Na tak postawione pytania odpowiedział zarówno organ nadzorczy jak i sąd administracyjny w wyroku z dnia 11 maja 2021 r., sygn. akt II SA/Wa 1801/20. Zgodnie z ocenianym stanem faktycznym kierowca autobusu wypowiedział na głos imię i nazwisko pasażera. Pasażer wniósł skargę do UODO. Organ udzielił spółce zatrudniającej kierowcę upomnienia. Spółka zaskarżyła decyzję do WSA.
Zdaniem UODO:
„(…) udzielono Spółce upomnienia za nieprawidłowości w procesie przetwarzania danych osobowych, polegające na naruszeniu art. 5 ust. 1 lit. f i art. 6 ust 1 lit. b RODO, poprzez udostępnienie nieuprawnionym osobom danych Wnioskodawcy, w zakresie imienia i nazwiska, podczas identyfikacji jego uprawnienia do skorzystania z usługi przewozowej (pkt 1 orzeczenia). W pozostałym zakresie odmówiono uwzględnienia wniosku ze skargi (pkt 2 orzeczenia).(…)”
„(…)- zgromadzony w sprawie materiał dowodowy potwierdził zarzut Wnioskodawcy odnośnie udostępnienia przez Spółkę jego imienia i nazwiska osobom nieuprawnionym, podczas identyfikacji jego uprawnienia do skorzystania z usługi przewozowej; z nagrania rozmowy Wnioskodawcy z kierowcą wynika, że – wchodzącego do autobusu Wnioskodawcę – poproszono o podanie nazwiska; kierowca powtórzył je na głos; doszło zatem do przetwarzania danych Wnioskodawcy, w sposób niezapewniający im odpowiedniego bezpieczeństwa – w tym ochrony przed niedozwolonym lub niezgodnym z prawem przetwarzaniem, (…)”
Zdaniem WSA:
„Wobec przywołanych uwarunkowań uzasadniony jest wniosek, że – wobec wyartykułowanych celów przyjęcia RODO i treści jego regulacji wstępnych – akt ten dotyczy zdarzeń związanych z przetwarzaniem informacji (gromadzenie, transfer itp.) gdzie możliwe jest mechaniczne odnajdywanie informacji o osobach – ich danych osobowych – w szczególności w ramach systemów teleinformatycznych. Nie dotyczy ono zaś zdarzeń, pozostających w związku z ujawnieniem (a więc przetworzeniem) danych osobowych, w innych sytuacjach – np. możliwości poznania imienia i nazwiska określonej osoby, wobec głośnego jego wypowiedzenia (przez kierowcę czy pasażera autobusu), nawet gdy znajduje się ono równocześnie w określonym zbiorze informacji (liście pasażerów), choćby prowadzono ją w formie elektronicznej. Inna ocena dotyczyć mogłaby wprawdzie przypadku, gdy określone informacje upowszechniane byłyby w takiej postaci, że technicznie możliwe byłoby ich niekontrolowane gromadzenie przez osoby nieuprawnione – bez wiedzy zainteresowanych. Sytuacja taka – co bezsporne – nie miała jednak miejsca w rozpatrywanej sprawie.”
Komentarz
Moim zdaniem nie doszło do udostępnienia danych osobowych, ponieważ o udostępnieniu można by mówić, jeśli by odbiorcą był administrator, który intencjonalnie zebrał dane osobowe pasażera, dla celów profesjonalnych – tak najczęściej używa się tego zwrotu żeby odróżnić przekazanie (powierzenie) do procesora. W tym wypadku miała miejsce ogólnie pojęta operacja ujawnienia, i to dokonana przy okazji z zamiarem ewentualnym, ponieważ główną operacją było wykorzystanie danych w celu potwierdzenia uprawnienia do przejazdu. Nie było to też rozpowszechnienie, ponieważ w pojeździe było może kilkanaście osób, a więc ograniczona liczba.
Identyfikator publiczny, brak bezprawności
Rodo ma zastosowanie ponieważ operacji dokonał przedsiębiorca w zakresie swojej działalności gospodarczej. Dane były przetwarzane w zbiorze i zostały ujawnione ze zbioru, warunkiem stosowania rodo nie jest ujawnienie do zbioru.
Natomiast działanie przewoźnika było legalne, słusznie więc WSA uchylił decyzję. Imię i nazwisko stanowi identyfikator publiczny i każdy administrator ma podstawę legalizacyjną do używania imienia i nazwiska osoby, zgodnie z celem tego identyfikatora – art. 6 ust. 1 lit. f rodo. Użycie imienia i nazwiska zgodnie z jego społeczno-gospodarczym przeznaczeniem i zasadami współżycia społecznego nie stanowi nadużycia prawa (art. 5 k.c.) i nie jest bezprawne, skoro nie narusza też innej wyraźnej normy prawa stanowionego – a tak należy oceniać zwrócenie się do osoby, również w obecności innych.
