Wydawca: Wioleta Beczek

Skład i łamanie: C.H. Beck

© Wydawnictwo C.H. Beck 2013

ISBN 978-83-255-5644-0

Wydawnictwo C.H. Beck Sp. z o.o.
ul. Bonifraterska 17, 00-203 Warszawa

www.księgarnia.beck.pl

Konwersja: eLitera s.c.

Wykaz skrótów

1. Źródła prawa

DzUbezpU

ustawa z 22.5.2003 r. o działalności ubezpieczeniowej (t.j. Dz.U. z 2010 r. Nr 11, poz. 66 ze zm.)

dyrektywa 95/46 WE

dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z 24.10.1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.Urz. WE L Nr 281, s. 31 ze zm.)

EgzAdmU

ustawa z 17.6.1966 r. o postępowaniu egzekucyjnym w administracji (t.j. Dz.U. z 2012 r. poz. 1015 ze zm.)

EKPC

Konwencja o Ochronie Praw Człowieka i Podstawowych Wolności podpisana 4.11.1950 r. (Dz.U. z 1993 r. Nr 61, poz. 284 ze zm.)

EwidLudU

ustawa z 10.4.1974 r. o ewidencji ludności i dowodach osobistych (t.j. Dz.U. 2006 r. Nr 139, poz. 993 ze zm.)

GospU

ustawa z 23.12.1988 r. o działalności gospodarczej (Dz.U. Nr 41, poz. 324 ze zm.) – obecnie nie obowiązuje

KC

ustawa z 23.4.1964 r. – Kodeks cywilny (Dz.U. Nr 16, poz. 93 ze zm.)

KK

ustawa z 6.6.1997 r. – Kodeks karny (Dz.U. Nr 88, poz. 553 ze zm.)

Konstytucja RP

Konstytucja Rzeczypospolitej Polskiej z 2.4.1997 r. (Dz.U. Nr 78, poz. 483 ze zm.)

KP

ustawa z 26.6.1974 r. – Kodeks pracy (t.j. Dz.U. z 1998 r. Nr 21, poz. 94 ze zm.)

KPA

ustawa z 14.6.1960 r. – Kodeks postępowania administracyjnego (t.j. Dz.U. z 2013 r. poz. 267)

KRO

ustawa z 25.2.1964 r. – Kodeks rodzinny i opiekuńczy (t.j. Dz.U. z 2012 r. poz. 788 ze zm.)

KRSU

ustawa z 20.8.1997 r. o Krajowym Rejestrze Sądowym (t.j. Dz.U. z 2007 r. Nr 168, poz. 1186 ze zm.)

OchrDanOsU

ustawa z 29.8.1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.)

OrdPod

ustawa z 29.8.1997 r. – Ordynacja podatkowa (t.j. Dz.U. z 2012 r. poz. 749 ze zm.)

PostAdmU

ustawa z 30.8.2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2012 r. poz. 270 ze zm.)

PrAut

ustawa z 4.2.1994 r. o prawie autorskim i prawach pokrewnych (t.j. Dz.U. z 2006 r. Nr 90, poz. 631 ze zm.)

PrBank

ustawa z 29.8.1997 r. – Prawo bankowe (t.j. Dz.U. z 2012 r. poz. 1376 ze zm.)

PrPras

ustawa z 26.1.1984 r. – Prawo prasowe (Dz.U. Nr 5, poz. 24 ze zm.)

PrTelekom

ustawa z 16.7.2004 r. – Prawo telekomunikacyjne (Dz.U. Nr 171, poz. 1800 ze zm.)

PrTymU

ustawa z 9.7.2003 r. o zatrudnianiu pracowników tymczasowych (Dz.U. Nr 166, poz. 1608 ze zm.)

SamGmU

ustawa z 8.3.1999 r. o samorządzie gminnym (t.j. Dz.U. z 2013 r. poz. 594)

SamPowU

ustawa z 5.6.1998 r. o samorządzie powiatowym (t.j. Dz.U. z 2013 r. poz. 595)

SamWojU

ustawa z 15.6.1998 r. o samorządzie województwa (t.j. Dz.U. z 2013 r. poz. 596)

SwobDziałGospU

ustawa z 2.7.2004 r. o swobodzie działalności gospodarczej (t.j. Dz.U. z 2013 r. poz. 672 ze zm.)

TUE

Traktat o Unii Europejskiej (Dz.U. z 2004 r. Nr 90, poz. 864/30 ze zm.)

TFUE

Traktat o Funkcjonowaniu Unii Europejskiej (Dz.Urz. UE z 2008 r. C Nr 115, s. 47)

TWE

Traktat ustanawiający Wspólnotę Europejską (Dz.U. z 2004 r. Nr 90, poz. 864/2 ze zm.)

UsElU

ustawa z 18.7.2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. Nr 144, poz. 1204 ze zm.)

2. Organy, instytucje i organizacje

ETPC

Europejski Trybunał Praw Człowieka

TSUE

Trybunał Sprawiedliwości Unii Europejskiej

GIODO

Generalny Inspektor Ochrony Danych Osobowych

KRS

Krajowy Rejestr Sądowy

NSA

Naczelny Sąd Administracyjny

RPO

Rzecznik Praw Obywatelskich

SA

Sąd Apelacyjny

SKO

Samorządowe Kolegium Odwoławcze

SN

Sąd Najwyższy

TK

Trybunał Konstytucyjny

WSA

Wojewódzki Sąd Administracyjny

3. Publikatory i czasopisma

BSN

Biuletyn Sądu Najwyższego

Dz.U. 

Dziennik Ustaw

Dz.Urz.

Dziennik Urzędowy

EPS

Europejski Przegląd Sądowy

FK

Finanse Komunalne

KPP

Kwartalnik Prawa Prywatnego

KZS

Krakowskie Zeszyty Sądowe

MoP

Monitor Prawniczy

ONSA

Orzecznictwo Naczelnego Sądu Administracyjnego

OSG

Orzecznictwo Sądów Gospodarczych

OSNAPiUS

Orzecznictwo Sądu Najwyższego Zbiór Urzędowy Izba Administracyjna, Pracy i Ubezpieczeń Społecznych

OSNAiWSA

Orzecznictwo Naczelnego Sądu Administracyjnego i Wojewódzkich Sądów Administracyjnych

OSNKW

Orzecznictwo Sądu Najwyższego Izba Karna i Wojskowa

OSS

Orzecznictwo w Sprawach Samorządowych

OTK

Orzeczenia Trybunału Konstytucyjnego

OTK-A 

Orzeczenia Trybunału Konstytucyjnego – Seria A

Pal.

Palestra

PiP

Państwo i Prawo

PiZS

Praca i Zabezpieczenia Społeczne

PN

Przegląd Notarialny

PPA

Przegląd Prawa i Administracji

PPH

Przegląd Prawa Handlowego

Prz. Sejm.

Przegląd Sejmowy

PS

Przegląd Sądowy

PUG

Przegląd Ustawodawstwa Gospodarczego

Rej

Rejent

R. Pr.

Radca Prawny

RPEiS

Ruch Prawniczy, Ekonomiczny i Socjologiczny

Rzeczp.

Rzeczpospolita

SP

Studia Prawnicze

ST

Samorząd Terytorialny

Wok.

Wokanda

Zb. Orz.

Zbiór Orzeczeń Trybunału Sprawiedliwości Wspólnot Europejskich

4. Inne skróty

ABI

Administrator bezpieczeństwa informacji

ang.

angielska (-ie, -y)

art.

artykuł

aut.

autor

cyt.

cytat, cytowana (-e, -y)

cz.

część

EOG

Europejski Obszar Gospodarczy

lit.

litera

m.in.

między innymi

nast.

następna (-e, -y)

niepubl.

niepublikowana (-e, -y)

np.

na przykład

Nr

numer

orz.

orzeczenie

pkt

punkt

por.

porównaj

post.

postanowienie

przyp.

przypis

r. 

rok

s. 

strona

t.j. 

tekst jednolity

tj.

to jest

tzw.

tak zwana (-e, -y)

uchw.

uchwała

ust.

ustęp

w zw. z 

w związku z 

ww.

wyżej wymienione

wyr.

wyrok

zd.

zdanie

ze zm.

ze zmianami

zob.

zobacz

Wykaz literatury

B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, Warszawa 2005

B. Adamiak, J. Borkowski, Polskie postępowanie administracyjne i sądowoadministracyjne, Warszawa 2000

A. Adamski, Prawo karne komputerowe, Warszawa 2000

D. Bainbridge, EC Data Protection Directive, Londyn–Dublin–Edynburg 1996

B. Banaszak, K. Wygoda, Regulacja prawna ochrony danych osobowych w Polsce w świetle ustawy z 29.8.1997 r. i standardów europejskich, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999

J. Barcz (red.), Prawo Unii Europejskiej, Warszawa 2004

P. Barta, Przetwarzanie danych osobowych w kancelariach radców prawnych, Radca Prawny 2011, Nr 119

J. Barta, M. Czajkowska-Dąbrowska, Z. Ćwiąkalski, R. Markiewicz, E. Traple, Prawo autorskie i prawa pokrewne. Komentarz, Kraków 2005

J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2004, 2007, 2011

P. Barta, P. Litwiński, Dane objęte tajemnicą zawodową, w: Prawo reklamy i promocji (red. E. Traple), Warszawa 2007

J. Barta, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2002

J. Barta, R. Markiewicz, Pytania i wątpliwości, Rzeczp. 22.1.2001 r.

J. Barta, R. Markiewicz, Ustawa o ochronie baz danych. Komentarz, Kraków 2002

G. Bieniek, H. Ciepła, S. Dmowski, J. Gudowski, K. Kołakowski, M. Zychowicz, T. Wiśniewski, Cz. Żuławska, Komentarz do Kodeksu cywilnego. Księga trzecia. Zobowiązania, t. I, Warszawa 1996

A. Bierć, Ochrona prawna danych osobowych w sferze działalności gospodarczej w Polsce – aspekty cywilnoprawne, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999

S. Biernat, Wykładnia prawa krajowego zgodnie z prawem wspólnotowym, w: Implementacja prawa integracji europejskiej w krajowych porządkach prawnych (red. C. Mik), Toruń 1998

S. Biernat, Źródła prawa Unii Europejskiej, w: Prawo Unii Europejskiej (red. J. Barcz), Warszawa 2004

A. Błachnio-Parzych, Prawnokarna ochrona inspektora ochrony danych osobowych – przestępstwo udaremnienia lub utrudnienia kontroli przestrzegania przepisów o ochronie danych osobowych, MoP 2011, Nr 3

J. Boć, T. Kuta, Prawo administracyjne. Zagadnienia podstawowe, Warszawa 1984

J. Borowicz, Obowiązek prowadzenia przez pracodawcę dokumentacji osobowej i organizacyjnej z zakresu ochrony danych osobowych, PiZS 2001, Nr 3

M. Byczkowski, Polityka Bezpieczeństwa Informacji a ochrona danych osobowych. Ochrona nośników zawierających dane osobowe, Ochrona Danych Osobowych, Biul. ABI 2000, Nr 10

L. A. Bygrave, Data Protection Law. Approaching Its Rationale, Logic and Limits, Haga–Londyn–Nowy Jork 2002

P. Carey, Data Protection, Oxford 2004

P. Carey, Data protection. A practical guide to UK and EU Law, Nowy Jork 2004

P. Carey, E-mail Addresses – are they Personal Data?, Entertainment Law Review 2000, Nr 1

W. Chróścielewski, Organ administracji publicznej w postępowaniu administracyjnym, Warszawa 2002

Z. Cieślik, Umowa administracyjna w państwie prawa, Kraków 2004

U. Dammann, S. Simitis, EG-Datenschutzrichtlinie, Kolonia 1999

S. Dmowski, S. Rudnicki, Komentarz do Kodeksu cywilnego. Księga pierwsza. Część ogólna, Warszawa 1999

P. Dobosz, J. Zimmermann (red.), Źródła prawa administracyjnego. Konferencja z okazji 100 rocznicy urodzin profesora Jerzego Stefana Langroda, Kraków 2005

A. Drozd, Prawo podmiotu zatrudniającego do pozyskiwania informacji o kandydatach na pracowników, Warszawa 2003

A. Drozd, Ustawa o ochronie danych osobowych. Komentarz. Wzory pism i przepisy, Warszawa 2004, 2007

A. Drozd, Zakres zakazu przetwarzania danych osobowych, PiP 2003, Nr 2

P. Fajgielski, Kontrola przetwarzania i ochrony danych osobowych. Studium teoretyczno-prawne, Lublin 2008

P. Fajgielski, Ochrona danych osobowych w telekomunikacji – aspekty prawne, Lublin 2003

B. Fischer, Transgraniczność prawa administracyjnego na przykładzie regulacji przekazywania danych osobowych z Polski do państw trzecich, Warszawa 2010

B. Fischer, D. Karwala, Nowy instrument: wiążące reguły korporacyjne, Rzeczp. 3.1.2006 r.

B. Fischer, D. Karwala, Nowy instrument: wiążące reguły korporacyjne, Rzeczp. 3.1.2006 r.

B. Fischer, D. Karwala, Nowy instrument: wiążące reguły korporacyjne, Rzeczp. 11.1.2006 r.

B. Fischer, D. Karwala, Transfer danych osobowych do państwa trzecich, PiP 2007, Nr 1

B. Fischer, D. Karwala, Umowy transferowe jako instrument przekazywania danych osobowych do państw trzecich, PPH 2007, Nr 10

D. Fleszer, Prawo do kontroli przetwarzania swoich danych osobowych, Glosa 2004, Nr 1

D. Frey, Niedostateczna ochrona podatników, Rzeczp. 12.3.2004 r.

S. Fundowicz (red.), Współczesne problemy prawa publicznego. Studia z prawa publicznego, t. I, Lublin 1999

Z. Goik, Forma udostępniania (odmowy udostępniania) danych osobowych, R. Pr. 2000, Nr 1

R. Góral, O. Górniok, Przestępstwa przeciwko instytucjom państwowym i wymiarowi sprawiedliwości, Warszawa 2000

T. Górzyńska, Kto strzeże prywatności, Rzeczp. 26.5.1997 r.

T. Górzyńska, Prawo do informacji i zasada jawności administracyjnej, Kraków 1999

P. Granecki, Odpowiedzialność sprawcy szkody niemajątkowej na podstawie art. 448 KC, SP 2002, Nr 2

S. Grynhoff, P. Woźny, Ochrona danych osobowych w praktyce, Poznań 2000

S. Grzybowski, System Prawa Cywilnego, t. I, Wrocław 1985

R. Hauser, Przetwarzanie danych osobowych: cel i środki, Rzeczp. 6.4.1999 r.

P. J. Hustinx, Data Protection and Security in European Union, referat wygłoszony w trakcie 14 Forum Ochrony Danych Osobowych, 23.6.2005, Wiesbaden 2005

E. Iserzon, J. Starościak, Kodeks postępowania administracyjnego. Komentarz, teksty, wzory i formularze, Warszawa 1970

W. Iszkowski, X. Konarski, Usługi elektroniczne, Rzeczp. 4.3.2003 r.

M. Jackowski, Ochrona danych medycznych, Warszawa 2002

K. Jandy-Jendrośka, J. Jendrośka, System jurysdykcyjnego postępowania administracyjnego, w: System prawa administracyjnego (red. T. Rabska, J. Łętowski), t. III, Wrocław–Warszawa 1978

A. Janowicz, Postępowanie administracyjne i postępowanie przed sądem administracyjnym, Warszawa 1982

A. Jaroszyński, Zasady postępowania administracyjnego, w: Księga pamiątkowa Profesora Eugeniusza Ochendowskiego, Toruń 1999

J. Jastrzębski, Kilka uwag o naprawieniu szkody niemajątkowej, Pal. 2005, Nr 3–4

A. Kaczmarek, G. Sibiga, Ochrona danych osobowych w systemie informatycznym, R. Pr. 2000, Nr 3

J. Kamińska, B. Sadowski, Transgraniczne przetwarzanie danych osobowych, Służba Pracownicza 2005, Nr 3

M. Kawecki, Generalny Inspektor Ochrony Danych Osobowych jako centralny organ administracji państwowej, Przegląd Prawa Technologii Informacyjnych ICT Law Review 2013, Nr 1

R. Kędziora, Kodeks postępowania administracyjnego. Komentarz, Warszawa 2005

A. Kisielewicz, Ochrona danych osobowych w praktyce orzeczniczej Naczelnego Sądu Administracyjnego, Glosa 2001, Nr 2

W. Klonowiecki, Strona w postępowaniu administracyjnym, Lublin 1938

W. Kocot, Nowe zasady zawierania i wykonywania umów z udziałem konsumentów, cz. II, PPH 2000, Nr 12

X. Konarski, Internet i prawo w praktyce, Warszawa 2002

X. Konarski, Komentarz do ustawy o świadczeniu usług drogą elektroniczną, Warszawa 2004

X. Konarski, Marketing bezpośredni w świetle ustawy o ochronie danych osobowych, Ochrona Danych Osobowych, Biul. ABI 2000

X. Konarski, Nowe zasady i tryb udostępniania danych osobowych, MoP 2011, Nr 3

X. Konarski, G. Sibiga, Nierozerwalny związek, Rzeczp. 19.4.2004 r.

X. Konarski, G. Sibiga, Przepisy trzeba poprawić, Rzeczp. 26.11.2004 r.

X. Konarski, G. Sibiga, Wizerunek w Internecie bez pełnej ochrony, Rzeczp. 10.6.2008 r.

X. Konarski, G. Sibiga, Zmiany w ustawie o ochronie danych osobowych w świetle dyrektywy 95/46/WE, MoP 2004, Nr 12

M. Kosiarski, Uczelnia musi zgłosić, co wie o kandydatach na studentów, Rzeczp. 9.6.2007 r.

M. Kosiarski, S. Wikariak, Lepiej nie ujawniać numeru komputera, Rzeczp. 12.11.2007 r.

J. Kosik, Zespół praw i jedno prawo podmiotowe jako metody ochrony dóbr osobistych w Kodeksie cywilnym, PPA 1977, Nr 9

C. Kosikowski, Ustawa o swobodzie działalności gospodarczej. Komentarz, Warszawa 2005

D. Kot, Dyrektywa Unii Europejskiej o handlu elektronicznym i jej implikacje dla prawa cywilnego, KPP 2001, Nr 1

M. Kotulski, Normy kontraktowe jako przejaw tworzenia i stosowania prawa administracyjnego, w: Źródła prawa administracyjnego. Konferencja z okazji 100 rocznicy urodzin profesora Jerzego Stefana Langroda (red. P. Dobosz, J. Zimmermann), Kraków 2005

K. Kowalik-Bańczyk, Prowspólnotowa wykładnia prawa polskiego, EPS 2000, Nr 3

A. Krasuski, D. Skolimowska, Dane osobowe w przedsiębiorstwie, Warszawa 2007

M. Królikowska, T. Osiej, Ochrona danych osobowych w praktyce. Pytania i odpowiedzi, Warszawa 2000

T. Kuczyński, Ochrona danych osobowych w stosunkach zatrudnienia, PS 1998, Nr 11–12

E. Kulesza, Agent nie jest administratorem, Rzeczp. 3.11.1999 r.

E. Kulesza, Ankieta, która budzi poważne wątpliwości, Rzeczp. 13.8.1999 r.

E. Kulesza, Celnik ma pisać i uzasadniać, Rzeczp. 18.1.2000 r.

E. Kulesza, Istotne rozróżnienie, Rzeczp. 14.2.2000 r.

E. Kulesza, Metryka nie zawsze potrzebna, Rzeczp. 15.3.2002 r.

E. Kulesza, Niespójności trzeba usunąć, Rzeczp. 1.7.1999 r.

E. Kulesza, Ochrona danych o stanie zdrowia w świetle ustawodawstwa europejskiego i polskiej ustawy o ochronie danych osobowych, Prawo i Medycyna 2000, Nr 5

E. Kulesza, Pewność obrotu gospodarczego, Rzeczp. 27.10.1999 r.

E. Kulesza, Podstawowe zagadnienia ochrony danych osobowych, Biuletyn Rzecznika Praw Obywatelskich 2000, Nr 38

E. Kulesza, Rejestr musi być aktualny, Rzeczp. 31.7.2000 r.

E. Kulesza, Trzeba informować, Rzeczp. 21.1.2000 r.

E. Kulesza, Tylko to, co niezbędne, Rzeczp. 2.7.1999 r.

E. Kulesza, W bankowym rejestrze, Rzeczp. 12.6.2000 r.

E. Kulesza, Wystarczy ułożyć alfabetycznie, Rzeczp. 20.7.2000 r.

E. Kulesza, Zbyt częste nieprawidłowości, Rzeczp. 1.2.2000 r.

E. Kulesza, Zdrowie: zasada i wyjątki, Rzeczp. 4.5.2000 r

E. Kulesza, G. Sibiga, Wykonanie obowiązku rejestracji zbiorów danych osobowych przez kasy chorych, Prawo i Medycyna 2000, Nr 6–7

B. Kurzępa, Przestępstwa z ustawy o ochronie danych osobowych, Prok. i Pr. 1999, Nr 6

E. Lehmann, M. Helfrich, Datenschutsrichlinie. Kurzkommentar, Kolonia 1999

B. Lewaszkiewicz-Petrykowska, W sprawie wykładni art. 448 KC, PS 1997, Nr 1

I. Lipowicz, Administracyjnoprawne zagadnienia informatyki, Katowice 1984

P. Litwiński, Obrót prawny bazami danych osobowych, PPH 2003, Nr 9

P. Litwiński, Przelew wierzytelności konsumenckiej a udostępnianie danych osobowych konsumenta, Glosa 2004, Nr 12

P. Litwiński, Świadczenie usług drogą elektroniczną, w: Prawo Internetu (red. P. Podrecki), Warszawa 2007

G. Łaszczyca, Cz. Martysz, A. Matan, Kodeks postępowania administracyjnego. Komentarz, t. I–II, Kraków 2005

G. Łaszczyca, Cz. Martysz, A. Matan, Postępowanie administracyjne ogólne, Warszawa 2003

E. Łętowska, Prawo umów konsumenckich, Warszawa 2002

E. Łętowska, Ustawa o ochronie niektórych praw konsumentów. Komentarz, Warszawa 2000

P. Majer (red.), Ochrona danych osobowych i prawo do prywatności w Kościele, Kraków 2002

Cz. Martysz, Zakres zastosowania Kodeksu postępowania administracyjnego w ustawie o ochronie danych osobowych, w: Przetwarzanie i ochrona danych osobowych (red. G. Szpor), Katowice 1998

A. Mednis, Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46 Nr 15/2011 (WP 187), MoP 2012, Nr 7

A. Mednis, Cesja wierzytelności konsumenckiej bez zgody konsumenta, Prawo i Ekonomia w Telekomunikacji 2005, Nr 4

A. Mednis, Ochrona danych osobowych w konwencji Rady Europy i dyrektywie Unii Europejskiej, PiP 1997, Nr 6

A. Mednis, Ochrona prawna danych osobowych a zagrożenia prywatności – rozwiązania polskie, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999

A. Mednis, Prawo do prywatności a interes publiczny, Warszawa 2006

A. Mednis, Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2001

A. Mednis, Uwagi na temat ustawy z 26.7.2001 r. o zmianie ustawy o ochronie danych osobowych (po poprawkach Senatu z 9.8.2001 r.), Ochrona Danych Osobowych, Biul. ABI 2001, Nr 18

C. Mik (red.), Implementacja prawa integracji europejskiej w krajowych porządkach prawnych, Toruń 1998

A. Młynarska-Sobaczewska, M. Sakowska, Przetwarzanie danych osobowych a przelew wierzytelności, PiP 2005, Nr 11

A. Młynarska-Sobaczewska, M. Sakowska-Baryła, Glosa do wyroku Sądu Najwyższego z 2.10.2006 r., Pal. 2008, Nr 9–10

E. Ochendowski, Prawo administracyjne. Część ogólna, Toruń 1999

Z. Okoń, Ochrona baz danych, w: Prawo Internetu (red. P. Podrecki), Warszawa 2007

M. Owen, E. Kiernan Earl, Data Protection: how did we get here and where are we going?, t. VIII, Communication Law 2003, Nr 7

J. Ożegalska-Trybalska, Adresy e-mailowe a dane osobowe, Ochrona Danych Osobowych. Biul. ABI 2000, Nr 23

J. Panowicz-Lipska, Majątkowa ochrona dóbr osobistych, Warszawa 1975

M. M. Pedrazzini (red.), Festschrift zum 65. Geburtstag, Berno 1990

S. Piątek, Prawo telekomunikacyjne. Komentarz, Warszawa 2013

P. Podrecki (red.), Prawo Internetu, Warszawa 2007

M. Polok, Ochrona tajemnicy państwowej i tajemnicy służbowej w polskim systemie prawnym, Warszawa 2006

A. Powałowski (red.), Ustawa o swobodzie działalności gospodarczej. Komentarz, Warszawa 2007

P. Przybysz, Kodeks postępowania administracyjnego. Komentarz, Warszawa 2005

P. Przybysz, Kompetencje egzekucyjne Generalnego Inspektora Ochrony Danych Osobowych oraz postępowanie egzekucyjne prowadzone przez organ ochrony danych osobowych, MoP 2011, Nr 3

Z. Radwański, Prawo cywilne. Część ogólna, Warszawa 2005

Z. Radwański (red.), System Prawa Prywatnego, t. II, Prawo cywilne – część ogólna, Warszawa 2002

A. Redelbach, Ochrona tajemnicy zawodowej notariusza w świetle ustawy o ochronie danych osobowych, Rej. 2001, Nr 5

S. Rozmaryn, O zasadach ogólnych postępowania administracyjnego, PiP 1961, Nr 12

M. Safjan, w: Kodeks cywilny. Komentarz (red. K. Pietrzykowski), t. I, Warszawa 2004

M. Safjan, Granice autonomii informacyjnej, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999

M. Safjan, Refleksje wokół konstytucyjnych uwarunkowań rozwoju ochrony dóbr osobistych, KPP 2002, Nr 1

M. Safjan, Zasada swobody umów, PiP 1993, Nr 4

M. Sakowska, Pojęcie „zbiór danych” na gruncie ustawy o ochronie danych osobowych, R. Pr. 2005, Nr 2

M. Sakowska, Pozycja ustrojowa i zadania Generalnego Inspektora Ochrony Danych Osobowych, Prz. Sejm. 2006, Nr 2

M. Sakowska, A. Młynarska-Sobaczewska, „Klauzula prasowa” z ustawy o ochronie danych osobowych jako gwarancja wolności wypowiedzi, PiP 2005, Nr 1

G. Sibiga, Dostęp do informacji publicznej a prawa do prywatności jednostki i ochrony jej danych osobowych, ST 2002, Nr 11

G. Sibiga, Martwy obowiązek aktualizacji, Rzeczp. 4.4.2002 r.

G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003

G. Sibiga, Udostępnienie akt sprawy a udostępnienie danych osobowych. Glosa do postanowienia SN z 22.2.2001 r., MoP 2003, Nr 23

G. Sibiga, Zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Danych Osobowych, MoP 1999, Nr 8

R. Sikorski, Ochrona sui generis baz danych w prawie polskim, RPEiS 2004, Nr 1

S. Simitis, „Sensitive Daten” – Zur Geschichte und Wirkung einer Fiktion, w: Festschrift zum 65. Geburtstag von (red. M. M. Pedrazzini), Berno 1990

S. Singleton, Data Protection. The New Law, Bristol 1998

A. Siostrzonek, Dane osobowe gromadzone w bazach danych i ich ochrona w prawie polskim, Rej. 1999, Nr 9

R. Skubisz (red.), Internet 2000. Prawo – ekonomia – kultura, Lublin 2000

E. Sobol (red.), Mały słownik języka polskiego, Warszawa 1995

S. Stanisławska-Kloc, Problematyka prawnej ochrony „tradycyjnych” i „elektronicznych” baz danych, R. Pr. 2001, Nr 2

M. Stanowska, Udostępnianie dziennikarzom akt sądowych i prokuratorskich, PS 2001, Nr 10

T. Stawecki, Rejestry publiczne. Funkcje instytucji, Warszawa 2005

R. Szałowski, Ochrona danych osobowych. Komentarz do ustawy z 29.8.1997 r., Zielona Góra 2000

T. Szewc, Udostępnianie danych osobowych na wniosek, MoP 2006, Nr 22

A. Szewc, Z problematyki ochrony danych osobowych, cz. I, R. Pr. 1999, Nr 3

A. Szewc, Z problematyki ochrony danych osobowych, cz. II, R. Pr. 1999, Nr 4

A. Szewc, Z problematyki ochrony danych osobowych, cz. III, R. Pr. 1999, Nr 5

M. Szewczyk, Nadzór w materialnym prawie administracyjnym, Poznań 1995

G. Szpor, Informacja w zagospodarowaniu przestrzennym, Katowice 1998

G. Szpor (red.), Przetwarzanie i ochrona danych osobowych, Katowice 1998

G. Szpor, Publicznoprawna ochrona danych osobowych, PUG 1999, Nr 12

G. Szpor, Ustawa o ochronie danych osobowych, w: Wolność informacji i jej granice (red. G. Szpor), Katowice 1997

G. Szpor (red.), Wolność informacji i jej granice, Katowice 1997

A. Szpunar, Ochrona czci w prawie cywilnym, Studia Iuridica Silesiana 1979, t. V

A. Szpunar, Zgoda uprawnionego w zakresie ochrony dóbr osobistych, RPEiS 1990, Nr 1

B. Świątkiewicz, Zasada indywidualizacji odpowiedzialności karnej, Przegląd Policyjny 1992, Nr 1

E. Traple (red.), Prawo reklamy i promocji, Warszawa 2007

M. T. Tinnenfeld, Ochrona danych – kamień węgielny budowy Europy, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999

J. P. Tarno, Zasady ogólne KPA w orzecznictwie Naczelnego Sądu Administracyjnego, Studia Prawno-Ekonomiczne 1986, t. XXXVI

M. Wierzbowski (red.), Prawo administracyjne, Warszawa 2002

W. R. Wiewiórkowski, Nowe ramy ochrony danych osobowych w Unii Europejskiej, MoP 2012, Nr 7

T. Woś, H. Knysiak-Molczyk, M. Romańska, Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, Warszawa 2005

M. Wyrzykowski (red.), Ochrona danych osobowych, Warszawa 1999

M. Wyrzykowski, Ochrona danych – zagadnienia konstytucyjne, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999

J. Zimmermann, Prawo administracyjne, Kraków 2005

W. Zimny, Czy adresy e-mailowe są danymi osobowymi?, Ochrona Informacji, Biul. TISM 2002, Nr 2

W. Zimny, Imienna kolejka na poczcie, Rzeczp. 10.8.2001 r.

W. Zimny, Omówienie przedłożenia rządowego nowelizacji ustawy o ochronie danych osobowych, Ochrona Danych Osobowych, Biul. ABI 2001, Nr 17

W. Zimny, Przesłanki legalizujące przetwarzanie, Ochrona Danych Osobowych, Biul. ABI 2000, Nr 4

W. Zimny, Udostępnianie danych osobowych w trybie art. 29 ustawy o ochronie danych osobowych. Część I, Ochrona Danych Osobowych, Biul. ABI 2000, Nr 6

W. Zimny, Udostępnienie danych osobowych w trybie art. 29 ustawy o ochronie danych osobowych. Część II, Ochrona Danych Osobowych, Biul. ABI 2000, Nr 7

M. Zmyślony, O ochronie danych i zabezpieczeniu systemów teleinformatycznych w administracji rządowej, w: Internet 2000. Prawo – ekonomia – kultura (red. R. Skubisz), Lublin 2000

Cz. Żuławska, Wokół zasady wolności umów (art. 353¹ KC i wykładnia zwyczaju), Acta Universitatis Wratislavensis 1994, Nr 1960

A. Komentarz

Ustawa o ochronie danych osobowych

z dnia 29 sierpnia 1997 r. (Dz.U. Nr 133, poz. 883)[1],[2]

tekst jednolity z dnia 17 czerwca 2002 r. (Dz.U. Nr 101, poz. 926)

(zm.: Dz.U. 2011, Nr 230, poz. 1371; Dz.U. 2010, Nr 41, poz. 233, Nr 182, poz. 1228, Nr 229, poz. 1497; Dz.U. 2007, Nr 165, poz. 1170, Nr 176, poz. 1238; Dz.U. 2006, Nr 104, poz. 708, poz. 711; Dz.U. 2004, Nr 25, poz. 219, Nr 33, poz. 285; Dz.U. 2002, Nr 153, poz. 1271)

Rozdział 1. Przepisy ogólne

Wprowadzenie

1

1. Cel ochrony danych osobowych. Celem publicznoprawnej ochrony danych osobowych jest zagwarantowanie możliwości podejmowania decyzji w sferze informacji przez jednostkę, której te informacje dotyczą, a zarazem zapewnienie realizacji prawnie chronionego prawa jednostki do prywatności i intymności. Ochrona danych osobowych stawia sobie za cel wzmocnienie autonomii jednostki w realizacji przysługujących jej praw, w szczególności prawa do prywatności, za pomocą procedur o charakterze organizacyjnym i za pomocą środków technicznych [M. T. Tinnenfeld, Ochrona danych – kamień węgielny budowy Europy, w: Ochrona danych osobowych (red. M. Wyrzykowski), Warszawa 1999, s. 35–39]. Jednocześnie uwzględnić należy niewątpliwy konflikt chronionych przez prawo wartości, do którego dochodzi na styku prawa jednostki do ochrony informacji o niej samej oraz przysługującej każdemu wolności gromadzenia i przetwarzania informacji (G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 16).

2

2. Pierwszy akt prawny chroniący dane osobowe. W skali międzynarodowej, za pierwszy akt prawny z dziedziny ochrony danych osobowych uznaje się Konwencję Nr 108 Rady Europy z 28.1.1981 r. o ochronie osób ze względu na automatyczne przetwarzanie danych o charakterze osobowym. Postanowienia konwencji oddziałują jednak jedynie w sferze publicznoprawnej, nie wywołują natomiast żadnych skutków prawnych bezpośrednio po stronie obywateli państw, które ją ratyfikowały (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2004, s. 71; por. także A. Mednis, Ochrona danych osobowych w konwencji Rady Europy i dyrektywie Unii Europejskiej, PiP 1997, Nr 6, s. 31).

3

3. Pierwsza na świecie ustawa o ochronie danych osobowych. Ustawodawstwo wewnętrzne państw-stron Konwencji uchwalone po jej przyjęciu okazało się w praktyce bardzo zróżnicowane. Pierwsza na świecie ustawa o ochronie danych osobowych uchwalona została w 1970 r. przez parlament krajowy kraju związkowego Hesji, a pierwszą ustawą na szczeblu krajowym była ustawa szwedzka z 1973 r. 

4

4. Dyrektywa o ochronie danych osobowych. W ramach instytucji Unii Europejskiej prowadzone były od 1990 r. prace mające na celu opracowanie projektu dyrektywy dotyczącej ochrony danych osobowych. W ich rezultacie przyjęto dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z 24.10.1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych (Dz.Urz. WE L Nr 281, s. 31). Dyrektywa, jako akt prawa wtórnego Unii Europejskiej wiąże – podobnie jak Konwencja Nr 108 Rady Europy – państwa członkowskie Unii w odniesieniu do rezultatu, który ma być osiągnięty, pozostawia jednak organom krajowym swobodę wyboru formy i środków stosowanych w tym celu [S. Biernat, w: Prawo Unii Europejskiej (red. J. Barcz), Warszawa 2004, s. 212].

5

5. Akty międzynarodowe o ochronie danych osobowych. Akty prawne rangi międzynarodowej odnoszące się do ochrony danych osobowych są stosowane do przetwarzania danych osobowych tak w sektorze prywatnym, jak i w sektorze publicznym (por. L. A. Bygrave, Data Protection Law. Approaching Its Rationale, Logic and Limits, Haga–Londyn–Nowy Jork 2002, s. 53). W szczególności samo pojęcie administratora danych osobowych, definiowane w art. 2 pkt d dyrektywy 95/46/WE, obejmuje także podmioty ze sfery prawa publicznego – w definicji wyraźnie wymieniono „urzędy publiczne, agendy lub inne organy” (cyt. za: J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 864; oficjalny tekst dyrektywy w języku angielskim posługuje się zwrotem public authority, agency or any other body). Co więcej, także pojęcia podmiotu przetwarzającego dane osobowe na zlecenie, podmiotu trzeciego, a także odbiorcy danych, zdefiniowane zostały z wykorzystaniem tego samego zwrotu, tak więc zakres tych pojęć obejmuje także podmioty należące do szeroko pojmowanego sektora publicznego. Stanowisko to zostało potwierdzone przez Trybunał Sprawiedliwości Unii Europejskiej w wyr. z 20.5.2003 r., C-465/00, C-138/01 oraz C-139/01, Rechnungshof przeciwko Österreichischer Rundfunk i innym oraz Christa Neukomm i Joseph Lauermann przeciwko Österreichischer Rundfunk, Zb. Orz. 2003, s. 4989, w którym Trybunał przyjął, że zastosowanie przepisów dyrektywy 95/46/WE nie może zostać w konkretnej sprawie uzależnione od tego, czy stan faktyczny, leżący u podstaw stosowania dyrektywy, pozostaje w związku z którąkolwiek z podstawowych swobód gwarantowanych przez Traktat ustanawiający Wspólnotę Europejską (Traktat o utworzeniu Europejskiej Wspólnoty Gospodarczej zawarty w Rzymie 25.3.1957 r.), w szczególności ze swobodą przepływu osób pomiędzy państwami Unii Europejskiej. Jednocześnie Trybunał podkreślił, że postanowienia dyrektywy znajdują pełne zastosowanie do przetwarzania danych osobowych przez organy administracji państw członkowskich Unii Europejskiej (P. J. Hustinx, Data Protection and Security in European Union, referat wygłoszony w trakcie 14 Forum Ochrony Danych Osobowych, 23.6.2005, Wiesbaden 2005, s. 3).

6

6. Rozporządzenie Nr 45/2001. W ramach samej Unii Europejskiej, jej organy zobowiązane są dodatkowo do przestrzegania postanowień rozporządzenia Nr 45/2001 Parlamentu Europejskiego i Rady z 18.12.2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (Dz.Urz. WE L z 2001 r. Nr 8, s. 1). Rozporządzenie stanowi wykonanie obowiązku, o jakim mowa w art. 16 TFUE (dawny art. 286 TWE), a jednocześnie nie wywiera wpływu na prawa i obowiązki państw członkowskich Unii Europejskiej wynikające z dyrektywy 95/46/WE.

7

7. Odstępstwa od postanowień dyrektywy 95/46/WE. Postanowienia dyrektywy 95/46/WE nie wyznaczają minimalnego standardu ochrony danych osobowych, lecz służą zarówno ochronie osób fizycznych, jak i zapewnieniu swobodnego przepływu danych osobowych. Dlatego ustawodawca krajowy nie powinien odstępować od postanowień dyrektywy, jeżeli ona sama nie dopuszcza takich odstępstw (A. Drozd, Ustawa o ochronie danych osobowych. Komentarz. Wzory pism i przepisy, Warszawa 2004, s. 15).

8

8. Projekt nowego rozporządzenia o ochronie danych. W czasie, gdy przygotowywane jest do druku to wydanie komentarza, trwają prace nad projektem rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych (ogólne rozporządzenie o ochronie danych). Projekt rozporządzenia opublikowany został oficjalnie przez Komisję Europejską w dniu 25.1.2012 r. Wśród proponowanych zmian na plan pierwszy wybija się zmiana formy prawnej z dyrektywy na rozporządzenie, które zacznie obowiązywać bezpośrednio w systemie prawnym państw członkowskich Unii Europejskiej. Kształt poszczególnych instytucji uregulowanych w rozporządzeniu jest obecnie w fazie ustalania (por. szerzej na ten temat W. R. Wiewiórkowski, Nowe ramy ochrony danych osobowych w Unii Europejskiej, MoP 2012, Nr 7).

9

9. Ochrona danych osobowych w Konstytucji RP. W polskim systemie prawnym, ochrona danych osobowych wywodzi się z przepisów Konstytucji RP – w art. 47 Konstytucja RP gwarantuje każdemu prawo do ochrony życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym, natomiast w art. 51 Konstytucji RP zawarte zostały bezpośrednie gwarancje ochrony danych osobowych (G. Sibiga, Postępowanie, s. 22). Należy wśród nich wymienić:

 a) prawo do samodzielnego decydowania każdej osoby o ujawnianiu dotyczących jej informacji,

 b) prawo każdej osoby do sprawowania kontroli nad informacjami na swój temat, gwarantowane prawem dostępu do dotyczących jej urzędowych dokumentów i zbiorów danych,

 c) prawo do weryfikowania lub żądania usunięcia danych osobowych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 120–122).

10

10. Ustawa o ochronie danych osobowych. W art. 51 ust. 5 Konstytucji RP zawarto zapowiedź uchwalenia ustawy regulującej „zasady i tryb gromadzenia oraz udostępniania informacji”. Jak powszechnie przyjmuje się w nauce prawa [por. A. Mednis, Ochrona prawna danych osobowych a zagrożenia prywatności – rozwiązania polskie, w: Ochrona (red. M. Wyrzykowski), s. 168; B. Kurzępa, Przestępstwa z ustawy o ochronie danych osobowych, Prok. i Pr. 1999, Nr 6, s. 45], wykonaniem tej zapowiedzi stało się uchwalenie ustawy z 29.8.1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.). Ustawa przyjęta została również w wykonaniu zobowiązania zapewnienia przez Rzeczpospolitą Polską zgodności jej przyszłego ustawodawstwa z ustawodawstwem unijnym, stosownie do treści art. 68 Układu Europejskiego, ustanawiającego stowarzyszenie między Rzeczpospolitą Polską a Unią Europejską i jej Państwami Członkowskimi, sporządzonego 16.12.1991 r. (Dz.U. z 1994 r. Nr 11, poz. 38 ze zm.). W chwili uchwalenia ustawy nie można było jednak mówić o jej zgodności z dyrektywą 95/46/WE, a co za tym idzie, ustawa w pierwotnym brzmieniu nie mogła zostać uznana za implementację dyrektywy. Z tego względu konieczne stały się jej dwie istotne nowelizacje, dokonane w 2001 i 2004 r. 

