Tak uznał Naczelny Sąd Administracyjny (NSA) w kolejnym sporze dotyczącym przetwarzania danych osobowych. Spor trafił na wokandę z inicjatywy myśliwego. To on w lutym 2022 r. zaalarmował Prezesa Urzędu Ochrony Danych Osobowych (UODO) o nieprawidłowościach w procesie przetwarzania jego danych osobowych przez Polski Związek Łowiecki (PZŁ). Wyjaśnił, że wstępując do organizacji w maju 2010 r. był zmuszony wypełnić – pod rygorem odmowy przyjęcia – ankietę personalną, która obejmowała m.in. imię ojca, miejsce pracy, miejsce i datę urodzenia oraz wykształcenie. A w ocenie myśliwego związek przetwarza je nieadekwatnie do celu, bez podstawy prawnej oraz zgody. Potem rozszerzył swoją skargę o zarzut bezprawnego przetwarzania jego danych w zakresie zawodu i numeru telefonu.
Dane osobowe zbierane w deklaracjach członkowskich a RODO
Prezes UODO przyjrzał się sprawie i nakazał związkowi zaprzestanie przetwarzania danych co do imienia ojca, miejsca pracy, wykształcenia, zawodu i numeru telefonu, pozyskanych z wypełnionych przed laty dokumentów, tj. deklaracji członkowskich i karty ewidencyjnej członka. Zwracał uwagę, że myśliwy nie udostępniał swoich danych w spornym zakresie po wejściu w życie RODO w maju 2018 r. W szczególności nie zaktualizował ankiety dotyczącej danych osobowych myśliwego. UODO nie zgodził się, że statut stowarzyszenia jest rodzajem umowy. Związek to bowiem organizacja, w której dominuje aspekt publicznoprawny, wykazująca cechy samorządu i organizacji przymusowej. Z tego względu sam fakt członkostwa nie oznacza możliwości przetwarzania danych osobowych w oparciu o przesłankę określoną w art. 6 ust. 1 lit. b) RODO. Prezes UODO zauważył też, że przepisy prawa łowieckiego nie normują wprost zakresu danych osobowych członków, które PZŁ jest uprawniony lub zobowiązany przetwarzać. Zakres danych osobowych zbieranych od członków został wskazany we wzorach deklaracji członkowskich, które są określane w statucie. Niemniej myśliwy swoje złożył w 2010 r., czyli w innym stanie prawnym, a skargę na nieprawidłowości w procesie pozyskania danych osobowych wniósł już w czasie obowiązywania RODO. W związku z tym UODO przyznał, że nie jest uprawniony do oceny, czy wówczas dopuszczalne było ich pozyskanie. Nie miał jednak wątpliwości, że musi zbadać proces przetwarzania danych osobowych myśliwego pod rządami RODO i uwzględnić fakt posiadania przez związek spornych deklaracji oraz innych dokumentów złożonych w momencie przyjmowania w poczet członków. A żadnych podstaw legalizujących przetwarzanie spornych danych UODO się nie dopatrzył.
Czytaj więcej
Platforma ponosi odpowiedzialność za ogłoszenie internauty, nawet gdy nie wiedziała, że narusza ono RODO – uznał TSUE w precedensowym wyroku. W pra...
PZŁ nie zgodził się z tymi argumentami. Zaskarżył nakaz UODO i upierał się, że nie przetwarza spornych danych osobowych w zakresie imienia ojca, numeru telefonu, miejsca pracy, wykształcenia i zawodu bez podstawy prawnej. Przekonywał m.in., że są one przetwarzane w związku z wykonaniem obowiązków prawnych oraz w ramach sprawowania władzy publicznej powierzonej administratorowi. Związek bowiem jest zobowiązany do wykazania w każdym czasie, iż dana osoba nabyła uprawnienia bez naruszenia procedury oraz korzysta z nich w sposób przewidziany przez prawo łowieckie oraz statut. Skarżący podkreślił, że organ nadzorczy nie dostrzegł żadnego naruszenia przepisów prawa w tym dotyczących danych osobowych. Co do informacji o miejscu pracy, wykształceniu i zawodzie wskazywano, że ich przetwarzanie jest niezbędne do prawnie uzasadnionych interesów, tj. prowadzenia badań statystycznych. Ponadto PZŁ uzyskał zgodę na przetwarzanie spornych danych we wniosku o przyjęcie na staż.
Miejsce pracy, zawód i wykształcenie a ochrona danych osobowych
To nie przekonało Wojewódzkiego Sądu Administracyjnego (WSA) w Warszawie. Potwierdził, że Prezes UODO słusznie nakazał skarżącemu zaprzestania przetwarzania spornych danych osobowych pozyskanych z deklaracji członkowskich i karty ewidencyjnej członka. Sąd zauważył m.in., że potrzeba ewentualnego kontaktu telefonicznego nie mieści się w żadnej z przesłanek legalizujących proces przetwarzania danych osobowych. Nie jest to bowiem dana niezbędna do kontaktu. Zwłaszcza, że sam statut PZŁ przewiduje formę pisemną kontaktu, ewentualnie drogą elektroniczną. Podobnie zdaniem WSA cele statystyczne nie mogą legalizować przetwarzania danych osobowych takich jak miejsce pracy, wykształcenie i zawód. Myśliwy wypełniając dokumenty w maju 2010 r., nie mógł spodziewać się ich przetwarzania w celach statystycznych. Słuszna zatem była konstatacja, że doszło do ograniczenia jego prawa do prywatności, a także do autonomii informacyjnej. WSA przypomniał ponadto, że zgoda osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli. Samo przekazanie określonych danych osobowych np. poprzez wpisanie do formularza nie stanowi zgody na ich przetwarzanie.
Czytaj więcej
Kwestionowanie na gruncie RODO podstawy prawnej do rutynowego przetwarzania danych z dowodu tożsamości klientów w naszej ocenie jest błędne, a przy...
Przegraną związku przypieczętował NSA, bo nie miał wątpliwości, że w sprawie chodziło o nadmiar żądanych danych osobowych. Nawet bowiem biorąc pod uwagę 100-letnią tradycję PZŁ to zdaniem sądu pewne dane osobowe są zbędne do prowadzenia jego działalności statutowej czy do bycia jego członkiem. NSA przypomniał, że organem powołanym do badań statystycznych jest Główny Urząd Statystyczny.
I nawet jeśli skarżący mając na uwadze swoje cele statutowe, chciałby prowadzić jakieś badania związane ze środowiskiem myśliwych, to może zbierać dane, ale anonimowo i dobrowolnie. Nie może narzucać tego członkom i żądać od nich takich danych jak miejsce pracy, zawód czy numer telefonu. Zwłaszcza, że jeśli chodzi o numer telefonu to w statucie do kontaktu przewidziana jest forma pisemna, ewentualnie mailowa. Nie mówi się nic o telefonach.
A skoro tak, to jak tłumaczył sędzia sprawozdawca Ireneusz Dukiel, obowiązkowo podany numer telefonu również jest zbędny. NSA odniósł się też do kwestii stażu wstępnego, w związku z którym zostały podane pełne dane i były odwołane czy wycofane. Nie oznacza to jednak, że niejako automatycznie przeszły do „legalnej” bazy danych. Były to bowiem dwa różne postępowania, gdzie jedno dotyczyło stażu, a drugie uzyskania uprawnień do polowania i bycia członkiem związku. Wyrok jest prawomocny.
Sygnatura akt: III OSK 3073/23
Opinia dla "Rzeczpospolitej"
prof. Grzegorz Sibiga, adwokat, partner w kancelarii Traple, Konarski, Podrecki i Wspólnicy
Komentowane wyroki sądów administracyjnych, a wcześniej decyzja prezesa UODO zasługują na aprobatę. Dla dopuszczalnego przetwarzania każdej kategorii danych osobowych wymagane jest bowiem skuteczne wykazanie przez administratora istnienia podstawy prawnej z RODO, a w niniejszej sprawie tego zabrakło dla części kategorii. Jednak zarzuty administracyjne powinny być szersze i obejmować także naruszenie zasady minimalizacji z art. 5 ust. 1 lit. c) RODO. Administratorzy na każdym z etapów przetwarzania są obowiązani zapewnić, aby dane osobowe były adekwatne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. W praktyce rozpoczęcie realizacji tego obowiązku powinno następować już na etapie projektowania procesów przetwarzania danych osobowych. Naruszeniem wymogu jest przetwarzanie danych „na zapas”, czy „na w razie czego”.
