Generalny Inspektor nie jest organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, służb czy sądów, których orzeczenia podlegają ocenom w toku instancji, czy w inny sposób określony odpowiednimi procedurami.

W przypadku naruszenia przepisów ustawy o ochronie danych osobowych, Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem. W sytuacji, gdy kwestionowany proces przetwarzania danych osobowych Skarżących nie jest już kontynuowany, badanie jego legalności, w kontekście sformułowania nakazu o którym mowa w art. 18 ust. 1 ustawy jest bezprzedmiotowe.

W toku prowadzonego postępowania wyjaśniającego Generalny Inspektor ustalił, iż Przewodniczący Rady Miejskiej w G. nie przetwarza obecnie danych osobowych Skarżącego w kwestionowanym przez niego zakresie, nie jest więc możliwym wydanie nakazu ich usunięcia.

Wiarygodne uzasadnienie potrzeby posiadania danych chronionych powinno być na tyle szczegółowe, aby umożliwiło organowi ocenę tego, czy wskutek udostępnienia danych nie zostaną naruszone prawa i wolności konkretnych osób.

Informacja o dacie urodzenia sędziego Sądu Najwyższego, jest informacją publiczną w rozumieniu art. 6 ust. 1 pkt 2 lit. d ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej, a dane odnoszące się do wieku sędziego, zakreślające cezurę czasową pełnienia funkcji sędziego są nierozerwalnie związane z tą funkcją – zatem stanowią informację publiczną.

Danymi osobowymi są zarówno takie dane, które pozwalają na określenie tożsamości konkretnej osoby, jak i takie, które nie pozwalają na jej natychmiastową identyfikację, ale są, przy pewnym nakładzie kosztów, czasu i działań, wystarczające do jej ustalenia. Daną osobową będzie taka informacja, która pozwała na ustalenie tożsamości danej osoby, bez nadzwyczajnego wysiłku i nakładów, zwłaszcza przy wykorzystaniu łatwo osiągalnych i powszechnie dostępnych źródeł.

Nagrania z monitoringu na terenie pozwanej wspólnoty nie można uznać za zbiór danych osobowych z uwagi na brak w strukturze nagrania informacji o charakterze osobowym, które byłyby dostępne według określonych kryteriów.

W świetle przepisów ustawy o ochronie danych osobowych o legalności przetwarzania danych osobowych można mówić wówczas, gdy zachodzi jedna z przesłanek określonych w art. 23 ust. l ustawy. Zgodnie z jego treścią przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek taksatywnie wskazanych w tym przepisie.

Zgodnie zaś z art. 7 ust. 2 pkt 4 ustawy prawo prasowe, materiał prasowy nie stanowi zbioru danych osobowych, o którym mowa w art. 7 pkt 1 ustawy o ochronie danych osobowych. Materiałem prasowym jest każdy opublikowany lub przekazany do opublikowania w prasie tekst albo obraz o charakterze informacyjnym, publicystycznym, dokumentalnym lub innym, niezależnie od środków przekazu, rodzaju, formy, przeznaczenia czy autorstwa. (...) Podane dane nie były bowiem orzeczeniami, lecz informacją o procesach. Zatem art. 27 ustawy o ochronie danych osobowych w ogóle w sprawie nie miał zastosowania.

Osoba pełniąca funkcję publiczną - a za taką osobę można uznać prezesa Spółdzielni Mieszkaniowej w niewielkim mieście - winna być nieposzlakowanego charakteru, o wysokiej postawie moralnej i etycznej. Niewątpliwie zaś osoba skazana za przestępstwa umyślne z oskarżenia publicznego, cech takich nie posiada.

Powoływanie zgody wyrażonej przez pracowników jako przesłanki legalizującej przetwarzanie danych biometrycznych w sytuacji, gdy przepisy prawa wskazują katalog danych, które mogą być przez pracodawcę przetwarzane, prowadzi do obchodzenia prawa regulującego te kwestie w sposób jednoznaczny. Złożenie przez pracownika oświadczenia, które jest wyrażeniem zgody na przetwarzanie danych osobowych w postaci linii papilarnych, nie stanowi przesłanki legalizującej przetwarzanie danych osobowych pracowników. Pracownik nie inicjuje podania tych danych, lecz zwraca się o nie pracodawca.

