Jedna osoba udostępniła wyrok dotyczący innej na FB. Wyrok oczywiście zawierał dane osobowe. Na skutek skargi sprawa trafiła do UODO. Organ stwierdził, że sprawa podpada pod wyjątek o którym mowa w art. 2 ust. 2 lit. c rodo, tj. przetwarzanie ma charakter czysto osobisty lub domowy i umorzył postępowanie.
Z oceną tą nie zgodził się WSA, stwierdzając m.in. że skoro dane zostały opublikowane nieograniczonej liczbie osób, to nie może być mowy o osobistej lub domowej czynności. Na skutek skargi kasacyjnej Prezesa UODO sprawa znalazła się przed NSA. Prezes Urzędu Ochrony Danych Osobowych podnosił, że
„nieograniczona dostępność profilu na portalu społecznościowym nie przesądza sama w sobie, że przetwarzanie wykracza poza zakres przetwarzania osobistego lub domowego. Bowiem by uznać, że przetwarzanie wykracza poza powyższy zakres konieczne jest by dostępność danych zamieszczonych na profilu na portalu społecznościowym była powiązana z działalnością zawodową lub handlową, co w niniejszej sprawie nie miało miejsca.”.
NSA przychylił się do stanowiska WSA, co jednak warto odnotować stało się to m.in. w oparciu o wykładnię zd. 3 motywu 18 rodo. Motyw ten brzmi:
Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową.
Działalność osobista lub domowa może między innymi polegać na
• korespondencji i przechowywaniu adresów,
• podtrzymywaniu więzi społecznych oraz
• działalności internetowej podejmowanej w ramach takiej działalności.
Niniejsze rozporządzenie ma jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej.
Tak NSA tłumaczy znaczenie zdania 3 tego motywu:
Wyjaśnić należy, że przez „środki przetwarzania danych” w tym przypadku rozumieć należy miejsce lub nośnik, na którym dane się znajdują, czyli właśnie wymienione wcześniej prywatne notatniki, kalendarze lub urządzenia elektroniczne, na których przechowywane są np. listy kontaktów, numery telefonów, adresy i inne dane osobowe. Dopóki środki te (przetwarzania danych przez osobę fizyczną) dostępne są jedynie w granicach tzw. zacisza domowego lub innego prywatnego miejsca (np. auta) osoby przetwarzającej dopóty jest to przetwarzanie w ramach czynności o czysto osobistym i domowym charakterze. Jednakże w sytuacji, gdy z inicjatywy podmiotu przetwarzającego dostęp do tego typu „środka przetwarzania danych” zostanie udzielony szerszemu gronu działanie takie będzie znajdowało się pod ochroną wynikającą z RODO. Wskazuje na to wyraźnie zdanie trzecie motywu 18 wyjaśniającego treść art. 2 ust. 2 lit. c RODO.
Jest to błędna interpretacja. Zdanie trzecie odnosi się do dostawców rozwiązań informatycznych za pomocą których ma miejsce działalność internetowa. Czyli udostępniają środki przetwarzania takie spółki jak Meta w przypadku Facebooka, a nie osoba fizyczna która ma konto na portalu społecznościowym. Środkiem przetwarzania nie jest tu samo miejsce czy nośnik, ponieważ wobec takich środków nie występuje rola ado/proc, ale aplikacja internetowa (komunikator, portal) którą dostarcza podmiot trzeci i przy okazji świadczenia tej usługi występuje w roli przewidzianej przez rodo. Rola ado/proc występuje ze względu na przetwarzanie (wykorzystywanie poprzez dokonywanie operacji na danych), a nie ze względu na posiadanie miejsca lub nośnika, dlatego nie jest możliwe żeby w zd. 3 prawodawcy chodziło jedynie o posiadacza miejsca lub nośnika, bez połączenia tego posiadania ze świadczeniem usługi. Zdanie trzecie uzupełnia zdanie drugie, wyjaśniając że choć osoba która przetwarza dane w celach osobistych nie podlega rodo, to podlega rodo dostawca usługi z której korzysta ta osoba – przykładowo nie podlega rodo użytkownik który w chmurze przechowuje informacje o innych osobach (np. zdjęcia z wakacji z rodziną, znajomymi) w celach osobistych, ale podlega rodo dostawca chmury (usługodawca).
NSA zwrócił również uwagę na kwestię kręgu osób którym udostępniono dane podzielając stanowisko wyrażone przez Grupę Roboczą Art. 29, że jeśli krąg ten jest nieograniczony nie może być mowy o charakterze czysto osobistym:
Podsumowując powyższe należy uznać, że co do zasady treści publikowane na portalach społecznościowych przez osoby fizyczne nie są objęte działaniem rozporządzenia RODO, o ile działalność ta nie ma zawodowego lub handlowego charakteru i dostęp do nich mają tylko podmioty wyselekcjonowane przez osobę udostępniającą. Innymi słowy w przypadku, gdy przetwarzanie rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowane poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, nie powinno ono być rozumiane, jako czynność o czysto „osobistym lub domowym charakterze”. Takie stanowisko zaprezentowane zostało również w wyroku Trybunału Sprawiedliwości Unii Europejskiej z dnia 11 grudnia 2014 r., C-212/13, na który powołał się m.in. Sąd pierwszej instancji.
W związku z powyższym z perspektywy analizowanej sprawy zasadnicze znaczenie ma, czy dane skarżącej udostępnione na portalu uczestnika zostały udostępnione w sposób „otwarty” umożliwiający każdej osobie, nawet nienależącej do osób dopuszczonych przez uczestnika, dostęp do umieszczonych tam treści.
Co do samej publikacji trafnie UODO podnosił, że czynność nie traci osobistego charakteru, przez to tylko, że wychodzi poza zacisze domowe.
Natomiast faktycznie WSA i NSA podtrzymują linię orzeczniczą dominującą już przed rodo, ponieważ już wtedy TS twierdził, że opublikowanie w Internecie danych osobowych w celach osobistych nie podlega wyłączeniu od stosowania dyrektywy (na podobnej zasadzie twierdzono, że domowy, osobisty monitoring jeśli wykracza na drogę publiczną nie podlega wyłączeniu). Jak widać UODO chciał odejść od tej interpretacji ale nieskutecznie (nie przekonał NSA).
Podobnie o stosowaniu rodo do przetwarzania w celach osobistych wypowiedział się sąd w Holandii.