Ważny wyrok NSA w sprawie podstawy przetwarzania danych z CEIDG/KRS’u

W listopadzie 2021 r. opisywaliśmy przypadek, którym zajął się WSA w Warszawie, a dotyczący przetwarzania danych osobowych strony trzeciej (męża nauczycielki zwalnianej z pracy) i podstawy prawnej do takiego działania upatrzonej przez Sąd w prawnie uzasadnionym interesie prawnym administratora:

Przetwarzanie danych z CEIDG/KRS – prawnie uzasadniony interes strony trzeciej

Tym razem Naczelny Sąd Administracyjny stwierdził, że taka podstawa prawna jest prawidłowa nawet wtedy, kiedy administrator danych pobiera opłatę za udostępnienie danych osobowych pobranych z publicznych źródeł np. CEIDG, KRS-u czy Monitora Sądowego.

Zaczynając jednak od początku – do Prezesa UODO została skierowana skarga Pana W.S., który jako obecny członek organów i wspólnik spółki z ograniczoną odpowiedzialnością, a także były członek w odniesieniu do innych spółek z ograniczoną odpowiedzialnością nie chciał, aby jego dane osobowe pobrane z Krajowego Rejestru Sądowego były ogólnodostępne w portalu internetowym prowadzącym przez administratora (Fundację).

Prezes UODO w swojej decyzji stwierdził, że proces przetwarzania danych osobowych jest prawidłowy, a prawnie uzasadniony interes administratora – ze względu m. in. na cele statutowe Fundacji, jest podstawą prawną legalizującą przetwarzanie pewnego zakresu danych osobowych pobieranych z ogólnokrajowego rejestru.

Pan W.S. nie zgodził się z takim rozstrzygnięciem i złożył skargę do WSA w Warszawie, które wyrokiem ze stycznia 2021 r. ją oddalił.

W orzeczeniu WSA wskazało, że:

Organ w sprawie tej trafnie stwierdził, że przetwarzanie przez Fundację publicznie dostępnych danych osobowych skarżącego, jako osoby pełniącej określone funkcje w podmiotach podlegających wpisowi do KRS, w tym ich publikacja, znajduje oparcie w art. 6 ust. 1 lit. f RODO. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem, wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą jest dzieckiem.

oraz

Wobec przetwarzania przez Fundację danych osobowych skarżącego ujawnionych w publicznie dostępnych rejestrach, zgoda na ich przetwarzanie nie była wymagana. Nie zmienia tego podnoszony przez skarżącego fakt udostępniania przez Fundację danych w formie odpłatnej. Podniesiona w skardze kwestia oferowania przez Fundację komercyjnego opracowania danych nie ma wpływu na dokonaną przez Prezesa UODO ocenę legalności przetwarzania danych osobowych skarżącego. Zagadnienie dotyczące komercyjnego charakteru przetwarzania danych osobowych powszechnie dostępnych nie zmienia trafności ustaleń organu co do istnienia przesłanki przetwarzania tych danych przez Fundację na podstawie art. 6 ust. 1 lit. f RODO.

Zarzut naruszenia art. 5 ust. 1 ustawy o ponownym wykorzystywaniu informacji sektora publicznego w zw. z art. 4 pkt 2 (a także art. 4 punkt 1) RODO nie jest zasadny. Przepis art. 6 ustawy o ponownym wykorzystywaniu (…) wskazuje przypadki, gdy prawo do ponownego wykorzystywania podlega ograniczeniu, w tym m.in. wówczas, gdy dostęp jest ograniczony na podstawie innych ustaw. Trafnie Prezes UODO wskazał, że ustawa o Krajowym Rejestrze Sądowym ograniczenia takiego nie zawiera.

Jak nie trudno się domyśleć Skarżący nie zaakceptował także wyroku WSA i złożył skargę kasacyjną do NSA. Sąd ten oddalając skargę kasacyjną podzielił pogląd zarówno Prezesa UODO jak i WSA.

W wyroku NSA odnajdujemy bardzo istotną interpretację nie tylko podstawy prawnej przetwarzania danych, ale także możliwości pobierania opłaty za dalsze ich udostepnienie:

Oceniając wniesioną skargę kasacyjną w granicach określonych treścią art. 183 § 1 P.p.s.a. i nie dostrzegając przy tym przypadków nieważności postępowania wymienionych w § 2 tego artykułu, podkreślić na wstępie należało kluczowy dla jej oceny fakt, że dane osobowe przetwarzane przez Fundację w okolicznościach niniejszej sprawy pochodzą z jawnego rejestru publicznego, jakim jest Krajowy Rejestr Sądowy oraz z ogólnokrajowego dziennika urzędowego przeznaczony do zamieszczania obwieszczeń lub ogłoszeń, jakim jest Monitor Sądowy i Gospodarczy.

Zdaniem strony skarżącej nielegalne było jednak ich przetwarzanie, które naruszało art. 6 ust. 1 lit. f RODO.

Wskazując na cel działalności Fundacji, Sąd pierwszej instancji a wcześniej organ, prawidłowo uznały, że realizuje ona prawnie uzasadniony interes, o którym mowa w art. 6 ust. 1 pkt f RODO, jakim jest wspomaganie rozwoju demokracji poprzez upowszechnianie praw obywatela w zakresie dostępu do informacji publicznej oraz ponownego wykorzystywania informacji sektora publicznego. Interes ten wynika z przepisów prawa, realizując prawo do informacji publicznej (art. 61 ust. 1 Konstytucji RP, art. 1 ust. 1 ustawy z 6 września 2001 r. o dostępie do informacji publicznej, tekst jedn. Dz. U. 2020 r., poz. 2176), prawo do ponownego wykorzystania informacji sektora publicznego (ustawa z 25 lutego 2016 r. o ponownym wykorzystywaniu informacji sektora publicznego) jak również prowadząc do wzmocnienia szeroko rozumianego bezpieczeństwa obrotu gospodarczego.

Jak słusznie zauważył organ w odpowiedzi na skargę kasacyjną, dane osobowe skarżącego, które dotyczą jego przeszłego uczestnictwa w podmiotach podlegających wpisowi do KRS jako informacje o aktywności skarżącego w obrocie gospodarczym mogą nadal pozostawać w sferze publicznego zainteresowania.

Pobieranie odpłatności za udzielenie informacji, które mają charakter historyczny (nie stanowią aktualnych wpisów), pomimo że istotnie zapewnia Fundacji możliwość uzyskania dochodu, nie wyklucza tego, że dalej realizuje ona prawnie uzasadniony interes, który świadczy tak o legalności jak i adekwatności przetwarzania danych osobowych skarżącego pozyskanych z jawnych źródeł. Z tego też względu nie zasługiwały na uwzględnienie zarzuty naruszenia art. 6 ust. 1 lit. f RODO (zarzut 1) i art. 5 ust. 5 ustawy o fundacjach w zw. z art. 5 ust. 1 lit. b RODO (zarzut 4).

Odnosząc się do zarzutu naruszenia art. 17 ust. 1 lit. d RODO, stwierdzić natomiast należy, że przepis ten określa uprawnienia osoby, której dane dotyczą, a która ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, w przypadku, gdy dane te były przetwarzane niezgodnie z prawem. Wobec jednak powyższych ustaleń co do zgodności z prawem przetwarzania przez Fundację danych osobowych skarżącego, brak było podstaw do nakazania Fundacji przez organ usunięcia danych skarżącego.

Mam wrażenie, że przedmiot sprawy będzie jeszcze nie raz poruszany przez Prezesa UODO oraz sądy administracyjne.