11

11. Rozporządzenia wykonawcze. Na przepisy o ochronie danych osobowych sensu stricto (G. Sibiga, Postępowanie, s. 26) składają się, oprócz przepisów ustawy o ochronie danych osobowych, także wydane na jej podstawie i w celu wykonania jej przepisów rozporządzenia wykonawcze:

 a) rozporządzenie Prezydenta Rzeczypospolitej Polskiej z 10.10.2011 r. w sprawie nadania statutu Biuru Generalnego Inspektora Ochrony Danych Osobowych (Dz.U. Nr 225, poz. 1350),

 b) rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 29.4.2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. Nr 100, poz. 1024),

 c) rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 11.12.2008 r. w sprawie wzoru zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz.U. Nr 229, poz. 1536),

 d) rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 22.4.2004 r. w sprawie wzorów imiennego upoważnienia i legitymacji służbowej inspektora Biura Generalnego Inspektora Ochrony Danych Osobowych (Dz.U. Nr 94, poz. 923 ze zm.).

12

12. Przepisy prawa materialnego i procesowego dotyczące przetwarzania i ochrony danych osobowych. Można wyróżnić przepisy o ochronie danych osobowych sensu largo, na które składają się inne, rozproszone w wielu ustawach, przepisy prawa materialnego i procesowego dotyczące przetwarzania i ochrony danych osobowych (G. Sibiga, Postępowanie, s. 27). Zawsze wtedy gdy przepis odrębnej ustawy odnoszący się do przetwarzania danych osobowych będzie przewidywał dalej idącą ochronę, niżby to wynikało z przepisów ustawy o ochronie danych osobowych, powstanie normatywny, bo wynikający z art. 5 OchrDanOsU, obowiązek zastosowania przepisu ustaw szczególnej (por. A. Drozd, Ustawa, s. 33).

Art. 1. [Prawo do ochrony]

1. Każdy ma prawo do ochrony dotyczących go danych osobowych.

2. Przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą.

1

1. Ochrona prywatności informacyjnej. Jednym z aspektów prawa do prywatności, którego wyspecjalizowaną postać stanowi ochrona danych osobowych [M. Safjan, Granice autonomii informacyjnej, w: Ochrona (red. M. Wyrzykowski), s. 10], jest ochrona tzw. prywatności informacyjnej, na którą składa się uprawnienie jednostki do kontrolowania treści i obiegu informacji, które tej jednostki dotyczą (A. Mednis, Ochrona prawna danych, s. 167). W orzecznictwie sądowym zasadę autonomii informacyjnej sformułowano po raz pierwszy w orzecznictwie niemieckim. W wyroku niemieckiego Federalnego Trybunału Konstytucyjnego z 15.12.1983 r. (1BvR 209/83) Trybunał przyjął, że „w warunkach nowoczesnego przetwarzania danych”, Konstytucja Republiki Federalnej Niemiec chroni jednostkę przed „nieograniczonym gromadzeniem, używaniem i przekazywaniem jej danych osobowych”. Konstytucja gwarantuje również „prawo jednostki do zasadniczo samodzielnego stanowienia o ujawnianiu i używaniu jej danych osobowych”. Trybunał Federalny zwrócił także uwagę na możliwości ograniczenia prawa do „informacyjnego samostanowienia” – ograniczenia tego prawa dopuszczalne są jednak wyłącznie, gdy przeważa interes ogółu, przy zachowaniu zasady proporcjonalności. Jednocześnie, jak podkreślił Trybunał, prawo do „informacyjnego samostanowienia” nie jest zapewnione bez granic. Jednostka nie dysponuje prawem w rozumieniu bezwzględnego, niedającego się niczym ograniczyć panowania nad „swoimi” danymi.

2

2. Ochrona życia prywatnego w Konstytucji RP. Dorobek niemieckiego Federalnego Trybunału Konstytucyjnego został w istotnej części przejęty w orzecznictwie polskiego Trybunału Konstytucyjnego – zgodnie z ustalonym orzecznictwem Trybunału ochrona życia prywatnego, gwarantowana konstytucyjnie co do zasady w art. 47 Konstytucji RP, obejmuje sobą także autonomię informacyjną, rozumianą przez Trybunał jako prawo do samodzielnego decydowania o ujawnianiu innym informacji dotyczących swojej osoby, a także prawo do sprawowania kontroli nad takimi informacjami, jeżeli znajdują się w posiadaniu innej osoby (wyr. TK z 19.2.2002 r., U 3/01, OTK-A 2002, Nr 1, poz. 3).

3

3. Zasada autonomii informacyjnej. Szczegółowy zakres uprawnień wchodzących w zakres zasady autonomii informacyjnej może zostać określony na podstawie wielu orzeczeń Trybunału Konstytucyjnego. Trybunał przyznaje podstawowe znaczenie woli osoby, której dotyczą informacje i dane. Stwierdził, że „istota autonomii informacyjnej każdego człowieka sprowadza się do pozostawienia każdej osobie swobody w określeniu sfery dostępności dla innych wiedzy o sobie. Zasadą powszechnie przyjmowaną według takiego ujęcia jest ochrona każdej informacji osobowej i przyznanie podstawowego znaczenia przesłance zgody osoby zainteresowanej na udostępnienie informacji” (wyr. TK z 12.11.2002 r., SK 40/02, OTK-A 2002, Nr 6, poz. 81). Takie stanowisko pozostaje w zgodzie z poglądami nauki prawa w tym zakresie – jak bowiem podkreślono w literaturze, cała koncepcja nowoczesnego podejścia do sfery autonomii informacyjnej przyjmuje za punkt wyjścia ochronę wszelkich danych osobowych i kryterium zgody jako podstawową przesłankę legalności ich ujawniania (M. Safjan, Refleksje wokół konstytucyjnych uwarunkowań rozwoju ochrony dóbr osobistych, KPP 2002, Nr 1, s. 238).

4

4. Źródła o charakterze normatywnym. Funkcję źródła o charakterze normatywnym dla zasady autonomii informacyjnej spełnia art. 51 Konstytucji RP. Po pierwsze, uprawnieniem wynikającym z art. 51 Konstytucji RP jest prawo do nieujawniania informacji dotyczących osoby. Regułą jest więc prawo do nieujawniania informacji o charakterze danych osobowych, a wyjątkiem od tej reguły – zobowiązanie do ich ujawniania, które może zostać nałożone wyłącznie w drodze ustawy (M. Safjan, Refleksje, s. 25). Stanowisko to znalazło potwierdzenie w orzecznictwie Trybunału Konstytucyjnego. W wyr. z 19.2.2002 r., U3/01 (OTK-A 2002, Nr 1, poz. 3), Trybunał podkreślił, że obowiązek ujawnienia informacji o osobie stanowi ograniczenie autonomii informacyjnej jednostki. Analogicznie, w wyr. z 21.10.1998 r., K 24/98 (OTK 1998, Nr 6, poz. 97), Trybunał stwierdził, że sfera prywatności jednostki naruszana jest już przez sam obowiązek złożenia przez nią oświadczenia lustracyjnego, a więc w wyniku ujawnienia przez jednostkę informacji mających charakter danych osobowych.

5

5. Zasada niepozyskiwania, niegromadzenia i nieudostępniania informacji o obywatelach. Zasadzie nieujawniania przez osobę informacji jej dotyczących odpowiada zasada niepozyskiwania, niegromadzenia i nieudostępniania informacji o obywatelach przez organy władzy publicznej [M. Wyrzykowski, Ochrona danych – zagadnienia konstytucyjne, w: Ochrona (red. M. Wyrzykowski), s. 25]. Należy jednak podkreślić, że gwarantowana konstytucyjnie ochrona prawa do życia prywatnego nie ma charakteru absolutnego i może podlegać pewnym ograniczeniom (por. orz. TK z 19.6.1992 r., U 6/92, OTK 1992, Nr 1, poz. 13; orz. TK z 26.4.1995 r., K 11/94, OTK 1995, Nr 1, poz. 12; orz. TK z 21.11.1995 r., K 12/95, OTK 1995, Nr 3, poz. 15; orz. TK z 24.6.1997 r., K 21/96, OTK 1997, Nr 2, poz. 23; uchw. TK z 2.3.1994 r., W 3/93, OTK 1994, Nr 1, poz. 17; uchw. TK z 16.3.1994 r., W 8/93, OTK 1994, Nr 1, poz. 18; uchw. TK z 24.4.1996 r., W 14/95, OTK 1996, Nr 2, poz. 14).

6

6. Ograniczenia wolności. Ustawowe ograniczenia wolności, w tym autonomii informacyjnej, dopuszczalne są w świetle orzecznictwa Trybunału Konstytucyjnego wyłącznie w razie spełnienia czterech warunków: „Po pierwsze, ustawowe ograniczenie wolności może nastąpić tylko wówczas, gdy dopuszczone jest w sposób wyraźny w innych przepisach konstytucyjnych, bądź gdy konieczne jest zharmonizowanie tej wolności z innymi normami, zasadami lub wartościami konstytucyjnymi. Po drugie, ustawowe ograniczenia wolności wprowadzane być mogą tylko w niezbędnym zakresie. Ustawodawca może ingerować w sferę wolności obywatela tylko w razie konieczności i tylko w koniecznym wymiarze. Innymi słowy, konieczne zachowanie jest proporcji między stopniem ograniczenia wolności jednostki, a rangą chronionego interesu publicznego, czyli zakazana jest nadmierna ingerencja Państwa w swobodę działania jednostki. Po trzecie, ustawowe ograniczenia wolności traktowane być muszą w kategoriach wyjątków. Ich istnienie zawsze musi wynikać z wyraźnie sformułowanych przepisów ustawowych i nie może opierać się na domniemaniu. Po czwarte, ani poszczególne ograniczenia, ani ich suma, nie mogą naruszać istoty ograniczanego prawa czy wolności” (por. orz. TK z 21.11.1995 r., K 12/95, OTK 1995, Nr 3, s. 15).

7

7. Ograniczenie prawa do prywatności. W odniesieniu do ograniczenia prawa do prywatności należy odnotować pogląd zawarty w zdaniu odrębnym sędziego TK J. Skórzewskiej-Łosiak do wyr. TK z 11.3.2000 r., K 15/98 (OTK 2000, Nr 3, poz. 86), zgodnie z którym „ograniczenia prawa do prywatności są dopuszczalne, jeżeli umożliwiają ochronę bezpieczeństwa państwa, porządku publicznego, zdrowia, moralności publicznej, środowiska albo wolności lub praw innych osób. Muszą one być zgodne z zasadą proporcjonalności. Ustanowione ograniczenia spełniają wymóg proporcjonalności, jeżeli: a) wprowadzona regulacja ustawodawcza jest w stanie doprowadzić do zamierzonych przez nią skutków (zasada przydatności), b) regulacja ta jest niezbędna dla ochrony interesu publicznego, z którym jest powiązana (zasada konieczności), a ponadto c) jej efekty pozostają w proporcji do ciężarów nakładanych przez nią na obywatela (zasada proporcjonalności w ścisłym tego słowa znaczeniu)”.

8

8. Termin „gromadzenie informacji”. W przypadku ochrony danych osobowych stanowiącej element zasady autonomii informacyjnej, Trybunał zwrócił uwagę, że w myśl art. 51 ust. 5 Konstytucji RP: „zasada wyłączności ustawy obejmuje zasady i tryb gromadzenia i udostępniania informacji. (...) W ocenie Trybunału Konstytucyjnego, termin «gromadzenie informacji» użyty w wymienionym przepisie obejmuje nie tylko wąsko rozumiane czynności zbierania informacji dotyczących jednostki, ale również różnego rodzaju operacje przetwarzania tych informacji. (...) Regulacji ustawowej wymaga określenie warunków dopuszczalności przetwarzania danych osobowych. Szczególnej precyzji wymaga natomiast określenie warunków przetwarzania danych odnoszących się do sfery intymności jednostki. W drodze rozporządzenia mogą natomiast podlegać regulacji niektóre sprawy szczegółowe i techniczne związane z przetwarzaniem danych” (wyr. TK z 19.2.2002 r., U 3/01, OTK-A 2002, Nr 1, poz. 3; por. także M. Jackowski, Ochrona danych medycznych, Warszawa 2002, s. 99).

9

9. Dopuszczalność przetwarzania informacji o obywatelach. Jak stwierdził Trybunał Konstytucyjny: „ani (...) względy celowości, ani wygody władzy nie uzasadniają naruszenia autonomii informacyjnej. Jej naruszenie może nastąpić, jeżeli jest to konieczne w demokratycznym państwie prawnym” (wyr. TK z 20.11.2002 r., K 41/02, OTK-A 2002, Nr 6, s. 83 z glosą J. Galstera, Prz. Sejm. 2002, Nr 2, s. 123). Także w orzecznictwie Europejskiego Trybunału Praw Człowieka podkreślano, że pojęcie konieczności, o której mowa w art. 8 ust. 2 Konwencji, zakłada, że „ingerencja jest związana z pilną potrzebą społeczną oraz, w szczególności, że jest proporcjonalna do zamierzonego słusznego celu (...)” (por. wyr. ETPC z 26.3.1987 r. w sprawie Leander przeciwko Szwecji, skarga Nr 9248/81). Interes państwa, wyrażający się w ochronie porządku publicznego, musi być więc zrównoważony ze stopniem ingerencji w prawo jednostki (tak TK w wyr. z 20.6.2005 r., K 4/04, OTK-A 2005, Nr 6, poz. 64). Powstaje zatem pytanie, jak w świetle zasady autonomii informacyjnej jednostki należy co do zasady ocenić dopuszczalność przetwarzania informacji o obywatelach przez organy administracji publicznej w toku prowadzonych przez nie postępowań.

10

10. Ograniczenie zasady autonomii informacyjnej. Zgodnie z art. 31 ust. 3 Konstytucji RP ograniczenia w zakresie korzystania z konstytucyjnych wolności i praw mogą być ustanawiane, zgodnie z zasadą proporcjonalności, jeżeli są konieczne ze względu na ochronę bezpieczeństwa państwa, porządku publicznego, zdrowia, moralności publicznej, środowiska albo wolności lub praw innych osób. Ta zasada znajduje również zastosowanie do ustawowego ograniczenia prawa do prywatności (wyr. TK z 11.4.2000 r., K 15/98, OTK 2000, Nr 3, poz. 86), a więc także ograniczeń w zakresie prywatności informacyjnej. Aby ocenić, czy ograniczenie zasady autonomii informacyjnej przejawiające się w dopuszczalności przetwarzania przez organy administracji publicznej danych osobowych obywateli w toku postępowań administracyjnych znajduje konstytucyjne podstawy, należy w pierwszej kolejności ustalić, czy takie ograniczenie można uznać za jedną z wartości, o których mowa w art. 31 ust. 3 Konstytucji RP.

11

11. Pojęcie „porządek publiczny”. W nauce prawa zwrócono uwagę, że elementem składającym się na szersze pojęcie porządku publicznego jest wartość określana jako dobro wymiaru sprawiedliwości. Jest to wartość związana z zapobieganiem przestępczości i dobrobytem gospodarczym kraju, jednak pełniąca szerszą funkcję – dobro wymiaru sprawiedliwości obejmuje bowiem sprawne działanie całego wymiaru sprawiedliwości nie tylko w sprawach karnych, lecz także cywilnych i administracyjnych (A. Mednis, Prawo do prywatności a interes publiczny, Warszawa 2006, s. 237). Nie ulega wątpliwości, że w związku z wykorzystaniem informacji o charakterze danych osobowych na potrzeby toczących się postępowań, mamy do czynienia z konfliktem dóbr chronionych – dobru wymiaru sprawiedliwości przeciwstawia się dobro w postaci prywatności i poufności informacji, które przysługuje stronom postępowania (por. wyr. TK z 22.11.2004 r., SK 64/03, OTK-A 2004, Nr 10, poz. 107). Jednak interes państwa przejawiający się w trosce ustawodawcy o należyte, harmonijne współżycie członków społeczeństwa, co obejmuje ochronę interesów poszczególnych osób, jak i dóbr społecznych (tak wyr. TK z 12.1.1999 r., P 2/98, OTK 1999, Nr 1, poz. 2), uzasadnia w tym przypadku ograniczenie prawa do prywatności informacyjnej jednostek w celu umożliwienia prawidłowego funkcjonowania wymiaru sprawiedliwości w szerokim rozumieniu tego pojęcia, obejmującego także postępowanie administracyjne.

12

12. Zakres ograniczeń prywatności informacyjnej. Ograniczenie konstytucyjnie chronionej prywatności informacyjnej jednostki, przez umożliwienie organom władzy publicznej pozyskiwania, gromadzenia i udostępniania informacji o obywatelach, dopuszczalne jest wyłącznie w takim zakresie, w jakim jest to niezbędne w demokratycznym państwie prawnym (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 123). W każdym przypadku więc ingerencja w sferę prywatności informacyjnej, a więc wykorzystanie informacji stanowiących dane osobowe, musi nosić cechy niezbędności charakterystycznej dla demokratycznego państwa prawnego.

Art. 2. [Przedmiot regulacji]

1. Ustawa określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych.

2.[3] Ustawę stosuje się do przetwarzania danych osobowych:

 1) w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych,

 2) w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych.

3. W odniesieniu do zbiorów danych osobowych sporządzanych doraźnie, wyłącznie ze względów technicznych, szkoleniowych lub w związku z dydaktyką w szkołach wyższych, a po ich wykorzystaniu niezwłocznie usuwanych albo poddanych anonimizacji, mają zastosowanie jedynie przepisy rozdziału 5.

1

1. Zakres przedmiotowy OchrDanOsU. Artykuł 2 ustawy wyznacza zakres przedmiotowy zastosowania ustawy o ochronie danych osobowych. Precyzyjne wyznaczenie zakresu zastosowania przepisów komentowanej ustawy budzi jednak w nauce prawa, jak również w orzecznictwie, wiele kontrowersji. Koncentrują się one wokół odpowiedzi na pytanie, czy przepisy ustawy o ochronie danych osobowych są stosowane wyłącznie do przetwarzania danych osobowych w zbiorach danych, czy też do przetwarzania danych poza zbiorami, w postaci pojedynczych informacji (danych). W świetle tego M. Sakowska zwraca uwagę na „niefortunne” sformułowanie art. 2 ust. 1 i 2 OchrDanOsU, które nie pozwala na prawidłowe wyznaczenie zakresu przedmiotowego ustawy (M. Sakowska, Pojęcie „zbiór danych” na gruncie ustawy o ochronie danych osobowych, R. Pr. 2005, Nr 2, s. 62).

2

2. Zakres regulacji OchrDanOsU. Zakresem regulacji ustawy o ochronie danych osobowych objęte są zagadnienia związane z przetwarzaniem danych osobowych – przesądza o tym treść art. 2 ust. 1 OchrDanOsU. W nauce prawa nie ma jednak zgody co do interpretacji tego przepisu w zestawieniu z art. 2 ust. 2, który wskazuje sytuacje przetwarzania danych osobowych, do których znajdują zastosowania przepisy ustawy – ustawodawca wprowadził bowiem rozróżnienie (A. Drozd, Zakres zakazu przetwarzania danych osobowych, PiP 2003, Nr 2, s. 43) przetwarzania danych osobowych na: w zbiorach ewidencyjnych (art. 2 ust. 2 pkt 1) oraz w systemach informatycznych (art. 2 ust. 2 pkt 2).

3

3. Zbiory danych osobowych. Punktem wyjścia dla przyjęcia jednego ze stanowisk reprezentowanych w nauce prawa jest definicja zbioru danych osobowych, wokół której ogniskują się rozważania nauki prawa związane z zakresem zastosowania przepisów ustawy o ochronie danych osobowych (por. uwagi do art. 7 OchrDanOsU). Pojęcie zbioru danych osobowych nie jest jednak jedynym pojęciem, którego prawidłowa interpretacja przesądzać będzie o zakresie przedmiotowym zastosowania ustawy o ochronie danych osobowych – w art. 2 ust. 2 ustawa odwołuje się bowiem do pewnych kategorii tzw. zbiorów ewidencyjnych danych osobowych, takich jak kartoteki, skorowidze, księgi, wykazy. Powstaje więc w pierwszej kolejności pytanie o to, jak należy rozumieć pojęcie zbioru ewidencyjnego, w szczególności w zestawieniu z pojęciem zbioru danych osobowych.

4

4. Zbiory ewidencyjne. W nauce prawa zbiory ewidencyjne definiuje się jako zestawienia danych osobowych, które mają strukturę umożliwiającą dostęp do danych według jednego kryterium (A. Drozd, Ustawa, s. 19). Podkreśla się przy tym, że istoty zbioru ewidencyjnego należy doszukiwać się w posiadaniu przez niego struktury, która ułatwia przetwarzanie danych osobowych w zbiorze (A. Drozd, Zakres, s. 44). Powstaje więc pytanie, czym tak rozumiany zbiór ewidencyjny różni się od zbioru danych osobowych w znaczeniu, jakie temu pojęciu przypisuje art. 7 pkt 1 OchrDanOsU. Tak postawione pytanie jest o tyle zasadne, że pozwala udzielić odpowiedzi na pytanie o stosunek art. 2 ust. 2 do art. 2 ust. 1 ustawy.

5

5. Postać kwalifikowana zbiorów danych. W literaturze przedmiotu przedstawione zostały dwie możliwości rozwiązania wskazanego wyżej problemu. Po pierwsze, można przyjąć, że zbiór danych osobowych stanowi swoistą „postać kwalifikowaną” zestawów (zbiorów ewidencyjnych), o których mowa w art. 2 ust. 2 OchrDanOsU. Po drugie, funkcji art. 2 ust. 2 OchrDanOsU można dopatrywać się wyłącznie w egzemplifikowanych postaciach zbiorów danych osobowych (na temat możliwości interpretacji art. 2 ust. 1 i 2 OchrDanOsU por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 331).

6

6. Formy istnienia danych osobowych. Pierwszy z powołanych wyżej poglądów opiera się na założeniu, że należy wyodrębnić trzy podstawowe „formy istnienia danych osobowych”: jako pojedyncze informacje, w zestawach danych oraz w zbiorach danych (W. Zimny, Gdzie ty, bazo, tam ja, zbiór, Rzeczp. 31.8.2000). Aby powstał zbiór danych osobowych, konieczne jest zestawienie pojedynczych danych w zestaw, który następnie podlega określonemu uporządkowaniu, a dodatkowo powstać powinna struktura zestawu, niezbędna dla osiągnięcia łatwego dostępu do danych. Tym natomiast, co odróżnia zbiór danych od zestawu danych, jest wymóg utrzymania dostępności w sytuacji, gdy zbiór się „wtórnie rozprasza lub dzieli na podzbiory” (W. Zimny, Gdzie). W nauce prawa zwrócono również uwagę, że dane zgromadzone w zbiorze ewidencyjnym mogą stać się zbiorem danych po spełnieniu wymogów określonych w art. 7 pkt 1 OchrDanOsU (A. Drozd, Zakres, s. 44), co zdaje się prowadzić do wniosku, że zbiór danych stanowi kwalifikowaną postać zestawu danych osobowych. Innymi słowy, jak się wydaje, zbiory ewidencyjne, o których mowa w art. 2 ust. 2 pkt 1 OchrDanOsU, ze swojej istoty nie są zbiorami danych osobowych, lecz dopiero mogą się nimi stać.

7

7. Egzemplifikowana postać ochrony danych osobowych. Drugie spośród zaprezentowanych wyżej stanowisk, które każe upatrywać roli odwołania się w art. 2 ust. 2 OchrDanOsU do pojęcia zestawów danych wyłącznie w egzemplifikacji postaci (form utrwalenia), w jakich mogą występować zbiory danych osobowych, jest jednak prawidłowe. Zgodzić należy się bowiem z poglądem, że rezultatem przyjęcia pierwszego stanowiska byłoby powstanie kategorii zbędnej z punktu widzenia zasad zastosowania przepisów ustawy o ochronie danych osobowych, którą byłyby zestawy danych niespełniające cech zbioru danych osobowych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 331). Jak bowiem podkreśla się w nauce prawa, ustawa o ochronie danych osobowych stosuje się tak do zbiorów danych, jak i do zbiorów ewidencyjnych (por. A. Drozd, Ustawa, s. 17). Jednocześnie, przy uwzględnieniu poglądów doktryny, należy uznać, że cechy, jakie powinien nosić zbiór danych osobowych, w istocie odpowiadają cechom zestawu danych – za zbiory ewidencyjne uznaje się bowiem zestawienia danych osobowych, które mają strukturę umożliwiającą dostęp do danych według jednego kryterium (por. A. Drozd, Ustawa, s. 17).

8

8. Dwie postaci przetwarzania danych osobowych. Skoro więc elementem konstytutywnym dla zbioru danych osobowych jest istnienie zestawu danych, który ma własną strukturę i w którym dane są dostępne według określonych kryteriów (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 389), należy uznać, że pojęcia „zbioru danych” z art. 7 pkt 1 i „zbioru ewidencyjnego” z art. 2 ust. 2 OchrDanOsU są sobie równoważne pod względem znaczeniowym. Jedynym celem, dla którego w art. 2 ust. 2 pkt 1 OchrDanOsU wymieniono pewne kategorie zestawień danych, jest egzemplifikacja postaci zbiorów danych osobowych (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 389). Powstaje natomiast pytanie, w jakim w ogóle celu ustawodawca w art. 2 ust. 2 ustawy wskazał na dwie postaci przetwarzania danych osobowych, tj. przetwarzanie danych w zbiorach ewidencyjnych (zbiorach danych osobowych) oraz przetwarzanie danych w systemach informatycznych.

9

9. System informatyczny. Okoliczność przetwarzania danych osobowych w systemie informatycznym nie wyklucza przyjęcia, że dane te są przetwarzane w zbiorze danych. Systemem informatycznym, zgodnie z art. 7 pkt 2a OchrDanOsU, jest bowiem zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych. W tym sensie system informatyczny jest więc wyłącznie narzędziem służącym przetwarzaniu danych, sposobem przetwarzania danych osobowych.

10

10. Przetwarzanie danych osobowych za pomocą systemu informatycznego a inne formy przetwarzania danych. Wskazane w art. 2 ust. 2 OchrDanOsU dwa sposoby przetwarzania danych osobowych powstały w celu różnego określenia zastosowania przepisów ustawy, w zależności od przyjętej postaci przetwarzania danych. W istocie bowiem, rozróżnienie dokonane w art. 2 ust. 2 OchrDanOsU sprowadza się do wyodrębnienia przetwarzania danych osobowych za pomocą systemu informatycznego od pozostałych form przetwarzania danych. I w zależności od tego, czy dane osobowe są przetwarzane w systemie informatycznym, czy też w inny sposób, inaczej ukształtowany został zakres zastosowania przepisów ustawy.

11

11. Przetwarzanie danych osobowych w inny sposób niż w systemach informatycznych. Ściśle semantyczna wykładnia art. 2 ust. 1 i 2 OchrDanOsU prowadziłaby do wniosku, że w przypadku przetwarzania danych osobowych w inny sposób niż w systemach informatycznych, brak jest podstaw do stosowania ustawy do czasu utworzenia zbiorów danych osobowych (na taką możliwość interpretacji wskazują J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 332). Wniosek taki, choć w nieco złagodzonej postaci, przyjmują także niektórzy przedstawiciele nauki prawa – zauważono bowiem, że ochrona wynikająca z przepisów ustawy dotyczy przede wszystkim sytuacji, gdy dane osobowe przetwarza się w systemach informatycznych [A. Bierć, Ochrona prawna danych osobowych w sferze działalności gospodarczej w Polsce – aspekty cywilnoprawne, w: Ochrona (red. M. Wyrzykowski), s. 114]. Zdaniem autorów niniejszego komentarza, poglądy te jednak nie zasługują na akceptację.

12

12. Funkcja prewencyjna prawa do ochrony danych osobowych. W pierwszej kolejności należy zwrócić uwagę, że prawo do ochrony danych osobowych stanowi szczególną, wyspecjalizowaną konstrukcję służącą ochronie tych samych wartości, które chroni art. 47 Konstytucji RP, gwarantujący ochronę prawa do prywatności (A. Drozd, Ustawa, s. 11). Konstrukcja zakładająca ochronę pewnych informacji o osobach fizycznych w modelu prewencyjnym, zapobiegawczym, a więc w celu niedopuszczenia do naruszenia dobra prawnie chronionego, którym jest prawo do prywatności, stanowiła odpowiedź na pojawiające się nowe zagrożenia dla prywatności, w stosunku do których klasyczne, cywilnoprawne instrumenty ochrony okazywały się niewystarczające (A. Mednis, Ochrona, s. 30). Prewencyjny charakter tej regulacji oznacza, zdaniem autorów komentarza, że chroni ona obywateli przed zachowaniami potencjalnie mogącymi naruszyć ich prywatność. Nie oznacza to jednak, że do naruszenia prywatności będzie dochodzić zawsze w przypadku naruszenia przepisów OchrDanOsU (o wzajemnym stosunku tych dwóch regulacji – OchrDanOsU i KC – por. uwagi do art. 23 OchrDanOsU).

13

13. Przedmiot ochrony dyrektywy 95/46/WE. Konsekwentnie, przedmiotem ochrony dyrektywy 95/46/WE – wzorem Konwencji Nr 108 Rady Europy – są podstawowe prawa i wolności osób fizycznych, szczególne ich prawo do prywatności wobec przetwarzania danych o charakterze osobowym. Przedmiotem ochrony ustawy nie są więc dane osobowe jako takie (tak J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 186; inaczej A. Szewc, Z problematyki ochrony danych osobowych, cz. I, R. Pr. 1999, Nr 3, s. 23), jako że ochrona danych osobowych rozumianych jako informacje o osobie fizycznej, spełniające kryteria wskazane w art. 6 OchrDanOsU, służy wyłącznie zapewnieniu ochrony prywatności informacyjnej tejże osoby fizycznej (A. Mednis, Prawo, s. 127), a dane osobowe stanowią jedynie element prywatności tejże osoby (A. Mednis, Prawo, s. 72). Przedmiotem ochrony w przepisach o ochronie danych osobowych nie są również zbiory danych osobowych jako takie, jako że ustawa nie konstruuje żadnego prawa o charakterze wyłącznym przysługującego komukolwiek w stosunku do zbiorów danych (na temat potencjalnych modeli ochrony zbiorów danych por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 185–202).

14

14. Baza danych. W pewnych sytuacjach, zbiór danych osobowych może stanowić bazę danych w rozumieniu przepisów ustawy z 27.7.2001 r. o ochronie baz danych (Dz.U. Nr 128, poz. 1402 ze zm.) – nie każdy zbiór danych osobowych może zostać jednak uznany za bazę danych, jako że jednym z warunków powstania tzw. sui generis prawa do bazy danych jest poniesienie istotnego nakładu inwestycyjnego w celu sporządzenia, weryfikacji lub prezentacji bazy danych [na temat ochrony baz danych na podstawie ustawy o ochronie baz danych por.: J. Barta, R. Markiewicz, Ustawa o ochronie baz danych. Komentarz, Kraków 2002; Z. Okoń, Ochrona baz danych, w: Prawo Internetu (red. P. Podrecki), Warszawa 2007; R. Sikorski, Ochrona sui generis baz danych w prawie polskim, RPEiS 2004, Nr 1, s. 59; S. Stanisławska-Kloc, Problematyka prawnej ochrony „tradycyjnych” i „elektronicznych” baz danych, R. Pr. 2001, Nr 2, s. 59].

15

15. Przetwarzanie danych osobowych. Za nieuzasadniony i pozostający w sprzeczności z podstawowymi zasadami ochrony danych osobowych należy uznać pogląd, który ograniczałby zakres zastosowania przepisów ustawy o ochronie danych osobowych wyłącznie do sytuacji przetwarzania danych osobowych w zbiorach danych, jeżeli to przetwarzanie odbywałoby się inaczej niż za pomocą systemów informatycznych. Już bowiem z samego tytułu ustawy wynika, że dotyczy ona ochrony danych osobowych, nie zaś ochrony danych osobowych w zbiorach (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 334–335). Po drugie, z punktu widzenia osoby, której dane dotyczą, w szczególności ochrony jej prawa do prywatności, nie ma znaczenia, jak (w jakiej postaci) dochodzi do przetwarzania jej danych osobowych – istotne jest, że w ten sposób można naruszyć prawo do prywatności tejże osoby. Za nieuzasadnione ograniczenie konstytucyjnego prawa do prywatności należałoby więc uznać ograniczenie zastosowania przepisów ustawy tylko do takich przypadków przetwarzania danych osobowych w inny sposób niż w systemach informatycznych, które to przetwarzanie następuje w zbiorach danych. Uprawnienia przyznane osobom, których dane dotyczą, przysługują im bowiem niezależnie od tego, w jakiej postaci (zbioru danych, zbioru ewidencyjnego) przetwarzane są dane osobowe.

16

16. Zasady przetwarzania danych osobowych. Wskazane wyżej stanowisko zostało przyjęte również w orzecznictwie sądowym – jak bowiem stwierdził Sąd Najwyższy w postanowieniu z 11.12.2000 r. (II KKN 438/00, OSNKW 2001, Nr 3–4, poz. 33): „[w] art. 2 ust. 1 ustawa wskazuje (...), że «określa zasady postępowania przy przetwarzaniu danych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych». Nie chodzi przy tym o prawa osób, których dane – jak twierdzą niektórzy autorzy – «są lub mają być elementem zbioru» (tak A. Mednis), ale które «są lub mogą być przetwarzane w zbiorach». (...) Tym samym dane osobowe korzystają z ochrony przewidzianej ustawą o ochronie danych osobowych już wówczas, jeżeli tylko mogą znaleźć się w zbiorze, bez względu na to, czy się w nim ostatecznie znalazły (...)”.

17

17. Pojęcie „mogą się znaleźć w zbiorze danych”. W przypadku gdy dane osobowe przetwarzane są w inny sposób niż z wykorzystaniem systemu informatycznego, podlegają ochronie przewidzianej przepisami ustawy wtedy, gdy tylko mogą znaleźć się w zbiorze danych, bez względu na to, czy się w nim ostatecznie znalazły (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 335; inaczej, jak się wydaje, X. Konarski, G. Sibiga, Zmiany w ustawie o ochronie danych osobowych w świetle dyrektywy 95/46/WE, MoP 2004, Nr 12, s. 548). Ocena, czy wymóg ten został spełniony, nie nastręcza trudności w przypadku, w którym dane osobowe stały się częścią zbioru danych – powstaje natomiast pytanie, jak należy rozumieć zwrot „mogą się znaleźć w zbiorze danych”. W szczególności, czy zwrot ten należy rozumieć w sposób uniwersalny (abstrakcyjny), czy też w odniesieniu do konkretnego przypadku, w którym dochodzi do przetwarzania danych. Wydaje się, że w każdej sytuacji ocenę należy relatywizować i uwzględniać indywidualne okoliczności konkretnego przypadku – w przeciwnym bowiem razie, każdy przypadek przetwarzania danych osobowych można by uznać za objęty zakresem zastosowania ustawy, jako że – potencjalnie – każda informacja może podlegać przetwarzaniu w ramach istniejącego bądź tworzonego zbioru danych.

18

18. Ocena organu, czy dochodzi do przetwarzania danych osobowych. Jako przykład tego rodzaju ocen wskazać można stanowisko Generalnego Inspektora Ochrony Danych Osobowych zajęte w związku z oceną, czy dochodzi do przetwarzania danych osobowych w związku z kontrolą dokumentów uprawniających do zniżek w środkach komunikacji publicznej (Sprawozdanie GIODO za rok 1999, s. 17). W ocenie organu ochrony danych osobowych w takim przypadku dochodzi do przetwarzania danych, które jednak nie odbywa się w zbiorze danych, a więc nie znajdują do niego zastosowania przepisy ustawy o ochronie danych osobowych. Inaczej twierdzi T. Szewc, który wskazał, że już samo okazanie danych osobowych należy kwalifikować jako przetwarzanie tych danych (T. Szewc, Udostępnianie danych osobowych na wniosek, MoP 2006, Nr 22, s. 1229).

19

19. Wgląd w informacje. W nauce prawa zwrócono uwagę, że chociaż sam wgląd w informacje o osobie zawarte w jej dokumencie tożsamości jest operacją wykonywaną na danych osobowych, dane przetwarzane w ten sposób nie są objęte ochroną wynikającą z ustawy, nie ma nawet bowiem teoretycznej możliwości ich przetwarzania w zbiorze danych. Jeżeli natomiast dane zostały zapisane, np. w notatce, wówczas czynność ta stanowiłaby granicę, od której rozpoczynałaby się publicznoprawna ochrona tych danych, nawet gdyby dane pochodzące z notatki nigdy nie weszły do zbioru danych (G. Sibiga, Postępowanie, s. 50).

20

20. Gromadzenie informacji. W przypadku przetwarzania danych osobowych inaczej niż za pomocą systemu informatycznego, ochrona wynikająca z przepisów ustawy obejmuje więc informacje już na etapie ich gromadzenia, a zatem wówczas, gdy zbiór danych jeszcze nie istnieje, ale ma zostać utworzony na podstawie zbieranych danych (A. Mednis, Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2001, s. 15; M. Sakowska, Pojęcie, s. 64). Zakresem przedmiotowym ustawy objęte są również te przypadki, w których zbiór danych co prawda istnieje, ale zbierane dane (z przeznaczeniem do umieszczenia w zbiorze) nie stały się jeszcze częścią tego zbioru (M. Sakowska, Pojęcie, s. 64–65).

21

21. Ochrona danych a sposób ich przetwarzania. W nauce prawa podkreśla się, że ustawa o ochronie danych osobowych jest aktem prawnym kompleksowo ujmującym całość zagadnień związanych z przetwarzaniem danych, bez względu na sposób, w jaki następuje przetwarzanie – przepisy ustawy obejmują zarówno tradycyjne metody przetwarzania danych, jak i odbywające się w systemach informatycznych [B. Banaszak, K. Wygoda, Regulacja prawna ochrony danych osobowych w Polsce w świetle ustawy z 29.8.1997 r. i standardów europejskich, w: Ochrona (red. M. Wyrzykowski), s. 53]. Wniosek ten pozostaje jednak o tyle tylko prawdziwy, o ile uprzednio zostanie stwierdzone, że konkretna operacja dokonywana na danych osobowych podlegać będzie regulacji ustawy ze względu na sposób przetwarzania danych. Jeżeli bowiem w sposób tradycyjny przetwarzane będą pojedyncze dane, które – choćby potencjalnie – nie będą mogły znaleźć się w zbiorze danych, wówczas dane te nie będą podlegać przepisom ustawy. Inaczej natomiast będzie się kształtować sytuacja tych samych pojedynczych danych, jeżeli będą przetwarzane za pomocą systemów informatycznych – zgodnie bowiem z art. 2 ust. 2 pkt 2 OchrDanOsU takie przetwarzanie danych będzie objęte jej zakresem przedmiotowym.

22

22. Zakres zastosowania ustawy w przypadku przetwarzania danych osobowych w systemach informatycznych. W swoim pierwotnym brzmieniu, art. 2 ust. 2 OchrDanOsU budził istotne wątpliwości interpretacyjne – przepis nie stanowił bowiem wystarczająco jasno, jak kształtuje się zakres zastosowania ustawy w przypadku przetwarzania danych osobowych w systemach informatycznych. Co prawda w nauce prawa zwracano uwagę, że intencją autorów projektu ustawy było objęcie ochroną pojedynczych danych przetwarzanych informatycznie (A. Mednis, Ustawa, s. 15), jednak nie usunęło to wszystkich wątpliwości (por. R. Szałowski, Ochrona danych osobowych. Komentarz do ustawy z 29.8.1997 r., Zielona Góra 2000, s. 18–19). Jednocześnie zwrócono uwagę na niezgodność ówczesnego brzmienia art. 2 ust. 2 OchrDanOsU z prawem Unii Europejskiej – zgodnie bowiem z art. 3 dyrektywy 95/46/WE przepisy dyrektywy powinny znaleźć zastosowanie do wszystkich danych osobowych przetwarzanych w systemach informatycznych; stosownej regulacji zabrakło natomiast w art. 2 ust. 2 OchrDanOsU (J. Barta, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2002, s. 289). Na niezgodność art. 2 ust. 2 OchrDanOsU z postanowieniami dyrektywy 95/46/WE zwrócono uwagę w raporcie oceniającym zgodność ustawy o ochronie danych osobowych z prawem unijnym w związku z przystąpieniem Polski do Unii Europejskiej [por. raport Dyrekcji Generalnej do spraw rozszerzenia Unii Europejskiej, ELARG-PL/LG D (2001), Bruksela 2001, s. 4]. Stąd w uzasadnieniu projektu ustawy o zmianie ustawy o ochronie danych osobowych (Sejm IV kadencji, druk sejmowy Nr 2120, s. 1) podkreślono, że zmiana art. 2 ust. 2 ma wykluczyć wątpliwości interpretacyjne, a także dostosować prawo polskie do prawa europejskiego.

