II SA/Wa 125/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Andrzej Góraj (spr.), Asesor WSA Dorota Kozub-Marciniak, , po rozpoznaniu w trybie uproszczonym w dniu 4 września 2025 r. sprawy ze skargi J.J. i B.N. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Postępowanie przed Prezesem Urzędu Ochrony Danych Osobowych zainicjowała skarga J. J. i B. N. (zwanych dalej także skarżącymi) na nieprawidłowości w procesie przetwarzania danych osobowych małoletniego A. N. przez Zespół Szkół nr [...] w [...] (dalej jako Szkoła) polegające na nieuprawnionym przetwarzaniu jego danych osobowych o stanie zdrowia, udostępnieniu jego danych osobowych na rzecz osób i podmiotów nieuprawnionych oraz nieprawidłowej realizacji obowiązku informacyjnego, wynikającego z art. 15 RODO, w odpowiedzi na wniosek z [...] września 2023 r. Skarżący wskazali, że Szkoła bezpodstawnie przetwarza dane osobowe ich małoletniego syna A. N. zawarte w wywiadzie środowiskowym oraz dokumentach, a ponadto wskazali na nieprawidłowości w realizacji ich wniosku z [...] września 2023 r., złożonego w trybie art. 15 ust. 1 i 3 RODO, tj. brak udostępnienia kopii wnioskowanych danych, brak wskazania w udzielonej im odpowiedzi celu przetwarzania danych wrażliwych oraz wskazanie w odpowiedzi nieprawdziwych informacji w zakresie tego komu będą udostępniane dane wrażliwe A. N. . Prezes Urzędu Ochrony Danych Osobowych (dalej jako: organ lub Prezes UODO) działając na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572; dalej Kpa), w zw. z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), art. 5 ust. 1, art. 6 ust. 1, art. 9 ust. 1, art. 12, art. 15 ust. 1 i 3, art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzanie danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str.1, Dz. Urz. UE L127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) po rozpoznaniu wniesionej przez skarżących skargi, decyzją z [...] listopada 2024 r. nr [...]. 1. udzielił upomnienia Szkole za naruszenie art. 5 ust. 1 lit. a i art. 9 ust. 1, polegające na bezpodstawnym uzyskaniu dostępu do danych osobowych dotyczących zdrowia małoletniego A. N. pozyskanych przez NZOZ [...] ; 2. umorzył postępowanie w zakresie dotyczącym zarzutu udostępnienia danych A. N. przez Szkołę na rzecz rodziców uczniów szkoły; 3. udzielił Szkole upomnienia za naruszenie art. 5 ust. 1 lit. a i b oraz art. 6 ust. 1 RODO poprzez udostępnienie danych osobowych A. N. w zakresie imienia i nazwiska w tabeli pt. [...] za pośrednictwem strony internetowej http.[...] bez podstawy prawnej nieograniczonemu kręgowi osób; 4. udzielił Szkole upomnienia za naruszenie art. 12 ust. 1 RODO w związku z art. 15 ust. 1 i 3 RODO, poprzez nieprawidłową realizację obowiązku informacyjnego dotyczącego przetwarzania danych osobowych małoletniego A. N. w odpowiedzi na wniosek skarżących z [...] września 2023 r., tj. nieudzielenie pełnych i prawidłowych odpowiedzi na zapytanie; 5. odmawia uwzględnienia wniosku w pozostałym zakresie. Prezes UODO rozpoznając wniesioną przez skarżących skargę, uzyskał wyjaśnienia odnośnie do okoliczności sprawy oraz ustalił następujący stan faktyczny: 1. A. N. jest uczniem klasy [...] Ogólnokształcącej Szkoły Muzycznej [...] stopnia nr [...] imienia [...], która to wchodzi w skład Zespół Szkół Nr [..] przy ul. [...] w [...]; 2. NZOZ [...] B. W. na podstawie umowy o świadczenie usług medycznych świadczy usługi na rzecz uczniów Szkoły. Na terenie Szkoły posiada gabinet i udziela świadczeń pielęgniarka środowiskowa D. S.; 3. Skarżący [...] września 2023 r. zwrócili się do Ogólnokształcącej Szkoły Muzycznej [...] st. nr [...] im. [...] z wnioskiem o udostępnienie informacji związanych z przetwarzaniem przez nią danych osobowych ich syna A. N. poprzez odpowiedź na następujące pytania: • jakie dane osobowe z kategorii danych wrażliwych (w rozumieniu art. 9 RODO) dotyczące A. są przez Szkołę przetwarzane, • jakie są cele tego przetwarzania, • jak długo ww. dane A. będą przez Szkołę przechowywane, • jakim odbiorcom te dane zostały lub zostaną ujawnione, • z jakich źródeł pochodzą ww. dane osobowe. Równocześnie Skarżący zwrócili się o udostępnienie im kopii ww. danych osobowych, jeśli są one przetwarzane; 4. Odpowiadając na ww. wniosek. Szkoła pismem z 18 września 2023 r. poinformowała Skarżących, że jest w posiadaniu następujących danych wrażliwych A. N. zawartych w następujących dokumentach: kwestionariusza osobowego ucznia, karty świetlicowej, wywiadu środowiskowego, zgód na wyjścia i wycieczki, zgody rodziców na lekcje wychowania fizycznego i zajęcia edukacyjne organizowane poza szkołą, oświadczenia o nieuczestniczeniu w lekcjach religii, informacji o