GIODO przegrywa w NSA - Dane osobowe zawsze podlegają ocenie uprawnionych organów

15. marca Naczelny Sąd Administracyjny oddalił skargę kasacyjną Generalnego Inspektora Ochrony Danych Osobowych (sygn. I OSK 756/09). Wcześniej w tej sprawie orzekał WSA w Warszawie, a chodziło m.in. o skargę na niedopełnienie - jak podnosił skarżący (Tomasz W.) - obowiązku informacyjnego wynikającego z art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Przedsiębiorca telekomunikacyjny nie udostępnił Tomaszowi W. danych, gdyż - jak stwierdził - uprawnienia wynikające z ustawy o ochronie danych osobowych, w tym wynikające z art. 33 ustawy, nie przysługują osobom prowadzącym działalność gospodarczą. Skarżący wniósł do GIODO o wydanie decyzji nakazującej spółce udostępnienie mu jego danych z możliwością ich weryfikacji. Wskazał przy tym, że przecież wyrejestrował działalność gospodarczą, więc dane przetwarzane przez spółkę podlegają ustawie o ochronie danych osobowych. GIODO się tematowi przyjrzał i ostatecznie umorzył postępowanie. Sprawa trafiła do WSA, który wydał wyrok na korzyść skarżącego Tomasza W. (to kolejna sprawa, w której wygrywa z GIODO, wcześniej chodziło o zdjęcia w popularnym portalu). GIODO złożył kasację i ponownie przegrał.

Ponieważ nie opublikowano jeszcze tekstu uzasadnienia do Wyroku NSA z 15 marca 2010 r. (sygn. I OSK 756/09) warto odesłać do wcześniejszego Wyroku WSA w Warszawie, który zapadł 3 marca 2009 roku (sygn. II SA/Wa 1349/08). Tam też przedstawienie stanu faktycznego i uzasadnienie wyroku, którym WSA uchylił zaskarżoną decyzję GIODO oraz decyzję ją poprzedzającą. Istotne jest to, że przepisy wprowadzające ustawę o swobodzie działalności gospodarczej stwierdzają, że do dnia 30 września 2008 r. zachował moc obowiązującą art. 7a ust. 2 ustawy - Prawo działalności gospodarczej. W tym przepisie mowa o tym, że ewidencja działalności gospodarczej, do której wpisywane są dane przedsiębiorców, jest jawna, a dane w niej zawarte nie podlegają przepisom ustawy o ochronie danych osobowych. Tylko, że Tomasz W. wyrejestrował działalność gospodarczą, przedstawił na poparcie tego kopię pisma przesłanego faxem do spółki (była to kopia decyzji urzędu gminy o zamknięciu działalności gospodarcze). Spółka twierdziła, że pisma nie otrzymała, a GIODO go nie uwzględnił wydając decyzję o umorzeniu.

Co powiedział WSA w Warszawie? Powiedział m.in.:

(...)
Generalny Inspektor Ochrony Danych Osobowych, kierując się treścią art. 6 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (zwaną dalej uodo), uznał, iż dane dotyczące skarżącego będące w posiadaniu P. Sp. z o.o. nie są danymi osobowymi, gdyż Spółka przetwarza te dane nie jako dane osoby fizycznej, ale jako dane osoby prowadzącej działalność gospodarczą, a brak jest dowodów wskazujących na to, że T. W. poinformował ww. przedsiębiorstwo o zaprzestaniu prowadzenia działalności gospodarczej. W takiej sytuacji uznał, że wobec tego sprawa jest bezprzedmiotowa i na podstawie art. 105 § 1 kpa umorzył postępowanie. Stanowisko takie jest błędne.

Ustawa o ochronie danych osobowych w art. 1 statuuje zasadę autonomii informacyjnej człowieka. Znajduje w nim swój wyraz idea powszechności ochrony danych osobowych (por Komentarz do art. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926), [w:] J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, LEX, 2007, wyd. IV). Prawo do takiej ochrony przysługuje bowiem każdemu, a jego ograniczenia mogą być wprowadzone przepisem rangi ustawowej. Dane osobowe mają charakter obiektywny. O tym czy mamy do czynienia z danymi osobowymi nie decyduje subiektywne przeświadczenie podmiotu, który takie dane przetwarza, ale sam fakt tego, czy są one informacją dotyczącą możliwej do zidentyfikowania osoby fizycznej. Ustawodawca nie uzasadnia w art. 6 uodo ochrony danych osobowych i ewentualnej interwencji Generalnego Inspektora Ochrony Danych Osobowych od przeświadczenia administratora o tym, czy informacje, które posiada są danymi osobowymi, czy też nie. Jeżeli więc dany podmiot posiada informacje, o których mowa w art. 6 uodo to są to dane osobowe. Takie dane osobowe zawsze podlegają ocenie uprawnionych organów z punktu widzenia ustawy o ochronie danych osobowych. Natomiast subiektywne podejście do ochrony danych osobowych oznaczałoby bowiem, że jeśli podmiot posiadający dane osobowe uważa, że nie są to dane osobowe wówczas nie podlega on regulacjom zawartym w cyt. ustawie z dnia 29 sierpnia 1997 r. Takie rozwiązanie podważałoby w ogóle sens ochrony danych osobowych i faktycznie uniemożliwiłoby skuteczną ochronę danych osobowych przez Generalnego Inspektora, który nie mógłby skutecznie interweniować na podstawie art. 12 uodo w sytuacji, gdy administrator zastrzegłby, że nie wie o tym, że ma dane osobowe.

W rozpatrywanej sprawie nie ma wątpliwości, że skarżący wyrejestrował swoją działalność w dniu [...] czerwca 2007 r., od tej chwili informacje go dotyczące i przechowywane przez P. Sp. z o.o. stały się danymi osobowymi, bowiem dotyczyły osoby fizycznej nieprowadzącej własnej działalności gospodarczej. Sprawa nie ma więc charakteru bezprzedmiotowego, a Generalny Inspektor Ochrony Danych Osobowych winien rozpatrzyć merytorycznie wniosek skarżącego dotyczący niedopełnienia wobec niego przez P. Sp. z o.o. obowiązku z art. 33 uodo.
(...)

Od tego wyroku GIODO wniósł kasację do NSA i niniejszym przegrał.

Odsyłam Państwa również do związanego z tą sprawą tekstu z 2008 roku: Identyfikacja użytkowników, pomówienie w SMS-owym serwisie towarzyskim i odpowiedzialność (jej brak).

Po wyroku NSA Rzeczpospolita opublikowała na ten temat artykuł pt. Przedsiębiorca ma prawo do ochrony.