Oto definicja Wikipedii z… Wikipedii: „wielojęzyczna encyklopedia internetowa działająca w oparciu o zasadę otwartej treści. Funkcjonuje wykorzystując oprogramowanie MediaWiki (haw. wiki – „szybko”, „prędko”), wywodzące się z koncepcji WikiWikiWeb, umożliwiające edycję każdemu użytkownikowi odwiedzającemu stronę i aktualizację jej treści w czasie rzeczywistym. Słowo Wikipedia jest neologizmem powstałym w wyniku połączenia wyrazów wiki i encyklopedia. Slogan Wikipedii brzmi: „Wolna encyklopedia, którą każdy może redagować”[1].
Notki biograficzne mniej lub bardziej znanych osób to jedne z licznych informacji, jakich dostarcza nam Wikipedia. Notka taka nie zawsze powstaje po uzgodnieniu z osobą, której dotyczy i nie zawsze zawiera prawdziwe, czy dokładne informacje. Usuwanie, czy korygowanie zamieszczanych w Wikipedii danych poddane jest określonym zasadom, które również dostępne są na stronie Wikipedii[2]. To, co jednak wydaje się łatwe w teorii, nie zawsze takie jest w praktyce, czego przykładem jest sprawa zakończona wyrokiem Naczelnego Sądu Administracyjnego z 28 lipca 2017 r. (I OSK 3460/15). Długa batalia sądowa nie przyniosła satysfakcjonującego rozwiązania, gdyż w dalszym ciągu bez odpowiedzi pozostaje pytanie, czy można żądać od spółki Wirtualna Polska usunięcia danych osobowych znajdujących się w polskim wydaniu Wikipedii.
Dziennikarz i polityk – Ryszard Z., wystąpił do Generalnego Inspektora Ochrony Danych Osobowych (dalej: „GIODO”) ze skargą na bezprawne przetwarzanie przez Wirtualną Polskę S.A. jego danych osobowych w postaci notki biograficznej na stronie internetowej Wikipedii i wniósł o nakazanie jej usunięcia.
W swojej decyzji GIODO ustalił, że Wirtualna Polska, w prowadzonym serwisie internetowym umożliwia dostęp do notki biograficznej dotyczącej polityka, ale dane osobowe strony, dostępne za pośrednictwem serwisu Wikipedia nie są przechowywane przez ww. spółkę. Oprogramowanie serwisu wyświetla jedynie informacje znajdujące się w polskiej wersji językowej encyklopedii internetowej, a spółka nie jest autorem kwestionowanej notki biograficznej i nie powstała ona na jej zlecenie. Ponadto, GIODO ustalił, że serwis Wikipedia za pośrednictwem swojej strony internetowej umożliwia jedynie wyszukanie określonych treści zamieszczonych w bazie danych serwisu i ich wyświetlanie na ekranie, natomiast nie posiada własnej bazy danych. W związku z powyższym, GIODO odmówił uwzględnienia wniosku o usunięcie notki z Wikipedii. W uzasadnieniu decyzji stwierdził, iż zgodnie z art. 7 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (dalej: „u.o.d.o.”), Wirtualna Polska S.A. nie posiada statusu administratora danych osobowych wnioskodawcy. Po rozpoznaniu wniosku polityka o ponowne rozpoznanie sprawy, GIODO podtrzymał dotychczasowe stanowisko i utrzymał w mocy własną decyzję. Druga decyzja stała się przedmiotem skargi wniesionej przez Ryszarda Z. do Wojewódzkiego Sądu Administracyjnego w Warszawie.
Zarzuty podniesione przez polityka dotyczyły m.in.:
- naruszenia art. 8 Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności, art. 47 oraz art. 51 ust. 1 Konstytucji RP, poprzez faktyczną odmowę prawa do prywatności;
- 1 ust. 1 oraz art. 23 ust. 1 pkt. 1 u.o.d.o. poprzez bezprawne odmówienie prawa do ochrony jego danych osobowych;
- 7 pkt 4 u.o.d.o. poprzez przyjęcie, że Wirtualna Polska jako właściciel domeny oraz oprogramowania upubliczniającego treści z serwisu Wikipedia nie jest administratorem danych i nie decyduje o celach i środkach przetwarzania publikowanych danych;
- 7 pkt 2 u.o.d.o. poprzez przyjęcie, że Wirtualna Polska, jako właściciel domeny oraz oprogramowania upubliczniającego treści z serwisu Wikipedia nie przetwarzała jego danych osobowych oraz nie decydowała o celach i środkach przetwarzania tych danych.
