Jak już pisaliśmy w poście „Udostępnianie danych osobowych użytkowników Internetu” w dniu 21 sierpnia 2013 r. Naczelny Sąd Administracyjny (sygn. akt I OSK 1666/12) wydał wyrok, w którym pozytywnie oceniono dopuszczalność żądania udostępnienia przez właściciela forum internetowego danych osobowych osób zamieszczających posty naruszające prawa osób trzecich. Podkreślaliśmy, iż NSA oparł w tym wyroku rozważania na stanie prawnym sprzed uchylenia art. 29 u.o.d.o. zawierającego ogólną podstawę do udostępniania danych osobowych szerokiemu kręgowi podmiotów, jeżeli w sposób wiarygodny uzasadnią potrzebę posiadania tych danych, a ich udostępnienie nie naruszy praw i wolności osób, których dane dotyczą.
Uchylenie przepisu z dniem 7 marca 2011 roku, uczyniło aktualnym pytanie, czy w obecnym stanie prawnym żądanie przez poszkodowanych udostępnienia danych osobowych naruszycieli ich praw w Internecie jest nadal dopuszczalne, a jeśli tak to na jakich zasadach.
W powołanym już orzeczeniu z dnia 21 sierpnia 2013 r. NSA stwierdził, iż w wyniku wejścia w życie przepisów nowelizujących ustawę o ochronie danych osobowych, które uchyliły jej art. 29, nie ma obecnie przepisu, który jednoznacznie wskazywałby na możliwość uzyskania danych osobowych, co spowodowało powstanie luki prawnej w zakresie zasad udostępniania danych osobowych, w tym określenia podstawy udostępnienia danych.
Interesujące jest jednakże stanowisko sądu zawarte w dalszej części uzasadnienia wyroku, w którym wskazuje on, iż nieuzasadnione było jednak dotychczas poddanie odrębnemu reżimowi wyłącznie procesu udostępniania danych osobowych w celach innych niż włączenie do zbioru, a zatem regulacja art. 29 ust. 2 u.o.d.o, w sytuacji, gdy istnieją generalne zasady – określone w art. 23 ust. 1 i art. 27 ust. 2 u.od.o. – regulujące legalność przetwarzania, a zatem również udostępniania danych.
Zdaniem sądu obecnie właśnie w regulacji art. 23 ust. 1 u.o.d.o. i art. 27 ust. 2 należy poszukiwać uprawnienia do żądania udostępnienia danych osobowych naruszycieli, jednakże pod pewnymi warunkami. Warunkami tymi są proporcjonalność środków i celów oraz równowaga pomiędzy ochroną różnych dóbr: wolności wypowiedzi i prawa do ochrony dóbr osobistych.
Żądający musi zatem uzasadnić potrzebę uzyskania danych bazując na prawnie uzasadnionych celach, np. realizacją praw przed sądem. W przypadku odmowy udostępnienia danych przez podmiot będący ich administratorem, strona może złożyć wniosek do GIODO, który po przeprowadzeniu stosownego postępowania może w drodze decyzji nakazać udostępnienie danych osobowych.
Warto wskazać, iż obecnie przedmiotem rozważań NSA staną się dwa kolejne rozstrzygnięcia WSA w Warszawie (sygn. akt II SA/Wa 892/13 oraz II SA/WA 152/13), które zostały wydane już w aktualnym stanie prawnym i nakazują udostępnienie danych osobowych właśnie w oparciu o regulację przepisu art. 23 ust. 1 pkt 5 u.o.d.o. Przepis ten dopuszcza przetwarzanie danych osobowych jeżeli jest to konieczne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dotyczą.
Poszukiwanie podstaw prawnych żądania udostępniania danych w regulacji art. 23 ust. 1 pkt 5 u.o.d.o. wydaje się jednak kontrowersyjne, ponieważ przepis ten zawiera przesłankę legalizacyjną przetwarzania danych osobowych przez dotychczasowego administratora, a zatem przewiduje jedynie uprawnienie do przetwarzania danych osobowych w sytuacji w nim opisanej. Przepis ten nie nakłada natomiast obowiązku przetwarzania danych osobowych polegającego na przekazaniu ich osobie, której prawa zostały potencjalnie naruszone w Internecie. To prowadzi do powstania pytania, czy można w przypadku odmowy udostępnienia danych osobowych mówić o naruszeniu przepisów o ochronie danych osobowych, skoro właściciel forum internetowego nie narusza żadnego obowiązku, a jedynie nie korzysta ze swojej kompetencji.
W konsekwencji wątpliwe jest uprawnienie GIODO do wydania decyzji nakazującej udostępnienie danych osobowych w oparciu o art. 18 ust. 1 u.o.d.o. wobec braku naruszenia przez administratora ustawy o ochronie danych osobowych. Przepis ten warunkuje bowiem działanie inspektora od naruszenia przepisów o ochronie danych osobowych. Powyższe rozstrzygnięcia torują jednakże drogę do skuteczniejszej walki z „hejtem” w sieci, dając poszkodowanym broń, czyniąc, że autorzy „anomimowych” wpisów nie pozostaną bezkarni.
Masz pytania dotyczące tematu artykułu? Skontaktuj się z autorem.
dr Dominik Lubasz
Wspólnik, Radca prawny
