Naczelny Sąd Administracyjny wydał ważne dla ochrony prywatności w mediach społecznościowych orzeczenie, rozstrzygając sprawę publicznego udostępnienia wyroku sądowego zawierającego dane osobowe na portalu Facebook. Wyrok z 16 października 2024 r. (sygn. akt III OSK 4984/21) ma fundamentalne znaczenie dla interpretacji przepisów RODO w kontekście prywatnych publikacji w Internecie.
Historia sporu
Sprawa rozpoczęła się od skargi osoby, której dane osobowe zostały opublikowane przez członka jej rodziny na portalu Facebook. Publikacja dotyczyła wyroku Sądu Rejonowego w Wołominie, który został nie tylko zamieszczony w mediach społecznościowych, ale również wystawiony za szybą samochodu. Dane osobowe skarżącej były więc dostępne publicznie zarówno w przestrzeni wirtualnej, jak i rzeczywistej.
Prezes Urzędu Ochrony Danych Osobowych początkowo umorzył postępowanie, uznając, że sprawa nie podlega pod RODO. Organ przyjął, że skoro osoby łączą więzy rodzinne, a osoba publikująca nie prowadzi działalności gospodarczej, to przetwarzanie danych miało charakter prywatny i domowy, wyłączony spod regulacji RODO. Wojewódzki Sąd Administracyjny w Warszawie nie zgodził się z taką interpretacją i uchylił decyzję organu. Sprawa ostatecznie trafiła na skutek skargi kasacyjnej Prezesa UODO do Naczelnego Sądu Administracyjnego.
Sprawdź również: Outsourcing IOD do naszej kancelarii – czy sprawdzi się w Twojej firmie?
Rozstrzygnięcie NSA i kluczowa argumentacja
Naczelny Sąd Administracyjny podzielił stanowisko WSA, oddalając skargę kasacyjną Prezesa UODO. W uzasadnieniu sąd przedstawił kompleksową wykładnię pojęcia „czynności o czysto osobistym lub domowym charakterze” w kontekście mediów społecznościowych.
NSA wyjaśnił, że dla oceny czy dane działanie podlega pod RODO kluczowe znaczenie ma nie tyle charakter relacji między stronami czy brak działalności gospodarczej, ale sposób i zakres udostępnienia danych. Sąd wskazał, że prywatny charakter przetwarzania danych kończy się w momencie, gdy przestają one być dostępne wyłącznie w „zaciszu domowym” i zostają udostępnione szerszemu gronu odbiorców.
Sąd szczególną uwagę zwrócił na trzecie zdanie motywu 18 preambuły RODO, które było dotychczas pomijane w interpretacjach organu. Zgodnie z nim, rozporządzenie ma zastosowanie do administratorów, którzy udostępniają środki przetwarzania danych na potrzeby działalności osobistej lub domowej. Oznacza to, że w momencie publicznego udostępnienia danych, nawet w ramach prywatnej działalności, zaczynają obowiązywać przepisy RODO.
Sprawdź: Audyt zgodności z RODO – jak go przeprowadzić?
Praktyczne implikacje wyroku
Orzeczenie ma doniosłe znaczenie dla użytkowników mediów społecznościowych. NSA jasno wskazał, że posty na Facebooku mogą podlegać pod RODO, jeśli są publicznie dostępne. Nie ma przy tym znaczenia, czy osoba publikująca prowadzi działalność gospodarczą, ani jaki charakter mają jej relacje z osobą, której dane udostępnia.
Wyrok wprowadza jasne kryterium oceny – jeśli dostęp do opublikowanych treści zawierających dane osobowe nie jest ograniczony do wybranego grona odbiorców, takie działanie przestaje być „czysto osobiste lub domowe” i podlega pod przepisy o ochronie danych osobowych.
Konsekwencje dla praktyki ochrony danych
Stanowisko NSA ma istotne znaczenie dla interpretacji przepisów o ochronie danych osobowych w erze mediów społecznościowych. Sąd odrzucił uproszczone podejście, zgodnie z którym wystarczy brak działalności gospodarczej, by uznać przetwarzanie danych za prywatne. Ponadto orzeczenie potwierdza, że organ ochrony danych osobowych powinien interweniować w przypadkach nieuzasadnionego upubliczniania danych w mediach społecznościowych, nawet jeśli dzieje się to w kontekście prywatnych sporów czy relacji rodzinnych. Wyrok stanowi też przestrogę dla użytkowników mediów społecznościowych – publiczne udostępnianie danych osobowych innych osób, nawet w ramach prywatnej aktywności, może skutkować odpowiedzialnością za naruszenie przepisów o ochronie danych osobowych.
