Naczelny Sąd Administracyjny (NSA) wydał w ostatnim czasie bardzo ciekawy wyrok dotyczący zakresu zastosowania przepisów RODO, a bardziej precyzyjnie, wyłączenia ich stosowania w zakresie przetwarzania danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. NSA – oddalając skargę kasacyjną Prezesa Urzędu Ochrony Danych Osobowych (UODO) – dołożył cegiełkę do lepszego zrozumienia zastosowania – określonego w RODO – wyjątku dotyczącego „czysto osobistego lub domowego” charakteru przetwarzania. Sprawa jest o tyle ciekawa, że dotyczyła opublikowania danych osobowych w mediach społecznościowych (Facebook), z których na co dzień korzysta ogromna ilość użytkowników.
Publikacja danych na Facebooku
Cała sprawa została zainicjowana skargą osoby fizycznej złożoną do organu nadzorczego. Skarżąca wskazała w skardze, że określona osoba opublikowała na portalu Facebook wyrok sądu rejonowego, w którym znajdowały się jej dane osobowe. Dodatkowo, osoba ta miała umieścić przedmiotowy wyrok za szybą swojego samochodu i pozostawić go tam na okres ponad tygodnia. Prezes UODO nie dopatrzył się jednak naruszenia przepisów RODO, gdyż w jego ocenie nie znalazły one w tym przypadku zastosowania.
Organ nadzorczy umarza postępowanie
W styczniu 2020 r. Prezes UODO umorzył postępowanie w tej sprawie, uznając je za bezprzedmiotowe. W ocenie regulatora, w przedmiotowej sprawie zaistniała przesłanka wyłączająca zastosowanie przepisów RODO, tj. zdaniem Prezesa UODO, przetwarzanie danych osobowych przez zaskarżoną osobę odbywało się w ramach czynności o czysto osobistym charakterze i jako takie nie podlegało reżimowi prawnemu wynikającemu z RODO. Prezes UODO wskazał, że o osobistym charakterze przetwarzania danych świadczył w tym przypadku m.in. fakt, że skarżący i osoba, która opublikowała dane na Facebooku byli połączeni więzami rodzinnymi. Dodatkowo, w ocenie organu nadzorczego argumentem potwierdzającym rozstrzygnięcie w tej sprawie było to, że przetwarzanie danych osobowych w tym przypadku nie było powiązane z celami handlowymi lub zawodowymi. Jak nietrudno się domyślić, skarżąca nie zgodziła się z rozstrzygnięciem organu nadzorczego i wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie (WSA).
Pieniądze albo dane! – czyli płatności na Facebooku- posłuchaj #RODOłamacza
WSA nie zgadza się z organem nadzorczym
WSA w swoim wyroku nie zgodził się ze stanowiskiem organu nadzorczego. W ocenie sądu, Prezes UODO błędnie uznał, że przetwarzanie miało w tym przypadku osobisty charakter i jako takie nie podlegało pod przepisy RODO. WSA – opierając swoją argumentację m.in. na rozstrzygnięciach Trybunału Sprawiedliwości Unii Europejskiej (TSUE) – orzekł, że nie można mówić o osobistym lub domowym charakterze czynności, jeśli w związku z nią dane osobowe ujawnia się potencjalnie nieograniczonej ilości osób, które potem mogą dalej przetwarzać te dane osobowe. WSA podkreślił, że po opublikowaniu treści wyroku na portalu społecznościowym Facebook, dane osobowe, które się w nim znajdowały stały się – przynajmniej w założeniu – dostępne dla każdego użytkownika sieci Internet. Zdaniem WSA, taki proces przetwarzania danych osobowych wykracza poza ramy osobistego charakteru czynności, a więc podlega przepisom RODO.
NSA podtrzymuje wyrok WSA
W związku ze skargą kasacyjną organu nadzorczego, sprawa trafiła przed oblicze NSA. Sąd oddalił skargę kasacyjną, utrzymując tym samym w mocy wyrok WSA. NSA wskazał w swoim wyroku, że co do zasady aktywność na portalach społecznościowych, w tym na portalu Facebook, mieści w zakresie czynności o czysto osobistym charakterze, o ile dostęp do udostępnianych treści, w tym danych, mają wyłącznie osoby wybrane osobiście przez udostępniającego. W przypadku jednak, gdy udostępnione treści dostępne są – choćby częściowo – w przestrzeni publicznej (jak miało to miejsce w tej sprawie), a co za tym idzie wykraczają poza sferę prywatną określonej osoby, nie można traktować takiego działania, jako przetwarzania danych osobowych w ramach czynności o czysto osobistym lub domowym charakterze. NSA zauważył, że analogiczne stanowisko przedstawił TSUE w wyroku z 11 grudnia 2014 r. (sprawa C-212/13, František Ryneš przeciwko Úřad pro ochranu osobních údajů). Na wyrok ten powoływał się również sąd niższej instancji.
Źródło: