 lit. b-j RODO. \par \par Dopuszczalno\u347?\u263? przetwarzania danych osobowych przez administratora bez zgody osoby, kt\u243?rej te dane dotycz\u261? w oparciu o jedn\u261? z podstaw wymienionych \par \par w art. 6 ust. 1 lit. b-f lub art. 9 ust. 2 lit. b-j RODO, nie wyklucza zatem przetwarzania danych osobowych na podstawie zgody, w oparciu o art. 6 ust. 1 lit a lub art. 9 ust. 2 lit. a RODO, i to nawet w\u243?wczas, gdy cel tego przetwarzania w obu przypadkach jest to\u380?samy. Przedstawione stanowisko mo\u380?na uj\u261?\u263? r\u243?wnie\u380? odwrotnie: je\u380?eli podmiot, kt\u243?rego dotycz\u261? dane wyrazi\u322? skutecznie zgod\u281? na ich przetwarzanie w rozumieniu \par \par art. 6 ust. 1 lit a lub art. 9 ust. 2 lit a RODO, zb\u281?dne jest poszukiwanie podstaw legitymizacji tego przetwarzania w postanowieniach art. 6 ust. 1 lit. b-f lub art. 9 ust. 2 lit. b-j RODO \u8211? wyroki ETS z 4 lipca 2023 r., Meta Platforms i in., C-252/21, EU:C:2023:537, pkt. 90-94 i z 4 pa\u378?dziernika 2024 r., Autoriteit Persoonsgegevens, \par \par C-621/22, publ. www.eur-lex.europa.eu. \par \par Powo\u322?ane w skardze kasacyjnej wyroki Naczelnego S\u261?du Administracyjnego \par \par z 1 grudnia 2009 r., I OSK 249/09 oraz 6 wrze\u347?nia 2011 r., I OSK1476/10 nie zosta\u322?y wydane na gruncie przepis\u243?w RODO, lecz na gruncie nieobowi\u261?zuj\u261?cej ju\u380? ustawy \par \par z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). W \u347?wietle przedstawionych wy\u380?ej ocen prawnych wyra\u380?one w tych wyrokach stanowisko nie znajduje adekwatnego prze\u322?o\u380?enia na uwarunkowania faktyczno-prawne niniejszej sprawy. Eksponowane w nim ryzyko naruszenia zasady proporcjonalno\u347?ci nie wyst\u281?puje na gruncie RODO, je\u380?eli zgoda na przetwarzanie wra\u380?liwych danych osobowych zosta\u322?a wyra\u380?ona skutecznie, a administrator danych osobowych realizuje na\u322?o\u380?one na niego rygory zwi\u261?zane z ochron\u261? tych danych. \par \par Akceptacja prezentowanego w skardze kasacyjnej sposobu wyk\u322?adni art. 5 ust. 1 lit. c RODO (ale r\u243?wnie\u380? i art. 5 ust. 1 lit. b RODO) w zwi\u261?zku z art. 9 ust. 2 lit a RODO (ale r\u243?wnie\u380? i art. 6 ust. 1 lit. a RODO) by\u322?aby de facto r\u243?wnoznaczna \par \par z systemowym dopuszczeniem mo\u380?liwo\u347?ci podwa\u380?enia zaakceptowanego \par \par przez osob\u281?, kt\u243?rej dotycz\u261? dane, w wyra\u380?onej przez ni\u261? zgodzie, zakresu, sposobu \par \par i czasu przetwarzania jej danych osobowych, o ile organ nadzoru dojdzie do przekonania, \u380?e dane te s\u261? nieadekwatne (nieproporcjonalne) do przyj\u281?tego sposobu przetwarzania. Raz jeszcze nale\u380?y podkre\u347?li\u263?, \u380?e je\u380?eli osoba, kt\u243?rej dotycz\u261? dane, na mocy przyznanej jej tre\u347?ci\u261? art. 6 ust. 1 lit. a b\u261?d\u378? art. 9 ust. 2 lit a RODO autonomii, \u347?wiadomie, dobrowolnie, konkretnie, jednoznacznie, a w odniesieniu do danych wra\u380?liwych r\u243?wnie\u380? wyra\u378?nie zgodzi si\u281? na przetwarzanie jej danych osobowych, wyznaczaj\u261?c "parametry" tego przetwarzania w spos\u243?b, kt\u243?ry w przekonaniu tej osoby realizuje zadekretowan\u261? w art. 5 ust. 1 lit b RODO zasad\u281? minimalizacji danych, to nie ma podstaw do formu\u322?owania odmiennych ocen w tym zakresie. W takim wypadku tre\u347?