Decyzja

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257 ze zm.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000) w zw. z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922) oraz art. 6 ust. 1 lit. c) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych  i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana K. P., na opublikowanie jego danych osobowych, w tym skanu podpisu na stronie internetowej pod adresem […] zawartego we wniosku i autoreferacie przez Centralną Komisję do Spraw Stopni i Tytułów z siedzibą w Warszawie przy ul. Pl. Defilad 1 (PKiN), 00-901 Warszawa, Prezes Urzędu Ochrony Danych Osobowych

odmawia uwzględnienia wniosku.

Uzasadnienie

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana K. P., zwanego dalej Skarżącym, na przetwarzanie jego danych osobowych opublikowanych na stronie internetowej pod adresem […], w tym skanu podpisu zawartego we wniosku i autoreferacie przez Centralną Komisję do Spraw Stopni i Tytułów z siedzibą w Warszawie przy Pl. Defilad 1 (PKiN), 00-901 Warszawa, zwaną dalej również Centralną Komisją.

Skarżący zakwestionował legalność przetwarzania jego danych osobowych przez Centralą Komisję. W uzasadnieniu skargi Skarżący wskazał, że złożył wniosek o przeprowadzenie postępowania habilitacyjnego do Centralnej Komisji, który to wniosek oraz autoreferat wraz ze skanem podpisu zostały opublikowane przez Centralną Komisję na stronie internetowej pod adresem […]. W ocenie Skarżącego upublicznienie na ww. stronie internetowej skanu podpisu Skarżącego może skutkować poniesieniem przez niego szkody, bowiem skan ten może zostać wykorzystany przez osoby nieuprawnione.

W toku prowadzonego postępowania administracyjnego, Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny.

1. Skarżący w dniu […] lipca 2017 r. złożył do Centralnej Komisji  do Spraw Stopni i Tytułów z siedzibą w Warszawie wniosek o przeprowadzenie postępowania habilitacyjnego [...]. Centralna Komisja umieściła na swojej stronie internetowej pod adresem […] ww. wniosek Skarżącego wraz z autoreferatem zawierające skan podpisu Skarżącego.
2. Centralna Komisja w piśmie z dnia […] października 2017 r. wyjaśniła, że  umieściła na swojej stronie internetowej pod adresem […] wniosek Skarżącego o przeprowadzenie postępowania habilitacyjnego wraz z autoreferatem zawierające skan podpisu Skarżącego na podstawie art. 36 ust. 1 pkt 5 w zw. z art. 33 ust. 1 lit. b Ustawy z dnia 14 marca 2003 r. o stopniach naukowych i tytule naukowym oraz o stopniach i tytule w zakresie sztuki (Dz. U. z 2017 r. poz. 1789), zwana dalej również ustawą o stopniach naukowych. Ponadto Centralna Komisja wskazała, że Skarżący w rozmowie telefonicznej z pracownikiem Biura Komisji, koordynującym złożony przez Skarżącego w dniu [...] lipca 2017 r. wniosek o przeprowadzenie postępowania habilitacyjnego,  zwrócił się o usunięcie jego danych osobowych w zakresie dotyczącym złożonego pod wnioskiem i autoreferatem podpisu. Skarżący nie składał natomiast do Komisji wniosku o usunięcie jego danych osobowych ww. zakresie w formie pisemnej czy elektronicznej. W związku z powyższym, z uwagi na brak złożenia wniosku spełniającego wymogi formalne i zawierającego żądanie Skarżącego Komisja nie ustosunkowała się do zgłoszonego jedynie telefonicznie żądania Skarżącego dot. usunięcia jego danych osobowych.

W tym stanie faktycznym sprawy, Prezes Urzędu zważył co następuje.

W pierwszej kolejności zaznaczenia wymaga, że z dniem wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000) na podstawie art. 166 ust. 1 tej ustawy, Generalny Inspektor Ochrony Danych Osobowych stał się Prezesem Urzędu Ochrony Danych Osobowych, zaś na podstawie art. 167 ust. 1 tej samej ustawy, Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Z kolei na podstawie art. 160 tej samej ustawy, postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu (ust. 1) na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922), zwanej dalej również u.o.d.o., zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r., poz. 1257) (ust. 2), zwanej dalej również K.p.a. Czynności dokonane w postępowaniach, o których mowa w ust. 1, pozostają skuteczne (ust. 3). 

