II SA/Wa 2743/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Andrzej Wieczorek, po rozpoznaniu w trybie uproszczonym w dniu 1 września 2020 r. sprawy ze skargi D. C. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2019 r., nr [...] w przedmiocie ochrony danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz D. C. kwotę 200 (dwieście) złotych tytułem zwrotu kosztów postępowania. Do Biura Generalnego Inspektora Ochrony Danych Osobowych w dniu [...] września 2014 r. wpłynęła skarga Pana D.C. (zwanego dalej skarżącym), dotycząca nieprawidłowości w procesie przetwarzania jego danych osobowych przez członka zespołu interdyscyplinarnego przy Miejsko-Gminnym Ośrodku Pomocy Społecznej w S. (zwanym dalej Ośrodkiem) – Panią A.Z., w zakresie informacji co do wszczętej w rodzinie skarżącego procedury Niebieskiej Karty. Zdaniem skarżącego Pani A.Z. (zwana dalej Pedagogiem) nie powinna wykorzystywać i przekazywać informacji, które uzyskała jako członek tego zespołu. Skarżący podał, że Pedagog wydała opinię z [...] lipca 2014 r., w której oprócz szeregu nierzetelnych informacji zamieściła informacje, które dotyczą procedury Niebieskiej Karty. Skarżący w treści swojej skargi zarzucił, że Pedagog w treści opinii z [...] lipca 2014 r. dotyczącej jego córki bezprawnie zawarła jego dane osobowe w postaci informacji o wszczęciu procedury Niebieskiej Karty wobec jego rodziny. Powyższa opinia została następnie przesłana przez Szkołę do Kuratora w związku z toczącym się przed nim postępowaniem administracyjnym. Skarżący wskazał, że Pedagog posiadała informację o wszczęciu procedury Niebieskiej Karty jako członek zespołu interdyscyplinarnego w Ośrodku i bezprawnie wykorzystała tę informację we wskazanej opinii. W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych ustalił, że Szkoła jest administratorem danych osobowych córki skarżącego w związku z realizacją obowiązku szkolnego. Pedagog na polecenie dyrektora Szkoły sporządziła opinię z [...] lipca 2014 r. w oparciu o dane zebrane podczas wywiadu z córką skarżącego, w której zawarła informację o wszczęciu procedury Niebieskiej Karty w rodzinie skarżącego. Opinia została przesłana przez Szkołę do Kuratora jako wyjaśnienia w toczącym się postępowaniu administracyjnym przed Kuratorem w sprawie wniesionej przez skarżącego. Szkoła nie przetwarza żadnych innych danych dotyczących procedury Niebieskiej Karty w rodzinie skarżącego oraz nie otrzymywała takich danych z Ośrodka, na co wskazują wyjaśnienia z [...] września 2016 r. oraz z [...] listopada 2018 r. wraz z załącznikami. Ustalono również, że Ośrodek jest administratorem danych osobowych skarżącego i przetwarzał jego dane w celu realizacji procedury Niebieskiej Karty. Ośrodek upoważnił do przetwarzania danych osobowych Pedagoga w ramach pracy w zespole interdyscyplinarnym (dowód: wyjaśnienia z [...] czerwca 2015 r. oraz z [...] listopada 2018 r. wraz z załącznikami). Kurator jest administratorem danych osobowych skarżącego i przetwarzał jego dane w celu realizacji zadań kuratora oświaty związanych z nadzorem pedagogicznym nad szkołą oraz w zakresie niezbędnym do wyjaśnienia sprawy w postępowaniu administracyjnym zainicjowanym przez skarżącego w dniu [...] czerwca 2014 r. Skarga dotyczyła niedostosowania wymagań edukacyjnych i programu nauczania do indywidualnych potrzeb psychofizycznych córki skarżącego – A.C. przez Szkołę. Szkoła przekazała Kuratorowi opinię Pedagoga dotyczącą córki skarżącego jako wyjaśnienia w ww. sprawie. Powyższa opinia została uwzględniona w postępowaniu administracyjnym toczącym się przed Kuratorem i miała wpływ na rozstrzygnięcie sprawy wniesionej przez Skarżącego (dowód: wyjaśnienia z [...] listopada 2018 r. wraz z załącznikami). Po przeprowadzeniu postępowania administracyjnego Prezes Urzędu Ochrony Danych Osobowych