23

23. Przetwarzanie danych poza zbiorem danych. Obecnie nie budzi już wątpliwości, że ustawę stosuje się do przetwarzania danych osobowych w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 338; X. Konarski, G. Sibiga, Zmiany, s. 548). Nie wykazuje przy tym prawnej doniosłości okoliczność, czy zbiór danych w ogóle istnieje, a dane osobowe są przetwarzane poza zbiorem, którego były wcześniej częścią, czy też zbiór danych nigdy nie został utworzony – jeżeli dane przetwarzane są w systemach informatycznych, ochronie podlegają w każdym przypadku, tj. gdy są przetwarzane w zbiorze, a także poza zbiorem. Takie ukształtowanie zakresu stosowania przepisów ustawy wynika ze specyfiki przetwarzania danych w sposób zautomatyzowany, co z jednej strony ułatwia wykonywanie operacji przetwarzania danych, z drugiej zaś, może sprawiać trudności z ustaleniem istnienia zbioru danych osobowych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 338). Podkreślić również należy, że rozwiązanie analogiczne, a więc obejmujące ochroną dane osobowe niezależnie od objęcia ich zbiorem danych osobowych, przyjęte zostało w przepisach UsElU – zgodnie bowiem z art. 16 ust. 2 tej ustawy dane osobowe podlegają ochronie przewidzianej w jej przepisach niezależnie od tego, czy ich przetwarzanie odbywa się w zbiorach danych (por. szerzej na ten temat: X. Konarski, Komentarz do ustawy o świadczeniu usług drogą elektroniczną, Warszawa 2004, s. 173).

24

24. Pojęcie „poza zbiorem danych”. Przepisy ustawy o ochronie danych osobowych są więc stosowane w przypadku tradycyjnego przetwarzania danych tam, gdzie dane są lub mogą być przetwarzane w zbiorach danych, natomiast w przypadku przetwarzania danych w systemach informatycznych – także do przetwarzania pojedynczych danych osobowych. Na tle tak ukształtowanego zakresu zastosowania ustawy powstaje pytanie, czy w przypadku przetwarzania danych osobowych w systemie informatycznym istnieje – choćby potencjalnie – możliwość, że przetwarzanie to nie będzie regulowane przepisami ustawy. Pytanie to w istocie sprowadza się do ustalenia znaczenia zwrotu „poza zbiorem danych” – jak się wydaje, pojęcie to obejmować będzie każdą sytuację przetwarzania danych, która nie odbywa się w zbiorze, a więc w szczególności przetwarzanie danych w tego rodzaju zestawach, które nie spełniają cech zbioru danych osobowych, bądź przetwarzanie pojedynczych danych. Przyjąć więc należy, że każda postać przetwarzania danych w systemie informatycznym będzie objęta zakresem zastosowania ustawy.

25

25. Obowiązek rejestracyjny. Pewne obowiązki związane z przetwarzaniem danych osobowych dotyczą wyłącznie przetwarzania danych w zbiorach. W szczególności taki charakter ma obowiązek rejestracyjny – dotyczy on wyłącznie zbiorów danych (por. uwagi do art. 40). W odniesieniu natomiast do praw osób, których dane dotyczą, w nauce prawa wyrażony został pogląd, że uprawnienia te przysługują niezależnie od tego, w jakiej postaci przetwarzane są dane osobowe (por. uwagi do art. 32).

26

26. Obowiązek zabezpieczenia danych osobowych. Analogiczna sytuacja, a więc ograniczenie pewnej kategorii obowiązków wyłącznie do sytuacji przetwarzania danych osobowych w zbiorach danych, występowała w ustawie w stanie prawnym przed 1.5.2004 r. w zakresie obowiązków zabezpieczenia danych osobowych – już bowiem sam tytuł rozdziału 5 ustawy wskazywał, że zawarte w nim przepisy stosowano wyłącznie do przetwarzania danych osobowych w zbiorach danych. Stan ten uległ radykalnej zmianie wraz z wejściem w życie ustawy z 22.1.2004 r. o zmianie ustawy o ochronie danych osobowych (Dz.U. Nr 33, poz. 285), która – przez nowelizację art. 36 OchrDanOsU – rozciągnęła obowiązek zabezpieczenia także na sytuacje przetwarzania danych poza zbiorami danych. J. Barta, P. Fajgielski, R. Markiewicz wskazują, że obecnie obowiązki zabezpieczenia powinny odnosić się przede wszystkim do samych danych osobowych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 663–664).

27

27. Zbiór tworzony doraźnie. Wyłom w stosunku do tak określonego zakresu zastosowania przepisów ustawy o ochronie danych osobowych ustanowiony został w art. 2 ust. 3 w stosunku do tzw. zbiorów tworzonych doraźnie. Do takich zbiorów danych znajdują bowiem zastosowanie wyłącznie przepisy rozdziału 5 ustawy, tj. przepisy o zabezpieczeniu danych. Zdaniem autorów niniejszego komentarza, nie można jednak stosować ściśle literalnej wykładni sformułowania wskazującego, że do tych zbiorów znajdują zastosowanie „wyłącznie” przepisy o zabezpieczeniu danych, gdyż prowadziłoby to do wyłączenia w stosunku do tej kategorii zbiorów przepisów ustawy kształtujących podstawy prawne przetwarzania (art. 23 i 27 OchrDanOsU), obowiązki informacyjne (art. 24 i 25 OchrDanOsU), a także obowiązki w zakresie należytej staranności przy przetwarzaniu danych (art. 26 OchrDanOsU). Takie stanowisko nie może zostać zaakceptowane, w szczególności ze względu na potencjalną możliwość dopuszczenia w ten sposób do istotnych naruszeń prawa do prywatności osób, których dane dotyczą, przez pominięcie regulacji stanowiących gwarancję legalności działań administratora danych. Według autorów, przepis ten w istocie wyłącza w stosunku do kategorii zbiorów doraźnych zastosowanie przepisów ustawy dotyczących zbiorów danych. Ze względu na okoliczność, że ww. przepisy dotyczące podstaw przetwarzania danych, obowiązków informacyjnych oraz obowiązków w zakresie dochowania należytej staranności przy przetwarzaniu danych, odnoszą się do zbierania i przetwarzania „danych osobowych” i nie odnoszą się do pojęcia „zbioru danych”, będą one znajdowały w pełni zastosowanie również w przypadku tworzenia zbiorów doraźnych. W konsekwencji, jedynymi przepisami, które nie znajdą zastosowania do tej kategorii zbiorów, będą przepisy dotyczące rejestracji zbiorów danych osobowych, zawarte w rozdziale 6 OchrDanOsU.

28

28. Zabezpieczenie danych. W tym kontekście, nie stoi na przeszkodzie, a nawet potwierdza powyższe stanowisko, nowe brzmienie rozdziału 5 OchrDanOsU (wprowadzone nowelizacją na mocy przepisów ustawy z 22.1.2004 r.), które odnosi się do zabezpieczenia danych, a nie – jak uprzednio – do zabezpieczenia zbiorów danych. Treść art. 2 ust. 3 OchrDanOsU nie zmieniła się bowiem w wyniku nowelizacji w oparciu o przepisy ustawy z 22.1.2004 r., mimo zmiany w samych postanowieniach przepisu art. 2 oraz istotnych zmian w rozdziale 5 OchrDanOsU. Pierwotnie więc zamierzeniem ustawodawcy było wyłączenie w stosunku do zbiorów doraźnych przepisów dotyczących zbiorów danych, z wyjątkiem rozdziału 5 (który uprzednio dotyczył zabezpieczenia zbiorów danych). Powyższe stanowisko było więc tym bardziej uzasadnione w pierwotnym brzmieniu przepisów rozdziału 5 OchrDanOsU.

29

29. Obowiązek zabezpieczenia danych. Sam przepis art. 2 ust. 3 OchrDanOsU nie został jednak sformułowany jasno, przez co możliwe są jego dwie, wzajemnie się wykluczające, interpretacje. Jak wskazują J. Barta, P. Fajgielski, R. Markiewicz, obecnie obowiązki zabezpieczenia powinny odnosić się przede wszystkim do samych danych osobowych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 339). Zgodnie z art. 2 ust. 3 OchrDanOsU w odniesieniu do zbiorów danych osobowych „sporządzanych doraźnie, wyłącznie ze względów technicznych, szkoleniowych lub w związku z dydaktyką w szkołach wyższych, a po ich wykorzystaniu niezwłocznie usuwanych albo poddanych anonimizacji”, znajdują zastosowanie wyłącznie przepisy rozdziału 5. Przepis jednak nie precyzuje, czy wskazane w nim cechy zbioru doraźnego powinny występować kumulatywnie, czy też wystarczające jest zaistnienie choćby jednej z tych cech (M. Sakowska, Pojęcie, s. 65; na taką możliwość wskazuje też A. Drozd, Ustawa, s. 20). Stąd pierwsza możliwa interpretacja zakłada, że wystarczy spełnienie choćby jednej z cech wskazanych w przepisie, żeby zbiór danych został uznany za „doraźny” w rozumieniu art. 2 ust. 3 OchrDanOsU (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 339–340). Konkurencyjna, bardziej rygorystyczna, wykładnia art. 2 ust. 3 OchrDanOsU zakłada, że przepis dotyczy tylko takich zbiorów danych sporządzanych doraźnie, które jednocześnie powstały ze względów technicznych, szkoleniowych albo w związku z dydaktyką w szkołach wyższych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 340).

30

30. Interpretacja zawężająca obowiązek zabezpieczenia danych. W nauce prawa powszechnie przyjmowana jest pierwsza spośród wskazanych wyżej możliwości interpretacji art. 2 ust. 3 OchrDanOsU (tak A. Drozd, Ustawa, s. 20; M. Sakowska, Pojęcie, s. 65). Wśród uzasadnień tej właśnie wykładni przywołuje się zasadę wykładni językowej, w której podkreśla się, że art. 2 ust. 3 OchrDanOsU, jako wyjątek od zasady ogólnej, powinien być interpretowany zawężająco (M. Sakowska, Pojęcie, s. 65), a także zwraca się uwagę na niesamodzielny charakter przesłanki „doraźności”, która wymaga uzupełnienia przez dodatkowe przesłanki, wymienione w przepisie (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 340–341). Chociaż stanowisko takie nie zostało zajęte wprost, analiza decyzji administracyjnych wydawanych przez organ ochrony danych prowadzi do wniosku, że interpretację zawężającą art. 2 ust. 3 OchrDanOsU przyjmuje także Generalny Inspektor Ochrony Danych Osobowych (por. A. Drozd, Ustawa, s. 21–22).

31

31. Zbiór danych osobowych. Zbiór danych osobowych, o którym mowa w art. 2 ust. 3 OchrDanOsU, powinien więc w pierwszej kolejności zostać utworzony „doraźnie”, tj. dla chwilowej potrzeby (M. Sakowska, Pojęcie, s. 66), w pewnej sytuacji, okolicznościowo (A. Drozd, Ustawa, s. 20). Wątpliwości budzi natomiast przyjęcie, że zbiorem stworzonym doraźnie może być tylko taki zbiór danych, jaki nie został utworzony w typowym celu przetwarzania danych przez danego administratora, lecz wyłącznie w celu towarzyszącym działalności tego podmiotu (A. Drozd, Ustawa, s. 20–21). Analogiczne stanowisko zdaje się zajmować Generalny Inspektor Ochrony Danych Osobowych, który w materiałach dostępnych pod adresem www.giodo.gov.pl, w dziale „Pytania i odpowiedzi”, stwierdza: „Jeżeli dane tworzące określoną strukturę służą realizacji zasadniczego, głównego celu przetwarzania, trudno uznać tę strukturę za zbiór doraźny”.

32

32. Cel przetwarzania danych. Niewątpliwie zgodzić się należy z tezą, że nie tylko czas przetwarzania danych, ale przede wszystkim cel ich przetwarzania będzie przesądzał o możliwości zakwalifikowania zbioru jako utworzonego doraźnie (A. Drozd, Ustawa, s. 20). Nie wydaje się jednak trafne przyjmowanie a priori, że pewne cele przetwarzania – w tym przypadku typowe cele przetwarzania danych przez konkretnego administratora – będą ze swojej istoty wyłączone spod zakresu pojęcia zbiorów „doraźnych”. Cel przetwarzania danych osobowych w badanym zbiorze w tym sensie bowiem powinien mieć znaczenie decydujące, że przy jego pomocy należy ustalić, czy zbiór ma charakter okolicznościowy, czasowy. Jak się wydaje, nie ma przy tym przeszkód, żeby tego rodzaju „chwilowe” zbiory danych były tworzone częściej, np. w związku z określoną działalnością prowadzoną przez administratora danych.

33

33. Pojęcie „doraźności” lub „czasowości”. Pojęcie „doraźności” lub „czasowości” oznacza zdaniem autorów co najmniej tyle, że administrator danych powinien przewidywać termin zakończenia czynności przetwarzania danych osobowych w takim zbiorze. Przy czym okres przetwarzania (w tym przechowywania) danych osobowych powinien być znany mu przynajmniej w przybliżeniu. Nie można bowiem przyjąć, że mamy do czynienia ze zbiorem doraźnym w sytuacji, gdy administrator danych nie może określić – chociażby w przybliżeniu – okresu, przez który będzie przetwarzał dane osobowe w danym zbiorze. Zatem nie będą zbiorami doraźnymi zbiory danych osobowych, które są przetwarzane przez długi okres lub też przez czas nieokreślony. Powyższe stanowisko dotyczące ograniczenia czasowego potwierdza GIODO, który, nakazując (por. Sprawozdanie GIODO za rok 2006, s. 59; M. Kosiarski, Uczelnia musi zgłosić, co wie o kandydatach na studentów, Rzeczp. 9.6.2007 r.) wyższym uczelniom dokonywanie zgłoszeń zbiorów danych kandydatów na studia, przyjął, że nie mogą być one traktowane jako zbiory doraźne ze względu na przechowywanie kopii dokumentów przez okres 12 miesięcy zgodnie z § 21 ust. 2 rozporządzenia Ministra Nauki i Szkolnictwa Wyższego z 14.9.2011 r. w sprawie dokumentacji przebiegu studiów (Dz.U. Nr 201, poz. 1188).

34

34. „Czasowy” zbiór danych. Tak utworzony „czasowy” zbiór danych powinien zostać stworzony w jednym z celów wskazanych w art. 2 ust. 3 (zbiór utworzony „ze względów”), tj. w celu szkoleniowym, w związku z dydaktyką w szkołach wyższych lub ze względów technicznych. Tak rozumiany cel utworzenia zbioru doraźnego nie może być utożsamiany z celem przetwarzania danych osobowych w zbiorze w rozumieniu art. 26 ust. 1 pkt 2 OchrDanOsU. Artykuł 2 ust. 3 OchrDanOsU mówi bowiem o celu utworzenia zbioru danych, nie zaś o celu przetwarzania danych w zbiorze. Podkreślić przy tym należy, że wskazane względy utworzenia zbioru doraźnego określone zostały w ustawie w sposób nieostry, odwołując się do zwrotów bliżej nieokreślonych, takich jak w szczególności „względy techniczne”. Nie jest przy tym jasne, dlaczego pewne zbiory danych mogą podlegać łagodniejszemu reżimowi, pewne zaś nie – niejasna jest np. ratio legis objęcia wyłączeniem zbiorów związanych z dydaktyką w szkołach wyższych, natomiast w pozostałych typach szkół już nie (por. na ten temat J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 341).

35

35. Dane wrażliwe. Nie ma przeszkód, by w zbiorach doraźnych były przetwarzane tzw. dane wrażliwe (por. A. Drozd, Ustawa, s. 23). O tym, czy przetwarzanie danych ma charakter doraźny, rozstrzyga cel i czas ich przetwarzania, a nie typ przetwarzanych danych osobowych ani postanowienia regulaminu czy umowy odnoszących się do przetwarzania (tak Sprawozdanie GIODO za rok 2001, s. 256). Należy zaakceptować stanowisko GIODO w tym zakresie, jednak z zastrzeżeniem, że w rzeczywistości – odwołując się do treści samego art. 2 ust. 3 OchrDanOsU – rozstrzygnięcia w zakresie przyznania statusu zbioru doraźnego należy upatrywać nie w celu przetwarzania danych, a w celu utworzenia zbioru (doraźnego).

36

36. Weryfikacja zbiorów danych osobowych tworzona na potrzeby konkursów, loterii lub innych akcji promocyjnych. W praktyce obrotu gospodarczego powstaje często problem, jak należy zakwalifikować zbiory danych osobowych tworzone na potrzeby konkursów, loterii lub innych akcji promocyjnych związanych z przetwarzaniem danych osobowych. Po pierwsze, jak przyjął GIODO (Sprawozdanie GIODO za rok 2000, s. 281; Sprawozdanie GIODO za rok 2001, s. 230), jeżeli dane zebrane w wyniku umowy z firmą marketingową zostały wykorzystane jednorazowo, dla celów własnej akcji promocyjnej (zbiór doraźny sporządzany ze względów technicznych), a po wykorzystaniu niezwłocznie usunięte albo poddane anonimizacji, to mamy do czynienia ze zbiorem doraźnym. Należy jednak wskazać, że chodzi wyłącznie o wykorzystanie danych dla przeprowadzenia jakiejś akcji promocyjnej i usunięcie lub zanonimizowanie ich w całości (odnośnie do anonimizacji por. X. Konarski, Komentarz, s. 126). Analogicznie, GIODO przyjął, że wykorzystanie danych wyłącznie do wysyłki ankiet i listów przypominających, a następnie usunięcie cech personalizujących, stanowi przetwarzanie danych w zbiorze doraźnym (Sprawozdanie GIODO za rok 2002, s. 113). Jednocześnie w sytuacji, gdy dochodzi do dalszego przetwarzania danych, mimo zrealizowania podstawowego ich celu, tj. akcji promocyjnej, i są np. przesyłane upominki przewidziane regulaminem loterii oraz publikowana jest w Internecie lista zwycięzców, GIODO przyjmuje, że – ze względu na ten ostatni element – nie może być mowy o przetwarzaniu danych w zbiorze doraźnym (Sprawozdanie GIODO za rok 2001, s. 256). Analizując powyższe stanowisko GIODO, należy zgodzić się z opinią, że samo umieszczenie danych zwycięzców na stronie internetowej nie stanowi o braku możliwości przypisania cechy doraźności danemu zbiorowi danych, zwłaszcza gdy ze względu na konstrukcję akcji administrator danych umożliwia potwierdzenie wygranej przez daną stronę internetową, a sam po dokonaniu odpowiednich czynności dane uczestników usunie lub zanonimizuje (A. Drozd, Ustawa, s. 24). W przypadku więc akcji promocyjnych (loterii, konkursów) można przyjąć, że mamy do czynienia ze zbiorem doraźnym w sytuacji po zakończeniu akcji i usunięciu danych osobowych (por. Sprawozdanie GIODO za rok 1999, s. 131 i nast.; Sprawozdanie GIODO za rok 2000, s. 278), tj. niezwłocznie po upływie czasu przewidzianego na przeprowadzenie ewentualnego postępowania reklamacyjnego. Dotyczy to również podmiotów z tzw. sektora publicznego [GIODO przyjął, że mamy do czynienia ze zbiorami doraźnymi w sytuacji wykorzystywania danych przez samorządowe instytucje kultury w celu zorganizowania konkursu i wyłonienia laureatów (Sprawozdanie GIODO za rok 1999, s. 18)]. Generalny Inspektor Ochrony Danych Osobowych przyjął, że w sytuacji gdy na potrzeby konkretnego konkursu jest tworzony zbiór, możemy mówić o zbiorze doraźnym, co nie jest dopuszczalne w przypadku, gdy zbiór istnieje nieprzerwanie i zmieniają się w nim dane osobowe uczestników (Sprawozdanie GIODO za rok 2003, s. 150). Natomiast dalsze przetwarzanie danych w innych celach (np. marketingowych) – zgodnie ze stanowiskiem GIODO – należy uznać za niedopuszczalne (por. Sprawozdanie GIODO za rok 1999, s. 131 i nast.; Sprawozdanie GIODO za rok 2000, s. 278). Zdaniem autorów niniejszego komentarza, nie można przyjąć, że mamy do czynienia z przetwarzaniem danych w zbiorze doraźnym (doraźnością) w sytuacji, gdy administrator danych w dalszym okresie przechowuje dane uczestników, uzasadniając to potrzebą zabezpieczenia się przed ewentualnymi roszczeniami uczestników akcji promocyjnej. Przechowywanie danych uczestników, uzasadnione powyższym celem (nie rozważając na tym etapie podstaw prawnych takiego działania) ze względu na okres do 10 lat, nie może być uznane za podejmowanie działań o charakterze doraźnym.

37

37. Przechowywanie zbiorów danych osobowych tworzone na potrzeby konkursów, loterii lub innych akcji promocyjnych. Powstaje jednak pytanie, co z przypadkami, gdy administrator danych po przeprowadzeniu (zakończeniu) konkursu lub loterii i usunięciu lub zanonimizowaniu większości danych osobowych, ze względów podatkowych (tj. ze względu na wartość wygranej lub nagrody), jest zobowiązany przechowywać część danych zamieszczonych w zbiorze – tj. informacje dotyczące laureatów loterii lub konkursu. Nie ulega wątpliwości, że dane te są przechowywane w związku z przeprowadzonym konkursem lub loterią, tj. według autorów mieszczą się w celu związanym z realizacją akcji marketingowej. Chodzi w tym wypadku jednak o cel przetwarzania danych, nie zaś o cel utworzenia zbioru doraźnego (por. uwagi powyżej). Nie można jednak utożsamiać sytuacji przetwarzania danych na potrzeby akcji promocyjnej z przetwarzaniem danych w zbiorze doraźnym. Przetwarzanie danych w ww. celu zawsze musi być analizowane in concreto. Jednakże, zdaniem autorów, zbiór taki (laureatów wygranych) przechowywany po zakończeniu konkursu lub loterii – ze względu na brak możliwości przyznania mu statusu zbioru doraźnego (cel utworzenia zbioru nie jest już doraźny) – będzie podlegał obowiązkowi rejestracyjnemu. Nie ma przy tym znaczenia ewentualna zmiana podstawy prawnej przetwarzania danych (np. z art. 23 ust. 1 pkt 5 na art. 23 ust. 1 pkt 2 OchrDanOsU), brak też takiej zmiany w zakresie celu przetwarzania danych osobowych.

Art. 3. [Zakres stosowania][4]

1. Ustawę stosuje się do organów państwowych, organów samorządu terytorialnego oraz do państwowych i komunalnych jednostek organizacyjnych.

2. Ustawę stosuje się również do:

 1) podmiotów niepublicznych realizujących zadania publiczne,

 2) osób fizycznych i osób prawnych oraz jednostek organizacyjnych niebędących osobami prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych

– które mają siedzibę albo miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej, albo w państwie trzecim, o ile przetwarzają dane osobowe przy wykorzystaniu środków technicznych znajdujących się na terytorium Rzeczypospolitej Polskiej.

1

1. Przetwarzanie danych osobowych w sektorze publicznym i prywatnym. Ustawa o ochronie danych osobowych z założenia swoich twórców ma charakter kompleksowy w tym sensie, że reguluje przetwarzanie danych osobowych zarówno w sektorze publicznym, jak i prywatnym [B. Banaszak, K. Wygoda, Regulacja, w: Ochrona (red. M. Wyrzykowski), s. 55; J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 127]. Analogicznie do rozwiązań przyjętych na gruncie prawa UE, wprowadzono więc w art. 3 ust. 1 OchrDanOsU rozróżnienie na administratorów danych należących do sfery prawa publicznego i prawa prywatnego. Rozwiązanie takie, polegające na wyraźnym wyodrębnieniu dwóch grup administratorów danych osobowych, stanowi refleks zasady, o której mowa w art. 2 lit. d dyrektywy 95/46/WE.

2

2. Administratorzy danych osobowych z sektora publicznego i z sektora prywatnego. Podział na administratorów danych osobowych z sektora publicznego i z sektora prywatnego od początku obowiązywania OchrDanOsU nie przekładał się na istotne różnice w zakresie ukształtowania obowiązków tych dwóch grup administratorów danych osobowych (tak też J. Barta, R. Markiewicz, Ochrona, 2004, s. 295). W stanie prawnym obowiązującym do dnia 30.4.2004 r., różnice te sprowadzały się wyłącznie do art. 23 ust. 1 pkt 5, art. 25 ust. 2 pkt 5 oraz art. 29 OchrDanOsU. I tak, podmioty należące do sfery prawa publicznego nie były uprawnione do przetwarzania danych osobowych z powołaniem się na tzw. klauzulę prawnie usprawiedliwionego celu administratora danych osobowych, jako że art. 23 ust. 1 pkt 5 OchrDanOsU ograniczał możliwość skorzystania z tej właśnie podstawy prawnej przetwarzania danych osobowych wyłącznie do administratorów danych osobowych, o jakich mowa w art. 3 ust. 2 OchrDanOsU w brzmieniu sprzed 1.5.2004 r., tj. sprzed daty wejścia w życie ustawy z 22.1.2004 r. o zmianie ustawy o ochronie danych osobowych (Dz.U. Nr 33, poz. 285). W stanie prawnym po 1.5.2004 r. dokonano istotnego rozszerzenia kręgu podmiotów, które mogą powołać się na przesłankę prawnie usprawiedliwionego celu administratora danych osobowych jako podstawę prawną przetwarzania danych – w obecnym stanie prawnym jest to bowiem każdy administrator danych osobowych (X. Konarski, G. Sibiga, Zmiany, s. 550). Administratorzy danych, o których mowa była w art. 3 ust. 1 OchrDanOsU, zobowiązani byli także do stosowania procedury udostępnienia danych osobowych w celu innym niż włączenie do zbioru danych, opisanej w art. 29 OchrDanOsU (szerzej na ten temat: G. Sibiga, Postępowanie, s. 88–89). W wyniku nowelizacji przepisów ustawy, ograniczenie to zostało usunięte i – do czasu ostatecznego uchylenia tego przepisu w efekcie nowelizacji wprowadzonej ustawą z 29.10.2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw – art. 29 OchrDanOsU obejmował swoim zakresem zastosowanie wszystkich administratorów danych, a nie tylko podmioty publiczne w rozumieniu art. 3 ust. 1 OchrDanOsU (A. Drozd, Ustawa, s. 181). W wyniku dokonanych nowelizacji, znikome różnice w kształcie obowiązków i praw administratorów danych osobowych z sektora publicznego i prywatnego zostały ograniczone wyłącznie do jednego przepisu, tj. do art. 25 ust. 2 pkt 5 OchrDanOsU.

3

3. Podział na administratorów danych osobowych z sektora publicznego i z sektora prywatnego. W chwili obecnej, zdaniem autorów, nie istnieją więc normatywne podstawy dla wyodrębniania dwóch grup administratorów danych osobowych, tj. administratorów danych osobowych z sektora publicznego i prywatnego, w oparciu o różnice w ich obowiązkach i prawach związanych z przetwarzaniem danych osobowych. Treść art. 3 OchrDanOsU służy wyłącznie określeniu zakresu przedmiotowego ustawy, a rozróżnienie na administratorów danych z sektora publicznego i prywatnego nie niesie ze sobą konsekwencji w zakresie obowiązków i praw tych dwóch grup podmiotów, które wynikałyby z samej ustawy. Jedynym bowiem przepisem ustawy, który odwołuje się w swojej treści do tego rozróżnienia, jest art. 25 ust. 2 pkt 5. Ustanowiony w tym przepisie wyjątek nie wpływa jednak w sposób istotny na pozycję prawną tej grupy administratorów danych osobowych.

4

4. Zakres podmiotowy ustawy. W pierwotnym brzmieniu (tj. do dnia 30.4.2004 r.), art. 3 ust. 1 OchrDanOsU stanowił, że ustawę stosuje się do organów państwowych oraz samorządu terytorialnego, a także do innych państwowych i komunalnych jednostek organizacyjnych oraz podmiotów niepaństwowych realizujących zadania publiczne. W wyniku nowelizacji przepisów OchrDanOsU, dokonanej ustawą z 22.1.2004 r. o zmianie ustawy o ochronie danych osobowych oraz o wynagrodzeniu osób zajmujących kierownicze stanowiska państwowe (Dz.U. Nr 33, poz. 285), zakres podmiotowy komentowanej ustawy w odniesieniu do podmiotów publicznych określono w ten sposób, że zobowiązane do jej stosowania są organy państwowe, organy samorządu terytorialnego oraz państwowe i komunalne jednostki organizacyjne. Natomiast podmioty niepaństwowe realizujące zadania publiczne zobowiązane są do stosowania przepisów ustawy na podstawie art. 3 ust. 2a OchrDanOsU).

5

5. Organy administracji publicznej. Reforma ustroju terytorialnego RP polegająca na przywróceniu samorządu terytorialnego spowodowała konieczność zastąpienia terminu „organ administracji państwowej” określeniem „organ administracji publicznej” (szerzej na ten temat W. Chróścielewski, Organ administracji publicznej w postępowaniu administracyjnym, Warszawa 2002, s. 11–22). Po nowelizacji KPA ustawą z 29.12.1998 r. o zmianie niektórych ustaw w związku z wdrożeniem reformy ustrojowej państwa (Dz.U. Nr 162, poz. 1126 ze zm.) w nauce prawa przyjmuje się, że zakresem pojęcia „organ administracji publicznej” objęte są organy administracji rządowej, organy samorządu terytorialnego oraz wszelkie podmioty wyposażone przez ustawę w kompetencje w zakresie administracji [por. E. Ochendowski, Prawo administracyjne. Część ogólna, Toruń 1999, s. 18, 103; M. Wierzbowski, A. Wiktorowska, w: Prawo administracyjne (red. M. Wierzbowski), Prawo administracyjne, Warszawa 2002, s. 103]. Do zakresu podmiotowego ustawy należy zaliczyć podmioty należące do wszystkich trzech wskazanych wyżej kategorii.

6

6. Organy państwowe oraz organy samorządu terytorialnego. Nie jest jasne, w jakim celu w art. 3 ust. 1 OchrDanOsU wymienione zostały – jako podmioty stosujące przepisy ustawy – organy państwowe oraz organy samorządu terytorialnego, skoro przez pojęcie organu państwowego rozumieć należy także organy samorządu terytorialnego. Przepisy ustawy znajdą więc zastosowanie do wszystkich organów jednostek samorządu terytorialnego wszystkich szczebli. Zgodnie z art. 3 ust. 1 in fine przepisy ustawy znajdują zastosowanie do komunalnych jednostek organizacyjnych. W przypadku gmin, będą to głównie zakłady administracyjne oraz podmioty tworzone i funkcjonujące w oparciu o ustawę o gospodarce komunalnej, takie jak komunalne zakłady budżetowe czy spółki z udziałem jednostek samorządu terytorialnego, a także gminne (miejskie) zawodowe straże pożarne oraz straże gminne. Przepisami ustawy będą objęte również jednostki organizacyjne tworzone przez powiaty, które mogą pozostawać w strukturze powiatu lub poza tą strukturą i mogą być wyposażone w osobowość prawną (spółki kapitałowe) lub takiej osobowości nie mieć (jednostki budżetowe, zakłady budżetowe). Są nimi w szczególności: powiatowe centrum pomocy rodzinie, domy pomocy społecznej, zakłady opieki zdrowotnej, szkoły ponadpodstawowe i placówki oświatowe, instytucje kultury. W przypadku województwa samorządowego miano jednostek organizacyjnych przysługiwać będzie podmiotom tworzonym i funkcjonującym w oparciu o przepisy ustawy o gospodarce komunalnej.

7

7. Jednostki pomocnicze gminy. Przepisami ustawy będą objęte również jednostki pomocnicze gminy: sołectwa, dzielnice, osiedla i inne. Nie sposób również wyłączyć organów wykonawczych tych podmiotów spod zakresu przedmiotowego przepisów ustawy o ochronie danych osobowych, ze względu na określoną w art. 39 ust. 4 SamGmU możliwość przeniesienia na te podmioty uprawnień do wydawania decyzji administracyjnych z zakresu właściwości ustawowej wójta lub burmistrza. Podmioty te nie są organami gminy w znaczeniu ustrojowym, niemniej, jeżeli będą upoważnione przez radę gminy do prowadzenia orzecznictwa administracyjnego, muszą zostać uznane za organ gminy w znaczeniu funkcjonalnym (określane także jako organy administracyjne) (zob. Cz. Martysz, w: G. Łaszczyca, Cz. Martysz, A. Matan, Postępowanie administracyjne ogólne, Warszawa 2003, s. 196). Przepisy ustawy znajdą również zastosowanie do związków międzygminnych i związków powiatów oraz do organów związku komunalnego jako postaci organów samorządu terytorialnego.

8

8. Samorządowe kolegia odwoławcze. Przepisy ustawy o ochronie danych osobowych znajdują zastosowanie do samorządowych kolegiów odwoławczych na podstawie art. 3 ust. 1 OchrDanOsU in principio, jako postaci „organów państwowych”.

9

9. Podmioty niepaństwowe realizujące zadania publiczne. Artykuł 3 ust. 2 lit. a OchrDanOsU swoim zakresem podmiotowym obejmuje podmioty niepaństwowe realizujące zadania publiczne. Jednakże, żeby określony podmiot prawa prywatnego (osoba fizyczna lub osoba prawna), na podstawie tego przepisu, zobowiązany był do stosowania przepisów ustawy, powinny zostać łącznie spełnione dwa warunki. Po pierwsze, określone zadanie, realizowane przez podmiot prawa prywatnego, powinno zostać zaliczone do sfery zadań publicznych. Po drugie, wykonywanie zadań publicznych przez podmiot niepubliczny powinno wynikać bądź z przepisów prawa, bądź ze stosownej umowy, zawartej przez ten podmiot z podmiotem prawa publicznego, zobowiązanym do wykonywania określonego zadania publicznego, a dopuszczalność zawarcia takiej umowy powinna expressis verbis wynikać z odpowiednich przepisów prawa. Sam natomiast fakt wykonywania przez podmiot prawa prywatnego określonego zadania, które uznane zostało za zadanie publiczne, jednak nie zostało zastrzeżone i może być – na zasadzie swobody prowadzenia działalności gospodarczej – podejmowane przez podmioty niepubliczne, nie przesądza jeszcze o zastosowaniu do tego podmiotu przepisów ustawy o ochronie danych osobowych.

10

10. Podmioty z tzw. sfery prywatnej. Jeżeli chodzi zaś o podmioty z tzw. sfery prywatnej, to art. 3 ust. 2 pkt 2 wskazuje przesłanki o charakterze podmiotowym i przedmiotowym, które pozwalają stwierdzić, że określony podmiot jest objęty zakresem oddziaływania tego aktu prawnego. Jeżeli chodzi o przesłankę podmiotową to ustawa wskazuje, że znajduje ona zastosowanie do wszystkich podmiotów prawa, określonych jako osoby fizyczne i osoby prawne oraz jednostki organizacyjne niebędące osobami prawnymi.

11

11. Przedsiębiorcy. Drugim istotnym elementem przesłanki o charakterze podmiotowym jest warunek posiadania miejsca zamieszkania lub siedziby na terytorium RP. W związku z okolicznością, że ustawa nie odwołuje się w tym zakresie wyłącznie do przedsiębiorców (por. uwagi poniżej dotyczące przesłanki przedmiotowej), należy zgodzić się ze stanowiskiem reprezentowanym w literaturze, że skoro pojęcie administratora danych obejmuje wszelkie rodzaje osób prawnych (nie tylko przedsiębiorców), to termin „siedziba” należy interpretować zgodnie z art. 41 KC (X. Konarski, G. Sibiga, Przepisy trzeba poprawić, Rzeczp. 26.11.2004 r.). Ustawa dopuszcza jednak zastosowanie ustawy do podmiotów mających siedzibę w państwie trzecim, czyli zgodnie z definicją zawartą w art. 7 pkt 7 OchrDanOsU, państwie nienależącym do EOG, ale tylko wówczas gdy przetwarzają dane osobowe przy wykorzystaniu środków technicznych znajdujących się na terytorium RP. Należy przy tym stwierdzić, że pojęcie środków technicznych nie jest definiowane w kontekście brzmienia art. 3 ust. 2 OchrDanOsU. Należy zgodzić się ze stanowiskiem, że zalicza się do nich przede wszystkim różnego rodzaju środki (tele) informatyczne, ale także tradycyjne, niesłużące do automatycznego przetwarzania danych, i bez znaczenia jest ewentualny tytuł prawny do tych środków, gdyż decydujące jest dysponowanie nimi, czyli wpływ na to, w jaki sposób wykonywane są operacje na danych (X. Konarski, G. Sibiga, Przepisy).

12

12. Działalność zarobkowa. Jeżeli chodzi o przesłankę przedmiotową, ustawa wymaga, by podmioty z tzw. sfery prywatnej przetwarzały dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych. Porównując sformułowanie ustawy w art. 3 ust. 2 pkt 2 z definicją działalności gospodarczej zawartą w art. 2 SwobDziałGospU, należy stwierdzić, że ustawa obejmuje swoim zastosowaniem wszelką działalność zarobkową, a więc każdy z rodzajów działalności gospodarczej (w tym działalność zawodową). Należy przy tym zwrócić uwagę, że nie ma z prawnego punktu widzenia znaczenia okoliczność, że określony podmiot gospodarczy prowadzący konkretną działalność nie ocenia jej (subiektywnie) jako działalności gospodarczej (tak wyr. NSA z 24.5.1991 r., SA/Wr 294/91, MoP 1993, Nr 3, s. 89). Zarobkowy cel działalności gospodarczej wiąże się z jej odpłatnością. Nie mają takiego charakteru działania, których celem jest wyłącznie zaspokojenie potrzeb własnych (C. Kosikowski, Ustawa o swobodzie działalności gospodarczej. Komentarz, Warszawa 2005, s. 25). Należy jednak odróżnić tę cechę od kryterium dochodowości, które – jak stwierdził SN w uchw. z 30.11.1992 r., III CZP 134/92 (OSNC 1993, Nr 5, poz. 79) – nie jest konieczną cechą definiującą działalność gospodarczą. Ze względu na brak odwołania wprost do przepisów ustawy o swobodzie działalności gospodarczej, zakresem działania przepisów ustawy o ochronie danych osobowych zostały objęte podmioty prowadzące działalność gospodarczą wskazaną w art. 3 SwobDziałGospU. Ponadto przepisy komentowanej ustawy – inaczej niż przepisy ustawy o swobodzie działalności gospodarczej – nie wymagają, by działalność zarobkowa była wykonywana w sposób ciągły i zorganizowany. Tym samym, zakresem zastosowania ustawy będzie również objęta działalność o charakterze okresowym i sporadycznym.

13

13. Działalność gospodarcza i zawodowa. Przepis art. 3 ust. 2 pkt 2 OchrDanOsU wykracza również poza zakres wskazanego pojęcia działalności gospodarczej w ten sposób, że wskazuje, iż chodzi o każdą działalność wykonywaną zawodowo, również wtedy gdy nie jest ona wykonywana w sposób zorganizowany i ciągły. Pojęcie działalności zawodowej odnosi się do profesjonalnego wykonywania działalności opartej na posiadanych umiejętnościach lub wymaganych kwalifikacjach zawodowych (uchw. SN z 30.11.1992 r., III CZP 134/92, OSNC 1993, Nr 5, poz. 79).

14

14. Cele statutowe. W odróżnieniu od definicji działalności gospodarczej z art. 2 SwobDziałGospU, art. 3 ust. 2 pkt 2 OchrDanOsU odwołuje się również do wykonywania celów statutowych. Cele statutowe – a więc te, które są przewidziane w statucie – mogą być realizowane przez te podmioty należące do sfery prywatnej, których podstawą działania jest statut. Przypadki, w których działania takie nie będą związane z prowadzeniem działalności gospodarczej, są bardzo nieliczne i dotyczyć mogą właściwie wyłącznie stowarzyszeń oraz fundacji, które nie prowadzą działalności gospodarczej, a i te sytuacje w praktyce będą rzadkie. Ustawa nie ogranicza więc zastosowania jej przepisów wyłącznie do przedsiębiorców, ale obejmuje swoim działaniem wszelkie przejawy aktywności związane z przetwarzaniem danych osobowych, które nie mają charakteru działań dokonywanych w celach osobistych lub domowych (art. 3a ust. 1 pkt 1).

15

15. Podmioty mające siedzibę na terytorium państw należących do EOG. Takie brzmienie art. 3 ust. 2 OchrDanOsU powoduje, że przepisów ustawy nie stosuje się do podmiotów mających siedzibę na terytorium państw należących do Europejskiego Obszaru Gospodarczego. Jest to efekt przyjęcia założenia, że doszło w tych państwach do harmonizacji prawa, a więc ustawy krajowe gwarantują poziom ochrony danych oraz zawierają zasady przetwarzania danych osobowych, takie jak przewidziane w dyrektywie 95/46/WE. Nie znajdą do tych podmiotów zastosowania przepisy ustawy również w sytuacji, gdy będą przetwarzać (zbierać, przechowywać, zestawiać) dane osobowe na terytorium RP, wykorzystując w tym zakresie znajdujące się na terytorium kraju środki techniczne. W praktyce, ustawa nie będzie miała zastosowania m.in. w sytuacji zbierania przez podmioty mające siedzibę w krajach EOG danych osobowych obywateli polskich (drogą elektroniczną czy też w tradycyjny sposób). W takich przypadkach GIODO – powołując się na zakres zastosowania przepisów ustawy o ochronie danych osobowych – odmawia m.in. rejestrowania zbioru danych osobowych obywateli polskich, którego administratorem danych jest podmiot mający siedzibę na terytorium EOG. Nie oznacza to, że działania takie mogą być dokonywane bez żadnych ograniczeń lub gwarancji dla prywatności obywateli polskich, bowiem administrator danych mający siedzibę w ww. państwie będzie zobowiązany do stosowania przepisów odpowiedniej ustawy krajowej, zawierającej postanowienia odpowiadające polskiej ustawie. W literaturze podkreśla się – i nie budzi to wątpliwości – że dla administratorów danych z EOG ustawę stosuje się tylko wtedy, gdy prowadzą oni działalność na terytorium RP przez zależną osobę prawną, mającą siedzibę w Polsce. Twierdzenie takie jest tylko o tyle prawdziwe, że w praktyce przepisy ustawy zastosowanie znajdują w stosunku do spółki zależnej, tzw. spółki-córki (jako odrębnego administratora danych), a nie do spółki dominującej, tzw. spółki-matki (z siedzibą na terenie EOG), więc w rzeczywistości do podmiotu z siedzibą na terytorium EOG mają one zastosowanie wyłącznie pośrednio – oddziałując na działalność podmiotu powiązanego (z siedzibą na terytorium RP).

