Zgodnie zaś z art. 7 ust. 2 pkt 4 ustawy prawo prasowe, materiał prasowy nie stanowi zbioru danych osobowych, o którym mowa w art. 7 pkt 1 ustawy o ochronie danych osobowych. Materiałem prasowym jest każdy opublikowany lub przekazany do opublikowania w prasie tekst albo obraz o charakterze informacyjnym, publicystycznym, dokumentalnym lub innym, niezależnie od środków przekazu, rodzaju, formy, przeznaczenia czy autorstwa. (...) Podane dane nie były bowiem orzeczeniami, lecz informacją o procesach. Zatem art. 27 ustawy o ochronie danych osobowych w ogóle w sprawie nie miał zastosowania.

Osoby powszechnie znane z racji sprawowanych funkcji w organach określonych podmiotów powinny mieć na względzie, że ich prywatność będzie podlegała ograniczeniu.

Wobec ustalenia przez Generalnego Inspektora Ochrony Danych Osobowych, iż dane osobowe skarżącego ZTM przetwarzało w zbiorze danych osobowych o nazwie "Korespondencja z petentami" wyłącznie w celu udzielenia odpowiedzi na złożone przez niego zapytanie drogą elektroniczną i ZTM nie prowadziło jakiegokolwiek postępowania z udziałem skarżącego, wobec zrealizowania celu przetwarzania tych danych, zasadnym stało się nakazanie usunięcia posiadanych przez ZTM danych skarżącego (imienia, nazwiska, adresu zamieszkania oraz adresu poczty elektronicznej).

Przetwarzanie danych osobowych na podstawie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, jest ściśle związane z przedmiotem działalności konkretnego administratora danych. Zatem co do zasady, w warunkach realizacji prawnie usprawiedliwionego celu administratora danych dopuszczalne jest udostępnienie danych wyłącznie do zbioru danych, związanych z działalnością administratorów danych lub odbiorców danych. Udostępnianie danych osobowych dla potrzeb prowadzonego postępowania sądowego nie wiąże się z przedmiotem działalności administratora danych, czy odbiorcy tych danych. Skoro w analizowanym przypadku pozyskanie danych nie następuje do zbioru danych, to powołany przepis nie powinien stanowić podstawy do uwzględnienia wniosku strony.

Zgodnie z treścią art. 6 ustawy o ochronie danych osobowych, w rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Za osobę możliwą do zidentyfikowania uważa się zaś osobę, której tożsamość można określić bezpośrednio lub pośrednio – czyli na podstawie zestawienia różnych informacji pozwalających określić jej tożsamość. Adres IP komputera stanowi dane osobowe, gdy jest na stałe przypisany do określonego urządzenia, użytkowanego przez określony podmiot, co powoduje, że w określonych sytuacjach istnieje możliwość identyfikacji tego podmiotu. Należy dodać, że sam adres IP komputera nie wystarcza do wskazania osoby, która z niego korzystała, ale w zestawieniu z innymi informacjami pozwala przypuszczać, że jej tożsamość można ustalić.

Ustawę o ochronie danych osobowych stosuje się również do osób fizycznych, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową lub zawodową. Ustawa ta nie ogranicza bowiem zastosowania jej przepisów do osób fizycznych, które mają zarejestrowaną działalność gospodarczą ale obejmuje swoim działaniem wszelkie przejawy aktywności związane z przetwarzaniem danych osobowych przez osobę fizyczną, które pozostają w związku z jej działalnością zarobkową lub zawodową. Działalność ta nie musi być wykonywana w sposób ciągły i zorganizowany.

Powoływanie zgody wyrażonej przez pracowników jako przesłanki legalizującej przetwarzanie danych biometrycznych w sytuacji, gdy przepisy prawa wskazują katalog danych, które mogą być przez pracodawcę przetwarzane, prowadzi do obchodzenia prawa regulującego te kwestie w sposób jednoznaczny. Złożenie przez pracownika oświadczenia, które jest wyrażeniem zgody na przetwarzanie danych osobowych w postaci linii papilarnych, nie stanowi przesłanki legalizującej przetwarzanie danych osobowych pracowników. Pracownik nie inicjuje podania tych danych, lecz zwraca się o nie pracodawca.