\u263? zasady minimalizacji danych "wype\u322?nia" zgoda osoby, kt\u243?rej dane osobowe b\u281?d\u261? przetwarzane. Wszystkie podnoszone przez skar\u380?\u261?cy kasacyjnie organ zastrze\u380?enia dotycz\u261?ce proporcjonalno\u347?ci przetwarzanych danych mog\u261? w takim uk\u322?adzie zosta\u263? zweryfikowane w ramach oceny, czy wyra\u380?ona na przetwarzanie danych zgoda posiada wymagane postanowieniami RODO przymioty, a wi\u281?c czy by\u322?a \u347?wiadoma, dobrowolna, konkretna, jednoznaczna, a w odniesieniu do danych wra\u380?liwych r\u243?wnie\u380? wyra\u378?na. Je\u380?eli osoba wyra\u380?aj\u261?ca zgod\u281? na przetwarzanie swoich danych osobowych podj\u281?\u322?a j\u261? w spos\u243?b wolny, bez nacisk\u243?w, szeroko rozumianego przymusu, ze \u347?wiadomo\u347?ci\u261? celu, sposobu i czasu przetwarzania oraz zakresu i ilo\u347?ci udost\u281?pnianych danych, nie mo\u380?na zarzuca\u263?, \u380?e dosz\u322?o do naruszenia zasady minimalizacji danych, albowiem posiada ona jakie\u347? "obiektywne" i "rozs\u261?dne" kryteria realizacji, kt\u243?rych przedmiotowa zgoda nie spe\u322?nia. Argumentacj\u281? wspieraj\u261?c\u261? przyj\u281?te stanowisko mo\u380?na zbudowa\u263? r\u243?wnie\u380? o tre\u347?\u263? art. 9 ust. 2 lit e RODO, kt\u243?ry znosi zakaz przetwarzania wra\u380?liwych danych osobowych, je\u380?eli zosta\u322?y w spos\u243?b oczywisty upublicznione przez osob\u281?, kt\u243?rej dotycz\u261?. Prawodawca unijny przes\u261?dza zatem, \u380?e autonomia osoby udost\u281?pniaj\u261?cej swoje dane ma najwy\u380?sz\u261? moc legitymizuj\u261?c\u261? proces ich przetwarzania. Oczywiste upublicznienie swoich wra\u380?liwych danych osobowych jest form\u261? wyra\u380?enia zgody na ich przetwarzanie. W takim uk\u322?adzie trudno wymaga\u263?, aby osoba, kt\u243?rej dane dotycz\u261? mia\u322?a \u347?wiadomo\u347?\u263? celu, w jakim podmioty, kt\u243?re uzyskaj\u261? te dane b\u281?d\u261? je przetwarza\u263?. Nie spos\u243?b r\u243?wnie\u380? weryfikowa\u263?, czy upublicznione dane osobowe b\u281?d\u261? adekwatne do celu ich przetwarzania, albowiem na moment ich upublicznienia nie da si\u281? ustali\u263?, czy w og\u243?le b\u281?d\u281? przetwarzane, a je\u380?eli tak, to w jakim celu. \par \par Wy\u322?o\u380?one wzgl\u281?dy pozwalaj\u261? wnioskowa\u263?, \u380?e prawodawca unijny zak\u322?ada, i\u380? wola i autonomia osoby, kt\u243?rej dotycz\u261? dane osobowe ma zasadniczy wp\u322?yw na rozumienie zakresu normowania i stosowania zasady minimalizacji danych (art. 5 ust. 1 lit c RODO), gdy podstaw\u261? ich przetwarzania jest zgoda tej osoby. \par \par W tym stanie rzeczy nale\u380?y przyj\u261?