NSA: administrator musi posiadać dowód ustnej zgody

Nie da się inaczej streścić tego orzeczenia NSA niż jak w tytule wpisu.

Ta interpretacja przepisów odnoszących się do pojęcia zgody jest bardzo istotna dla wszystkich administratorów.

Jednak za nim opiszę stan faktyczny zaznaczę dwie kwestię:

• po pierwsze Poczta Polska doręczyła list zaadresowany na osobę, która nigdy nie przebywała pod wskazanym adresem – była to przesyła nierejestrowana więc może Poczta Polska nie ma obowiązku sprawdzania, kto faktycznie mieszka pod adresem wydrukowanym na kopercie;
• osoba, która otrzymała taką korespondencję wiedziała, że nie jest ona zaadresowana do niej i mimo to otworzyła przesyłkę i zapoznała się z jej treścią – może ktoś powinien na masową skalę zawiadamiać Prokuraturę o możliwości popełnienie przestępstwa bezprawnego uzyskania dostępu do informacja dla niego nieprzeznaczonej poprzez otwarcie zamkniętego pisma (art. 267 par 1 k.k.).

 

 

Przechodząc do opisu stanu faktycznego to:

1. członek jeden ze Spółdzielni Mieszkaniowych w 2015 r. wskazał adres do korespondencji inny niż swój adres zamieszkania – wynikało to z faktu, że często przebywał on w szpitalach, sanatoriach i trudno byłoby mu odbierać pisma;
2. według Spółdzielni Mieszkaniowej po “ustabilizowaniu” obecności w miejscu zamieszkania wyraził ustną zgodę na doręczanie mu korespondencji na adresy wskazane na początku 2015 r.;
3. Spółdzielnia Mieszkaniowa  – zgodnie z ustną zgodą – wysyłała wielokrotnie korespondencję na takie adres do grudnia 2019 r.

Adresat tych pism złożył skargę do Prezesa UODO wskazując, że:

przesyłką nadaną w placówce pocztowej w […].[…] bez liczby dziennika, Spółdzielnia Mieszkaniowa […] przesłała zawiadomienie o zmianie wysokości opłat na adres inny niż adres zamieszkania skarżącego. Stwierdził, że nie wyrażał zgody w formie oświadczenia, które pozwalałoby administratorowi danych na przetwarzanie jego danych osobowych w tym danych wrażliwych takich jak: imię i nazwisko, adres lokalu, wysokość opłat związanych z eksploatacją i funduszem remontowym. Podkreślił, że jego dane osobowe, w tym dane wrażliwe zostały przez Zarząd Spółdzielni Mieszkaniowej […] ujawnione poprzez przesłanie dokumentów osobie nieuprawnionej. Podkreślił, że administrator danych nie posiada zgody skarżącego na przesyłanie wszelkiej korespondencji na podany w zawiadomieniu o zmianie wysokości opłat adres korespondencyjny R. Z. ul. […]. Nadmienił, że sytuacja taka powtórzyła się również w grudniu 2018 r. (datownik […] grudnia 2018 r.). Podniósł, iż przetwarzanie jego danych osobowych jest niezgodne z prawem. W roku 2015 administrator danych otrzymał upoważnienie od skarżącego do odbioru wszelkich pism i dokumentów zarówno Zarządu jak i Rady Nadzorczej kierowanych do skarżącego na okres od dnia […] lutego 2015 r. do dnia […] grudnia 2015 r.

Prezes UODO stwierdził, że:

z materiału zgromadzonego w toku postępowania wynika, że Spółdzielnia wykorzystywała błędny adres jako adres do korespondencji skarżącego w okresie od ustania pełnomocnictwa, tj. od […] stycznia 2016 r. do dnia wysłania ostatnio błędnie zaadresowanej korespondencji, tj. do […] grudnia 2019 r. Jednocześnie brak jest dowodów, że ta praktyka jest nadal kontynuowana.