gotowości dziecka do podjęcia nauki w szkole podstawowej – [...] Szkole Podstawowej [...], Diagnozy przetwarzania procesów sensorycznych nr [...] oraz Oceny integracji schematów odruchów dynamicznych i posturalnych oraz oceny funkcjonowania zmysłów. Szkoła wskazała, że celem przetwarzania ww. danych jest art. 6 ust. 1 lit. c, art. 9 ust. 2 lit. a i b RODO. Uzasadniając Szkoła wskazała, że w jednym lub w kilku celach Skarżący wyrazili zgodę na przetwarzanie danych, a w innych przypadkach podstawą przetwarzania danych są przepisy ustawy prawo oświatowe. Odnosząc się do terminu przetwarzania danych, Szkoła wskazała na przetwarzanie danych do momentu ukończenia nauki A. N. w placówce, a w przypadku danych przetwarzanych na podstawie zgody do czasu jej wycofania. Ponadto, Szkoła wskazała, że dane nie zostały ujawnione żadnym odbiorcom, a dostęp do danych mają pracownicy pedagogiczni (pedagog, psycholog, pielęgniarka, wszyscy nauczyciele oraz dyrekcja). Szkoła oświadczyła, że pozyskała wszystkie dane osobowe wrażliwe A. N. od Skarżących. W załączeniu do przedmiotowego pisma Szkoła nie udostępniła Skarżącym wnioskowanej kopii danych A. N. , ani nie odniosła się do tego wniosku; 5. W kolejnym piśmie z 18 września 2023 r. Szkoła poinformowała, że przetwarza dane na podstawie Prawa oświatowego, Karty Nauczyciela, ustawy o systemie oświaty, ustawy o systemie informacji oświatowej, ustawy o finansowaniu zadań oświatowych oraz rozporządzeń do ww. ustaw. Szkoła wskazała również, że na podstawie zgody Skarżących przetwarza dane, tj. dane osób upoważnionych do odbioru dziecka; dane szczególnej kategorii jak opinie, orzeczenia, stopień niepełnosprawności oraz posiada zgody na publikację wizerunku, imienia, nazwiska, klasy w miejscach i celach określonych w zgodach. Ponadto, Szkoła wskazała Skarżącym kontakt do inspektora ochrony danych (dalej lOD) celem pozyskania dodatkowych informacji; 6. Wobec niezadowolenia z udzielonej odpowiedzi. Skarżący skierowali do lOD zapytanie. W odpowiedzi lOD poinformował ich, że polecił administratorowi szczegółową odpowiedź na ich zapytanie oraz wskazał, że Szkoła we współpracy z higienistką, pielęgniarką, pedagogiem, psychologiem przygotowuje tą informację, a w zawiązku z dużym obciążeniem, z uwagi na "rozpoczęcie roku szkolnego", wystąpiło opóźnienie. Ponadto, lOD poinformował Skarżących, że podstawą prawną wykonywania wywiadu środowiskowego jest art. 68 ust. 1 ustawy Prawo oświatowe oraz że nie jest to "Wywiad Środowiskowy" sporządzany np. w związku z rozporządzeniem Ministra Edukacji i Nauki z dnia 22 lipca 2022 r. w sprawie zasad organizacji i udzielania pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach, czy w związku z rozporządzeniem Ministra Sprawiedliwości z dnia 12 października 2022 r. w sprawie przeprowadzania wywiadów środowiskowych o nieletnich; 7. Następnie, Skarżący zwrócili się do lOD o wskazanie co znaczy, że Szkoła jest obciążona i nie ma czasu skopiować danych oraz gdzie w art. 68 ust. 1 ustawy Prawo oświatowe jest mowa o wywiadzie środowiskowym, który z punktów wymienionych w tym przepisie uprawnia dyrekcję szkoły do zbierania (bez ich wiedzy i zgody, z niewiadomych źródeł) informacji na ich temat. Odpowiadając, lOD wyjaśnił, że nie jest uprawniony do odpowiadania w imieniu Szkoły, jeżeli chodzi o organizację pracy oraz potwierdził, że administrator każdej placówki oświatowej musi skonsultować się z pielęgniarką w sprawie posiadanych danych wrażliwych dzieci i nie są to dokumenty, które są ogólnodostępne w placówce. lOD wskazał również, że dokument "Wywiad Środowiskowy" wypełniała i podpisywała Skarżąca osobiście; 8. Pismem z 29 września 2023 r. Szkoła, uzupełniając odpowiedź na wniosek Skarżących, wskazała dokumenty, w których znajdują się dane A. N. , wybrane kategorie danych wrażliwych zawartych w dokumentach wymienionych w piśmie z 18 września 2023 r., cel (wykonywanie ciążących na Szkole obowiązków prawnych: prowadzenia księgi uczniów, dziennika lekcyjnego, arkusza ocen i księgi ocen, dziennika pedagoga i psychologa), czas i podstawę przetwarzania danych. Ponadto Szkoła wskazała, że w załączeniu do pisma udostępnia kopie posiadanych dokumentów zawierające dane wrażliwe A. N. ; 9. W toku postępowania organu Szkoła wskazała, że dane A. N. pozyskiwała tylko od jego rodziców z udostępnionych jej dokumentów, tj. wywiadu środowiskowego, informacji o woli uczęszczania na religię/etykę, karty informacyjnej dotyczącej potrzeby noszenia okularów, informacji dotyczącej stosowania diety, informacji o przebytych zabiegach oraz opiece stomatologicznej, kwestionariusza osobowego z [...] lutego 2022 r., testów przesiewowych do badania