\u263?, \u380?e wyra\u380?enie zgody przez rodzic\u243?w, na przetwarzanie danych biometrycznych ich dzieci w postaci linii papilarnych, w celu weryfikacji op\u322?acenia w danym dniu posi\u322?ku na sto\u322?\u243?wce nie narusza\u322?o wyra\u380?onej \par \par w art. 5 ust. 1 lit c RODO zasady minimalizacji danych. Moc\u261? przyznanej autonomii rodzice w spos\u243?b wyra\u378?ny, \u347?wiadomy, dobrowolny, konkretny \par \par i jednoznaczny okre\u347?lili jakie dane ich dzieci maj\u261? by\u263? przetwarzane, w jakim celu i w jaki spos\u243?b. Nale\u380?y r\u243?wnie\u380? doda\u263?, co zdaje si\u281? umyka\u263? organowi, \u380?e odciski palc\u243?w dzieci, by\u322?y zapisywane wy\u322?\u261?cznie w pami\u281?ci urz\u261?dzenia identyfikuj\u261?cego. Szko\u322?a nie tworzy\u322?a w systemie komputerowym zbioru wzor\u243?w odcisk\u243?w palc\u243?w dzieci. Urz\u261?dzenie identyfikuj\u261?ce przypisywa\u322?o odcisk palca konkretnego dziecka do odpowiadaj\u261?cego mu numeru i dopiero ten numer by\u322? wysy\u322?any do systemu komputerowego, kt\u243?ry \u322?\u261?czy\u322? go z imieniem i nazwiskiem dziecka oraz numerem umowy o posi\u322?ek. Na serwerze komputerowym szko\u322?a nie przechowywa\u322?a wi\u281?c cyfrowych obraz\u243?w odcisk\u243?w palc\u243?w dzieci. Znajdowa\u322?y si\u281? one wy\u322?\u261?cznie na urz\u261?dzeniu identyfikuj\u261?cym, kt\u243?re nie mog\u322?o przypisa\u263? danego odcisku palca do to\u380?samo\u347?ci konkretnego dziecka. \par \par Skar\u380?\u261?cy kasacyjnie organ wywodzi, \u380?e S\u261?d pierwszej instancji nie odni\u243?s\u322? si\u281? do monitowanej wadliwo\u347?ci wyra\u380?onej przez rodzic\u243?w zgody na przetwarzanie danych, co w jego ocenie wy\u322?\u261?cza zasadno\u347?\u263? przypisania jej cech dobrowolno\u347?ci. Eksponuje, \u380?e ustalone przez szko\u322?\u281? zasady wydawania posi\u322?k\u243?w dyskryminuj\u261? dzieci, kt\u243?rych rodzice nie wyrazili zgody na przetwarzanie ich linii papilarnych, albowiem w pierwszej kolejno\u347?ci na sto\u322?\u243?wk\u281? wpuszczane s\u261? dzieci na podstawie identyfikacji biometrycznej, a po nich pozosta\u322?e dzieci, pojedynczo. W takim uk\u322?adzie zdaniem organu rodzice dzieci pozostawali w sytuacji przymusowej, albowiem brak wyra\u380?enia zgody na przetwarzanie danych biometrycznych ich dzieci, stawia\u322? je w niekorzystnej sytuacji. \par \par Naczelny S\u261?d Administracyjny potwierdza, \u380?e S\u261?d pierwszej instancji nie odni\u243?s\u322? si\u281? do przedmiotowej kwestii w uzasadnieniu swojego wyroku. Nie ma jednak podstaw do kwalifikowania przedmiotowego uchybienia w kategorii b\u322?\u281?dnej wyk\u322?adni lub niew\u322?a\u347?ciwego zastosowania art. 9 ust. 2 lit. a RODO. Naczelny S\u261?d Administracyjny przyjmuje, i\u380? mimo b\u322?\u281?dnego uzasadnienia w wytkni\u281?tym przez organ zakresie wyrok WSA odpowiada prawu \u8211? art. 184 \u167? 1 in fine p.p.s.a. \par \par Skar\u380?