16

16. Oddziały i przedstawicielstwa przedsiębiorców zagranicznych. Istnieje jednak wątpliwość, czy przepisy polskiej ustawy znajdą zastosowanie, w razie prowadzenia na terytorium Polski działalności w formie oddziału czy przedstawicielstwa. W literaturze podkreśla się również, że ustawa o ochronie danych osobowych nie ma w takim przypadku zastosowania (X. Konarski, G. Sibiga, Przepisy), co wiąże się ze statusem, jaki – na podstawie przepisów art. 85–102a SwobDziałGospU – został przyznany przedsiębiorcom zagranicznym oraz z ograniczeniami przewidzianymi w przepisach tej ustawy związanymi z prowadzeniem działalności w tych formach organizacyjno-prawnych przez przedsiębiorców zagranicznych. W szczególności takie stanowisko uzasadniałoby wskazanie, że oddziały przedsiębiorców zagranicznych prowadzą działalność gospodarczą tylko w ramach działalności prowadzonej przez przedsiębiorcę zagranicznego – a więc samodzielnie (niezależnie od działalności przedsiębiorcy zagranicznego) takiej działalności prowadzić nie mogą zgodnie z brzmieniem art. 86 SwobDziałGospU. W odniesieniu natomiast do przedstawicielstw, przepis art. 94 SwobDziałGospU ogranicza działalność takiego podmiotu do prowadzenia reklamy i promocji przedsiębiorcy zagranicznego. Z drugiej strony, w literaturze rozumie się siedzibę, zwracając uwagę na prounijną – z powołaniem się na przepis pkt 19 preambuły do dyrektywy 95/45/WE – wykładnię tego pojęcia, jako miejsce, gdzie występuje efektywne i rzeczywiste wykonywanie określonej działalności w sposób stały (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 348).

17

17. Siedziba podmiotu na terytorium RP. Interpretując ustawowe kryterium siedziby danego podmiotu na terytorium RP, należy zwrócić uwagę na okoliczność, że zgodnie z literalnym brzmieniem art. 85 ust. 1 i art. 93 SwobDziałGospU przedsiębiorcy zagraniczni mogą tworzyć oddziały i przedstawicielstwa z „siedzibą” na terytorium RP. Z drugiej strony, oddział przedsiębiorcy zagranicznego, jak i jego przedstawicielstwo, może – zgodnie z art. 88 i art. 96 ust. 1 SwobDziałGosp – rozpocząć działalność po dokonaniu wpisu do KRS lub w rejestrze przedstawicielstw prowadzonym przez ministra właściwego do spraw gospodarki. Zgodnie z przepisami art. 97 ust. 1 pkt 1 i 4 SwobDziałGospU przedsiębiorca zagraniczny, składając wniosek o rejestrację przedstawicielstwa, ma obowiązek podać swoją siedzibę (w innym państwie), a w odniesieniu do przedstawicielstwa – adres siedziby głównej przedstawicielstwa na terytorium Rzeczypospolitej Polskiej, w której są przechowywane oryginały dokumentów związanych z działalnością przedstawicielstwa. W odniesieniu do oddziału przedsiębiorcy zagranicznego sytuacja przedstawia się analogicznie – z art. 38 pkt 14b KRSU wynika, że rejestr zawiera dane dotyczące siedziby przedsiębiorcy zagranicznego. Natomiast na podstawie art. 89 pkt 1 SwobDziałGospU ujawnieniu podlega również adres osoby upoważnionej w oddziale do reprezentowania przedsiębiorcy zagranicznego. W konsekwencji powyższych uwag, przyjęcie formalnej wykładni pojęcia „siedziby” (rejestrowej) wskazywałoby, że podmioty te nie powinny zostać objęte zakresem działania przepisów polskiej ustawy.

18

18. Miejsce efektywnego i rzeczywistego prowadzenia działalności. Mimo wskazanych powyżej wątpliwości, zdaniem autorów niniejszego komentarza, drugie ze wskazanych powyżej stanowisk – przyjmujące kryterium miejsca efektywnego i rzeczywistego prowadzenia działalności – zasługuje na akceptację m.in. ze względu na większą gwarancję, jaką daje ono w zakresie ochrony danych osobowych obywateli RP. Nie da się jednak, zdaniem autorów, w tym zakresie sformułować zasady ogólnej zastosowania przepisów ustawy do przedstawicielstw i oddziałów przedsiębiorców zagranicznych mających siedzibę na terenie EOG. Odrębną kwestią jest natomiast, czy mogą one zawsze – ze względu na swoje miejsce w strukturze korporacji międzynarodowej – być uznane za administratora danych. Dla oceny ich statusu, w ramach procesów związanych z przetwarzaniem danych osobowych w relacjach z przedsiębiorcami zagranicznymi, konieczna będzie analiza, określonych w art. 7 pkt 4 OchrDanOsU, przesłanek decydowania o celach i środkach przetwarzana danych osobowych (por. uwagi do art. 7 OchrDanOsU).

19

19. Pojęcie „państwa trzeciego”. Ustawa w art. 3 ust. 2 określa, że jej przepisy znajdują zastosowanie do podmiotów, które przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych, jeżeli mają siedzibę w państwie trzecim, ale przetwarzają dane osobowe przy wykorzystaniu środków technicznych znajdujących się na terytorium RP. Przez pojęcie „państwa trzeciego”, zgodnie z definicją zawartą w art. 7 pkt 7 OchrDanOsU, należy rozumieć państwa, które nie należą do EOG (por. uwagi do art. 7 OchrDanOsU). Podmioty mające siedzibę w takim państwie mogą być objęte zakresem zastosowania przepisów ustawy w sytuacji, gdy przetwarzają dane osobowe przy wykorzystaniu środków technicznych znajdujących się na terytorium RP. Pojęcie „środków technicznych” nie zostało w ustawie zdefiniowane. Powszechnie przyjmuje się jednak, że pojęciem tym są objęte wszelkie środki (zarówno tradycyjne, jak i elektroniczne) wykorzystywane do przetwarzania danych osobowych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 348). Jednocześnie ustawa nie przesądza, czy na terytorium RP muszą się znajdować wszystkie środki techniczne zaangażowane w przetwarzanie danych osobowych. Zdaniem autorów, za słuszny należy uznać pogląd (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 348), że wystarczy, by część ze środków technicznych znajdowała się na terytorium RP (jeżeli nie służą one wyłącznie tranzytowi danych) (por. uwagi do art. 3a). W ocenie autorów, środki techniczne wykorzystywane do przetwarzania danych nie muszą być również środkami własnymi administratora danych (będącymi w jego dyspozycji bez względu na podstawę prawną) – mogą to być również środki podmiotu przetwarzającego dane osobowe na zlecenie, na podstawie umowy, o której mowa w art. 31 OchrDanOsU.

20

20. Zlokalizowanie systemów informatycznych częściowo poza terytorium Polski. Na tle wykładni przepisu art. 3 ust. 2 OchrDanOsU powstają jednak wątpliwości co do zakresu zastosowania przepisów ustawy, w sytuacji zlokalizowania środków technicznych (elementów systemów informatycznych) częściowo poza terytorium Polski. Do takich sytuacji dochodzić może w przypadku np. umieszczenia serwerów w państwie trzecim i umożliwienia do nich dostępu on-line z terytorium różnych państw – m.in. Polski. Powstaje więc wątpliwość, czy takie środki techniczne (terminale) zlokalizowane na terytorium RP nie służą wyłącznie przekazywaniu danych zgodnie z art. 3a ust. 1 pkt 2 OchrDanOsU, co wyłączałoby zastosowanie jej przepisów. Oceny takiej należy dokonać zawsze in concreto. Jednakże, w ocenie autorów niniejszego komentarza, w przypadku zlokalizowania tego typu środków technicznych na terytorium RP, o zastosowaniu przepisów ustawy przesądzać może potencjalna możliwość dostępu do danych z terytorium RP, ich wprowadzenia, aktualizowania, modyfikacji, etc. w systemie informatycznym, a więc dokonywania za pośrednictwem tego środka technicznego jakichkolwiek operacji na danych osobowych. Nie będą objęte zastosowaniem przepisów ustawy sytuacje, w których wszystkie środki techniczne zostaną zlokalizowane (przez podmiot mający siedzibę w państwie trzecim lub w państwie należącym do EOG) w innym państwie, natomiast czynności w ramach przetwarzania danych osobowych będą nastawione na pozyskanie danych obywateli RP (np. strony zagranicznego przedsiębiorcy dedykowane dla obywateli RP). Wskazówek interpretacyjnych w tym względzie należy poszukiwać m.in. w orzecznictwie TSUE, który stwierdził, że nie stanowi przekazywania danych poza granice Unii Europejskiej umieszczenie danych osobowych na serwerze posadowionym na terenie państwa członkowskiego Unii w taki sposób, że dane te stają się dostępne dla nieograniczonej liczby osób, także spoza terenu Unii (por. wyr. TSUE z 6.11.2003 r., C-101/01, Bodil Postępowanie karne przeciwko Bodil Lindqvist, Zb. Orz. 2003, s. I-12971).

Art. 3a. [Wyłączenie stosowania][5]

1. Ustawy nie stosuje się do:

 1) osób fizycznych, które przetwarzają dane wyłącznie w celach osobistych lub domowych,

 2) podmiotów mających siedzibę lub miejsce zamieszkania w państwie trzecim, wykorzystujących środki techniczne znajdujące się na terytorium Rzeczypospolitej Polskiej wyłącznie do przekazywania danych.

2. Ustawy, z wyjątkiem przepisów art. 14–19 i art. 36 ust. 1, nie stosuje się również do prasowej działalności dziennikarskiej w rozumieniu ustawy z dnia 26 stycznia 1984 r. – Prawo prasowe (Dz.U. Nr 5, poz. 24, z późn. zm.) oraz do działalności literackiej lub artystycznej, chyba że wolność wyrażania swoich poglądów i rozpowszechniania informacji istotnie narusza prawa i wolności osoby, której dane dotyczą.

1

1. Przetwarzanie danych przez osoby fizyczne w celach osobistych lub domowych. Ustawa wyłącza w art. 3a ust. 1 pkt 1 zastosowanie jej przepisów do przypadku przetwarzania danych przez osoby fizyczne w celach osobistych lub domowych. Brzmienie tego przepisu wskazuje na dwie sytuacje, w których nie znajdą zastosowania przepisy OchrDanOsU. Pierwszą jest przetwarzanie danych osobowych przez osoby fizyczne w ich celach osobistych, drugą natomiast takie przetwarzanie w ich celach domowych. Ustawa nie definiuje przy tym, na czym mają polegać te dwa cele przetwarzania danych osobowych. Należy je więc interpretować w powiązaniu z treścią art. 3 OchrDanOsU – jako wyjątek od wskazanej tam zasady ogólnej. W związku z tym, celem osobistym i domowym nie jest na pewno realizacja celów statutowych (gdyż nie są one realizowane przez osoby fizyczne jako takie). Pewne wątpliwości wzbudzać może jednak określenie działalności zawodowej i zarobkowej, gdyż jak już wskazano (por. uwagi do art. 3 OchrDanOsU), pojęcia te, odmiennie od pojęcia działalności gospodarczej, nie zakładają wykonywania czynności w sposób ciągły i zorganizowany. Czynności zarobkowe (a więc zakładające zysk) lub też zawodowe (wykorzystujące profesjonalizm) dokonywane okazjonalnie mogą mieć charakter osobisty lub domowy.

2

2. Działalność zarobkowa mająca cechy realizacji celów osobistych. W związku z powyższymi uwagami, nie można z góry wykluczyć sytuacji, w której działalność zarobkowa, niebędąca działalnością gospodarczą, będzie miała charakter osobisty lub domowy. W literaturze wskazuje się słusznie jako przykład działalności zarobkowej, mającej cechy realizacji celów osobistych, przetwarzanie danych osobowych w związku z uczestniczeniem w aukcjach elektronicznych, jeżeli nie jest dokonywane w związku z prowadzoną działalnością gospodarczą (por. A. Drozd, Ustawa, s. 28). W odniesieniu do „celów domowych”, zdaniem autorów, należy się opowiedzieć za wykładnią wskazującą, że chodzi o cele domowe nie tylko osoby fizycznej przetwarzającej dane osobowe, lecz także o cele jego „domostwa”, wspólnoty domowej. Na takie rozumienie tego przepisu wskazuje brzmienie dyrektywy 95/46/WE, która w angielskiej wersji językowej posługuje się pojęciem household activities.

3

3. Użytek osobisty. Do podobnych wniosków prowadziłoby przyjęcie, że realizację celów osobistych i domowych należy traktować analogicznie jak użytek osobisty, którego zakresem zostały objęte, zgodnie z art. 23 ust. 2 PrAut, osoby pozostające w związku osobistym, w szczególności pokrewieństwa, powinowactwa lub stosunku towarzyskiego. Na tle tej regulacji wskazano, że użytek dla własnych celów zawodowych można uznać za mieszczący się w granicach własnego użytku osobistego (J. Barta, M. Czajkowska-Dąbrowska, Z. Ćwiąkalski, R. Markiewicz, E. Traple, Prawo autorskie i prawa pokrewne. Komentarz, Kraków 2005, s. 310). Akceptacja powyższego stanowiska, jak wskazuje się w literaturze (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 355), „otwierałaby możliwość «oderwania» od rygorów ustawowych zbiorów danych osobowych [zarówno danych w zestawach danych, jak i pojedynczych danych w systemach informatycznych (przyp. aut.)] istniejących, tworzonych i wykorzystywanych w rodzinach lub w niewielkich zespołach ludzi, pomiędzy którymi występuje towarzyska zażyłość”. Przykładowo wyłączenie to dotyczyłoby również nieformalnych (niemających statutu) grup, klubów (np. graczy). Według autorów niniejszego komentarza należy zaakceptować wskazane powyżej stanowiska chociażby ze względu na literalną wykładnię przepisu art. 3a ust. 1 pkt 1 OchrDanOsU, który posługuje się pojęciem „osoby fizyczne” (w liczbie mnogiej) oraz zawiera alternatywę łączną (przez zastosowanie sformułowania „lub”), a więc nie wymaga, by cele osobiste i domowe w przetwarzaniu danych przez te osoby fizyczne były realizowane łącznie.

4

4. Dane sensytywne. W związku z powyższym, regulacją ustawy nie będą objęte czynności związane z dokonywaniem operacji na książkach adresowych zlokalizowanych na osobistych komputerach (w programach pocztowych) lub też w telefonach komórkowych. Takie rozwiązanie należy uznać za słuszne, gdyż w przeciwnym razie każda operacja na danych osobowych, dokonywana w celach osobistych np. przesłania znajomemu lub otrzymania od niego wizytówki za pośrednictwem telefonu komórkowego albo adresu e-mail za pośrednictwem komputera, wiązałaby się z koniecznością wypełnienia obowiązków określonych w ustawie (np. w art. 23–25 i art. 27 ust. 1 OchrDanOsU). Ustawa przy tym nie odwołuje się w żaden sposób do okoliczności i sposobu pozyskania danych ani też nie zawęża wyłączenia tylko do określonych danych, dotyczy więc też danych sensytywnych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 354).

5

5. Upublicznienie danych na portalach społecznościowych. W tym kontekście istotne zagadnienia wiążą się z działalnością portali społecznościowych, które umożliwiają nierzadko użytkownikom umieszczenie na stronach internetowych i upublicznienie ich własnych treści (user generated content), m.in. danych osobowych. W takim wypadku osoba, która zamieszcza dane, dokonuje tych działań (zakładając, że nie mają one celu zarobkowego) w celach osobistych, nie jest więc objęta przepisami ustawy. Nie można – zdaniem autorów – w tym zakresie zgodzić się z poglądem, że wyłączenie przewidziane w tym przepisie nie znajdzie zastosowania w wypadku umieszczenia danych innych osób w serwisie, ponieważ element „osobistego” korzystania z danych osobowych przybiera postać ich upublicznienia (tak X. Konarski, G. Sibiga, Wizerunek w Internecie bez pełnej ochrony, Rzeczp. 10.6.2008 r.). Natomiast w sytuacji zamieszczenia danych w portalu (na stronie internetowej), z wykorzystaniem systemu informatycznego administratora portalu, dochodzi do zlecenia przez tę konkretną osobę fizyczną operacji na danych osobowych (chociażby ich przechowywania) podmiotowi, który trudni się tym zawodowo (jeżeli nie zarobkowo). Do takiej sytuacji (zakładając, że są spełnione przesłanki z art. 3 ust. 2 OchrDanOsU) znajdą zastosowanie przepisy ustawy. Skutkiem tego będzie konieczność wypełniania przez administratora portalu (jako podmiot, któremu powierzono przetwarzanie danych osobowych), na podstawie art. 31 ust. 3 OchrDanOsU, obowiązków w zakresie stosowania środków zabezpieczenia danych, o których mowa w art. 36–39a OchrDanOsU. Jednak sama umowa, na podstawie której dochodzi do przetwarzania danych, nie musi być zawarta w formie pisemnej, ponieważ osoba, która zamieszcza dane w portalu, nie jest objęta przepisami ustawy o ochronie danych osobowych, nie ma więc obowiązku zawarcia umowy na piśmie (obowiązek ten ciąży na administratorze danych, a więc na podmiocie, do działań którego stosuje się przepisy ustawy). Mimo że administrator portalu nie będzie administratorem danych, w zakresie zabezpieczenia danych może być zarówno obiektem kontroli GIODO (art. 14 i nast. OchrDanOsU), jak i adresatem decyzji administracyjnej (art. 18 OchrDanOsU) (por. uwagi do art. 31). Natomiast osoba fizyczna, która w celach osobistych umieściła dane osobowe na portalu, nie może być ani podmiotem wskazanej kontroli, ani też adresatem sankcji administracyjnoprawnej. Osoba dotknięta działaniem innej osoby fizycznej, która umieściła (upubliczniła) jej dane na portalu, nie może wnosić o przeprowadzenie kontroli ani o wydanie przez GIODO odpowiedniej decyzji. Pozostają jej względem takiego naruszyciela wyłącznie roszczenia cywilne związane z naruszeniem dóbr osobistych (art. 24 KC). O wzajemnym stosunku tych dwóch regulacji – OchrDanOsU i KC (por. uwagi do art. 23 OchrDanOsU).

6

6. Transfer danych przez terytorium RP. Artykuł 3a ust. 1 pkt 2 OchrDanOsU wyłącza zastosowanie jej przepisów w stosunku do podmiotów mających siedzibę lub miejsce zamieszkania w państwie trzecim i wykorzystujących środki techniczne znajdujące się na terytorium RP wyłącznie do przekazywania danych. Ustawodawca wyłączył więc spod zakresu obowiązywania polskiej regulacji sytuacje związane z tzw. transferem danych przez terytorium RP. Nie jest istotne, czy podmiot przekazujący, czy odbierający dane ma siedzibę w państwie trzecim, istotna jest okoliczność, że podmiot będący dysponentem środków technicznych znajdujących się na terenie RP był podmiotem z siedzibą lub miejscem zamieszkania w państwie trzecim. Ponadto drugą przesłanką, która musi być spełniona, jest dokonywanie wyłącznie przesyłu danych za pomocą środków technicznych. Nie jest więc możliwe dokonywanie, w ramach przesyłu, jakichkolwiek innych operacji na danych osobowych (por. A. Drozd, Ustawa, s. 29; tak też J. Kamińska, B. Sadowski, Transgraniczne przetwarzanie danych osobowych, Służba Pracownicza 2005, Nr 3, s. 35).

7

7. Działalność dziennikarska, artystyczna i literacka. Artykuł 3a ust. 2 wyłącza zastosowanie ustawy, z wyjątkiem przepisów art. 14–19 i art. 36 ust. 1, w stosunku do prasowej działalności dziennikarskiej w rozumieniu PrPras oraz do działalności literackiej lub artystycznej. Regulacja ta przyznaje prymat swobodzie wypowiedzi, ale jedynie w odniesieniu do wypowiedzi o specyficznym charakterze: dziennikarskiej, artystycznej i literackiej (M. Sakowska, A. Młynarska-Sobaczewska, „Klauzula prasowa” z ustawy o ochronie danych osobowych jako gwarancja wolności wypowiedzi, PiP 2005, Nr 1, s. 70).

8

8. Klauzula prasowa. Artykuł 3a ust. 2 OchrDanOsU zawiera tzw. klauzulę prasową, tj. wyłączenie zastosowania większości przepisów ustawy do prowadzenia prasowej działalności dziennikarskiej. Klauzula ta została wprowadzona do polskiej ustawy nowelizacją z 22.1.2004 r. Jej treść wskazuje, że przepisy ustawy nie znajdą zastosowania w ramach działalności dziennikarskiej wykonywanej w prasie. Ustawa PrPras definiuje prasę w art. 7 ust. 2 pkt 1 bardzo szeroko, obejmując tym pojęciem publikacje periodyczne, które nie tworzą zamkniętej, jednorodnej całości, ukazujące się nie rzadziej niż raz do roku, opatrzone stałym tytułem albo nazwą, numerem bieżącym i datą, a w szczególności: dzienniki i czasopisma, serwisy agencyjne, etc., także wszelkie istniejące i powstające w wyniku postępu technicznego środki masowego przekazu. Pojęciem prasy zostały objęte zespoły ludzi i poszczególne osoby zajmujące się działalnością dziennikarską. Na gruncie tej definicji również serwisy internetowe, a przynajmniej niektóre ich rodzaje, coraz częściej są kwalifikowane jako „prasa” w rozumieniu ustawy – PrPras, np. w post. SN z 26.7.2007 r. (post. SN z 26.7.2007 r., IV KK 174/07, OSP 2008, Nr 6, poz. 60; por. też post. SA w Łodzi z 18.1.2013 r., I ACa 1031/12, niepubl.). Jednocześnie, zgodnie z art. 7 ust. 2 pkt 5 PrPras, dziennikarzem jest osoba zajmująca się redagowaniem, tworzeniem lub przygotowywaniem materiałów prasowych, pozostająca w stosunku pracy z redakcją albo zajmująca się taką działalnością na rzecz i z upoważnienia redakcji. Na gruncie ww. przepisów zakres pojęć – dziennikarz, redaktor i redaktor naczelny – rozszerza się w orzecznictwie na osoby prowadzące serwisy internetowe, które mogą zostać uznane za prasę. Jak wskazał WSA w post. z 30.10.2008 r. (II SA/Wa 1885/07, Legalis), jeśli ktoś „samodzielnie redaguje, tworzy i przygotowuje materiały, a nadto wyłącznie w jego gestii pozostaje publikacja opracowanych materiałów i całokształt działalności redakcji, to tym samym skupia on trzy wymienione w prawie prasowym funkcje (odpowiednio pkt 5, 6 i 7 art. 7 ust. 2), tzn.: dziennikarza, redaktora i redaktora naczelnego”.

9

9. Działalność literacka. Artykuł 3a ust. 2 wyłącza również zastosowanie przepisów ustawy w sytuacji prowadzenia działalności literackiej. Ustawa nie zawiera przy tym definicji takiej działalności. W konsekwencji, jak słusznie wskazuje się w literaturze (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 358), pojęcie to powinno być rozumiane jako stworzenie utworu literackiego. W związku z powyższym, bez wątpienia dokonywanie jakichkolwiek operacji na danych osobowych w ramach procesu tworzenia dzieła literackiego jest wyłączone spod zastosowania przepisów ustawy. Wyłączenie to dotyczy jednak jedynie autora i procesu tworzenia utworu literackiego, nie obejmuje zaś swoim zakresem działalności wydawniczej, sprzedaży zwielokrotnionych egzemplarzy utworów literackich, np. książek, a także (ze względu na brak elementu twórczości) opracowywania różnego rodzaju informatorów, skorowidzów, spisów, wykazów oraz ich publikacji (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 359).

10

10. Działalność artystyczna. Wyłączenie przepisów ustawy, określone w art. 3a ust. 2, dotyczy również działalności artystycznej, której definicji legalnej brak w ustawie o ochronie danych osobowych. Ze względu na powyższe oraz ze względu na okoliczność, że działalność artystyczna jest powiązana z wszelką działalnością twórczą w ramach szeroko pojmowanej sztuki, a także ze względu na fakt, że ustawa nie wymaga, by działalność taka była wykonywana zawodowo, wyłączenie to ma bardzo szeroki zakres przedmiotowy i obejmuje działalność różnego rodzaju twórców (malarze, rzeźbiarze) i wykonawców (piosenkarze, aktorzy), w tym również wykonujących swą działalność amatorsko (np. twórcy ludowi, amatorskie zespoły artystyczne) (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 359).

11

11. Kontrola prowadzona przez GIODO. Wyłączenie zastosowania przepisów ustawy nie obejmuje przepisów odnoszących się do kontroli prowadzonej przez GIODO i wydawania na jej podstawie decyzji administracyjnych lub kierowania spraw do organów ścigania (art. 14–19), które mogą dotyczyć stosowania odpowiednich do zagrożeń środków zabezpieczeń technicznych i organizacyjnych art. 36 ust. 1 OchrDanOsU. Ze względu na okoliczność, że przepisy ustawy nie mają w dużej mierze zastosowania do działalności dziennikarskiej, nie znajduje zastosowanie również do podmiotów biorących udział w procesie publikacji materiałów prasowych pojęcie administratora danych, do którego odwołuje się brzmienie art. 36 ust. 1 OchrDanOsU. Z tego też względu przepis ten powinien mieć zastosowanie tylko „odpowiednio” (por. A. Młynarska-Sobaczewska, M. Sakowska-Baryła, Glosa do wyroku SN z 2.10.2006 r., Pal. 2008, Nr 9–10, s. 293; tak też SN w uzasadnieniu wyr. z 2.10.2006 r., V KK 243/06, OSNKW 2006, Nr 12, poz. 113).

12

12. Zakres kontroli GIODO. Z literalnego brzmienia komentowanego przepisu wynika, że zakres ewentualnej kontroli GIODO jest więc bardzo ograniczony (do wymogów z art. 36 ust. 1 OchrDanOsU). Nie może więc w takim wypadku dojść do naruszenia tajemnicy dziennikarskiej (odmiennie M. Sakowska, A. Młynarska-Sobaczewska, „Klauzula prasowa”, s. 74), gdyż nie są kontrolowane treści zawarte w systemach informatycznych lub zbiorach danych, ale wyłącznie środki techniczne i organizacyjne, służące do zabezpieczenia danych. Należy jednak zaakceptować formułowany w nauce prawa pogląd, że zakres kontroli jest w tym wypadku znacznie szerszy i obejmuje wszelkie kwestie związane z kontrolą zgodności przetwarzania danych z przepisami o ich ochronie (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 357), ale tylko w zakresie, w jakim podmioty te przetwarzają dane osobowe nie w związku z prowadzoną prasową działalnością dziennikarską sensu stricto (a więc np. w związku z zatrudnieniem pracowników lub ze złożonymi zamówieniami na prenumeratę). Zdaniem autorów niniejszego komentarza przyjęcie odmiennego stanowiska prowadziłoby do nieuprawnionego rozszerzenia kompetencji tego organu administracyjnego poza zakres określony przepisami ustawy. Jak wskazuje się bowiem w literaturze, wyłączenie to dotyczy jedynie działalności dziennikarskiej, natomiast nie obejmuje innych rodzajów działalności mediów (m.in. działalności wydawniczej, marketingowej, itp.) (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 358; tak też A. Drozd, Ustawa, s. 29).

13

13. Klauzula usprawiedliwionego celu administratora danych. Ograniczeniem wyłączenia z art. 3a ust. 2 OchrDanOsU jest istotne naruszenie przez wskazaną w tym przepisie działalność praw i wolności osoby, której dane dotyczą. Brzmienie tego przepisu w sposób dla nas niewyjaśniony odbiega od treści przepisu art. 23 ust. 1 pkt 5 OchrDanOsU (tzw. klauzula usprawiedliwionego celu administratora danych), który odwołuje się do „naruszenia praw i wolności osoby, której dane dotyczą”, bez określenia powagi i istotności tego naruszenia. Brak w przepisach ustawy przesłanek do dokonania dywersyfikacji tych dwóch sytuacji, tj. określenia, czym różni się to „istotne” naruszenie od „normalnego” naruszenia, o jakim mowa w art. 23 ust. 1 pkt 5 OchrDanOsU. Przyjmując nawet, że sformułowanie to odpowiada pojęciu „poważnie”, co wskazywałoby na pewną stopniowalność naruszeń (M. Sakowska, A. Młynarska-Sobaczewska, „Klauzula prasowa”, s. 75), to nie ma to znaczenia ze względu na konieczność dokonywania ewentualnej oceny zawsze in concreto – zarówno co do faktu zaistnienia naruszenia, jak i jego istotności.

14

14. Kontrola GIODO a klauzula usprawiedliwionego celu administratora danych. W świetle treści przepisu art. 3a ust. 2 OchrDanOsU nie jest również dopuszczalna, według autorów, ewentualna interwencja GIODO (kontrola, wydanie decyzji) w przypadku, gdy w wyniku prowadzenia działalności dziennikarskiej mogłoby dochodzić do zagrożenia praw i wolności osoby, której dane dotyczą. Tak jak w przypadku dokonywania oceny ewentualnego naruszenia praw i wolności osoby, której dane dotyczą, w przypadku przetwarzania danych w oparciu o tzw. klauzulę usprawiedliwionego celu administratora danych (art. 23 ust. 1 pkt 5 OchrDanOsU), to podmiot wykonujący działalność dziennikarską powinien dokonać uprzedniej analizy, czy do takiego naruszenia dojść może. W tym kontekście zastrzeżenia budzi sama treść przepisu, gdyż nie zawiera on zobowiązania podmiotu prowadzącego prasową działalność dziennikarską do wypełnienia obowiązków z art. 26 OchrDanOsU związanych z dochowaniem należytej staranności przy przetwarzaniu danych osobowych (por. uwagi do art. 26 OchrDanOsU).

15

15. Następcza ocena naruszenia praw i wolności. Ze względu na okoliczność, że prawa i wolności osoby należą (por. uwagi do art. 23 OchrDanOsU) do sfery dóbr osobistych, następcza (względem samego przetwarzania danych) ocena powinna być dokonana wyłącznie przez sąd i to na etapie postępowania sądowego w związku z naruszeniem tych dóbr (tak M. Sakowska, A. Młynarska-Sobaczewska, „Klauzula prasowa”, s. 75–76; A. Młynarska-Sobaczewska, M. Sakowska-Baryła, Glosa, s. 292–302). Prawa i wolności osoby, której dane dotyczą, nie są bowiem w żaden sposób określone w regulacji ustawowej, a więc brak podstaw do badania przez GIODO, jako organ administracyjny, ewentualnego istnienia lub niezaistnienia okoliczności (przesłanek) wskazujących na ich naruszenie.

16

16. Skutki istotnego naruszenia praw i wolności osoby. Na gruncie przepisu art. 3a ust. 2 nie są jasne ewentualne skutki istotnego naruszenia praw i wolności osoby, której dane dotyczą, w ramach prasowej działalności dziennikarskiej. Z literalnego brzmienia przepisu wynikałoby, że od momentu naruszenia przestaje obowiązywać wyłączenie zastosowania przepisów ustawy. Efektem ściśle literalnej wykładni tej normy byłoby przyjęcie, że od tego momentu znajdują zastosowanie wszystkie przepisy ustawy, dotyczącej m.in. prowadzonej przez GIODO kontroli (art. 14–19), która mogłaby objąć wszystkie aspekty przetwarzania danych osobowych, jak i zabezpieczenia danych (art. 36–39a), podstaw prawnych przetwarzania danych (art. 23 i art. 27 ust. 2), obowiązków informacyjnych (art. 24 i 25) i należytej staranności przy przetwarzaniu danych osobowych. Paradoksalnie, w myśl tego przepisu, spełnienie ww. wymogów odnosi się do okresu sprzed stwierdzenia naruszeń, a zatem nakłada na podmiot obowiązek stosowania ustawy o ochronie danych osobowych ex post (tak M. Sakowska, A. Młynarska-Sobaczewska, „Klauzula prasowa”, s. 77; A. Młynarska--Sobaczewska, M. Sakowska-Baryła, Glosa, s. 292).

17

17. Prawne podstawy przetwarzania danych. Co do prawnych podstaw przetwarzania danych, to o ile – jak wskazuje się w literaturze (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 357) – podstawę działalności dziennikarskiej stanowią przepisy prawa prasowego, o tyle nie można zdaniem autorów niniejszego komentarza, ze względu na ich bardzo ogólny charakter, z góry przyjąć, że mogą one stanowić podstawę prawną przetwarzania danych osobowych, o której mowa w art. 23 ust. 1 pkt 2 OchrDanOsU. Z tego względu nie można zaakceptować stanowiska SN, wyrażonego w wyr. z 18.3.2008 r. (IV CSK 474/07, niepubl., teza 3), że art. 13 ust. 2 PrPras stanowi samodzielną podstawę ochrony danych osobowych, gdyż dotyczy on jedynie jednego aspektu przetwarzania danych, tj. ich publikacji. Podstawą prawną przetwarzania danych osobowych nie może być – ze względu na naruszenie praw i wolności osoby, której dane dotyczą – również tzw. klauzula usprawiedliwionego celu administratora danych – art. 23 ust. 1 pkt 5 OchrDanOsU. Nie można natomiast, według autorów, z góry przyjąć, że brak będzie w takim przypadku jakiejkolwiek podstawy przetwarzania danych i tym samym że w przypadku naruszenia praw i wolności osoby, której dane dotyczą, dojdzie do automatycznego naruszenia wskazanego w art. 26 OchrDanOsU obowiązku dochowania należytej staranności przy przetwarzaniu danych osobowych (odmiennie J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 360).

Art. 4. [Wyłączenie stosowania]

Przepisów ustawy nie stosuje się, jeżeli umowa międzynarodowa, której stroną jest Rzeczpospolita Polska, stanowi inaczej.

1

1. Wyłączenie stosowania ustawy. Podstawową kwestią na tle unormowania art. 4 OchrDanOsU jest dokonanie analizy, czy każda umowa międzynarodowa, której stroną jest RP, może wyłączać w pewnym zakresie zastosowanie przepisów ustawy i w jakich sytuacjach może dojść do takiego wyłączenia. Artykuł 4 ustawy wskazuje, iż do wyłączenia zastosowania jej przepisów może dojść na tle postanowień umowy międzynarodowej, której RP jest stroną. Nie określa natomiast ewentualnych innych wymogów formalnych takiego aktu prawnego, które powinny zostać spełnione, by można było uznać, że regulacja polskiej ustawy została w pewnym zakresie lub w części wyłączona przez postanowienia takiej umowy. Dla oceny możliwości zastąpienia polskiej regulacji przez (lub też bezpośredniego stosowania w RP) postanowienia umowy międzynarodowej, należy sięgnąć do przepisów ustawy zasadniczej jako aktu prawnego o charakterze podstawowym i decydującym w zakresie hierarchii źródeł prawa na terytorium RP.

2

2. Wymóg uzyskania ratyfikacji umowy międzynarodowej. W art. 87 ust. 1 Konstytucji RP wskazano, że źródłami powszechnie obowiązującego prawa są ratyfikowane umowy międzynarodowe. W związku z takim brzmieniem normy konstytucyjnej wymóg uzyskania ratyfikacji nie budzi wątpliwości. Jednak Konstytucja RP w art. 89 ust. 1 wymaga, by w pewnych sytuacjach ratyfikowanie umowy międzynarodowej następowało po uzyskaniu zgody wyrażonej ustawą. Zgodnie z art. 89 ust. 1 pkt Konstytucji RP zgoda taka jest wymagana, jeżeli umowa międzynarodowa dotyczy „wolności, praw lub obowiązków obywatelskich określonych w Konstytucji RP”. Artykuł 51 określa wolności osobiste, które składają się na tzw. autonomię informacyjną jednostki, której elementem jest uprawnienie do decydowania o ujawnieniu informacji dotyczących własnej osoby. Tym samym elementem wolności określonej w Konstytucji RP jest nieskrępowane decydowanie o warunkach przetwarzania (ujawnienia, upublicznienia, udostępnienia) danych osobowych przez osobę, której one dotyczą (o koncepcji tzw. autonomii informacyjnej jednostki w prawie polskim por. uwagi do art. 1 OchrDanOsU).

3

3. Umowy ratyfikowane za uprzednią zgodą wyrażoną w ustawie. W związku ze wskazaną powyżej interpretacją art. 89 ust. 1 Konstytucji RP, jeżeli przedmiotem regulacji międzynarodowej są zasady przetwarzania danych osobowych, to tylko umowy międzynarodowe ratyfikowane za uprzednią zgodą wyrażoną w ustawie mogą wprost wyłączać stosowanie przepisów ustawy o ochronie danych osobowych (tak też A. Drozd, Ustawa, s. 32).W konsekwencji, umowy międzynarodowe, które nie zostały ratyfikowane, a nawet umowy międzynarodowe, które co prawda zostały ratyfikowane przez RP, ale bez uprzedniej zgody wyrażonej w ustawie, nie mogą wyłączyć zastosowania przepisów ustawy. Jednakże w stosunku do umów międzynarodowych, które zostały ratyfikowane przez RP i ogłoszone w Dzienniku Ustaw na podstawie obowiązujących w czasie ich ratyfikacji przepisów – sprzed dnia wejścia w życie Konstytucji RP – zastosowanie znajdzie art. 241 przepisów przejściowych Konstytucji RP, w którym uznaje się je za umowy ratyfikowane za uprzednią zgodą wyrażoną w ustawie i stosuje się do nich przepisy art. 91 Konstytucji RP, jeżeli z treści umowy międzynarodowej wynika, że dotyczą one kategorii spraw wymienionych w art. 89 ust. 1 Konstytucji RP. Tym samym, mogą one wyłączyć stosowanie przepisów ustawy o ochronie danych osobowych.

4

4. Ochrona osób w związku z automatycznym przetwarzaniem danych osobowych. Rzeczpospolita Polska jest stroną umowy międzynarodowej – Konwencji Nr 108 Rady Europy z 1981 r. dotyczącej ochrony osób w związku z automatycznym przetwarzaniem danych osobowych (Polska ratyfikowała tę Konwencję 24.4.2002 r., Dz.U. z 2003 r. Nr 3, poz. 25 ze zm.). Umowa ta została ratyfikowana przez Polskę, ale bez uprzedniej zgody wyrażonej w ustawie, co oznacza, że jej postanowienia nie mogą wyłączać zastosowania przepisów ustawy o ochronie danych osobowych. Normy zawarte w tej umowie międzynarodowej nie mają charakteru norm samowykonalnych (A. Mednis, Ochrona, s. 41), co potwierdza powyższe stanowisko. Regulacje Konwencji Nr 108 są jednak zgodne z polską ustawą (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 71), więc problem stosowania jej postanowień w praktyce nie ma znaczenia. Powyższe dotyczy również zastosowania postanowień protokołu dodatkowego do Konwencji Nr 108 (A. Drozd, Ustawa, s. 33).

5

5. Przetwarzanie danych na potrzeby kościoła lub innego związku wyznaniowego. Zagadnień związanych z przetwarzaniem danych osobowych dotyczą również niektóre umowy międzynarodowe dwustronne, których regulacja zagadnień związanych z przetwarzaniem danych osobowych jest jednak zazwyczaj elementem określenia zasad współpracy pomiędzy państwami w szerszych dziedzinach (np. w zakresie zwalczania przestępczości). Tego rodzaju postanowień nie zawiera natomiast Konkordat między Stolicą Apostolską i Rzecząpospolitą Polską, podpisany w Warszawie 28.7.1993 r., a zakres kompetencji GIODO w stosunku do danych osobowych dotyczących osób należących do kościoła lub innego związku wyznaniowego, o uregulowanej sytuacji prawnej, przetwarzanych na potrzeby tego kościoła lub związku wyznaniowego, wyznacza wyłącznie art. 43 ust. 2 OchrDanOsU. Oznacza to, że chociaż przepisy OchrDanOsU będą miały zastosowanie w odniesieniu do jego działalności, to w odniesieniu do zbiorów danych członków Kościoła Katolickiego GIODO nie dysponuje uprawnieniami do przeprowadzania kontroli, które przewidziano w art. 13–15 ustawy, nie może również wydawać decyzji ani też rozpatrywać skarg (art. 12 pkt 2) (por. wyr. WSA w Warszawie z 26.10.2012 r., II SA/Wa 900/12, niepubl.). Należy jednak wskazać, że w efekcie współpracy Kościoła i GIODO została opracowana przez GIODO i Sekretariat Episkopatu Polski instrukcja z 23.9.2009 r. pod nazwą „Ochrona danych osobowych w działalności Kościoła Katolickiego w Polsce”. Dokument ten w dużej mierze powtarza podstawowe definicje i zasady z OchrDanOsU, jak również odwołuje się do postanowień Kodeksu Prawa Kanonicznego (kan. 486–491), które dotyczą zabezpieczenia dokumentów diecezjalnych i parafialnych. Należy podkreślić, że postanowienia tego dokumentu mają charakter instrukcyjny i nie mogą stanowić jakiejkolwiek podstawy dla GIODO do władczej ingerencji w działalność kościelnych osób prawnych i innych jednostek organizacyjnych Kościoła Katolickiego.

6

6. Umowy nieratyfikowane lub też ratyfikowane bez uprzedniej zgody wyrażonej w ustawie. O ile postanowienia umów międzynarodowych nieratyfikowanych lub też ratyfikowanych bez uprzedniej zgody wyrażonej w ustawie nie wyłączają – co do zasady – w sposób automatyczny postanowień komentowanej ustawy, o tyle brzmienie ich postanowień może mieć wpływ na wykładnię jej przepisów. W szczególności dla wykładni pojęć takich, jak „prawa i wolności osób, których dane dotyczą” (np. art. 3a ust. 2, art. 23 ust. 1 pkt 5), istotne znaczenie będą miały postanowienia EKPC, sporządzonej w Rzymie 4.11.1950 r. (Dz.U. z 1993 r. Nr 61 poz. 284 ze zm.) – w szczególności jej art. 8. Postanowienia Konwencji i orzecznictwo ETPC ma również wpływ pośredni na wykładnię i stosowanie przepisów ustawy o ochronie danych osobowych, gdyż są one brane pod uwagę jako element zasad ogólnych prawa unijnego (art. 6 ust. 2 TUE) przy dokonywaniu wykładni przez TSUE postanowień dyrektywy 95/46/WE, których implementację do prawa polskiego stanowi ustawa o ochronie danych osobowych.

7

7. Międzynarodowy Pakt Praw Obywatelskich i Politycznych. Kolejną regulację mającą wpływ na zastosowanie i wykładnię przepisów ustawy o ochronie danych osobowych stanowi ratyfikowany przez RP Międzynarodowy Pakt Praw Obywatelskich i Politycznych, otwarty do podpisu 19.12.1966 r. w Nowym Jorku (Dz.U. z 1977 r. Nr 38, poz. 167), w szczególności zaś art. 17 tego aktu.

8

8. Rekomendacje i opinie. Istotną pomoc interpretacyjną dla wykładni przepisów polskiej ustawy mogą stanowić również wszelkie rekomendacje i opinie. W praktyce największy wpływ w zakresie wykładni przepisów dotyczących danych osobowych wykazują dokumenty i opinie tzw. Grupy roboczej – Article 29 Data Protection Working Party (np. opinia 4/2007 z 20.6.2007 r. czy opinia 1/2008 z 4.4.2008 r.) (por. uwagi do art. 6 OchrDanOsU).

Art. 5. [Odesłanie]

Jeżeli przepisy odrębnych ustaw, które odnoszą się do przetwarzania danych, przewidują dalej idącą ich ochronę, niż wynika to z niniejszej ustawy, stosuje się przepisy tych ustaw.

1

1. OchrDanOsU – akt prawny o charakterze generalnym. Ustawa o ochronie danych osobowych, wzorem dyrektywy 95/46/WE, stanowi akt prawny o charakterze generalnym, znajdujący zastosowanie co do zasady zawsze tam, gdzie następuje przetwarzanie danych osobowych (art. 2 ust. 1 OchrDanOsU). Jednak twórcy dyrektywy 95/46/WE przewidzieli istnienie tzw. regulacji sektorowych, odnoszących się do przetwarzania danych osobowych w związku z wykonywaniem określonego rodzaju działalności gospodarczej (por. R. Lodder, H. W. K. Kaspersena, eDirectives: Guide to European Union Law on E-Commerce, Haga 2002, s. 120). Przykładem takich przepisów są zasady ochrony danych osobowych określone w dyrektywie 2002/58/WE, a w prawie polskim, przepisy rozdziału 4 UsElU [P. Litwiński, Świadczenie usług drogą elektroniczną, w: Prawo (red. P. Podrecki), s. 225]. Przykładowo, innymi aktami normatywnymi, które mają charakter regulacji sektorowych, są np. PrBank, PrTelekom oraz ustawa z 22.5.2003 r. o działalności ubezpieczeniowej (t.j. Dz.U. z 2010 r. Nr 11, poz. 66 ze zm.).

2

2. Przepisy odrębnych ustaw. Przepis art. 5 ma zastosowanie w sytuacji, gdy przepisy odrębnych ustaw, które odnoszą się do przetwarzania danych osobowych, przewidują dalej idącą ochronę. W praktyce, te szczególne regulacje nakładają dodatkowe obowiązki lub rozszerzają zakres obowiązków określonych w ustawie o ochronie danych osobowych. Przepis ten dotyczy „odrębnych ustaw”, a więc stosując jego literalną wykładnię, a także w nawiązaniu do przepisu art. 31. ust. 3 Konstytucji RP kształtującego zasadę ograniczenia praw i wolności wyłącznie w oparciu o przepisy ustawy (tak też wyr. TK z 19.5.1998 r., U 5/97, OTK 1998, Nr 4, poz. 46), należałoby przyjąć, że normy o charakterze przepisów szczegółowych mogą być zawarte tylko w aktach prawnych o randze ustawy. Należy się jednak zgodzić ze stanowiskiem prezentowanym w literaturze (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 364) wskazującym na możliwość odniesienia pojęcia „odrębnych ustaw” do rozporządzeń wydanych na podstawie ustawy, ale tylko – zdaniem autorów – w sytuacji, gdy norma (przepis ustawy) zawierająca kompetencję do wydania aktu wykonawczego i określająca zakres przedmiotowy tego rozporządzenia wskazywała na określenie zasad przetwarzania danych osobowych. W takim przypadku bowiem to ustawa zawiera „szczególną” regulację w zakresie przetwarzania danych osobowych, a rozporządzenie wykonawcze jedynie ją uszczegóławia (podobnie J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 364; odmiennie A. Drozd, Ustawa, s. 36).

3

3. Pojęcie „dalej idąca ochrona”. Pewne problemy nastręcza również interpretacja pojęcia „dalej idąca ochrona”, gdyż w praktyce często regulacje sektorowe zawierają specyficzne unormowania, których jednoznaczna ocena – jako przepisów zawierających dalej idącą ochronę danych osobowych – jest utrudniona (por. R. Szałowski, Ochrona, s. 26; J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 364). Natomiast, aby przyjąć możliwość zastosowania przepisu art. 5 OchrDanOsU, poziom ochrony danych osobowych w ustawach zawierających szczegółową (specyficzną) regulację powinien być nie niższy niż ten przewidziany w komentowanej ustawie. Można pokusić się o stwierdzenie natury ogólnej, że normy regulacji sektorowych, ze względu na szczególne zagrożenia dla prywatności w tych dziedzinach, zawierają – co do zasady – przepisy przewidujące dalej idącą ochronę. Zgodzić się bowiem należy z poglądem, iż co do zasady, przepisy ustanawiające tajemnice zawodowe są przepisami szczególnymi, wyłączającymi stosowanie przepisów ustawy o ochronie danych osobowych, a jednocześnie, przepisy te najczęściej przewidują dalej idącą ochronę danych osobowych, co najmniej w zakresie udostępniania danych osobowych (A. Drozd, Ustawa, s. 37). Jednak przepisy ustanawiające tajemnice zawodowe powinny być zawsze badane pod tym kątem w odniesieniu do poszczególnych obowiązków wynikających z ustawy (np. podstaw prawnych przetwarzania danych osobowych, obowiązków informacyjnych, obowiązków w zakresie udostępniania danych, etc.).

4

4. Lex specialis derogat legi generali. Należy również zgodzić się ze stanowiskiem wyrażonym w nauce prawa, że w przypadku zastosowania przepisu art. 5 OchrDanOsU, mamy do czynienia z refleksem reguły kolizyjnej, lex specialis derogat legi generali. W odróżnieniu od czystej postaci tej reguły kolizyjnej, w tym przypadku norma derogująca (lex specialis) pozbawia mocy normę derogowaną (lex generalis) nie w całości, ale tylko dla tych stosunków, dla których odmiennie reguluje zachowanie adresata. Przepis specjalny nie uchyla więc przepisu ogólnego w całości, lecz tylko w takim zakresie, jakiego dotyczy norma szczególna (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 364). Efektem takiej konstrukcji normy art. 5 OchrDanOsU jest zastosowanie przepisu o charakterze szczególnym w takim zakresie, w jakim dotyczy on przetwarzania danych osobowych (uzupełnia, rozszerza obowiązki przewidziane w ustawie o ochronie danych osobowych), natomiast odnośnie do aspektów przetwarzania danych osobowych, których nie reguluje, należy stosować przepisy regulacji komentowanej ustawy.

5

5. Zasady przetwarzania danych osobowych w UsElU. Regulacja zasad przetwarzania danych osobowych w UsElU swoim zakresem przedmiotowym nawiązuje do zakresu przedmiotowego dyrektywy 2002/58/WE, przepisy ustawy polskiej nie stanowią jednak implementacji przepisów dyrektywy. Już bowiem w zakresie techniki legislacyjnej, polski model regulacji zasad przetwarzania danych osobowych w handlu elektronicznym odbiega od przyjętego w UE modelu odrębnej regulacji zagadnień dotyczących danych osobowych (dyrektywa 2002/58/WE) oraz podstawowych regulacji dotyczących handlu elektronicznego, w tym regulacji cywilnoprawnych (dyrektywa 2000/31/WE). Co więcej, w czasie prac nad UsElU, tekst dyrektywy 2002/58/WE nie był jeszcze ostatecznie ustalony. Nie można więc mówić o implementacji przepisów dyrektywy 2002/58/WE, a jedynie o tożsamości zakresu przedmiotowego regulacji unijnej i polskiej (inaczej: X. Konarski, Komentarz, s. 16–17). Implementacja dyrektywy 2002/58/WE nastąpiła natomiast w drodze uchwalenia PrTelekom (por. uzasadnienie do projektu PrTelekom, Sejm IV kadencji, druk sejmowy Nr 2637, s. 1; podobnie S. Piątek, Prawo telekomunikacyjne. Komentarz, Warszawa 2013, s. 939 – autor wskazuje, że przepisy PrTelekom mają na celu wdrożenie postanowień dyrektywy 2002/58/WE w stosunku do sektora telekomunikacyjnego). W zakresie więc, w którym dotyczą przetwarzania danych osobowych, przepisy ustawy o świadczeniu usług drogą elektroniczną mają charakter legis specialis w stosunku do przepisów ustawy o ochronie danych osobowych (tak też X. Konarski, Komentarz, s. 161). Przepisy rozdziału 4 UsElU, jak również przepisy PrTelekom, stanowią również przepisy, o których mowa w art. 5 OchrDanOsU, przewidują one bowiem dalej idącą ochronę danych, niż ustawa o ochronie danych osobowych. W nauce prawa trafnie zwrócono uwagę, że do przepisów odnoszących się do przetwarzania danych osobowych przewidujących dalej idącą ochronę, niż wynikająca z komentowanej ustawy, zaliczyć należy m.in. art. 17–19 UsElU (A. Drozd, Ustawa, s. 34). Przepisy wskazanych powyżej ustaw wyłączają stosowanie nie tylko przepisów komentowanej ustawy wyznaczających zasadę adekwatności i zasadę związania celem przetwarzania danych (A. Drozd, Ustawa, s. 35), lecz także przepisów określających podstawy prawne przetwarzania danych osobowych [P. Litwiński, Świadczenie, w: Prawo (red. P. Podrecki), s. 225]. Jednocześnie, w niektórych przypadkach dochodzi do uzupełnienia – w zakresie nieuregulowanym w OchrDanOsU – zasad ochrony danych osobowych (X. Konarski, Komentarz, s. 161).

6

6. Ochrona prywatności. Cechą charakterystyczną przepisów UsElU odnoszących się do przetwarzania danych osobowych jest dążenie do ochrony prywatności osób, których dane dotyczą, do czego środkiem mają być istotne ograniczenia w dopuszczalności przetwarzania ich danych osobowych. Ograniczenia te obejmują dwie najistotniejsze cechy determinujące swobodę w dokonywaniu operacji na danych osobowych: zakres i cel przetwarzania danych osobowych. Najistotniejszym przepisem ograniczającym zakres przetwarzanych danych osobowych jest art. 18 ust. 1 UsElU. Zgodnie z tym przepisem, w celu nawiązania, ukształtowania, zmiany treści lub rozwiązania stosunku prawnego z usługobiorcą, usługodawca może przetwarzać wyłącznie następujące dane osobowe: nazwisko i imiona usługobiorcy, numer ewidencyjny PESEL, adres zameldowania na pobyt stały, adres do korespondencji, dane służące do weryfikacji podpisu elektronicznego usługobiorcy oraz adresy elektroniczne usługobiorcy.

7

7. Pojęcie „usługi świadczonej drogą elektroniczną”. Pojęcie „usługi świadczonej drogą elektroniczną”, które zostało zdefiniowane w art. 2 pkt 4 OchrDanOsU, wyznacza zakres przedmiotowy ustawy przez wskazanie działań, których wykonywanie zostało uregulowane w ustawie. Zgodnie z tym przepisem, przez pojęcie świadczenia usługi drogą elektroniczną rozumieć należy wykonanie usługi, które następuje przez wysyłanie i odbieranie danych za pomocą systemów teleinformatycznych, na indywidualne żądanie usługobiorcy, bez jednoczesnej obecności stron, przy czym dane są transmitowane za pośrednictwem sieci publicznych w rozumieniu PrTelekom. Definicja usługi świadczonej drogą elektroniczną opiera się na trzech zasadniczych elementach: wykonanie usługi następuje bez jednoczesnej obecności stron, za pomocą systemów teleinformatycznych oraz na indywidualne żądanie usługobiorcy (D. Kot, Dyrektywa Unii Europejskiej o handlu elektronicznym i jej implikacje dla prawa cywilnego, KPP 2001, Nr 1, s. 47). W nauce prawa jako przykład usług świadczonych drogą elektroniczną wskazuje się między innymi prowadzenie informacyjnych stron internetowych (X. Konarski, Komentarz, s. 72), udostępnianie baz danych w postaci elektronicznej w sieciach komputerowych [P. Litwiński, Świadczenie, w: Prawo (red. P. Podrecki), s. 176], a szerzej – wszystkie te usługi, które potencjalnie mogą być realizowane drogą elektroniczną (D. Kot, Dyrektywa, s. 49).

8

8. Odpłatność usługi świadczonej drogą elektroniczną. UsElU nie wymaga wprost, żeby usługa świadczona drogą elektroniczna była usługą odpłatną (świadczoną za wynagrodzeniem) (zob. W. Iszkowski, X. Konarski, Usługi elektroniczne, Rzeczp. 4.3.2003 r.). Stan ten jest konsekwencją przeniesienia elementów definicji pojęcia usługi świadczonej drogą elektroniczną z poziomu umowy na poziom rzeczywistego świadczenia usługi i oceny charakteru danej usługi właśnie w chwili jej wykonywania. Charakter odpłatny lub nie usługi powiązany jest bowiem z umową, nie zaś z faktycznym wykonaniem umowy [P. Litwiński, Świadczenie, w: Prawo (red. P. Podrecki), s. 174]. Wskazane powyżej elementy, związane ze świadczeniem usług drogą elektroniczną, kształtują przesłanki do uznania za taką działalność czynności dokonywanych z wykorzystaniem środków komunikacji elektronicznej. Tym samym, powodują konieczność uwzględnienia dodatkowo (w zakresie, w jakim stanowią one regulację szczególną w stosunku do OchrDanOsU) obowiązków w zakresie przetwarzania danych osobowych określonych w przepisach UsElU.

9

9. Tajemnica zawodowa. Norma art. 5 OchrDanOsU nie narusza regulacji sektorowych, kształtujących w szczególności pewne rodzaje tajemnic zawodowych. Przykładowo w odniesieniu do powołanych już ustaw, jako kształtujące taką tajemnicę należy wskazać przepisy art. 104 i nast. PrBank, art. 159 i nast. PrTelekom oraz art. 19 i nast. DzUbezpU. Ustawy te kształtują odmiennie zakres obowiązków w stosunku do danych objętych poszczególnymi tajemnicami, które w dużej mierze zawierają również dane osobowe. Przykładowo, ustawa o działalności ubezpieczeniowej ustanawia w art. 19 obowiązek zachowania tajemnicy „dotyczącej poszczególnych umów ubezpieczenia”, a więc również zawartych i przetwarzanych łącznie z nimi danych osobowych. Ustawa PrBank zawiera natomiast regulację wskazującą na obowiązek zachowania w tajemnicy informacji dotyczących czynności bankowych, informacji uzyskanych w czasie negocjacji, w trakcie zawierania i realizacji umowy, na podstawie której bank tę czynność wykonuje (art. 104 ust. 1 PrBank), ograniczając w szerszym niż przewidziany w ustawie o ochronie danych osobowych zakresie możliwość przekazywania tych danych innym podmiotom (art. 104 i 105 PrBank). Jednocześnie do zakresu przedmiotowego pojęcia tajemnicy telekomunikacyjnej (art. 159 PrTelekom) zalicza się takie kategorie danych, jak dane dotyczące użytkownika, treść indywidualnych komunikatów oraz dane o próbach uzyskania połączenia między określonymi zakończeniami sieci telekomunikacyjnej, a także tzw. dane transmisyjne i dane lokalizacyjne. Podobnie jak w przypadku tajemnicy ubezpieczeniowej i bankowej, zakresem tajemnicy telekomunikacyjnej objęte są nie tylko dane osobowe, lecz także i informacje niemające charakteru osobowego, a więc co najmniej w części i co najmniej w stosunku do pewnych danych przepisy tych ustaw znajdą zastosowanie przed przepisami komentowanej ustawy [więcej na temat tajemnic zawodowych i możliwości wykorzystania danych nimi objętych: P. Barta, P. Litwiński, Dane objęte tajemnicą zawodową, w: Prawo reklamy i promocji (red. E. Traple), Warszawa 2007, s. 607 i nast.].

10

10. Przetwarzanie danych osobowych objętych tajemnicą telekomunikacyjną. Istotne wątpliwości budzi okoliczność, czy można w przypadku regulacji kształtujących taką szczególną (dalej idącą) ochronę (takich jak PrTelekom, PrBank, etc.) wrócić w zakresie podstaw przetwarzania do zastosowania przepisów ustawy o ochronie danych osobowych (jako regulacji prawnej o charakterze ogólnym), na podstawie swoistego odwołania „zwrotnego” do norm tego aktu prawnego. Przykładowo, powołać można art. 161 ust. 1 PrTelekom, który w zdaniu drugim określa, że „przetwarzanie danych w innych celach [niż przewidziane w zdaniu pierwszym – przyp. aut.] jest dopuszczalne jedynie na podstawie przepisów ustawowych”. Na tle tego NSA wskazał, że brzmienie art. 161 ust. 1 zd. 2 PrTelekom prowadzi do wniosku, że przetwarzanie danych objętych tajemnicą telekomunikacyjną może odbywać się w oparciu o przesłanki określone w innych aktach prawnych rangi ustawowej (wyr. NSA z 5.2.2008 r., I OSK 37/07, Legalis). W tym samym wyroku sąd podkreślił, że takimi przepisami odrębnymi, jakie upoważniają do przetwarzania danych osobowych, są m.in. przepisy ustawy o ochronie danych osobowych. Stanowisko to nie wydaje się prawidłowe. W ocenie autorów, normy sektorowe kształtować miały podwyższone standardy ochrony ze względu na szczególne zagrożenia prywatności. W konsekwencji, mimo określenia w ramach tego rodzaju regulacji szczególnych podstaw prawnych, jak i ograniczonego zakresu oraz celów przetwarzania danych, przez zastosowanie takiego „zwrotnego” odwołania dochodziłoby do ponownego obniżenia standardów w zakresie ochrony danych (podobnie WSA w Warszawie w wyr. z 24.1.2013 r., II SA/Wa 1242/12, Legalis). W podobnym duchu wypowiedział się również NSA (w wyr. z 26.1.2009 r., I OSK 174/08, Legalis), uznając, że to art. 159 ust. 2 PrTelekom, a nie art. 23 ust. 1 OchrDanOsU, stanowi podstawę przetwarzania danych osobowych objętych tajemnicą telekomunikacyjną.

11

11. Przetwarzanie informacji a działalność dziennikarska. Ustawa PrPras nie stanowi, zdaniem autorów niniejszego komentarza, regulacji o charakterze szczególnym (lex specialis) w zakresie przetwarzania danych osobowych w stosunku do przepisów ustawy o ochronie danych osobowych. Przepisy tej ustawy nie przewidują dalej idącej ochrony. Wyłączenie zastosowania w stosunku do działalności dziennikarskiej przepisów komentowanej ustawy nie wynika ze szczególnych wymogów związanych z przetwarzaniem danych ukształtowanych w tej ustawie, ale wprost z brzmienia art. 3a ust. 2 i jest rezultatem konfliktu pomiędzy prawami i wolnościami osób, których dane dotyczą (zasadą autonomii informacyjnej jednostki), a wolnością wyrażania poglądów i rozpowszechniania informacji. Tym samym – ze względu na wskazaną kolizję swobód – w ramach tej działalności dopuszczono istnienie niższego poziomu ochrony danych osobowych niż przewidziany w ustawie o ochronie danych osobowych.

12

12. Obniżona ochrona danych. Komentowany przepis nie przewiduje sytuacji, w której – uznając prymat ochrony innego dobra niż autonomii informacyjnej jednostki – ustawodawca obniżył w przepisach szczególnych poziom ochrony danych osobowych. Komentowany przepis, odwołując się do przepisów przewidujących dalej idącą ochronę, modyfikuje istotnie zasadę lex specialis derogat legi generali, efektem czego powinno być przyjęcie, że – na jego gruncie– normy ustaw odrębnych w zakresie przetwarzania danych osobowych znajdą zastosowanie przed przepisami OchrDanOsU tylko o tyle, o ile przewidują dalej idącą ochronę danych osobowych. W efekcie takiej wykładni zastosowanie przepisów ustaw odrębnych przewidujących obniżoną ochronę danych byłoby wyłączone, a w miejsce tych przepisów należałoby stosować przepisy OchrDanOsU. Prowadziłoby to do wniosku, że racjonalny ustawodawca uznał, że normy zawarte w OchrDanOsU stanowią absolutne minimum ochrony danych osobowych, a przepisy szczególne mogą przewidywać wyłącznie dalej idącą ich ochronę. W obowiązujących obecnie przepisach można jednak znaleźć przykłady przepisów szczególnych obniżających poziom ochrony danych w stosunku do przepisów OchrDanOsU. Ma to miejsce np. w odniesieniu do danych osobowych będących jednocześnie informacją publiczną. Zgodnie bowiem z art. 2 ustawy z 6.9.2001 r. o dostępie do informacji publicznej (Dz.U. Nr 112, poz. 1198 ze zm.) prawo do informacji publicznej nie podlega ograniczeniu ze względu na prywatność osoby fizycznej pełniącej funkcje publiczne, mające związek z pełnieniem tych funkcji, w tym o warunkach powierzenia i wykonywania funkcji. Ustawodawca uznał więc prymat dobra w postaci dostępu obywatela do informacji publicznej nad dobrem w postaci autonomii informacyjnej osoby pełniącej funkcje publiczne. W obecnym brzmieniu przepisu art. 5 OchrDanOsU następuje więc kolizja dwóch norm, która przy ściśle językowej wykładni komentowanego przepisu powodowałaby konieczność zastosowania normy ogólnej (lex generalis) przed normą o charakterze szczególnym (lex specialis). Na gruncie obowiązujących przepisów można więc jedynie sformułować postulat de lege ferenda zmierzający do zmiany komentowanego przepisu ustawy (np. przez doprecyzowanie) lub jego uchylenie (wtedy powinna być zastosowana ogólna zasada lex specialis derogat legi generali).

Art. 6. [Objaśnienia]

1. W rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

2. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.

3. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.

1

1. Pojęcie „dane osobowe”. W polskim systemie prawnym pojęcie danych osobowych pojawiło się po raz pierwszy w ustawie z 29.9.1994 r. o rachunkowości (t.j. Dz.U. z 2013 r. poz. 330) (por. M. Jackowski, Ochrona, s. 20), nie zostało jednak zdefiniowane w tym akcie prawnym. Pierwszą definicją danych osobowych o charakterze definicji legalnej była jednak definicja z art. 6 OchrDanOsU. Definicja danych osobowych nawiązuje do definicji tego pojęcia zawartej w art. 2 lit. a dyrektywy 95/46/WE, zgodnie z którą za dane osobowe należy uznać wszelkie informacje odnoszące się do oznaczonej lub możliwej do oznaczenia osoby fizycznej. Rozumienie pojęcia danych osobowych wykazuje również istotną zbieżność w porządkach prawnych krajów UE, które implementowały dyrektywę.

2

2. Ustawowa definicja danych osobowych. Ustawowa definicja danych osobowych uległa istotnej zmianie wraz z nowelizacją ustawy dokonaną w 2001 r. (ustawa z 22.1.2004 r., Dz.U. Nr 33, poz. 285). W pierwotnym brzmieniu definicja za dane osobowe uznawała „każdą informację dotyczącą osoby fizycznej, pozwalającą na określenie tożsamości tej osoby”. Taka redakcja przepisu spotkała się z krytyką nauki prawa – zarzucano, że była niezgodna z dyrektywą 95/46/WE, jako że za dane osobowe uznawała wyłącznie tzw. dane identyfikacyjne (por. G. Sibiga, Postępowanie, s. 32). W oparciu o definicję danych osobowych w pierwotnym brzmieniu NSA (w wyr. z 17.11.2000 r., II SA 1860/00, niepubl.) uznał, że przedmiotem ochrony ustawy „nie są wszystkie dane o osobach fizycznych lecz jedynie tzw. dane identyfikujące, a więc imię, nazwisko, adres, PESEL, NIP, itp.”. Takie stanowisko zostało słusznie poddane krytyce w nauce prawa, jako że za dane osobowe powinny zostać uznane wszelkie informacje, „jeżeli tylko możliwe jest ich odniesienie do konkretnej osoby” (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 383–384).

3

3. Charakter osobowy danych. Charakter osobowy nie może zostać z góry przypisany żadnej kategorii danych (A. Mednis, Ochrona danych, s. 35). Przesądza o tym zwrot „wszelkie informacje” użyty w definicji danych osobowych. Zakres znaczeniowy pojęcia „informacja” powinien obejmować nie tylko znaki językowe, lecz także inne okoliczności towarzyszące znakom językowym lub tylko informacje pozajęzykowe (A. Drozd, Ustawa, s. 41). Dane osobowe mogą więc przybierać różną formę, mogą to być: zdjęcia, filmy, zarejestrowane głosy (A. Mednis, Ochrona, s. 35), tzw. dane biometryczne, cechy źrenicy, linie papilarne, cechy twarzy, geometria ręki (A. Drozd, Ustawa, s. 41), komunikaty wyrażone i zapisane w jakikolwiek sposób, niezależnie od sposobu, zakresu i swobody ich udostępniania, jak i niezależnie od sposobu ich pozyskania (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 370), pod warunkiem spełnienia dalszych wymogów zawartych w definicji z art. 6 OchrDanOsU. Nie jest więc z góry możliwe ustalenie katalogu, nawet o charakterze otwartym, informacji, które mogą zostać uznane za mające charakter danych osobowych.

4

4. Legalna definicja danych osobowych. W systemie prawnym istnieje legalna definicja danych osobowych, która opiera się na zamkniętym katalogu informacji, które uznane zostały za dane osobowe. Zgodnie bowiem z art. 2 pkt. 33 z 27.5.2004 r. o funduszach inwestycyjnych (Dz.U. Nr 146, poz. 1546 ze zm.), danymi osobowymi są: imiona i nazwisko, data i miejsce urodzenia, adres zamieszkania, a w przypadku obywateli Rzeczypospolitej Polskiej także numer PESEL. Uwzględniając kontekst historyczny (definicja ta wywodzi się z okresu, w którym orzecznictwo sądów za dane osobowe uznawało „jedynie tzw. dane identyfikujące, a więc imię, nazwisko, adres, PESEL, NIP, itp.” – por. teza 3). Obecnie, wobec nowelizacji komentowanego przepisu, dochodzi do sytuacji konfliktu poziomego w systemie prawa – definicja danych osobowych zawarta w przepisach ustawy o funduszach inwestycyjnych jest sprzeczna z definicją zawartą w OchrDanOsU. W ocenie autorów, właśnie rezultat wykładni językowej w postaci powstania kolizji poziomej w systemie prawa prowadzi do nakazu odrzucenia tego rezultatu wykładni. Z tego względu ustalając znaczenie pojęcia danych osobowych na gruncie ustawy o funduszach inwestycyjnych należy sięgnąć do prawa europejskiego, jako że wykładnia przepisów prawa wewnętrznego państwa – członka Unii Europejskiej – powinna zapewnić osiągnięcie celu wynikającego z normy prawa unijnego (K. Kowalik-Bańczyk, Prowspólnotowa wykładnia prawa polskiego, EPS 2000, Nr 3, s. 9). W świetle tego, art. 2 pkt 33 ustawy o funduszach inwestycyjnych należy interpretować z uwzględnieniem definicji danych osobowych zawartej w art. 2 pkt a dyrektywy 95/46/WE, zgodnie z którą za dane osobowe należy uznać wszelkie informacje odnoszące się do oznaczonej lub możliwej do oznaczenia osoby fizycznej. Tym samym należy uznać, że pojęcie danych osobowych na gruncie ustawy o funduszach inwestycyjnych obejmuje nie tylko informacje wyraźnie wskazane w art. 2 pkt 33 tejże ustawy, lecz również wszelkie inne informacje odnoszące się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

5

5. Status danych osobowych. Każda informacja, niezależnie od sposobu i formy jej wyrażenia, podlegać może ocenie z punktu widzenia pojęcia danych osobowych i każda informacja może zostać uznana za informację o charakterze osobowym. Konkretna informacja nie musi być również powszechnie zrozumiała (G. Sibiga, Postępowanie, s. 33) – charakter prawny tejże informacji będzie bowiem oceniany indywidualnie dla każdego jej dysponenta. Nie musi być również prawdziwa (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 371), co należy rozumieć w ten sposób, że może dotyczyć okoliczności w sposób obiektywny nieistniejących, pod warunkiem jednak, iż może być przypisana do konkretnej, identyfikowalnej osoby fizycznej. Status danych osobowych może zostać potencjalnie przyznany wszelkim informacjom odnoszącym się do osoby fizycznej, w tym danym o charakterze ekonomicznym, odnoszącym się do życia zawodowego itp. (U. Dammann, S. Simitis, EG-Datenschutzrichtlinie, Kolonia 1999, s. 109).

6

6. Informacje dotyczące osób zmarłych. Informacja może zostać uznana za mającą charakter danych osobowych, tylko wtedy gdy dotyczy „osoby fizycznej”. Atrybutem każdej osoby fizycznej jest jej zdolność prawna, wyrażająca się tym, iż może ona być podmiotem praw i obowiązków (Z. Radwański, Prawo cywilne. Część ogólna, Warszawa 2005, s. 143). O ile nie budzi więc wątpliwości, że pojęcie osoby fizycznej odnosi się do człowieka, o tyle w pewnych szczególnych przypadkach wymaga rozstrzygnięcia, czy informacje o osobie będą mogły mieć potencjalnie charakter danych osobowych. W nauce prawa przyjmuje się powszechnie, że zmarły nie może mieć ani zdolności prawnej, ani zdolności do czynności prawnych (S. Dmowski, w: S. Dmowski, S. Rudnicki, Komentarz do Kodeksu cywilnego. Księga pierwsza. Część ogólna, Warszawa 1999, s. 56). Konsekwencję takiego stanowiska stanowi przyjęcie w nauce prawa, że przepisy ustawy o ochronie danych osobowych znajdują zastosowanie wyłącznie do osób żyjących (stanowisko takie zajmują: J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 376–377; A. Drozd, Ustawa, s. 46; A. Mednis, Ustawa, s. 24–25; R. Szałowski, Ochrona, s. 30; por. także M. Owen, E. Kiernan Earl, Data Protection: how did we get here and where are we going?, t. VIII, Communication Law 2003, Nr 7, s. 315). Ustawodawca przyjął w przepisach o ochronie danych osobowych konstrukcję aktywnej realizacji praw związanych z ochroną danych osobowych przez osobę, której dane dotyczą. Skoro więc uprawnienia te z natury rzeczy mogą przysługiwać wyłącznie osobom żyjącym, informacje o osobach zmarłych powinny pozostać poza zakresem zastosowania ustawy (por. G. Sibiga, Postępowanie, s. 35). Informacje dotyczące osób zmarłych mogą być przedmiotem zastosowania przepisów ustawy tylko o tyle, o ile stanowią dane osobowe (a więc informacje pozwalające na ustalenie tożsamości) żyjącej osoby fizycznej.

7

7. Informacje dotyczące dzieci nienarodzonych. Wątpliwości podobnej natury wiążą się z przetwarzaniem informacji dotyczących dzieci nienarodzonych (nasciturus). Zdolność prawną nabywa się bowiem z chwilą urodzenia – powstaje więc pytanie o status prawny dziecka nienarodzonego. Z uprawnień przewidzianych w ustawie o ochronie danych osobowych może korzystać człowiek od chwili swojego urodzenia (A. Drozd, Ustawa, s. 45). Stąd do chwili urodzenia się dziecka informacje dotyczące nasciturusa powinny być traktowane jako mogące mieć charakter danych osobowych jego matki, ojca lub innych osób (A. Drozd, Ustawa, s. 45). Po urodzeniu dziecka natomiast i pod warunkiem, że dziecko urodziło się żywe, można dopiero mówić o potencjalnych danych osobowych tegoż dziecka. Od tej chwili i w razie spełnienia tego warunku można mówić o danych osobowych dziecka, któremu przysługuje już status osoby fizycznej mającej zdolność prawną.

8

8. Informacje zebrane przed urodzeniem dziecka. Pozostaje kwestia, w jaki sposób należy traktować informacje zebrane przed urodzeniem dziecka, a odnoszące się do tegoż dziecka w zależności od tego, czy urodziło się ono żywe, czy też nie. W drugim przypadku zasadny wydaje się pogląd, że takie informacje mogą być oceniane wyłącznie jako mogące mieć charakter danych osobowych jego matki, ojca lub innych osób. Natomiast jeżeli dziecko urodzi się żywe, wówczas wszelkie informacje odnoszące się do niego i zebrane w trakcie życia płodowego powinny zostać uznane za dane osobowe tegoż dziecka (analogicznie A. Drozd, Ustawa, s. 45).

9

9. Informacje o osobach prawnych. Skoro informacja może mieć charakter danych osobowych wtedy, gdy dotyczy osoby fizycznej, informacje o osobach prawnych nie mogą zostać uznane za dane osobowe. Powstaje jednak pytanie, w jaki sposób powinny zostać zakwalifikowane informacje o osobach fizycznych pełniących funkcje w organach osób prawnych. Nie ulega wątpliwości, że informacje te odnoszą się nie tylko do osób prawnych, w imieniu których dana osoba fizyczna podejmuje czynności, lecz również do osób fizycznych. Jeżeli więc spełniona została przesłanka identyfikowalności osoby na podstawie ocenianych informacji, co w większości przypadków będzie stanowiło zasadę, wówczas informacje te należy uznać za dane osobowe. Jednak sposób wykorzystania tych danych osobowych, tj. użycie danych osobowych wyłącznie w celu identyfikacji osoby, która złożyła oświadczenie woli w imieniu osoby prawnej, pozwala przyjąć, za SA w Gdańsku (wyr. SA w Gdańsku z 15.3.1996 r., I ACr 33/96, OSA 1996, Nr 7–8, poz. 31), że „dopóki (...) dane osobowe człowieka są używane zgodnie z regułami społecznymi, nie można mówić ani o bezprawności działań innych osób, ani o zagrożeniu dóbr osobistych tymi działaniami”. Tym samym, przetwarzanie informacji o osobach fizycznych sprawujących funkcję organów osób prawnych nie może być uznane za działanie bezprawne dopóki, dopóty przetwarzanie takie odbywa się wyłącznie w celu i zakresie niezbędnym do prawidłowej identyfikacji tych osób jako pełniących funkcję organów osób prawnych.

10

10. Informacje o osobach fizycznych prowadzących działalność gospodarczą. Szczególne kontrowersje wiązały się z kwalifikacją informacji o osobach fizycznych prowadzących działalność gospodarczą. Definiując pojęcie przedsiębiorcy, KC stanowi w art. 43¹, że przedsiębiorcą jest osoba fizyczna, osoba prawna i jednostka organizacyjna niebędąca osobą prawną, której ustawa przyznaje zdolność prawną, prowadząca we własnym imieniu działalność gospodarczą lub zawodową. Działalnością gospodarczą zgodnie z definicją zawartą w art. 2 SwobDziałGospU jest zarobkowa działalność wytwórcza, budowlana, handlowa, usługowa oraz poszukiwanie, rozpoznawanie i wydobywanie kopalin ze złóż, a także działalność zawodowa, wykonywana w sposób zorganizowany i ciągły. Nie ulega więc wątpliwości, że status przedsiębiorcy może przysługiwać także osobie fizycznej prowadzącej działalność gospodarczą. Stąd w nauce prawa uznano, że skoro spod ochrony przewidzianej dla danych osobowych nie zostały wyłączone informacje o osobach fizycznych prowadzących działalność gospodarczą, takie informacje również podlegają ustawie, jeżeli identyfikują konkretne osoby (A. Mednis, Ustawa, s. 25; podobnie S. Grynhoff, P. Woźny, Ochrona danych osobowych w praktyce, Poznań 2000, s. 2; J. Barta, R. Markiewicz, Pytania i wątpliwości, Rzeczp. 22.1.2001 r.), a więc spełniają pozostałe warunki definicji z art. 6 OchrDanOsU.

11

11. Ewidencja działalności gospodarczej. Odmienne stanowisko zajmował Generalny Inspektor Ochrony Danych Osobowych. Zgodnie z nim ustawy o ochronie danych osobowych nie stosowało się do przedsiębiorcy, którym może być również osoba fizyczna (E. Kulesza, Pewność obrotu gospodarczego, Rzeczp. 27.10.1999 r.). Zdaniem GIODO, przesądzał o tym charakter ewidencji działalności gospodarczej, która „jest zbiorem danych o przedsiębiorstwach, zgłaszających prowadzoną działalność, chociaż mogą być w niej zawarte dane osobowe”. Stanowisko to znalazło potwierdzenie wyr. NSA z 28.11.2002 r. (II SA 3389/01, MoP 2003, Nr 3, s. 99): „jeżeli przedsiębiorca objął zakresem danych indywidualnych dotyczących firmy swoje dane osobowe, w sytuacji gdy dane te pokrywają się, nie może on jako osoba fizyczna domagać się ochrony swoich danych osobowych, które są wykorzystywane nie jako dane osobowe, lecz jako dane firmy. Decydując się na utożsamianie tych danych godzi się tym samym na szersze ich ujawnianie i słabszą ochronę”. Przytoczyć należy również stanowisko, zgodnie z którym informacje o osobie fizycznej prowadzącej działalność gospodarczą nie stanowiły danych osobowych w zakresie, w jakim dotyczyły one występowania przez tę osobę w roli przedsiębiorcy (tak X. Konarski, Komentarz, s. 163).

12

12. Wyłączenie danych zawartych w ewidencji działalności gospodarczej. Stan prawny uległ zmianie wraz z uchwaleniem 14.11.2003 r. ustawy o zmianie ustawy – Prawo działalności gospodarczej oraz niektórych innych ustaw (Dz.U. Nr 217, poz. 2125). Zgodnie bowiem z dodanym art. 7a do tej ustawy dane zawarte w ewidencji nie podlegały przepisom ustawy o ochronie danych osobowych.

13

13. Informacje o osobach fizycznych prowadzących działalność gospodarczą a OchrDanOsU. Artykuł 7a ustawy – Prawo działalności gospodarczej utracił ostatecznie moc obowiązującą 1.1.2012 r. Od tego dnia informacje o osobach fizycznych prowadzących działalność gospodarczą podlegają na ogólnych zasadach przepisom OchrDanOsU, a więc mogą zostać – potencjalnie – uznane za dane osobowe, po spełnieniu przesłanek wskazanych w komentowanym przepisie.

14

14. Nazwa spółki cywilnej. Charakteru danych osobowych nie można przypisać nazwie spółki cywilnej z tego tylko względu, że występują w niej nazwiska wspólników (por. SN w wyr. z 13.11.1997 r., I CKN 710/97, OSNC 1998, Nr 4, poz. 69). Nazwa spółki cywilnej nie jest bowiem informacją o osobie fizycznej (tak G. Szpor, Publicznoprawna ochrona danych osobowych, PUG 1999, Nr 12, s. 6). Zgodzić się więc należy – w odniesieniu do nazwy spółki cywilnej – z tezą wyr. NSA z 28.11.2002 r. (II SA 3389/01, MoP 2003, Nr 3, s. 99), w którym sąd przyjął, że „jeżeli przedsiębiorca objął zakresem danych indywidualnych dotyczących firmy swoje dane osobowe, w sytuacji gdy dane te pokrywają się, nie może on jako osoba fizyczna domagać się ochrony swoich danych osobowych, które są wykorzystywane nie jako dane osobowe, lecz jako dane firmy”.

15

15. Pojęcie „osoba zidentyfikowana”. Trzecią przesłankę uznania informacji za należącą do katalogu danych osobowych stanowi możliwość powiązania tych informacji ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną. Sama ustawa nie definiuje pojęcia osoby zidentyfikowanej, lecz jedynie pojęcie osoby możliwej do zidentyfikowania. Rozróżnienie pomiędzy tymi pojęciami powinno zostać oparte o brzmienie art. 6 ust. 2 ustawy, a więc definicję osoby możliwej do zidentyfikowania – skoro bowiem osobą możliwą do zidentyfikowania jest osoba, której tożsamość można ustalić, za osobę zidentyfikowaną należy uznać taką osobę, której tożsamość jest znana administratorowi danych. Innymi słowy, administrator danych powinien mieć obiektywną możliwość powiązania konkretnej informacji z konkretną osobą, bez konieczności podejmowania jakichkolwiek innych działań, składających się na proces ustalania tożsamości. Jak zwrócono uwagę w nauce prawa, identyfikacja osoby powinna być rozumiana jako możliwość „fizycznego” wskazania tejże osoby, nie zaś jako ustalenie podstawowych danych tejże osoby (A. Mednis, Ochrona, s. 35). Analogicznie, identyfikacja osoby nie wymaga znajomości jej imienia lub nazwiska, wymaga natomiast znajomości pewnych unikalnych cech tejże osoby, które odróżniają ją od innych osób (por. L. A. Bygrave, Data, s. 43). W ten sam sposób należy więc rozumieć zwrot „ustalenie tożsamości” – nie tylko jako możliwość odniesienia konkretnej informacji do konkretnej osoby, lecz także jako możliwość wskazania tejże osoby, rozumianego jako faktyczne wyodrębnienie jej spośród innych osób. O tym, czy określona informacja ma charakter danych osobowych, czy też nie, decyduje jej przydatność do ustalenia tożsamości osoby, której ta informacja dotyczy (A. Szewc, Z problematyki, s. 24). Nie można więc stawiać znaku równości pomiędzy stwierdzeniem, że konkretna informacja dotyczy konkretnej osoby, a stwierdzeniem, iż informacja ta pozwala na ustalenie tożsamości tejże osoby.