bilansowego ucznia klasy pierwszej z [...] kwietnia 2022 r., kart zdrowia ucznia, diagnozy przetwarzania procesów sensorycznych, oceny integracji schematów odruchów dynamicznych i posturalnych oraz oceny funkcjonowania zmysłów, informacji o gotowości podjęcia nauczania przez dziecko w szkole podstawowej, notatki z rozmowy podczas spotkania z rodzicami [...] marca 2023 r., wniosku o objęcie dziecka opieką psychologiczno-pedagogiczną, informacji o udzielenie lub nie pomocy pedagogiczno-psychologicznej dziecku, oświadczenia/zgody rodziców na udział dziecka w wycieczce, karty zgłoszenia dziecka do świetlicy oraz arkusza ocen. Szkoła wskazała również, że posiada zgodę Skarżących na pomiar temperatury dziecka, wykonywanie testów przesiewowych oraz objęcie dziecka pomocą psychologiczno-pedagogiczną. Szkoła wskazała, że udostępnia dane osobowe dziecka Skarżących Ministrowi Edukacji Narodowej za pośrednictwem systemu informacji oświatowej, organom kontrolującym Szkołę w związku ze skargami Skarżących oraz pielęgniarce. Szkoła oświadczyła, że pracownicy mają dostęp do danych A. N. na podstawie nadanych im upoważnień; 10. Szkoła oświadczyła, że Skarżący nie zwracali się do niej z wnioskami o usunięcie danych A. N. 11. Odnosząc się do realizacji wniosku Skarżących z [...] września 2023 r.. Szkoła wskazała, że przekazała Skarżącym kopię dokumentów, na podstawie których pozyskała dane A. N. , w tym dane sensytywne, zgodnie ze złożonym wnioskiem. Jednocześnie Szkoła wskazała, że nie przekazała danych z protokołu z egzaminu końcowego, notatek służbowych, kartkówek, sprawdzianów, diagnoz, rysunków czy innych prac, na których widnieje imię i nazwisko A. N. . Szkoła wskazała również, że zaświadczenie od urologa, ortodonty czy karty wypisu ze szpitala zostały usunięte po zakończeniu celu ich przetwarzania. Odnosząc się do terminu realizacji wniosku. Szkoła wyjaśniła, że odpowiedź udzielona została w terminie i była systematycznie uzupełniana zgodnie z uwagami Skarżących. 12. W odpowiedzi na kolejne wezwanie organu. Szkoła odnosząc się do poszczególnych posiadanych dokumentów z danymi wrażliwymi A. N. wskazała, że: Dane osobowe małoletniego A. N. zawarte w wywiadzie środowiskowym, karcie zdrowia dziecka, testach przesiewowych do badania bilansowego ucznia klasy pierwszej z [...] kwietnia 2022 r., pozyskane zostały przez pielęgniarkę, zatrudnioną przez Niepubliczny Zakład Opieki Zdrowotnej [...] na podstawie przepisów ustawy z dnia 12 kwietnia 2019 r. o opiece zdrowotnej nad uczniami (Dz.U. z 2019 r. poz. 1078). Szkoła wskazała, że dostęp do tych danych ma tylko pielęgniarka oraz, że zostały udostępnione Skarżącej w zaklejonej i opieczętowanej kopercie przez pielęgniarkę. Szkoła wskazała również, że informacje dotyczące woli uczęszczania małoletniego A. N. na religię/etykę zostały pozyskane przez wychowawcę klasy, a dostęp do tych danych ma wychowawca klasy oraz kadra kierownicza (dyrektor, wicedyrektorzy), co wynika z organizacji pracy Szkoły np. ułożenie planu zajęć klas. Natomiast dane osobowe A. N. zawarte w kwestionariuszu osobowym i karcie informacyjnej z [...] lutego 2022 r., tj. informacje o posiadanych lub nie opiniach/orzeczeniach Poradni PPP, informacje o posiadanych aktualnych opiniach/orzeczeniach lekarskich/specjalistycznych, zgoda na pomiar temperatury dziecka, oświadczenie o stanie zdrowia dziecka, uzyskane zostały przez wychowawcę klasy bezpośrednio od Skarżącej zgodnie z rozporządzeniem Ministra Edukacji Narodowej z dnia 9 sierpnia 2017 r. w sprawie zasad organizacji i udzielania pomocy psychologicznopedagogicznej w publicznych i przedszkolach, szkołach i placówkach, na podstawie ustawy z dnia 14 grudnia 2016 r. Prawo oświatowe (Dz. U. z 2018 r. poz. 996), na podstawie ustawy z dnia 7 września 1991 r. o systemie oświaty (Dz. U. z 2018 r. poz. 1457). Szkoła oświadczyła, że dane te przechowywane są przez wychowawcę klasy, jednocześnie wskazując, że każdy nauczyciel musi zapoznać się z opiniami poradni oraz tzw. ważnymi informacjami przekazywanymi przez rodzica/rodziców ucznia w razie np. wyznaczenia zastępstwa w danej klasie jak również w przypadku posiedzeń Rad Pedagogicznych, w których biorą udział wszyscy pracownicy pedagogiczni, bowiem na posiedzeniach Rady Pedagogicznej omawiane są wszystkie sprawy dotyczące wszystkich uczniów. Odnosząc się do pozyskania danych zawartych w Diagnozie przetwarzania procesów sensorycznych oraz Ocenie integracji schematów odruchów dynamicznych i posturalnych oraz ocenie funkcjonowania zmysłów Szkoła wskazała, że dokumenty otrzymała [...] marca 2022 r. z inicjatywy i bezpośrednio od Skarżącej, a aktualnie znajdują się one w pokoju pedagoga szkolnego