Serwis społecznościowy nie odpowiada za przechowywane dane?

2008-06-19 Skomentuj

Już jakiś czas temu miała miejsce pewna sprawa, która szerokim echem odbiła się w Internecie i wywołała wiele dyskusji. Nietrudno pewnie Wam zgadnąć, iż chodzi o serwis Nasza-Klasa oraz skargę pewnego mężczyzny, którego wizerunek został bez jego zgody umieszczony przez jednego z użytkowników w tym serwisie. Przez wiele miesięcy bezskutecznie próbował on usunąć informację dotyczącą jego osoby. W końcu sprawę rozstrzygnął Generalny Inspektor Ochrony Danych Osobowych wydając decyzję (decyzja z dnia 27 maja 2008 r. nr DOLiS/DEC-314/08/13239), w której nie przychylił się do wniosku skarżącego uznając że Nasza-Klasa przetwarza dane w sposób legalny. Zamieszczona poniżej treść decyzji wywołała bardzo wiele kontrowersji i uwag krytycznych.

 

Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwana dalej ustawą, określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). W rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (art. 6 ust. 1 ustawy). Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (art. 6 ust. 2).

 

Wobec okoliczności niniejszej sprawy wskazać należy, iż informacje o imieniu i nazwisku Skarżącego oraz informacje o szkole i klasie, do której uczęszczał w połączeniu z jego wizerunkiem umożliwiają identyfikację Skarżącego, a tym samym są danymi osobowymi, o których mowa w art. 6 ust. 1 ustawy. Ponadto administratorem danych osobowych Skarżącego w rozumieniu art. 7 pkt 4 ustawy jest Nasza ? Klasa Sp. z o.o. Stosownie bowiem do treści tego przepisu, przez administratora danych osobowych rozumie się organ, jednostkę organizacyjną podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych.

 

W świetle przepisów powołanego aktu prawnego, podstawowym obowiązkiem każdego administratora jest przetwarzanie danych osobowych z zachowaniem przesłanek enumeratywnie wymienionych w art. 23 ust. 1 ustawy. Obok i niezależnie od zgody osoby, której dane dotyczą (art. 23 ust. 1 pkt 1 ustawy), przetwarzanie danych osobowych jest dopuszczalne m.in. wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (art. 23 ust. 1 pkt 5 ustawy).

 

Odnosząc przytoczone powyżej przepisy do okoliczności niniejszej sprawy, podkreślić należy, że przesłanką legalizującą przetwarzanie danych osobowych Skarżącego przez Nasza ? Klasa Sp. z o.o. jest prawnie usprawiedliwiony cel realizowany przez administratora danych, o którym mowa w art. 23 ust. 1 pkt 5 ustawy. Cel ten wynika z tego, że ww. podmiot, na podstawie przepisów ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. Nr 144, poz. 1204 z późn. zm.), świadczy na rzecz zarejestrowanych użytkowników portalu www.nasza-klasa.pl usługę drogą elektroniczną, która polega na przechowywaniu danych na rzecz zarejestrowanych użytkowników w systemie teleinformatycznym. Umieszczenie przez zarejestrowanego użytkownika imienia i nazwiska Skarżącego w bazie danych portalu nasza klasa.pl powoduje, że ww. podmiot jest zobowiązany do przechowywania tych danych, aby prawidłowo świadczyć ww. usługę. Ponadto w niniejszej sprawie nie zostały naruszone prawa i wolności Skarżącego, gdyż dostęp do jego danych osobowych jest ograniczony do grupy zarejestrowanych użytkowników portalu.

 

Podkreślenia wymaga także, że ustawa o świadczeniu usług drogą elektroniczną wyłącza w art. 14 ust. 1 odpowiedzialność usługodawcy za przechowywane dane. Stosownie do jego treści, nie ponosi odpowiedzialności za przechowywane dane ten, kto udostępniając zasoby systemu teleinformatycznego w celu przechowywania danych przez usługobiorcę nie wie o bezprawnym charakterze danych lub związanej z nimi działalności, a w razie otrzymania urzędowego zawiadomienia lub uzyskania wiarygodnej wiadomości o bezprawnym charakterze danych łub związanej z nimi działalności niezwłocznie uniemożliwi dostęp do tych danych. Z przytoczonego powyżej przepisu wynika, że Nasza ? Klasa Sp. z o.o. nie odpowiada za przechowywane dane w ramach portalu nasza-klasa.pl, gdy nie wie o bezprawnym ich charakterze, a w razie otrzymania urzędowego zawiadomienia lub uzyskania wiarygodnej wiadomości o bezprawnym charakterze danych uniemożliwi dostęp do tych danych. Mając na uwadze powyższe, należy wskazać, że pomiędzy stronami niniejszego postępowania istnieje spór, co do uznania informacji przekazanych przez Skarżącego za ?wiarygodną wiadomość o bezprawnym charakterze danych?. Natomiast Generalny Inspektor Ochrony Danych Osobowych jako organ do spraw ochrony danych osobowych, którego zadania zostały określone w art. 12 ustawy, dokonuje wyłącznie oceny legalności przetwarzania danych osobowych, nie posiada natomiast uprawnień do rozstrzygania ww. kwestii.

