Wyrok NSA – portal o znanych lekarzach musi usunąć dane osobowe?

Najnowsze orzeczenie Naczelnego Sądu Administracyjnego  nie wieńczy wieloletniego sporu o przetwarzaniu danych osobowych lekarzy na popularnym portalu internetowym. Naczelny Sąd Administracyjny uchylił wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z lipca 2018 r., w którym oddalono skargę na decyzję, jeszcze GIODO, z lipca 2017 r.

W przedmiotowej sprawie skarżący wnosił o usunięcie swoich danych z ogólnodostępnego portalu informacyjnego. Zarówno GIODO jak i WSA w Warszawie stwierdziły, że portal ten ma prawnie uzasadniony interes w przetwarzaniu takich danych osobowych:

Sąd I instancji uznał, że opublikowanie przez Spółkę danych osobowych skarżącej jest zgodne z przedmiotem działalności gospodarczej Spółki i znajduje oparcie w art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r., poz. 922 ze zm.) dalej u.o.d.o. zaznaczając, że podmiot ten nie dopuścił się naruszenia powszechnie obowiązujących przepisów o ochronie danych osobowych.

Mający zastosowanie w niniejszej sprawie art. 23 ust. 1 pkt 5 u.o.d.o. określany jest w doktrynie przedmiotu mianem tzw. klauzuli usprawiedliwionego celu, tj. przesłanki, która oznacza, że “przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby której dotyczą”. Innymi słowy jej spełnienie stanowi dostateczną legitymację do legalnego w świetle u.o.d.o. przetwarzania danych osobowych.

Skargę kasacyjną od powyższego wyroku wywiodła G. O. – S. reprezentowana przez profesjonalnego pełnomocnika zarzucając mu naruszenie prawa materialnego, tj. art. 23 ust. 1 pkt 5 u.o.d.o. polegające na błędnym jego zastosowaniu wyrażającym się w przyjęciu, że zachowane zostały określone w nim przesłanki pozwalające na przetwarzanie przez […] jej danych osobowych. W ocenie skarżącej WSA w Warszawie dokonując oceny, czy zachowane zostały przesłanki z art. 23 ust. 1 pkt 5 u.o.d.o. nie dokonał wyczerpującej, uwzględniającej specyfikę wykonywania zawodu lekarza, analizy, czy przetwarzanie jej danych osobowych nie prowadzi do naruszenia jej praw i wolności, pominął również fakt, że portal […] nie zapewnia lekarzom żadnego mechanizmu obronnego przed komentarzami lub opiniami niezgodnymi ze stanem rzeczywistym.

Naczelny Sąd Administracyjny widzi sprawę inaczej:

Za zasadny, w ocenie Naczelnego Sądu Administracyjnego, uznać należało zarzut naruszenia prawa materialnego, tj. art. 23 ust. 5 pkt 1 u.o.d.o. poprzez przyjęcie, że zachowane zostały określone w nim przesłanki pozwalające na przetwarzanie przez […] danych osobowych skarżącej.

WSA w Warszawie uznając zgodność z prawem przetwarzania przez Spółkę danych osobowych skarżącej w oparciu o przepis art. 23 ust. 1 pkt 5 u.o.d.o. powołał się na przedmiot działalności gospodarczej Spółki (działalność portali internetowych, zarządzanie stronami internetowymi, przetwarzanie danych itp.) stwierdzając, że cel przetwarzania danych skarżącej jest usprawiedliwiony działalnością Spółki oraz nie narusza praw i wolności skarżącej, bowiem dotyczy jej życia zawodowego.

W pierwszej kolejności podkreślić należy, że przetwarzanie danych osobowych na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. dopuszczalne jest wtedy, gdy jest ono niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

Podkreślić należy, że przedmiot działalności sam w sobie na gruncie u.o.d.o. nie stanowi podstawy do przetwarzania oraz posługiwania się danymi osobowymi. Powyższe Sąd I instancji pominął skupiając się jedynie na fakcie, że przetwarzanie danych osobowych skarżącej jest zgodne z przedmiotem działalności gospodarczej Spółki, pomijając fakt, że powyższe nie jest tożsame z niezbędnością przetwarzania danych osobowych w rozumieniu przepisu art. 23 ust. 1 pkt 5 u.o.d.o.

oraz

Niewystarczające jest również stwierdzenie przez Sąd I instancji, że udostępniane dane osobowe dotyczą wyłącznie życia zawodowego strony. Stwierdzenie WSA w tym zakresie nie zostało poparte żadną analizą nosząc tym samym cechy dowolności. Ponadto powyższe nie oznacza, że skarżąca nie jest pozbawiona ochrony. W myśl art. 30 Konstytucji RP przyrodzona i niezbywalna godność człowieka stanowi źródło wolności i praw człowieka i obywatela. Jest ona nienaruszalna a jej poszanowanie i ochrona jest obowiązkiem władz publicznych. Sąd I instancji nie rozważył również, czy skarżąca będąc związana tajemnicą lekarską, ma rzeczywistą możliwość merytorycznego ustosunkowania się do informacji przedstawianych na jej temat.

Nadto oceni również i wyważy z jednej strony racje i interesy skarżącej kasacyjnie (właściciela danych) objętej ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Przy istniejącym konflikcie interesów stosownie do art. 23 ust. 1 pkt 5 u.o.d.o. uwzględnienia wymaga ranga tych interesów w okolicznościach konkretnej sprawy. Należy zatem ustalić i rozważyć wszystkie okoliczności konieczne do wyważenia niezbędnej ochrony interesów osoby, której dane dotyczą oraz interesów administratora danych.

I jaki jest efekt dla osoby skarżącej, która złożyła skargę w 2014 r. (sic!)? Obecnie żaden, bo nie istnieje w obiegu ani prawomocny wyrok, ani prawomocna decyzja.

Osiem lat to jak widać za mało, aby rozwiązać definitywnie sprawę przetwarzania danych osobowych…

P.S.

Dobrze, że NSA badana czy skarżący żyje jeszcze na etapie postępowania kasacyjnego (pełnomocnictwo), bo może różnie z tym być jeśli tyle lat zajmuje orzekanie.