Rejestracja w serwisie, a prawo do bycia zapomnianym

W ramach orzeczeń WSA w Warszawie, które prowadzą do uchylenia decyzji Prezesa UODO zwrócić uwagę na orzeczenie dotyczące założenia konta w internetowej platformie hazardowej i wniosku uczestnika gry o usunięcie jego danych osobowych.

Właśnie taki wniosek wpłynął do spółki T.S. sp. z o.o. od użytkownika gry (“gracza”), który dokonał jedynie rejestracji w internetowym portalu hazardowym, ale nigdy nie dokonał żadnego zakładu czy gry. W związku z tym uważał, że administrator danych nie powinien przetwarzać jego danych, bo nie ma to żadnego celu i dzięki prawu do bycia zapominanym będzie mógł przestać figurować w serwisie prowadzonym przed T.S. sp. z o.o.

Tak też stwierdził Prezes UODO nakazując, w wydanej decyzji administracyjnej, usunięcie danych Wnioskodawcy, w zakresie jego imienia, nazwiska, numeru PESEL, serii i numeru dowodu osobistego, adresu zamieszkania i adresu e-mail.

Z taką decyzją nie zgodził się administrator danych wskazując, że w branży gier hazardowych obowiązują specyficzne reguły. Podnosił on, że mimo tego, że użytkownik nie dokonał żadnej gry czy zakładu, to jego dane osobowe przetwarza są na podstawie przepisów:

ustawy z dnia 19 listopada 2009 r. o grach hazardowych (Dz. U. z 2020 r. poz. 2094 ze. zm.), zwanej dalej “ustawą o grach”,

rozporządzenia Ministra Finansów z dnia 18 maja 2017 r. w sprawie sposobu oraz zakresu archiwizacji danych związanych z urządzanymi grami hazardowymi przez sieć Internet (Dz.U. poz. 1018), zwanego dalej “rozporządzeniem o archiwizacji”;

ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. z 2020 r. poz. 971 ze zm.), zwanej dalej “ustawą o przeciwdziałaniu praniu pieniędzy”.

4 lata z RODO!

Administrator danych wskazywał także, że:

zgodnie z art. 15d ust. 3 ustawy o grach, podmiot urządzający gry hazardowe przez sieć Internet musi prowadzić – w czasie rzeczywistym, w stosownym urządzeniu – archiwizację wszelkich danych, związanych z urządzaną grą hazardową, w tym wymienianych między tym podmiotem a uczestnikiem gier hazardowych, pozwalających na ustalenie przebiegu i wyniku gier hazardowych oraz przeprowadzanych transakcji, wynikających z tych gier, oraz danych niezbędnych do identyfikacji uczestnika gier hazardowych; przepis ten stanowi więc wprost i jedynie o gromadzeniu danych, dotyczących uczestnika gry hazardowej, nie zaś osoby, która zamierza takim uczestnikiem zostać.

rejestracja pozyskiwanych w procesie założenia konta danych następuje wyłącznie w celu udziału w grze hazardowej; jest to rejestracja wieloetapowa, pracochłonna i czasochłonna – od uczestnika gry hazardowej wymaga podania szeregu danych oraz weryfikacji (autoryzacji) konta; rejestracja graczy oraz weryfikacja danych – w tym – wieku jest jednocześnie narzędziem ochrony graczy; tym samym celowościowe rozróżnienie procesu rejestracji konta oraz rozpoczęcia udziału w grze hazardowej pozbawione jest znaczenia; gracz nie może bowiem zarejestrować konta w innym celu niż jako warunek udziału w grze hazardowej; co więcej, w procesie rejestracji gracz jest zobowiązany ustanowić pewne limity

WSA w Warszawie podzielił te argumenty uchylając decyzję Prezesa UODO klarując, że:

bezsporne są okoliczności faktyczne danej sprawy – przetwarzanie przez Spółkę danych osobowych Wnioskodawcy, który zarejestrował się, jako uczestnik gry, lecz nie brał udziału w żadnej rozgrywce a następnie żądał usunięcia jego danych osobowych (wobec wcześniejszego zreferowania za organem administracji, jego ponowne opisywanie byłoby bezzasadne). Chybiony jest przez to zarzut skargi, naruszenia przepisów postępowania, w zakresie obowiązku właściwego wyjaśnienia okoliczności faktycznych sprawy, co nie obejmuje kwestii nieprawidłowego rozumienia treści regulacji normatywnych.

w istocie spór pomiędzy stronami sprowadza się do tego, czy Spółka – w myśl obowiązujących przepisów – była obowiązana do dalszego przetwarzania danych osobowych Wnioskodawcy, pozyskanych na etapie rejestracji, bądź też był on uprawniony do skorzystania z tzw. “prawa bycia zapomnianym” – z uwzględnieniem ram art. 17 RODO.

