Nadal można zauważyć niejednolite stanowiska zajmowane przez organy i sądy w zakresie zastosowania rodo, w sytuacjach granicznych kiedy przetwarzane są dane osobowe ale dotyczą działalności osoby prawnej.
W ostatnim czasie zapadł wyrok WSA z dnia 10 października 2024 sygn. II SA/Wa 1592/23, gdzie Sąd mówi tak:
Zdaniem Sądu, ustalenie czy numer telefonu, z którym kontaktowała się Spółka w dniu […] października 2019 r. należał do skarżącego czy też należał do klienta Spółki tj. P. sp. z o.o. jest kluczowe dla prawidłowego rozstrzygnięcia sprawy.
Spółka złożyła do akt sprawy wydruk panelu klienta oraz wydruk regulaminu serwisu, z których wynika zarówno fakt podania numeru telefonu, jak i obowiązek podania numeru telefonu klienta (a nie pracownika klienta, czy też nawet jego członka zarządu). W takiej sytuacji, trudno jest uznać jednoznacznie, że podany numer jest numerem prywatnym osoby, zakładającej konto w portalu Spółki dla klienta będącego osobną prawną.
W świetle zgromadzonej dokumentacji, nie można było przesądzić, że podany numer był daną osobową konkretnej osoby, ponieważ stanowił on numer kontaktowy do klienta Spółki i to klienta będącego osobą prawną.
Zdaniem Sądu, rację ma Spółka stwierdzając, że skoro nie chodzi o numer telefonu osoby fizycznej, a numer kontaktowy do osoby prawnej, to nie może być mowy o naruszeniu przepisów RODO wskazanych w zaskarżonej decyzji Prezesa UODO.
Kwestionowane przetwarzanie danych osobowych, jako danych kontaktowych osoby prawnej, wyklucza traktowanie ich w postępowaniu administracyjnym w oparciu o przepisy RODO, jako wyłącznie danych osobowych osoby fizycznej. Ustalenia dokonane w sprawie potwierdzają jedynie, że numer telefonu, na który Spółka kontaktowała się ze skarżącym, jest związany z osobą prawną, ponieważ wskazany zostały w ramach zawierania umowy. To, że do skarżącego – prezesa spółki – skierowano ofertę przeznaczoną dla Zarządu spółki, nie zmienia faktu, że wykorzystano do tego dane firmy. W takiej sytuacji numer telefonu nie może zostać uznany za daną identyfikującą osobę fizyczną, ponieważ jest wykorzystywany w działalności osoby prawnej, i tym samym należało przyjąć, że kwestionowane przetwarzanie numeru telefonu, stanowiącego dane kontaktowe osoby prawnej wyklucza traktowanie go w postępowaniu administracyjnym w oparciu o RODO, jako wyłącznie danych osobowych osoby fizycznej.
Osoba prawna, jako podmiot prawa cywilnego, została zdefiniowana w przepisach ustawy z dnia 23 kwietnia 1964 r. – Kodeks cywilny (t.j. Dz. U. z 2023 r., poz. 1610 z późn. zm.). Szczegółowe uregulowania w tym zakresie zawiera ustawa z dnia 15 września 2000 r. Kodeks spółek handlowych (t.j. Dz. U. z 2022 r. poz. 1467 z późn. zm.). Jedną z cech osób prawnych jest działalność poprzez organy – w przypadku spółki z ograniczoną odpowiedzialnością, czy spółki akcyjnej, jest to m. in. zarząd. To zarząd prowadzi sprawy spółki, wykorzystując ku temu „dane osobowe dotyczące osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym dane (…) kontaktowe osoby prawnej” (motyw 14 RODO).
Skarżący, używając swojego numeru telefonu, jako prezes zarządu wskazanej powyżej spółki, działa w imieniu osoby prawnej.
Zaznaczenia wymaga, że skarżący, jako prezes zarządu spółki, niewątpliwie znajduje się w innej sytuacji zawodowej niż przykładowo osoby posiadające status pracowniczy, ponieważ wyłącznie on sam zadecydował o tym, że jego dane osobowe mają być wskazane, jako dane kontaktowe podmiotu, który reprezentuje.
Można założyć, iż w innym stanie faktycznym możliwe jest nadanie numerowi telefonu przymiotu danych osobowych, jednakże stan faktyczny przedmiotowej sprawy nie daje podstaw, już na pierwszy rzut oka, że w ramach kompetencji Prezesa UODO możliwym było wydanie w przedmiotowej sprawie zaskarżonego rozstrzygnięcia.
Sąd uchylił decyzję Prezesa UODO w której zostało udzielone upomnienie za nieprawidłowości w przetwarzaniu danych osobowych, polegające na wykorzystaniu nr telefonu członka zarządu dla celu marketingu pomimo jego sprzeciwu (żądania usunięcia).
Należy zauważyć że swego czasu Prezes UODO staną na stanowisku zgodnym z niniejszym wyrokiem, że dane osobowe osoby prawnej są wyłączone ze stosowania rodo.
Co do samego rozstrzygnięcia brakuje to jednak kluczowego ustalenia, co do którego zarysował się spór:
1. czy ado dzwonił w celach marketingowych (ado twierdził że nie, skarżący że tak) czy w wykonaniu umowy
i jeszcze ważniejsze, bo rozstrzygające czy rodo ma zastosowanie
2. jeśli dzwoniono z marketingiem to do kogo był skierowany, do spółki którą reprezentował skarżący czy do skarżącego.
Sąd skupił się na kwestii do kogo należał nr telefonu, a tymczasem ważniejsze jest czy nr telefonu był wykorzystany w kontekście życia prywatnego prezesa spółki czy działalności gospodarczej spółki. Ponieważ nawet jeśli nr nie zostałby podany jako nr spółki (dane kontaktowe spółki), ale byłby wykorzystany dla celu kontaktu ze spółką, rodo nie miałoby zastosowania ponieważ nr wykorzystany byłby jako dotyczący osoby prawnej – motyw 14 nie ogranicza się do danych kontaktowych osoby prawnej, dane kontaktowe podaje jako przykład danych które dotyczą osoby prawnej.
Choć zagadnieniem kontrowersyjnym może być pytanie czy o tym, że dane osobowe dotyczą osoby prawnej decydują względy obiektywne czy subiektywne (wola osoby fizycznej). Np. jeśli prezes zarządu sp. z o.o. ma dwa nr telefonu i jeden upublicznia do kontaktu ze spółką a drugi do kontaktu w ramach równolegle prowadzonej działalności jednoosobowej. Czy wykorzystanie tego drugiego dla celów działalności spółki stanowi kontekst osoby prawnej czy fizycznej. Moim zdaniem bardziej właściwe jest przyjęcie koncepcji obiektywnej, co z drugiej strony oznacza że nawet jeśli wykorzystany byłby nr osoby prawnej ale w kontekście osoby fizycznej, to rodo będzie miało zastosowanie (ado dzwoni na nr prezesa zarządu upubliczniony na www spółki, ale komunikat kieruje do sfery prywatnej prezesa spółki czyli wykorzystuje nr w sposób niedotyczący osoby prawnej).