w dniu [...] października 2019 r. wydał decyzję administracyjną (znak: [...]), mocą której odmówił uwzględnienia wniosku skarżącego. W podstawie rozstrzygnięcia Prezes Urzędu Ochrony Danych Osobowych wskazał art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2018 r. poz. 2096 ze zm.; dalej Kpa.), art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 ze zm.) w zw. z art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000 ze zm.). Organ wyjaśnił, że w myśl art. 7 pkt 2 ustawy z 1997 r., ilekroć w ustawie była mowa o przetwarzaniu danych, należało rozumieć przez to jakiekolwiek operacje wykonywane na danych osobowych, w tym ich udostępnianie. Każda forma przetwarzania danych osobowych tzw. "zwykłych" powinna znaleźć oparcie w jednej z enumeratywnie wyliczonych w art. 23 ust. 1 ustawy z 1997 r. przesłanek, warunkujących legalność tego procesu, m.in. przetwarzanie danych jest legalne gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2) oraz gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych (pkt 5). Przesłanki legalizujące przetwarzanie danych osobowych miały charakter autonomiczny oraz rozłączny i co do zasady były równoprawne, dlatego też spełnienie jednej z nich stanowiło o zgodnym z prawem przetwarzaniu danych osobowych. Odnosząc się do kwestii przetwarzania danych osobowych przez Szkołę, Prezes UODO wskazał, że na podstawie art. 1 pkt 1 i 4 ustawy z dnia 7 września 1991 r. o systemie oświaty (w brzmieniu z 2014 r.) szkoła miała obowiązek zapewnić realizację prawa dzieci i młodzieży do wychowania i opieki, a także możliwość korzystania z pomocy psychologiczno-pedagogicznej i specjalnych form pracy dydaktycznej. Ponadto na podstawie art. 22 ust. 2 pkt 11 ww. ustawy Minister Edukacji Narodowej wydał rozporządzenie z dnia 30 kwietnia 2013 r. w sprawie zasad udzielania i organizacji pomocy psychologiczno-pedagogicznej w publicznych szkołach i placówkach. Zgodnie z § 5 ust. 2 przytoczonego rozporządzenia pomocy psychologiczno-pedagogicznej w szkole udzielają uczniom nauczyciele, wychowawcy oraz specjaliści w szczególności psycholodzy i pedagodzy. Pomoc psychologiczno-pedagogiczna w szkole udzielana jest m. in. z inicjatywy ucznia (§ 6 pkt 1 ww. rozporządzenia) i polega m.in. na świadczeniu porad i konsultacji (§ 7 ust. 1 pkt 7 ww. rozporządzenia). Stwierdził, że jak wynika z zebranego materiału dowodowego Szkoła pozyskała informację o wszczęciu procedury Niebieskiej Karty od uczennicy A.C. – córki skarżącego, w trakcie spotkania z Pedagogiem szkolnym w dniu [...] maja 2014 r. Podczas tego spotkania córka skarżącego opisywała swoją sytuację rodzinną, w tym podała informację o interwencji Policji i fakcie wszczęcia procedury Niebieskiej Karty. Szkoła miała obowiązek zapewnienia opieki oraz pomocy psychologiczno-pedagogicznej uczennicy. Wskazał, że dane osobowe skarżącego w postaci informacji o wszczęciu procedury Niebieskiej Karty w jego rodzinie zawartej w opinii Pedagoga z dnia [...] lipca 2014 r. przetwarzane były przez Szkołę w oparciu o przesłankę spełnienia obowiązku wynikającego z przepisu prawa, zgodnie z art. 23 ust. 1 pkt 2 ustawy z 1997 r. w związku z art. 1 pkt 1 i 4 ustawy z dnia 7 września 1991 r. o systemie oświaty (w brzmieniu z 2014 r.). Jak stwierdził Prezes UODO, Szkoła na podstawie art. 23 ust. 1 pkt 2 ustawy z 1997 r. miała obowiązek dostarczenia pełnych wyjaśnień w tym danych osobowych organowi administracyjnemu, natomiast Kurator w celu realizacji obowiązku nadzoru pedagogicznego miał prawo do uzyskania od Szkoły wszelkich informacji koniecznych do wydania decyzji w sprawie. Zaznaczył również, że Prezes UODO nie ingeruje w uprawnienia i kompetencje innych organów w tym Kuratora. Prezes UODO podał, że przy Ośrodku działał powołany do tego zespół interdyscyplinarny, którego członkowie byli zobowiązani do zachowania w poufności wszelkich danych. Zdaniem organu, dla rozstrzygnięcia w niniejszym postępowaniu nie ma wpływu to, że Pedagog była członkiem zespołu interdyscyplinarnego działającego przy Ośrodku oraz brała udział w pracach grupy roboczej w trakcie realizacji procedury Niebieskiej Karty w rodzinie skarżącego. Postępowanie wyjaśniające nie wykazało, że Ośrodek udostępniał Szkole jakiekolwiek informacje w zakresie sytuacji rodzinnej skarżącego, w tym danych na temat procedury Niebieskiej Karty. Postępowanie wyjaśniające nie wykazało również, aby Pedagog, pomimo pełnienia funkcji pedagoga szkolnego i członka zespołu interdyscyplinarnego, wykorzystywała w Szkole dane osobowe pozyskane w Ośrodku, zaś jak wskazano powyżej informacja o procedurze Niebieskiej Karty zawarta w opinii z [...] lipca 2014 r. pochodziła od córki skarżącego jako potwierdzenie pewnego stanu faktycznego. W ocenie Prezesa UODO, w rozpatrywanej sprawie nie stwierdzono naruszenia przepisów ustawy z 1997 r. poprzez udostępnienie przez Szkołę oraz Ośrodek danych osobowych skarżącego w postaci informacji o wszczęciu procedury Niebieskiej Karty zawartej w opinii Pedagoga z [...] lipca 2014 r. Kuratorowi. Z uwagi na to niemożliwym jest wydanie decyzji zgodnie z art. 18 ust. 1 ustawy z 1997 r. Skargę na powyższe rozstrzygnięcie do Wojewódzkiego Sądu Administracyjnego wywiódł skarżący. Wniósł o uchylenie decyzji Prezesa UODO z [...] października 2019 r., zarzucając organowi stronniczość i nierzetelność ze względu m.in. na czas prowadzenia postępowania, oparcie decyzji na nieprawdziwych informacjach oraz zmianę przedmiotu i zakresu postępowania. Skarżący nie zgodził się w szczególności co do tego, że informacje na temat Niebieskiej Karty pochodził od jego córki. W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, podtrzymując stanowisko zawarte w uzasadnieniu zaskarżonej decyzji. W piśmie z [...] stycznia 2020 r. skarżący podtrzymał swoją skargę, wskazując na przewlekłości postępowania administracyjnego. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Skarga zasługuje na uwzględnienie. Tytułem wyjaśnienia stanu prawnego, w którym Prezes UODO procedował w niniejszej sprawie, wskazać należy, że z dniem wejścia w życie ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000), Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed [...] maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 i z 2018 r. poz. 138 i 723; zwanej dalej ustawą z 1997 r.), zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed [...] maja 2018 r. pozostają skuteczne. Właściwe w przedmiotowej sprawie jest zastosowanie przepisów obowiązujących w czasie, gdy doszło do zdarzenia kwestionowanego przez skarżącego, tj. ustawy o ochronie danych osobowych z 1997 r. Zadaniem ustawy z 1997 r., której przepisy mają zastosowanie w niniejszej sprawie, nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest też zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. W art. 1 stwierdza się bowiem, że przetwarzanie danych osobowych może mieć miejsce, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych, na podstawie przepisów powołanej ustawy, nie powinna być oderwana od przepisów służących ochronie innych wartości. Stosownie do treści art. 7 pkt 2 ustawy z 1997 r., przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W doktrynie i orzecznictwie za dane osobowe uznaje się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Z kolei w art. 23 § 1 ustawy z 1997 r. zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: (1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, (2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, (3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, (4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, (5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Cytowany