Dane osobowe

Tematyka: TS, dyrektywa 95/46, dane osobowe, egzamin zawodowy, P. Nowak, komentarze egzaminatora, ochrona danych osobowych, interpretacja prawa

TS orzekł, że art. 2 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że w okolicznościach takich jak
te rozpatrywane w postępowaniu głównym, pisemne odpowiedzi udzielone przez osobę przystępującą do
egzaminu zawodowego i ewentualne naniesione przez egzaminatora komentarze odnoszące się do tych
odpowiedzi stanowią dane osobowe w rozumieniu tego przepisu.
P. Nowak był księgowym stażystą, który przystąpił do egzaminów z rachunkowości pierwszego stopnia oraz trzech
egzaminów drugiego stopnia przeprowadzanych przez irlandzki instytut biegłych rewidentów (dalej jako: CAI) i zdał te
egzaminy. Jednak nie zdał on egzaminu z finansów strategicznych i rachunkowości zarządczej, w ramach którego
można było korzystać z własnych materiałów (open book exam). Po tym, jak po raz czwarty nie zdał tego egzaminu,
P. Nowak zaskarżył jego wynik. Jego skarga została oddalona. Następnie złożył on, na podstawie art. 4 irlandzkiej
ustawy z 2003 r. o ochronie danych osobowych, wniosek o udostępnienie wszystkich dotyczących go danych
osobowych pozostających w posiadaniu CAI. CAI przekazał P. Nowakowi 17 dokumentów, lecz odmówił
udostępnienia jego arkusza egzaminacyjnego, uzasadniając to w ten sposób, że praca egzaminacyjna nie zawiera
„danych osobowych” w rozumieniu ustawy z 2003 r. P. Nowak zwrócił się do komisarza ds. ochrony danych w celu
zakwestionowania zasadności odmowy przekazania mu do wiadomości jego arkusza egzaminacyjnego. Komisarz
poinformował P. Nowaka, że po zbadaniu akt sprawy nie dopatrzył się naruszeń ustawy z 2003 r. i umorzył
postępowanie w jej sprawie. P. Nowak zaskarżył tę decyzję.
Poprzez pytania prejudycjalne irlandzki SN dążył do ustalenia, czy art. 2 lit. a) dyrektywy 95/46 należy interpretować
w ten sposób, że w okolicznościach takich jak te rozpatrywane w postępowaniu głównym, pisemne odpowiedzi
udzielone przez osobę przystępującą do egzaminu zawodowego i ewentualne naniesione przez egzaminatora
komentarze odnoszące się do tych odpowiedzi stanowią dane osobowe w rozumieniu tego przepisu?
W art. 2 lit. a) dyrektywy 95/46 zdefiniowano dane osobowe jako „wszelkie informacje dotyczące zidentyfikowanej lub
możliwej do zidentyfikowania osoby fizycznej”. Zgodnie z tym przepisem „osoba możliwa do zidentyfikowania to
osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer
identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną, fizjologiczną, umysłową,
ekonomiczną, kulturową lub społeczną tożsamość”.
Na wstępie TS stwierdził, że nie ulega wątpliwości, iż przystępujący do egzaminu zawodowego jest osobą fizyczną,
która może zostać zidentyfikowana bądź bezpośrednio, poprzez jej nazwisko, bądź pośrednio, dzięki numerowi
identyfikacyjnemu, które to nazwisko i numer są umieszczone na arkuszu egzaminacyjnym lub jego okładce.
W ocenie TS wbrew stanowisku komisarza ds. ochrony danych, bez znaczenia w tym kontekście jest kwestia tego,
czy egzaminator może zidentyfikować osobę przystępującą do egzaminu w momencie sprawdzania i dokonywania
oceny jej arkusza egzaminacyjnego. Do tego, aby dane mogły zostać uznane za „osobowe” w rozumieniu art. 2 lit. a)
dyrektywy 95/46, nie jest wymagane, aby wszystkie informacje umożliwiające identyfikację danej osoby znajdowały
się w rękach tylko jednego podmiotu (wyrok Breyer, C-582/14, pkt 43). Ponadto, nie ulega wątpliwości, że
w przypadku gdy egzaminator, dokonując w ramach egzaminu oceny odpowiedzi udzielonych przez tę przystępującą
do niego osobę, nie zna tożsamości tej osoby, podmiot organizujący egzamin, w tym przypadku CAI, dysponuje
informacjami umożliwiającymi mu zidentyfikowanie, bez problemów i wątpliwości, osoby przystępującej do egzaminu
dzięki jej numerowi identyfikacyjnemu, umieszczonemu na arkuszu egzaminacyjnym lub jego okładce, i przypisanie
jej udzielonych odpowiedzi.
