A skoro jakiś czas temu P.T. Czytelników tak zdenerwowała indolencja śledcza PUODO, który zamiast dociekać prawdy, przerzuca się papierami, dziś czas na kilka akapitów o tym czy skarga na pozyskiwanie danych osobowych z formularza internetowego — jeśli zainteresowany twierdzi, że żadnego formularza nie wypełniał, zaś wyjaśnienia administratora są nieprawdziwe — oznacza, że PUODO powinien przeprowadzić poszerzoną inwestygację? Czy jednak postępowanie administracyjne jest co do zasady postępowaniem „w papierach”, zaś kontrola sądu administracyjnego ogranicza się do sprawdzenia tych papierów? (nieprawomocny wyrok WSA w Warszawie z 29 października 2020 r., II SA/Wa 396/20).
Sprawa zaczęła się od kilku odebranych telefonów z ofertami pożyczek, na co „monetyzowany” człowiek zwrócił się do dzwoniącej spółki (usługodawcy w ramach serwisu Ratkomat.pl, aktualnie adres przekierowuje do serwisu pozyczka-ratalna.pl) z pytaniem o zakres, źródło i podstawę prawną przetwarzania jego danych osobowych.
art. 12 ust. 3 rozporządzenia nr 679/2016 o ochronie danych osobowych
Administrator bez zbędnej zwłoki – a w każdym razie w terminie miesiąca od otrzymania żądania – udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15–22. (…)
Podmiot nie udzielił żadnej odpowiedzi, zatem do PUODO trafiła skarga na przetwarzanie danych osobowych, w której mężczyzna za żądał nakazania administratorowi spełnienia obowiązku informacyjnego (art. 14 ust. 1 RODO) i realizacji prawa dostępu do danych. W tym momencie spółka odpisała, że ograniczyła przetwarzanie danych osobowych wyłącznie do prowadzonego postępowania i przekazała odbiorcom żądanie; natomiast w odpowiedzi przesłanej do PUODO wyjaśniła, że dane osobowe (m.in. imię, nazwisko, numer telefonu, adres listelowy) zostały pozyskane z wypełnionego formularza internetowego, a następnie udostępnione, za zgodą internauty, partnerom handlowym (potencjalnym pożyczkodawcom). Wystarczającym dowodem potwierdzającym wypełnienie formularza są logi (zapisano m.in. adres IP zakończenia sieci, z którego korzystał użytkownik).
art. 14 ust. 1 rozporządzenia o ochronie danych osobowych
Jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą, administrator podaje osobie, której dane dotyczą, następujące informacje: (…)
Po przeprowadzeniu postępowania PUODO stwierdził, że administrator dopuścił się uchybienia w postaci zbyt późnego udzielenia odpowiedzi (zajęło mu to 127 dni), za co udzielił mu upomnienia — ale odmówiono nakazania wypełnienia obowiązku informacyjnego, ponieważ skoro dane pochodzą od samego zainteresowanego, nie może opierać swego żądania na przepisie odnoszącym się do obowiązku informacyjnego towarzyszącemu pozyskiwaniu danych nie od osoby, której dane dotyczą (dla jasności: w takim przypadku zastosowanie ma art. 13 RODO, zaś art. 14 RODO odnosi się do szeroko pojętego „kupowania” danych).
art. 15 ust. 1 rozporządzenia o ochronie danych osobowych
Osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: (…)
W skardze do WSA zainteresowany zarzucił, iż PUODO błędnie oparł się wyłącznie na stwierdzeniu spółki, że dane trafiły do serwisu z wypełnionego przezeń formularza oraz pominięcie wszystkich przedstawionych dowodów wskazujących, że jednak żadnych danych nie wpisywał, przez co naruszył wymogi w zakresie postępowania dowodowego, a także zasadę pogłębiania zaufania do organów administracyjnych.
Wojewódzki Sąd Administracyjny nie podzielił tych argumentów: pozyskiwanie danych osobowych z formularza internetowego jest całkowicie dopuszczalne, zaś przepis, na który powołuje się skarżący dotyczy obowiązku informacyjnego związanego z przetwarzaniem danych osobowych uzyskanych w inny sposób, niż bezpośrednio od zainteresowanej osoby. W toku postępowania PUODO prawidłowo zebrał i ocenił wszystkie dowody (m.in. przesłane przez spółkę „zrzuty ekranu”), a także ustalił stan faktyczny — „przedsięwziął wszelkie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych sprawy i zebraniu materiału dowodowego potrzebnego do rozstrzygnięcia sprawy decyzją administracyjną” — zatem nie sposób zarzucać mu uchybienia obowiązku wyczerpującego zebrania i rozpatrzenia materiału dowodowego. Skoro więc zebrane w sprawie materiały potwierdzają, że skarżący „wypełnił swoje dane osobowe„ w formularzu internetowym i zgodził się na ich przetwarzanie i na wykonywanie połączeń marketingowych, jest jasne, że nie może domagać się udzielenia informacji, które nie są w takim przypadku wymagane.
Reasumując: nieprzypadkowo w powyższym akapicie nie pojawiło się żadne sformułowanie sugerujące, iżby WSA wytknął brak właściwego zainteresowania sprawą. Raz, że PUODO nie ma takich narzędzi (nie jest organem śledczo-dochodzeniowym), dwa, że decyzja o przeprowadzeniu przez organ kontroli leży wyłącznie w jego gestii (nikt nie może zmusić PUODO do jakiejkolwiek kontroli). Generalnie całe postępowanie sprowadza się do pisania papierów, wysyłania papierów i czytania papierów — no i jest oczywistą oczywistością, że kontrola ze strony WSA/NSA polega tylko na weryfikacji czy te wszystkie papiery były prawidłowo napisane i wysłane.
Q.E.D.