16

16. Informacja pozwalająca określić tożsamość osoby. „Możliwość zidentyfikowania” z art. 6 ust. 2 OchrDanOsU to stan, w którym możliwe jest określenie tożsamości osoby, której ta informacja dotyczy, w sposób bezpośredni lub pośredni, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. W nauce prawa nie udzielono jasnej odpowiedzi na pytanie, kiedy informacja pozwala określić tożsamość osoby. Niewątpliwie zgodzić się trzeba ze stanowiskiem, że to, czy informacje pozwalają na identyfikację osoby, wynika z kontekstu, w jakim informacja ta występuje, a osobowy charakter nie może być z góry przypisany jakiejkolwiek kategorii danych (A. Mednis, Ochrona, s. 35). Czasami bowiem podanie nazwiska, a nawet imienia i nazwiska osoby, nie pozwala na określenie tożsamości tejże osoby. Za nieuzasadnione należy więc uznać stanowisko SA w Poznaniu (wyr. z 13.11.2001 r., I ACa 1140/01, Wok. 2002, Nr 11, s. 46), zgodnie z którym „adres jest niewątpliwie daną osobową”. Kwalifikacji adresu z punktu widzenia pojęcia danych osobowych należy bowiem dokonywać w realiach konkretnej sytuacji, a w pewnych przypadkach informacja o dokładnym adresie osoby fizycznej nie będzie pozwalała na ustalenie tożsamości tejże osoby.

17

17. Numer telefonu a określenie tożsamości. Nie można również, zdaniem autorów niniejszego komentarza, zgodzić się ze stanowiskiem zajętym przez GIODO w uzasadnieniu decyzji z 22.1.2008 r. (DIS-DEC0150-42/1511, 1515, 1520/08/08, niepubl.), w którym uznając za daną osobową m.in. numer telefonu, odniósł pojęcie możliwości zidentyfikowania do bezpośredniego kontaktu z osobą fizyczną (z wykorzystaniem numeru telefonu). Uzasadnienie tego stanowiska przez GIODO budzi poważne wątpliwości, gdyż stwierdza on w decyzji, że choć dane te (numer telefonu i imię) nie określają bezpośrednio tożsamości osób fizycznych, to umożliwiają one określenie tożsamości przez bezpośredni kontakt z tą osobą. Zdaniem autorów, powyższe założenia nie znajdują oparcia w treści przepisu art. 6 OchrDanOsU, a sam numer telefonu w większości przypadków (tj. z wyjątkiem sytuacji, gdy administrator danych – dysponent informacji – będzie miał również inne informacje, które umożliwiają identyfikację osoby fizycznej) nie będzie stanowił danej osobowej. Możliwość identyfikowania osoby fizycznej – jak już wskazano – należy, zdaniem autorów, odnosić do określenia tożsamości konkretnej osoby fizycznej na podstawie posiadanych lub ewentualnie możliwych do uzyskania – bez nadmiernych kosztów, czasu lub działań – informacji. Nie można natomiast odnosić tego pojęcia do podejmowania działań zmierzających dopiero do ustalenia (uzyskania) informacji, które mogą stanowić daną osobową (identyfikować konkretną osobę fizyczną). Przyjęcie wskazanego stanowiska GIODO za słuszne prowadziłoby do trudnych do zaakceptowania w praktyce wniosków, a to m.in. do uznania takich informacji, jak np. nazwa ulicy i numer posesji za daną osobową, gdyż każdy (nie mając innych informacji) może udać się pod konkretny adres i – w sposób bezpośredni – uzyskać informacje o konkretnej osobie fizycznej (analogicznie jak w przypadku samego numeru telefonu). Niezależnie od tego, że wątpliwość budzi ewentualna proporcjonalność (pod względem kosztów i czasu) takich działań jako zmierzających do ustalenia tożsamości konkretnej osoby fizycznej.

18

18. Kryteria oceny zakwalifikowania informacji do kategorii danych osobowych. Tym samym o zakwalifikowaniu informacji do kategorii danych osobowych powinny decydować obiektywne kryteria oceny, z uwzględnieniem wszelkich informacji, do których ma dostęp administrator danych (A. Drozd, Ustawa, s. 47). Zgodzić się bowiem należy za stanowiskiem, że w sytuacji, w której administrator danych osobowych dysponuje dwoma (lub więcej) zbiorami danych osobowych, a osoba, której te informacje dotyczą, może zostać zidentyfikowana wyłącznie po zestawieniu informacji z tych zbiorów, informacje zawarte w każdym ze zbiorów mają charakter danych osobowych (P. Carey, Data Protection, Oxford 2004, s. 15). Jednocześnie należy uwzględnić wszelkie środki prowadzące do identyfikacji osoby, które mogą zostać podjęte w rozsądnych granicach przez administratora danych (Ch. Kuner, European data privacy law and online business, Oxford 2003, s. 109). Bez znaczenia pozostaje więc okoliczność, że administrator danych osobowych nie podjął środków w celu identyfikacji osoby, której dotyczą przetwarzane przez niego informacje – jeżeli tylko takie środki były dozwolone przez prawo, a ich podjęcie leżało w zakresie obiektywnych możliwości administratora danych (por. A. Drozd, Ustawa, s. 49), wówczas oceniane informacje powinny zostać uznane za dane osobowe.

19

19. Dane umożliwiające określenie tożsamości osoby. Wskazówki interpretacyjnej pomocnej w zdefiniowaniu, jakie informacje o osobie pozwalają na jej identyfikację, dostarcza art. 6 ust. 3 OchrDanOsU, który nakazuje, żeby informacje nie były uznawane za umożliwiające określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań. Jak wskazuje się w rekomendacji Komitetu Ministrów Rady Europy [rekomendacja Nr R (97) 5 dotycząca ochrony danych medycznych przyjęta 13.2.1997 r.], w dobie rozwoju technik komputerowych, kryterium kosztów traci na znaczeniu jako kryterium pozwalające na ustalenie, czy osoba fizyczna jest możliwa do zidentyfikowania. Ustalenie, czy mamy do czynienia z nadmiernymi kosztami, czasem lub działaniami, powinno być każdorazowo dokonywane z uwzględnieniem specyfiki konkretnego administratora danych osobowych – zgodzić się więc należy z konstatacją, że ta sama informacja, która dla jednego podmiotu może być wystarczająca do szybkiego ustalenia tożsamości osoby, której dotyczy, dla innego podmiotu wiąże się z działaniami nieproporcjonalnymi (G. Sibiga, Postępowanie, s. 37).

20

20. PESEL. Numer Powszechnego Elektronicznego Systemu Ewidencji Ludności (PESEL), nadawany obecnie na podstawie art. 31a i nast. ustawy z 10.4.1974 r. o ewidencji ludności i dowodach osobistych (t.j. Dz.U. z 2006 r. Nr 139, poz. 993 ze zm.) jednoznacznie identyfikuje osobę fizyczną, a więc spełnia definicyjny wymóg identyfikowalności osoby przez informacje uznawane za dane osobowe. Jednocześnie numer PESEL nadawany jest wszystkim obywatelom polskim, co spełnia przesłankę powszechności tej właśnie informacji. Udostępnianie danych ze zbioru PESEL na rzecz osób i jednostek organizacyjnych innych, niż organy administracji publicznej oraz podmioty realizujące zadania publiczne, wymaga wykazania przez wnioskodawców interesu prawnego lub w pewnych wypadkach interesu faktycznego i zgody osoby, której dotyczą udostępniane informacje. Nie można więc w tym zakresie przypisać zbiorowi PESEL cech jawności formalnej, co nakazuje przyjąć, że poza organami administracji publicznej oraz innymi podmiotami, w stosunku do których szczególny przepis prawa przewiduje swobodny dostęp do danych zawartych w zbiorze PESEL, numer ewidencyjny PESEL nie będzie miał zawsze charakteru danych osobowych.

21

21. Dane sensytywne. Doniosłość prawną mają podziały danych osobowych wynikające wprost z przepisów ustawy o ochronie danych osobowych. W pierwszej kolejności należy wymienić podział związany z przesłankami dopuszczalności przetwarzania danych osobowych, które zostały inaczej ukształtowane (Generalny Inspektor podkreśla, że dane te są szczególnie chronione i że ustawa o ochronie danych osobowych zezwala na ich ujawnianie tylko w szczególnych przypadkach – por. E. Kulesza, Zdrowie: zasada i wyjątki, Rzeczp. 4.5.2000 r.) dla kategorii danych osobowych wymienionych w formie katalogu zamkniętego w art. 27 ust. 1 OchrDanOsU. Dane te, zwane danymi wrażliwymi lub sensytywnymi, wyróżniono na tle pozostałych danych osobowych, przyjmując, że dotyczą one bezpośrednio sfer należących do prywatności, czy nawet intymności osoby fizycznej (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 569), natomiast w stosunku do niektórych z nich – wyłącznie mocą decyzji ustawodawcy [por. S. Simitis, „Sensitive Daten” – Zur Geschichte und Wirkung einer Fiktion, w: Festschrift zum 65. Geburtstag (red. M. M. Pedrazzini), Berno 1990, s. 472–475]. Kategorii danych wrażliwych przeciwstawiana jest kategoria tzw. danych zwykłych (G. Sibiga, Postępowanie, s. 40), które nie zostały wymienione nawet przykładowo w ustawie, a do których należy zaliczyć wszystkie dane, które nie zostały uznane za dane wrażliwe. W ten sposób podział ten obejmuje wszystkie kategorie danych osobowych, a więc nosi cechy podziału zupełnego.

22

22. Rodzaje danych powszechnie dostępnych i ogólnie dostępnych. Ustawa o ochronie danych osobowych wyodrębnia wśród danych osobowych zwykłych i sensytywnych dane, które są ogólnie dostępne (art. 47 ust. 3 pkt 6 OchrDanOsU) oraz dane, które są powszechnie dostępne (art. 43 ust. 1 pkt 9 OchrDanOsU). Spośród danych osobowych wrażliwych wyodrębniono natomiast dane podane do publicznej wiadomości przez osobę, której one dotyczą (art. 27 ust. 2 pkt 8 OchrDanOsU). W przypadku danych ogólnie dostępnych, nie stosuje się wobec nich ograniczeń w przekazywaniu danych osobowych do państw trzecich, natomiast w przypadku danych powszechnie dostępnych, zbiory danych zawierające takie właśnie dane są zwolnione z obowiązku rejestracyjnego. Natomiast podanie do publicznej wiadomości danych wrażliwych przez osobę, której one dotyczą, stanowi okoliczność uchylającą zakaz przetwarzania tych danych. Zgodzić się więc należy ze stanowiskiem, które złagodzenia ustawowych obowiązków związanych z przetwarzaniem wskazanych wyżej kategorii danych osobowych dopatruje się w ich jawności (G. Sibiga, Postępowanie, s. 40).

23

23. Pojęcie „dane powszechnie dostępne” i „dane ogólnie dostępne”. O ile jednak znaczenie zwrotu „podane do publicznej wiadomości przez osobę, której one dotyczą” nie budzi wątpliwości, o tyle wymaga ustalenia wzajemny stosunek pojęć „dane powszechnie dostępne” i „dane ogólnie dostępne”. Użycie bowiem dwóch odmiennych terminów zdaje się sugerować, że odmienne jest również znaczenie tych terminów. Analiza stanowisk nauki prawa prowadzi jednak do wniosku, że pojęcia te w istocie są uznawane za jednoznaczne. Sytuacja ogólnej dostępności danych interpretowana jest bowiem jako stan, w którym do danych ma dostęp nieograniczona grupa osób, jak to ma miejsce w przypadku danych pochodzących „z publicznych zbiorów lub rejestrów” (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 726). Należy jednak podkreślić, iż przymiotu dostępności dla nieograniczonej grupy osób nie można łączyć z okolicznością przetwarzania danych w rejestrze publicznym – dostępne publicznie będą bowiem wyłącznie te dane, które zawarte są w rejestrze charakteryzującym się jawnością formalną. Jednocześnie za dane „powszechnie dostępne” uznane zostały dane zawarte w zbiorze danych, z którymi może zapoznać się bez szczególnego nakładu sił i środków nieograniczona liczba podmiotów (Sprawozdanie GIODO za rok 2002, s. 187). Należy jednak zwrócić uwagę, że w prawie polskim brak odrębnej kategorii tzw. danych wolnych (por. na ten temat J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 384) – w szczególności za takie dane nie można uznać wymienionych wyżej danych ogólnie dostępnych oraz danych publicznie dostępnych. Stąd za trafny należy uznać pogląd, zgodnie z którym ze wskazanymi kategoriami danych osobowych wiążą się jedynie pewne udogodnienia w ich przetwarzaniu, nie można natomiast mówić o odrębnych przesłankach dopuszczalności przetwarzania tych danych (por. G. Sibiga, Postępowanie s. 40).

24

24. Informacja o adresie e-mail. Nie jest również jasne – ze względu na wypełnienie przesłanek wskazanych w art. 6 OchrDanOsU – jak powinna być kwalifikowana z punktu widzenia pojęcia danych osobowych informacja w postaci adresu poczty elektronicznej. Odpowiedź na to pytanie wzbudza bowiem pewne kontrowersje w nauce prawa. Zgodnie z pierwszym z prezentowanych stanowisk każdy adres poczty elektronicznej stanowi informację o charakterze danych osobowych (W. Zimny, Czy adresy e-mailowe są danymi osobowymi?, Ochrona Informacji, Biul. TISM 2002, Nr 2). O kwalifikacji adresu poczty elektronicznej jako informacji o charakterze danych osobowych przesądzać ma obiektywna możliwość identyfikacji osoby, której dotyczy dany adres pocztowy. Stanowisko konkurencyjne przyznaje status danych osobowych wyłącznie tym adresom poczty elektronicznej, które zawierają w sobie jawne elementy identyfikujące ich właścicieli (J. Ożegalska-Trybalska, Adresy e-mailowe a dane osobowe, Ochrona Danych Osobowych, Biul. ABI 2000, Nr 23). W nauce prawa wyróżnia się w z związku z tym te adresy poczty elektronicznej, które – ze względu na swoją treść – umożliwiają ustalenie tożsamości swojego dysponenta, te, które umożliwiają ustalenie tożsamości osoby, której dotyczą – dopiero w powiązaniu z innymi informacjami – oraz te, które nie umożliwiają ustalenia tożsamości dysponenta (X. Konarski, Komentarz, s. 165).

25

25. Kwalifikacja prawna adresu poczty elektronicznej. Wydaje się, że wskazane wyżej stanowiska opierają się na analizie charakteru adresu poczty elektronicznej w oderwaniu od definicji danych osobowych zawartej w art. 6 OchrDanOsU – tymczasem definicja ta wpływa na kwalifikację prawną adresu poczty elektronicznej co najmniej w dwóch płaszczyznach. Po pierwsze, ustawa stanowi, że danymi osobowymi mogą być wszelkie informacje odnoszące się do osoby fizycznej. Wszelkie – a więc potencjalnie każdy adres poczty elektronicznej, nie tylko zawierający w swojej treści informacje umożliwiające ustalenie tożsamości adresata (X. Konarski, Komentarz, s. 165), może zostać oceniony przez pryzmat pojęcia danych osobowych. Po drugie, spośród wszelkich informacji odnoszących się do danej osoby te tylko mają charakter danych osobowych, które odnoszą się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Należy przy tym podkreślić, że przez pojęcie „zidentyfikowania” rozumieć należy nie dostarczenie tej osobie wiadomości elektronicznej (tak W. Zimny, Czy adresy), lecz ustalenie tożsamości tejże osoby.

26

26. Adres poczty elektronicznej umożliwiający identyfikację użytkownika. W konsekwencji więc, adres poczty elektronicznej, który umożliwia identyfikację użytkownika, będzie uznany za informację o charakterze danych osobowych [P. Litwiński, Świadczenie, w: Prawo (red. P. Podrecki), s. 231]. Identyfikacja może przy tym nastąpić samodzielnie na podstawie treści adresu poczty elektronicznej lub – co będzie regułą – na podstawie innych informacji o tej osobie, z którymi adres może być zestawiony i w ten sposób może prowadzić do identyfikacji danej osoby fizycznej (por. P. Carey, E-mail Addresses – are they Personal Data?, Entertainment Law Review 2000, Nr 1, s. 10). Stanowisko, zgodnie z którym kwalifikacji adresu poczty elektronicznej dokonywać należy w odniesieniu do konkretnego przypadku, zgodnie z ustawową definicją danych osobowych, potwierdzone zostało również przez GIODO. Generalny Inspektor stwierdza bowiem, że „tylko wówczas, jeżeli za pomocą adresu e-mail można ustalić tożsamość osoby, to informację o takim adresie można uznać za dane osobowe” (por. Sprawozdanie GIODO za rok 2000, s. 11).

27

27. Adresy elektroniczne usługobiorcy. Pewną niejasność w zakresie kwalifikacji adresu poczty elektronicznej z punktu widzenia pojęcia danych osobowych wprowadza art. 18 ust. 1 pkt 6 UsElU, zgodnie z którym za dane osobowe uznane zostały adresy elektroniczne usługobiorcy, a więc także adres poczty elektronicznej. Jak się jednak wydaje, przepisu tego nie należy interpretować w ten sposób, że każdy adres poczty elektronicznej usługobiorcy uznany został na gruncie przepisów UsElU za daną osobową. Charakter prawny każdego adresu poczty elektronicznej jako informacji potencjalnie mogącej prowadzić do identyfikacji tożsamości osoby fizycznej, która jest jego dysponentem, należy bowiem zawsze oceniać z punktu widzenia art. 6 OchrDanOsU.

28

28. Adres IP. Interesującą kwestią o dużym znaczeniu praktycznym jest kwalifikacja adresu IP (Internet Protocol Address) użytkownika sieci jako danej osobowej. Adres IP jest to numer porządkowy, który przyporządkowany jest urządzeniu sieci informatycznych (stosując nomenklaturę przyjętą w przepisie art. 7 OchrDanOsU), a więc w sposób bezpośredni pozwala na identyfikację wyłącznie tego urządzenia, a nie osoby fizycznej. W praktyce, powszechnym działaniem jest gromadzenie tego typu informacji, w przypadku gdy użytkownicy sieci korzystają z takich usług internetowych, jak fora internetowe, listy dyskusyjne, serwisy internetowe, etc. (gromadzenie logów użytkowników). W pewnych przypadkach adresy IP bywają nawet wyświetlane (udostępniane innym użytkownikom) razem z wpisami (postami) poszczególnych użytkowników.

29

29. Określenie tożsamości osoby korzystającej z komputera. Analizując tę informację pod względem spełnienia przesłanek do uznania jej za daną osobową, należy podkreślić, że informacja ta sama w sobie (tak jak sam numer telefonu) – bez połączenia z innymi danymi – nie może stanowić dla przeciętnego człowieka danej osobowej ze względu na okoliczność, że jest powiązana wyłącznie z urządzeniem stanowiącym element systemu informatycznego (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 386). A więc w takim przypadku nie dotyczy zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Jak wskazał WSA w Warszawie w wyr. z 9.2.2005 r. (II SA/Wa 1085/04, Legalis), może to oznaczać, że określenie tożsamości osoby korzystającej z komputera wymagałoby nadmiernych kosztów, czasu lub działań. Analizy adresu IP pod względem uznania go za daną osobową można dokonywać więc wyłącznie w sytuacji, gdy dostawca Internetu czyli podmiot dysponujący informacją – Internet Service Provider (tak angielski organ ochrony prywatności – Information Commisioner w poradniku publikowanym w 2007 r. na stronie www.ico.gov.uk) – lub inny podmiot ma również informacje identyfikujące konkretną osobę fizyczną korzystającą z tego urządzenia, a także wyłącznie w stosunku do tzw. stałych adresów IP. Należy bowiem – co do zasady – wyłączyć możliwość uznania za daną osobową adresu IP przyznawanego dynamicznie przez dostawcę Internetu ISP (tak angielski organ ochrony prywatności – Information Commisioner w poradniku publikowanym w 2007 r. na stronie www.ico.gov.uk; por. też www.out-law.com), a także stałego numeru IP (współużytkowanego) przyznanego danej lokalnej sieci internetowej (LAN), którego dostawca usług internetowych nie jest w stanie powiązać z konkretną (identyfikowalną) osobą fizyczną. W podobnym duchu wypowiedział się NSA w wyr. z 19.5.2011 r. (I OSK 1079/10, Legalis), przyjmując, że „tam gdzie adres IP jest na dłuższy okres lub na stałe przypisany do konkretnego urządzenia, a urządzenie to przypisane jest konkretnemu użytkownikowi, należy uznać, że stanowi on daną osobową, jest to bowiem informacja umożliwiająca identyfikację konkretnej osoby fizycznej”.

30

30. Stały adres IP. Biorąc pod uwagę kryterium nadmiernych kosztów, czasu lub działań, należy przyjąć, że stały adres IP urządzenia należącego do osoby fizycznej dla dostawcy Internetu, który ten adres przyznał, będzie – co do zasady – stanowić daną osobową. Będzie to informacja, która umożliwi temu podmiotowi bez podejmowania nadmiernych działań, które by wymagały dłuższego czasu oraz ponoszenia dużych kosztów, zidentyfikowanie konkretnej osoby fizycznej (użytkownika) (por. też www.out-law.com). To stanowisko znalazło również potwierdzenie w powołanym już wyroku NSA z 19.5.2011 r. (I OSK 1079/10, Legalis), w którym wskazał on, że „tam gdzie numer IP pozwala pośrednio na identyfikację konkretnej osoby fizycznej powinien on być uznany za dane osobowe w rozumieniu art. 6 ust. 1 i 2 ustawy o ochronie danych osobowych. (Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.)”. Co zaś do podmiotów świadczących usługi w sieci internetowej oraz podmiotów korzystających z takich usług, ocena spełnienia przez stały adres IP przesłanek do uznania tej informacji za daną osobową będzie musiała być zawsze dokonana in concreto (uwzględniając w szczególności potencjalne możliwości techniczne dokonania przez każdego dysponenta tych danych identyfikacji osoby fizycznej).

31

31. Stały adres IP a identyfikacja użytkownika komputera. Istotne znaczenie dla powyższego zagadnienia mają jednak dalej idące w tym zakresie koncepcje wyrażone w opinii 4/2007 w sprawie pojęcia danych osobowych, przyjętej 20.6.2007 r. przez Grupę roboczą do spraw ochrony danych osobowych (por. uwagi wstępne do rozdziału 2 OchrDanOsU). W opinii tej stwierdzono, że „może bowiem zdarzyć się tak, że osoba zbierająca takie dane co prawda nie ma lub co do zasady nie jest w stanie «w normalnym trybie» uzyskać innych informacji pozwalających na identyfikację, jednak zbiera takie informacje właśnie w celu ewentualnej późniejszej identyfikacji”. Stanowisko powyższe akceptuje GIODO (M. Kosiarski, S. Wikariak, Lepiej nie ujawniać numeru komputera, Rzeczp. 12.11.2007 r.). Jego zdaniem adresy IP należy traktować jako dane osobowe, nawet w sytuacji gdy administrator jedynie „przewiduje, że sposoby jakimi można się posłużyć w celu zidentyfikowania osoby mogą się stać dostępne, na przykład w drodze sądowej”. Efektem przyjęcia tego stanowiska byłoby nałożenie na wszystkich administratorów serwisów internetowych obowiązków co najmniej w zakresie zabezpieczenia danych osobowych. Grupa robocza we wskazanej opinii 4/2007, przyjęła więc, że decydującym elementem do uznania, czy stały adres IP może być daną osobową, jest potencjalna możliwość identyfikacji użytkownika komputera.

32

32. Wszystkie adresy IP jako dane osobowe. Powyższe stanowisko można by zaakceptować z poczynionymi uprzednio zastrzeżeniami, jednakże na tle dyskusji z operatorami (właścicielami) wyszukiwarek internetowych, Grupa robocza rozszerzyła jeszcze rozumienie pojęcia danych osobowych, co nastąpiło w opinii 1/2008 z 4.4.2008 r. dotyczącej kwestii ochrony danych w związku z wyszukiwarkami. W opinii tej Grupa robocza przyjęła w odniesieniu do adresów IP, że mimo iż zwykle nie umożliwiają one zidentyfikowania użytkownika przez samą wyszukiwarkę, to co do zasady dane niezbędne do identyfikacji użytkownika adresu IP są dostępne (osiągalne) dla operatora (właściciela) takiej wyszukiwarki. Z tego względu, Grupa robocza przyjęła, że dopóki operator wyszukiwarki nie jest w stanie potwierdzić z absolutną pewnością (with absolute certainty), że dane te są powiązane z użytkownikiem, który nie może zostać zidentyfikowany, musi traktować wszystkie adresy IP jak dane osobowe. Grupa robocza uznała, że nawet usunięcie ostatnich 3 cyfr adresu nie może przesądzać o jego anonimizacji, gdyż pozostawia to 254 potencjalne adresy IP, które mogą bez wielkich komplikacji zostać odtworzone.

33

33. Rejestracja zbiorów. Zdaniem autorów niniejszego komentarza, takie stanowisko jest zbyt daleko idące, gdyż w efekcie nakłada na wszelkie podmioty pozyskujące i przechowujące same adresy IP (np. informacje o logowaniach) obowiązki nie tylko w zakresie zabezpieczenia danych (co wydawałoby się jeszcze ze względów słusznościowych uzasadnione), lecz także obowiązki informacyjne i rejestracji zbiorów. Dotyczyłoby to nie tylko przetwarzania tzw. stałych adresów IP, lecz również dynamicznych oraz wszystkich podmiotów, które zbierałyby takie dane, nawet gdyby nie pozyskiwały one danych użytkowników tych adresów.

34

34. Dopuszczalność przechowywania adresów IP na serwerach. W kierunku przeciwnym do tego obranego przez Grupę roboczą poszedł Sąd Okręgowy w Monachium w wyr. z 30.9.2008 r. (sprawa Nr 133 C 5677/08), który wypowiedział się co do dopuszczalności przechowywania adresów IP na serwerach. Przyjął, że adresy IP użytkowników stron internetowych nie stanowią danych osobowych ze względu na okoliczność, że użytkownik mógłby być zidentyfikowany tylko w sytuacji, gdyby dostawca sieci (nielegalnie) określił jego tożsamość oraz (nielegalnie) przekazał dane użytkownika dostawcy usługi (operatora strony internetowej). Na tej podstawie sąd niemiecki przyjął, że dopuszczalne jest przechowywanie adresów IP użytkowników przez operatora strony internetowej na serwerze logów. Zdaniem sądu niemieckiego, adresowi IP – ze względu na poczynione założenia – brakuje cech pozwalających na identyfikację konkretnej osoby fizycznej. Teza orzeczenia z zastrzeżeniami poczynionymi przez nas powyżej, według autorów, zasługuje na aprobatę.

Art. 7. [Słowniczek][6]

Ilekroć w ustawie jest mowa o:

 1)  zbiorze danych – rozumie się przez to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie,

 2)  przetwarzaniu danych – rozumie się przez to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych,

2a) systemie informatycznym – rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych,

2b) zabezpieczeniu danych w systemie informatycznym – rozumie się przez to wdrożenie i eksploatację stosownych środków technicznych i organizacyjnych zapewniających ochronę danych przed ich nieuprawnionym przetwarzaniem,

 3)  usuwaniu danych – rozumie się przez to zniszczenie danych osobowych lub taką ich modyfikację, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą,

 4)  administratorze danych – rozumie się przez to organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych,

 5)  zgodzie osoby, której dane dotyczą – rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie,

 6)  odbiorcy danych – rozumie się przez to każdego, komu udostępnia się dane osobowe, z wyłączeniem:

a)  osoby, której dane dotyczą,

b)  osoby upoważnionej do przetwarzania danych,

c)  przedstawiciela, o którym mowa w art. 31a,

d)  podmiotu, o którym mowa w art. 31,

e)  organów państwowych lub organów samorządu terytorialnego, którym dane są udostępniane w związku z prowadzonym postępowaniem,

 7)  państwie trzecim – rozumie się przez to państwo nienależące do Europejskiego Obszaru Gospodarczego.

1

1. Zbiór danych. Zbiór danych został zdefiniowany w art. 7 pkt 1 OchrDanOsU jako każdy mający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. W nauce prawa zwrócono uwagę, że aby zestaw informacji został uznany za zbiór danych osobowych, musi kumulatywnie spełniać następujące warunki: zawierać dane osobowe, mieć określoną, własną strukturę oraz zapewniać dostęp do danych osobowych według określonych kryteriów (M. Sakowska, Pojęcie, s. 57).

2

2. Przetwarzanie danych. Dane osobowe zawarte w zbiorze danych mogą być wyrażone w dowolny sposób, np. słowem, dźwiękiem, obrazem (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 391). Istotne jest jednak, że ustawodawca, definiując pojęcie zbioru danych osobowych, posłużył się liczbą mnogą („zestaw danych”) na określenie elementów wchodzących w skład zbioru (por. A. Drozd, Zakres, s. 44). Zasadny więc wydaje się pogląd, zgodnie z którym w przypadku występowania pojedynczej informacji o osobie nie można mówić o istnieniu zbioru danych osobowych tworzonego przez tę właśnie informację (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 392). W nauce prawa zwrócono uwagę, że to „ilościowe” zagadnienie wydaje się ważne dla rozstrzygnięcia kwestii, kiedy mamy do czynienia ze zbiorem danych osobowych. Jednocześnie wyrażono pogląd, że ze zbiorem danych osobowych możemy mieć do czynienia już wówczas, gdy w zbiorze tym znajdują się dane jednej osoby (M. Sakowska, Pojęcie, s. 60). Jak się jednak wydaje, w przedstawionych poglądach doszło do zatarcia różnicy pomiędzy zagadnieniem liczby informacji przetwarzanych w zbiorze danych i minimalnej liczby tych informacji, która pozwalać będzie na uznanie, że informacje przetwarzane są w zbiorze z jednej strony, a pytaniem, czy informacje przetwarzane w zbiorze mogą odnosić się do jednej osoby, czy też muszą dotyczyć wielu osób z drugiej strony.

3

3. Zestaw danych. Ustawodawca w definicji zbioru danych osobowych posługuje się pojęciem zestawu danych, wskazuje więc na liczbę mnogą tych danych, co nakazuje przyjąć, że w skład zbioru danych muszą wchodzić co najmniej dwie informacje. W innym przypadku, tj. gdyby przyjąć, że za zbiór danych może zostać uznana pojedyncza informacja, nie można by mówić o strukturze (uporządkowaniu) takiego zbioru. Jak się wydaje, nie daje również podstaw do przyjęcia możliwości kwalifikowania pojedynczych informacji jako mogących zostać uznanymi za zbiór danych osobowych konstatacja, że skoro zbiory danych osobowych podlegają zgłoszeniu rejestracyjnemu przed rozpoczęciem przetwarzania danych osobowych w tych zbiorach, a więc jako zbiory puste (zbiory, w których brak jakichkolwiek danych osobowych), chociaż w odniesieniu do nich ustawodawca posługuje się pojęciem „zbiór danych”, to tym bardziej uprawnione jest posługiwanie się tymże pojęciem w stosunku do zbioru, który zawiera jedną informację o charakterze danych osobowych (M. Sakowska, Pojęcie, s. 60). Jak bowiem podkreśla się w nauce prawa, przedmiotem zgłoszenia jest „zbór danych jako taki”, nie zaś jego zawartość (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 683), która z tego punktu widzenia jest w znacznym stopniu irrelewantna.

4

4. Różnice między zbiorem danych a zestawem danych. Tym, co odróżnia zbiór danych osobowych od innych zestawów danych, jest istnienie cechy lub cech pozwalających na odnalezienie w zbiorze określonej informacji bez potrzeby przeglądania całego zestawu (A. Mednis, Ustawa, s. 27). Ta cecha zbioru danych osobowych odnosi się łącznie do dwóch pozostałych cech zbioru, tj. wymogu posiadania określonej struktury oraz zapewniania dostępu do danych osobowych według określonych kryteriów, które z tego względu w dalszej części analizowane będą łącznie. To bowiem struktura zbioru danych osobowych powinna zapewnić dostęp do danych zawartych w zbiorze. W nauce prawa zwrócono uwagę, iż nie można utożsamiać dostępności informacji w zbiorze z ich uporządkowaniem – o uporządkowaniu można bowiem mówić jedynie w znaczeniu posiadania przez zbiór odpowiedniej struktury, co nie oznacza jednak uporządkowania poszczególnych elementów, ale jedynie ich dostępność (por. P. Fajgielski, Ochrona danych osobowych w telekomunikacji – aspekty prawne, Lublin 2003, s. 47).

5

5. Dostępność do danych osobowych znajdujących się w zbiorze. W pierwszej kolejności należy podkreślić, że elementem konstrukcyjnym zbioru danych osobowych jest cecha dostępności do danych osobowych zawartych w tymże zbiorze. W nauce zwrócono uwagę, że wymóg ten nie będzie spełniony w sytuacji, w której dotarcie do poszukiwanych danych będzie wprawdzie możliwe, lecz znacznie utrudnione (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 392; odmiennie A. Drozd, Zakres, s. 45). Ustawa o ochronie danych osobowych w sposób wyraźny nie formułuje wymogu łatwego dostępu do danych osobowych zawartych w zbiorze, lecz wynika on z pkt 15 i 27 preambuły do dyrektywy 95/46/WE.

6

6. Zestaw (zbiór) taśm magnetycznych. Jak się wydaje, z tego właśnie względu, a więc ze względu na niespełnienie przesłanki dostępności danych osobowych, GIODO uznał, że zapis obrazu zarejestrowanego przez kamery służące do monitoringu miasta nie będzie stanowił zbioru danych osobowych (por. Sprawozdanie GIODO za rok 2000, s. 13; GIODO nie zawarł jednak żadnego uzasadnienia przyjętej kwalifikacji, pozostaje ono wyłącznie w sferze domysłów). Za zbiór danych osobowych nie może zostać również uznany zestaw (zbiór) taśm magnetycznych, na których utrwalone zostały wizerunki i głosy osób korzystających z usług kasyn gry, jeżeli taśmy uporządkowano według daty wykonania nagrania. W takim przypadku bowiem dostępne – w oparciu o strukturę zbioru – będą nie dane osobowe, lecz taśmy, które zawierają dane osobowe. Tymczasem dane zawarte na taśmach nie będą dostępne w żaden sposób, oprócz chronologicznego zapoznawania się z przypadkowo pojawiającymi się w treści zapisu informacjami o charakterze danych osobowych.

7

7. Zestaw chronologicznie uporządkowanych taśm. Tymczasem, GIODO prezentuje stanowisko, zgodnie z którym zestaw chronologicznie uporządkowanych taśm zawierających nagranie pochodzące z monitoringu pomieszczeń kasyna stanowi zbiór danych osobowych, (Sprawozdanie GIODO za rok 2003, s. 175). W nauce prawa zwrócono uwagę, że stanowisko to jest nietrafne, jako że w istocie mamy do czynienia z zestawem taśm, nie zaś z zestawem danych osobowych (por. A. Drozd, Ustawa, s. 55). Jak się jednak wydaje, argumentów przeciwko uznaniu zestawu chronologicznie uporządkowanych taśm zawierających nagranie pochodzące z monitoringu pomieszczeń za zbiór danych osobowych nie należy poszukiwać w okoliczności odnoszenia się kryterium chronologicznego, w oparciu o które utworzono zbiór danych, do poszczególnych taśm, jako że to samo kryterium chronologiczne można odnieść także i do informacji o charakterze danych osobowych zapisanych na poszczególnych taśmach. Decydujące znaczenie ma natomiast w tym przypadku, jak również w każdym innym przypadku chronologicznego zapisu informacji, które mogą zawierać dane osobowe, brak dostępności danych osobowych zawartych w ocenianym „zbiorze”.

8

8. Dostęp do danych osobowych. Dostęp do danych osobowych zawartych w zbiorze powinien być możliwy „według określonych kryteriów”. Ustawodawca nie przesądził o liczbie kryteriów, które powinny funkcjonować w ramach zestawu danych, żeby możliwe było uznanie go za zbiór danych. W nauce prawa zarysowały się w tym względzie dwa stanowiska. Zgodnie z pierwszym z nich, skoro przepis ustawy mówi o „kryteriach” w liczbie mnogiej, oznacza to konieczność jednoczesnego zaistnienia przynajmniej dwóch kryteriów porządkujących dane zawarte w zestawie, aby można było przyjąć, że mamy do czynienia ze zbiorem danych [(A. Drozd, Zakres, s. 45; A. Drozd, Ustawa, s. 53; analogiczne stanowisko zajęli NSA w wyr. z 12.1.2007 r. (I OSK 218/06, Legalis) oraz WSA w wyr. z 4.6.2012 r. (II SA/Wa 289/12, Legalis)]. Konsekwentnie, proste alfabetyczne uporządkowanie danych nie wystarczy, żeby zostały one uznane za tworzące zbiór danych (W. Zimny, Gdzie). Odmienne stanowisko prezentuje GIODO – w jego ocenie, każdy zestaw danych osobowych, który umożliwia dostęp do poszczególnych danych za pomocą jakiegokolwiek kryterium, jest zbiorem danych w rozumieniu art. 7 pkt 1 OchrDanOsU. Alfabetyczne ułożenie danych osobowych według nazwiska lub nazwiska i imienia pozwala na szybkie odnalezienie informacji o osobie bez potrzeby sekwencyjnego przeglądania całego zestawu, stąd czynnikiem wystarczającym do uznania, że mamy do czynienia ze zbiorem danych osobowych, jest alfabetyczne ułożenie danych w zestawie (E. Kulesza, Wystarczy ułożyć alfabetycznie, Rzeczp. 20.7.2000 r.).

9

9. Organizacja danych zawartych w zbiorze. Wydaje się, że należy przychylić się do drugiego spośród przytoczonych wyżej stanowisk. Istotą zbioru danych osobowych jest bowiem organizacja danych zawartych w zbiorze według co najmniej jednej cechy, która pozwala na szybkie odnalezienie danych konkretnej osoby (G. Sibiga, Postępowanie, s. 47). Użyte przez ustawodawcę sformułowanie „dostępnych według określonych kryteriów” nie oznacza natomiast, że kryteriów dostępności powinno w danej sytuacji być więcej niż jedno – oznacza jedynie, że mogą funkcjonować różne kryteria dostępu do danych zawartych w zbiorach danych (E. Kulesza, Wystarczy; analogicznie M. Sakowska, Pojęcie, s. 62). Jak wskazują J. Barta, P. Fajgielski, R. Markiewicz (Ochrona, 2004, s. 399–400), chociaż wykładnia językowa prowadzi do wniosku, że warunkiem uznania zestawu danych osobowych za zbiór danych jest występowanie przynajmniej dwóch kryteriów porządkujących, pierwszeństwo należy przyznać wykładni celowościowej, która pozwala na uniknięcie przypadków łatwego obchodzenia przepisów ustawy; jednocześnie użycie słowa „kryteria” podkreślać ma potencjalną różnorodność kryteriów uporządkowania danych w zbiorze.

10

10. Zestaw danych uporządkowany według co najmniej dwóch kryteriów. Odmienne stanowisko zajął NSA w wyr. z 12.1.2007 r. (I OSK 218/06, Legalis), w którym wskazał, że dyrektywa wykładni prawa krajowego w zgodzie z prawem Unii Europejskiej powinna prowadzić do wniosku, że za zbiór danych osobowych może być uznany tylko taki zestaw danych, jaki został uporządkowany według co najmniej dwóch kryteriów. Wniosek taki wydaje się jednak nieuzasadniony, jako że tak ustawa o ochronie danych osobowych, jak i polski tekst dyrektywy 95/46/WE posługują się tym samym zwrotem na określenie liczby kryteriów porządkujących zbiór, tj. zwrotem „dostępnych według określonych kryteriów”. Skoro więc brzmienie przepisu prawa krajowego dosłownie odpowiada brzmieniu przepisu prawa Unii Europejskiej, jakiekolwiek odwołanie do nakazu prounijnej wykładni prawa krajowego wydaje się zbędne, a tym samym, rezultatem takiej wykładni powinna być konstatacja o zgodności prawa polskiego z prawem unijnym.

11

11. Charakter kryterium porządkującego zestaw danych osobowych. Znacznie więcej kontrowersji wiąże się z udzieleniem odpowiedzi na pytanie, jaki powinien być charakter kryterium porządkującego zestaw danych osobowych – innymi słowy, czy kryterium to powinno mieć charakter osobowy, czy też może mieć charakter dowolny. W nauce prawa wyrażono pogląd, że zbiorem danych osobowych będzie wyłącznie taki zestaw danych osobowych, w jakim dostęp do danych będzie możliwy za pomocą jakiegokolwiek kryterium „osobowego”. Konsekwentnie, za zbiór danych osobowych nie powinien zostać uznany zbiór akt sądowych, jeżeli jedynym kryterium uporządkowania będzie numer sprawy, a więc kryterium chronologiczne (A. Mednis, Ustawa, s. 27).