w szafie zamkniętej na klucz. Szkoła wskazała również, że informacje w nich zawarte przekazuje pedagog całej Radzie Pedagogicznej w związku w wykonywaniem przez jej członków obowiązków służbowych, tj. dostosowania pracy każdego nauczyciela przedmiotu do możliwości ucznia w związku z zawartymi informacjami pozyskanymi z dokumentu. Jako podstawę przetwarzania danych w ww. diagnozie oraz ocenie. Szkoła wskazała rozporządzenie z dnia 9 sierpnia 2017 r. w sprawie zasad organizacji i udzielania pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach (Dz.U. z 2017 r. poz. 1591), ustawę z dnia 26 stycznia 1982 r. Karta Nauczyciela, ustawę z dnia 14 grudnia 2016 r. Prawo oświatowe (Dz. U. z 2018 r. poz. 996). Szkoła wskazała również na posiadanie utrwalonych w formie notatki informacji o problemach edukacyjnych ucznia po pierwszym semestrze, zwierające sugestie szkoły o zgłoszenie się do poradni psychologiczno-pedagogicznej ze spotkania z [...] marca 2023 r. Szkoły ze Skarżącymi, informacji o diecie z oświadczenia dotyczącego udziału w wycieczce szkolnej, informacji o chorobach z karty zgłoszenia dziecka do świetlicy - odpowiednio dwa pierwsze dokumenty przechowywane przez wychowawcę, a ostatni w świetlicy na podstawie ustawy z dnia 26 stycznia 1982 r. Karta Nauczyciela, ustawy z dnia 14 grudnia 2016 r. Prawo oświatowe (Dz. U. z 2018 r. poz. 996). Ponadto, Szkoła wskazała, że wniosek o objęcie pomocą psychologiczno-pedagogiczną, w tym arkusz dostosowania wymagań do indywidualnych potrzeb rozwojowych i edukacyjnych oraz możliwości psychofizycznych ucznia, otrzymany od specjalisty (psychologa, pedagoga) oraz informacja o udzielonej lub nie, zgodzie na objęcie dziecka pomocą psychologicznopedagogiczną przez Skarżącą znajdują się u pedagoga i nie są udostępniane nauczycielom. Podsumowując, Szkoła oświadczyła, że do danych osobowych, poza danymi osobowymi znajdującymi się u pielęgniarki szkolnej, każdego ucznia, w tym A. N. , mają dostęp wszyscy pracownicy pedagogiczni, tj. Rada Pedagogiczna (nauczyciele, pedagodzy, psycholodzy, wicedyrektorzy) w związku z wykonywaniem obowiązków służbowych opisanych w Karcie Nauczyciela oraz na podstawie nadanych upoważnień do przetwarzania danych osobowych 13. Szkoła wyjaśniła, że spełniając obowiązek informacyjny w ramach wniosku z [...] września 2023 r. starała się przekazać i poinformować Skarżących o wszystkich danych zbieranych na terenie Szkoły. Dyrektor Szkoły oświadczyła, że Szkoła nie ma dostępu do danych medycznych uczniów, ale to za jej pośrednictwem i na jej terenie dane są przekazywane do pielęgniarki, np. poprzez organizowane spotkania z rodzicami. Mając na uwadze powyższe. Szkoła wskazała, że aby w pełni i jak najlepiej wykonać obowiązek informacyjny o realizacje praw osób, wynikających z art. 15 RODO, dyrektor Szkoły, poinformowała również innego administratora (podmiot medyczny) będącego na terenie placówki o wpłynięciu takiego żądania Skarżących do Szkoły. Szkoła wskazała również, że "poinformowanie osobnego administratora danych wynikało również z faktu, iż wielu rodziców nie rozumie pojęcia "administratora danych osobowych", czy sposobu przetwarzania danych osobowych, a przekazując swoje dane osobowe w szkole, składając wniosek, oczekują w odpowiedzi wszelkich danych które przekazali w szkole, nie mając świadomości o różnych administratorach danych osobowych." Szkoła zadeklarowała, że kopie danych przetwarzanych przez pielęgniarkę zostały przez nią przygotowane, zapakowane i opieczętowane w osobnej zaklejonej kopercie oraz, że żaden pracownik szkoły nie miał i nie ma dostępu do danych medycznych małoletniego A. N. ; 14. Po zapoznaniu się ze zgromadzonym materiałem dowodowym Skarżący podtrzymali w całości wnioski zawarte w skardze oraz wnieśli o przeprowadzenie dodatkowych dowodów. Skarżący wskazali między innymi, że rodzice uczniów Szkoły w anonimowych ankietach przeprowadzonych przez CEA wskazywali, że problemem w Szkole są rodzice, którzy mając dziecko z deficytami nie reagują na sugestie nauczycieli co do podjęcia terapii/współpracy z poradnią psychologicznopedagogiczną twierdząc, że ich dziecko rozwija się prawidłowo", co w ich ocenie, może świadczyć o posiadaniu wiedzy o sytuacji małoletniego A. N. : w toku kontroli Pani D. S. (nauczycielka języka niemieckiego nieucząca A. N. i jednocześnie wicedyrektorka Szkoły) wypowiadała się na temat A. N. i wniosków go dotyczących kierowanych do Szkoły wskazując, że miała dostęp do dokumentów zawierających dane dziecka, w tym dane o stanie jego zdrowia: przekazali dokumenty pt. "Diagnoza przetwarzania procesów sensorycznych nr [...]" oraz "Ocena integracji schematów odruchów dynamicznych i posturalnych oraz ocena funkcjonowania zmysłów" wychowawcy klasy A. N. , a nie Szkole oraz że nie zostali poinformowani przez Szkołę o fakcie wejścia w posiadanie tych dokumentów ani nie spełniono wobec nich obowiązków informacyjnych: Skarżąca nie wnioskowała do Szkoły o objęcie małoletniego opieką psychologiczno-pedagogiczną: szkoła nieprawidłowo określa kryteria retencji danych (usunęła zaświadczenie od urologa, a przetwarza oświadczenia dotyczące odbytych wycieczek szkolnych): Szkoła bezprawnie udostępnia (w tym zbiera i przekazuje) wrażliwe dane osobowe A. N. na rzecz NZOZ [...]