Wyrok zapadł 13 maja 2021 r., ale dopiero dziś informuje o nim jedna ze stron - Prezes Urzędu Ochrony Danych Osobowych.
Sprawa, którą zajmował się WSA, dotyczy decyzji Prezesa UODO związanej z naruszeniem ochrony danych osobowych kandydatów na studia w SGGW z listopada 2019 roku. Doszło wówczas do kradzieży prywatnego laptopa pracownika uczelni, na którym zostały zapisane dane osobowe kandydatów na studia. Kontrola i postępowanie administracyjne UODO wykazały nieprawidłowości po stronie uczelni. Jak wynika z uzasadnienia wyroku, potencjalnie mogły one narazić na szkody nawet 100 tys. osób. PUODO nałożył na SGGW administracyjną karę pieniężną w wysokości 50 tys. zł.
Przed sądem uczelnia próbowała wykazać, że to nie ona była administratorem danych, lecz pracownik, którego prywatny laptop został skradziony. To pracownik bowiem - bez wiedzy uczelni i z naruszeniem wewnętrznych procedur - przetwarzał dane rekrutacyjne studentów na prywatnym sprzęcie i to z ostatnich pięciu lat. Uczelnia w wewnętrznych regulacjach określiła, że dane kandydatów na studia mogą być przetwarzane przez maksymalnie trzy miesiące.
Wojewódzki Sąd Administracyjny nie zgodził się z uczelnią. Zdaniem sądu, UODO słusznie uznał SGGW jako administratora danych. W myśl definicji administratora zawartej w RODO, to uczelnia pełniła tę rolę, gdyż decydowała o celach i sposobach przetwarzania danych osobowych kandydatów na studia. Pracownik, któremu skradziono laptopa z danymi, nie był zaś podmiotem, który samodzielnie decydował o celach i sposobach ich przetwarzania.
- Z istoty stosunku pracy wynika, że w stosunkach zewnętrznych pracownik nie występuje jako odrębny podmiot prawa (z wyjątkiem, gdy wchodzi w grę jego osobista odpowiedzialność typu karnego czy odpowiedzialność za wykroczenia). Z punktu widzenia prawa jego działania są działaniami pracodawcy i pracodawca ponosi za nie odpowiedzialność, zachowując w stosunku do pracownika regres w postaci możliwości egzekwowania od niego odpowiedzialności odszkodowawczej, porządkowej lub dyscyplinarnej. Zdaniem WSA, nie zmienia tej sytuacji prawnej działanie naruszające czy wykraczające poza zakres powierzonych mu przez pracodawcę zadań i obowiązków pracowniczych (w tym przypadku polegających na przetwarzaniu danych kandydatów na studia) - wskazał Sąd.