Dodatkowo konieczne jest podkreślenie, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję administracyjną, zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi się w doktrynie „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego M. Jaśkowska, A. Wróbel, Lex., el/2012). Ponadto, w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07, Naczelny Sąd Administracyjny stwierdził, iż „badając […] legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Odnosząc powyższe do ustalonego stanu faktycznego, podkreślenia wymaga, że decydujące znaczenie dla rozstrzygnięcia, jakie musi być wydane w przedmiotowej sprawie, ma okoliczność, że przetwarzanie danych osobowych Skarżącego rozpoczęło się co prawda w okresie obowiązywania ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, ale jest obecnie kontynuowane. Stwierdzić zatem należy, że właściwe w przedmiotowej sprawie jest zastosowanie przepisów obowiązujących w czasie wydawania rozstrzygnięcia sprawy tj. Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych  i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwane dalej również RODO, ponieważ Prezes Urzędu Ochrony Danych Osobowych musi ocenić czy kwestionowany proces przetwarzania danych osobowych na dzień wydania decyzji administracyjnej jest zgodny z prawem.  

Wskazać należy, że Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w Rozporządzeniu. Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z Rozporządzeniem również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a) RODO) przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne dla wypełnienia obowiązku prawnego ciążącego na administratorze  (art. 6 ust. 1 lit. c) RODO.).

Wskazania wymaga, że Centralna Komisja, pełniąc funkcję centralnego organu administracji rządowej, działa w oparciu o przepisy wynikające z ustawy z dnia 14 marca 2003 r. o stopniach naukowych i tytule naukowym oraz o stopniach i tytule w zakresie sztuki. Przy realizacji swoich zadań Centralna Komisja kieruje się we wszystkich swoich pracach, wynikającą z art. 33 ust. 1b ww. ustawy, zasadą rzetelności, bezstronności i przejrzystości realizowanych działań.  W tym miejscu podkreślić należy, że na podstawie Ustawy z dnia 3 lipca 2018 r. wprowadzającej ustawę prawo o szkolnictwie wyższym i nauce (Dz. U. z 2018 r., poz. 1669) uchylona została ustawa z dnia 14 marca 2003 r. o stopniach naukowych i tytule naukowym oraz o stopniach i tytule w zakresie sztuki. Jednakże na mocy art. 189 Ustawy z dnia 3 lipca 2018 r. wprowadzającej ustawę prawo o szkolnictwie wyższym i nauce Centralna Komisja działa do końca kadencji rozpoczętej przed dniem wejścia w życie tej ustawy tj. do dnia 31 grudnia 2020 r., w zakresie zadań określonych niniejszą ustawą na zasadach dotychczasowych, z tym że działa przy ministrze do spraw szkolnictwa wyższego i nauki. Ponadto zgodnie z art. 179 ust. 1 ww. ustawy m.in. postępowania habilitacyjne wszczęte i niezakończone przed dniem wejścia w życie ww. ustawy są przeprowadzane na zasadach dotychczasowych, z tym że jeżeli stopień nadany będzie po 30 kwietnia 2019 r. to będzie on nadany zgodnie z klasyfikacją ustaloną w rozporządzeniu Ministra Nauki i Szkolnictwa Wyższego z dnia 20 września 2018 r. w sprawie dziedzin nauki i dyscyplin naukowych oraz dyscyplin artystycznych (Dz. U. z 2018 r. poz. 1818). Z powyższego wynika, że do postępowania habilitacyjnego prowadzonego z wniosku Skarżącego zastosowanie nadal znajduje ustawa o stopniach naukowych i tytule naukowym oraz o stopniach i tytule w zakresie sztuki. Zgodnie z art. 36 ust. 1 pkt 5 przedmiotowej ustawy Centralna Komisja prowadzi, aktualizuje i zamieszcza na swojej stronie internetowej m.in. informacje o prowadzonych postępowaniach habilitacyjnych w tym: wniosek o wszczęcie postępowania  habilitacyjnego wraz z autoreferatem habilitanta, skład komisji habilitacyjnej z podaniem imion, nazwisk oraz nazw jednostek organizacyjnych, w których są zatrudnieni członkowie komisji oraz recenzje. Powyższy przepis wyraźnie wskazuje jakie dokumenty i w jakim zakresie Centralna Komisja ma obowiązek opublikować na swojej stronie internetowej, w związku z realizacją obowiązku informacyjnego w ramach prowadzonych postępowań habilitacyjnych.

