II SA/Wa 312/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj, Sędzia WSA Łukasz Krzycki, Asesor WSA Dorota Kozub-Marciniak (spr.), , po rozpoznaniu w trybie uproszczonym w dniu 4 września 2025 r. sprawy ze skargi A. T. na punkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę A. T. (dalej, jako: skarżąca) wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na pkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych (dalej, jako: organ lub PUODO) z dnia [...] grudnia 2024 r., którą organ w pkt 1 nakazał Uniwersytetowi [...] (dalej, jako: [...]) spełnienie żądania A. T. z dnia [...] marca 2024 r. skierowanym na adres [...] poprzez udzielenie jej informacji dotyczących przetwarzania jej danych osobowych, o których mowa w art. 15 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwanego dalej RODO) oraz w pkt 2 odmówił uwzględnienia wniosku w pozostałym zakresie. W uzasadnieniu zaskarżonej decyzji wskazano, że skarżąca wystąpiła do PUODO ze skargą na nieprawidłowości w zakresie przetwarzania jej danych osobowych przez [...] polegające na bezpodstawnym udostępnianiu jej danych osobowych za pośrednictwem strony internetowej https://... oraz nieudzielaniu jej odpowiedzi na wniosek z dnia [...] marca 2024 r. złożony w trybie art. 15 RODO. Skarżąca zawnioskowała o nakazanie [...] usunięcia jej danych osobowych z ww. strony internetowej, spełnienie wobec niej obowiązku informacyjnego, podanie publicznej informacji o bezprawnym przetwarzaniu jej danych oraz o nałożenie na administratora administracyjnej kary pieniężnej. Organ w toku postępowania ustalił, iż skarżąca była pracownikiem [...] do [...][ stycznia 2024 r. W latach 2012-2014 r. skarżąca będąc pracownikiem [...] współpracowała z [...] Państwowym Uniwersytetem [...] w M. (dalej [...]). W imieniu [...] w maju 2013 r. skarżąca została wyznaczona do koordynowania projektu współpracy akademickiej pomiędzy uczelniami, tj. stworzenia cokwartalnego wspólnego czasopisma naukowego, organizacji corocznych konferencji międzynarodowych, stworzenia przy [...] szkoły prawa [...], organizacji wykładów gościnnych. W czasie trwania współpracy skarżąca uczestniczyła w Międzynarodowej Konferencji Naukowej w M. zorganizowanej przez Uniwersytet [...] w M. z okazji 20. Rocznicy [...], podczas której zaproponowano jej wpisanie na listę arbitrów Trybunału Arbitrażowego w M. ([...]), do czego doszło [...] grudnia 2013 r. Następstwem tego zdarzenia było zamieszczenie przez [...] na stronie internetowej uczelni gratulacji dla skarżącej w dniu [...] lutego 2014 r. Skarżąca wskazała, że podobne informacje są zamieszczane na stronie uczelni w sytuacjach, w których studenci i pracownicy WPiA osiągają indywidualne sukcesy. Jak wynika z treści skargi skarżącej na stronie internetowej [...] https:... w dniu [...] lutego 2014 r. zamieszczona została informacja o następującej treści: "Z przyjemnością informujemy, że mgr A. T., asystentka w Katedrze Prawa [...], uzyskała akredytację i została wpisana na listę arbitrów międzynarodowych w rosyjskim stałym sądzie arbitrażowym działającym przy. [...] w M. Serdecznie gratulujemy!". Przedmiotowa informacja została usunięta ze strony w odpowiedzi na wniosek skarżącej w dniu [...] marca 2024 r. [...] wskazał, że za pośrednictwem strony https:... udostępnił dane osobowe skarżącej w zakresie imienia i nazwiska w powiązaniu z obszarem działalności zawodowej i realizacją obowiązków służbowych przez skarżącą. [...] wskazał również, że informacja dotycząca udziału skarżącej w organach eksperckich, opublikowana na ww. stronie internetowej, została przez skarżącą opracowana i wysłana do Uniwersytetu w wiadomości email, celem jej opublikowania na ww. stronie, [...] Lutego 2014 r. Tym samym w ocenie [...] skarżąca była świadoma zamiaru udostępnienia jej danych osobowych na ww. stronie i nie wnosiła protestów, wyraziła zgodę. Ponadto, [...] wskazało, że celem publikacji danych było również prowadzenie działalności