Wynik egzaminu stanowi dane osobowe będące częścią zbioru danych prowadzonego przez uczelnię, to ich przetwarzanie – w tym ustne ujawnienie wobec osób trzecich – podlega reżimowi RODO

Sprawa dotyczyła oceny, czy ujawnienie przez nauczyciela akademickiego wyniku egzaminu studenta wobec pozostałych uczestników zajęć prowadzonych online podlega przepisom rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

Organ nadzorczy udzielił uczelni upomnienia za naruszenie art. 6 ust. 1 i art. 5 ust. 1 lit. c RODO.

NSA wskazał, że przedmiotowy zakres zastosowania RODO określony w art. 2 ust. 1 tego rozporządzenia obejmuje dwa odrębne przypadki. Pierwszy dotyczy przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany – bez względu na to, czy dane te stanowią lub mają stanowić część zbioru danych.

Drugi obejmuje przetwarzanie w sposób niezautomatyzowany, jednak wyłącznie wówczas, gdy przetwarzane dane stanowią część zbioru danych lub mają stanowić część takiego zbioru. Przetwarzanie danych w sposób niezautomatyzowany, przy jednoczesnym braku związku z jakimkolwiek zbiorem danych, pozostaje poza zakresem przedmiotowym RODO.

NSA wyjaśnił, że zbiorem danych w rozumieniu art. 4 pkt 6 RODO jest uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie.

Akta osobowe studenta (teczka) stanowią taki zbiór danych, ponieważ zawierają dane osobowe studenta, mają określoną strukturę i są dostępne według określonych kryteriów.

Wynik egzaminu z przedmiotu akademickiego stanowi dane osobowe wchodzące w skład akt osobowych studenta, co wynika z przepisów rozporządzenia Ministra Nauki i Szkolnictwa Wyższego z dnia 27 września 2018 r. w sprawie studiów.

Wynik egzaminu jest zatem częścią zbioru danych prowadzonego przez uczelnię jako administratora danych osobowych studenta. Skoro wynik egzaminu stanowi dane osobowe będące częścią zbioru danych prowadzonego przez uczelnię, to ich przetwarzanie – w tym ustne ujawnienie wobec osób trzecich – podlega reżimowi RODO.

NSA