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Gdyby interesy osoby, której dane dotyczą miały nadrzędny charakter nad interesem (prawem) administratora do posłużenia się identyfikatorem publicznym, to takie posłużenie się stanowiłoby nadużycie prawa z art. 5 k.c.
Art. 5. [Nadużycie prawa podmiotowego] Nie można czynić ze swego prawa użytku, który by był sprzeczny ze społeczno-gospodarczym przeznaczeniem tego prawa lub z zasadami współżycia społecznego. Takie działanie lub zaniechanie uprawnionego nie jest uważane za wykonywanie prawa i nie korzysta z ochrony.
Sprzeciw, szczególna sytuacja
Osoba może się oczywiście sprzeciwić użyciu jej imienia i nazwiska zgodnie z jego przeznaczeniem (zgodnie z zasadami współżycia społecznego), ale żeby sprzeciw był skuteczny, musi wykazać że istnieje szczególna sytuacja, która to uzasadnia.
Artykuł 21 Prawo do sprzeciwu 1. Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f), w tym profilowania na podstawie tych przepisów. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.
Szczególna sytuacja znana administratorowi zmienia ocenę prawną na gruncie art. 5 k.c. i od tej pory użycie identyfikatora stanowi nadużycie prawa podmiotowego. Zmieniając ocenę na gruncie k.c. tym samym zmienia ocenę na gruncie rodo.
Związanie oceną prawą w postępowaniu administracyjnym
Trudno też zgodzić się z tym fragmentem uzasadnienia WSA:
„Nie do zaakceptowania w państwie prawnym byłaby natomiast koncepcja, jakoby określoną kwestię – legalność posłużenia się imieniem i nazwiskiem Wnioskodawcy w celu weryfikacji uprawnienia do przejazdu (a więc jego danymi osobowymi) – można byłoby oceniać równolegle w dwóch trybach – w postępowaniach prowadzonych przez wyspecjalizowany organ administracji i sąd powszechny. Umożliwiałoby to sformułowanie w ostatecznych orzeczeniach – znajdujących się równocześnie w obiegu prawnym – odmiennych ocen, w kontekście legalności działania Spółki. Wobec tego, hipotetyczna koncepcja przyznanie wyspecjalizowanemu organowi administracji prawa oceny w rozpatrywanym przypadku, czy wykorzystanie danych osobowych było legalne, musiałoby wyłączyć w danym zakresie kompetencję sądu powszechnego. Rozszerzająca wykładnia przepisów RODO, zakreślających w istocie kompetencje wyspecjalizowanego organu, nie jest wobec tego dopuszczalna. Zasadna jest zaś wykładnia wąska. W sprawach cywilnych istnieje bowiem przywołana wcześniej reguła domniemania właściwości sądów powszechnych, zaś ochrona praw osobistych stanowi generalnie domenę prawa cywilnego.”
Art. 97 uodo, wyłącza właśnie kompetencje sądu powszechnego do odmiennej oceny legalności przetwarzania, niż dokonana przez UODO albo WSA:
Art. 97. [Związanie sądu decyzją Prezesa Urzędu] Ustalenia prawomocnej decyzji Prezesa Urzędu o stwierdzeniu naruszenia przepisów o ochronie danych osobowych lub prawomocnego wyroku wydanego w wyniku wniesienia skargi, o której mowa w art. 145a § 3 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi, wiążą sąd w postępowaniu o naprawienie szkody wyrządzonej przez naruszenie przepisów o ochronie danych osobowych co do stwierdzenia naruszenia tych przepisów.
Jednocześnie ocena legalności przetwarzania w postępowaniu administracyjnym wymaga oceny zdarzenia prawnego z punktu widzenia prawa cywilnego. Generalnie zastosowanie art. 6 rodo (ocena wystąpienia przesłanek legalizacyjnych) wymaga powiązania z różnymi przepisami rozsianymi po całym systemie prawa. Posłużenie się imieniem i nazwiskiem przez administratora jest legalne na gruncie rodo, właśnie dlatego że jest legalne na gruncie k.c. (z tego powodu przechodzi test równowagi z art. 6 ust. 1 lit. f rodo – jego użycie zgodnie z przeznaczeniem nie jest bezprawne) i ponieważ osoba nie uzyskała by zadośćuczynienia na gruncie przepisów o naruszeniu dóbr osobistych (brak bezprawności, niemożliwość wykazania przesłanki odpowiedzialności deliktowej), administrator nie powinien być poddany środkom naprawczym na gruncie rodo. Jeśli zaś ado będzie poddany środkom naprawczym na gruncie rodo (ustalono bezprawność), to sąd powszechny jest związany tą oceną prawną i pozostaje mu tylko ocenić wysokość zadośćuczynienia za stratę niematerialną czy odszkodowania za stratę materialną oraz związek przyczynowy między zdarzeniem a szkodą.