 

Mając na uwadze powyższe należy wskazać, że w niniejszej sprawie nie ma podstaw do zakwestionowania, w świetle przepisów ustawy o ochronie danych osobowych, legalności przetwarzania danych osobowych Skarżącego przez Nasza ? Klasa Sp. z o.o., a tym samym brak jest podstaw do wydania decyzji nakazującej usunięcie imienia i nazwiska Skarżącego zamieszczonych na forum portalu nasza-klasa.pl.

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Co wynika z tej decyzji? Przede wszystkim fakt, że stosowanie przepisów dotyczących ochrony danych osobowych na gruncie Internetu nastręcza masę problemów. Po drugie, decyzja GIODO jest co najmniej wątpliwa i niespójna w swym uzasadnieniu, ciekawi mnie zatem jak zostanie rozpatrzona ponownie przez te organ (skarżący skierował “odwołanie” do GIODO, które zostanie rozpoznane jeśli zostały spełnione warunki formalne, a GIODO uzna je za wniosek o ponowne rozpatrzenie sprawy – art. 21 ust. 1 ustawy o ochronie danych osobowych).

Jak trafnie zwrócili na to uwagę Grzegorz Sibiga i Xawery Konarski w artykule “Wizerunek w Internecie bez pełnej ochrony” (Rzeczpospolita z 10 czerwca 2008 r.) GIODO w swojej decyzji zawarł 3 jakże istotne stanowiska. Po pierwsze określił, że Nasza-Klasa jest administratorem danych umieszczanych przez użytkowników. Po drugie, zamieszczanie danych przez inne osoby niż podmiot nie narusza jego praw i wolności skoro dostępne są one tylko dla użytkowników serwisu, a tym samym skarżący nie ma prawnej możliwości żądania usunięcia tych danych. Po trzecie wreszcie, GIODO uznał iż ma zastosowanie do Naszej-Klasy art. 14 ustawy o świadczeniu usług drogą elektroniczną, który wyłącza jej odpowiedzialność za treści umieszczane przez użytkowników w serwisie.

Kwalifikując Naszą-Klasę jako administratora danych umieszczanych przez użytkowników serwisu jednocześnie poddaje się go regulacji art. 14 ustawy o świadczeniu usług drogą elektroniczną, który moim zdaniem jest przewidziany wyłącznie dla podmiotu przetwarzającego dane (a nie administratora). Odpowiedzialność administratora danych jest o wiele szersza i jeżeli już uznajemy Naszą-Klasę za taki podmiot (a nie brak jest wielu odmiennych stanowisk, które nakazywałyby oddzielenie tutaj roli administratora od tzw. processora), to nie może być wówczas mowy o uchyleniu odpowiedzialności. Ponadto zdaniem GIODO nie jest on kompetentny do rozstrzygnięcia o tym, czy informacja skarżącego o bezprawnym charakterze danych jest wiarygodna czy nie. Jakkolwiek rozstrzygnięcie to wydaje się być prawidłowe, skarżący z powodzeniem może wystąpić na drogę postępowania cywilnego w tym zakresie.

Idźmy dalej. Przyjęcie, że Nasza-Klasa jest administratorem danych zamieszczanych przez użytkowników stwarza problem legalności przetwarzania takich danych. Czy rzeczywiście będzie to klauzula usprawiedliwionego celu przewidziana w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych? Co z możliwością zgłoszenia sprzeciwu (art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych) do przetwarzania danych osobowych, który administrator powinien uwzględnić? Jak do tego ma się stanowisko GIODO, że kluczowym dla stwierdzenia braku naruszenia praw i wolności jest fakt, że dostęp do danych mają jedynie zarejestrowani użytkownicy serwisu (ponad 11 milionów osób)? Co wreszcie z obowiązkiem administratora wynikającym z art. 25 ustawy o ochronie danych osobowych, który obliguje administratora do informowania osoby, której dane zamieszczono w serwisie przez innych użytkowników? Jak słusznie zauważyli autorzy ww. artykułu wątpliwe jest aby Nasza-Klasa to uczyniła. Te oraz wiele innych pytań pozostawiam bez odpowiedzi, nie rozstrzygam ostatecznie. Chciałem jedynie wskazać te wątpliwości jakie pojawiają się z niewątpliwie niefortunną decyzją GIODO. Ostateczną ocenę zostawiam Wam, natomiast sam będę śledził dalsze wątki w tej sprawie i o ile takowe się pojawią, niezwłocznie zamieszczę jakiegoś posta.

 

Skomentuj