Komentarz radcy prawnego
Łukasz Kulicki
RADCA PRAWNY | PARTNER
Radca prawny, Partner w Kancelarii Linke Kulicki specjalizującej się w obsłudze prawnej firm z sektora IT, nowych technologii i branży internetowej, a także podmiotów przechodzących transformację cyfrową. Specjalizuje się w negocjowaniu umów IT, w szczególności umów wdrożeniowych, umów na usługi IT (w tym chmurowych) i umów body leasingowych. Zajmuje się także doradztwem prawnym z zakresu ochrony danych osobowych (RODO), prawa e-commerce i własności intelektualnej.
Opublikowano:
Jako prawnik specjalizujący się w ochronie danych osobowych dostrzegam, że omawiany wyrok NSA wprowadza fundamentalną zmianę w podejściu do prywatnych publikacji w mediach społecznościowych. Do tej pory powszechnie uważało się, że aktywność niezwiązana z działalnością gospodarczą pozostaje poza zakresem RODO. Wyrok jednoznacznie wskazuje, że to błędne rozumowanie.
Kluczowym aspektem, który musimy teraz brać pod uwagę, jest nie tyle charakter naszej aktywności (prywatna czy biznesowa), ale zasięg udostępnianych informacji. To spora zmiana a raczej uszczegółowienie interpretacji tzw. „wyłączenia domowego” z art. 2 ust. 2 lit. c RODO. W praktyce oznacza to, że nawet prywatny post na Facebooku może podlegać pod RODO, jeśli jest dostępny publicznie lub dla szerokiego grona odbiorców.
Pozwolę sobie zilustrować to dwoma przykładami z życia wziętymi, które pokazują praktyczne zastosowanie nowej wykładni:
Wyobraźmy sobie sytuację, gdy po rodzinnym weselu jedna z uczestniczek publikuje na swoim publicznym profilu na Facebooku post ze zdjęciami oraz szczegółowym opisem uroczystości. W treści wymienia z imienia i nazwiska wszystkich gości, dodając informacje o tym, kto z kim tańczył, kto ile wypił, a nawet kto przyszedł sam, bo jest „świeżo po rozwodzie”. Mimo że post dotyczy prywatnego wydarzenia rodzinnego, jego publiczny charakter sprawia, że podlega pod RODO. Publikująca powinna więc uzyskać zgodę na udostępnienie tych danych osobowych.
Drugi przykład: administrator popularnej grupy osiedlowej na Facebooku, chcąc zmotywować mieszkańców do płacenia na fundusz remontowy, publikuje listę dłużników wraz z numerami mieszkań i kwotami zaległości. Grupa liczy 500 członków i jest otwarta dla wszystkich mieszkańców dzielnicy. Mimo że administrator działa społecznie i nie czerpie z tego żadnych korzyści materialnych, to ze względu na szeroki krąg odbiorców, publikacja ta również podlega pod RODO.
Co to oznacza w praktyce? Przede wszystkim musimy zacząć zwracać większą uwagę na ustawienia prywatności naszych postów w mediach społecznościowych. Publiczne udostępnienie danych osobowych innych osób, nawet w ramach prywatnej aktywności, może skutkować odpowiedzialnością za naruszenie przepisów o ochronie danych osobowych.
Jako prawnik RODO doradzam szczególną ostrożność przy publikowaniu jakichkolwiek informacji o osobach trzecich. W razie wątpliwości, czy dana publikacja podlega pod RODO, warto zadać sobie pytanie nie o to, czy działamy prywatnie, ale o to, jak szeroki krąg osób będzie miał dostęp do publikowanych przez nas informacji. Im szerszy dostęp, tym większe prawdopodobieństwo, że nasza aktywność będzie podlegała pod przepisy o ochronie danych osobowych.
Wyrok NSA daje też nowe narzędzie osobom, których dane są bezprawnie udostępniane w mediach społecznościowych. Mogą one teraz skuteczniej dochodzić swoich praw, składając skargi do UODO nawet w przypadku naruszeń dokonanych przez osoby prywatne. To istotna zmiana, która powinna przyczynić się do lepszej ochrony prywatności w przestrzeni online.
Kancelaria Linke Kulicki to kancelaria prawna, która od lat zajmuje się wspieraniem Klientów w sferze ochrony danych osobowych. Nasze działania koncentrują się na różnych płaszczyznach, co daje nam możliwość zapewniania kompleksowej pomocy dla firm. Rzetelnie sprawdzamy wszystkie kwestie, dzięki czemu jesteśmy w stanie wykazać ewentualne braki w zakresie ochrony danych osobowych i zaproponować skuteczne zmiany gwarantujące bezpieczeństwo. Nasza aktywność koncentruje się także na reprezentowaniu Klientów przed Prezesem Urzędu Ochrony Danych Osobowych oraz w postępowaniach sądowych z zakresu ochrony danych osobowych.