Wynik egzaminu studenta też podlega RODO.
Czego uczelnie powinny nauczyć się z wyroku Naczelnego Sądu Administracyjnego z dnia 1 lipca 2026 roku?
Jedno zdanie wypowiedziane podczas zajęć online na temat wyników egzaminu konkretnego studenta z perspektywy prowadzącego może być postrzegane jako zwykła informacja organizacyjna. Z perspektywy ochrony danych osobowych jest to jednak sytuacja, która może podlegać przepisom RODO i stanowić poważne naruszenie dla uczelni.
Wyrok Naczelnego Sądu Administracyjnego z 1 lipca 2026 r., sygn. III OSK 2603/23, jest ciekawy nie tylko dlatego, że dotyczy wyniku egzaminu studenta. Jest ważny przede wszystkim dlatego, że przypomina uczelniom o bardzo szerokim kontekście ochrony danych osobowych. Ochrona danych osobowych nie kończy się na polityce prywatności, klauzuli informacyjnej i zabezpieczonym systemie informatycznym. Dotyczy również tego, w jaki sposób pracownicy uczelni korzystają z informacji o studentach w swojej codziennej pracy.
Co wydarzyło się w tej sprawie?
Sprawa dotyczyła ujawnienia przez nauczyciela akademickiego wyniku egzaminu studentki wobec innych studentów uczestniczących w zajęciach prowadzonych online za pośrednictwem MS Teams. Prezes UODO uznał wcześniej, że doszło do naruszenia przepisów dotyczących podstawy prawnej przetwarzania oraz zasady minimalizacji danych i udzielił uczelni upomnienia. Spór trafił następnie do sądów administracyjnych. NSA zwrócił uwagę na fundamentalną kwestię: wynik egzaminu dotyczący możliwej do zidentyfikowania osoby jest daną osobową. Co więcej, wynik egzaminu stanowi element dokumentacji dotyczącej przebiegu studiów, a więc jest częścią zbioru danych prowadzonego przez uczelnię. W konsekwencji również jego ustne ujawnienie może być „przetwarzaniem” objętym RODO.
Warto przy tym zachować precyzję: NSA nie zakończył sprawy ostatecznym stwierdzeniem, że w każdym przypadku ustne przekazanie wyniku egzaminu oznacza naruszenie RODO. Uchylił wcześniejszy wyrok WSA i przekazał sprawę do ponownego rozpoznania. Przesądził natomiast istotną rzecz – nie można uznać, że takie zdarzenie znajduje się poza RODO wyłącznie dlatego, że informację przekazano ustnie. To nie jest sprawa tylko o ocenę z egzaminu. Na uczelniach każdego dnia przetwarzane są ogromne ilości danych: wyniki egzaminów i zaliczeń, informacje o nieobecnościach, indywidualnych organizacjach studiów, stypendiach, sytuacji zdrowotnej, niepełnosprawności, postępowaniach dyscyplinarnych, praktykach, płatnościach czy kontaktach studentów z dziekanatem. RODO wymaga m.in. zgodności z prawem i przejrzystości, ograniczenia celu, minimalizacji danych, ograniczenia okresu ich przechowywania, zapewnienia odpowiedniego bezpieczeństwa oraz – co niezwykle ważne – rozliczalności administratora. Oznacza to, że uczelnia nie powinna dopiero po incydencie zastanawiać się: „czy pracownik mógł tak zrobić?”. Powinna wcześniej stworzyć taki system organizacyjny, aby pracownik wiedział, jak powinien postąpić, a także wprowadzić regularne szkolenia dla pracowników z zakresu zasad ochrony danych osobowych.
Co zatem powinna mieć wdrożone uczelnia?
Sama dokumentacja RODO nie wystarczy. Potrzebne jest połączenie procedur, technologii i świadomości pracowników. W praktyce warto zweryfikować co najmniej:
Jasne zasady przekazywania wyników egzaminów i zaliczeń. Pracownik powinien wiedzieć, jakimi kanałami może przekazywać studentowi ocenę, a jakich sposobów powinien unikać. Uczelniany system obsługi studiów, czy indywidualna wiadomość mogą ograniczać ryzyko przypadkowego ujawnienia danych osobom nieuprawnionym.
