Ocena z egzaminu ogłoszona ustnie też podlega RODO

Naczelny Sąd Administracyjny w wyroku z 1 lipca 2026 r. (sygn. akt III OSK 2603/23) wypowiedział się w ważnej kwestii ustnego przekazywania ocen studentom. Wyrok ten nie zakazuje ustnego przekazywania ocen, przesądza jednak, że wynik egzaminu ujawniony przy innych studentach może podlegać ocenie wynikającej z RODO także wtedy, gdy wykładowca nie odczytuje go z protokołu ani systemu. Dla uczelni oznacza to konieczność objęcia procedurami rozmów wykładowców ze studentami podczas egzaminów, konsultacji i obron - pisze dr Rafał Kubik.

Sprawa dotyczyła egzaminu przeprowadzonego za pośrednictwem MS Teams. W obecności innych zdających nauczyciel akademicki poinformował, że konkretna studentka nie zdała i musi ponownie podejść do egzaminu. Uczelnia twierdziła, że prowadzący wcześniej zaproponował grupie taki sposób ogłaszania wyników, a każdy student mógł zgłosić sprzeciw. Studentka zaprzeczała jednak, aby wyraziła zgodę na podanie do powszechnej wiadomości jej oceny. Prezes UODO udzielił uczelni upomnienia za naruszenie art. 6 ust. 1 RODO oraz zasady minimalizacji danych. WSA uchylił decyzję, uznając, że ustna wypowiedź nie pozostawała w wystarczającym związku ze zbiorem danych. NSA nie zgodził się jednak z tą wykładnią. Wskazał, że wynik egzaminu jest elementem akt osobowych studenta, protokołu, karty osiągnięć i systemu uczelni, a jego ustne ujawnienie osobom mogącym przypisać go konkretnej osobie podlega kontroli wynikającej z RODO. To ważne zastrzeżenie, bowiem NSA nie przesądził jeszcze, że ujawnienie było bezprawne. Sąd ten uchylił jednakże wyrok i nakazał WSA zbadać podstawę przetwarzania, kwestię zgody oraz zgodność działania z zasadami RODO. Orzeczenie rozstrzyga więc o zakresie stosowania rozporządzenia, a nie ustanawia bezwzględnego zakazu ustnego podawania ocen.

Ocena i komentarz egzaminatora są danymi

Wyrok NSA wpisuje się w orzecznictwo TSUE i innych państw europejskich. W sprawie Nowak, C-434/16, Trybunał uznał tak samo jak NSA, że odpowiedzi egzaminacyjne oraz komentarze egzaminatora mogą być danymi osobowymi. Informacja dotyczy osoby, jeżeli jest z nią powiązana przez treść, cel albo skutek. Odpowiedzi służą ocenie wiedzy i wpływają na sytuację zdającego. Tym bardziej daną osobową jest przypisana mu ocena. Podobny kierunek przyjął niemiecki Federalny Sąd Administracyjny w wyroku 6 C 10.21. Uznał bowiem, że praca egzaminacyjna i opinie egzaminatorów są danymi zdającego, który może żądać ich bezpłatnej kopii. Uwagi prowadzącego nie pozostają wyłącznie jego prywatnym materiałem, jeżeli dokumentują proces oceny.

RODO działa także wtedy, gdy informacja pada ustnie

W sprawie Endemol Shine Finland, C-740/22, TSUE stwierdził, że ustne ujawnienie danych jest ich przetwarzaniem. Definicja obejmuje udostępnianie niezależnie od formy. Inna wykładnia pozwalałaby obchodzić RODO przez zastąpienie dokumentu wypowiedzią. Przy operacji niezautomatyzowanej dane muszą należeć do zbioru albo mieć do niego trafić. Nie oznacza to jednak konieczności istnienia jednej bazy. Z wyroków Endemol Shine Finland oraz Jehovan todistajat, C-25/17, wynika, że wystarczy uporządkowanie informacji według kryteriów pozwalających odszukać dane dotyczące określonej osoby. W uczelni wynik egzaminu jest częścią dokumentacji przebiegu studiów, dlatego warunek ten jest zwykle spełniony. Pokreślić jednak trzeba, że objęcie operacji kontrolą na podstawie RODO nie oznacza automatycznie bezprawności tejże operacji. Uczelnia musi jednak wskazać podstawę z art. 6 i wykazać zgodność z art. 5 RODO. Ustalenie oceny, zapisanie jej w protokole, przekazanie studentowi oraz ogłoszenie całej grupie to odrębne operacje. To, że pierwsze trzy są potrzebne do prowadzenia studiów, nie przesądza jeszcze o niezbędności czwartej.