powyżej przepis ustawy określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych, (por. J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych. Komentarz.", publ. System Informacji Prawnej LEX 2017). Analiza powyższych przesłanek dopuszczających przetwarzanie danych osobowych prowadzi do wniosku, iż zgoda osoby, której dane dotyczą, będzie zawsze legalizowała przetwarzanie jej danych osobowych przez podmiot, który taką zgodę uzyskał. Natomiast zgoda osoby, której dane dotyczą, na przetwarzanie jej danych osobowych nie jest wymagana wówczas, gdy administrator danych potrafi wskazać przepis prawa legalizujący dokonywanie czynności, o których mowa w art. 7 ust. 2 ustawy. Aby móc stwierdzić, że do przetwarzania danych osobowych doszło w prawem przewidziany sposób, Prezes UODO winien był poczynić ustalenia co do wystąpienia przesłanek warunkujących legalność tego procesu oraz w szczególności określić administratora danych, który umocowany był do wypełnienia nałożonych nań celów. W ocenie Sądu, w niniejszej sprawie ustaleń takich zabrakło. Prezes UODO naruszył w tym zakresie zasady procedury administracyjnej, które to naruszenie mogło mieć wpływ na wynik sprawy. Dla uporządkowania stanu sprawy i uzasadnienia naruszenia art. 107 § 3 Kpa. należy pokrótce przypomnieć zaistniałe w sprawie zdarzenia. W skardze z dnia [...] września 2014 r. skierowanej do Generalnego Inspektora Ochrony Danych Osobowych, zatytułowanej "na nieprawidłowości w przetwarzaniu danych osobowych" przez Miejsko-Gminny Ośrodek Pomocy Społecznej w S., skarżący zarzucił przetwarzanie jego danych osobowych przez członka zespołu interdyscyplinarnego działającego przy tym Ośrodku – Panią A.Z., która w ocenie skarżącego, przetwarzała te dane osobowe bez podstawy prawnej. Uznał, że przetwarzanie danych osobowych bez zgody narusza jego prawa i wolności w tym prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz prawo do żądania sprostowania oraz usunięcia danych nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą. Jak wynika z oświadczenia Pedagog zawartego w piśmie z [...] czerwca 2015 r., brała ona udział w pracach grup roboczych Zespołu Interdyscyplinarnego w S. przy Ośrodku, do którego została powołana z racji wykonywanego zawodu. Na dzień [...] maja 2014 r. posiadała szereg informacji o rodzinie oraz istnieniu Niebieskiej Kary. Oświadczyła, że informacja ta pochodziła od córki skarżącego – A.C., która w dniu [...] maja 2014 r. zgłosiła się z informacją o bardzo trudnej dla niej sytuacji domowej, wynikającej z długotrwałej przemocy stosowanej przez ojca. W piśmie z [...] września 2016 r. Biuro Generalnego Inspektora Ochrony Danych Osobowych poinformowało skarżącego, że po otrzymaniu wyjaśnień Kierownika Ośrodka, GIODO na podstawie art. 14 ustawy o ochronie danych osobowych z 1997 r. zwrócił się do tego organu o przedstawienie dodatkowych dowodów. Ponadto organ zwrócił się również do [...] Publicznego Gimnazjum im. [...] w S. (poprzednik Szkoły) o złożenie w sprawie pisemnych wyjaśnień i potwierdzających je dowodów. W piśmie z [...] października 2018 r. Prezes UODO stwierdził, że skarga D.C. dotyczy udostępnienia Kuratorowi przez ww. gimnazjum jego danych osobowych, zawartych w opinii z [...] lipca 2014 r. Natomiast do kierownika Ośrodka wystosował zapytanie, czy w Ośrodku na dzień wszczęcia w rodzinie skarżącego procedury Niebieskiej Kary, istniała dokumentacja ochrony danych osobowych, w tym przy realizacji zadań przez członków zespołu interdyscyplinarnego oraz grup roboczych w zakresie niezbędnym do realizacji zadań przy prowadzeniu procedury tej karty. Prezes UODO zwrócił się również do Kuratora m.in. z zapytaniem, czy ten przetwarza dane osobowe skarżącego. W piśmie z [...] listopada 2018 r. Dyrektor Szkoły poinformował, że Szkoła nie posiada