Współpracownicy SB mogą się powołać na RODO

To już przynajmniej trzecie orzeczenie, w którym Naczelny Sąd Administracyjny uznał, że prezes Urzędu Ochrony Danych Osobowych nie ma prawa odmówić wszczęcia postępowania dotyczącego skargi na bezprawne przetwarzanie danych osobowych przez Instytut Pamięci Narodowej. Prezes UODO dotychczas konsekwentnie stał na stanowisku, że nie może badać takich skarg, gdyż działalność IPN nie podlega pod RODO. Zapytaliśmy, czy po objęciu tego stanowiska przez Mirosława Wróblewskiego taka wykładnia przepisów będzie kontynuowana. Z odpowiedzi wynika, że trudno o ogólną odpowiedź, gdyż każda sprawa ma indywidualny charakter. Pewną zmianę w podejściu już jednak widać, gdyż jak poinformował DGP Karol Witowski, p.o. rzecznik prasowy UODO, w przypadku kilku ostatnich skarg przeciwko IPN prowadzone są już postępowania administracyjne.

Prawo UE nie ma zastosowania

Najnowszy wyrok NSA, którego uzasadnienie niedawno opublikowano, dotyczy skargi na odmowę wszczęcia postępowania w sprawie żądania usunięcia z internetu danych osoby uznanej przez IPN za współpracownika Służby Bezpieczeństwa. Skarżący przekonywał, że choć funkcjonariusze podejmowali próby nakłonienia go do współpracy, to nigdy na nią nie przystał, a „wszelkie kontakty traktował jako realizację ciążących na nim obowiązków obywatelskich” i „konieczność stosowania się do poleceń organów, których zignorowanie mogłoby spowodować niebezpieczne konsekwencje w odniesieniu do skarżącego i jego bliskich”. IPN odmówił, uznając, że do danych osobowych zawartych w inwentarzu archiwalnym nie ma zastosowania RODO. Takie samo stanowisko zaprezentował prezes UODO, a także Wojewódzki Sąd Administracyjny w Warszawie, który oddalił skargę na odmowę wszczęcia postępowania (wyrok z 8 lipca 2022 r., sygn. akt II SA/Wa 4049/21).

Argumentacja wszystkich organów była taka sama – RODO nie ma zastosowania do przetwarzania danych przez IPN. Zgodnie z art. 2 ust. 2 lit. a unijnego rozporządzenia nie stosuje się do działalności nieobjętej prawem UE (patrz: infografika). IPN działa wyłącznie na podstawie polskich przepisów. Owszem przepisy krajowe mogą rozszerzyć zakres stosowania RODO, ale w ustawie o IPN (t.j. Dz.U. z 2023 r. poz. 102 ze zm.) zdecydowano się na to tylko w przypadku bazy materiału genetycznego (art. 71 ustawy).

„Przepis ten stanowi (…) jedyny wyjątek umożliwiający zastosowanie przepisów RODO do działalności IPN” – podsumowano w uzasadnieniu wyroku I instancji.

Bez prawa weryfikacji?

NSA uchylił to orzeczenie i po raz kolejny uznał, że przetwarzanie danych przez IPN nie jest wyłączone spod RODO. Składu orzekającego nie przekonała argumentacja, że art. 71 ustawy o IPN mówi o zastosowaniu RODO tylko w przypadku materiału genetycznego. W przepisie tym nie użyto bowiem słów: „wyłącznie”, „jedynie”, „tylko” itp., a to, zdaniem NSA, oznacza, że nie można rozszerzać wykładni wbrew literalnemu brzmieniu przepisu.

Kluczowa wydaje się natomiast dalsza argumentacja.

„Zastosowane przez prezesa UODO i sąd I instancji wnioskowanie oznaczałoby, że dane znajdujące się w rejestrach IPN pozostają poza jakąkolwiek kontrolą organów powołanych do przetwarzania i ochrony danych osobowych, nawet jeżeli nie odpowiadają rzeczywistości. W rezultacie w odniesieniu do danych niepełnych lub nieprawdziwych brak byłoby jakiegokolwiek trybu ich weryfikacji” – podkreślił NSA, odwołując się do art. 51 ust. 4 konstytucji (patrz: infografika).

– Kierunkowo zgadzam się z taką wykładnią. Uważam, że gwarantowane Kartą praw podstawowych prawo do ochrony danych osobowych wymaga ochrony, i nie może być tak, że ogromne zbiory danych IPN są tej ochrony pozbawione – przyznaje dr Paweł Litwiński, adwokat i partner w kancelarii Barta Litwiński.

– Natomiast w polskim porządku prawnym trzeba powiedzieć wprost, że nie jest rolą sądów, żeby rozszerzać zakres stosowania RODO – powinien to zrobić polski ustawodawca, który jednak tego problemu zdaje się nie dostrzegać – zaznacza prawnik. Jego zdaniem nie można mieć wątpliwości, że granicą stosowania RODO jest granica kompetencji UE.

– RODO stosujemy tylko tam, gdzie Unia ma kompetencje do stanowienia prawa. IPN to kwestia par excellence narodowa, nie unijna, więc na pierwszy rzut oka sprawa wydaje się jasna: przetwarzanie danych osobowych przez IPN nie jest objęte prawem UE – komentuje dr Paweł Litwiński.

Jan Komosa, adwokat prowadzący kancelarię pod własnym nazwiskiem, również uważa, że w obecnym stanie prawnym przetwarzanie danych przez IPN nie podlega pod RODO.

– Nie doszukałem się w wyroku wskazania, jaki to zakres prawa Unii obejmuje działalność IPN. Nie sposób też zgodzić się z argumentacją, że w rezultacie w odniesieniu do danych niepełnych lub nieprawdziwych brak byłoby jakiegokolwiek trybu ich weryfikacji, gdyż nie znajdowałyby się pod kontrolą organu ds. ochrony danych osobowych – mówi prawnik.

– Poza RODO, co zresztą zauważyli sami sędziowie, kwestie prawa do prywatności i przetwarzania danych osobowych reguluje konstytucja. Zgodnie z jej art. 51 każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą. Tym samym brak stosowania RODO nie pozbawia osoby ochrony jej danych osobowych. Brak kontroli ze strony organu nadzoru nie pozbawia możliwości skorzystania z drogi sądowej – uważa ekspert.

Najnowsze orzeczenie jest jednak zbieżne z wcześniejszymi wyrokami NSA, dlatego można się spodziewać kontynuacji tej linii orzeczniczej. Podobną argumentację NSA przedstawił w wyroku z 25 sierpnia 2020 r. (sygn. akt I OSK 3325/19) oraz z 17 kwietnia 2024 r. (III OSK 4173/21).©℗

orzecznictwo