Publikacja danych na Facebooku podlega pod RODO

Początkiem tej sprawy był spór rodzinny, który zakończył się w sądzie wyrokiem. Jego uczestnik opublikował orzeczenie na Facebooku oraz wystawił wydruk na widok publiczny, umieszczając go za szybą swojego samochodu. Oburzyło to kobietę, której imię i nazwisko zostały wskazane w tym wyroku. Wniosła ona skargę na jej zdaniem niezgodne z RODO przetwarzanie danych osobowych. Prezes UODO umorzył jednak postępowanie, dochodząc do wniosku, że przepisy RODO nie obejmują tego przypadku. Powołał się na art. 2 ust. 2 lit. c unijnego rozporządzenia, zgodnie z którym przepisy tego rozporządzenia nie mają zastosowania do „przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze, czyli niezwiązanym z działalnością zawodową lub handlową”.

Kobieta zaskarżyła decyzję do sądu administracyjnego, a ten przyznał jej rację. Jego zdaniem „działalność osobista i domowa może polegać m.in. na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej”. Jeśli jednak w ramach tej działalności osoba fizyczna udostępnia środki przetwarzania danych osobowych nieograniczonej publiczności, to obejmują ją przepisy RODO (wyrok WSA w Warszawie z 23 listopada 2020 r., sygn. akt II SA/Wa 895/20). Zdaniem sądu publikacja danych na Facebooku oznaczała właśnie takie udostępnienie środków przetwarzania danych osobowych.

Wyjaśnienia w preambule

W skardze kasacyjnej prezes UODO przekonywał, że sama publikacja danych osobowych w serwisie społecznościowym nie wyklucza przetwarzania w celach osobistych. Jego zdaniem o wykroczeniu poza ten zakres można byłoby mówić tylko wtedy, gdyby upublicznienie danych wiązało się z działalnością zawodową lub handlową.

Naczelny Sąd Administracyjny nie podzielił tej argumentacji. Jego zdaniem nie uwzględnia ona motywu 18 preambuły RODO. Zgodnie z nim rozporządzenie nie ma zastosowania „do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową. Działalność osobista lub domowa może m.in. polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności. Niniejsze rozporządzenie ma jednak zastosowanie do administratorów lub podmiotów przetwarzających, którzy udostępniają środki przetwarzania danych osobowych na potrzeby takiej działalności osobistej lub domowej”. Skład orzekający uznał, że prezes UODO wziął pod uwagę jedynie pierwsze dwa zdania tego motywu, pomijając zdanie trzecie. A ono właśnie odnosi się do upubliczniania danych osobowych w internecie. Przez „środki przetwarzania danych osobowych” NSA rozumie miejsce, czy też nośnik, na którym dane się znajdują. Mogą to być prywatne notatki, kalendarze czy urządzenia elektroniczne takie jak komputery lub smartfony.

„Dopóki środki te (…) dostępne są jedynie w granicach tzw. zacisza domowego lub innego prywatnego miejsca (np. auta) osoby przetwarzającej, dopóty jest to przetwarzanie w ramach czynności o czysto osobistym i domowym charakterze. Jednakże w sytuacji, gdy z inicjatywy podmiotu przetwarzającego dostęp do tego typu <<środka przetwarzania danych>> zostanie udzielony szerszemu gronu, działanie takie będzie się znajdowało pod ochroną wynikającą z RODO. Wskazuje na to wyraźnie zdanie trzecie motywu 18 wyjaśniającego treść art. 2 ust. 2 lit. c RODO” – uzasadnił swe rozstrzygnięcie NSA (wyrok NSA z 16 października 2024 r., sygn. akt III OSK 4984/21).

Zamknięte grono

W uzasadnieniu wyroku zaznaczono, że sytuacja jest inna, jeśli dane zostaną udostępnione zamkniętemu gronu znajomych. Jeśli więc profil w portalu społecznościowym jest zamknięty i wiadomości na nim publikowane docierają do wyselekcjonowanego przez użytkownika grona odbiorców, to wciąż można powołać się na wyłączenie dotyczące działalności osobistej. Oczywiście tylko wtedy, gdy nie ma ona zawodowego czy handlowego charakteru.

„Innymi słowy w przypadku, gdy przetwarzanie rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowane poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, nie powinno ono być rozumiane, jako czynność o <<czysto osobistym lub domowym charakterze>>” – podsumował swój wywód NSA. ©℗

W zgodzie z orzecznictwem TSUE

Wyrok NSA wpisuje się w rozumienie tzw. celu osobistego lub domowego, które konsekwentnie od lat prezentuje Trybunał Sprawiedliwości Unii Europejskiej. Począwszy bowiem od wyroku w sprawie Lindqvist (C-101/01), a kończąc na orzeczeniu w sprawie Sergejs Buivids (C-345/17), trybunał przyjmuje, że granicą wyłączenia przetwarzania danych spod przepisów RODO na podstawie art. 2 ust. 2 lit. c jest ujawnianie (rozpowszechnianie) danych. Zwłaszcza w wyroku w sprawie Buivids TSUE wyraźnie wskazał, że zakresem stosowania RODO pierwotnie nie jest objęte nagranie policjantów wykonujących czynności urzędowe, ale przez opublikowanie tego nagrania w internecie cała czynność przetwarzania danych osobowych przestaje mieścić się w celu osobistym lub domowym, a więc zaczyna podlegać RODO. Podobnie jest więc w sprawie, w której zapadł wyrok: przetwarzanie danych osobowych zawartych w wyroku mieściło się w celu osobistym lub domowym do chwili, w której nastąpiło rozpowszechnienie danych; od tego momentu przestało, a więc stało się objęte przepisami RODO. ©℗