naukowej i promowanie kadr uczelni, złożenie skarżącej publicznych gratulacji. [...] potwierdził również, że usunął dane skarżącej ze strony wydziału, realizując wniosek skarżącej o usunięcie danych z art. 17 ust. 1 lit. a i lit. c RODO, który wpłynął pocztą elektroniczną do Pełnomocnika [...] w dniu [...] marca 2024 r. Informację o fakcie usunięcia danych ze ww. strony, pełnomocnik skarżącej otrzymał drogą elektroniczną w dniu [...] marca 2024 r. W dniu [...] marca 2024 r. skarżąca skierowała do Inspektora Ochrony Danych [...] z adresu [...] wniosek, w którym zwróciła się na podstawie art. 15 RODO o "przesłanie mi szczegółowej informacji o moich danych, które są przetwarzane przez [...]. Proszę o przesianie informacji w formie zaszyfrowanego pliku na mój email.". Skarżąca wskazała, że ww. adres email jest oficjalnym adresem uczelni do kontaktu w zakresie ochrony danych osobowych i jest on wskazany na stronie (https:...). [...] wskazał, że nie otrzymał wymienionego w skardze wniosku skarżącej z [...] marca 2024 r., a jedyny wniosek w sprawie, który wpłynął do [...] dotyczył usunięcia danych osobowych skarżącej. Ww. wniosek wpłynął w dniu [...] marca 2024 r., w ramach prowadzonej korespondencji z pełnomocnikiem skarżącej, na pocztę elektroniczną radcy prawnego [...], upoważnionego do reprezentowania Uniwersytetu w kontaktach ze skarżącą, w kwestii rozpatrywania roszczeń związanych z zatrudnieniem skarżącej w [...]. Skarżąca po zapoznaniu się ze zgromadzonym materiałem dowodowym podtrzymała stawiane zarzuty oraz wskazała, że nigdy nie wyraziła zgody na wskazane w skardze udostępnienie jej danych osobowych. PUODO w pierwszej kolejności wskazał, że wbrew twierdzeniom [...], z akt sprawy wynika, że skarżąca prawidłowo skierowała wniosek z [...] marca 2024 r. na adres e-mail inspektora ochrony danych [...] wskazany do kontaktu na stronie [...]. [...] nie udzielił odpowiedzi na ten wniosek. Postępowanie administracyjne prowadzone przez PUODO w oparciu o przepisy RODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej przywracającej stan zgodny z prawem na podstawie art. 58 ust. 2 RODO. PUODO w każdym przypadku bada zasadność skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych. Wobec powyższego korzystając z kompetencji przyznanej mu na mocy art. 58 ust. 2 lit. c RODO, zgodnie z punktem 1 decyzji PUODO nakazał [...] spełnienie żądania skarżącej w przedmiocie udzielenia informacji dotyczących przetwarzania jej danych osobowych, w związku z jej żądaniem z dnia [...] marca 2024 r. Przechodząc do zarzutu skarżącej w przedmiocie nieuprawnionego udostępnienia jej danych osobowych przez [...] za pośrednictwem strony internetowej https:... po [...] maja 2018 r. PUODO wskazał, że RODO określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Przesłanki legalności przetwarzania danych osobowych określone zostały natomiast w art. 6 ust. 1 RODO. Przesłanki te mają charakter autonomiczny, wobec czego aby uznać proces przetwarzania danych osobowych przez administratora za zgodny z prawem, wystarczy spełnienie przez niego jednej z tych przesłanek. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne dla wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO) lub gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą (art. 6 ust. 1 lit. f RODO). Zgodnie zaś z art. 5 ust. 1 lit. a i lit. b RODO dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą oraz zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. W toku postępowania ustalono, że [...] udostępnił w dniu [...] lutego 2024 r. za pośrednictwem ww. strony internetowej imię i nazwisko skarżącej w powiązaniu z informacjami dotyczącymi jej osiągnięć z obszaru jej działalności zawodowej powiązanych ze współpracą [...] z [...] w M. i wpisaniem skarżącej na listę arbitrów Trybunału [...] w M.. Przedmiotowa informacja była udostępniana na ww. stronie do [...] marca 2024 r. i została usuniętą w związku z żądaniem skarżącej usunięcia ww. informacji ze strony. [...] wskazał, że celem udostępnienia informacji, zgodnie z przyjętym zwyczajem, było złożenie skarżącej publicznych gratulacji oraz prowadzenie działalności naukowej i promowanie kadr uczelni. Jak wynika z wyjaśnień [...] i skargi skarżącej wraz z pismami uzupełniającymi skarżąca była świadoma udostępnienia jej danych osobowych ich panującego na uczelni zwyczaju dotyczącego publicznego składania gratulacji za pośrednictwem strony internetowej [...]