Firmy i organizacje pozarządowe nie muszą powiadamiać indywidualnie każdej osoby, której dane wyciągnęły z publicznie dostępnych rejestrów. Wystarczy ogólna informacja na stronie internetowej.
Niedawna decyzja generalnego inspektora ochrony danych osobowych wreszcie otwiera możliwość ponownego wykorzystania informacji zgromadzonych w publicznych zbiorach. Teoretycznie było to możliwe od dawna, ale problem zaczynał się wraz z przetwarzaniem danych osobowych. A te widnieją w wielu bazach, np. Krajowym Rejestrze Sądowym. Można w nich znaleźć dane osobowe członków zarządów spółek – ich imiona i nazwiska, PESEL, rok urodzenia. Choć są publicznie dostępne i każdy może je sprawdzić, to jednak ponowne ich wykorzystanie oznacza ich przetwarzanie w rozumieniu ustawy o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922). To zaś wiąże się z obowiązkiem poinformowania każdej zainteresowanej osoby.
Na problem ten natknęła się spółka Info Veriti, która na podstawie rejestru KRS zbudowała własną bazę firm, w której za opłatą można np. sprawdzić potencjalnego kontrahenta. GIODO nie kwestionował jej prawa do przetwarzania danych z publicznie dostępnego rejestru. Wydał natomiast decyzję nakazującą poinformowanie o tym każdej osoby, której dane osobowe są przetwarzane. Mówiąc wprost – spółka powinna wysłać list do każdego z członków zarządów spółek, których nazwiska widnieją w KRS. Oznaczałoby to wysłanie informacji do setek tysięcy osób. Firma Info Veriti uznała tę decyzję za niewykonalną. Po pierwsze dlatego, że nie ma adresów tych osób (takie dane nie widnieją w KRS, a przesłanie korespondencji na adres spółki nie gwarantuje dotarcia do adresata), po drugie zaś, wiązałoby się to z tak wysokimi kosztami, że działalność zwyczajnie przestałaby się opłacać.
Precedensowa decyzja
Sprawa trafiła do sądu administracyjnego, który w pierwszej instancji podtrzymał decyzję GIODO. NSA uchylił jednak ten wyrok. Uznał bowiem, że GIODO nie przeanalizował, w jaki sposób spółka miałaby wykonać nałożony na nią obowiązek, czyli poinformować osoby, których dane przetwarza, skoro nie dysponuje ich adresami.
– Zasadne jest pytanie, w jaki sposób administrator danych mógłby te adresy uzyskać – zauważyła w ustnych motywach wyroku sędzia sprawozdawca Janina Antosiewicz (wyrok NSA z 24 stycznia 2013 r., sygn. akt I OSK 1827/11).
Teoretycznie spółka mogłaby zwrócić się do biura meldunkowego, powołując się na uzasadniony interes. Prowadziłoby to jednak do paradoksalnej sytuacji – aby poinformować osoby o przetwarzaniu ich danych, firma musiałaby uzyskać dużo bardziej szczegółowe i prywatne informacje na ich temat.
– W 2014 i 2015 r. WSA w Warszawie i ponownie NSA utrzymały w mocy to rozstrzygnięcie. Niedawno zaś GIODO wydał decyzję, w której umożliwił spełnienie obowiązku informacyjnego na stronie internetowej. Jest to jedno z pierwszych rozstrzygnięć GIODO, w którym pozwolono na spełnienie obowiązku informacyjnego nie w sposób bezpośredni, ale poprzez ogólną informację publikowaną na stronie internetowej – mówi dr Jan Byrski, adwokat z kancelarii Traple Konarski Podrecki i Wspólnicy, która reprezentowała spółkę Info Veriti. Innymi słowy spółka nie musi informować każdej osoby, której dane widnieją w KRS, z osobna. Wystarczy, że zamieści stosowny komunikat na swej stronie internetowej.
Decyzja GIODO ma olbrzymie znaczenie nie tylko dla firm zajmujących się ponownym wykorzystaniem informacji sektora publicznego na tak dużą skalę co spółka, której dotyczy. Także dla dużo mniejszych. Chociażby dla kancelarii prawnych, które na podstawie danych KRS sporządzają raporty dla swych kontrahentów, czy agencji nieruchomości gromadzących dane z elektronicznych ksiąg wieczystych. Ich również dotyczy obowiązek informacyjny z ustawy o ochronie danych osobowych.
Podobnie jak organizacji pozarządowych, które wykorzystują dane z publicznych rejestrów, choćby po to, by patrzeć władzy na ręce. Fundacja ePaństwo dzięki danym z KRS zbudowała portal MojePanstwo.pl, który pozwala śledzić powiązania między spółkami, organizacjami czy konkretnymi osobami. Korzystając z jego wyszukiwarki, można np. sprawdzić, w ilu radach nadzorczych spółek Skarbu Państwa występuje dana osoba, czy we władzach jakich stowarzyszeń zasiada. Dodatkowo na stronie internetowej przedstawiana jest w formie graficznej siatka powiązań.
– Jedna z osób, które widnieją w tej bazie, zbudowanej – co podkreślam – na podstawie publicznie dostępnych danych, złożyła zawiadomienie do GIODO. Postępowanie wciąż trwa, ale mamy nadzieję, że decyzja będzie podobna jak w sprawie Info Veriti – mówi Krzysztof Izdebski, dyrektor programowy Fundacji ePaństwo.
– Jako prawnik zdaję sobie sprawę, że przepisy nakazują powiadamianie osób, których dane są przetwarzane. Uważam jednak, że są one całkowicie oderwane od rzeczywistości. Skoro i tak pewne dane osobowe widnieją w publicznie dostępnych rejestrach, to nie widzę powodu, by na nas nakładać dodatkowe, nieproporcjonalne obowiązki – dodaje. Zwraca również uwagę, że fundacja nie udostępnia numerów PESEL, choć i one widnieją w KRS.
Trzeba zmienić prawo
Zapytaliśmy GIODO, czy inne podmioty przetwarzające publicznie dostępne dane mogą liczyć na podobne decyzje co w sprawie Info Veriti. Niestety wczoraj nie udało nam się uzyskać odpowiedzi. Nawet jednak gdyby najnowsza decyzja GIODO stała się oficjalną wykładnią, to i tak prawnicy dostrzegają potrzebę zmiany przepisów, by sprawa była jednoznaczna.
– Postulowałbym uregulowanie tej kwestii wprost w ustawie, by uniknąć podobnych problemów interpretacyjnych. Podobnie jak to jest w art. 39b ustawy o swobodzie działalności gospodarczej dotyczącym danych z CEIDG, tak i przetwarzanie innych danych dostępnych w publicznych rejestrach powinno zostać wyłączone spod większości obowiązków wynikających z ustawy o ochronie danych osobowych – przekonuje dr Jan Byrski.
Wspomniana przez niego ustawa o swobodzie działalności gospodarczej (t.j. Dz.U. z 2015 r. poz. 584 ze zm.) wyłącza stosowanie większości przepisów o ochronie danych osobowych (w tym obowiązek informacyjny) przy korzystaniu z danych CEIDG.
– Choć najnowsza interpretacja przepisów GIODO jest oczywiście korzystna dla podmiotów ponownie wykorzystujących informacje sektora publicznego, to jest to tylko jedna decyzja. Wykładania zawsze może ulec zmianie, dlatego lepiej by było, gdyby to wprost uregulował ustawodawca – uważa Krzysztof Izdebski.