Procedury prowadzenia zajęć online. Teams, Zoom czy inne narzędzie nie jest już wyłącznie „technicznym dodatkiem”. Uczelnia powinna określić zasady korzystania z czatów, nagrywania spotkań, udostępniania ekranu, publikowania list studentów i przekazywania informacji dotyczących konkretnych osób.
Zasady kontroli dostępu. Dostęp do danych powinien wynikać z rzeczywistej potrzeby wykonywania obowiązków. Nie każdy pracownik uczelni musi mieć dostęp do wszystkich informacji o studencie. To praktyczne zastosowanie zasady minimalizacji danych.
Rejestr czynności przetwarzania i uporządkowaną mapę procesów. Obsługa toku studiów, rekrutacja, stypendia, praktyki, biblioteka, akademiki, badania naukowe czy monitoring to różne procesy, różne cele i często różne podstawy prawne. Administrator powinien wiedzieć, jakie dane posiada, skąd je pozyskuje, komu je udostępnia i jak długo je przechowuje.
Procedurę zarządzania naruszeniami ochrony danych. Pracownik musi wiedzieć, co zrobić, jeżeli wyśle wiadomość do niewłaściwego adresata, udostępni niewłaściwy plik, ujawni dane podczas zajęć albo zgubi dokumentację. RODO wymaga stosowania środków bezpieczeństwa adekwatnych do ryzyka, a w określonych przypadkach również zgłoszenia naruszenia organowi nadzorczemu.
Regularne szkolenia – ale oparte na realnych sytuacjach. Szkolenie ograniczone do definicji „administratora”, „procesora” i „danych osobowych” niewiele zmieni. Prowadzący powinien wiedzieć: czy może odczytać listę ocen, czy może przesłać tabelę całej grupie, jak odpowiedzieć rodzicowi pełnoletniego studenta, co zrobić z dokumentacją pozostawioną w sali i czy może wkleić fragment pracy studenta do zewnętrznego narzędzia AI.
Realnie funkcjonującego Inspektora Ochrony Danych. RODO przewiduje obowiązek wyznaczenia IOD m.in. w przypadku organów i podmiotów publicznych oraz w innych sytuacjach określonych w art. 37 RODO. Równie ważne jest jednak to, aby inspektor był odpowiednio i odpowiednio wcześnie włączany w sprawy dotyczące ochrony danych oraz miał możliwość prowadzenia działań szkoleniowych i kontrolnych.
Ta sprawa przypomina także o innym częstym błędzie. Brak sprzeciwu studenta co do takiej formy przekazywania informacji o jego ocenie nie jest automatycznie zgodą. Jeżeli administrator chce opierać przetwarzanie na zgodzie, musi pamiętać o warunkach jej ważności określonych w RODO. Nie można budować procesu na założeniu, że studenci zostali poinformowani o sposobie odczytywania wyników egzaminów. Co więcej, w działalności uczelni zgoda wcale nie musi być właściwą podstawą każdego przetwarzania. Wiele operacji wynika z obowiązków prawnych uczelni, realizacji umowy czy wykonywania zadań publicznych. Dlatego tak ważne jest prawidłowe określenie celu i podstawy prawnej przed rozpoczęciem procesu, a nie dopiero wtedy, gdy pojawi się skarga.
Łatwo myśleć o ochronie danych przez pryzmat cyberbezpieczeństwa: haseł, serwerów, szyfrowania, MFA i uprawnień w systemie. Tymczasem, do naruszenia poufności może dojść znacznie prościej. Wystarczy źle zaadresowany e-mail, lista pozostawiona na biurku, udostępniony ekran, a także rozmowa w obecności osób nieuprawnionych.
Dlatego profesjonalizm uczelni w obszarze RODO nie powinien być mierzony liczbą przyjętych polityk i procedur. Zasady ochrony danych muszą zostać przełożone na codzienne zachowania pracowników i rzeczywiste procesy uczelni.
Wyrok NSA z 1 lipca 2026 r., III OSK 2603/23, może być więc bardzo dobrym pretekstem, aby przed rozpoczęciem kolejnego roku akademickiego zweryfikować czy rzeczywiście w uczelni prawidłowo funkcjonuje system ochrony danych.