informacji o uczennicy – A.C. w zakresie prowadzenia procedury Niebieskiej Karty w innych dokumentach szkolnych oprócz wspomnianej opinii pedagoga gimnazjum. Dodał, że Ośrodek nie przekazywał nigdy gimnazjum ani szkole podstawowej informacji o pracach w zakresie wyjaśnienia sytuacji rodzinnej ww. uczennicy. Kurator w piśmie z [...] listopada 2018 r. wskazał m.in., że w piśmie z [...] lipca 2014 r. skierowanym do [...] Publicznego Gimnazjum w S., nie żądał opinii pedagoga szkolnego. W toku prowadzonego postępowania skarżący domagał się przesłania kopii akt sprawy oraz kopii wyjaśnień dyrektora gimnazjum. Prezes UODO będąc związany zakresem skargi z [...] września 2014 r. powinien był dokonać ustaleń w zakresie prawidłowości przetwarzania danych osobowych przez wskazany przez skarżącego Ośrodek, a jeśli w toku tych ustaleń doszedł do przekonania lub powziął wątpliwości co do przetwarzania wspomnianych danych przez inne podmioty, wówczas powinien był o tym fakcie poinformować skarżącego, by ten mógł zająć stanowisko w tym zakresie. Tymczasem organ prowadził ustalenia w zakresie przetwarzania wskazywanych przez skarżącego danych nie tylko z Ośrodkiem, ale i ze Szkołą oraz Kuratorem. Dopuścił się tym samym naruszenia zasady przekonywania wyrażonej w art. 11 Kpa., zgodnie z którym organy administracji publicznej powinny wyjaśniać stronom zasadność przesłanek, którymi kierują się przy załatwianiu sprawy. W toku postępowania organ końcowo uznał za instytucje przetwarzające dane skarżącego Ośrodek i Szkołę pomijając Kuratora, gdyż tylko dwóm pierwszym podmiotom doręczył decyzję. W decyzji brak jest jasnego wskazania dlaczego w ocenie organu tylko te podmioty (Ośrodek, Szkoła) przetwarzały dane skarżącego, a Kurator nie. Stosownie do treści art. 73 § 2 Kpa. strona może żądać uwierzytelnienia odpisów lub kopii akt sprawy lub wydania jej z akt sprawy uwierzytelnionych odpisów, o ile jest to uzasadnione ważnym interesem strony. W rozpatrywanej sprawie Prezes UODO odmówił skarżącemu uwzględnienia jego wniosków o przesłanie kopii akt sprawy oraz kopii wyjaśnień dyrektora gimnazjum, bez uprzedniego wezwania skarżącego do wykazania ważnego interesu strony, czym naruszył wspomniany przepis, co w konsekwencji mogło mieć wpływ na wynik sprawy. Zgodnie z art. 107 § 3 Kpa. uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne – wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. Uzasadnienie wydanego w niniejszej sprawie rozstrzygnięcia organu prowadzi do wniosku, że Prezes UODO naruszył normę zawartą w tym przepisie. Każda decyzja powinna być bowiem uzasadniona w taki sposób, by strona zainteresowana rozstrzygnięciem w niej zawartym mogła prześledzić tok rozumowania organu, który doprowadził do jej wydania, a na tle podjętych przez Prezesa UODO czynności wyjaśniających takiego wniosku wyprowadzić nie można. Odnosząc się do przedstawionego powyżej stanu faktycznego sprawy wskazać należy, że Prezes UODO w trakcie prowadzonego przez kilka lat, od września 2014 r. postępowania, zainicjowanego skargą D.C., prowadził ustalenia równolegle z placówką oświatową – Szkoła, Kuratorem oraz Miejsko-Gminny Ośrodkiem Pomocy Społecznej w S. i od wszystkich tych podmiotów otrzymywał informacje w zakresie przetwarzania danych osobowych skarżącego. Organ nie był uprawniony do dowolnego kreowania przedmiotu postępowania, a jeżeli uznał, że trzeba w tej samej sprawie podjąć działania z urzędu w stosunku do innego podmiotu niż wskazanego w skardze z 2014 r., tj. Ośrodka, to winien o tym fakcie poinformować skarżącego, czego w niniejszym postępowaniu zabrakło. Również w uzasadnieniu decyzji organ nie wskazał dlaczego objął niniejszym postępowaniem Szkołę i Kuratora co było niezgodne ze skargą z 2014 r. Skoro zamiarem skarżącego było skontrolowanie prawidłowości przetwarzania