. Ponadto, Skarżący wskazali, że w ich ocenie ustawy i rozporządzenia, które Szkoła wskazuje, nie stanowią podstawy do przetwarzania danych A. N. zawartych w ww. Diagnozie i Ocenie oraz ponownie zwrócili uwagę na to, że dostęp do danych A. N. w Szkole ma zbyt szeroki krąg osób, w tym wizytatorów CEA; 15. Następnie Skarżący, w kolejnym skierowanym do UODO piśmie, wskazali, że [...] maja 2024 r. na platformie [...] rodziców dzieci klasy [...] m Szkoły, do której uczęszcza A. N. pojawiła się informacja o tym, że CEA udostępniła jednej z mam 192 strony dokumentacji z zeszłorocznej kontroli, którą aktualnie dzieli się nią z innymi. Skarżący wskazali, że na ww. 192 stronach znajdują się dane wrażliwe A. N. , w tym fragmenty przepisane z diagnozy integracji sensorycznej i odruchów pierwotnych. Skarżący zakwestionowali udostępnienie ww. danych A. N. przez Szkołę CEA oraz przez CEA osobom nieuprawnionym; 16. Postanowieniem z [...] czerwca 2024 r. Prezes Urzędu Ochrony Danych Osobowych wyłączył do oceny w odrębnym postępowaniu kwestie dotyczące udostępnienia danych osobowych dotyczących zdrowia małoletniego A. N. przez Szkołę na rzecz CEA oraz udostępnienia danych osobowych małoletniego A. N. przez CEA na rzecz osób nieuprawnionych; 17. [...] września 2024 r. organ dokonał ponownej weryfikacji strony internetowej https[...], wskazanej przez Skarżących, pod kątem sprawdzenia udostępniania danych osobowych A. N. . Po wpisaniu linku w adresie przeglądarki pojawia się komunikat: "404 - Nie znaleziono komponentu. Możliwe, że nie możesz zobaczyć tej strony, ponieważ: 1.Użyta zakładka jest nieaktualna 2.Twoja wyszukiwarka nie odświeżyła jeszcze mapy naszej witryny 3.Adres został wpisany z błędem 4. Nie masz uprawnień do obejrzenia tej strony 5.[...] nie może zlokalizować wskazanego zasobu. 6. Wystąpił błąd podczas wykonywania powierzonego zadania. 7. Spróbuj jednej z następujących stron: Strona startowa. Jeśli problem się powtarza, skontaktuj się z administratorem witryny" oraz "Podana fraza – https[...] – nie została odnaleziona. Podpowiedzi: Sprawdź, czy wszystkie słowa zostały poprawnie napisane. Spróbuj użyć innych słów kluczowych. Spróbuj użyć bardziej ogólnych słów kluczowych.". W uzasadnieniu zaskarżonej decyzji organ wyjaśnił, że zgromadzony w sprawie materiał dowodowy wykazał, że Szkoła pozyskiwała dane osobowe A. N. , o których mowa w art. 9 ust. 1 RODO we własnych celach bezpośrednio od Skarżących jak również posiadała dostęp do danych o stanie zdrowia A. N. , których administratorem jest NZOZ [...] B. W., a którymi na terenie Szkoły dysponowała szkolna pielęgniarka, tj. dane zawarte w wywiadzie środowiskowym, karcie zdrowia ucznia, testach przesiewowych, co potwierdza zebrany w sprawie materiał dowodowy. Ponadto wskazał, że Szkoła nie wykazała żadnej podstawy prawnej pozyskiwania danych osobowych A. N. od NZOZ [...] B. W., jak również nie wykazała, aby posiadała dostęp do tych danych działając na podstawie umowy powierzenia przetwarzania danych, czy innego instrumentu prawnego. W związku z powyższym Prezes UODO uznał, że Szkoła bezpodstawnie uzyskiwała dostęp do danych osobowych A. N. zgromadzonych w zasobach NZOZ [...] B. W. , co stanowiło naruszenie art. 9 ust. 1 oraz art. 5 ust. 1 lit. a RODO. Prezes UODO odnosząc się do przetwarzania przez Szkołę dotyczących zdrowia danych osobowych A. N. innych niż pochodzące z zasobów NZOZ [...] B. W.