Brak sprzeciwu nie zastąpi zgody

Należy w tym miejscu wskazać, że zgoda nie powinna być zwykłą podstawą organizowania egzaminów i przekazywania wyników. W sprawie Orange România, C-61/19, TSUE podkreślił między innymi, że administrator musi wykazać aktywne, świadome i jednoznaczne zachowanie osoby. Milczenie, brak sprzeciwu albo obowiązek wykonania dodatkowej czynności w celu odmowy nie wystarczą. W relacji student-wykładowca występuje dodatkowo nierównowaga: o zgodę pyta osoba, która następnie ocenia. Nawet wyraźne oświadczenie wymagałoby realnej możliwości odmowy bez negatywnych konsekwencji oraz równie łatwego wycofania. Dlatego, bezpieczniejszym rozwiązaniem jest indywidualne przekazywanie wyników, a nie budowanie procedury na domniemanej zgodzie grupy.

Jawność egzaminu nie oznacza jawności wyniku

Trzeba w tym miejscu wskazać, że prawo o szkolnictwie wyższym i nauce oraz rozporządzenie w sprawie studiów nie zawierają ogólnej normy nakazującej ogłaszanie ocen grupie. Ustawa pozostawia organizację studiów regulaminowi, a rozporządzenie traktuje ocenę jako składnik dokumentacji studenta. Z publicznego charakteru egzaminu lub obrony wykładowca nie powinien więc sam wyprowadzać upoważnienia do ogłoszenia wyniku wszystkim obecnym. Podobny kierunek interpretacyjny widać również w aktach prawnych wydawanych w innych państwach europejskich. I tak na przykład włoski Garante w decyzji nr 479 z 3 lipca 2026 r. nie uznał publicznego charakteru egzaminów za podstawę nieograniczonego dostępu studentów do danych osób spoza danego terminu. Natomiast francuska CADA w opinii nr 20230262 odróżniła końcowy fakt uzyskania dyplomu od ocen i informacji o niezdaniu, które udostępnia się zainteresowanemu. Rozstrzygnięcia te nie wiążą polskich uczelni, ale potwierdzają, że jawność musi mieć konkretną podstawę i określony zakres.

Co zatem powinien zrobić wykładowca?

Najbezpieczniejszy standard można ująć krótko: jeden student, jeden uwierzytelniony kanał, wyłącznie jego wynik i brak osób postronnych.

Wykładowca powinien zatem:

