NSA: RODO znajduje zastosowanie do ustnego ujawnienia danych osobowych

W okresie od września 2020 r. do stycznia 2021 r. pasażer zakupił bilety autobusowe przez stronę internetową, podając przewoźnikowi swoje dane osobowe, takie jak imię, nazwisko, e-mail, numer telefonu oraz numer konta.

Podczas wsiadania do autobusu kierowca, weryfikując uprawnienia do przejazdu, głośno wymienił nazwisko pasażera lub poprosił o jego podanie w obecności osób postronnych.

Pasażer nagrał te zdarzenia i wniósł skargę do Prezesa Urzędu Ochrony Danych Osobowych na nieprawidłowości w przetwarzaniu danych.

Prezes UODO w lipcu 2022 r. uznał działanie przewoźnika za naruszenie RODO i udzielił spółce upomnienia.

Wojewódzki Sąd Administracyjny w Warszawie w czerwcu 2023 r. uchylił tę decyzję i umorzył postępowanie. Sąd pierwszej instancji uznał, że głośne wypowiedzenie nazwiska nie jest przetwarzaniem danych w rozumieniu RODO, a jedynie sferą dóbr osobistych, do której oceny organ nadzorczy nie ma kompetencji.

 

 

WSA w Warszawie wskazał, że:

przepisy RODO nie znajdują zastosowania do wszelkich przypadków przetwarzania danych osobowych (formą przetwarzania jest ich upublicznienie – tak art. 4 pkt 3 RODO), lecz tylko gdy chodzi o te, objęte zakresem danej regulacji. Dotyczy to danych przetwarzanych w sposób całkowicie lub częściowo zautomatyzowany, zaś pozostałych tylko, gdy stanowią zbiór lub mogą stanowić część zbioru danych. Z kolei potencjalny zbiór danych to jedynie ich zestaw dostępny według określonych kryteriów. Oceny takiej nie zmienia to, że przetwarzanie (w tym ujawnienie) może – w myśl art. 4 pkt 3 RODO – nastąpić automatycznie lub także w inny sposób. Brzmienie danej definicji nie prowadzi do poszerzenia zakresu danych podlegających regułom RODO wedle treści art. 2 ust. 1. Mianowicie – gdy chodzi o dane przetwarzane w sposób inny niż zautomatyzowany – dotyczy ono tylko tych, które stanowią część zbioru danych lub mogą stanowić część zbioru danych, w rozumieniu art. 4 pkt 6 RODO.

Wobec przywołanych uwarunkowań uzasadniony jest wniosek, że – wobec wyartykułowanych celów przyjęcia RODO i treści jego regulacji wstępnych – akt ten dotyczy zdarzeń związanych z przetwarzaniem informacji (gromadzenie, transfer itp.) gdzie możliwe jest mechaniczne odnajdywanie informacji o osobach – ich danych osobowych – w szczególności w ramach systemów teleinformatycznych. Nie dotyczy ono zaś zdarzeń, pozostających w związku z ujawnieniem (a więc przetworzeniem) danych osobowych, w innych sytuacjach – np. możliwości poznania imienia i nazwiska określonej osoby, wobec głośnego jego wypowiedzenia (przez kierowcę czy pasażera autobusu), nawet gdy znajduje się ono równocześnie w określonym zbiorze informacji (liście pasażerów), choćby prowadzono ją w formie elektronicznej.

Jak bowiem wskazano wcześniej, wymienienie przez Skarżącego jego imienia i nazwiska, a później ich powtórzenie przez kierowcę pojazdu nie mogły być traktowane jako przetworzenie danych osobowych w rozumieniu RODO. Wyspecjalizowany organ nie był więc właściwy da oceny legalności tych zdarzeń.

Powyższe konstatacje prowadza do wniosku, że w sprawie występowały przesłanki wydanie orzeczenia o odmowie wszczęcia postępowania, a w razie jego wszczęcia – wobec określonych wątpliwości, czy sprawa pozostaje w kompetencjach wyspecjalizowanego organu (np. w kwestii ogólnej dostępności przewożonych przez kierowców list pasażerów) – umorzenia postępowania, jako bezprzedmiotowego.

 

W dniu 11 lutego 2025 r. NSA uchylił wyrok sądu niższej instancji i przekazał sprawę do ponownego rozpoznania.

