Stosownie do unijnej dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
Peter Nowak był księgowym stażystą, który przystąpił do egzaminów z rachunkowości pierwszego stopnia oraz trzech egzaminów drugiego stopnia przeprowadzanych przez Institute of Chartered Accountants of Ireland (Instytut Biegłych Rewidentów Irlandii). Nie zdał on jednak egzaminu z finansów strategicznych i rachunkowości zarządczej. Po kolejnej nieudanej próbie zdania tego egzaminu, jesienią 2009 r. P. Nowak zaskarżył najpierw jego wynik. Po oddaleniu jego skargi złożył on następnie wniosek o udostępnienie wszystkich dotyczących go danych osobowych pozostających w posiadaniu Instytutu Biegłych Rewidentów. W 2010 r. instytut ten podał do wiadomości P. Nowaka 17 dokumentów, lecz odmówił udostępnienia jego arkusza egzaminacyjnego, uzasadniając to w ten sposób, że praca egzaminacyjna nie zawiera danych osobowych.
Decyzja komisarza ds. ochrony danych, zgodnie z którą arkusze egzaminacyjne nie są na ogół danymi osobowymi, została zakwestionowana przez P. Nowaka na drodze sądowej. Supreme Court (sąd najwyższy, Irlandia) zwrócił się do Trybunału Sprawiedliwości z pytaniem, czy pisemne odpowiedzi udzielone przez osobę przystępującą do egzaminu zawodowego i ewentualnie naniesione przez egzaminatora komentarze odnoszące się do tych odpowiedzi stanowią takie dane.
W ogłoszonym wczoraj wyroku Trybunał podkreślił przede wszystkim, że osoba przystępująca do egzaminu zawodowego jest osobą fizyczną, która może zostać zidentyfikowana bezpośrednio poprzez swoje nazwisko lub pośrednio, dzięki numerowi identyfikacyjnemu, które to nazwisko bądź numer są umieszczone na arkuszu egzaminacyjnym lub jego okładce. Bez znaczenia w tym kontekście jest kwestia tego, czy egzaminator może zidentyfikować osobę przystępującą do egzaminu w momencie sprawdzania i dokonywania oceny jego arkusza egzaminacyjnego.
Następnie Trybunał ocenił, czy udzielone przez osobę przystępującą do egzaminu zawodowego pisemne odpowiedzi i ewentualnie naniesione przez egzaminatora komentarze odnoszące się do tych odpowiedzi stanowią informacje dotyczące tej osoby. Trybunał wyjaśnił w tym względzie, że użycie w zawartej w dyrektywie definicji „danych osobowych” wyrażenia „wszelkie informacje” odzwierciedla przyświecający prawodawcy Unii zamiar przypisania temu pojęciu szerokiego zakresu, nieograniczającego się do informacji wrażliwych czy też prywatnych, lecz obejmującego potencjalnie informacje wszelkiego rodzaju, zarówno obiektywne, jak i subiektywne, w postaci opinii czy oceny, a jedynym warunkiem, które muszą one spełniać, jest to, aby „dotyczyły” one danej osoby. Warunek ten jest zaś spełniony, gdy, ze względu na swą treść, cel czy skutek, dana informacja jest powiązana z daną osobą. Pisemne odpowiedzi udzielone przez osobę przystępującą do egzaminu zawodowego stanowią zaś takie informacje powiązane z osobą.
Treść tych odpowiedzi odzwierciedla bowiem poziom wiedzy i umiejętności osoby przystępującej do egzaminu w danej dziedzinie i, w odpowiednim przypadku, sposób jej rozumowania, wnioskowania i przyjęte przez nią krytyczne podejście. Ponadto odpowiedzi te są zbierane w celu dokonania oceny kwalifikacji zawodowych osoby egzaminowanej i jej zdolności do wykonywania danego zawodu. Wreszcie, wykorzystanie tych informacji, wskutek którego dana osoba może w szczególności zdać egzamin, do którego przystępuje, bądź go nie zdać, może mieć wpływ na jej prawa i interesy, ze względu na to, że może ono warunkować przykładowo jej szanse na wykonywanie danego zawodu bądź zatrudnienie na danym stanowisku.
W odniesieniu do naniesionych przez egzaminatora komentarzy dotyczących tych odpowiedzi Trybunał stwierdził, że stanowią one, tak jak udzielone na egzaminie przez przystępującą do niego osobę odpowiedzi, informacje dotyczące tej właśnie osoby. Treść tych komentarzy odzwierciedla bowiem wyrażoną przez egzaminatora opinię czy ocenę indywidualnych osiągnięć danej osoby na tym egzaminie, a w szczególności poziomu jej wiedzy i umiejętności w danej dziedzinie.