Z orzecznictwa TS wynika, że zakres zastosowania dyrektywy 95/46 jest bardzo szeroki i dane osobowe, których ta
dyrektywa dotyczy, są różnego rodzaju (wyrok Rijkeboer, C-553/07, pkt 59). Trybunał stwierdził, że użycie w zawartej
w art. 2 lit. a) dyrektywy 95/46 definicji „danych osobowych” wyrażenia „wszelkie informacje” odzwierciedla
przyświecający unijnemu prawodawcy zamiar przypisania temu pojęciu szerokiego zakresu, nie ograniczając go do
informacji wrażliwych czy też prywatnych, lecz rozszerzając go potencjalnie o informacje wszelkiego rodzaju,
zarówno obiektywne, jak i subiektywne, w postaci opinii czy oceny, a jedynym warunkiem, które muszą one spełniać,
jest to, aby „dotyczyły” danej osoby. Warunek ten jest zaś spełniony, gdy ze względu na swą treść, cel czy skutek
dana informacja jest powiązana z daną osobą. P. Nowak, rządy czeski, grecki, węgierski, austriacki, portugalski
i Komisja Europejska wskazywali, że pisemne odpowiedzi udzielone przez osobę przystępującą do egzaminu
zawodowego stanowią takie informacje powiązane z osobą. Treść tych odpowiedzi przede wszystkim odzwierciedla
poziom wiedzy i umiejętności osoby przystępującej do egzaminu w danej dziedzinie i, w odpowiednim przypadku,
sposób jej rozumowania, wnioskowania i przyjęte przez nią krytyczne podejście. Ponadto, zawierają one informacje
odnoszące się do charakteru pisma. Następnie, te odpowiedzi są zbierane w celu dokonania oceny kwalifikacji
zawodowych osoby egzaminowanej i jej zdolności do wykonywania danego zawodu. Co więcej, wykorzystanie tych
informacji, może mieć wpływ na prawa i interesy tej osoby, ponieważ to wykorzystanie może warunkować np. szanse

tej osoby na wykonywanie danego zawodu bądź zatrudnienie na danym stanowisku. Stwierdzenie, że pisemne
odpowiedzi udzielone przez osobę przystępującą do egzaminu zawodowego stanowią informacje jej dotyczące ze
względu na ich treść, cel czy skutek, znajduje również zastosowanie w sytuacji, która dotyczy, tak jak w niniejszym
przypadku, egzaminu, na którym można korzystać z własnych materiałów.
Rzecznik generalna podkreśliła, że w każdym przypadku egzamin ma na celu stwierdzenie i udokumentowanie
zdolności określonej osoby, tj. osoby do niego przystępującej (pkt 24 opinii). W odniesieniu do naniesionych przez
egzaminatora komentarzy dotyczących tych odpowiedzi TS stwierdził, że stanowią one, tak jak udzielone na
egzaminie przez przystępującą do niego osobę odpowiedzi, informacje dotyczące tej osoby. Treść tych komentarzy
odzwierciedla wyrażoną przez egzaminatora opinię czy ocenę indywidualnych osiągnięć danej osoby na tym
egzaminie, a w szczególności poziomu jej wiedzy i umiejętności w danej dziedzinie.
W ocenie TS to, że naniesione przez egzaminatora komentarze odnoszące się do odpowiedzi udzielonych na
egzaminie przez osobę do niego przystępującą są również informacjami dotyczącymi egzaminatora, nie stoi na
przeszkodzie temu, aby móc uznać, że te komentarze, ze względu na ich treść, cel czy skutek, są powiązane
z egzaminowaną osobą. Ta sama informacja może dotyczyć więcej niż jednej osoby fizycznej i stanowić
w odniesieniu do tych osób dane osobowe w rozumieniu art. 2 lit. a) dyrektywy 95/46, pod warunkiem że te osoby
zostały zidentyfikowane lub są możliwe do zidentyfikowania.
