WSA: Uniwersytet nie może publikować informacji o autoplagiacie

W tym orzeczeniu WSA w Warszawie oddalono skargę od decyzji Prezesa UODO z czerwca 2023 r.

W decyzji tej Prezes UODO nakazał pewnej Uczelni:

usunięcie – poprzez animizację danych osobowych Wnioskodawcy w zakresie imienia i nazwiska oraz sformułowanego zarzutu autoplagiatu – udostępnych bez podstawy prawnej do publicznej wiadomości na stronie internetowej w protokołach posiedzenia Rady z dni […] czerwca i […] września 2020 r., dostępnych pod linkiem o wskazanym orzeczeniem adresie, określanym dalej jako “Link”

Osoba, której dane dotyczą wystąpiła do Uczelni o przeprowadzenie postępowania habilitacyjnego.

Rada procedowała wobec tego żądania; w trakcie jej posiedzeń podejmowano uchwały – m.in. w sprawie odwołania od uchwały Rady, złożonego przez Wnioskodawcę; protokoły z tych posiedzeń, zwane dalej “Protokołami”, zawierające dane osobowe Wnioskodawcy, zamieszczono – […] września i […] października 2020 r. – na stronie internetowej.

Wnioskodawca skierował do Uczelni – […] czerwca 2022 r. – żądanie usunięcia Protokołów – zawierających jego dane osobowe; nie uwzględniono go.

Postępowanie dotyczy przetwarzania danych osobowych Wnioskodawcy w zakresie imienia, nazwiska oraz sformułowanego zarzutu autoplagiatu.

Według Prezesa UODO:

W wyjaśnieniach Uczelni wystąpiły rozbieżności; z treści bowiem przepisu Regulaminu, na który powołał się administrator, wynika wprost, że protokoły podaje się do wiadomości społeczności akademickiej; oznacza to, że krąg odbiorców zawężono – przepisami wewnętrznymi Uczelni – do określonej grupy.

Nawet, gdyby istniał powszechny przepis prawa, zobowiązujący do publikowania przez Uczelnię protokołów z posiedzeń Rady, to rolą administratora jest dopilnowanie, aby realizacja tego obowiązku nie naruszała danych osobowych osób fizycznych; administrator powinien wykonać w takim przypadku test niezbędności poprzez rozważenie, czy dla osiągnięcia celu – udokumentowania przebiegu posiedzenia – jest niezbędne publikowanie imion, nazwisk czy innych danych osób, nad których problemem Rada dysputowała podczas zebrania;

WSA w Warszawie wskazał argumenty przemawiające za poprawnością decyzji organu nadzorczego:

W sprawie są bezsporne kluczowe fakty – publikacja stanowiska Rady w kwestii ewentualnego popełnienia autoplagiatu przez Wnioskodawcę, w ramach treści Protokołów w ogólnie dostępnej sieci internetowej. Nie znajduje to równocześnie podstaw prawnych – ani wobec powinności wynikających wprost z art. 222 ust. 1 ustawy o szkolnictwie (gdzie wymieniono enumeratywnie udostępniane w BIP dokumenty) ani też wobec brzmienia regulacji wewnętrznych, obowiązujących w Uczelni na dzień wydania kwestionowanego orzeczenia. Tych ustaleń i ocen organu nawet w skardze nie podważano.

Jak trafnie wskazał organ, z treści samego Regulaminu nie wynika zasada publikacji jakichkolwiek dokumentów na stronach internetowych ogólnodostępnych – w § 19 ust. 2 użyto określenia “do widomości społeczności akademickiej”.

Z kolei – nieznajdującej odzwierciedlenia w danej regulacji. acz deklarowanej przez Uczelnię – zasady pozostawiania protokołów z narad rad naukowych dyscyplin w publicznie dostępnej sieci, zaś po kadencji danej rady ograniczania doń dostępu, nie zrealizowano na dzień orzekania przez organ w danej sprawie. Protokoły były bowiem nadal dostępne bez ograniczeń, pomimo rozpoczęcia nowej kadencji Rektora Uczelni.

Nadto Sąd wskazał, że:

Samo bowiem nieprzywołanie podstaw prawnych przetwarzania danych osobowych przez administratora, gdy czyniony jest to wobec nałożonych bezpośrednio przez prawodawcę powinności nie może być uznany za przesłankę nałożenia obowiązku ich usunięcia. Wyspecjalizowany organ musi bowiem z urzędu uwzględnić uwarunkowania przetwarzania danych osobowych, wynikające z funkcjonującego systemu prawnego (tak powołane w skardze: art. 7 Konstytucji RP czy art. 6 K.p.a.).

Słusznie wskazał organ, że podstawą powinności przetwarzania określonym danych osobowych, w rozumieniu art. 6 ust. 1 lit. c RODO nie może być wewnętrzna regulacja dane jednostki, statuująca taką zasadę. Odrębną kwestią jest natomiast okoliczność, czy przetwarzanie danych nie pozostaje w związku z realizację zadań publicznych w myśl art. 6 ust. 1 lit. e RODO. Tu znaczniejszą rolę mogą odgrywać reguły wewnętrzne, ustalone przez samego administratora w celu zapewnienia właściwej realizacji jego zadań publicznych.