Generalny Inspektor Ochrony Danych Osobowych w swych decyzjach przyjmuje, że przepis art. 22 1 § 1 ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy zawiera zamknięty katalog danych osobowych, których podania może od kandydata do pracy żądać przyszły pracodawca, i nie wymieniono w nim danych osobowych, gromadzonych przy pomocy ww. testów. To, że w art. 22 1 § 1 Kodeksu pracy nie wymieniono danych osobowych, pozyskiwanych za pośrednictwem tego rodzaju testów, nie oznacza jeszcze, że organ administracji publicznej, a takim niewątpliwie jest GIODO, zostaje zwolniony z obowiązku oceny stanu faktycznego sprawy w kontekście norm stanowiących prawne podstawy przetwarzania danych osobowych.

Wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania w rozumieniu art. 26 ust. 1 pkt 3 powołanej ustawy o ochronie danych osobowych.

Przetwarzanie danych osobowych jest dopuszczalne, jeżeli - w myśl art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych - osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie jej danych. Zgoda jest to oświadczenie woli osoby na przetwarzanie jej danych, a zatem musi być wyrażona w takiej formie, aby można to wiązać z oświadczeniem woli określonej treści.

Jeśli chodzi o dane pracownika takie jak linie papilarne czy wzór siatkówki oka, pobieranie tych danych, ich gromadzenie, czyli przetwarzanie - co do zasady - nie jest zabronione, lecz odbywać się musi z poszanowaniem przepisów ustawy o ochronie danych osobowych. W związku z powyższym – jeśli dane biometryczne w postaci odcisków linii papilarnych palców pracowników zostały uzyskane na podstawie zgody, wyrażonej przez pracownika w postaci pisemnego oświadczenia, wówczas można przyjąć, że osoba je składająca wyraża zgodę na przetwarzanie jej danych osobowych, którymi w tym przypadku są w tym przypadku linie papilarne.

Skarżący wypełnił internetowy wniosek o otwarcie konta i przesłał go do administratora. Zawarł w nim m.in. dane dotyczące swojej osoby, a to: imiona i nazwisko, nazwisko panieńskie matki, nr PESEL, serię i numer dowodu osobistego, datę urodzenia, stan cywilny, adres zamieszkania i numer telefonu mobilnego oraz adres e-mail. Jednocześnie w powyższym wniosku, zakreślił opcjonalne "TAK", na wyrażenie zgody "na przetwarzanie przez m. moich danych osobowych w celach promocji i marketingu działalności prowadzonej m. w tym świadczonych usług oraz oferowanych produktów (zgodnie z art. 23 ust. 2 ustawy o ochronie danych osobowych)". Zauważyć w tym miejscu należy, że stosownie do treści art. 23 ust. 2 ustawy, zgoda, o której mowa w ust. 1 pkt 1, może obejmować również przetwarzanie danych w przyszłości, jeżeli nie zmienia się cel przetwarzania.

Przetwarzanie danych jest dopuszczalne tylko wtedy, gdy zezwalają na to przepisy prawa. Z chwilą całkowitej spłaty kredytu (zamknięcia rachunku bankowego) kończy się prawne zezwolenie na przetwarzanie danych osobowych tych osób, których rachunki zostały zamknięte – osiągnięty zostaje wówczas cel, w jakim dane te były przetwarzane.

Jedną z przesłanek legalności przetwarzania danych wymienioną w art. 161 ust 3 Prawa telekomunikacyjnego jest zgoda abonenta na przetwarzanie danych. Organ w toku postępowania poprzedzającego rejestrację danych ma tylko badać czy taka zgoda istnieje.

W świetle art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych nie można mówić o niezbędności przetwarzania danych osobowych skarżącej, albowiem żaden przepis prawa nie upoważnia organu prowadzącego szkołę do personifikowania tych danych, które są mu potrzebne do realizacji jego zadań. Dodatkowo, zakładając racjonalność ustawodawcy, trudno byłoby przyjąć, że organ prowadzący szkołę, realizując ustawowe zadania, permanentnie działa w warunkach stanu wyższej konieczności.

Legalność przetwarzania przez Spółkę danych osobowych Skarżącego na podstawie i w celu określonym w art. 19 ust. 2 pkt 3 i art. 21 ust. 1 ustawy o świadczeniu usług drogą elektroniczną nie jest uzależniona od wyrażenia przez niego zgody.