Umieszczasz dane osobowe na Facebooku – podlegasz RODO

06.06.2021

Wojewódzki Sąd Administracyjny rozpoznając skargę obywatela na decyzję Prezesa UODO uchylił ją wskazując naruszenie przepisów procedury administracyjnej. Organ nadzorczy błędnie przyjął, że udostępnienie danych osobowych skarżącej na Facebooku było dokonane, przez inną osobę, w ramach jej działalności o czysto osobistym lub domowym charakterze. 

Sprawa zaczęła się od skargi obywatela, złożonej do UODO w maju 2019 r., w której wskazano na niezgodne z prawem przetwarzanie jej danych osobowych przez inną osobę fizyczną w następujących okolicznościach:

W treści skargi skarżąca wskazała, że P.L. w okresie od dnia […] września 2018 r. do dnia […] września 2018 r. na portalu […] publikował wyrok nakazowy Sądu Rejonowego w W. z dnia […] listopada 2017 r., wydany w sprawie sygn. akt […], zawierający dane osobowe skarżącej, a ponadto, że w dniach co najmniej od dnia […] września 2018 r. do dnia […] września 2018 r. P.L. wystawił na widok publiczny, za szybą swojego samochodu, wskazany wyżej wyrok nakazowy, który – według zapewnień skarżącej – zawierał jej dane osobowe w zakresie imienia, nazwiska, daty i miejsca urodzenia, imion rodziców oraz nazwiska rodowego matki skarżącej

Skarżąca, w lipcu 2019 r., wskazała, że “obecnie jej prawo do ochrony danych osobowych nie jest naruszane przez P.L.”. 

Takie stanowisko mogłoby doprowadzić do umorzenia postępowania przez Prezesa UODO ze względu na jego dalszą bezprzedmiotowość. 

Jednakże zostało ono umorzone na zupełnie innej podstawie – Prezes UODO jako podstawę umorzenia wskazał “art. 105 § 1 k.p.a. oraz art. 7 i art. 60 u.o.d.o. w związku z art. 1, art. 2 ust. 2 oraz art. 57 ust. 1 lit. a) oraz f) RODO”. 

W uzasadnieniu decyzji organ nadzorczy przywołała art. 2 ust. 2 lit. c RODO, gdyż  wyszedł z założenia, że w przedmiotowej sprawie RODO nie znajdzie zastosowania, a to dlatego, że dotyczy ona przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze.

Prezes UODO uznał zatem, że:

udostępnienie przez P.L. na Facebooku, a także ewentualnie za szybą samochodu, danych osobowych skarżącej miało charakter czysto osobisty, o którym mowa w art. 2 ust. 2 lit. c RODO

oraz

do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej – tak jak ma to miejsce w niniejszej sprawie – nie stosuje się przepisów RODO, uznać należy, że rozpatrywanie przedmiotowej sprawy na podstawie przepisów RODO jest bezpodstawne

Sąd badając sprawę wskazał, że skarga zasługuje na uwzględnienie, gdyż Prezes UODO błędnie przyjął możliwość zastosowania wyłączenia RODO w tym przypadku i naruszył w sposób istotny obowiązujące przepisy prawa.

Sąd doszedł do wniosku, że:

organ nadzorczy, wydając przedmiotową decyzję z dnia […] stycznia 2020 r., dopuścił się przede wszystkim istotnego naruszenia przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r., w szczególności art. 2 ust. 2 lit. c) RODO – poprzez jego niewłaściwą wykładnię, a w konsekwencji wadliwe przyjęcie, że P.L., umieszczając na portalu społecznościowym wyrok nakazowy Sądu Rejonowego w W. z dnia […] listopada 2017 r., sygn. akt […], zawierający dane osobowe skarżącej – przetwarzał te dane w ramach czynności o czysto osobistym lub domowym charakterze, i tym samym nieuzasadnione stwierdzenie przez organ nadzorczy, że w niniejszej sprawie przepisy RODO nie miały zastosowania

Wskazał także, że:

(…) przedmiotem sporu była zarówno kwestia prawidłowości ustaleń organu nadzorczego w zakresie samego zakwalifikowania przetwarzanych przez P.L. danych osobowych skarżącej, jako czynności o charakterze czysto osobistym i niepodlegających tym samym regulacjom zawartym w RODO, jak również – w konsekwencji tego naruszenia – kwestia prawidłowości zastosowania w niniejszej sprawie art. 105 § 1 k.p.a. i umorzenia postępowania z uwagi na rzekomy brak podstaw do podjęcia wobec P.L. prawnie wiążącego środka naprawczego, o którym mowa w art. 58 RODO, czy też nałożenia na niego kary pieniężnej, o której mowa w art. 83 RODO