. Mając na uwadze powyższe, w ocenie organu kwestionowane przez skarżącą udostępnianie jej danych osobowych po [...] maja 2018 r. znajdowało oparcie w przesłance wynikającej z art. 6 ust. 1 lit. f RODO, tj. usprawiedliwionym celu wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jakim było promowanie kadr uczelni i informowanie o podejmowanych działaniach przez pracowników (tu: skarżącą) w ramach prowadzenia działalności naukowej. W tym miejscu wskazać należy, że zakres udostępnionych danych był adekwatny do celu i ograniczał się do imienia i nazwiska skarżącej oraz informacji dotyczących przebiegu jej kariery zawodowej związanej z zatrudnieniem w [...]. Wskazać również należy, że udostępniane informacje były prawdziwe i nie wymagały aktualizacji, a [...] usunął przedmiotowe dane ze strony wychodząc naprzeciw oczekiwaniom skarżącej. Odnosząc się do żądania skarżącej o zastosowanie wobec [...] administracyjnej kary pieniężnej, PUODO zauważył, iż administracyjne kary pieniężne, zgodnie z art. 83 ust. 2 RODO, nakłada się zależnie od okoliczności każdego indywidualnego przypadku, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a-h oraz j RODO. Jednocześnie nakładanie administracyjnych kar pieniężnych należy do autonomicznych uprawnień PUODO i jest niezależne od żądania osoby składającej skargę. Jednakże administracyjna kara pieniężna jest jednym z uprawnień naprawczych stosowanych przez PUODO jedynie w zakresie prowadzonych przez niego postępowań (art. 58 RODO). Mając powyższe na względzie PUODO w pkt 2 zaskarżonej decyzji odmówił uwzględnienia wniosku skarżącej w pozostałym zakresie. Z rozstrzygnięciem zawartym w pkt 2 zaskarżonej decyzji skarżąca nie zgodziła się i wywiodła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, wnosząc o uchylenie decyzji w zaskarżonej części oraz o zasądzenie na rzecz skarżącej od organu kosztów postępowania według norm przepisanych. Zaskarżonej decyzji zarzucono: 1. naruszenie przepisów postępowania, tj. art. 6, art. 7, art. 8 § 1 i § 2, art. 77 § 1, art. 80 i art. 107 § 3 K.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 30 sierpnia 2019 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, z późn. zm.), poprzez przyjęcie ze organ administracyjny mógł polegać na uzasadnionym interesie prawnym jako podstawie przetwarzania (taka możliwość jest prawnie wyłączona), a także fragmentaryczne i niewystarczające rozważenie materiału dowodowego, niedokładne wyjaśnienie i określenie stanu faktycznego sprawy, sporządzenie błędnego i niepełnego uzasadnienia prawnego i faktycznego decyzji, wyciągnięcie nieprawidłowych wniosków z zebranych dokumentów w sprawie, a także wydanie decyzji, która pozostaje w sprzeczności ze zgromadzonym materiałem dowodowym; 2. naruszenie przepisów prawa materialnego, tj.: a. art. 5 ust. 1 lit. a, c, d oraz e, jak i lit. b oraz ust. 2 RODO poprzez jego błędną wykładnię przejawiającą się w niezasadnym przyjęciu, że przetwarzanie danych osobowych skarżącej było zgodne z prawem, rzetelne i przejrzyste dla skarżącej, adekwatne, dane skarżącej były aktualne i przechowywane zgodnie z zasadą ograniczenia przechowywania danych, a dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a [...] przestrzega zasady rozliczalności; b. art. 6 ust. 1 lit. f RODO, poprzez jego błędną wykładnię przejawiającą się w niezasadnym przyjęciu, że przetwarzanie danych osobowych skarżącej było zgodne z prawem, z uwagi na fakt, iż przetwarzanie to było niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, podczas gdy nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, c. art. 6 ust. 1 lit. f akapit drugi RODO, poprzez jego niezastosowanie, d. art. 7 ust. 1 RODO, poprzez jego niewłaściwe zastosowanie, przejawiające się w niezasadnym przyjęciu, że skarżąca wyraziła zgodę na przetwarzanie jej danych osobowych, podczas gdy jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą wyraziła takową zgodę, co w niniejszej sprawie nie miało miejsca, e. art. 17 ust. 1 lit. d RODO, poprzez jego niezastosowanie, podczas gdy [...] usunął dane osobowe skarżącej na jej żądanie, albowiem przetwarzał dane osobowe bez podstawy prawnej. W uzasadnieniu skargi przedstawiono szeroką argumentację na poparcie stawianych zarzutów. Skarżąca m. in. wskazała, że przetwarzanie danych osobowych na podstawie art. 6 lit. f RODO nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. W wytycznych Grupy Roboczej art. 29 z 2016 r. zostało podkreślone, że RODO nie zawiera definicji pojęcia organu lub podmiotu publicznego, gdyż takie pojęcie należy określić na poziomie przepisów krajowych (https://uodo.gov.pl/data/filemanager pl/15.pdf). Organy uczelni są organami administracji w znaczeniu funkcjonalnym (takimi, którym zlecono funkcje administrowania). Są to organy wskazane w art. 1 pkt 2 K.p.a. A zatem [...] jako organ publiczny nie może polegać na art. 6 ust, f RODO jako podstawie przetwarzania, ergo ustalenia organu naruszają art. 6 k.p.a. Ponieważ dla organów publicznych podstawę prawną przetwarzania danych osobowych powinien określić ustawodawca, prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Ponadto skarżąca podkreśliła, iż nigdy nie wyraziła zgody na zamieszczenie jej danych osobowych na stronie [...]. Organ nie wskazał jakiegokolwiek dowodu potwierdzającego stawianą tezę. Fakt podania jakiejkolwiek informacji przez skarżącą przed wejściem w życie przepisów RODO, nie może być interpretowany jako wyrażenie zgody zgodnej z art. 7 RODO. Skarżąca podniosła dalej, że w dniu wejścia RODO w życie [...] powinien dokonać przejrzenia swoich zasobów i praktyk oraz usunąć dane osobowe, które były nieaktualne i które były przetwarzane bez podstawy prawnej - a co zostało usunięte dopiero na wniosek skarżącej dotyczący usunięcia danych przetwarzanych bez podstawy prawnej w trybie art. 17 p. 4 RODO przez [...] w marcu 2024 r., a zatem po ponad 5 latach od wejścia w życie przepisów RODO. Gdyby [...] miało podstawę prawna do przetwarzania przedmiotowych danych osobowych skarżącej, to dane te nie mogłyby zostać usunięte, gdyż tak jest skonstruowane prawo do usunięcia danych. W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał swoje dotychczasowe stanowisko. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie jest zasadna. W pierwszej kolejności należy przypomnieć, że celem ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz przepisów RODO jest ochrona prywatności w rozumieniu art. 47 Konstytucji RP (por. wyrok NSA z dnia 30 marca 2006 r., I OSK 628/05, LEX nr 198299; wyrok NSA w składzie 7 sędziów z dnia 6 czerwca 2005 r., I OPS 2/05). W doktrynie, na gruncie art. 47 Konstytucji RP, prawo do prywatności oznacza "przymioty, wewnętrzne przeżycia osobiste (jednostkowe) człowieka i ich oceny, refleksje dotyczące wydarzeń zewnętrznych i jego wrażenia zmysłowe, a także stan zdrowia. Nie są one w założeniu przeznaczone do upowszechniania i sam zainteresowany decyduje o kręgu osób, z którymi zechce się nimi podzielić. Składową prawa do prywatności jest życie prywatne, które odnosi się generalnie do życia: osobistego, towarzyskiego, nienaruszalności mieszkania, tajemnicy korespondencji i ochrony informacji dotyczących danej osoby. Można je opisać jako "prawo do pozostawienia w spokoju" czy "prawo jednostki do bycia pozostawioną samej sobie" (B. Banaszak, Konstytucja RP,. Komentarz, Warszawa 2012, tekst za Legalis). Uprawnienie to oznacza, że ochronie podlegają te informacje o osobie