Ponadto, Ryszard Z. wskazał na błędne ustalenie przez GIODO, że Wirtualna Polska nie ma możliwości zablokowania publikacji nielegalnych treści np. za pomocą filtra, a oprogramowanie typu wiki jest tożsame z przeglądarkami internetowymi oraz czytnikami RSS, i posługiwanie się jakąkolwiek aplikacją internetową: skryptem, przeglądarką, czytnikiem RSS, legalizuje publikowanie treści niezgodne z ustawą o ochronie danych osobowych oraz zwalnia podmioty przetwarzające te dane od odpowiedzialności.
Wojewódzki Sąd Administracyjny w Warszawie, w wyroku z dnia 13 sierpnia 2013 r. oddalił skargę uznając wskazane w niej zarzuty za niezasadne. Natomiast, Naczelny Sąd Administracyjny uwzględnił skargę kasacyjną Ryszarda Z. i wyrokiem z dnia 9 kwietnia 2015 r. (sygn. akt I OSK 2926/13) uchylił zaskarżony wyrok WSA w Warszawie i przekazał sprawę do ponownego rozpoznania.
W uzasadnieniu wyroku, NSA wskazał, że:
- Sąd I instancji osią sporu uczynił to, czy Wirtualna Polska na stronie internetowej Wikipedii przechowywała i przetwarzała dane osobowe polityka w postaci notki biograficznej i czy w związku z tym jest ich administratorem. Nie zbadał natomiast istoty stworzonego przez spółkę mechanizmu, w tym tego, czy istniała realna szansa na doprowadzenie do „filtrowania” odesłań do strony zawierającej dane osobowe skarżącego, znajdującej się poza polską jurysdykcją.
- Naczelny Sąd Administracyjny stanął na stanowisku, iż „związanie się przez dany podmiot umową, która w istocie powoduje wyłączenie możliwości reagowania na przypadki łamania przepisów o ochronie danych osobowych, nie może zostać uznane jako działanie chronione prawem (wyłączające z kręgu administratorów danych). Na tej podstawie sąd I instancji powinien ustalić, czy spółka rzeczywiście nie przechowywała danych osobowych skarżącego i ich nie przetwarzała, co wskazywałoby jednoznacznie, iż jest ich administratorem. WSA winien rozważyć, czy przetwarzaniem nie jest stworzenie takich warunków technicznych, które de facto umożliwiają zapoznanie się z danymi osobowymi bez ich fizycznej retencji”.
Ważnym elementem uzasadnienia wyroku NSA jest wykładnia art. 7 pkt 2 u.o.d.o., zgodnie z którym przez przetwarzanie danych należy rozumieć jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.
