Czy udostępnienie w serwisie społecznościowym treści orzeczenia dotyczącego innej osoby jest przetwarzaniem podlegającym pod przepisy o ochronie danych osobowych? Jeśli ujawniającym informację jest osoba fizyczna, która nie prowadzi działalności gospodarczej? Czy korzystanie z serwisów społecznościowych należy wówczas traktować jako czynności o charakterze czysto osobistym, do którego RODO nie ma zastosowania? Czy jednak publikacja wyroku na Facebooku pod RODO podlega? (wyrok Naczelnego Sądu Administracyjnego z 16 października 2024 r., III OSK 4984/21).
Orzeczenie dotyczyło odwiecznego sporu: czy opublikowanie wyroku na własnym Fejsbóku można rozpatrywać jako naruszenie RODO? Czy jednak przepisy o ochronie danych osobowych nie dotyczą prywatnych książek telefonicznych, notatników, blogów, etc.,
opis stanu faktycznego:
- sprawa zaczęła się skargi na opublikowanie na Fejsbóku i wystawienia na widok publiczny (za szybą własnego auta) treści wyroku nakazowego zawierającego dane osobowe kobiety (m.in. jej imienia i nazwiska oraz daty urodzenia);
- (ciekawe: wyrok miał dotyczyć rzekomego nękania sąsiadów (po apelacji obwiniona została uniewinniona od zarzutów), zaś kobieta była radną miejską i kandydowała na kolejną kadencję — toteż opublikowany wyrok był okraszony hasełkiem „Wybory 2018 do Rady Miasta K. kandydują ludzie psychicznie chorzy”);
- po otrzymaniu skargi PUODO wszczął postępowanie, w którego toku ustalił, że spór jest elementem jakiejś rozgrywki rodzinnej (skarżąca jest ciotką upubliczniającego wyrok);
- biorąc zatem pod uwagę, że mężczyzna nie prowadzi działalności gospodarczej, przetwarzanie danych miało charakter wyłącznie czysto osobisty, a więc RODO nie ma zastosowania — postępowanie umorzył jako bezprzedmiotowe;
- odmiennie rzecz ocenił WSA: wyłączenie spod RODO dotyczy tylko przetwarzania danych osobowych wchodzących w zakres życia prywatnego lub rodzinnego jednostki, a więc nie obejmuje opublikowania informacji w internecie w taki sposób, że dostęp do danych uzyskuje nieograniczona liczba osób;
art. 2 ust. 2 lit. c RODO
2. [RODO] nie ma zastosowania do przetwarzania danych osobowych: […]
c) przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze; […]
motyw 18 RODO
Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową. Działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Niniejsze rozporządzenie ma jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej.
- zatem przetwarzanie rozpościerające się poza sferę prywatności przetwarzającego (wchodzące w przestrzeń publiczną) nie jest czynnością o charakterze czysto osobistą lub domową;
- chociaż więc RODO jako przesłankę wyłączenia zastosowania wprost wskazuje korzystanie z serwisów społecznościowych — to jednak publikacja na Facebooku wyroku dotyczącego innej osoby pod RODO podlega, zatem PUODO powinien sprawę prowadzić i rozstrzygnąć merytorycznie (wyrok WSA w Warszawie z 23 listopada r., II SA/Wa 895/20);
skarga kasacyjna PUODO:
- z tym wyrokiem nie zgodził się urząd, którego zdaniem charakter domowy lub osobisty polega na „braku formalizacji relacji” w ramach podejmowanych działań;
- wyłączenie to obejmuje zatem podejmowaną przez osobę fizyczną działalność hobbystyczną, filantropijną, społeczną czy artystyczną;
- zaś powszechna dostępność profilu na Fejsbóku nie wyklucza zakwalifikowania przetwarzania danych jako czynności czysto osobistej;
wyrok NSA:
- odnosząc się do zagadnienia NSA przypomniał, iż wyjątek pozwalający pominąć RODO przetwarzaniu danych osobowych o charakterze osobistym lub domowym polega m.in. na prowadzeniu prywatnej książki telefonicznej w sprytfonie, korzystaniu z mediów społecznościowych, prowadzeniu bloga, etc., etc. (por. „Mam małą, prywatną stronę internetową — czy muszę stosować się do RODO?”);
- wyłączenie wynikające z art. 2 ust. 2 lit. c RODO obejmuje jednak tylko przetwarzanie danych niezwiązane z działalnością zawodową lub handlową;
- aczkolwiek reguła ta nie dotyczy administratorów, którzy „udostępniają środki przetwarzania” przeznaczone do korzystania w warunkach czynności osobistych lub domowych (tłumacząc z prawniczego na ludzkie: prywatny spis kontaktów prowadzony na góglowskim koncie jest RODO-neutralny, ale nie dla Gógla);
- analogiczna regulacja w poprzednim stanie prawnym skłoniła Grupę Roboczą art. 29 do przyjęcia stanowiska, iż skorzystanie z wyłączenia jest niemożliwe jeśli dostęp do danych ma szersza grupa osób, niż samodzielnie wybranych przez użytkownika (np. poprzez dodanie ich do kontaktów);
Dopóki środki przetwarzania danych przez osobę fizyczną dostępne są jedynie w granicach tzw. zacisza domowego lub innego prywatnego miejsca (np. auta) osoby przetwarzającej dopóty jest to przetwarzanie w ramach czynności o czysto osobistym i domowym charakterze. Jednakże w sytuacji, gdy z inicjatywy podmiotu przetwarzającego dostęp do tego typu „środka przetwarzania danych” zostanie udzielony szerszemu gronu działanie takie będzie znajdowało się pod ochroną wynikającą z RODO.
- jeśli jednak przetwarzanie rozciąga się na przestrzeń publiczną, czyli poza sferę prywatną przetwarzającego, nie ma ono charakteru czynności o czysto osobistym lub domowym charakterze;
- skoro więc mężczyzna udostępnił wyrok oraz dane osobowe skarżącej na Fejsbóku, a dostęp do tych treści był „otwarty” (nie został ograniczony dla określonej grupy osób), to trudno takie działanie uznać za działalność zbliżoną do hobby, rozwijania pasji i zainteresowań.
Stwierdzając, że publikacja wyroku na Facebooku nie może być traktowana jako czynność o charakterze czysto osobistym, a więc pod RODO podlega, NSA oddalił skargę kasacyjną.
Zamiast komentarza i dla rozwiania wątpliwości: to nie oznacza jeszcze, że doszło do naruszenia RODO — na razie sporną kwestią było tylko to, czy PUODO powinien sprawą się zająć…
…natomiast czy aby naprawdę wrzucając treść na Fejsbóka człek staje się administratorem lub podmiotem udostępniającym środki przetwarzania danych osobowych na potrzeby działalności o charakterze czysto osobistym lub domowym? Myślę, że wątpię: takim medium (środkiem) jest serwis internetowy, ale nie jego użytkownik. Więc myślę, że należało się w uzasadnieniu skupić na kwestii owej „czystości” czynności.