Przysługujące producentowi prawo do bazy danych jest prawem zbywalnym, to oczywista oczywistość. Czy zatem dozwolona jest sprzedaż bazy użytkowników serwisu internetowego? Czy jednak zebrana w oparciu o zgodę użytkowników baza danych osobowych jest czymś na tyle specjalnym, że jej sprzedaż można oceniać jako sprzeczną z RODO? Dla dodania suspensu: jeśli to nie usługodawca chce sprzedać bazę danych użytkowników, lecz komornik? (opinia rzecznika generalnego TSUE z 22 lutego 2024 r., C-692/22).
Sprawa zaczęła się od powództwa wytoczonego przeciwko członkowi zarządu spółki z o.o. za długi spółki (a to po nieudanej egzekucji z jej majątku, art. 299 ksh).
Pozwany członek zarządu zwrócił uwagę, że prowadząca działalność w branży internetowej spółka posiadała jeszcze majątek w postaci systemu sprzedażowego i powiązanej z nim bazy użytkowników, których wartość jest na tyle znaczna, że po ich sprzedaży sąd zaspokoiłby wierzycieli (co wyklucza osobistą odpowiedzialność członka zarządu).
Sąd zauważył, iż prawa producenta do baz danych w istocie są zbywalne, zaś przepisy kpc nie wyłączają tych praw spod egzekucji. Można mieć jednak wątpliwości, czy w toku egzekucji komorniczej dopuszczalna jest sprzedaż bazy danych użytkowników — dane te są przetwarzane na podstawie zgody użytkowników, zatem trzeba brać pod uwagę przepisy RODO — zatem zwrócił się w trybie prejudycjalnym do TSUE (postanowienie SR dla m.st. Warszawy z 3 listopada 2022 r., XV GC 254/21).
art. 6 ust. 1 ustawy o ochronie baz danych
Producentowi bazy danych przysługuje wyłączne i zbywalne prawo pobierania danych i wtórnego ich wykorzystania w całości lub w istotnej części, co do jakości lub ilości.
art. 6 ust. 1 lit. e) i ust. 4 RODO
1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy — i w takim zakresie, w jakim — spełniony jest co najmniej jeden z poniższych warunków:
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
4. Jeżeli przetwarzanie w celu innym niż cel, w którym dane osobowe zostały zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, ani prawa Unii lub prawa państwa członkowskiego stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1, administrator – aby ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane – bierze pod uwagę między innymi: [wskazane okoliczności].
W wydanej dziś opinii rzecznik generalny TSUE wyraził pogląd, że podejmowane przez komornika czynności zmierzające do sprzedaży bazy użytkowników stanowią przetwarzanie danych osobowych w rozumieniu RODO: oszacowanie jej wartości przez komornika wymaga pobrania bazy, jej przeglądania i wykorzystania, a także udostępnienia nabywcy. W takim przypadku komornik, jako organ władzy publicznej, jest administratorem, zaś przesłanką przetwarzania jest niezbędność do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej.
Sprzedaż bazy użytkowników serwisu internetowego przez komornika oznacza — wszakże dane osobowe mogą być przetwarzane wyłącznie w określonym celu — zmianę celu przetwarzania. Odejście od pierwotnego celu przetwarzania co do zasady wymaga zgody zainteresowanej osoby lub wyraźnej podstawy prawnej; zmiana celu przetwarzania jest dopuszczalna także wówczas, jeśli jest to konieczne m.in. dla egzekucji roszczeń cywilnoprawnych (por. „Czy dane osobowe pracowników można wykorzystać jako dowód w sądzie — w procesie dotyczącym pracodawcy?”).
Sumarycznie w ocenie rzecznika generalnego TSUE prowadzi to do wniosku, iż sprzedaż bazy danych osobowych użytkowników platformy internetowej przez komornika jest dopuszczalna na gruncie przepisów RODO. Uprawnienia takiego nie można podważać w szczególności ze względu na prywatność osób, których dane są w bazie przetwarzane: „prawo do ochrony danych osobowych nie jest prawem bezwzględnym, lecz należy je postrzegać w kontekście jego funkcji społecznej” — w tym przypadku „przyczynia się do poszanowania prawa własności wierzyciela posiadającego zasądzoną wyrokiem wierzytelność”.
(Na marginesie: spółka nie prowadzi jakiejkolwiek działalności i nie świadczy żadnych usług na rzecz swych użytkowników od 5 lat, co pozwoliło rzecznikowi generalnemu na słuszną uwagę, że dane użytkowników „przestały być niezbędne do jej prowadzenia i powinny były zatem zostać usunięte” — a jeśli usługodawca tak nie uczynił, to dalsze istnienie tych baz byłoby sprzeczne z RODO.)