fizycznej, które dotyczą jej najbliższej sfery życia, wyznaczonej przez nią samą, o której decydować powinna tylko ona lub ewentualnie osoby jej najbliższe. Sfera ta w istocie stanowi o tożsamości tej osoby i określa jej godność statuującą ją jako człowieka. Zgodnie z art. 4 pkt 1 RODO dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Natomiast "dane dotyczące zdrowia" oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia (art. 4 pkt 15 RODO). W interesie osób fizycznych leży udostępnianie tych danych o tyle, o ile taka jest ich wola, chyba że ustawodawca realizując inne jeszcze wartości przesądza o udostępnianiu tych danych niezależnie od woli tych osób stanowiąc tym samym w konkretnym przypadku o pierwszeństwie wartości związanych z interesem publicznym nad wartościami powiązanymi z interesami indywidualnymi. Dopuszczalność przetwarzania danych osobowych określają przesłanki wymienione w art. 6 ust. 1 i art. 9 ust. 2 RODO w zależności od tego, czy przetwarzaniu mają być poddane dane zwykłe, czy też dane wrażliwe. Katalog przesłanek wymienionych w art. 6 ust. 1 i art. 9 ust. 2 RODO jest zamknięty. Przesłanki te mają charakter autonomiczny co oznacza, że dla uznania procesu przetwarzania danych osobowych za zgodny z prawem, niezbędne jest spełnienie przez administratora danych choćby jednej z tych przesłanek. Przepis art. 6 ust. 1 RODO stanowi, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach i w takim zakresie, w jakim spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Z przepisu art. 9 ust. 2 RODO wynika, że zakaz przetwarzania danych osobowych wrażliwych określony w ust. 1 nie ma zastosowania, jeżeli spełniony jest jeden z następujących warunków: a) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1; b) przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą; c) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody; d) przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą; e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą; f) przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy; g) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą; h) przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3; i) przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową; j) przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą. Przenosząc powyższe na tło rozpoznawanej sprawy, przede wszystkim należy zauważyć, że wbrew twierdzeniom skarżącej w zaskarżonej decyzji z dnia [...] grudnia 2024 r. organ nie uznał za podstawę do przetwarzania ww. danych osobowych skarżącej przez [...] - zgody skarżącej i nie odnosił się do art. 7 ust. 1 RODO. PUODO wskazał jedynie, że skarżąca była świadoma udostępnienia jej danych osobowych na stronie internetowej [...] oraz panującego na [...] zwyczaju dotyczącego publicznego składania gratulacji za pośrednictwem strony internetowej [...]. Twierdzenie to jest zgodne z prawdą, czego dowodem jest zgromadzony materiał dowodowy sprawy oraz treść skargi gdzie wskazano, że dane osobowe skarżącej widniały na stronie internetowej w dniu [...] lutego 2014 r. (skarżąca zakwestionowała legalność przetwarzania danych osobowych w formie skargi do PUODO dopiero w 2024 r.). Dlatego też wszelkie zarzuty skargi związane z nieprawidłowym uznaniem przez organ, iż [...] miała podstawę do przetwarzania danych osobowych skarżącej z uwagi na wyrażona przez nią zgodę – uznać należy za chybione. Organ za podstawę do przetwarzania danych osobowych skarżącej uznał art. 6 ust. 1 lit. f RODO, co wyraźnie wyartykułował w uzasadnieniu zaskarżonej decyzji. Jak już wskazano, zgodnie z powołanym przepisem, przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Tłumacząc intencje uczynionego wyłączenia w motywie 47 preambuły RODO podano: "Ponieważ dla organów publicznych podstawę prawną przetwarzania danych osobowych powinien określić ustawodawca, prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.". Dostrzegając, że zakres przedmiotowy stosowania