W świetle art. 23 ust. 1 pkt 4 ustawy o ochronie danych osobowych nie można mówić o niezbędności przetwarzania danych osobowych skarżącej, albowiem żaden przepis prawa nie upoważnia organu prowadzącego szkołę do personifikowania tych danych, które są mu potrzebne do realizacji jego zadań. Dodatkowo, zakładając racjonalność ustawodawcy, trudno byłoby przyjąć, że organ prowadzący szkołę, realizując ustawowe zadania, permanentnie działa w warunkach stanu wyższej konieczności.

Operacja polegająca na zamieszczeniu na stronie internetowej danych różnych osób pozwalających je zidentyfikować za pomocą nazwiska albo innych środków, np. numeru telefonu lub informacji dotyczących ich warunków pracy i sposobów spędzania przez nie wolnego czasu stanowi „przetwarzanie danych osobowych w całości lub w części w sposób zautomatyzowany” w rozumieniu art. 3 ust. 1 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych.

Treść i forma załączonej do przedmiotowej sprawy umowy zlecenia wykonania ochrony transportu wartości pieniężnych zawartej pomiędzy Towarzystwem, a Agencja Ochrony wskazuje, iż Spółka powierzyła do przetwarzania Agencji dane osobowe Skarżącej, zgodnie z dyspozycją art. 31 ustawy o ochronie danych osobowych. Należy przy tym podkreślić, iż ze złożonych w sprawie wyjaśnień i przedstawionej dokumentacji nie wynika, aby Agencja, przetwarzała dane Skarżącej niezgodnie z celem i zakresem wskazanym pierwotnie przez administratora danych w umowie powierzenia.