Trybunał zaznaczył, że dla tego, czy pisemne odpowiedzi udzielone przez osobę przystępującą do egzaminu zawodowego i naniesione przez egzaminatora komentarze odnoszące się do tych odpowiedzi mogą zostać uznane za dane osobowe, bez znaczenia jest okoliczność, że taka kwalifikacja daje tej osobie co do zasady możliwość powoływania się na prawo dostępu do tych danych i do ich sprostowania.
Wydanie innego rozstrzygnięcia skutkowałoby bowiem całkowitym wyłączeniem, w odniesieniu do tych odpowiedzi i komentarzy, zasad i gwarancji mających zastosowanie w dziedzinie ochrony danych osobowych. Osoba przystępująca do egzaminu niewątpliwie ma zaś w szczególności przysługujący jej ze względu na ochronę jej życia prywatnego interes prawny w tym, by móc zgłosić sprzeciw wobec przetwarzania poza procedurą egzaminacyjną udzielonych przez nią odpowiedzi i odnoszących się do nich komentarzy egzaminatora, a zwłaszcza - wobec przekazywania ich bez jej zgody osobom trzecim, czy wręcz - ich publikacji. Podobnie, podmiot organizujący egzamin jest, jako administrator danych, zobowiązany do zapewnienia, że te odpowiedzi i odnoszące się do nich komentarze są przechowywane w taki sposób, aby nie mogły zostać bezprawnie udostępnione osobom trzecim.
Trybunał stwierdził ponadto, że prawa dostępu do danych i do ich sprostowania mogą być również uzasadnione w odniesieniu do pisemnych odpowiedzi udzielanych przez osobę przystępującą do egzaminu zawodowego oraz ewentualnych komentarzy egzaminatora odnoszących się do tych odpowiedzi. Niewątpliwie, w ramach prawa do sprostowania, osoba przystępująca do egzaminu ewidentnie nie ma możliwości „sprostowania” a posteriori „błędnych” odpowiedzi, gdyż odpowiedzi te nie stanowią w żaden sposób nieprawidłowości, co dawałoby prawo do sprostowania. Mogą natomiast wystąpić sytuacje, w których odpowiedzi udzielone przez osobę przystępującą do egzaminu i komentarze egzaminatora odnoszące się do tych odpowiedzi okażą się nieprawidłowe, na przykład ze względu na fakt, że przez pomyłkę arkusze egzaminacyjne zostały zamienione w taki sposób, że danej osobie przydzielone zostały odpowiedzi innego egzaminowanego. Ponadto nie można wykluczyć tego, żeby osobie przystępującej do egzaminu przysługiwało prawo do domagania się od administratora danych tego, aby jej udzielone na egzaminie odpowiedzi i odnoszące się do nich komentarze zostały po określonym czasie usunięte, czyli żeby zawierający je arkusz został zniszczony.
Co za tym idzie, w zakresie, w jakim te pisemne odpowiedzi udzielone przez osobę przystępującą do egzaminu zawodowego i ewentualnie naniesione przez egzaminatora komentarze odnoszące się do tych odpowiedzi mogą zostać poddane weryfikacji, w szczególności pod kątem ich prawidłowości i potrzeby ich przechowywania i mogą zostać sprostowane lub usunięte. Trybunał stwierdził, że udzielenie osobie przystępującej do egzaminu prawa do dostępu do tych odpowiedzi i tych komentarzy służy realizacji ustanowionego w dyrektywie celu polegającego na zagwarantowaniu ochrony prawa do życia prywatnego egzaminowanego w zakresie przetwarzania dotyczących go danych i to niezależnie od tego, czy osobie przystępującej do egzaminu takie prawo dostępu przysługuje również na podstawie przepisów krajowych. Trybunał przypomniał w tym względzie, że ochrona podstawowego prawa do poszanowania życia prywatnego wiąże się między innymi z tym, aby każda osoba fizyczna mogła upewnić się, iż dotyczące jej dane osobowe są prawidłowe i przetwarzane zgodnie z prawem.
Trybunał wyjaśnił również, że prawa do dostępu i sprostowania nie obejmują pytań egzaminacyjnych, które nie stanowią jako takie danych osobowych egzaminowanego. Przypomniał on ponadto, że prawo Unii ustanawia określone ograniczenia tych praw. Państwa członkowskie mogą bowiem wydać przepisy prawne mające na celu ograniczenie zakresu praw i obowiązków w sytuacji, gdy ograniczenie takie stanowi środek konieczny dla zabezpieczenia praw i wolności innych osób.
Tak wynika z wyroku TSUE z 20.12.2017 r. w sprawie C-434/16 Peter Nowak przeciwko Data Protection Commissioner.