art. 6 ust. 1 lit. f RODO nie obejmuje wyłącznie tych sytuacji, w których podstawa prawna przetwarzania danych osobowych jest wyraźnie określona, prawodawca unijny wyłączył z zakresu podmiotowego jego stosowania organy władzy publicznej, których podstawy i granice działania muszą być zawsze ściśle wyznaczone przez prawo. W ocenie skarżącej [...] jako organ publiczny nie może polegać na art. 6 ust. 1 lit. f RODO jako podstawie przetwarzania danych osobowych skarżącej. Sąd rozpoznający sprawę niniejsza nie podziela tego poglądu. Zdaniem Sądu, uczelnia państwowa jaką niewątpliwe jest [...] (zob. ustawa z dnia 3 września 1999 r. o utworzeniu Uniwersytetu [...] w W. - Dz.U. z 1999 r. Nr 79, poz. 884., ustawa z dnia 15 czerwca 2018 r. o zmianie ustawy o utworzeniu Uniwersytetu [...] w W. – Dz. U. z 2018 r. poz. 1397 oraz uchwała Nr 127/2019 Senatu Uniwersytetu [...] w W. z dnia [...] czerwca 2019 r. w sprawie uchwalenia Statutu Uniwersytetu [...] w W.) nie jest organem administracji publicznej, lecz jest jednostką organizacyjną państwową wykonującą zadania publiczne, posiadającą pewną autonomię i kwalifikującą się do sektora finansów publicznych. Chociaż jej działania w pewnych obszarach (np. wydawanie decyzji administracyjnych) stosują przepisy prawa administracyjnego, uczelnia ta nie jest hierarchicznie ani organizacyjnie powiązana z organami administracyjnymi w ten sam sposób jak jednostki państwowe. Również jej specyficzna rola w edukacji i badaniach naukowych odróżnia ją od typowych organów administracji (zob. art. 70 ust. 5 Konstytucji RP, Izdebski Hubert, Zieliński Jan Michał, Prawo o szkolnictwie wyższym i nauce. Komentarz, wyd. III, Opublikowano: LEX/el. 2023, komentarz do art. 9, Marzena Świstak, Autonomia publicznych uczelni akademickich w Polsce, Wydawnictwo Uniwersytetu Marii Curie-Skłodowskiej, Lublin 2022). Z tego też względu wadliwe jest stanowisko skarżącej zrównujące niejako [...] jako uczelnię wyższą z typowym "organem publicznym", którego dotyczy wyłączenie z art. 6 ust. 1 lit. f RODO. Dlatego też w niniejszej sprawie może znaleźć zastosowanie omawiany przepis jako podstawa legalizująca przetwarzanie danych osobowych skarżącej. Co więcej uczynione wyłączenie potwierdza elastyczność przedmiotowego zakresu stosowania art. 6 ust. 1 lit. f RODO. Omawiana przesłanka ma bowiem charakter swoistej klauzuli generalnej, która zwiększa elastyczność katalogu zawartego w art. 6 ust. 1 RODO. Stosowanie przepisu art. 6 ust. 1 lit. f RODO następuje dwuetapowo. W pierwszym etapie trzeba zweryfikować, czy kumulatywnie spełnione są dwa warunki, a mianowicie: (1) czy występuje prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią oraz (2) czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z powyższego interesu. W drugim etapie należy ocenić, czy nie jest spełniona przesłanka o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej. W przypadku spełnienia tego warunku nie będzie można powołać się na art. 6 ust. 1 lit. f RODO jako uzasadnienie dla przetwarzania danych osobowych. Istota tej negatywnej przesłanki polega na wyważeniu dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej - z jednej strony oraz interesów, podstawowych praw i wolności podmiotu danych - z drugiej strony. Prawnie uzasadniony interes trzeba rozumieć nie jako interes wynikający z przepisów prawa, lecz jako interes, który jest zgodny z prawem. Owa zgodność z prawem stanowi ograniczenie pojęcia interesu administratora lub strony trzeciej jako potencjalnej podstawy do przetwarzania danych osobowych. W doktrynie przyjmuje się, że wykładnia pojęcia prawnie uzasadnionego interesu powinna być szeroka i obejmować interesy gospodarcze, faktyczne lub prawne (vide D. Lubasz i W. Chomiczewski [w:] E. Bielak-Jomaa [red.], D. Lubasz [red.], RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018 i powołane tam poglądy). Tak rozumiany prawnie uzasadniony interes musi być realizowany przez administratora lub przez