12

12. Pojęcie „kryteria osobowe”. Pogląd ten spotkał się w nauce prawa z szeroką krytyką. Podkreśla się mianowicie, że nie jest do końca jasne, co należy rozumieć przez „kryterium osobowe” (M. Sakowska, Pojęcie, s. 61; jak się jednak wydaje, pojęcie „kryteria osobowe” powinno być rozumiane jako każde kryterium oparte na danych osobowych i pozwalające dotrzeć do konkretnych danych osobowych). Po drugie zwrócono uwagę, że uznanie za zbiory danych osobowych wyłącznie tych zestawów danych, które zostały uporządkowane w oparciu o kryteria osobowe, prowadziłoby do zawężenia zakresu zbiorów danych objętych obowiązkiem rejestracyjnym, jako że zestawienie danych osobowych pochodzących z kilku zbiorów danych przetwarzanych przez tego samego administratora pozwala dotrzeć do poszukiwanych danych bez konieczności przeszukiwania całego zbioru (G. Szpor, Publicznoprawna, s. 12). Podkreślono również, że ustawa o ochronie danych osobowych mówi o „określonych kryteriach”, żadne więc kryteria nie mogą zostać uznane z góry za wyłączone przez ustawodawcę (G. Szpor, Publicznoprawna, s. 6). Mogą więc funkcjonować różne kryteria dostępu do danych w zestawach, w tym alfabetyczne czy chronologiczne (G. Sibiga, Postępowanie, s. 47).

13

13. Kryterium dostępu do danych osobowych. W literaturze zwrócono również uwagę na zbędność wyróżniania „kryterium osobowego” spośród potencjalnych kryteriów dostępu do danych osobowych zawartych w zbiorze – podkreśla się mianowicie, że każde kryterium, które umożliwia dostęp do danych osobowych, jest „kryterium osobowym”, ponieważ odnosi się, choćby pośrednio, do określonej osoby. Jeżeli więc określone kryterium umożliwia dostęp jedynie do innych informacji niż dane osobowe, wówczas nie może ono zostać uznane za kryterium dostępu do danych osobowych, a więc jest bez znaczenia z punktu widzenia ustawowej definicji zbioru danych osobowych (A. Drozd, Ustawa, s. 53). Na takim założeniu oparł się WSA w wyr. z 16.3.2007 r. (II SA/Wa 2110/06, Legalis), który stwierdził, że raporty ze zdarzeń na terenie Stacji Techniczno-Postojowej oraz linii metra, sporządzone przez pracowników Służby Ochrony Metra, nie są zbiorem danych osobowych (mimo że są w nim zawarte dane osobowe).

14

14. Charakter kryterium porządkującego zbiór danych. Odnotować również należy stanowisko, zgodnie z którym decydujące znaczenie dla udzielenia odpowiedzi na pytanie o charakter kryterium porządkującego zbiór danych osobowych powinno dążyć do zapewnienia możliwie szerokiego zakresu ochrony danym osobowym. Stąd bez znaczenia powinien być charakter (osobowy lub nie) kryterium porządkującego zbiór danych, gdyż tylko przyjęcie takiej interpretacji pozwoli na zapewnienie możliwie szerokiej ochrony danym osobowym (M. Sakowska, Pojęcie, s. 62).

15

15. Kryterium pozwalające na łatwy dostęp do informacji odnoszących się do konkretnej osoby. Zdaniem autorów niniejszego komentarza, co do zasady należy opowiedzieć się za poglądem uznającym, iż nie wykazuje prawnej doniosłości charakter kryterium porządkującego zbiór danych osobowych, a więc kryterium to może mieć charakter dowolny, także nieosobowy. Należy jednak podkreślić, że wszelkie nazbyt generalne konkluzje w tym zakresie mogą prowadzić do pominięcia istoty kryterium porządkującego zestaw danych, które pozwala przekształcić mu się w zbiór danych, jakim jest zapewnienie dostępu do danych osobowych według tego właśnie kryterium. Znaczenie decydujące dla uznania, czy określone kryterium w wystarczający sposób porządkuje zestaw, będzie miała odpowiedź na pytanie, czy kryterium to pozwala na łatwy dostęp do informacji odnoszących się do konkretnej osoby (D. Bainbridge, EC Data Protection Directive, Londyn–Dublin–Edynburg 1996, s. 45). Przyjęcie przez GIODO, że nie można uznać za zbiór danych osobowych zbioru informacji o przedsiębiorcach, do których są dołączone dane ich przedstawicieli lub osób kontaktowych (Sprawozdanie GIODO za rok 2005, s. 97; Sprawozdanie GIODO za rok 2004, s. 230), wydaje się potwierdzać, że przynajmniej pośrednio akceptuje on powyższy pogląd. Podkreślić przy tym należy, że dla uznania zestawu danych za zbiór danych nie jest istotne, czy zestaw ten jest scentralizowany, czy rozproszony, jednolity, czy podzielony funkcjonalnie (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 389). Stąd udzielając odpowiedzi na pytanie, czy kryterium porządkujące zestaw pozwala na łatwy dostęp do informacji odnoszących się do konkretnej osoby, należy uwzględnić także możliwość połączenia danych pochodzących z kilku zbiorów znajdujących się u tego samego administratora danych (G. Szpor, Publicznoprawna, s. 12).

16

16. Zbiór akt. Generalny Inspektor Ochrony Danych Osobowych wyraził stanowisko, zgodnie z którym „wszelkie materiały gromadzone w formie akt, w tym sądowe, prokuratorskie, policyjne i inne zawierające dane osobowe, są zbiorem danych osobowych w rozumieniu art. 7 pkt 1 ustawy [o ochronie danych osobowych]” (stanowisko GIODO dostępne na stronie www.giodo.gov.pl w dziale „Pytania i odpowiedzi”). Pogląd ten następnie expressis verbis został odniesiony przez organ ochrony danych do zbiorów danych tworzonych na potrzeby postępowania administracyjnego – „zbiorem, zgodnie z art. 7 pkt 1 ustawy, jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony, czy też podzielony funkcjonalnie. Zbiór akt postępowania administracyjnego zawierając dane stron, ich adresy i inne informacje, spełnia te kryteria i wobec tego jest zbiorem danych w rozumieniu ustawy. Na organie administracji (gminie) ciążą zatem takie same obowiązki, jak na innych administratorach danych, w szczególności zaś obowiązek właściwego zabezpieczenia danych” (Sprawozdanie GIODO za rok 1999, s. 17). W ocenie GIODO, wszelkie akta postępowania administracyjnego powinny zostać uznane za zbiory danych osobowych, jeżeli tylko zawierają informacje o charakterze danych osobowych [stanowisko analogiczne, aczkolwiek bez podania podstaw dla jego przyjęcia, zajmuje także T. Szewc (Udostępnianie, s. 1230)]. Jak się jednak wydaje, tak kategoryczna i jednoznaczna kwalifikacja nie może być dokonana in abstracto, bez uwzględnienia specyfiki konkretnej sprawy związanej z przetwarzaniem danych osobowych.

17

17. Informatyzacja procesów przetwarzania, przechowywania i transmisji danych. W perspektywie historycznej ustawodawstwo o ochronie danych osobowych pojawiło się jako reakcja na informatyzację procesów przetwarzania, przechowywania i transmisji danych (A. Mednis, Prawo, s. 136; por. także A. Mednis, Ochrona danych, s. 36). Stąd w przepisach Konwencji o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych przetwarzanie danych osobowych zostało zdefiniowane wyłącznie w kontekście wykonywania zautomatyzowanych operacji na danych, jako „rejestracja danych, zastosowanie do tych danych operacji logicznych i/lub arytmetycznych, ich modyfikacja, usuwanie, wyprowadzanie lub rozpowszechnianie”, jeżeli operacje te wykonywane są „w całości lub częściowo za pomocą procedur zautomatyzowanych” (por. A. Mednis, Prawo do prywatności, s. 136). Jednak już w dyrektywie 95/46/WE uwzględniono także tradycyjne metody przetwarzania danych osobowych – stąd definicja przetwarzania została zakreślona szerzej i obejmuje także czynności wykonywane na danych osobowych za pomocą innych środków niż zautomatyzowane środki przetwarzania danych (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 402).

18

18. Pojęcie „przetwarzanie danych osobowych”. Sposób, w jaki w art. 2 lit. b dyrektywy 95/46/WE zdefiniowano pojęcie przetwarzania danych osobowych, polegający na przykładowym tylko wyliczeniu czynności wchodzących w skład pojęcia definiowanego, opiera się na założeniu, że nie jest możliwe z góry określenie, jakie czynności wchodzą lub wchodzić mogą w zakres pojęcia przetwarzania danych (por. P. Carey, Data Protection, Oxford 2004, s. 20). Stan ten spowodowany jest dążeniem do uniknięcia wyczerpującego określania w odrębnych przepisach, jakie czynności (operacje) na danych osobowych mogą być w konkretnym przypadku wykonywane (A. Mednis, Ustawa, s. 27). Z podobnego założenia wychodzi ustawodawca polski, który w art. 6 pkt 2 OchrDanOsU określa przetwarzanie danych osobowych jako jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.

19

19. Czynności mające charakter przetwarzania danych osobowych. W nauce prawa przyjmuje się powszechnie, że wyliczenie czynności, które mogą składać się na przetwarzanie danych osobowych, ma charakter przykładowy (A. Mednis, Ustawa, s. 27). Co do zasady, rola tego wyliczenia sprowadza się wyłącznie do egzemplifikacji kategorii operacji, które uznane zostały za stanowiące „przetwarzanie danych”. Nie budzi natomiast wątpliwości, że czynności wyraźnie w tym przepisie wskazane mają charakter przetwarzania danych osobowych. Stąd zwrócono uwagę w nauce prawa, że niektóre czynności przetwarzania danych, takie jak w szczególności przechowywanie danych, wykraczają poza zakres rozumienia terminu „przetwarzanie danych” w języku potocznym i dodatkowo wpływają na poszerzenie zakresu pojęcia przetwarzania danych osobowych w ustawie (G. Szpor, Publicznoprawna, s. 4).

20

20. Zautomatyzowany albo niezautomatyzowany sposób przetwarzania danych. Przetwarzanie danych osobowych, a więc wykonywanie jakichkolwiek operacji na danych, może przebiegać w sposób zautomatyzowany albo niezautomatyzowany (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 402). Rozróżnienie to dodatkowo nabiera znaczenia ze względu na przyjęcie w definicji przetwarzania danych osobowych, że zakresem tego pojęcia objęte są zwłaszcza te operacje na danych, które wykonuje się w systemach informatycznych. Jak się jednak wydaje, nie ma dostatecznych podstaw dla przyjęcia, że właśnie ta forma przetwarzania danych osobowych, tj. operacje wykonywane na danych osobowych w systemach informatycznych, powinna być traktowana inaczej niż przetwarzanie danych w sposób tradycyjny (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 402), chyba że stosowne odstępstwa wynikają z przepisów samej ustawy o ochronie danych osobowych lub wydanych na jej podstawie aktów wykonawczych (na temat specyfiki ochrony danych osobowych przetwarzanych w systemach informatycznych por. A. Kaczmarek, G. Sibiga, Ochrona danych osobowych w systemie informatycznym, R. Pr. 2000, Nr 3).

21

21. Zbieranie danych. Ustawa o ochronie danych osobowych uznaje zbieranie danych za jedną z czynności wchodzących w skład szeroko ukształtowanego pojęcia przetwarzania danych, wymieniając zbieranie danych na pierwszym miejscu otwartego katalogu (A. Mednis, Ustawa, s. 27) czynności przetwarzania danych, zawartego w art. 7 pkt 2 OchrDanOsU. Samej czynności „zbierania” danych ustawodawca jednak nie zdefiniował (A. Drozd, Ustawa, s. 57), łączy z nią jednak niektóre spośród obowiązków związanych z przetwarzaniem danych osobowych. Jednocześnie nie ulega wątpliwości, że spośród ogółu czynności przetwarzania danych osobowych, tej właśnie, tj. zbieraniu danych, należy przyznać szczególne miejsce i znaczenie. Ta czynność przetwarzania danych osobowych wiąże się bowiem bezpośrednio z uzyskaniem faktycznego władztwa nad danymi przez inny podmiot niż osoba, której te dane dotyczą. Jednocześnie z punktu widzenia osoby, którą identyfikują zbierane dane osobowe, fakt rozpoczęcia ich przetwarzania ma istotne znaczenie z punktu widzenia poszanowania jej praw.

22

22. Pojęcie „gromadzenie, skupianie w posiadaniu danych”. W nauce prawa podkreśla się, że potoczne rozumienie pojęcia „zbieranie” jako „gromadzenie, skupianie w posiadaniu” nie może zostać wprost odniesione do zbierania danych osobowych (por. A. Drozd, Ustawa, s. 57; autor nie podaje jednak argumentów przemawiających za takim stanowiskiem). Stanowisko takie wydaje się jednak zbyt daleko idące. Po pierwsze, należy rozstrzygnąć, czy każde faktyczne zapoznanie się z danymi osobowymi powinno być kwalifikowane jako ich zbieranie, czy też tylko takie, jakie wiąże się z potencjalną możliwością gromadzenia tych danych w zbiorze danych. Oceniając, czy konkretna czynność stanowi zbieranie danych osobowych, należy w pierwszej kolejności ustalić, w jakim celu osoba wchodzi w posiadanie danych osobowych. Jeżeli celem tym jest wyłącznie zapoznanie się z informacjami, bez ich dalszego przetwarzania, wówczas nie można mówić o zbieraniu danych osobowych. Jeżeli natomiast odbywa się dalsze przetwarzanie zebranych informacji, wówczas przyjąć należy, że w istocie dochodzi do zbierania danych osobowych. Jeżeli natomiast dane nie zostały zebrane, nie można mówić o ich przetwarzaniu. Celem wejścia w posiadanie informacji nie jest bowiem wyłącznie zapoznanie się z nimi, lecz poddanie ich dalszym operacjom przetwarzania. Z punktu widzenia pojęcia zbierania danych osobowych istotny jest więc także zamiar, z jakim osoba wchodzi w posiadanie danych osobowych. Innymi słowy, chociaż sam wgląd w informacje o osobie zawarte w jej dokumencie tożsamości jest z pewnością operacją na danych osobowych, takie przetwarzanie danych nie podlega przepisom ustawy o ochronie danych osobowych, ponieważ nie istnieje nawet teoretyczna możliwość dalszego przetwarzania tych danych (G. Sibiga, Postępowanie, s. 50).

23

23. Zbieranie a zapoznanie się z zebranymi danymi. Rozstrzygnięcia wymaga również kwestia, czy zbieranie danych osobowych wymaga faktycznego zapoznania się z nimi. Jak się wydaje, chociaż czynności zbierania danych i zapoznawania się z danymi osobowymi mogą stanowić czynności przetwarzania danych, należy je od siebie odróżnić z tego względu, że do przyjęcia, że mamy do czynienia ze zbieraniem danych osobowych, nie jest konieczne, żeby osoba, która dane zbiera, znała treść tych danych. Wystarczy bowiem wejście w posiadanie danych osobowych z zamiarem ich dalszego przetwarzania, żeby w konkretnej sytuacji można było mówić o zbieraniu danych osobowych.

24

24. Istnienie zbioru danych osobowych. W nauce prawa zwrócono uwagę na wątpliwości związane z zagadnieniem, czy do przyjęcia, że mamy do czynienia ze zbieraniem danych osobowych, niezbędne jest istnienie zbioru danych osobowych, w którym są lub będą przetwarzane zebrane dane (A. Drozd, Ustawa, s. 57–58). Jak się wydaje, za przyjęciem, że do zakwalifikowania faktycznego pozyskiwania danych osobowych jako zbierania danych bez względu na to, czy dane znajdą się w zbiorze danych, opowiedział się SN w post. z 11.12.2001 r. [II KKN 438/00 (OSNKW 2001, Nr 3–4, poz. 33)]. Jak bowiem przyjął sąd w powołanym orzeczeniu, „dane osobowe korzystają z ochrony przewidzianej ustawą OchrDanOsU już wówczas, jeżeli tylko mogą znaleźć się w zbiorze danych osobowych, bez względu na to, czy się w nim ostatecznie znalazły”.

25

25. Istnienie zbioru danych osobowych a pozyskiwanie danych. W nauce prawa opowiedziano się natomiast za przyjęciem, że warunkiem niezbędnym do zakwalifikowania pozyskiwania danych jako ich zbierania jest istnienie zbioru danych osobowych (A. Drozd, Ustawa, s. 58) – jak się wydaje, zbioru, do którego zbierane dane mają być dopisywane. Stanowisko takie budzi wiele istotnych wątpliwości. W pierwszej kolejności należy odróżnić zagadnienie zakresu zastosowania przepisów ustawy o ochronie danych osobowych od analizy znaczenia pojęcia zbierania danych osobowych. Argument przywoływany w nauce prawa w celu uzasadnienia drugiej spośród wskazanych wyżej możliwości rozumienia pojęcia zbierania danych osobowych opiera się bowiem na rozumowaniu zakładającym oderwanie rozumienia pojęcia zbierania danych osobowych od istnienia zbioru danych, do którego zebrane dane miałyby zostać dopisane. Prowadzi to do objęcia zakresem zastosowania komentowanej ustawy takich sytuacji, jakie tym zakresem nie powinny zostać objęte, tj. przetwarzania danych osobowych poza zbiorem danych (A. Drozd, Ustawa, s. 58).

26

26. Pojęcie „zbieranie danych”. Jak się jednak wydaje, udzielenie odpowiedzi na pytanie, czy z ochrony ustanowionej w przepisach komentowanej ustawy korzystają dane osobowe przetwarzane w zbiorach danych, czy też także poza zbiorami, nie wykazuje jednak związku z zagadnieniem ustalenia znaczenia terminu „zbieranie danych”. Czym innym jest bowiem ustalenie, kiedy i do jakich sytuacji należy stosować przepisy ustawy, czym innym natomiast udzielenie odpowiedzi na pytanie, jak należy rozumieć zwrot „zbieranie danych”. Prawidłowe określenie zakresu desygnatów pojęcia „zbieranie danych” wykazuje z kolei doniosłość dla ustalenia, w jakich przypadkach na administratorze danych ciążyć będą obowiązki informacyjne, o których mowa w art. 24 i 25 OchrDanOsU.

27

27. Wstępne stadium przetwarzania danych osobowych. Należy zwrócić uwagę na cel, w jakim w ustawie o ochronie danych osobowych wyróżniono jedną z operacji przetwarzania danych osobowych, którą jest właśnie zbieranie danych. Zbieranie danych osobowych stanowi wstępne stadium przetwarzania danych osobowych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 402), z którym ustawa powiązała konieczność przekazania osobie, której dane dotyczą, wielu istotnych dla niej informacji. Z tego właśnie punktu widzenia trudno byłoby uzasadnić przyjęcie, że obowiązki te powstają wyłącznie wtedy, gdy dane zbierane są z zamiarem ich włączenia do zbioru danych (dalszego przetwarzania w zbiorze danych). Nie znajduje bowiem uzasadnienia odmienne traktowanie osób, których dane są zbierane w celu przetwarzania w zbiorze, i osób, których dane w takim zbiorze nie będą przetwarzane, z punktu widzenia obowiązków, o których mowa w art. 24 i 25 OchrDanOsU (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 502–503) (por. też uwagi do art. 3).

28

28. Definicja przetwarzania danych. Definicja przetwarzania danych oprócz zbierania danych zawiera jako przykładowe wyliczenie operacji na danych osobowych ich utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie.

29

29. Pojęcie utrwalania danych. Pojęcie utrwalania danych należy utożsamiać z takim rozumieniem tego terminu, jakie zostało ukształtowane na tle przepisów ustawy z 4.2.1994 r. o prawie autorskim i prawach pokrewnych. Chodzi więc o zapisanie informacji (danych osobowych) na materialnym nośniku (J. Barta, M. Czajkowska-Dąbrowska, Z. Ćwiąkalski, R. Markiewicz, E. Traple, Prawo, s. 75). Przykładem utrwalenia danych osobowych może być zapisanie ich w zbiorach papierowych lub też w systemie informatycznym. Należy również podkreślić, że – jak wskazuje definicja ustawowa – już samo przechowywanie danych należy uznać za ich przetwarzanie. Zagadnienie to ma istotne znaczenie dla prowadzenia działalności przez przedsiębiorców świadczących usługi hostingowe (por. uwagi do art. 31 OchrDanOsU).

30

30. Opracowywanie danych osobowych. W praktyce działalności gospodarczej, w szczególności w działalności marketingowej, dochodzić będzie często do opracowywania danych osobowych w celu wyodrębnienia grupy docelowej, do której ma być adresowany przekaz. W ramach tych czynności może dochodzić również do zestawiania danych zawartych w różnych zbiorach danych lub też zestawiania danych z takich zbiorów z danymi „ogólnie dostępnymi”. W tym drugim wypadku nie wyłącza to obowiązków w zakresie podstaw prawnych przetwarzania (zbierania) danych osobowych (art. 23 ust. 1 i art. 27 ust. 1 OchrDanOsU), wykonania obowiązków informacyjnych (art. 25 OchrDanOsU), zabezpieczenia danych (art. 36–39a OchrDanOsU) oraz dochowania należytej staranności przy ich przetwarzaniu (art. 26 OchrDanOsU). Wyłącznie w sytuacji gdy pozyskane dane są w pełnym zakresie powszechnie dostępne (a nie tylko część z nich została pozyskana ze źródeł ogólnie dostępnych), może dochodzić do wyłączenia spod obowiązku rejestracji zbioru danych zgodnie z art. 43 ust. 1 pkt 9 OchrDanOsU. W przypadku zaś zestawiania tych danych z danymi już uprzednio zebranymi powstanie ewentualnie obowiązek aktualizacji zgłoszenia z art. 41 ust. 2 OchrDanOsU.

31

31. Zmienianie danych. Do zmieniania danych może dochodzić zasadniczo w trzech sytuacjach. Pierwsza będzie efektem skorzystania przez osoby, których dane dotyczą, z uprawnienia do żądania zmiany danych ich dotyczących – na podstawie art. 32 OchrDanOsU. Druga sytuacja to możliwość działania samodzielnego administratora danych w ramach dochowania należytej staranności utrzymania merytorycznej poprawności danych zgodnie z art. 26 ust. 1 pkt 3 OchrDanOsU. Mimo że ustawa nie zobowiązuje administratora do weryfikacji poprawności uzyskanych danych osobowych, nie wyklucza również działań zmierzających do potwierdzenia ich aktualności w związku z obowiązkami przewidzianymi w art. 26 OchrDanOsU. Może tu w szczególności chodzić o takie działania, jak weryfikacja poprawności kodów pocztowych, aktualności i zgodności podanych nazw ulic z oficjalnym nazewnictwem. Trzecią sytuacją jest ponowne zebranie danych od tej samej osoby, której dane dotyczą, i pozyskanie w ten sposób kategorii danych, które administrator danych już uprzednio posiadał.

32

32. Udostępnianie danych. Dużą doniosłość, oprócz czynności zbierania danych, ma udostępnianie danych jako jednej z form wykonywania czynności na danych osobowych (przetwarzania danych).

33

33. Legalna definicja udostępniania danych osobowych. W przepisach ustawy o ochronie danych osobowych brak legalnej definicji pojęcia udostępniania danych osobowych, gdyż udostępnianie danych uznane zostało za jedną z form przetwarzania danych w art. 7 pkt 2. W nauce prawa zwrócono natomiast uwagę (P. Litwiński, Obrót prawny bazami danych osobowych, PPH 2003, Nr 9, s. 49), że z udostępnianiem danych osobowych będziemy mieli do czynienia, wyłącznie wtedy gdy odbiorcą danych jest inny administrator danych, a więc podmiot decydujący o celach i środkach przetwarzania danych osobowych. W literaturze (por. A. Mednis, Ustawa, s. 28) wskazuje się również, że z udostępnianiem danych osobowych mamy do czynienia wówczas, gdy następuje objęcie „danych w posiadanie” przez odbiorcę danych, który staje się wtedy administratorem danych osobowych.

34

34. Faktyczne przekazanie danych. Udostępnienie danych osobowych nastąpi więc, zawsze wtedy gdy administrator danych osobowych w sposób faktyczny przekaże bądź inaczej umożliwi zapoznanie się z takimi danymi innej osobie lub podmiotowi, który to podmiot pełnić będzie w stosunku do tych danych osobowych funkcję administratora danych. Jeżeli natomiast faktyczne przekazanie danych następuje pomiędzy administratorem danych osobowych a podmiotem przetwarzającym te dane na zlecenie administratora, takie działanie powinno być kwalifikowane jako przekazanie danych w związku z powierzeniem danych osobowych do przetwarzania, a samo przekazanie danych – jako niezbędne do wykonania umowy powierzenia. Samo „udostępnianie” danych ma przy tym charakter czynności faktycznej i może nastąpić w dowolny sposób – istotne jest tylko, żeby w wyniku tejże czynności odbiorca danych uzyskał faktyczny dostęp do danych i władztwo nad tymi danymi. W nauce podkreśla się również, iż z udostępnianiem danych osobowych mamy do czynienia, także wtedy gdy administrator danych udostępnia treść danych osobie, której dane te dotyczą (G. Sibiga, Postępowanie, s. 88).

35

35. Sposób udostępniania danych. Ustawa o ochronie danych osobowych nie określa, w jaki sposób powinno nastąpić udostępnienie danych osobowych, tj. faktyczne ich przekazanie pomiędzy administratorami danych osobowych. W literaturze wyrażony został pogląd, zgodnie z którym kwestia ta pozostawiona została do decyzji podmiotom przekazującym dane osobowe, które to podmioty mogą przyjąć dowolną formę przekazania danych, dla siebie najdogodniejszą [Z. Goik, Forma udostępniania (odmowy udostępniania) danych osobowych, R. Pr. 2000, Nr 1, s. 34]. Akceptując to stanowisko, należy jednak podkreślić, iż forma przekazania danych osobowych powinna czynić zadość wymaganiom w zakresie zabezpieczenia danych osobowych określonym w art. 36–39 OchrDanOsU oraz w rozporządzeniu Ministra Spraw Wewnętrznych i Administracji w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

36

36. Okazanie treści danych innemu podmiotowi niż administrator danych. Pewne wątpliwości budzi natomiast sprowadzanie pojęcia udostępniania danych wyłącznie do okazania treści danych innemu podmiotowi niż administrator danych (por. T. Szewc, Udostępnianie, s. 1229). Aby przyjąć, że mamy do czynienia z udostępnianiem danych, istotne jest bowiem nie tylko stworzenie sytuacji, w której inny podmiot będzie miał możliwość zapoznania się z tymi danymi, lecz także to, żeby ten podmiot uzyskał w ten sposób możliwość przetwarzania tych danych jako administrator danych.

37

37. Przekazywanie danych osobowych w ramach struktury organizacyjnej danego administratora. Nie stanowi udostępniania danych osobowych i nie podlega ograniczeniom przewidzianym w ustawie o ochronie danych osobowych lub ustawach szczególnych przekazywanie danych osobowych w ramach struktury organizacyjnej danego administratora danych osobowych. Jako przykład takiego działania wskazać można przekazywanie danych osobowych pomiędzy jednostkami organizacyjnymi (działami, departamentami) tego samego podmiotu (z zastrzeżeniem że nie może być każdej z nich przyznany odrębnie status administratora danych) lub wydziałami w urzędzie administracji publicznej – w tej sytuacji bowiem nie zmienia się administrator danych osobowych, którym w dalszym ciągu pozostaje ten konkretny podmiot (przedsiębiorca) lub organ administracji publicznej, a nie jego dział, wydział czy kierownik jednostki organizacyjnej. Nie oznacza to jednak automatycznie pełnej dowolności takich działań – należy bowiem podkreślić, że administrator danych w dalszym ciągu związany jest celem przetwarzania danych, którego zmiana dopuszczalna jest tylko na zasadach określonych w art. 26 ust. 2 OchrDanOsU.

38

38. Przekazanie danych podmiotowi, któremu zlecono przetwarzanie danych osobowych. Jako udostępnienia danych osobowych nie można również kwalifikować przekazania danych podmiotowi, któremu zlecono przetwarzanie danych osobowych (T. Szewc wskazuje jako jedną z postaci udostępnienia danych osobowych „z własnej inicjatywy” administratora danych udostępnienie danych na rzecz podmiotu, któremu zlecono przetwarzanie danych osobowych; por. T. Szewc, Udostępnianie, s. 1229). W takim przypadku bowiem podmiotem, któremu przekazano dane, nie jest administrator danych, lecz podmiot przetwarzający dane na zlecenie, a więc niedecydujący o celach i środkach przetwarzania tych danych. Refleksem tej kwalifikacji jest wyłącznie spod zakresu pojęcia odbiorcy danych, zdefiniowanego w art. 7 pkt 6 OchrDanOsU, właśnie m.in. podmiotu, o którym mowa w art. 31 OchrDanOsU.

39

39. Podstawy prawne udostępniania danych i przetwarzania udostępnionych danych. Co do podstaw prawnych udostępniania danych i przetwarzania udostępnionych danych por. uwagi do art. 23 OchrDanOsU.

40

40. System informatyczny. Pojęcie systemu informatycznego zostało wprowadzone do ustawy o ochronie danych osobowych przez ustawę z 22.1.2004 r. o zmianie ustawy o ochronie danych osobowych (Dz.U. Nr 33, poz. 285). Pierwotnie definicja systemu informatycznego znajdowała się w § 1 ust. 1 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z 3.6.1998 r. w sprawie określenia podstawowych warunków technicznych i organizacyjnych, którym powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (rozporządzenie utraciło moc 1.5.2004 r.). Zasadnicza różnica pomiędzy definicjami sprowadza się do pominięcia w obecnie obowiązującej definicji czynnika ludzkiego (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 403). To właśnie ten element legł u podstaw przyjęcia przez NSA w wyr. z 3.12.2003 r. (II SA 232/02, Wspólnota 2003, Nr 26, s. 52), że definicją systemu informatycznego objęte są również procedury przetwarzania danych „w innych formach niż elektroniczna”. Stąd, w ocenie sądu, elementem systemu informatycznego mogą być również ewidencje czy skoroszyty. Stanowisko to, możliwe do obrony na gruncie poprzedniej definicji systemu informatycznego, straciło jednak swoją aktualność wraz z wejściem w życie art. 7 pkt 2a OchrDanOsU.

41

41. Informatyczne zabezpieczenie systemu. Z okolicznością wykorzystywania do przetwarzania danych osobowych systemów informatycznych wiąże się konieczność spełnienia szczególnych wymagań w zakresie informatycznego zabezpieczenia systemu, które zostały wskazane w postanowieniach rozporządzenia MSWiA z 29.4.2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. Nr 100, poz. 1024), wydanego na podstawie art. 39a ustawy. Należy podzielić stanowisko, które wyraził WSA w wyr. z 17.11.2004 r. (II SA/Wa 887/04, Legalis) powtórzonym częściowo w wyr. z 17.3.2005 r. (II SA/Wa 1513/04, niepubl.), iż zagadnienie autorstwa systemu informatycznego nie ma wpływu na obowiązki administratora danych wypływające z ustawy. Autorstwo systemu dotyczy uprawnień i obowiązków z zakresu prawa cywilnego. Problem administratora wiąże się natomiast z prawem administracyjnym, ewentualnie prawem karnym.

42

42. System teleinformatyczny. W polskim systemie prawnym funkcjonuje również pojęcie systemu teleinformatycznego, zdefiniowane w art. 2 pkt 3 UsElU. Pojęć systemu teleinformatycznego i systemu informatycznego, mimo zbliżonych definicji, nie można jednak utożsamiać. Podstawowym elementem różnicującym jest element wysyłania i odbierania danych, charakterystyczny dla pojęcia systemu teleinformatycznego, a niewystępujący w definicji systemu informatycznego [szerzej na ten temat por. X. Konarski, Komentarz, s. 61–65; P. Litwiński, Świadczenie, w: Prawo (red. P. Podrecki), s. 192].

43

43. Zabezpieczenie danych w systemie informatycznym. Definicja zabezpieczenia danych w systemie informatycznym – art. 7 pkt 2b – została wprowadzona do komentowanej ustawy przez ustawę z 22.1.2004 r. o zmianie ustawy o ochronie danych osobowych. Określa ona takie zabezpieczenie jako wdrożenie i eksploatację stosownych środków technicznych i organizacyjnych zapewniających ochronę danych przed nieuprawnionym przetwarzaniem. Ratio legis wprowadzenia tej definicji legalnej do ustawy jest niejasna, a doniosłość prawna jej wprowadzenia budzi poważne wątpliwości. Jest to szczególnie uzasadnione okolicznością, że przepisy ustawy w pozostałym zakresie nie odwołują się w ogóle do pojęcia „zabezpieczenia danych w systemie informatycznym” jako całości. Ponadto przepisy art. 36–39a OchrDanOsU, określające środki zabezpieczenia danych (w brzmieniu nadanym im po nowelizacji ustawy), dotyczą zabezpieczenia danych bez względu na ich lokalizację (w tym danych osobowych w systemie informatycznym), natomiast wydane na podstawie art. 39a rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 29.4.2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, określa wprost minimalne wymagania również co do zabezpieczenia danych w systemie informatycznym.

44

44. Środki zabezpieczenia systemu informatycznego. Co do środków zabezpieczenia systemu informatycznego por. uwagi do art. 36 OchrDanOsU.

45

45. Usuwanie danych. W art. 7 pkt 3 OchrDanOsU wyodrębniono jako szczególną operację na danych osobowych ich usuwanie. Zgodnie z definicją ustawową tego pojęcia przez usuwanie danych należy rozumieć nie tylko a) zniszczenie danych osobowych, lecz także b) modyfikację danych osobowych, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą. Co do pierwszej ze wskazanych czynności, to należy ją utożsamiać z usunięciem bezpowrotnym danych, jak również z fizycznym unicestwieniem nośników danych, tak by odtworzenie informacji na nich zapisanych nie było możliwe [na konieczność wyodrębnienia pojęcia „danych osobowych” od pojęcia „nośniki danych” wskazał WSA w wyr. z 22.9.2006 r. (II SA/Wa 382/06, Legalis)]. Efektem takiego działania będzie brak możliwości dalszego dokonywania jakichkolwiek operacji na tych informacjach. Jeżeli zaś chodzi o drugą sytuację, to w praktyce odpowiada ona dokonaniu takich operacji na danych (np. usunięcie części informacji o charakterze osobowym, umożliwiających połączenie pozostałych informacji z konkretną osobą fizyczną), które spowodują ich anonimizację (pozbawienie informacji cech danych osobowych – art. 6 OchrDanOsU) (por. też J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 404). W odróżnieniu od usunięcia (wymazania) danych lub zniszczenia ich nośników anonimizacja skutkuje możliwością dalszego dokonywania operacji na części informacji, które samodzielnie i łącznie nie będą umożliwiały zidentyfikowania tożsamości konkretnej osoby fizycznej. Przykładowo mogą to być dane zagregowane (łączne, zsumowane) – dotyczące jakiejś określonej grupy osób.

46

46. Zgoda na usunięcie danych. Zgodnie z art. 23 ust. 1 pkt 1 OchrDanOsU zasadą jest, że usunięcie (a więc również anonimizacja) danych osoby, której one dotyczą, nie wymaga uzyskania jej zgody. Zdaniem autorów niniejszego komentarza, można również pokusić się o wykładnię rozszerzającą tego przepisu i przyjąć, że czynność polegająca na usunięciu danych (mimo że zgodnie z art. 7 pkt 2 OchrDanOsU stanowi ona formę przetwarzania danych) – ze względu na faktyczne usunięcie ewentualnego przedmiotu naruszeń przepisów ustawy oraz prawa do prywatności – nie musi znajdować podstaw w żadnej ze wskazanych w art. 23 ust. 1 ustawy przesłanek legalizujących ich przetwarzanie.

47

47. Anonimizacja danych osobowych. Co do anonimizacji danych osobowych por. też uwagi do art. 2 OchrDanOsU.

48

48. Podmioty upoważnione do przetwarzania danych. W przepisach komentowanej ustawy wskazane zostały dwie kategorie podmiotów, które mogą uczestniczyć w procesie przetwarzania danych osobowych (G. Sibiga, Postępowanie, s. 58): administrator danych osobowych oraz podmiot, o którym mowa w art. 31 ust. 1 OchrDanOsU, tj. podmiot przetwarzający dane osobowe na zlecenie administratora danych. W praktyce jako trzecią kategorię wskazywać można również – choć to nie wynika wprost z przepisów ustawy – osobę, której dane dotyczą, jako że również ten podmiot może wykonywać „operacje na danych osobowych” w rozumieniu art. 7 pkt 2 OchrDanOsU, decydując jednocześnie o celach i środkach przetwarzania danych osobowych.

49

49. Inne podmioty upoważnione do przetwarzania danych. Od wskazanych wyżej kategorii podmiotów – administratora danych osobowych i podmiotu przetwarzającego dane na zlecenie administratora – należy odróżnić podmioty związane tylko z przetwarzaniem danych osobowych, które działają wyłącznie w imieniu jednego ze wskazanych wyżej podmiotów. Istnienie więc takich ustawowych kategorii podmiotów związanych z przetwarzaniem danych osobowych, jak odbiorca danych (art. 7 pkt 6 ustawy), osoba upoważniona do przetwarzania danych (art. 39 OchrDanOsU), administrator bezpieczeństwa informacji (art. 26 ust. 3) czy osoba administrująca danymi (art. 52 ustawy) (por. A. Drozd, Ustawa, s. 74), nie pozwala na przyjęcie, że mamy do czynienia z istnieniem więcej niż dwóch kategorii podmiotów przetwarzających dane osobowe – każdy bowiem z podmiotów uczestniczących w procesie przetwarzania danych osobowych, z wyjątkiem osoby, której dane dotyczą, powinien być kwalifikowany jako administrator danych osobowych albo podmiot przetwarzający dane na zlecenie administratora.

50

50. Odpowiedzialność administratora za zachowanie osób u niego zatrudnionych. Osoby fizyczne działające w imieniu i na rzecz tych podmiotów, jeżeli ich działania pozostają w ramach przyznanego upoważnienia do przetwarzania danych osobowych, wykonują czynności przetwarzania danych w imieniu i na rzecz podmiotu, który upoważnienia udzielił, a więc administratora danych osobowych lub podmiotu przetwarzającego dane osobowe na zlecenie. Na okoliczność tę zwrócił uwagę NSA w wyr. z 4.4.2003 r. (II SA 2935/02, Pal. 2004, Nr 7–8, s. 251), podkreślając, że administrator danych ponosi odpowiedzialność administracyjną za zachowanie osób u niego zatrudnionych niezależnie od podstawy prawnej tegoż zatrudnienia.

51

51. Administrator danych osobowych. Definicja pojęcia administratora danych osobowych zawarta w art. 7 pkt 4 OchrDanOsU wskazuje na dwa konstytutywne elementy tego pojęcia: decydowanie o celach przetwarzania danych osobowych oraz decydowanie o środkach przetwarzania danych. Sam przepis odwołuje się w swojej treści do art. 3 OchrDanOsU (G. Sibiga, Postępowanie, s. 53), który określa zakres podmiotowy stosowania jej przepisów. Potencjalnie więc każdy podmiot, który objęty został zakresem podmiotowym ustawy, może zostać uznany za administratora danych, jeżeli – jednocześnie – decyduje o celach i środkach przetwarzania danych. Pojęcie administratora danych osobowych odpowiada pojęciu file controller użytemu w angielskiej wersji art. 2 pkt d dyrektywy 95/46/WE – pojęcie to tłumaczone jest właśnie jako administrator danych i oznacza „osobę fizyczną lub prawną, urząd publiczny, agendę lub inny organ, który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych”.

52

52. Faktyczna kontrola nad przetwarzaniem danych. Wchodzące w skład definicji administratora danych osobowych elementy, a więc decydowanie o celach i środkach przetwarzania danych osobowych, łącznie składają się na sprawowanie władztwa nad przetwarzanymi danymi (G. Sibiga, Postępowanie, s. 53). Podkreślić jednak należy, że posiadania przymiotu administratora danych osobowych nie można utożsamiać z faktycznym posiadaniem danych – podstawowym kryterium odróżniającym administratora danych osobowych od innych podmiotów przetwarzających dane jest bowiem sprawowanie faktycznej kontroli nad przetwarzaniem danych (L. A. Bygrave, Data Protection Law, s. 21), a więc decydowanie o celach i środkach przetwarzania, nie zaś faktyczne przetwarzanie, które może zostać powierzone innemu podmiotowi (G. Sibiga, Postępowanie, s. 54). Na tę właśnie okoliczność zwrócił uwagę NSA w wyr. z 30.1.2002 r. (II SA 1098/01, Wok. 2002, Nr 7–8, s. 70), wskazując, że za administratora danych osobowych nie można uznać „każdego dysponenta danych”. Administratorem danych osobowych „nie jest (...) każdy dysponent danych osobowych (...). Jest nim ten, kto decyduje o celach i środkach przetwarzania, przy czym zasadnicze znaczenie ma rodzaj i charakter nadanych przez prawo kompetencji z zakresu spraw publicznych (...)”. W podobnym duchu wypowiedział się również SN w post. z 11.12.2001 r. (II KKN 438/00, OSNKW 2001, Nr 3–4, poz. 33), w którym rozróżnił administratora i administrującego danymi osobowymi. Za administratora uznał jedynie ten podmiot, który decyduje o celach i środkach przetwarzania danych, natomiast administrującym jest taki podmiot, jaki „zarządza, zawiaduje zbiorem danych lub danymi”. W literaturze przedmiotu zwrot „decyduje o celach i środkach przetwarzania danych osobowych” bywa utożsamiany z faktycznym podejmowaniem decyzji w stosunku do przetwarzanych danych (A. Mednis, Ustawa, s. 29), jak również z samodzielnym podejmowaniem decyzji dotyczących przetwarzania danych (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 409).