Naczelny Sąd Administracyjny nie zgodził się z interpretacją WSA, jakoby opisana sytuacja nie podlegała pod przepisy RODO. W uzasadnieniu wskazano:

W sprawie nie jest kwestionowane, że skarżąca Spółka pełniła rolę administratora danych osobowych wnioskodawcy. Jest bezsporne, że skarżąca Spółka pozyskała dane osobowe wnioskodawcy w zakresie imienia, nazwiska, adresu zamieszkania, adresu e-mail, loginu, numeru telefonu oraz numeru konta bankowego, na podstawie dobrowolnego ich udostępnienia w związku z zakupem biletu autobusowego za pośrednictwem strony internetowej. Żadna ze stron nie neguje, że Spółka przetwarzała dane osobowe wnioskodawcy na podstawie art. 6 ust. 1 lit. b RODO, tj. w celu zawarcia i realizacji umowy przewozu osób lub rzeczy.

W przekonaniu Naczelnego Sądu Administracyjnego nie ma wątpliwości, że zakres informacji posiadanych przez skarżącą Spółkę stanowi zbiór danych, o jakim mowa w art. 4 pkt 6 RODO.

Bez wątpienia są to informacje o zidentyfikowanej osobie fizycznej w rozumieniu art. 4 pkt 1 RODO.

Są to również informacje uporządkowane i dostępne według określonych kryteriów, a więc podzielone i przyporządkowane takim identyfikatorom jak: imię, nazwisko, adres zamieszkania, adres e-mail, login, numer telefonu oraz numer konta bankowego.

Nie można wobec powyższego podzielić oceny WSA, że w niniejszej sprawie przetwarzanie danych osobowych wnioskodawcy nie mieści się w zakresie stosowania RODO, albowiem nie ma charakteru całkowicie lub częściowo zautomatyzowanego, względnie nie jest niezautomatyzowanym przetwarzaniem danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych – art. 2 ust. 1 RODO.

NSA podniósł także, że:

W doktrynie zauważono, że podstawowe dane osobowe człowieka (imię i nazwisko) są jego dobrem osobistym, ale jednocześnie są dobrem powszechnym w tym znaczeniu, że istnieje publiczna zgoda na posługiwanie się nimi w życiu społecznym (towarzyskim, urzędowym, handlowym itd.) – zob. M. Pieńczykowski, Ochrona danych osobowych jako negatywna przesłanka udostępniania informacji publicznej, Zeszyty Naukowe Sądownictwa Administracyjnego z 2018 r., nr 2, str. 64 i n.

Wprawdzie zgodzić się należy z ogólnym poglądem wyrażonym w uzasadnieniu zaskarżonego wyroku, iż posłużenie się imieniem i nazwiskiem, a więc ujawnienie (przetworzenie) danych osobowych określonej osoby przy zwróceniu się do niej w miejscu publicznym nie musi jeszcze stanowić samo w sobie naruszenia RODO, lecz wyrażony przez Sąd I instancji wniosek jest jednak zbyt ogólny, aby miał charakter uniwersalny i pozwalał tym samym na oddalenie skargi. Problem ten może być rozstrzygnięty jedynie na tle konkretnych okoliczności sprawy, na tle ustalonego stanu faktycznego. Istotne jest powiązanie tych danych osobowych tj. imienia i nazwiska ze wspomnianymi wyżej specyficznymi cechami zbioru, który w realiach niniejszej sprawy obejmował dane osobowe: imię, nazwisko, adres zamieszkania, adres e-mail, login, numer telefonu oraz numer konta bankowego, pozyskane w celu realizacji zawartej z wnioskodawcą umowy.

O ile zatem zwrócenie się samym imieniem i nazwiskiem do osoby w miejscu publicznym i to nawet w obecności innych osób nie musi wiązać się z naruszeniem RODO, gdyż dotyczy ujawnienia danych osobowych nie stanowiących zbioru danych, albo niemogących stanowić części zbioru danych z uwagi na kontekst ich ujawnienia – spotkanie towarzyskie, przedstawienie osoby fizycznej na oficjalnym spotkaniu, to już powiązanie tych danych z innymi informacjami może takie naruszenie kreować.