Odnosząc się natomiast do twierdzeń Skarżącego dotyczących tego, że cyt. „zamieszczenie skanu składanych dokumentów z usuniętym lub wyredagowanym podpisem czyniłoby zadość przepisom prawa, wymuszającym jawność procesu habilitacji, a nie narażałoby kandydata na upublicznienie jego podpisu” to wskazania wymaga, że przepisy ustawy o stopniach naukowych nie regulują wprost wymagań jakie powinien spełniać wniosek o przeprowadzenie postępowania habilitacyjnego. Natomiast zgodnie z art. 29 ust. 1 ww. ustawy w postępowaniach dotyczących nadania stopnia doktora i doktora habilitowanego albo tytułu profesora oraz nadania, ograniczenia, zawieszenia i pozbawienia uprawnienia do nadawania tych stopni w zakresie nieuregulowanym w ustawie stosuje się odpowiednio przepisy Kodeksu postępowania administracyjnego. Zasada pisemności wyrażona w art. 14 § 1 K.p.a., nakazuje załatwianie spraw administracyjnych w formie pisemnej. Pojęcie załatwiania sprawy odnosi się w pierwszym rzędzie do rozstrzygania sprawy w formie decyzji, a zatem decyzje administracyjne (ugody) powinny mieć formę pisemną. Także inne czynności procesowe organu i stron (uczestników) postępowania powinny być, zgodnie z przepisami K.p.a., utrwalone na piśmie lub posiadać formę pisemną, np. podania (art. 63 k.p.a.), tym bardziej że w interesie stron leży „dopilnowanie utrwalenia wszystkich istotnych dla sprawy okoliczności w dokumentach sprawy” (art. 69 § 1 K.p.a. w zw. z art. 86 K.p.a.) (wyrok NSA w Warszawie z 4.06.1982 r., I SA 212/82, ONSA 1982/1, poz. 51). W tym miejscu należy przywołać art. 63 ust. 3 K.p.a., zgodnie z którym podanie (wniosek) powinno być podpisane. Powyższe oznacza, że wniosek o przeprowadzenie postępowania habilitacyjnego, aby wywołał określone skutki prawne, powinien spełniać określone wymogi formalne tj. powinien zostać złożony w formie pisemnej i powinien być podpisany.

Wskazać zatem należy, że Komisja jest zobowiązana do przetwarzania danych osobowych Skarżącego, w tym skanu jego podpisu, zawartych we wniosku o przeprowadzenie postępowania habilitacyjnego i autoreferacie na swojej stronie internetowej w celu wykonania obowiązku określonego w art. 36 ust. 1 pkt 5 ustawy o stopniach naukowych w zw. z art. 33 ust. 1 b tej ustawy, co stanowi wypełnienie przesłanki legalizującej proces przetwarzania danych osobowych, na podstawie art. 6 ust. 1 lit. c) RODO.

Ocena dokonywana przez Prezesa Urzędu Ochrony Danych Osobowych w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 18 ust. 1 u.o.d.o. służącego przywróceniu stanu zgodnego z prawem, w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. W ocenie Prezesa Urzędu Ochrony Danych Osobowych nie ma podstaw do stwierdzenia, iż dane osobowe Skarżącego przed dniem 25 maja 2018 r. były przetwarzane przez Komisję w sposób niezgodny z przepisami ustawy o ochronie danych osobowych. Skarżony proces znajdował bowiem oparcie w  przesłance określonej w art. 23 ust. 1 pkt 2 u.o.d.o. Obecnie natomiast Komisja przetwarzając dane osobowe Skarżącego legitymuje się przesłanką określoną w art. 6 ust. 1 lit. c) RODO.

W tym stanie faktycznym i prawnym, Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257), stronie przysługuje prawo wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia doręczenia niniejszej decyzji. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia decyzji stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych. Wpis od skargi wynosi 200 zł (słownie: dwieście złotych). Strona ma prawo ubiegania się o prawo pomocy, w tym o zwolnienie od kosztów sądowych.