Wbrew stanowisku komisarza ds. ochrony danych i Irlandii, TS uznał, że dla tego, czy pisemne odpowiedzi udzielone
przez osobę przystępującą do egzaminu zawodowego i naniesione przez egzaminatora komentarze odnoszące się
do tych odpowiedzi mogą zostać uznane za dane osobowe, bez znaczenia jest to, że taka kwalifikacja daje tej
osobie, co do zasady, możliwość powoływania się na prawo dostępu do tych danych i do ich sprostowania (art. 12 lit.
a) i b) dyrektywy 95/46). Trybunał przypomniał, że szereg przewidzianych w dyrektywie 95/46 zasad i gwarancji
wiąże się z tą kwalifikacją i jest uzależnionych od jej dokonania. Z motywu 25 dyrektywy 95/46 wynika, że zasady tej
ochrony muszą znajdować odzwierciedlenie, z jednej strony, w obowiązkach nałożonych na podmioty przetwarzające
dane, zwłaszcza w zakresie dotyczącym jakości tych danych, bezpieczeństwa technicznego, zawiadamiania organu
nadzorczego oraz okoliczności, w których może odbywać się przetwarzanie danych, jak również, z drugiej strony,
w prawach osób, których dane są przedmiotem przetwarzania, do uzyskania informacji, że takie przetwarzanie
danych ma miejsce, do konsultowania danych, żądania poprawek lub nawet, w niektórych przypadkach, sprzeciwu
wobec przetwarzania danych. Tak więc niezakwalifikowanie jako „danych osobowych” informacji dotyczących osoby
przystępującej do egzaminu zawodowego zawartych w odpowiedziach udzielonych przez tę osobę oraz
w naniesionych przez egzaminatora komentarzach odnoszących się do tych odpowiedzi powodowałoby całkowitym
wyłączeniem w odniesieniu do tych informacji zasad i gwarancji mających zastosowanie w dziedzinie ochrony danych
osobowych.
Rzecznik generalna podniosła, że osobie przystępującej do egzaminu przysługuje niewątpliwie, w szczególności ze
względu na ochronę jej życia prywatnego, interes prawny w tym, aby móc zgłosić sprzeciw wobec przetwarzania
poza procedurą egzaminacyjną udzielonych przez nią odpowiedzi i odnoszących się do nich komentarzy
egzaminatora, a zwłaszcza wobec przekazywania ich bez jej zgody osobom trzecim, czy wręcz ich publikacji (pkt 26
opinii). Podobnie, podmiot organizujący egzamin jest jako administrator danych zobowiązany do zapewnienia, że
odpowiedzi te i odnoszące się do nich komentarze są przechowywane w taki sposób, aby nie mogły one zostać
bezprawnie udostępnione osobom trzecim. Trybunał stwierdził, że przewidziane w art. 12 lit. a) i b) dyrektywy 95/46
prawa dostępu do danych i do ich sprostowania mogą być również uzasadnione w odniesieniu do pisemnych
odpowiedzi udzielanych przez osobę przystępującą do egzaminu zawodowego oraz ewentualnych komentarzy
egzaminatora odnoszących się do tych odpowiedzi. Niewątpliwie w ramach przewidzianego w art. 12 lit. b) dyrektywy
95/46 prawa do sprostowania osoba przystępująca do egzaminu ewidentnie nie ma możliwości „sprostowania”
błędnych odpowiedzi.
Z art. 6 ust. 1 lit. d) dyrektywy 95/46 wynika, że prawidłowość i kompletność danych osobowych należy oceniać
w kontekście celu, w którym dane te są gromadzone. W przypadku odpowiedzi udzielanych przez osobę
przystępującą do egzaminu ten cel polega na umożliwieniu dokonania oceny poziomu wiedzy i umiejętności tej osoby
w dniu egzaminu. Poziom ten znajduje zaś odzwierciedlenie właśnie w błędach, jakie mogą zostać popełnione przez
udzielaniu tych odpowiedzi. Tego rodzaju błędy nie mogą więc w żaden sposób stanowić nieprawidłowości
w rozumieniu dyrektywy 95/46.
Rzecznik generalna podniosła, że nie można wykluczyć, żeby osobie przystępującej do egzaminu przysługiwało, na
mocy art. 12 lit. b) dyrektywy 95/46, prawo do domagania się od administratora danych, aby udzielone przez nią na
egzaminie odpowiedzi i odnoszące się do nich komentarze zostały po pewnym czasie usunięte, czyli aby zawierający
je arkusz został zniszczony (pkt 37 opinii). Zgodnie z art. 6 ust. 1 lit. e) tej dyrektywy dane osobowe mogą, co do
zasady, być przechowywane w formie umożliwiającej identyfikację osoby, której dotyczą, przez czas nie dłuższy niż
jest to konieczne do celów, dla których dane zostały zgromadzone lub dla których są dalej przetwarzane. W ocenie
TS biorąc pod uwagę cel, w jakim osoba przystępująca do egzaminu udziela odpowiedzi oraz w jakim egzaminator
nanosi odnoszące się do nich komentarze, przechowywanie tych danych w postaci umożliwiającej identyfikację tej

osoby po ostatecznym zakończeniu procedury egzaminacyjnej wydaje się już zbędne i nie może już zostać
zaskarżone, skutkiem czego odpowiedzi te i odnoszące się do nich komentarze tracą moc dowodową. W zakresie,
w jakim pisemne odpowiedzi udzielone przez osobę przystępującą do egzaminu zawodowego i naniesione przez
egzaminatora komentarze odnoszące się do tych odpowiedzi mogą zostać poddane weryfikacji, w szczególności pod
kątem ich prawidłowości i potrzeby ich przechowywania w rozumieniu art. 6 ust. 1 lit. d) i e) dyrektywy 95/46, i mogą
zostać sprostowane lub usunięte na podstawie art. 12 lit. b) tej dyrektywy, TS stwierdził, że udzielenie osobie
przystępującej do egzaminu prawa do dostępu do tych odpowiedzi i komentarzy na mocy art. 12 lit. a) tej dyrektywy
służy realizacji przewidzianego w niej celu polegającego na zagwarantowaniu ochrony prawa do życia prywatnego
egzaminowanego w zakresie przetwarzania dotyczących go danych (a contrario wyrok YS i in., C-141/12 i C-372/12,
pkt 45, 46). Prawo to przysługuje niezależnie od tego, czy osoba przystępująca do egzaminu ma takie prawo również
na podstawie przepisów krajowych, mających zastosowanie do procedury egzaminacyjnej.
