Czy dopuszczalne jest udostępnienie osobie trzeciej danych osobowych z akt postępowania karnego? Czy policja może przekazać adres świadka innej osobie, która twierdzi, że ma w tym określony, ważny cel? I, wcale nie na marginesie: czy otrzymując prośbę o pomoc w załatwieniu jakiejś sprawy można po prostu przekazać czyjeś dane osobowe? (wyrok Naczelnego Sądu Administracyjnego z 20 stycznia 2021 r., III OSK 2986/21).
Orzeczenie dotyczyło udostępnienia danych osobowych z akt postępowania karnego — adresu i numeru telefonu — osobie trzeciej (spółdzielni mieszkaniowej).
Zaczęło się prowadzonego postępowania w sprawie śmierci matki skarżącego. Zwłoki kobiety przez kilka miesięcy pozostawały w mieszkaniu, które zdaniem spółdzielni wymagało dezynfekcji; poproszono policję o umożliwienie kontaktu z synem zmarłej, policja zadzwoniła do mężczyzny, który obiecał, że skontaktuje się ze spółdzielnią, czego jednak nie zrobił. Spółdzielnia znów zwróciła się do policji z kolejną prośbą, tym razem o „przymuszenie” mężczyzny — więc policja udostępniła spółdzielni, za zgodą prokuratury, adres mężczyzny, jako podstawę wskazując przepis umożliwiający przekazanie danych lub dokumentów z akt postępowania (załącznika adresowego).
art. 156a kodeksu postępowania karnego
Dane lub oryginały dokumentów znajdujące się w załączniku adresowym udostępnia się wyłącznie organom państwowym oraz organom samorządu terytorialnego na ich wniosek, jeżeli jest to niezbędne dla wykonywania ustawowych zadań tych organów. Można je udostępnić także na wniosek innych instytucji lub osób, jeżeli przemawia za tym ich ważny interes.
W skardze do Prezesa Urzędu Ochrony Danych Osobowych mężczyzna zarzucił, iż udostępnienie danych osobowych osobie nieuprawnionej — czyli prezesowi spółdzielni, z którym był w konflikcie i który teraz nęka go telefonami — bez jego zgody nastąpiło z naruszeniem prawa, a także z naruszeniem obowiązków informacyjnych (m.in. o przekazaniu danych dowiedział się 40 dni po fakcie).
PUODO odmówił uwzględnienia wniosku: skoro skarżący nie zapewnił właściwego stanu sanitarnego mieszkania (art. 22 ust. 1 ustawy zakaźnej), policja miała prawo udostępnić jego dane po uzyskaniu zgody prokuratora, zaś przesłanką do zastosowania art. 156a kpk była konieczność przeciwdziałania zagrożeniom sanitarno-epidemiologicznym i przepisy pozwalające na zastępcze wykonanie prac przez spółdzielnię (zaś przesłanką przetwarzania danych był art. 6 ust. 1 lit. c) oraz lit. e) RODO).
WSA podzielił te argumenty: przepisy o ochronie danych osobowych nie mogą być interpretowane jako bezwzględnie chroniące tożsamość osób w każdej sytuacji — także wówczas, gdy zaniechanie dezynfekcji mieszkania naraża innych mieszkańców bloku na niebezpieczeństwo epidemiczne. Powołując się na swoje prawa wynikające z RODO nie można zapominać o prawach innych osób do bezpiecznego mieszkania, a także o swoich obowiązkach — oraz o tym, że kodeks postępowania karnego pozwala na udostępnienie określonych danych adresowych z postępowania karnego osobie trzeciej (wyrok WSA w Warszawie z 12 września 2019 r., II SA/Wa 1050/19).
Odnosząc się do skargi kasacyjnej Naczelny Sąd Administracyjny przypomniał, że z zasady autonomii informacyjnej jednostki wynika, iż każdy ma prawo do samodzielnego decydowania o ujawnianiu innym informacji dotyczących jego osoby (art. 51 Konstytucji RP). Oznacza to, że wszelkie przesłanki legalizujące przetwarzanie danych osobowych powinny być interpretowane zawężająco, a reguła ta dotyczy także niezbędności dla wypełnienia obowiązku prawnego lub wykonania zadania realizowanego w interesie publicznym. Biorąc jednak pod uwagę, że przesłanka taka musi być określona w przepisie prawa (unijnego, krajowego, art. 6 ust. 3 RODO), to przepis art. 6 ust. 1 lit. c) lub e) RODO nie może być traktowany jako samodzielna podstawa legalizująca przetwarzanie osobowych — wymagana jest wyraźna (dodatkowa) podstawa normatywna (por. „Szkoła wyższa nie może udostępnić ZUS-owi danych osobowych studenta bez jego zgody”).
Udostępnienie danych osobowych z akt postępowania może nastąpić na podstawie art. 156a kpk, jednak wyłącznie wówczas, jeśli przepis ten zostanie zastosowany prawidłowo. Tymczasem ani policja, ani PUODO, ani WSA nie zauważyły, że spółdzielnia nie wystąpiła o udostępnienie danych osobowych — lecz zwróciła się o „przymuszenie” mężczyzny do dezynfekcji mieszkania; w odpowiedzi prokurator zezwolił na przekazanie jego adresu, ale nie numeru telefonu — co jednak nie przeszkodziło policjantom podać także ów numer.
W ocenie NSA oznacza to, że w sprawie nie poczyniono prawidłowych ustaleń (nie wiadomo czy prokurator wydał zarządzenie w sprawie udostępnienia numeru telefonu — w aktach sprawy brakuje takiego dokumentu), przez co uchyleniu podlegały zarówno orzeczenie WSA jak i decyzja PUODO, zatem teraz organ będzie miał okazję dokładniej przyjrzeć się tej okoliczności.