1. Sprawdzić procedurę. Prowadzący powinien korzystać z pisemnej instrukcji uczelni i zatwierdzonych narzędzi. Niejasną regulację dotyczącą jawności należy przed egzaminem skierować do dziekana lub inspektora ochrony danych. Sylabus nie powinien wprowadzać zasady „brak sprzeciwu oznacza zgodę”. 
2. Zapisać wynik we właściwym systemie. Oceny należy wprowadzać do protokołu i uczelnianego systemu. Prywatna poczta, komunikator, prywatna chmura lub współdzielony arkusz nie powinny zastępować oficjalnej dokumentacji. Notatki robocze trzeba zabezpieczyć i usunąć zgodnie z zasadami retencji uczelni. 
3. Przekazać ocenę indywidualnie. Pierwszym wyborem powinno być prywatne pole w uwierzytelnionym systemie studenckim. Wiadomość z uczelnianej poczty należy wysyłać pojedynczo, po sprawdzeniu adresata i załącznika. Prace papierowe trzeba wydawać indywidualnie, bez pozostawiania dostępnego stosu. 
4. Wykładowca musi zadbać o prywatność rozmowy ze studentem. Wynik ustny należy przekazywać poza zasięgiem słuchu innych zdających. W Teams lub Zoomie trzeba sprawdzić listę uczestników i użyć spotkania indywidualnego albo prywatnego pokoju. Nagrywanie, transkrypcję i automatycznego asystenta wykładowca powinien wyłączyć, jeżeli uczelnia ich wyraźnie nie zatwierdziła. 
5. Wykładowca musi oddzielić część publiczną od wyniku. Członkowie komisji mogą znać ocenę w zakresie swoich zadań, ale obserwatorzy i inni studenci nie stają się przez samą obecność uprawnionymi odbiorcami. Jeżeli procedura nie stanowi inaczej, wynik należy podać po zakończeniu części publicznej albo przekazać w systemie. 
6. Wykładowca powinien także anonimizować omówienie grupowe. Można przedstawiać kryteria, modelowe odpowiedzi, typowe błędy i rzeczywiście anonimowe statystyki. Nie należy publikować list według nazwisk, numerów albumów ani kodów możliwych do powiązania ze studentami. W małej grupie nawet bowiem zagregowana informacja może pozwolić na identyfikację. 
7. Nie ujawniać szczególnych warunków zaliczenia poszczególnych osób przed całą grupą. Powody dodatkowego czasu, odmiennej formy egzaminu lub innych dostosowań mogą wskazywać na stan zdrowia albo niepełnosprawność. Wykładowca nie powinien również samodzielnie wdrażać biometrii lub np. analizy zachowania przez AI. Hiszpańska AEPD uznała na przykład w 2025 r., że ogólny obowiązek weryfikacji wiedzy i zgoda związana z zapisem na studia nie wystarczyły do stosowania rozpoznawania twarzy podczas egzaminów online. 
8. W przypadku naruszenia RODO, wykładowca powinien zgłosić błąd, zamiast oceniać go samodzielnie. Po omyłkowym ujawnieniu trzeba przerwać udostępnianie, zamknąć ekran lub spotkanie, spróbować wycofać wiadomość i niezwłocznie zawiadomić uczelnię albo IOD. Należy zachować przy tym informacje o czasie, zakresie i odbiorcach. Ocenę ryzyka oraz decyzje z art. 33 i 34 RODO powinien zaś podjąć administrator, czyli uczelnia, a nie sam prowadzący.

Uczelnia nie może przerzucić odpowiedzialności na prowadzącego

Co bardzo istotne, administratorem danych przetwarzanych w procesie kształcenia jest co do zasady uczelnia. Wykładowca działa z jej upoważnienia i według instrukcji. Z art. 24, 25 i 32 RODO wynika obowiązek stworzenia odpowiednich środków organizacyjnych i technicznych który ciąży na administratorze. Nie wystarczającym działaniem uczelni będzie zatem np. kupno systemu IT i ogólne zalecenie pracownikom ostrożność. Uczelnia powinna wyraźnie wskazać dopuszczalne kanały przekazywania ocen, zasady egzaminów stacjonarnych i zdalnych, ustawienia spotkań online jak również ścieżkę zgłaszania incydentów. Procedura musi obejmować również obrony publiczne, komisje, dostęp do prac i komentarzy egzaminatora oraz szczególne warunki egzaminowania. Podsumowując, wskazać trzeba, że cytowany wyżej wyrok NSA nie oznacza, że każde ustne podanie oceny jest bezprawne. Oznacza natomiast, że forma ustna nie zwalnia uczelni z wykazania podstawy prawnej, niezbędności, właściwego kręgu odbiorców i rozliczalności. Co do zasady zatem, jeżeli nie ma szczególnego obowiązku jawności, wynik egzaminu czy zaliczenia należy przekazać studentom indywidualnie.

Rafał Kubik, radca prawny, doktor nauk prawnych. Autor kilkunastu artykułów naukowych z zakresu prawa konstytucyjnego i praw człowieka, postępowania sądowoadministracyjnego i prawa administracyjnego