Trybunał podkreślił, że ochrona podstawowego prawa do poszanowania życia prywatnego wiąże się m.in. z tym, aby
każda osoba fizyczna mogła upewnić się, iż dotyczące jej dane osobowe są prawidłowe i przetwarzane zgodnie
z prawem. Jak wynika z motywu 41 dyrektywy 95/46, aby móc dokonać koniecznych weryfikacji, osobie, której dane
dotyczą, przysługuje zgodnie z art. 12 lit. a) tej dyrektywy prawo dostępu do dotyczących jej danych, które są
poddane przetwarzaniu. To prawo dostępu jest niezbędne m.in. po to, aby umożliwić osobie, której dotyczą dane,
uzyskanie w razie potrzeby od administratora danych ich sprostowania, usunięcia lub zablokowania, a tym samym –
wykonanie prawa określonego w art. 12 lit. b) tej dyrektywy (wyrok YS i in., pkt 44).
Trybunał stwierdził, że przewidziane w art. 12 lit. a) i b) dyrektywy 95/46 prawa do dostępu i sprostowania nie
obejmują pytań egzaminacyjnych, które nie stanowią jako takie danych osobowych egzaminowanego. Ponadto,
zarówno dyrektywa 95/46, jak i zastępujące ją rozporządzenie 2016/679 przewidują pewne ograniczenie tych praw.
Zgodnie z art. 13 ust. 1 lit. g) dyrektywy 95/46 państwo członkowskie może wydać przepisy prawne mające na celu
ograniczenie zakresu praw i obowiązków przewidzianych w szczególności w art. 6 ust. 1 i w art. 12 tej dyrektywy,
w sytuacji gdy ograniczenie takie stanowi środek konieczny dla zabezpieczenia praw i wolności innych osób. W art.
23 ust. 1 lit. e) rozporządzenia 2016/679 lista powodów ustanawiania ograniczeń, przewidziana obecnie w art. 13 ust.
1 dyrektywy 95/46, została poszerzona o „inne ważne cele leżące w ogólnym interesie publicznym Unii lub państwa
członkowskiego”. Ponadto, art. 15 rozporządzenia 2016/679, dotyczący prawa do dostępu przysługującego osobie,
której dane dotyczą, stanowi w ust. 4, że prawo do uzyskania kopii danych osobowych nie może naruszać praw
i wolności innych podmiotów.
Reasumując TS orzekł, że art. 2 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że
w okolicznościach takich jak te rozpatrywane w postępowaniu głównym, pisemne odpowiedzi udzielone
przez osobę przystępującą do egzaminu zawodowego i ewentualne naniesione przez egzaminatora
komentarze odnoszące się do tych odpowiedzi stanowią dane osobowe w rozumieniu tego przepisu.
Autorka jest doktorem nauk prawnych, ekspertem ds. prawa gospodarczego, WPiA UKSW w Warszawie
Wyrok TS z 20.12.2017 r., Nowak, C-434/16

TS orzekł, że pisemne odpowiedzi udzielone przez osobę przystępującą do egzaminu zawodowego i komentarze egzaminatora stanowią dane osobowe. Decyzja ta ma istotne konsekwencje dla ochrony danych osobowych osób uczestniczących w egzaminach zawodowych. Interpretacja TS dotycząca definicji danych osobowych zgodnie z dyrektywą 95/46 wprowadza nowe kryteria identyfikacji informacji powiązanych z osobą fizyczną.