\u261?cy kasacyjnie organ w ramach zarzutu naruszenia art. 9 ust. 2 lit a RODO pr\u243?buje podwa\u380?y\u263? zgod\u281? wyra\u380?on\u261? przez rodzic\u243?w dzieci, kt\u243?rych dane biometryczne by\u322?y przetwarzane przez szko\u322?\u281?, poprzez wykazanie, i\u380? nie posiada ona wy\u322?\u261?cznie jednej cechy \u8211? dobrowolno\u347?ci. Z przyj\u281?tej przez WSA podstawy faktycznej wyroku ujawnionej w jego uzasadnieniu wynika, \u380?e zgoda na przetwarzanie danych biometrycznych dzieci zosta\u322?a z\u322?o\u380?ona na pi\u347?mie, w umowie "o korzystanie z obiad\u243?w", w celu weryfikacji op\u322?acenia posi\u322?ku na sto\u322?\u243?wce w danym dniu. Nie jest kwestionowane, \u380?e odmowa wyra\u380?enia zgody na przetwarzanie danych biometrycznych dziecka, nie skutkowa\u322?a niewydaniem mu posi\u322?ku. Weryfikacja op\u322?acenia posi\u322?ku dla dziecka nast\u281?powa\u322?a w\u243?wczas na podstawie nazwiska i numeru umowy. Odmowa wyra\u380?enia zgody na przetwarzanie danych biometrycznych dziecka nie powodowa\u322?a wi\u281?c, \u380?e umowa o posi\u322?ki dla dziecka na sto\u322?\u243?wce szkolnej nie mog\u322?a zosta\u263? zrealizowana. Naczelny S\u261?d Administracyjny nie podziela oceny skar\u380?\u261?cego kasacyjnie organu, \u380?e zgoda na przetwarzanie danych biometrycznych dzieci by\u322?a wyra\u380?ana pod przymusem. \u346?wiadczy\u263? o tym maj\u261? przyj\u281?te przez szko\u322?\u281? zasady korzystania ze sto\u322?\u243?wki, zgodnie z kt\u243?rymi w pierwszej kolejno\u347?ci wpuszczane s\u261? na ni\u261? dzieci, w stosunku do kt\u243?rych weryfikacja op\u322?acenia posi\u322?ku nast\u261?pi\u322?a z wykorzystaniem czytnika linii papilarnych. Nie jest kwestionowane, \u380?e cz\u281?\u347?\u263? rodzic\u243?w nie wyrazi\u322?a zgody na przetwarzanie danych biometrycznych dzieci, a mimo to dzieci te korzystaj\u261? ze sto\u322?\u243?wki, tyle \u380?e weryfikacja op\u322?acenia przeznaczonego dla nich posi\u322?ku trwa d\u322?u\u380?ej, gdy\u380? wymaga "r\u281?cznej" identyfikacji dziecka w systemie poprzez imi\u281?, nazwisko i numer umowy. \par \par Naczelny S\u261?d Administracyjny zauwa\u380?a nadto, \u380?e w toku post\u281?powania szko\u322?a wyja\u347?ni\u322?a, i\u380? identyfikacj\u281? biometryczn\u261? op\u322?acenia posi\u322?ku dla dzieci wprowadzi\u322?a na pro\u347?b\u281? Rady Rodzic\u243?w, w celu usprawnienia procesu korzystania ze sto\u322?\u243?wki. Stosowane dotychczas sposoby weryfikacji op\u322?acenia posi\u322?ku tak w ocenie szko\u322?y, jak i cz\u281?\u347?ci rodzic\u243?w nie gwarantowa\u322?y szybkiego i p\u322?ynnego korzystania ze sto\u322?\u243?wki. \par \par We wniesionej do WSA skardze szko\u322?a poda\u322?a r\u243?wnie\u380?, \u380?e zamieszczony na stronie internetowej zapis zasad korzystania ze sto\u322?\u243?wki: "uczniowie, kt\u243?rzy nie posiadaj\u261? identyfikacji biometrycznej, przepuszczaj\u261? wszystkich i oczekuj\u261? na ko\u324?cu kolejki, oraz gdy wszyscy uczniowie z identyfikacj\u261? biometryczn\u261? wejd\u261? do sto\u322?