Naczelny Sąd Administracyjny w uzasadnieniu powyższego wyroku wskazał, iż „za przetwarzanie danych osobowych może być uznane także ich pośrednie udostępnianie (np. poprzez przekierowanie do innej domeny internetowej), nawet jeżeli dany podmiot danymi tymi fizycznie nie dysponuje. (…) nie może podlegać ochronie prawnej działanie podmiotów, które w sposób bezrefleksyjny dokonują świadomego odesłania do stron internetowych, które mogą naruszać chronione prawem polskim dane osobowe. Niewątpliwie jeżeli przekierowanie takie nie łączy się z fizycznym posiadaniem danych udostępnionych na innej stronie internetowej, należy to uwzględniać w procesie oceny danego podmiotu jako przetwarzającego dane osobowe i nimi administrującego, jednakże brak posiadania danych nie wyłącza sam przez się możliwości uznania danego podmiotu za ich administratora. Oczywiście nie jest tak, iż każde przekierowanie, czy stworzenie innych warunków do wyszukania danych przez jedną witrynę internetową w zasobach innej, będzie od razu mieścić się w ramach instytucji uregulowanych w ustawie o ochronie danych osobowych. Niemniej nie może być zgody na to, by każde przekierowanie, które nie wiąże się z posiadaniem danych chronionych prawem, z założenia traktować jako nienaruszające przepisów ustawy. Stan taki mógłby stanowić podstawę do omijania polskich przepisów o ochronie danych osobowych poprzez „wyprowadzanie” danych chronionych spod jurysdykcji krajowej np. poprzez zamieszczanie ich na serwerze zagranicznym, przy jednoczesnym tworzeniu odesłań do zasobów udostępnionych przez inny podmiot, dostępnych bez większego problemu na terenie kraju, czy z innego miejsca na świecie. Przetwarzaniem może być więc również odsyłanie do danych zgromadzonych w innym miejscu, jeżeli podmiot taki jest bądź powinien być świadomy, że odsyła do informacji, które podlegają ochronie. Związanie się przez tenże podmiot (dokonujący odesłania) wszelkimi umowami o współpracy z podmiotem fizycznie zarządzającym chronionymi danymi osobowymi (w praktyce zarządzającym serwerem, na którym się one znajdują), podlega ocenie sądu pod kątem tego, czy temu pierwszemu podmiotowi nie można przypisać cechy administratora danych”.
Wojewódzki Sąd Administracyjny po ponownym rozpatrzeniu sprawy uwzględnił skargę polityka. Powołując się na wyrok NSA z 9 kwietnia 2015 r., wskazał, że za przetwarzanie danych osobowych uznawane są wszelkie operacje wykonywane na tych danych, w tym udostępnianie i usuwanie, zwłaszcza w systemach teleinformatycznych. Wprawdzie spółka nie posiada własnego zbioru danych zawierających informacje o skarżącym, ale przedstawia te dane w określonym przez siebie formacie, jak też ma pośrednią możliwość weryfikacji poprawności tych danych. To z kolei, w konfrontacji z dokonaną przez Naczelny Sąd Administracyjny w ww. uzasadnieniu wyroku wykładnią art. 7 pkt 2 u.o.d.o., zdaje się wskazywać na zasadność przyznania spółce statutu administratora danych osobowych skarżącego publikowanych na [przedmiotowych] stronach [internetowych]. Jednakże jednoznaczne przesądzenie tej kwestii, wobec niewystarczającego materiału dowodowego zgromadzonego w toku postępowania administracyjnego, jest przedwczesne. Jak podkreślił w powyższym wyroku Naczelny Sąd Administracyjny, kluczowe znaczenie dla poznania mechanizmu przetwarzania danych w [przedmiotowym] serwisie, zapożyczonych z serwisu [pl.wikipedia.org], ma ustalenie możliwości „filtrowania” określonych treści i to w oparciu o postanowienia umowy licencyjnej, [na podstawie której polską wersję serwisu prowadzi Wirtualna Polska]”. Treść tej umowy nie została jednak poddana analizie przez GIODO, choć Wirtualna Polska powoływała się na związanie postanowieniami tej umowy.
Skargę kasacyjną od drugiego wyroku WSA wniosła spółka Wirtualna Polska, wskazując m.in. na błędną interpretację art. 7 pkt 1 i 4 u.o.d.o. NSA w wyroku z dnia 28 lipca 2017 r. oddalił jednak skargę spółki. NSA przychylił się do stanowiska WSA, który orzekł, że sprawa nie dojrzała do merytorycznego rozstrzygnięcia, albowiem kluczowe dla sprawy zagadnienia, jak np. czy dane osobowe są przetwarzane zgodnie z prawem, a także czy sprawa dotyczy tylko wyszukiwarki spółki polskiej czy także zagranicznej, nie zostały wyjaśnione.
Tym samym, kwestia możliwości żądania usunięcia danych z polskiej Wikipedii zeszła na dalszy plan i w dalszym ciągu pozostaje nierozstrzygnięta.
RODO czyli rozporządzenie ogólne o ochronie danych osobowych – dowiedz się więcej!
Masz pytania dotyczące tematu artykułu? Skontaktuj się z autorem.
dr Katarzyna Pfeifer – Chomiczewska
Prawnik