- wskazał, że ze zgromadzonego materiału dowodowego wynika, że Skarżący dobrowolnie, z własnej inicjatywy przekazali Szkole (wychowawcy klasy) kopie dokumentów zawierających dane wrażliwe A. N. : "Diagnozę przetwarzania procesów sensorycznych nr [...]" oraz "Ocenę integracji schematów odruchów dynamicznych i posturalnych oraz ocenę funkcjonowania zmysłów". Ponadto Skarżący przekazywali informacje o stanie zdrowia małoletniego A. N. w związku z jego udziałem w wycieczkach szkolnych, korzystaniem z usług świetlicy i jadalni oraz celem dostosowania zajęć edukacyjnych, w związku z powyższym podstawą pozyskania ww. danych był art. 9 ust. 2 lit. c RODO w związku z realizacją zadań wynikających z art. 68 ust. 1 pkt 3, 6 i 10 Prawa Oświatowego. Organ odnosząc się do zarzutu Skarżących dotyczącego przekazywania danych wychowawcy klasy a nie Szkole, wskazał, że wychowawca klasy nie jest samodzielnym administratorem, a jest pracownikiem Szkoły i przetwarza, w tym pozyskuje dane, na potrzeby Szkoły, tj. właściwego administratora. W przedmiotowej sprawie Prezes Urzędu Ochrony Danych Osobowych, biorąc pod uwagę nieodwracalny charakter naruszenia zadecydował, że wystarczającym jest skorzystanie z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO i udzielenie upomnienia Szkole za naruszenie art. 9 ust. 1 oraz art. 5 ust. 1 lit. a RODO polegające na bezprawnym uzyskiwaniu dostępu do danych A. N. w zakresie danych dotyczących zdrowia przetwarzanych w zbiorach NZOZ [...] B. W. (pkt 1 decyzji) oraz odmówił uwzględnienia wniosku w zakresie przetwarzania przez Szkołę pozostałych danych A. N. wobec braku stwierdzenia nieprawidłowości w tym zakresie. Organ odnosząc się do zarzutu dotyczącego dostępu rodziców uczniów Szkoły do danych A. N. zgromadzonych przez Szkołę uznał, że na podstawie zgromadzonego materiału dowodowego w przedmiotowej sprawie, nie można jednoznacznie uznać, że rodzice uczniów Szkoły pozyskali dane A. N. od Szkoły. Tym samym w ocenie Prezesa UODO należało umorzyć niniejsze postępowanie w przedmiotowym zakresie. Prezes UODO odnosząc się do kolejnego zarzutu Skarżących w zakresie udostępnienia przez Szkołę danych osobowych A. N. za pośrednictwem strony internetowej https.[...] uznał, że udostępnianie danych osobowych A. N. przez Szkołę stanowiło naruszenie art. 6 ust. 1 RODO oraz art. 5 ust. 1 lit. a i b RODO, z uwagi na to, że udostępnienie tych danych przez Szkołę nie znalazło oparcia w żadnej z przesłanek wynikających z art. 6 ust. 1 RODO, szczególności Szkoła nie dysponowała zgodą Skarżących. W związku z powyższym, organ biorąc pod uwagę zakończenie procesu udostępniania danych i nieodwracalny charakter naruszenie uznał, że wystarczające jest udzielenie upomnienia (pkt. 3 decyzji). Organ odnosząc się do zarzutu skarżących co do udostępnienia im niepełnej kopii wnioskowanych przez nich danych osobowych A. N. wskazał, że Szkoła udzieliła odpowiedzi na wniosek Skarżących dwoma pismami: z 18 września 2023 r. oraz pismem z 29 września 2023 r. oraz udostępniła kopię wnioskowanych danych A. N. w załączeniu do pisma z 29 września 2023 r., jednakże pomimo terminowej odpowiedzi na żądanie, zdaniem organu Szkoła dokonała tego nienależycie m.in. poprzez wprowadzenie Skarżących w błąd co do administrowania dotyczącymi zdrowia danymi A. N. zawartymi w dokumentacji przechowywanej w gabinecie pielęgniarki, tj. wywiadzie środowiskowym, testach przesiewowych, karcie choroby. Tym samym organ doszedł do wniosku, że z uwagi na jednorazowy charakter oraz fakt posiadania przez Skarżących wszelkich informacji, udzielenie Szkole upomnienia jest wystarczające. Prezes UODO odnosząc się do żądań Skarżących dotyczących realizacji wobec nich obowiązku informacyjnego wynikającego z art. 34 ust. 1 i 2 RODO oraz nakazania Szkole podjęcia działań w związku z naruszeniem (poinformowania ich o naruszeniu) oraz nałożenia administracyjnej kary pieniężnej, wskazać należy, że faktycznie obowiązkiem administratora jest zawiadomienie osoby, której dane dotyczą o naruszeniu, o ile naruszenie to może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych i nie zaistniała jednocześnie jedna z przesłanek określonych w art. 34 ust. 3 RODO, która zwalnia administratora z obowiązku zawiadomieni Pismem z dnia 19 grudnia 2024 r. Skarżący wnieśli do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na pkt 2 oraz pkt 5 decyzji Prezesa UODO z dnia [...] listopada 2024 r. nr [...], zarzucając: 1) naruszenie art. 107 KPA przez wskazania w uzasadnieniu decyzji, których zarzutów dotyczy odmowa uwzględnienia wniosku "w pozostałym zakresie"; 2) naruszenie art. 7, art. 77 oraz art. 80 KPA przez brak wszechstronnego rozważenia zebranego w sprawie materiału dowodowego i całkowite pominięcie dowodu w postaci fotokopii wiadomości na WhatsApp, z której wynika wprost, że doszło do rozesłania 192-stronicowego raportu z postępowania kontrolnego do rodziców w grupie WhatsApp, a osobą, która te dane rozsyłała była Przewodnicząca Rady Rodziców 3) naruszenie art. 5 ust. 1 pkt. c) RODO przez: a. przyjęcie, że przetwarzanie przez wszystkich 150 pracowników Zespołu Szkół (w skład którego wchodzą trzy szkoły) danych wrażliwych ucznia jednej z tych szkół jest zgodne z przepisami RODO; b. przyjęcie, że nieaktualne dane (dziecko jest już po terapii) o zaburzeniach integracji sensorycznej mogą być nadal przetwarzane; c. przyjęcie, że w ogóle dane o diagnozach SI i odruchów pierwotnych, które są diagnozami bardzo specjalistycznymi i nie zawierają jakichkolwiek wskazówek dla szkoły do pracy z dzieckiem mogą być przez tę szkołę przetwarzane bez zgody rodziców. 