- Tak jak w sztuce Moliera pan Jourdain przez cały czas mówił prozą, choć o tym nie wiedział, tak wszyscy jesteśmy administratorami danych osobowych, tyle że nie wszyscy zdawaliśmy sobie dotąd z tego sprawę - zauważa dr Paweł Litwiński, adwokat, partner w kancelarii Barta Litwiński i członek Społecznego Zespołu Ekspertów przy prezesie Urzędu Ochrony Danych Osobowych.
Niedawno opublikowano uzasadnienie październikowego wyroku Naczelnego Sądu Administracyjnego (sygn. akt III OSK 4984/21), z którego wynika ni mniej, ni więcej, że jeśli osoba prywatna opublikuje jakiekolwiek dane osobowe w internecie, to staje się ich administratorem i powinna wypełnić wszystkie obowiązki wynikające z RODO. I nie ma znaczenia to, że robi to całkowicie prywatnie, np. wrzucając zdjęcie z jarmarku bożonarodzeniowego, na którym można rozpoznać przypadkowe osoby. Podejrzewam, że mało kto zdaje sobie z tego sprawę.

Rzeczywiście u wielu osób może to budzić zdziwienie, choć jest prostą konsekwencją ukształtowanego już przez lata orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej w tym zakresie. Myślę, że dużo nieporozumień bierze się stąd, że jakoś tradycyjnie przetwarzanie danych jest wiązane z celem zarobkowym czy gospodarczym. Tyle że to nie wynika z RODO. Jego art. 2 nie wiąże przetwarzania z działalnością gospodarczą ani celami zarobkowymi.

W praktyce, jeśli napiszę na Facebooku, że spotkałem w sklepie dr. Pawła Litwińskiego, staję się administratorem danych osobowych – takim samym jak duża firma przetwarzająca tysiące danych w celach gospodarczych. Z wszystkimi tego konsekwencjami.

Tak, rzeczywiście staje się pan wówczas administratorem i obejmuje pana zakres stosowania RODO. Tyle że ja bym tego nie demonizował. To, że podlegamy RODO, nie oznacza, że taki wpis w jakikolwiek sposób narusza prawo. Nie musi pan uzyskiwać mojej zgody na opublikowanie moich danych, bo może się pan powołać na uzasadniony interes, którym w tym momencie jest chęć podzielenia się z innymi informacją, o tym, że mnie pan spotkał. Nie musi pan również spełniać wobec mnie obowiązku informacyjnego, bo znamy się od lat i obserwujemy razem na wspomnianym Facebooku. Może pan też domniemywać, że dane są wystarczająco zabezpieczone, jest również podstawa prawna do ich transferu do USA. Dochodzimy więc do wniosku, że z samego faktu podlegania RODO dla takich czynności nic nie wynika.

Załóżmy, że rzeczywiście nie muszę spełnić obowiązku informacyjnego dlatego, że się znamy i obserwujemy na Facebooku. A co jeśli opublikuję dane zupełnie przypadkowych osób, choćby na wspomnianym zdjęciu z jarmarku?

Może pan to zrobić, o ile te osoby są elementem tła, do czego wprost uprawnia pana prawo autorskie. RODO tu niczego nie zmienia.

Czym innym są jednak prawo do wizerunku i przepisy, które pozwalają mi na publikację czyjegoś wizerunku, gdy stanowi on tło planu, a czym innym obowiązki wynikające z RODO. Choćby obowiązki informacyjne. Patrząc formalistycznie, powinienem przed publikacją w jakiś sposób poinformować osoby, których dane, czyli w tym przypadku wizerunek, przetwarzam.

Jeśli obowiązek jest niespełnialny, to nie trzeba go realizować, co potwierdzają decyzje prezesa Urzędu Ochrony Danych Osobowych (np. decyzja ZSPU.440.574.2018, zgodnie z którą, jeżeli administrator danych nie ma danych kontaktowych umożliwiających przekazanie wymaganych informacji, wówczas nie można zasadnie oczekiwać od niego pozyskania nowych danych wyłącznie dla celu spełnienia obowiązku z art. 14 RODO). Jeśli nie ma pan danych kontaktowych osób, których dane, czyli wspomniany wizerunek, pan przetwarza, to nie musi ich pan informować. Czyli publikacja zdjęć nie wiąże się z żadnymi dodatkowymi obowiązkami.

Kar za RODO rekordowo dużo, ale ich wysokość najniższa w historii
Kar za RODO rekordowo dużo, ale ich wysokość najniższa w historii

Zobacz również
Z pewnymi obowiązkami jednak bez wątpienia się wiąże. Osoba z tego zdjęcia może zażądać ode mnie usunięcia swoich danych.

Tak, jeśli ktoś taki się pojawi, to rzeczywiście musi pan przeanalizować, czy są podstawy do tego żądania. Z tym że i przed RODO mogło się tak zdarzyć, jeśli ktoś uznałby, że zdjęcie narusza jego dobra osobiste.

W przypadku sprzeciwu osoby, której dane przetwarzamy, musimy ocenić, czyj interes jest przeważający. Pana, żeby zdjęcie opublikować, czy osoby, która na nim widnieje i chce chronić swoją prywatność. Przyznaję, że nie jest to łatwe i zależy od konkretnych okoliczności. Powiedzmy, że na zdjęciu zostanie uwieczniona osoba znajdująca się w stanie wskazującym na spożycie alkoholu. Jeśli będzie to osoba publiczna, np. polityk, to pewnie będzie można bronić publikacji, powołując się na interes społeczny. Jeśli będzie to przypadkowa, nikomu nieznana osoba, to pewnie jej interes ochrony prywatności będzie przeważający.

Czy nie będzie to oznaczało wysypu skarg do prezesa UODO?

Może jestem naiwny, ale wydaje mi się, że nie. Moim zdaniem przepisy RODO będą używane głównie w przypadku konfliktów, czy to sąsiedzkich, czy rodzinnych, gdy ktoś opublikuje czyjeś dane na złość komuś innemu. Lawiny spraw przed UODO w każdym razie bym się nie spodziewał.

Studzi pan emocje, mówiąc, że dla większości z nas wyrok NSA niczego nie zmieni. Jednak ostatecznie oznacza on, że prawie wszyscy jesteśmy administratorami danych.

Tak jak w sztuce Moliera pan Jourdain przez cały czas mówił prozą, choć o tym nie wiedział, tak wszyscy jesteśmy administratorami danych osobowych, tyle że nie wszyscy zdawaliśmy sobie dotąd z tego sprawę. Tylko dlaczego wszyscy jeszcze nie dostaliśmy kar za naruszenie RODO? Właśnie dlatego, że przypadki naruszenia RODO czy nawet konieczności realizacji obowiązków wynikających z rozporządzenia są bardzo sporadyczne.

W uzasadnieniu wyroku NSA wskazano jednak pewien wyjątek, w którym wciąż możemy się powołać na przetwarzanie do celów domowych czy osobistych. Chodzi o publikowanie danych w zamkniętych grupach w internecie.

Administratorem zostajemy, gdy upubliczniamy dane nieograniczonemu kręgowi odbiorców. Jeśli jest to wyselekcjonowana grupa, np. znajomych, to RODO nie będzie miało zastosowania. Przy czym oczywiście określenie granicy może być problematyczne. Publikacja w nawet stosunkowo dużej grupie, ale jednak znajomych, może się wciąż mieścić w wyłączeniu, ale już publikacja w grupie zrzeszającej np. 30 proc. adwokatów w Polsce będzie wykraczać poza nie. ©℗

Rozmawiał Sławomir Wikariak