stronę trzecią. Może to być interes nie tylko administratora, który przetwarza już dane osobowe, lecz również administratora, któremu dane te mogą dopiero zostać ujawnione. Pojęcie niezbędności oznacza z kolei, iż przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne, a więc musi występować bezpośredni związek pomiędzy realizacją prawnie uzasadnionego interesu a potrzebą przetwarzania danych osobowych. Do prawnie uzasadnionych interesów administratora danych osobowych prawodawca unijny odwołał się w motywie 47 preambuły RODO, wskazując, że "taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu". W ocenie Sądu, organ prawidłowo uznał, iż w niniejszej sprawie zaistniała przesłanka z art. 6 ust. 1 lit. f RODO legalizująca działanie [...]. [...] udostępnił w dniu 28 lutego 2014 r. za pośrednictwem ww. strony internetowej imię i nazwisko skarżącej w powiązaniu z informacjami dotyczącymi jej osiągnięć z obszaru jej działalności zawodowej powiązanych ze współpracą [...] z [...] Uniwersytetem [...] w M. i wpisaniem skarżącej na listę arbitrów Trybunału [...] w M., o czym skarżąca wiedziała. Przedmiotowa informacja była udostępniana na ww. stronie do dnia [...] marca 2024 r. (na wniosek skarżącej informację usunięto). Udostępnienie danych osobowych znajdowało oparcie w usprawiedliwionym celu wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jakim było promowanie kadr uczelni i informowanie o podejmowanych działaniach przez pracowników w ramach prowadzenia działalności naukowej pod afiliacją [...]. Nie można pominąć, iż skarżąca była pracownikiem [...], a dane osobowe dotyczył jej osiągnięć z obszaru jej działalności zawodowej powiązanych ze współpracą [...] z [...] Uniwersytetem [...]w M.. Prawidłowo też organ podał, że zakres udostępnionych danych był adekwatny do celu i ograniczał się do imienia i nazwiska skarżącej oraz informacji dotyczących przebiegu jej kariery zawodowej związanej z zatrudnieniem w [...]. W okolicznościach tej sprawy brak jest jednocześnie interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora. Takich skarżąca nie wykazała. Nie można nadto zgodzić się ze skarżącą, iż usunięcie danych osobowych ze strony internetowej [...] na wniosek skarżącej jest potwierdzeniem nielegalnego dotychczasowego charakteru ich przetwarzania. Jednym z praw podmiotowych przysługujących osobie fizycznej jest prawo zapomnienia, polegające na żądaniu usunięcia danych dotychczas przetwarzanych, regulowane przepisami art. 17 RODO. Zgodnie z brzmieniem art. 17 ust. 1 RODO, osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli wystąpi jedna z okoliczności, o których mowa w tym przepisie (vide: przypadki szczegółowo wymienione w art. 17 ust. 1 lit. a-f). Jak słusznie wskazał PUODO w odpowiedzi na skargę, administrator danych rozpatrując wniosek osoby może kierować się różnymi przesłankami przemawiającymi za uznaniem wniosku i usunięciem danych, również tych danych, które dotychczas przetwarzane były zgodnie z prawem. W tej sprawie nie może ujść uwadze, że [...] usunęło informację ze strony internetowej niezwłocznie po żądaniu skarżącej z dnia [...] marca 2024 r. tj. w dniu [...] marca 2025 r., a więc jeszcze przed złożeniem przez skarżącą skargi do PUODO na nieprawidłowości w przetwarzaniu jej danych osobowych (skarga z dnia [...] kwietnia 2024 r.). [...] wychodząc naprzeciw oczekiwaniom skarżącej uwzględniło zatem jej żądanie. Z tych wszystkich względów Sąd uznał, że zaskarżona decyzja odpowiada prawu. Sąd nie dopatrzył się żadnego naruszenia przepisów prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepisu postępowania w stopniu mogącym mieć istotny wpływ na rozstrzygnięcie, albo też przepisu prawa dającego podstawę do wznowienia postępowania lub stwierdzenia nieważności. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 ze zm.) orzekł jak w sentencji. Sprawa została rozpoznana na posiedzeniu niejawnym w trybie uproszczonym na podstawie art. 119 pkt 2 P.p.s.a.