4) błędne ustalenia dotyczące stanu faktycznego sprawy i ustalenie, że dane zawarte w diagnozach z 2021 i 2022 roku będą aktualne w roku 2024 oraz, że diagnozy te stanowią podstawę podejmowania przez szkołę jakichkolwiek czynności wobec ucznia; 5) naruszenie art. 9 ust. 2 lit. c RODO w zw. z art. 68 ust. 1 pkt. 3, 6 i 10 ustawy Prawo Oświatowe przez błędne zastosowanie i przyjęcie, że dane zawarte w diagnozach integracji sensorycznej i odruchów pierwotnych mogą być niezbędne do ochrony żywotnych interesów ucznia, a uczeń (bądź jego przedstawiciele ustawowi) są niezdolni do wyrażenia zgody na ich przetwarzanie. 6) naruszenie art. 7, art. 77 oraz art. 80 KPA w zw. z art. 68 ust. 1 pkt. 3, 6 i 10 ustawy Prawo Oświatowe przez brak wszechstronnego rozważenia zebranego w sprawie materiału dowodowego i przyjęcie, że dane zebrane w nieaktualnych diagnozach integracji sensorycznej i odruchów pierwotnych mogą być niezbędne w rozumieniu art. 9 ust. 1 lit. c) RODO w zw. z art. 68 ust. 1 pkt. 3, 6 i 10 ustawy Prawo oświatowe, mimo, że diagnozy te już po około roku czasu (wskutek rozwoju systemu nerwowego) stają się nieaktualne, a z diagnoz tych ani też z żadnych innych dokumentów zgromadzonych w sprawie nie wynika konieczność otoczenia dziecka szczególną opieką bądź podejmowania jakichkolwiek szczególnych działań dotyczących bezpieczeństwa, same zaś diagnozy nie stanowią orzeczenia o potrzebie kształcenia specjalnego. Ponadto w skardze skarżący wnieśli o uwzględnienie skargi i uchylenie decyzji w punktach 2 i 5; a ponadto o zasądzenie na rzecz Skarżących kosztów postępowania według norm przepisanych. W odpowiedzi na skargę organ wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: zgodnie z treścią przepisu art.1 par. 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr.153, poz.1269 z późn. zm.) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż nie narusza ona prawa. Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy organ prowadząc je, poruszał się w granicach prawa. W ocenie tut. Sądu na w/postawione pytanie należało udzielić pozytywnej odpowiedzi. Nawiązując do najdalej idącego zarzutu skargi związanego z treścią pkt.5 skarżonej decyzji Sąd administracyjny nie dopatrzył się przesłanek mogących świadczyć o jego zasadności. W sytuacji gdy rozstrzygnięcie organu administracji zawiera kilka punktów, dokonywanie oceny czytelności i jasności rozstrzygnięcia wymaga zawsze odniesienia się do wszystkich punktów decyzji. Kady z nich dotyczy bowiem odrębnej kwestii. Analizując w ten sposób skarżony akt tut. Sąd doszedł do konkluzji, iż rozstrzygnięcie organu jest co do zasady spójne i czytelne. Organ formułując treść punktów od 1 do 4 wskazał w sposób szczegółowy to, co jest ich przedmiotem. Jednocześnie w uzasadnieniu decyzji – które stanowi integralną część decyzji – organ przywołał dokładną treść żądań będących podstawą zainicjowania przedmiotowego postępowania. Zestawienie obydwu w/w elementów tj. treści punktów 1-4 decyzji jak i opisanych w uzasadnieniu decyzji żądań strony skarżącej, umożliwia łatwą identyfikację zakresu przedmiotowego objętego punktem 5 decyzji. Stąd oczywistym jest iż w/w punkt rozstrzygnięcia dotyczy tych żądań inicjujących przedmiotowe postępowanie, które nie zostały sprecyzowane w punktach 1-4. Oceniając merytorycznie poprawność rozstrzygnięcia zawartego w punkcie 5 decyzji tut. Sąd podzielił argumentację faktyczną i prawną organu. W sytuacji gdy treść "Diagnozy przetwarzania procesów sensorycznych " i "Oceny integracji schematów odruchów..." skarżący dobrowolnie przekazali podmiotowi skarżonemu, to nie sposób zarzucać skutecznie szkole braku podstawy prawnej do przetwarzania danych osobowych małoletniego zawartych w w/w dokumentach. W konsekwencji powyższego, skoro skarżący przekazali szkole informacje dotyczące stanu zdrowia syna w związku z jego udziałem w wycieczkach szkolnych, korzystaniem z usług świetlicy i jadalni oraz celem dostosowania zajęć edukacyjnych to szkoła, a za nią organ słusznie przywołali przepis art.68 ust.1 pkt.3, 6 i 10 Prawa oświatowego. W konsekwencji zasadnie organ przyjął, że w/przywołany przepis stanowi przesłankę legalizującą opisaną w art.9 ust.2 lit.c RODO. Na marginesie zgodzić należało się z organem, iż odnosząc się do zarzutu Skarżących dotyczącego przekazywania danych wychowawcy klasy, a nie Szkole wyjaśnił, że wychowawca klasy nie jest samodzielnym