Jednocześnie Spółdzielnia wyjaśniła, że:

skarżący swoją wolę przesyłania korespondencji wyrażał także ustnie. Zgodnie z art. 60 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny z zastrzeżeniem wyjątków w ustawie przewidzianych, wola osoby dokonującej czynności prawnej może być wyrażona przez każde zachowanie się tej osoby, które ujawnia jej wolę w sposób dostateczny, w tym również przez ujawnienie tej woli w postaci elektronicznej (oświadczenie woli). Zgodnie z art. 65 § 1 k.c. oświadczenie woli należy tak tłumaczyć, jak tego wymagają ze względu na okoliczności, w których złożone zostało, zasady współżycia społecznego oraz ustalone zwyczaje. Spółdzielnia powołując się na powyżej wskazane przypisy prawa zawarte w k.c., stoi na stanowisku, że wolą skarżącego było to, by korespondencja Spółdzielni nadal była kierowana na adres R. Z.

w niesprecyzowanym czasie, skarżący “wielokrotnie” składał ustne dyspozycje dotyczące adresu korespondencyjnego, a zarazem odmawiał ich potwierdzenia w formie pisemnej. Zgodnie z tym oświadczeniem zwracano się do skarżącego z prośbą o wyrażenie w formie pisemnej jego aktualnej woli co do adresu korespondencyjnego, który Spółdzielnia będzie wykorzystywała dla potrzeb przysłania do niego korespondencji, która zawierać może jego dane osobowe.

W związku z powyższym Prezes UODO wydał w lipcu 2021 r. decyzję, w której :

udzielił upomnienia Spółdzielni Mieszkaniowej […] w […], w związku z nieuprawnionym udostępnieniem danych osobowych D. T., które nastąpiło wskutek przesłania korespondencji zawierającej jego dane osobowe na adres osoby nieuprawnionej w okresie od […] stycznia 2016 r. do […] grudnia 2019 r.

WSA w Warszawie oddalił skargę Spółdzielni Mieszkaniowej wskazując, że:

Spółdzielnia nie przedstawiła w toku postępowania dowodów jednoznacznie potwierdzających, że przesyłanie korespondencji skierowanej do D. T. na adres korespondencyjny: R. Z., ul. […], […]. począwszy od dnia […] stycznia 2016 r. było zgodnie z przepisami o ochronie danych osobowych. Niewątpliwie pisemne upoważnienie z dnia […] lutego 2015 r. upoważniało Spółdzielnię do przesyłania korespondencji skierowanej do D. T. na ww. adres korespondencyjny jedynie do dnia […] grudnia 2015 r. Brak jest natomiast kolejnego pisemnego upoważnienia, które dawałoby podstawę do takich działań po dniu […] grudnia 2015 r.

Spółdzielnia złożyła skargę kasacyjną, którą NSA oddalił wskazując, że:

nie ma znaczenia fakt, że art. 37 ust. 1 prawa pocztowego wskazuje, że przesyłkę pocztową lub kwotę pieniężną określoną w przekazie pocztowym doręcza się adresatowi pod adresem wskazanym na przesyłce, przekazie lub w umowie o świadczenie usługi pocztowej;

Irrelewantne dla odpowiedzialności administratora danych osobowych jest zachowanie innych podmiotów, które na skutek niezgodnego z prawem działania Spółdzielni doprowadziły do uzyskania danych osobowych uczestnika przez osobę trzecią a także tych, które uzyskały te dane osobowe.

W niniejszej sprawie administratorem danych osobowych uczestnika zawartych w treści korespondencji kierowanej do uczestnika jest Spółdzielnia a nie podmiot świadczący usługi pocztowe. To administrator, nie zaś operator pocztowy, jest podmiotem zobligowanym do wskazania odbiorcy i adresu doręczenia korespondencji przesyłanej do określonego odbiorcy za pośrednictwem tego operatora. Prawidłowe oznaczenie na przesyłce pocztowej nadawanej w sposób zwykły (przesyłce nierejestrowanej) adresata wiąże się z koniecznością wskazania wyłącznie jego imienia i nazwiska oraz adresu. Wobec tego to na Spółdzielni ciążył obowiązek zapewnienia , aby kwestionowane przetwarzanie danych osobowych odbywało się z poszanowaniem zasady legalności (art. 5 ust. 1 lit. d) RODO). Co więcej Spółdzielnia miała obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z przepisami RODO.

Nie budzi żadnych wątpliwości, że Spółdzielnia powinna udowodnić, twierdzenie dotyczące ustnego upoważnienia, tj. wykazać okoliczności, w szczególności zachowanie się uczestnika, w oparciu o które można byłoby ustalić, że udzielił on dalszego ustnego upoważnienia do przesyłania mu korespondencji nie na jego adres z rejestru członków lecz na adres do korespondencji.