Czy dozwolone jest przetwarzanie danych osobowych pobranych z jawnego publicznego rejestru — rejestru spółek (KRS), w którym wszakże zawarte są także dane wspólników i członków organów spółek? W tym także udostępnianie tych danych w prywatnych serwisach internetowych? Czy zainteresowana osoba fizyczna może domagać się usunięcia swych danych z takiego serwisu? (wyrok Naczelnego Sądu Administracyjnego z 30 listopada 2021 r., III OSK 4558/21).
Sprawa zaczęła się od skierowanego do serwisu internetowego udostępniającego zaciągnięte z Krajowego Rejestru Sądowego informacje o spółkach, w tym także dane osobowe członków organów tych podmiotów (m.in. imienia i nazwiska, funkcji, przy czym numer PESEL nie jest upubliczniany w serwisie) żądania usunięcia danych osobowych.
Zdaniem administratora zgromadzone i udostępniane dane stanowiły informację publiczną i służyły zwiększeniu jawności życia publicznego, co usprawiedliwia ich przetwarzanie, zatem odmówił spełnienia żądania.
Bezskuteczna okazała się skarga do PUODO, który w wydanej decyzji stwierdził, że w tym przypadku przesłanką przetwarzania danych publicznie dostępnych jest uzasadniony interes realizowany przez administratora, zatem nie można skutecznie domagać się realizacji prawa do bycia zapomnianym.
(Pozostawione w uzasadnieniu okruszki pozwalają przypuszczać, że chodzi serwis rejestr.io prowadzony przez Fundację Nowe Państwo.)
Sprawa trafiła do sądu, który przyznał, iż przetwarzanie danych osobowych pochodzących z KRS usprawiedliwia realizacja celów statutowych fundacji, które obejmują upowszechnianie praw obywatela w zakresie m.in. ponownego wykorzystywania informacji sektora publicznego, w tym ułatwianie dotarcia do danych pochodzących z prowadzonych przez państwo rejestrów (art. 6 ust. 1 lit. f) RODO). Skoro zatem ustawa o KRS nie zawiera wyłączeń odnośnie ponownego wykorzystania informacji sektora publicznego (dziś jest to ustawa o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego), to nie można, opierając się na prawie do zapomnienia, żądać usunięcia z serwisu internetowego danych członka organu spółki, nawet jeśli dane są udostępniane częściowo odpłatnie (wyrok WSA w Warszawie z 19 października 2020 r., II SA/Wa 2837/19).
W skardze kasacyjnej zainteresowany podkreślił, iż działalność de facto komercyjnego, nastawionego na zysk i osiąganie korzyści majątkowych serwisu nie może być interpretowana jako zmierzająca do zwiększenia pewności i jawności obrotu gospodarczego, bo konieczność wnoszenia opłat za dane, które i tak są powszechnie dostępne jawność ową ogranicza. Nadto przepisy o ponownym wykorzystywaniu pozwalają na „wykorzystywanie” danych, a nie ich „przetwarzanie” (przetwarzanie jest pojęciem szerszym, art. 4 pkt 2 RODO), więc niech sobie Fundacja informacje pobrane z KRS wykorzystuje, ale nie przetwarza.
Naczelny Sąd Administracyjny nie podzielił tego stanowiska: przetwarzane dane osobowe pochodzą z jawnego rejestru publicznego (z KRS i MSiG), zatem ich pozyskanie było całkowicie legalne. Przesłanką legalizującą przetwarzanie danych personalnych jest natomiast uzasadniony interes administratora, przez które to pojęcie rozumie się „interes wynikający (choćby pośrednio) z przepisów prawa, w sytuacji, gdy przepisy te nie regulują dopuszczalności przetwarzania danych, a jedynie wskazują jakiś interes (np. uprawnienie), do realizacji którego przetwarzanie danych jest potrzebne”.
Tak rozumiany uzasadniony interes może wynikać ze statutowych celów fundacji jako administratora — zaś realizacja konstytucyjnego prawa do informacji publicznej, a także wzmocnienia szeroko rozumianego bezpieczeństwa obrotu gospodarczego pozwala na przetwarzanie pochodzących z jawnego i publicznego rejestru danych osobowych osób sprawujących funkcje w spółkach prawa handlowego (w tym także danych historycznych, które są udostępniane za pieniądze). Nie ma przy tym znaczenia czy ów interes jest realizowany bezpłatnie czy odpłatnie, ponieważ RODO nie różnicuje przepisów o ochronie danych osobowych od zarobkowego charakteru działalności administratora, zaś fundacja jest uprawniona do prowadzenia działalności gospodarczej.
Biorąc zatem pod uwagę, że przetwarzanie danych osobowych pobranych z jawnego publicznego rejestru jakim jest KRS jest zgodne z prawem, nie sposób skutecznie domagać się ich usunięcia z powołaniem się na art. 17 ust. 1 lit. d) RODO.