Czy człowiek może złożyć ustne oświadczenie o zgodzie na doręczanie dotyczącej go korespondencji osobie trzeciej? Czy istnieje wymóg pisemnego wyrażenia zgody na udostępnianie danych? A może ustna zgoda na przetwarzanie danych osobowych jest dopuszczalna i skuteczna — ale administrator musi pomyśleć o jej prawidłowym udokumentowaniu? (wyrok Naczelnego Sądu Administracyjnego z 9 lipca 2024 r., III OSK 2425/22).
Sprawa dotyczyła skargi na spółdzielnię mieszkaniową, która miała bezzasadnie wysyłać zawiadomienia o zmianie wysokości opłat za mieszkanie na niewłaściwy adres. We wniesionej do PUODO skardze członek spółdzielni zarzucił bezpodstawne, bo bez wyrażenia zgody, udostępnienie dotyczących go danych osobie nieuprawnionej.
opis stanu faktycznego i decyzji PUODO:
- w toku postępowania PUODO ustalił, że skarżący udzielił spółdzielni mieszkaniowej pisemnej (terminowej, bo tylko na okres kilku miesięcy) zgody na doręczanie wszelkiej korespondencji pod adres wskazanej osoby (a to ze względu na stan zdrowia);
- z wyjaśnień spółdzielni wynikało natomiast, że po wygaśnięciu tego upoważnienia zainteresowany poprosił — ustnie, ponieważ jego zdrowie nie pozwalało na dopełnienie formy pisemnej — o dalsze wysyłanie papierów pod ten sam adres; spółdzielnia wysyłała korespondencję przesyłką nierejestrowaną, acz na kopercie było tylko nazwisko zainteresowanego (nie „właściciela adresu”), zatem żadna osoba nie będąca adresatem nie miała prawa jej otworzyć;
- w ocenie SM mężczyzna nie kwestionował takiej praktyki przez kilka lat, co oznacza, że de facto się zgadzał na taki sposób przesyłania rozliczeń i innych dokumentów;
- (na marginesie: skarżący najwyraźniej jest typowym trollem — „dokonuje on wobec Spółdzielni czynności i dyspozycji w sposób utrudniający ich wykonanie, a następnie przeważnie skarży się na to do m.in. Ministra Infrastruktury, krajowego i regionalnego związku rewizyjnego spółdzielni mieszkaniowych, Okręgowej Izby Radców Prawnych, Prokuratury, Policji”);
art. 4 pkt 11 RODO
„zgoda” osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych;
art. 7 ust. 1 RODO
Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.
art. 5 ust. 2 RODO
Administrator jest odpowiedzialny za przestrzeganie [zasad przetwarzania] i musi być w stanie wykazać ich przestrzeganie („rozliczalność”).
art. 60 kodeksu cywilnego
Z zastrzeżeniem wyjątków w ustawie przewidzianych, wola osoby dokonującej czynności prawnej może być wyrażona przez każde zachowanie się tej osoby, które ujawnia jej wolę w sposób dostateczny, w tym również przez ujawnienie tej woli w postaci elektronicznej (oświadczenie woli).
- w wydanej decyzji PUODO stwierdził, że terminowe upoważnienie po wskazanej dacie wygasa, a więc nie daje podstaw do wysyłania korespondencji na inny adres, a niezależnie od tego, że zainteresowany mógł udzielić go ustnie (czemu zaprzecza), to brak jest dowodu, iż go udzielił — zaś brak sprzeciwu wobec przetwarzania danych osobowych nie może być interpretowany jako zgoda;
- uznając, iż niemożliwość wykazania zgody na przetwarzanie danych osobowych narusza RODO, organ udzielił spółdzielni upomnienia za uchybienie;
skarga do WSA:
- w skardze na tę decyzję spółdzielnia zwróciła uwagę, że zainteresowany nie skorzystał z prawa do sprostowania danych — a skoro tak, to nie było podstaw do wniesienia skargi, zatem postępowanie było bezprzedmiotowe;
- zarazem ustna zgoda na przetwarzanie danych osobowych nie jest sprzeczna z prawem — jest to oświadczenie woli, które należy wykładać zgodnie z cywilistycznymi teoriami oświadczenia woli;
orzeczenie Wojewódzkiego Sądu Administracyjnego:
- WSA nie zgodził się z tą argumentacją i skargę oddalił: jeśli zdaniem spółdzielni podstawą do przetwarzania danych osobowych była zgoda, to wyrażenie tej zgody należy udowodnić;
- spółdzielca zgodę taką udzielił, jednak tylko na okres kilku miesięcy — po tej dacie upoważnienie wygasło, zatem SM nie miała podstaw do dalszego wysyłania korespondencji do innej osoby;
- brak dowodu ustnego wyrażenia zgody na przetwarzanie danych osobowych oznacza naruszenie wymogu rozliczalności (art. 5 ust. 2 RODO);
- zaś żądanie sprostowania danych (jego brak) nie jest instrumentem, na który może powołać się administrator jako usprawiedliwienia dla błędów przy procedurze przetwarzania danych osobowych (wyrok WSA w Warszawie z 6 maja 2022 r., II SA/Wa 3238/21);
skarga kasacyjna:
- w skardze do NSA spółdzielnia mieszkaniowa powoła się na naruszenie przez Pocztę Polską przepisów prawa pocztowego, w myśl których wysłanie przesyłki na błędny adres (taki, pod którym adresat nie mieszka) powinno skutkować odmową doręczenia i jej zwrotem;
- zaś tak czy inaczej odbiorca (owa osoba postronna) nie powinna była otwierać koperty i czytać dokumentów;
- no i przecież ustna zgoda na przetwarzanie danych osobowych — na wysyłkę korespondencji pod wskazany adres — była skuteczna, czego dowodem jest choćby brak zaprzeczenia skarżącego, zaś jej udzielenie zostało udokumentowane notatkami pracowników spółdzielni;
orzeczenie Naczelnego Sądu Administracyjnego:
- nieaktualne upoważnienie nie jest dowodem wyrażenia zgody na przetwarzanie danych osobowych — w tym przypadku doręczanie korespondencji pod wskazany adres;
- oświadczenie (notatka) pracownika spółdzielni o tym, że zainteresowany wielokrotnie składał ustne dyspozycje dotyczące adresu korespondencyjnego, acz stanowczo odmawiał potwierdzenia ich w formie pisemnej nie jest dowodem, iż została skutecznie udzielona ustna zgoda na przetwarzanie danych osobowych;
- to na administratorze spoczywa obowiązek wdrożenia odpowiednich środków pozwalających na prawidłowe przetwarzanie danych: jeśli decyduje się wysyłać dokumenty pocztą (zwłaszcza przesyłką nierejestrowaną), to jego powinnością jest prawidłowe oznaczenie odbiorcy i adresu, zaś odpowiedzialności za swoje uchybienia nie może przerzucać na operatora pocztowego lub właściciela mieszkania, do którego przychodziły listy;
- nie ma przy tym znaczenia, że skarżący nie wniósł o sprostowanie danych — każdy jest uprawniony do wniesienia skargi do PUODO w przypadku choćby subiektywnego przekonania o nieprawidłowościach, bez konieczności wzywania administratora do usunięcia naruszenia.
Stwierdzając, że doszło do nieuprawnionego udostępnienia danych osobie postronnej — bo jeśli administrator chce się powołać na upoważnienie udzielone werbalne, to musi pamiętać, ze ustna zgoda na przetwarzanie danych też musi być udokumentowana — NSA oddalił skargę kasacyjną.