Subskrypcja 30 dni
Przez 30 dni masz dostęp do zaawansowanej wyszukiwarki:
129
 PLN z VAT
  • Aktualizowanej Bazy Orzeczeń Sądów i Trybunałów
  • Eksperckich tez wybranych orzeczeń
  • Decyzji Polskiego Organu Nadzorczego
  • Decyzji Europejskich Organów Nadzorczych
  • Wytycznych i Opinii EDPB oraz EDPS
  • Konkretnych argumentów w postępowaniu administracyjnym
Wybieram
Subskrypcja 360 dni
Przez 360 dni masz dostęp do wszystkich funkcjonalności subskrypcji 30 dni
1548
 PLN z VAT
  • Dedykowany newsletter zawierający najważniejsze wyroki opublikowane w danym miesiącu wraz z tezami
  • Indywidualnych konsultacji z założycielem serwisu Judykatura.pl w kwestiach związanych z RODO (3 konsultacje w ramach obowiązującej subskrypcji)
  • Oszczędność 15% względem pozostałych pakietów
Wybieram
Subskrypcja 180 dni
Przez 180 dni masz dostęp do wszystkich elementów subskrypcji 90 dni:
774
 PLN z VAT
  • Dedykowany newsletter zawierający najważniejsze wyroki opublikowane w danym miesiącu wraz z tezami
  • Indywidualną konsultację z założycielem serwisu Judykatura.pl w kwestiach związanych z RODO (1 konsultacja w ramach obowiązującej subskrypcji)
  • Oszczędność 10% względem pozostałych pakietów
Wybieram

Sąd odniósł się do podstawy prawnej przetwarzania danych osobowych uczestnika gry:

W rozpoznawanej sprawie – wbrew stanowisku organu administracji – istniała podstawa przetwarzania danych osobowych Wnioskodawcy, którego Spółka zasadnie określa mianem “uczestnika gry” (gracza), w rozumieniu ustawy o grach. Mianowicie – w myśl § 3 ust. 3 pkt 1 rozporządzenia o archiwizacji, stanowiącego akt wykonawczy do danej ustawy – archiwizacji, z uwzględnieniem numeru kolejności operacji, podlegają także dane o samym założeniu konta na portalu – tak sformułowanie: “urządzenie archiwizujące oraz jego oprogramowanie w szczególności: 1) zapewniają ciągłą, niemodyfikowalną i jednoznacznie identyfikującą każde zdarzenie niepowtarzalną numerację dla każdego typu archiwizowanych zdarzeń, w szczególności założenia konta, […]”.

Wbrew stanowisku organu, niepodobna uznać, aby – wobec tak jednoznacznej treści wypowiedzi prawodawcy – jego wolą był zapis i chronologiczna archiwizacja (w tym z użyciem ciągłej numeracji) wyłącznie zdarzeń rejestracji, dotyczących osób, które wpierw zarejestrowały się a następnie dokonały operacji – w ramach konkretnej rozgrywki. Z treści wskazanego zapisu nie sposób też domniemywać takiej intencji. Przepisy aktu wykonawczego – wiążące Spółkę, co do zakresu obowiązków archiwizacji danych uczestników gier hazardowych przez sieć Internet, w rozumieniu art. 15d ust. 3 i 7 ustawy o grach – są więc danym zakresie jednoznaczne. Nie mogą być przez obowiązany podmiot interpretowane dowolnie, np. dla zapewnienia domniemanej zgodności z treścią aktu wyższego rzędu. Uprawnienia takie nie przysługują także wyspecjalizowanemu organowi administracji – nawet, gdyby dostrzegł w istocie oczywistą niezgodność aktu wykonawczego z ustawą.

Wypada dodatkowo zauważyć, że system archiwizacji danych o uczestnikach gry przez sieć Internet, rozumianych jako osoby spełniające formalne warunki jej rozpoczęcia (dokonanie rejestracji – utworzenie konta), jest spójny z wyrażoną wprost na szczeblu ustawy o grach zasadą archiwizacji rejestru gości w stacjonarnych ośrodkach gry, gdzie bez znaczenia jest czy wchodząca do obiektu osoba w istocie weźmie udział w rozgrywkach (tak art. 15 ust. 1 i 6).