danych przez członka zespołu interdyscyplinarnego – A.Z., funkcjonującego w ramach Ośrodka, to organ winien prowadzić ustalenia w zakresie zarzutów skargi wobec Ośrodka, a przy ewentualnym ustaleniu naruszeń po stronie placówki oświatowej, czy też samego Kuratora, który stwierdził, że nie żądał spornej opinii pedagoga szkolnego, winien postąpić w sposób, o którym wspomniano wyżej. Wprawdzie organ podjął się ustaleń w zakresie przetwarzania danych skarżącego przez Ośrodek, co odzwierciedla zgromadzony w niniejszej sprawie materiał dowodowy, jednakże ostatecznie uzasadniając swoją decyzję odwołał się również do samej Szkoły, jako administratora spornych danych. Nie wyjaśnił kto de facto odpowiada za przetwarzanie danych osobowych skarżącego i w gruncie rzeczy doprowadził do sytuacji, w której odmowa uwzględnienia wniosku, stanowiąca przedmiot skargi do sądu administracyjnego, nie jest uzasadniona wystarczająco przekonującymi przesłankami. Innymi słowy skarżący nie uzyskał odpowiedzi, kto przetwarzał jego dane osobowe w zakresie Niebieskiej Karty i czy przetwarzanie to odbywało się w sposób prawidłowy, zgodnie z zasadami określonymi w ustawie o ochronie danych osobowych z 1997 r. Ponadto działania organu wskazują na naruszenie zasad, o których mowa w art. 25 ust. 1 ustawy z 1997 r., regulujących postępowanie związane ze zbieraniem danych osobowych nie od osoby, której one dotyczą. W przypadku bowiem zbierania takich danych osobowych, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna – o miejscu swojego zamieszkania oraz imieniu i nazwisku, celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych, źródle danych, prawie dostępu do treści swoich danych oraz ich poprawiania oraz uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8. Spełnienia tych warunków zabrakło w toku niniejszego postępowania. Prezes UODO, o czym była już mowa wyżej, w sytuacji powzięcia informacji od innych niż wskazane w skardze podmiotów, powinien był o tym fakcie zawiadomić skarżącego, czy nie uczynił. Należy również zauważyć, że z zaskarżonej decyzji nie wynika dlaczego organ dał wiarę, że informację o Niebieskiej Karcie Pedagog pozyskała od córki skarżącego zwłaszcza, że poza oświadczeniem Pedagog nie ma w tym zakresie innych dowodów. Jedynie ubocznie wskazać należy, że wniosek skarżącego sformułowany w piśmie z [...] stycznia 2020 r. o dokonanie kontroli przewlekłości postępowania administracyjnego, nie może zostać poddany badaniu w ramach tej sprawy sądowoadministracyjnej, której ramy wyznaczyła skarga na decyzję Prezesa UODO z [...] października 2019 r. Innymi słowy, w zakresie zarzutu długości trwania postępowania Wojewódzki Sąd Administracyjny w Warszawie wskazuje, iż niniejsza sprawa nie dotyczy bezczynności czy przewlekłości działania organu. Jest to sprawa wywołana skargą na konkretną decyzję organu, zatem zarzut długości trwania postępowania administracyjnego nie może być rozpatrywany w tym postępowaniu. Wskazać należy, iż zgodnie z treścią art. 1 § 1 i 2 ustawy – Prawo o ustroju sądów administracyjnych, sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej. Kontrola legalność rozstrzygnięcia polega na badaniu jego zgodności z prawem materialnym i przepisami prawa procesowego. Natomiast skarżący mógł, w trakcie przedłużającego się postępowania, skarżyć do sądu administracyjnego ewentualną bezczynność organu, czego wówczas nie uczynił. Oceniając ponownie sprawę organ będzie miał na względzie przytoczone powyżej wytyczne a wydane rozstrzygnięcie uzasadni w zgodzie w treścią art. 107 § 3 Kpa.. Mając powyższe na uwadze, Sąd działając na podstawie art. 145 § 1 pkt 1 lit. c) ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2019 r. poz. 2325 ze zm.) orzekł jak w pkt 1 sentencji wyroku, o kosztach orzekając na podstawie art. 200 tej ustawy.