WSA odniósł się do znanych w judykaturze stanowisk zaprezentowanych przez Trybunał Sprawiedliwości Unii Europejskiej w sprawie:

LINDQVIST (C-101/01):

 

 

Oy (C-73/07):

 

Ryneš (C-212/13):

Co pozwoliło Sądowi wskazać końcowe argumenty:

Warto zauważyć, że problematykę związaną z wykładnią pojęcia czynności o czysto osobistym lub domowym charakterze na gruncie dyrektywy 95/46/WE poruszała również Grupa robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych, powołana na mocy art. 29 cyt. dyrektywy 95/46/WE, która w opinii w sprawie portali społecznościowych uznała m.in., że co do zasady przetwarzanie danych osobowych odbywające się w ramach portali społecznościowych przez ich użytkowników mieści się w ramach czynności o czysto osobistym lub domowym charakterze, chyba że np. dostęp do danych mają inne osoby niż kontakty samodzielnie wybrane przez użytkownika (por. D. Lubasz /w:/ E. Bielak-Jomaa (red.), D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018)

oraz

O ile nie ulega wątpliwości, że w motywie 18 Preambuły RODO, jako objętą wyłączeniem, wskazuje się działalność internetową, w tym wykorzystanie sieci społecznościowych, o tyle jednak – zdaniem Sądu – nie należy interpretować tego, jako przykład wyłączenia absolutnego, następującego w każdej sytuacji i w przypadku dowolnej aktywności niekomercyjnej użytkownika w Internecie, lecz z zawężeniem do tych stanów faktycznych, w których przetwarzanie danych, w szczególności ich udostępnianie poprzez Internet, nie następuje na rzecz nieograniczonego kręgu odbiorców (por. D. Lubasz /w:/ E. Bielak-Jomaa (red.), D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018, który przyjmuje, że wskazany dorobek orzeczniczy Trybunału Sprawiedliwości dotyczący interpretacji analogicznego wyłączenia z art. 3 ust. 2 tiret drugie dyrektywy 95/46/WE, w szczególności wyartykułowany przez Trybunał Sprawiedliwości w sprawie C-101/01 Lindqvist oraz C-73/07 Satamedia, zachowuje aktualność również na gruncie RODO)

i

Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie w składzie orzekającym w niniejszej sprawie uznał, że dla zastosowania wyłączenia, o którym mowa jest w art. 2 ust. 2 lit. c RODO niezbędne jest, by przetwarzanie o charakterze osobistym lub domowym miało wyłącznie taki charakter, a zatem powinno być interpretowane, jako obejmujące wyłącznie działania wchodzące w zakres życia prywatnego lub rodzinnego jednostki. Innymi słowy, poza wspomnianym wyłączeniem będą znajdowały się te sytuacje, w których – jak w niniejszej sprawie – przetwarzanie polegało na udostępnieniu wyroku sądowego zawierającego dane osobowe skarżącej na portalu społecznościowym Facebook, a więc w przypadku możliwości ich dalszego udostępniania przez członków tej sieci społecznościowej

I tutaj kluczowy pogląd Sądu:

W ocenie Sądu, stwierdzić należy zatem, że o ile owszem istnieje możliwość uznania za działania w ramach czynności o czysto osobistym lub domowym charakterze również publikowanie danych w serwisach społecznościowych, o tyle uznać należy jednak, że przetwarzanie danych na portalu społecznościowym Facebook, gdzie dostęp do tych danych mają lub mogą mieć również inne osoby, niż te, które zostały wybrane samodzielnie przez użytkownika, nie sposób uznać za objęte wyłączeniem, o którym mowa w art. 2 ust. 2 lit. c RODO

Analizowane działanie Prezesa UODO w sposób istotny naruszało także zasadę zaufania obywateli do organów praworządnego państwa i stosowanego przez nie prawa, wyrażonej w art. 8 § 1 k.p.a. Nie ulega bowiem wątpliwości, że zasada zaufania wyrażona w przepisie art. 8 § 1 k.p.a. ma kontekst konstytucyjny i unijny, zaś organy administracji publicznej są obowiązane, w ramach wykładni zgodnej z prawem UE i Konstytucją RP, uwzględniać, że zasada zaufania, również w aspekcie procesowym, jest zasadniczym elementem zasady demokratycznego państwa prawa i jako taka ma swoje umocowanie i źródło w art. 2 Konstytucji RP

Ciekaw jestem czy Prezes UODO zdecyduje się na zweryfikowanie powyższego stanowiska poprzez skargę kasacyjną do NSA.