Czwartkowy wyrok Naczelnego Sądu Administracyjnego bezpośrednio dotyczy firm, które zbierają publicznie dostępne dane o spółkach po to, by później komercyjnie udostępniać je w postaci elektronicznych baz. Pośrednio jednak sprawa dotyczy dziesiątek tysięcy firm, które korzystają z tych samych informacji na mniejszą skalę.
Kancelarie prawne na podstawie danych KRS sporządzają raporty dla swych kontrahentów, agencje nieruchomości gromadzą dane z elektronicznych ksiąg wieczystych itp.
W czym problem, skoro każdy może sprawdzić te same informacje, gdyż są publicznie dostępne? W tym, że zawierają one również dane osobowe. W KRS widnieje nie tylko nazwa spółki, ale także nazwiska i imiona członków zarządu, ich rok urodzenia, PESEL. Generalny inspektor ochrony danych osobowych nie kwestionuje prawa do przetwarzania danych tych osób.
– Uważam jednak, że muszą one zostać o tym poinformowane. Tylko wtedy będą mogły skorzystać z przysługujących im praw, np. sprawdzenia, czy ich dane są poprawne – wyjaśnia dr Wojciech Wiewiórowski, tłumacząc wydaną przez siebie decyzję nakazującą spełnienie obowiązków informacyjnych przez spółkę Info Veriti, która umożliwia odpłatnie sprawdzanie informacji o przedsiębiorcach. Na swej stronie chwali się posiadaniem informacji o ponad 500 mln firm z całego świata.
Spółka zaskarżyła decyzję do sądu administracyjnego. Jej zdaniem jest ona bowiem niewykonalna. Po pierwsze dlatego, że firma nie ma adresów tych osób, po drugie zaś gdyby chciała je uzyskać, wiązałoby się to z tak wysokimi kosztami, że jej działalność przestałaby się opłacać.
W pierwszej instancji zapadł wyrok niekorzystny dla spółki. W czwartek został jednak uchylony przez Naczelny Sąd Administracyjny. Uznał on, że GIODO nie ustalił prawidłowo stanu faktycznego i nie odniósł się do wszystkich okoliczności mających znaczenie dla wydanej przez niego decyzji. Przede wszystkim nie przeanalizował, w jaki sposób spółka miałaby wykonać nałożony na nią obowiązek, czyli poinformować osoby, których dane przetwarza, skoro nie dysponuje ich adresami.
– Zasadne jest pytanie, w jaki sposób administrator danych mógłby te adresy uzyskać – zauważyła w ustnych motywach wyroku sędzia sprawozdawca Janina Antosiewicz.
Teoretycznie spółka mogłaby zwrócić się do biura meldunkowego, powołując się na uzasadniony interes. Prowadziłoby to jednak do paradoksalnej sytuacji – aby poinformować osoby o przetwarzaniu ich danych, firma musiałaby uzyskać dużo bardziej szczegółowe i prywatne informacje na ich temat.
– Organ nie rozważył, czy wypełnienie obowiązku informacyjnego nie naruszy praw i wolności osób, których dane dotyczą – podkreśliła sędzia.
Zauważyła, że ustawodawca celowo ograniczył dane ujawniane w KRS do informacji związanych bezpośrednio z obrotem gospodarczym i dlatego w bazie tej nie widnieją adresy.
– Dane dotyczące działalności gospodarczej nie mogą naruszać sfery prywatnej – mówiła sędzia Janina Antosiewicz.
W swej skardze spółka przekonywała, że chociaż świadczy usługi komercyjnie, to jednak udostępniane przez nią informacje służą temu samemu celowi, co baza KRS.
– Dane na temat spółek, chociaż zbierane przez prywatną firmę, są oferowane dokładnie w celu zapewnienia pewności obrotu gospodarczego – argumentował na rozprawie dr Xawery Konarski, radca prawny reprezentujący Info Veriti.
NSA nie uwzględnił tego zarzutu.
– Cel bez wątpienia jest inny. Spółka przetwarza te dane w celu prowadzenia swej działalności gospodarczej – uzasadniła sędzia sprawozdawca.
Pozostałe zarzuty odnoszące się do prawa materialnego sąd uznał za przedwczesne. Najpierw należy naprawić błędy proceduralne.
– W swym wyroku sąd zwrócił uwagę na to, że obowiązki nakładane przez organ nie mogą być nadmiernie uciążliwe dla spółki. Cel powinien być osiągany możliwie najmniej dotkliwymi środkami. Uważam to za bardzo istotną wskazówkę – komentował po wyjściu z sali rozpraw dr Xawery Konarski.
Wyrok NSA z 24 stycznia 2013 r., sygn. akt I OSK 1827/11.