Osoba pełniąca funkcję publiczną - a za taką osobę można uznać prezesa Spółdzielni Mieszkaniowej w niewielkim mieście - winna być nieposzlakowanego charakteru, o wysokiej postawie moralnej i etycznej. Niewątpliwie zaś osoba skazana za przestępstwa umyślne z oskarżenia publicznego, cech takich nie posiada.

Generalny Inspektor Ochrony Danych Osobowych w swych decyzjach przyjmuje, że przepis art. 22 1 § 1 ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy zawiera zamknięty katalog danych osobowych, których podania może od kandydata do pracy żądać przyszły pracodawca, i nie wymieniono w nim danych osobowych, gromadzonych przy pomocy ww. testów. To, że w art. 22 1 § 1 Kodeksu pracy nie wymieniono danych osobowych, pozyskiwanych za pośrednictwem tego rodzaju testów, nie oznacza jeszcze, że organ administracji publicznej, a takim niewątpliwie jest GIODO, zostaje zwolniony z obowiązku oceny stanu faktycznego sprawy w kontekście norm stanowiących prawne podstawy przetwarzania danych osobowych.

W tej sprawie przepis art. 82 § 1 pkt 1 Ordynacji podatkowej w związku z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych mógł stanowić podstawę prawną pozyskania przez Naczelnika Urzędu Skarbowego Łódź - [...] z Domu Maklerskiego [...] S.A. informacji podatkowej oraz danych osobowych dotyczących podatników (w tym danych osobowych skarżącego A. M.), który dokonał zbycia w 1999 r. akcji pracowniczych [...] S.A. w W. (w zakresie ilości akcji pracowniczych zbytych w 1999 r.).

Jeśli ustawodawca zezwala GIODO na wydanie decyzji w kwestii sprostowania, uzupełnienia, uaktualnienia, udostępnienia, nieudostępnienia czy nawet czasowego lub stałego wstrzymania przetwarzania danych lub ich usunięcia ze zbioru (art. 18 ust. 1 ww. ustawy o ochronie danych osobowych), a wiadomym jest, że wpierw osoba zainteresowana musi znać, w jaki sposób i w jakim kształcie jej dane osobowe są przetwarzane, by mogła ustosunkować się co do prawidłowości ich przetwarzania, to tym bardziej Generalny Inspektor Ochrony Danych Osobowych uprawniony jest do wydania nakazu, celem doprowadzenia do realizacji obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych.

Wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania w rozumieniu art. 26 ust. 1 pkt 3 powołanej ustawy o ochronie danych osobowych.

Zgodnie z art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych, administrator danych, przetwarzający dane, powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić aby dane te były zbierane dla oznaczonych zgodnie z prawem celów i nie były poddawane dalszemu przetwarzaniu niezgodnie z tymi celami. Przetwarzanie danych w kopii zapasowej w sytuacji, gdy nie ma danych w zbiorze, jest sprzeczne z celem, dla którego kopie takie są tworzone – czyli zabezpieczenie danych przetwarzanych w zbiorze przed ich ewentualną utratą, uszkodzeniem czy zniszczeniem. W związku z powyższym, jeśli danych nie ma w zbiorze, to nie ma podstaw do ich przetwarzania, a więc danych nie powinno być w kopii zapasowej.

Prawo do ochrony danych osobowych, rzetelnej informacji o ich gromadzeniu i przetwarzaniu i żądania sprostowania oraz usunięcia danych nieprawdziwych jest konstytucyjnie zagwarantowanym prawem każdego człowieka, chronionym w art. 51 Konstytucji, zamieszczonym w tytule "Wolności i prawa osobiste". Bezpośrednio zaś z art. 33 ust. 1 pkt 1 w związku z art. 32 ust. 1 pkt 3, 5 i 6 ustawy o ochronie danych osobowych wynika obowiązek udzielenia przez administratora danych osobowych osobie zainteresowanej pełnej, szczegółowej, rzetelnej, wszechstronnej i zrozumiałej dla niej informacji o tym, jakie dane o niej gromadzi, przetwarza i udostępnia, w jakim celu to czyni i komu przekazuje. Niewywiązywanie się z powyższego obowiązku wskazuje na naruszenie art. 23 i 24 Kodeksu cywilnego.

Celem regulacji art. 33 ustawy o ochronie danych osobowych jest umożliwienie sprawdzenia, uzupełnienia a także uaktualnienia danych osobowych, które zostały zebrane w konkretnym zbiorze i nie uzależnia uzyskania dostępu do swoich danych osobowych od ponoszenia jakichkolwiek opłat. Dostęp do własnych danych osobowych nie może być bowiem ograniczony koniecznością ponoszenia dodatkowych kosztów, ponieważ prowadziłby w rzeczywistości do fikcyjnego kontrolowania danych, będących w posiadaniu różnych podmiotów, bez możliwości ich uaktualniania, uzupełniania i usuwania. Brak regulacji umożliwiającej żądanie przez administratora danych osobowych uiszczenia opłat na pokrycie kosztów związanych z dostępem do danych osobowych jest wyraźnym zabiegiem ustawodawcy zmierzającym do zapewnienia każdemu bezpłatnego dostępu i kontroli własnych danych osobowych.

Odmowa wykonania polecenia pracodawcy stanowi naruszenie podstawowego obowiązku pracowniczego (art. 100 § 1 w związku z art. 100 § 2 pkt 4 K.P.), ale tylko wówczas, gdy polecenie pracodawcy polega na zobowiązaniu pracownika do udzielenia informacji w zakresie dotyczącym pracy, niesprzecznym z umową o pracę oraz prawem.

Przetwarzanie danych osobowych jest dopuszczalne, jeżeli - w myśl art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych - osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie jej danych. Zgoda jest to oświadczenie woli osoby na przetwarzanie jej danych, a zatem musi być wyrażona w takiej formie, aby można to wiązać z oświadczeniem woli określonej treści.

Jeśli chodzi o dane pracownika takie jak linie papilarne czy wzór siatkówki oka, pobieranie tych danych, ich gromadzenie, czyli przetwarzanie - co do zasady - nie jest zabronione, lecz odbywać się musi z poszanowaniem przepisów ustawy o ochronie danych osobowych. W związku z powyższym – jeśli dane biometryczne w postaci odcisków linii papilarnych palców pracowników zostały uzyskane na podstawie zgody, wyrażonej przez pracownika w postaci pisemnego oświadczenia, wówczas można przyjąć, że osoba je składająca wyraża zgodę na przetwarzanie jej danych osobowych, którymi w tym przypadku są w tym przypadku linie papilarne.

Przez zbiór danych należy rozumieć "każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie". Skoro ustawodawca użył w tym przepisie sformułowania "kryteria" w liczbie mnogiej, to zgodnie z założeniem racjonalnego ustawodawcy należy przyjąć, że dostępność zestawu danych o charakterze osobowym musi być możliwa w oparciu, o co najmniej dwa kryteria.

Informacja o ukaraniu nauczyciela karą dyscyplinarną przez Komisję Dyscyplinarną dla Nauczycieli (art. 76 Narty Nauczyciela) w rozumieniu przepisu art. 27 ustawy o ochronie danych osobowych jest informacją podlegająca ochronie, która mogą przetwarzać jedynie organy bezpośrednio związane z oświatą i w związku z zatrudnieniem ukaranego nauczyciela. Zasada ta dotyczy także postępowania konkursowego, którego celem jest wyłonienie dyrektora szkoły.