administratorem, a jest pracownikiem Szkoły i przetwarza (w tym pozyskuje dane) na potrzeby Szkoły, tj. właściwego administratora a nie na potrzeby własne. Zgodnie bowiem z art. 29 RODO, podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych, przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego. Słusznie zwrócił uwagę organ na to, że ze zgromadzonego materiału dowodowego wynika, iż Szkoła nadała pracownikom, w tym wychowawcy klasy A. N. , stosowne upoważnienia do przetwarzania jego danych osobowych. To zaś oznacza, że każdy pracownik administratora danych małoletniego, legitymujący się upoważnieniem pracodawcy do przetwarzania tych danych, ma do tego prawo. W związku z powyższym trafnie organ uznał za niezasadny zarzut Skarżących, że nie udostępniali danych osobowych Szkole i nie posiadali wiedzy o ich przetwarzaniu. Nadmienić też należy, iż w sytuacji gdy skarżący nie podnosili tego, aby dostęp do spornych danych realizowali konkretni pracownicy całego Zespołu Szkół, organ – wbrew twierdzeniom skargi – nie musiał badać okoliczności posiadania uprawnień do przetwarzania danych małoletniego przez wszystkich pracowników szkoły. Organ nie może przecież prowadzić postępowania dowodowego w odniesieniu do zdarzeń wyłącznie potencjalnych, które nie zostały nawet skonkretyzowane w skardze. Dodatkowo nawiązując do zarzutów z pkt. 3c, 4 5 i 6 niniejszej skargi zasadnym jest przywołanie motywu 35 RODO w którym sprecyzowano, że dane osobowe dotyczące zdrowia obejmują swoim zakresem dane ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznym lub psychicznym osoby, której dane dotyczą. Do danych takich należą m.in. wszelkie informacje, na przykład o chorobie, ryzyku choroby, historii medycznej, niezależnie od ich źródła. W świetle w/w motywu jako uprawniona jawi się konkluzja, że nawet dane o charakterze "historycznym" nadal pozostają danymi o stanie zdrowia. Te zaś, w realiach niniejszej sprawy, mogą być przetwarzane przez szkołę na podstawie art. 9 ust.2 lit.c RODO w związku z realizacją zadań wynikających z art.68 ust.1 pkt.3, 6 i 10 Prawa oświatowego. Odnosząc się do poruszonej w skardze materii ujawnienia pewnych treści na platformie WhatsApp zasadnie wywodzi organ, że nie mógł badać tej kwestii. Skarga inicjująca przedmiotowe postępowanie nie obejmowała bowiem zarzutu nieuprawnionego przetwarzania danych małoletniego przez skonkretyzowaną z imienia i nazwiska osobę fizyczną. Organ prowadząc postępowanie na wniosek, jest zaś związany zakresem żądania wnioskodawcy i nie może go samodzielnie modyfikować jak też nie może domyślać się ewentualnego jego zakresu. Nadto treść wiadomości na WhatsApp nie stanowi też per se dowodu na to, że informacje zawarte w danej wiadomości jej autor pozyskał od szkoły. Analizując niniejszą skargę tut. Sąd nie znalazł też podstaw ku temu, by zanegować poprawność rozstrzygnięcia zawartego w punkcie 2 skarżonej decyzji. Słusznie wywodzi organ, iż może uznać stan faktyczny rozstrzyganej sprawy za ustalony jedynie na podstawie niebudzących wątpliwości dowodów i nie może poprzestać w tym zakresie na uprawdopodobnieniu chyba, że przepisy Kpa stanowią inaczej. Jak stwierdził Naczelny Sąd Administracyjny w wyroku z dnia 9 lipca 1999 r. (III SA 5417/98) "organ prowadzący postępowanie musi dążyć do ustalenia prawdy materialnej i według swej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenić wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności". Co wielce istotne w realiach niniejszej sprawy w tym samym wyroku Sąd kasacyjny orzekł także, że w postępowaniu administracyjnym również obowiązuje zasada, że ciężar dowodu spoczywa na tym, kto z określonego faktu wyprowadza skutki prawne. Przenosząc powyższe na realia rozpoznawanej sprawy podkreślić należało, że skarżący nie przywołali dowodów mogących jednoznacznie potwierdzić fakt przekazania danych małoletniego przez szkołę na rzecz rodziców innych uczniów. Wbrew twierdzeniom skarżących skutecznym dowodem potwierdzającym powyższą okoliczność nie mogą być anonimowe ankiety przeprowadzone przez CEA, w których rodzice uczniów Szkoły wypowiadają się anonimowo o pewnym uczniu i jego rodzicach oraz ich relacjach ze Szkołą. Nie wynika bowiem z nich kogo ankiety te dotyczą, jakimi danymi dysponuje wypowiadający się rodzic ani z jakiego źródła je pozyskał, a w szczególności nie wynika z nich to, aby źródłem tym była Szkoła lub któryś z jej pracowników. W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, oraz uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, oraz iż przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art.151 ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r. poz.935).