Czy przepisy o przetwarzaniu danych osobowych dotyczą także osób zmarłych? Czy jakiś organ może stwierdzić, że do niego nie stosuje się RODO? Czy jednak RODO nieważne, jeśli o czymś decyduje konstytucja? Czy wyjątek od reguły jest wyjątkiem od reguły? Słowem: czy IPN podlega pod RODO? (wyrok NSA z 25 sierpnia 2020 r., I OSK 3325/19).
Orzeczenie dotyczyło odwołania żołnierza (absolwenta wrocławskiego „Zmechu”, pełniącego służbę wojskową w l. 80-tych ubiegłego stulecia), któremu Prezes Instytutu Pamięci Narodowej odmówił sprostowania nieprawdziwych danych osobowych ujawnionych w Biuletynie Informacji Publicznej IPN. Bezskuteczna okazała się także skarga do Prezesa UODO, który stwierdził, że IPN podlega RODO tylko w zakresie Bazy Materiału Genetycznego (art. 71 ustawy o IPN), zaś poza tym ingerencja PUODO w przetwarzanie danych przez IPN jest wykluczona (art. 1 pkt 3 uIPN) — i odmówił wszczęcia postępowania.
Stanowisko to podtrzymał Wojewódzki Sąd Administracyjny: wprawdzie RODO ma bezpośrednie zastosowanie w polskim porządku prawnym, ale skoro ustawa o IPN wyraźnie mówi, że rozporządzenie stosuje się wyłącznie w ograniczonym zakresie, to PUODO nie ma kompetencji do zajęcia się skargą. Co więcej działalność nieobjęta zakresem prawa unijnego nie podlega RODO, a do takich należy przecież kwestia ochrony dziedzictwa narodowego i historycznego oraz tożsamości polskiego narodu.
art. 2 ust. 2 lit. a rozporządzenia 2016/679 o ochronie danych osobowych
Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:
a) w ramach działalności nieobjętej zakresem prawa Unii;
W skardze kasacyjne wnioskodawca zauważył, iż RODO jako regulacja ogólna, powinno być stosowne bezpośrednio, zaś przepisy dotyczące Bazy Materiału Genetycznego mają znaczenie tylko z punktu widzenia ochrony danych osobowych osób zmarłych (por. motyw 27 RODO — Niniejsze rozporządzenie nie ma zastosowania do danych osobowych osób zmarłych. Państwa członkowskie mogą przyjąć przepisy o przetwarzaniu danych osobowych osób zmarłych”). Co więcej skoro ustawa o ochronie danych osobowych wprost nakazuje jej stosowanie w związku z przetwarzaniem danych osobowych w zakresie art. 2-3 RODO, a wyłączenia są ustanowione wyłącznie w art. 6 uodo, to nie można powiedzieć, iżby przetwarzanie danych osobowych przez IPN nie podlegało RODO.
Odnosząc się do skargi kasacyjnej NSA zauważył, iż prawo żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą jest prawem konstytucyjnym — zaś każda norma prawna hierarchicznie niższa musi być interpretowana zgodnie z ustawą zasadniczą.
art. 51 ust. 4 Konstytucji RP
Każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą.
Konstytucja daje każdemu prawo do sprostowania lub usunięcia danych osobowych, zatem IPN nie może odmawiać zastosowania się do takiej normy. W przypadku sporu PUODO powinien „rozważyć, kto i w jakim trybie jest władny prowadzić postępowanie” odnoszące się do oczekiwań wnioskodawcy, a nie powoływać się na RODO jako przeszkodę do zajęcia się sprawą.
Nie jest zatem dopuszczalne, by dane osobowe pozostające w rejestrach IPN pozostawały poza jakąkolwiek kontrolą organów powołanych do ochrony danych osobowych, choćby i były to dane archiwalne, które przecież mogą dotyczyć dóbr konstytucyjnie chronionych (art. 47 Konstytucji RP). Zaś wszelkie wprowadzane przez państwa ograniczenia w prawach wynikających z RODO muszą być zgodne z samym RODO (motyw 73 RODO), ale i z porządkiem prawnym tego państwa.
NSA nie podzielił także stanowiska, iżby RODO nie miało zastosowania do przetwarzania danych osobowych przez Instytut Pamięci Narodowej. Przepis, który mówi o Bazie Materiału Genetycznego nie może być rozumiany jako formułujący jedyny zakres stosowania RODO w odniesieniu do IPN (że poza tym zakresem IPN nie podlega pod RODO), lecz jako wyjątek od reguły, w myśl której dane osobowe osób zmarłych nie podlegają RODO. (Bajdełej to taki ciekawy przypadek, w którym NSA mówi: tak, to jest wyjątek od reguły, ale od innej reguły, niż sądzicie.)
Niezależnie od tego NSA zauważył, że odmówić wszczęcia postępowania można tylko wówczas, gdy postępowania nie da się prowadzić (art. 61a par. 1 kpa), natomiast w przypadku braku właściwości obowiązkiem organu jest przekazanie sprawy do organu właściwego (art. 65 kpa) lub zwrócić wnioskodawcy (art. 66 par. 3 kpa). Oznacza to, że w sprawie nie zaistniała przesłanka do odmowy wszczęcia postępowania przez PUODO.
Z tego względu NSA uchylił wyrok WSA oraz postanowienie PUODO — w konsekwencji czego organ będzie miał obowiązek raz jeszcze zająć się sprawą w sposób wskazany w orzeczeniu.
Zamiast komentarza: pomijając, że coś mi nie pasuje z tym brakiem stosowania RODO „w ramach działalności nieobjętej zakresem prawa Unii” (zwracam uwagę, że poza prawem EU jest np. olbrzymi kawałek prawa cywilnego, ochrony zdrowia czy obronności — czy mam rozumieć, że wówczas RODO się nie stosuje? — to tak w kontekście tej rzekomej luki, którą oto wypełniono wykładnią rozszerzającą (por. artykuł Sławomira Wikariaka „W IPN także obowiązuje RODO. Osoby widniejące w archiwach zyskały dodatkowe instrumenty prawne” opublikowany w „Gazecie Prawnej”) — zwracam uwagę, że przy tak napisanej konstytucji „Każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą” nikt nie podskoczy. I nie ma się co powoływać na wymóg ustawowego określenia owych zasad (art. 51 ust. 5 Konstytucji RP), bo przecież ma ona określać „zasady i tryb gromadzenia oraz udostępniania informacji” dotyczących osoby (a nie kwestie ich prostowania lub usunięcia) — zwłaszcza, że taka ustawa jest, no ale w głównej mierze zastąpiło ją prawodawstwo unijne, którego może prawodawca ustrojowy nie wymienił bezpośrednio, no ale wiadomo, że dura lex sed lex…
(A poza tym ja sobie naprawdę nie wyobrażam, żeby jakikolwiek aspekt działalności był poza kontrolą — bo czy to ma oznaczać, że IPN ma mieć prawo wpisać sobie co zechce?)