\u243?wki, rozpoczyna si\u281? wpuszczanie pojedynczo uczni\u243?w bez identyfikacji biometrycznej" powsta\u322? w okresie wdro\u380?eniowym (wrzesie\u324? 2015 r.). Ju\u380? po kilku miesi\u261?cach szko\u322?a w celu usprawnienia procesu wchodzenia na sto\u322?\u243?wk\u281? uruchomi\u322?a drugie stanowisko komputerowe z czytnikiem i od tego czasu wszystkie dzieci ustawia\u322?y si\u281? w jednej kolejce na sto\u322?\u243?wk\u281?. Szko\u322?a przyzna\u322?a, \u380?e nieusuni\u281?cie powo\u322?anego przez organ fragmentu zasad korzystania ze sto\u322?\u243?wki ze strony internetowej by\u322?o niedopatrzeniem. Wynikaj\u261?ce z niego pierwsze\u324?stwo korzystania ze sto\u322?\u243?wki przez dzieci z identyfikacj\u261? biometryczn\u261? w praktyce nie mia\u322?o miejsca i zosta\u322?o wykluczone postanowieniami regulaminu sto\u322?\u243?wki oraz um\u243?w o posi\u322?ki zawieranych z rodzicami dzieci. Z za\u322?\u261?czonego do skargi pkt 4 regulaminu sto\u322?\u243?wki wynika, \u380?e "Klasy 0 przychodz\u261? na posi\u322?ki pod nadzorem wychowawcy. Uczniowie pozosta\u322?ych klas ustawiaj\u261? si\u281? w kolejce." Z kolei z tre\u347?ci \u167? 5 za\u322?\u261?cznika nr 1 do Regulaminy Sto\u322?\u243?wki \u8211? "Umowa o korzystanie z obiad\u243?w w sto\u322?\u243?wce szkolnej Szko\u322?y Podstawowej nr 2 z oddzia\u322?ami sportowymi" wynika, \u380?e Regulamin jest integraln\u261? cz\u281?\u347?ci\u261? umowy, a rodzic podpisuj\u261?cy umow\u281? akceptuje jego tre\u347?\u263? i zobowi\u261?zuje si\u281? go przestrzega\u263?. Nale\u380?y zatem przyj\u261?\u263?, \u380?e tak z tre\u347?ci umowy o posi\u322?ki, jak i z tre\u347?ci Regulaminu Sto\u322?\u243?wki wynika, \u380?e wszystkie dzieci korzystaj\u261?ce ze sto\u322?\u243?wki, niezale\u380?nie od sposobu weryfikacji op\u322?acenia posi\u322?ku, ustawiaj\u261? si\u281? w jednej kolejce. We wniesionej odpowiedzi na skarg\u281? organ w og\u243?le si\u281? do przedmiotowych okoliczno\u347?ci nie odni\u243?s\u322?. W tym stanie rzeczy Naczelny S\u261?d Administracyjny nie znalaz\u322? podstaw, aby przyj\u261?\u263?, \u380?e w sprawie dosz\u322?o do naruszenia art. 9 ust. 2 lit. a RODO, poprzez wadliwe przyj\u281?cie, \u380?e zgoda wyra\u380?ona przez rodzic\u243?w na przetwarzanie przez szko\u322?\u281? danych biometrycznych dzieci w celu weryfikacji op\u322?acenia posi\u322?ku nie by\u322?a dobrowolna, a w konsekwencji skuteczna. \par \par Nieuwzgl\u281?dnienie zarzut\u243?w naruszenia art. 5 ust. 1 lit. c RODO i art. 9 ust. 2 lit. a RODO przes\u261?dza o nieskuteczno\u347?ci zarzutu naruszenia art. 6, 7, 8 K.p.a. oraz art. 7 Konstytucji. \par \par Z wy\u322?o\u380?onych przyczyn Naczelny S\u261?d Administracyjny, dzia\u322?aj\u261?c na podstawie art. 184 p.p.s.a., oddali\u322? skarg\u281? kasacyjn\u261?. \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth9346 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \pard}