53

53. Status administratora danych osobowych. Status administratora danych osobowych nie będzie więc np. przysługiwał agentowi ubezpieczeniowemu, który zawiera umowy ubezpieczenia z poszczególnymi klientami i z tego tytułu przetwarza ich dane osobowe w sytuacji, w której o celach i środkach przetwarzania danych decyduje inny podmiot (towarzystwo ubezpieczeniowe) (E. Kulesza, Agent nie jest administratorem, Rzeczp. 3.11.1999 r.). Natomiast może być w pewnym zakresie administratorem danych broker ubezpieczeniowy, który działa na rzecz klienta i wyszukuje mu odpowiednie oferty ubezpieczeniowe zgodnie z definicją działalności brokerskiej z art. 4 pkt 2 ustawy z 22.5.2003 r. o pośrednictwie ubezpieczeniowym (Dz.U. Nr 124, poz. 1154 ze zm.), ale tylko w takim zakresie, w jakim zbieranie i przetwarzanie przez niego danych nie jest związane z zawieraniem konkretnej umowy ubezpieczenia. W takim przypadku bowiem administratorem danych potrzebnych do zawarcia umowy jest zakład ubezpieczeń, który będzie stroną przygotowywanej umowy.

54

54. Oddział przedsiębiorcy. Podobnie oddział przedsiębiorcy, mimo że jest strukturalnie powiązany z przedsiębiorcą, ze względu na zwarte w definicji z art. 5 pkt 5 SwobDziałGospU wyodrębnienie i samodzielność organizacyjną może w pewnych przypadkach – w zakresie, w którym w ramach tej samodzielności podejmuje decyzje co do celów przetwarzania danych – posiadać status administratora danych. W odniesieniu natomiast do oddziałów przedsiębiorców zagranicznych (art. 85 ust. 1 SwobDziałGospU), zdaniem autorów niniejszego komentarza, osobie upoważnionej w oddziale do reprezentowania przedsiębiorcy zagranicznego (art. 87 SwobDziałGospU) nie można co do zasady przyznać statusu administratora danych (tak też A. Drozd, Ustawa, s. 73). Również przedstawicielstwom przedsiębiorców zagranicznych (art. 93 SwobDziałGospU), ze względu na prowadzoną przez nie działalność w zakresie promocji i reklamy przedsiębiorcy zagranicznego (art. 94 SwobDziałGospU), co do zasady nie będzie przysługiwał status administratora danych, natomiast nie można również wykluczyć sytuacji, gdy to ten podmiot samodzielnie będzie podejmował decyzje co do celów i środków przetwarzania danych w ramach przyznanej mu swobody prowadzenia działalności promocyjnej i reklamowej (inaczej A. Drozd, Ustaw, s. 73).

55

55. Stowarzyszenia. Jednostki terenowe stowarzyszenia, jako utworzone odrębnie podmioty, na podstawie art. 10 ust. 2 ustawy z 7.4.1989 r. – Prawo o stowarzyszeniach (t.j. Dz.U. z 2001 r. Nr 79, poz. 855 ze zm.) – zgodnie z zasadami określonymi w statucie stowarzyszenia są co do zasady – ze względu na odrębność organizacyjną, własny zarząd i statut – odrębnymi od stowarzyszenia administratorami danych.

56

56. Fundusze emerytalne. Zgodnie ze stanowiskiem GIODO (decyzja GI-DEC-DOLiS 248/07, niepubl.) to fundusz emerytalny, jako decydujący o celach i środkach przetwarzania danych na podstawie art. 2 ustawy z 28.8.1997 r. o organizacji i funkcjonowaniu funduszy emerytalnych (t.j. Dz.U. z 2010 r. Nr 34, poz. 189 ze zm.), jest administratorem danych, a nie towarzystwo emerytalne, które tworzy fundusz oraz, jako jego organ, zarządza nim i reprezentuje w stosunkach z osobami trzecimi w sposób określony dla reprezentacji towarzystwa w jego statucie (art. 3 ww. ustawy). Minister Sprawiedliwości (Sprawozdanie GIODO za rok 2004, s. 124) zajął – w odniesieniu do sytuacji ogłoszenia upadłości przedsiębiorcy – stanowisko, że syndyk z mocy prawa przejmuje zbiory i staje się tym samym ich administratorem. Jest on zatem zobowiązany do ich odpowiedniego przechowywania i zabezpieczenia ich przed nieuprawnionym udostępnianiem.

57

57. Czynności podejmowane samodzielnie przez podmiot przetwarzający dane. Ustawa jasno określa, jakie czynności powinny być podejmowane samodzielnie przez podmiot przetwarzający dane, żeby mógł on zostać uznany za administratora tych danych – decydowanie o celach oraz decydowanie o środkach przetwarzania danych. Cele przetwarzania należy rozumieć w taki sposób, w jaki termin ten używany jest w innych przepisach ustawy, w szczególności w art. 24, 25 i 26 – będą to więc pewne wartości, dla urzeczywistnienia których dochodzić będzie do przetwarzania danych osobowych (na temat celów przetwarzania danych osobowych por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 550–553; A. Drozd, Ustawa, s. 151–153). Natomiast pojęcie środków przetwarzania w aspekcie decydowania o tych środkach oznacza dokonywanie wyboru technicznych sposobów przetwarzania danych. Administrator danych osobowych powinien więc samodzielnie decydować o tym, dla realizacji jakich celów dochodzić będzie do przetwarzania danych osobowych oraz w jaki sposób to przetwarzanie będzie następowało. Te cechy pozwalają właśnie na odróżnienie administratora danych osobowych od podmiotu przetwarzającego dane na zlecenie, który nie decyduje o celach przetwarzania danych osobowych, będąc uprawnionym do przetwarzania danych wyłącznie w celu określonym umową (art. 31 ust. 2 OchrDanOsU). Dla przyznania określonemu podmiotowi statusu administratora danych nie ma również znaczenia treść ewentualnych zobowiązań umownych, gdyż przyznanie takiego statusu w procesie przetwarzania danych osobowych jest wyłącznie następstwem spełnienia przesłanek wskazanych w art. 7 pkt 4 OchrDanOsU, a nie postanowień umownych – ustaleń dokonywanych pomiędzy podmiotami biorącymi udział w przetwarzaniu danych.

58

58. Powierzenie przetwarzania danych osobowych. Przykładowo w przypadku powierzenia agencji reklamowej przez pewien podmiot działań marketingowych dochodzi co do zasady do powierzenia agencji przetwarzania danych osobowych, zgodnie z art. 31 OchrDanOsU. Jest tak ze względu na okoliczność, że to podmiot zlecający, co najmniej w pewnym zakresie, określa wprost (lub zatwierdza decyzje podejmowane przez agencję reklamową) takie elementy, jak grupę docelową, sposób komunikacji lub treść przekazu, decyduje o celach i środkach przetwarzania danych. Okoliczność, że po podjęciu decyzji w tym zakresie podmiot zlecający nie ma fizycznej styczności z danymi (gdyż wszelkie operacje na danych wykonuje agencja), nie wpływa również na przyznanie mu statusu administratora danych. Wyjątkiem od tej ogólnej zasady może być tu wyłącznie sytuacja (w praktyce rzadko spotykana) zlecenia przez ten podmiot agencji reklamowej bliżej nieokreślonej działalności promocyjnej z przyznaniem jej pełnej samodzielności dobierania sposobów jej przeprowadzenia (agencja sama podejmuje decyzję co do konkretnych działań, w tym celów i środków przetwarzania danych).

59

59. Pracodawca. Nie ulega wątpliwości, że pracodawcy w odniesieniu do danych swoich pracowników będzie przysługiwał status administratora danych, a tym samym to na pracodawcy spoczywają wszystkie obowiązki wynikające z ustawy, z uwzględnieniem dodatkowej regulacji Kodeksu pracy – w szczególności jego art. 22¹. Sprawa przedstawia się jednak nieco odmiennie w przypadku korzystania z usług agencji pracy tymczasowej. To agencja pracy tymczasowej zgodnie z art. 7 ustawy z 9.7.2003 r. o zatrudnianiu pracowników tymczasowych (Dz.U. z 2003 r. Nr 166, poz. 1608 ze zm.) zatrudnia, na podstawie umowy o pracę na czas określony lub umowy o pracę na czas wykonania określonej pracy, pracowników tymczasowych. Podmiot chcący skorzystać z usług takiego pracownika tymczasowego (pracodawca użytkownik) ustala z agencją pracy tymczasowej na piśmie warunki pracy pracownika tymczasowego (art. 9 PrTymU), na podstawie których agencja zawrze umowę z pracownikiem tymczasowym. To jednak agencja pracy tymczasowej, określając w umowie o pracę warunki pracy, jest odpowiedzialna za wypełnienie obowiązków pracodawcy, w szczególności zaś za wypłatę wynagrodzenia pracownikowi tymczasowemu. Natomiast pracodawca użytkownik, w świetle art. 14 ust. 2 pkt 3 PrTymU, nie może m.in. powierzać mu wykonywania pracy na rzecz i pod kierownictwem innego podmiotu. Elementy te wskazują, że administratorem danych osobowych pracownika użytkownika będzie agencja pracy tymczasowej (tak GIODO w Sprawozdaniu za rok 2004, s. 171). Jednocześnie może i powinna ona powierzyć pracodawcy użytkownikowi niektóre czynności związane z przetwarzaniem jego danych (zgodnie z art. 31 OchrDanOsU). Nie można jednak wykluczyć, że w pewnych przypadkach również pracodawca użytkownik będzie administratorem danych pracownika użytkownika. Dotyczyć to może jednak wyłącznie sytuacji, w której pracownik korzysta z dostępu do ewentualnych szkoleń, na warunkach określonych w art. 15 ust. 2 PrTymU. I tylko w tym zakresie, zdaniem autorów, można zaakceptować stanowisko GIODO (tak GIODO w Sprawozdaniu za rok 2004, s. 171) o konieczności wypełnienia przez niego obowiązków nałożonych przepisami ustawy na administratora danych, w szczególności obowiązku informacyjnego z art. 25 OchrDanOsU.

60

60. Prasowa działalność dziennikarska. Wyłączenie w art. 3a ust. 2 OchrDanOsU stosowania większości przepisów ustawy w stosunku do prasowej działalności dziennikarskiej powoduje, że statusu administratora danych nie można w takiej sytuacji przypisać żadnemu z podmiotów, które biorą udział w procesie przygotowania materiałów prasowych do publikacji – czyli dziennikarzowi, redaktorowi, redaktorowi naczelnemu redakcji – ale należy stosować wobec nich pojęcie „osoby ustawowo zobowiązanej do ochrony danych osobowych” (A. Młynarska-Sobaczewska, M. Sakowska-Baryła, Glosa do wyroku Sądu Najwyższego z 2.10.2006 r., Pal. 2008, Nr 9–10, s. 292–302). Nie można się przy tym zgodzić ze stanowiskiem SN w wyr. z 2.10.2006 r. (V KK 243/06, OSNKW 2006, Nr 12, poz. 113), który przyjął ogólną zasadę, że to redaktor naczelny jako osoba ustawowo obowiązana do ochrony danych osobowych (przez odpowiednie zastosowanie art. 36 ust. 1 w zw. z art. 3a ust. 2 ustawy) ponosi odpowiedzialność na podstawie art. 51 ustawy. Sprawa ewentualnej odpowiedzialności powinna być badana zawsze in concreto, ze względu na wykładnię pojęcia „administrującego zbiorem danych”, której dokonał SN w post. z 11.12.2000 r. (II KKN 438/00, OSNKW 2001, Nr 3–4, poz. 33), wskazując, że podmiotem odpowiedzialności może być nie tylko administrator danych, lecz także inna osoba.

61

61. Zasady odpowiedzialności administracyjnej. Sposób określenia w ustawie o ochronie danych osobowych zasad odpowiedzialności administracyjnej z tytułu przetwarzania danych osobowych w stanie prawnym obowiązującym po 1.5.2004 r. nie pozwala na wiązanie tego zagadnienia wyłącznie z osobą administratora danych. W wyniku bowiem nowelizacji art. 31 ust. 3 OchrDanOsU także podmiot przetwarzający dane osobowe na zlecenie może być podmiotem odpowiedzialności z tytułu przestrzegania przepisów ustawy. Stan ten wynika z wyraźnego wskazania w powołanym przepisie, że podmiot przetwarzający dane osobowe na zlecenie „ponosi odpowiedzialność jak administrator danych” (por. szerzej na ten temat: X. Konarski, G. Sibiga, Zmiany, s. 551–552). Stąd nie zawsze administrator danych osobowych i nie tylko ten podmiot będzie ponosił odpowiedzialność za zgodne z ustawą przetwarzanie danych osobowych, a zatem ten właśnie element nie może zostać uznany za odróżniający administratora danych osobowych od innych podmiotów przetwarzających dane.

62

62. Obowiązek zabezpieczenia danych osobowych. Administrator danych osobowych – co do zasady – będzie adresatem obowiązków związanych z przetwarzaniem danych osobowych (G. Sibiga, Postępowanie, s. 59). Również i ta cecha nie może jednak zostać uznana za odróżniającą administratora danych od innych podmiotów przetwarzających dane osobowe, jako że również podmiot przetwarzający dane osobowe na zlecenie jest adresatem pewnych obowiązków wynikających z faktu przetwarzania danych, tj. obowiązków, o których mowa w art. 36–39a OchrDanOsU (obowiązki zabezpieczenia danych osobowych) (por. uwagi do art. 31 OchrDanOsU).

63

63. Sprawowanie faktycznego władztwa nad przetwarzanymi danymi. W miejsce wskazanych wyżej kryteriów odróżniających administratora danych osobowych od innych podmiotów przetwarzających dane, zasadne wydaje się oparcie tego rozróżnienia na okolicznościach natury czysto faktycznej, mianowicie na elemencie sprawowania faktycznego władztwa nad przetwarzanymi danymi (por. L. A. Bygrave, Data, s. 21). Status administratora danych osobowych jest wyłącznie wynikiem podejmowania przez podmiot, o którym mowa w art. 7 pkt 4 OchrDanOsU, decyzji w zakresie określania celów i środków przetwarzania danych osobowych. Stan ten wynika z konieczności objęcia zakresem podmiotowym przepisów o ochronie danych osobowych wszystkich podmiotów, które faktycznie przetwarzają dane, nie zaś wyłącznie tych, które dysponują stosownym upoważnieniem do wykonywania tych czynności. W przeciwnym razie bowiem istotnemu pogorszeniu uległaby sytuacja osób, których dane dotyczą, jako że działania nieznajdujące oparcia w konkretnym przepisie prawa, niebędące więc przejawem wykonywania upoważnienia do przetwarzania danych osobowych, nie podlegałyby ustawowym obowiązkom związanym z przetwarzaniem danych osobowych (analogicznie, na gruncie przepisów o ochronie konsumentów, E. Łętowska, Ustawa o ochronie niektórych praw konsumentów. Komentarz, Warszawa 2000, s. 28).

64

64. Organy państwowe, organy samorządu terytorialnego, państwowe i komunalne jednostki organizacyjne oraz podmioty niepaństwowe jako administratorzy. Nie ulega wątpliwości, że także organy państwowe, organy samorządu terytorialnego, państwowe i komunalne jednostki organizacyjne oraz podmioty niepaństwowe realizujące zadania publiczne mogą zostać potencjalnie uznane za administratorów danych osobowych. Należy jednak zwrócić uwagę na kilka specyficznych zagadnień związanych z pełnieniem funkcji administratora danych przez te właśnie podmioty. W pierwszej kolejności zwraca uwagę możliwość ustalania we właściwych przepisach prawa, jaki podmiot z sektora publicznego pełni funkcję administratora danych osobowych w stosunku do konkretnych zbiorów danych (na wyodrębnienie prowadzenia zbioru informacji jako specyficznego typu zadania administracji zwraca uwagę G. Szpor, Informacja w zagospodarowaniu przestrzennym, Katowice 1998, s. 174). Możliwość taka została zasygnalizowana w art. 2 lit. d dyrektywy 95/46/WE, zgodnie z którym, „jeżeli cele i sposoby przetwarzania danych są określane w ustawach i innych przepisach krajowych lub przepisach Wspólnoty, administrator danych może być powoływany lub kryteria jego powołania mogą być ustalane przez ustawodawstwo krajowe lub ustawodawstwo Wspólnoty”.

65

65. Pracownicy państwowi. Tytułem przykładu wskazać można, że zgodnie z art. 80a ust. 4 oraz art. 100a ust. 4 ustawy z 20.6.1997 r. – Prawo o ruchu drogowym (t.j. Dz.U. z 2012 r. poz. 1137 ze zm.), administratorem danych osobowych zawartych w centralnej ewidencji pojazdów oraz w centralnej ewidencji kierowców jest minister właściwy do spraw administracji publicznej. Jako administrator danych osobowych, zawartych w centralnej ewidencji naruszeń stwierdzonych w wyniku przeprowadzanych kontroli przez inspektorów Inspekcji Transportu Drogowego, wskazany został w art. 80 ust. 3 ustawy z 6.9.2001 r. o transporcie drogowym (t.j. Dz.U. z 2012 r. poz. 1265 ze zm.) Główny Inspektor Transportu Drogowego. Pewne wątpliwości budzi natomiast określenie w art. 4 ust. 2 ustawy z 24.5.2000 r. o Krajowym Rejestrze Karnym (t.j. Dz.U. z 2012 r. poz. 654 ze zm.), że funkcję administratora danych osobowych przetwarzanych w Krajowym Rejestrze Karnym pełni Biuro Informacyjne Krajowego Rejestru Karnego. Jak się wydaje, Biuro Informacyjne pełni funkcję urzędu w znaczeniu zorganizowanego zespołu osób przydanego organowi administracji publicznej do pomocy w pełnieniu jego funkcji (J. Boć, T. Kuta, Prawo administracyjne. Zagadnienia podstawowe, Warszawa 1984, s. 121). Funkcję organu Biura pełni w tym przypadku Dyrektor Biura Informacyjnego, co wynika wprost z art. 3 ust. 2 ustawy o Krajowym Rejestrze Karnym. Biuro Informacyjne Krajowego Rejestru Karnego jest jednak tylko jednostką organizacyjną Ministerstwa Sprawiedliwości (które również ma charakter urzędu przydanego ministrowi właściwemu do spraw sprawiedliwości). W nauce prawa podkreśla się natomiast zasadnie, że Krajowy Rejestr Karny prowadzony jest przez Ministra Sprawiedliwości (T. Stawecki, Rejestry publiczne. Funkcje instytucji, Warszawa 2005, s. 327). Skoro więc Dyrektor Biura Informacyjnego kieruje pracami Biura, a do zadań Biura należy m.in. przetwarzanie danych osobowych (art. 4 ust. 1 pkt 1 ustawy o Krajowym Rejestrze Karnym), to właśnie Dyrektor Biura Informacyjnego powinien zostać uznany za administratora danych osobowych przetwarzanych w Krajowym Rejestrze Karnym (stanowisko takie zdają się również zajmować J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 408).

66

66. Pracownicy samorządowi. Administratorem danych osobowych jest zawsze sam organ administracji, nie zaś obsługujący go urząd (por. G. Sibiga, Postępowanie, s. 55 i powołana tam literatura). Odmienne stanowisko zajmuje A. Drozd (A. Drozd, Ustawa, s. 68), który przywołuje przykład pracowników samorządowych, w stosunku do których funkcję pracodawcy pełni właściwy urząd (por. wyr. SN z 21.12.1992 r., I PRN 52/92, PiZS 1993, Nr 5–6, s. 96). Stanowisko to budzi wątpliwości, jako że pojęcie „urząd” w tym przypadku oznacza wyłącznie aparat pomocniczy organu administracji publicznej, tj. odpowiednio wójta, burmistrza lub prezydenta miasta, starosty albo marszałka województwa. Samym urzędom natomiast nie przysługuje przymiot organów administracji (por. wyr. NSA z 24.5.1983 r., I SA 1714/82, ONSA 1983, Nr 1, poz. 35). Biorąc więc pod uwagę, iż pracami urzędu kieruje wójt, burmistrz lub prezydent (por. art. 33 ust. 3 SamGmU), starosta (art. 35 ust. 2 SamPowU) albo marszałek województwa (art. 43 ust. 3 SamWojU), temu organowi właśnie, nie zaś kierowanemu przez niego urzędowi, powinien przysługiwać status administratora danych osobowych przetwarzanych w związku z zatrudnieniem pracowników samorządowych. Odmienne rozwiązanie, polegające na wyraźnym objęciu zakresem pojęcia „administrator danych” także urzędów organów administracji, przyjęte zostało w art. 2 ust. 1 § 4 pkt 4 austriackiej federalnej ustawy o ochronie danych osobowych.

67

67. Decydowanie o celach i środkach przetwarzania danych osobowych. Opisane wyżej przykładowo sytuacje wyraźnego wskazania we właściwych przepisach podmiotu pełniącego funkcję administratora danych osobowych należą jednak do rzadkości. Brak takich przepisów powoduje, że status administratora danych osobowych należy oceniać w świetle definicji z art. 7 pkt 4 OchrDanOsU. Jednak w przypadku administratorów danych ze sfery prawa publicznego inaczej rozumie się przesłankę decydowania o celach i środkach przetwarzania danych osobowych (G. Sibiga, Postępowanie, s. 55). Swoboda przysługująca tym podmiotom w zakresie celów przetwarzania danych osobowych jest bowiem wyznaczana przez właściwe przepisy prawa określające realizowane przez nie zadania. Zazwyczaj także przysługujące im środki przetwarzania danych osobowych będą wskazane w powszechnie obowiązujących przepisach prawa (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 406). Administratorzy danych ze sfery prawa publicznego mogą więc decydować o celach i środkach przetwarzania danych jedynie w granicach zakreślonych przez przepisy prawa, dla których realizacji następuje przetwarzanie tych danych (E. Kulesza, G. Sibiga, Wykonanie obowiązku rejestracji zbiorów danych osobowych przez kasy chorych, Prawo i Medycyna 2000, Nr 6–7, s. 125). Innymi słowy, cel przetwarzania danych osobowych będzie wyznaczony w sposób mniej lub bardziej konkretny właściwymi przepisami prawa, podczas gdy administrator danych będzie wyłącznie konkretyzował tak wskazany cel, żeby odpowiadał on potrzebom realizowanego przez niego zadania publicznego (R. Hauser, Przetwarzanie danych osobowych: cel i środki, Rzeczp. 6.4.1999 r.; podobnie A. Drozd, Ustawa, s. 68–69).

68

68. Ocena, czy dany podmiot jest administratorem danych osobowych. Dla oceny, czy dany podmiot jest administratorem danych osobowych, decydujące znaczenie wśród administratorów danych ze sfery prawa publicznego wykazują rodzaj i charakter kompetencji z zakresu spraw publicznych oraz zadania wyznaczone tym podmiotom [R. Hauser, Przetwarzanie; odmiennie A. Drozd, Ustawa, s. 68 – autor podkreśla, iż „status administratora danych osobowych nie jest (...) uzależniony od posiadania kompetencji”. W tej samej pracy autor zwraca jednak uwagę, iż „uznanie określonego podmiotu publicznego za administratora danych (...) wymaga starannej analizy aktów normatywnych, przede wszystkim wyznaczających zadania temu organowi” (A. Drozd, Ustawa, s. 67). Pomijając w tym miejscu problem znaczenia terminów „kompetencja” i „zadania”, wydaje się, że cytowane wypowiedzi noszą cechy sprzeczności]. W sferze prawa publicznego więc to nie element stanu faktycznego, którym jest sprawowanie faktycznego władztwa nad przetwarzanymi danymi, będzie miał pierwszorzędne znaczenie w celu określenia statusu danego podmiotu w procesie przetwarzania danych osobowych. Elementem decydującym będzie natomiast rola w procesie przetwarzania danych, którą danemu podmiotowi przyznają właściwe przepisy prawa. W sposób oczywisty przypadki, w których właściwe przepisy będą wprost określały, kto pełni funkcję administratora przetwarzanych na ich podstawie danych, należą do rzadkości (por. wyżej) i są – co do zasady – właściwe dla rejestrów publicznych. Kluczowe znaczenie należy więc przyznać w tym zakresie kompetencji przyznanej przez powszechnie obowiązujące przepisy prawa.

69

69. Zakres dopuszczalnych czynności przetwarzania danych osobowych. Podmioty ze sfery publicznej przetwarzają dane osobowe dla wykonywania określonych prawem zadań, co oznacza, że nie mogą samodzielnie decydować o wykorzystywaniu zbieranych danych. Stan ten stanowi konsekwencję konstytucyjnej zasady praworządności wyrażonej w art. 7 Konstytucji RP, przeniesionej na grunt postępowania administracyjnego przez art. 6 i 7 KPA (por. G. Sibiga, Postępowanie, s. 55). Tak więc to zakres kompetencji przysługujących konkretnemu podmiotowi ze sfery prawa publicznego będzie w każdym przypadku wyznaczał zakres dopuszczalnych czynności przetwarzania danych osobowych przez ten podmiot, a także determinował status podmiotu przetwarzającego dane z punktu widzenia pojęcia administratora danych osobowych.

70

70. Inni administratorzy. Opierając się na wskazanych wyżej kryteriach, status administratorów danych osobowych przyznany został Zakładowi Ubezpieczeń Społecznych (Sprawozdanie GIODO za rok 2001, s. 67) w stosunku do danych osobowych ubezpieczonych. W stosunku do danych zawartych w ewidencji kierowców prowadzonej w związku z wydawaniem praw jazdy za administratora danych uznany został starosta powiatowy (Sprawozdanie GIODO za rok 2001, s. 19). W stosunku do danych przetwarzanych przez Miejski Ośrodek Pomocy Rodzinie – dyrektor ośrodka (Sprawozdanie GIODO za rok 2001, s. 44). Generalny Inspektor Ochrony Danych Osobowych uznał także, że jednostki komunalne będące np. zakładami budżetowymi, wykonujące w imieniu gminy zadania, które służą zaspokojeniu zbiorowych potrzeb społeczności lokalnej, są administratorami danych osobowych w rozumieniu ustawy. Nie posiadają jednak statusu administratora danych zakłady obsługujące te jednostki (Sprawozdanie GIODO za rok 1999, s. 20–23).

71

71. Przetwarzanie danych przez urzędy skarbowe. Szczególne wątpliwości związane ze statusem administratora danych osobowych dotyczyły przetwarzania danych przez urzędy skarbowe. Pismem z 14.9.1998 r. (OS-5-O65-116-ODO/98) przesłanym m.in. do naczelników urzędów skarbowych w związku z upływem okresu przejściowego, przeznaczonego na dostosowanie się przez administratorów danych do przepisów ustawy o ochronie danych osobowych, Minister Finansów, powołując się na art. 7 pkt 4 OchrDanOsU uznał, że „status administratora danych posiada (...) każda jednostka podległa MF – izba skarbowa, urząd kontroli skarbowej, urząd skarbowy”. Podobne stanowisko zostało zajęte przez GIODO (D. Frey, Niedostateczna ochrona podatników, Rzeczp. 12.3.2004 r.), który na potrzeby rejestracji zbiorów danych osobowych przyjął, że każdy urząd skarbowy jest odrębnym administratorem danych podatników przetwarzanych przez ten urząd (G. Sibiga, Postępowanie, s. 56).

72

72. Naczelnik urzędu skarbowego. Nie można jednak zgodzić się z powyższym stanowiskiem, gdyż funkcję organu podatkowego pełni – zgodnie z art. 13 § 1 pkt 1 OrdPod – naczelnik urzędu skarbowego. Naczelnik wykonuje zadania za pomocą kierowanego przez siebie urzędu, jest więc kierownikiem urzędu skarbowego [por. art. 5 ust. 3 ustawy z 21.6.1996 r. o urzędach i izbach skarbowych (t.j. Dz.U. z 2004 r. Nr 121, poz. 1267 ze zm.)]. Ponownie więc GIODO uznaje za administratora danych osobowych urząd, a nie organ administracji publicznej obsługiwany przez tenże urząd. Podobnie, w piśmie MF, status administratora danych przyznawany jest urzędowi, nie zaś naczelnikowi urzędu skarbowego.

73

73. System informatyczny Poltax. Konsekwentnie jednak, w sprawach dotyczących zabezpieczenia danych osobowych przetwarzanych w systemie informatycznym Poltax (decyzja GIODO z 22.8.2003 r., GI-DEC-DIS-159/03), urzędy skarbowe ponownie uznane zostały za administratorów danych osobowych podatników przetwarzanych w tym systemie informatycznym.

74

74. Zbiory danych podatników w systemie Poltax. Stanowisko GIODO budzi w doktrynie wiele zastrzeżeń. W nauce prawa wskazuje się, że to Minister Finansów podejmuje w istocie decyzje o celach i środkach przetwarzania danych w systemie Poltax, jako że to ten organ właśnie podejmuje decyzje dotyczące struktury i kolejnych modułów systemu, które to decyzje są wiążące dla urzędów skarbowych (A. Drozd, Ustawa, s. 66). Wskazuje się również na powtarzalny charakter poszczególnych zbiorów danych podatników prowadzonych w systemie informatycznym Poltax, w stosunku do których sposób zabezpieczenia danych oraz używane oprogramowanie określił Minister Finansów (G. Sibiga, Postępowanie, s. 56; stanowisko analogiczne, zgodnie z którym administratorem danych osobowych przetwarzanych przez urzędy skarbowe jest Minister Finansów, zajmują także M. Królikowska, T. Osiej, Ochrona danych osobowych w praktyce. Pytania i odpowiedzi, Warszawa 2000, s. 107).

75

75. Minister Finansów. Jak się jednak wydaje, do zagadnienia nie można podchodzić jednolicie w tym sensie, że należy odróżnić problem przyznania naczelnikom urzędów skarbowych statusu administratora danych osobowych w ogólności od zagadnienia wskazania podmiotu odpowiedzialnego za należyte zabezpieczenie danych przetwarzanych w systemie Poltax. Nie ulega wątpliwości, że to właśnie na administratorze danych osobowych ciąży obowiązek zabezpieczenia danych osobowych, o którym mowa w art. 36 OchrDanOsU. Skoro jednak zasady tworzenia systemu Poltax, w tym sposób zabezpieczenia danych osobowych w systemie, określa Minister Finansów w drodze wydawania poleceń służbowych (A. Drozd, Ustawa, s. 66), korzystając z uprawnień określonych w art. 5 ust. 1 ustawy o urzędach i izbach skarbowych ustanawiającym zasadę podporządkowania naczelników urzędów skarbowych Ministrowi, to właśnie Minister Finansów podejmuje w tym zakresie decyzje o środkach przetwarzania danych osobowych przetwarzanych w systemie. Zgodzić się również należy z powołanym wyżej stanowiskiem nauki prawa, zgodnie z którym również decyzje o celach przetwarzania danych w systemie Poltax podejmuje Minister Finansów. Należy jednak podkreślić, że informacje, w tym dane osobowe, przetwarzane w systemie Poltax wykorzystywane są również przez naczelników urzędów skarbowych, którzy również podejmują decyzje o celach i środkach przetwarzania tych danych – w szczególności dane te wykorzystywane są w postępowaniach administracyjnych prowadzonych przez naczelników urzędów skarbowych pełniących funkcję organów podatkowych. Rozważyć więc należy przyjęcie stanowiska, zgodnie z którym administratorami danych osobowych przetwarzanych w systemie Poltax są – jednocześnie – Minister Finansów oraz właściwy naczelnik urzędu skarbowego.

76

76. Dwa podmioty lub więcej w funkcji administratora danych. Możliwość pełnienia przez dwa podmioty lub więcej funkcji administratora danych w stosunku do tego samego zbioru danych jest akceptowana w nauce prawa (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 410; podobnie A. Drozd, Ustawa, s. 73; podobnie X. Konarski, Internet i prawo w praktyce, Warszawa 2002, s. 126–127). Taka możliwość wynika wprost z art. 2 lit. d dyrektywy 95/46/WE, która posługuje się zwrotem „samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych” na określenie administratora danych osobowych. Wskazuje się przy tym, że wielość administratorów danych może zaistnieć, w przypadku gdy dwa podmioty lub więcej działają wspólnie i wspólnie podejmują decyzje o celach i środkach przetwarzania danych bądź też każdy z nich podejmuje te decyzje samodzielnie w stosunku do przetwarzanych danych. Sytuacja taka występuje właśnie w związku z przetwarzaniem danych osobowych w systemie Poltax – tak Minister Finansów, jak i naczelnicy urzędów skarbowych podejmują w pewnym zakresie decyzje o celach o środkach przetwarzania danych osobowych. Stąd zasadne wydaje się przyjęcie, że podmioty te pełnią jednocześnie funkcję administratorów danych osobowych przetwarzanych w systemie Poltax.

77

77. Zgoda osoby, której dane dotyczą. W art. 7 pkt 5 ustawodawca wyjaśnił, jak należy rozumieć pojęcie zgody osoby, której dane dotyczą. W definicji tej wskazał, że zgoda osoby, której dane dotyczą powinna być traktowana jako oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie. Dodatkowo zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści i może być odwołana w każdym czasie.

78

78. Osoba, której dane dotyczą. W przepisach ustawy o ochronie danych osobowych wielokrotnie używany jest termin „osoba, której dane dotyczą” – w szczególności w definicji z art. 7 pkt 6 oraz art. 23 i 27 wskazujących dopuszczalne przypadki przetwarzania danych osobowych, w art. 24 i 25 nakładających na administratora danych obowiązki informacyjne, w art. 32–35 regulujących prawa osób, których dane są przetwarzane. Ustawa nie definiuje jednak tego pojęcia. Inaczej na gruncie prawa europejskiego, gdzie w definicji danych osobowych w art. 2 lit. a dyrektywy 95/46/WE wskazano, że osobą, której dane dotyczą, jest osoba zidentyfikowana lub możliwa do zidentyfikowania na podstawie informacji mających charakter danych osobowych. Definicja danych osobowych w dyrektywie ma następujące brzmienie: „«dane osobowe» oznacza wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej («osoby, której dane dotyczą»); osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka specyficznych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość”. Podobnie w niektórych ustawach krajów członkowskich Unii Europejskiej zdefiniowane zostało pojęcie osoby, której dane dotyczą [najczęściej definicje te formułowane są przez wskazanie, że osobą, której dane dotyczą, jest osoba, do której odnoszą się informacje o charakterze danych osobowych (por. art. 4 lit. d czeskiej ustawy z 4.4.2000 r. o ochronie danych osobowych, art. 3 pkt 5 ustawy fińskiej Nr 523/1999 o ochronie danych osobowych, art. 1 lit. f ustawy holenderskiej oraz włoskiej art. 4 ust. 1 lit. i)]; w niektórych ustawodawstwach krajowych pojęcie osoby, której dane dotyczą, definiowane jest przez wskazanie, iż jest to osoba, której tożsamość można ustalić na podstawie przetwarzanych informacji [por. art. 2 lit. c ustawy greckiej (ustawa Nr 2472/1997 o ochronie danych osobowych), art. 2 ust. 1 ustawy łotewskiej; natomiast w art. 2 ust. 1 § 4 pkt 3 austriackiej federalnej ustawie o ochronie danych osobowych osoba, której dane dotyczą, określona została jako każda osoba, której dane osobowe są przetwarzane].

79

79. Wykładnia pojęcia „osoba, której dane dotyczą”. W celu podania wykładni pojęcia „osoba, której dane dotyczą” w ustawie o ochronie danych osobowych należy w pierwszej kolejności podkreślić, że pojęcie to powinno być interpretowane z uwzględnieniem zasad prounijnej wykładni prawa polskiego. Wykładnia przepisów prawa wewnętrznego państwa – członka UE – powinna bowiem zapewnić osiągnięcie celu wynikającego z normy prawa unijnego (K. Kowalik--Bańczyk, Prowspólnotowa, s. 9). Należy również zwrócić uwagę na znaczenie pojęcia „dotyczyć” w języku polskim, które jest rozumiane jako „odnosić się do kogoś lub do czegoś” [Mały słownik języka polskiego (red. E. Sobol), Warszawa 1995, s. 151]. Jak więc się wydaje, pojęcie „osoba, której dane dotyczą” powinno być rozumiane jako osoba, do której odnoszą się dane osobowe (podobnie L. A. Bygrave, Data Protection Law, s. 21). Innymi słowy, osoba, której dane dotyczą, to osoba, na temat której informacje o charakterze danych osobowych coś przekazują (komunikują) (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 377).

80

80. Zgoda na przetwarzanie danych osobowych jako oświadczenie woli. Przetwarzanie danych nie jest czynnością prawną, ale czynnością realną, faktyczną, co oczywiście nie wyklucza, iż ma ona konsekwencje prawne (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 402). Jednakże dokonana przez ustawodawcę kwalifikacja prawna zgody na przetwarzanie danych osobowych jako oświadczenia woli skutkuje stosowaniem do tego oświadczenia przepisów KC o wykładni oświadczeń woli (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 416). Wykładnia treści zgody na przetwarzanie danych osobowych powinna więc następować według przepisów KC. Oświadczenie woli zawierające zgodę na przetwarzanie danych osobowych podlega wykładni z uwzględnieniem stanu istniejącego w chwili jego złożenia [tzw. interpretacja ex tunc – Z. Radwański, w: System Prawa Prywatnego, t. II, Prawo cywilne – część ogólna (red. Z. Radwański), Warszawa 2002, s. 59]. Ustalając znaczenie oświadczenia woli, należy uwzględniać między innymi okoliczności, w których zostało złożone, zasady współżycia społecznego oraz ustalone zwyczaje (por. wyr. NSA z 19.11.2001 r., II SA 2748/00, niepubl.).

81

81. Oświadczenie o wyrażeniu zgody na przetwarzanie danych. W odniesieniu do oświadczenia o wyrażeniu zgody na przetwarzanie danych ustawodawca wprost wskazał, że oświadczenie takie nie może być domniemane albo dorozumiane z oświadczenia woli o innej treści. Ponadto oświadczenie powinno zostać złożone w sytuacji pełnej wiedzy po stronie składającego oświadczenie o celu i zakresie przetwarzania danych. Definicja zgody osoby, której dane dotyczą, jest funkcjonalnie związana z podstawą przetwarzania danych osobowych z art. 23 ust. 1 pkt 1 OchrDanOsU. Na tle tego należy powołać wyr. NSA z 4.4.2003 r. (II SA 2135/02, MoP 2003, Nr 10, s. 435), który przyjął, że „zgoda na przetwarzanie danych musi być wyraźna. Nie spełnia tego wymagania podpisanie oświadczenia o wyrażeniu zgody na przetwarzanie danych, stanowiącego dodatkowy element innego zobowiązania niezawierającego informacji o celach i zakresie przetwarzania danych” oraz „zgoda musi mieć charakter wyraźny, a jej wszystkie aspekty muszą być jasne dla podpisującego w momencie jej wyrażania. Czynności takiej nie konwaliduje późniejsze poinformowanie o treści regulaminu, ani możliwość zgłoszenia zastrzeżeń wobec pewnych form przetwarzania danych”.

82

82. Dobrowolność zgody. Choć nie wynika to wprost z komentowanego przepisu, zgoda na przetwarzanie danych osobowych powinna być dobrowolna. O dobrowolności zgody możemy mówić, tylko wtedy gdy jej wyrażenie lub odmowa nie ma żadnego wpływu na inne uprawnienia danej osoby [por. A. Mednis, Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46 Nr 15/2011 (WP 187), MoP 2012, Nr 7, s. 25].

83

83. Zapytanie o wyrażenie zgody. Przyjmując – zgodnie z definicją legalną zawartą w art. 7 pkt 5 OchrDanOsU – że zgoda osoby, której dane dotyczą, ma charakter oświadczenia woli, należy rozważyć w konsekwencji możliwość kształtowania takim oświadczeniem quasi-czynności prawnych, którą jest wyrażenie zgody na przetwarzanie danych. W literaturze występowanie w tym zakresie czynności prawnej jest kwestionowane, zamiast oceny zdolności do dokonywania czynności prawnych wskazuje się raczej na konieczność oceny rozeznania co do znaczenia składanego oświadczenia (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 416–418). W praktyce gospodarczej stosowanie jednak takich kryteriów – zwłaszcza w połączeniu z powszechnym brakiem praktycznej możliwości weryfikowania prawdziwości złożonych oświadczeń oraz z brakiem możliwości oceny rozeznania składającego oświadczenie – nie pozwala na poczynienie jakichkolwiek założeń i tym samym wyłącza możliwość kierowania zapytań o wyrażenie zgody na przetwarzanie danych do osób niepełnoletnich.

84

84. Ocena skuteczności złożenia oświadczeń o wyrażeniu zgody. Mimo więc wskazanych wątpliwości co do zasadności takich założeń, należy pokusić się o sformułowanie zasad oceny skuteczności złożenia oświadczeń o wyrażeniu zgody na przetwarzanie danych osobowych w powiązaniu z przewidzianymi w KC wymogami w zakresie podejmowania czynności prawnych. Analizie powinna zostać więc poddana kwestia skuteczności zgody (jako oświadczenia co najmniej zbliżonego w swych charakterze do oświadczenia woli) w relacji do zdolności osoby fizycznej do czynności prawnej. Możemy mieć do czynienia z sytuacją wyrażania zgody przez osobę, która nie ma zdolności do czynności prawnej (np. dzieci poniżej lat 13 lub osoba całkowicie ubezwłasnowolniona), lub przez osobę ograniczoną w zdolności do czynności prawnej (osoba w wieku do 18 roku życia lub ubezwłasnowolniona częściowo).

85

85. Wyłączenie obowiązku uzyskania zgody przedstawiciela ustawowego. Zdając sobie sprawę z ułomności takich ogólnych założeń, należy przyjąć, że osoby fizyczne w wieku do lat 13 i ubezwłasnowolnione całkowicie nie mają rozeznania co do wszystkich skutków wyrażenia zgody na przetwarzanie danych osobowych, a przede wszystkim (i to może nawet bardziej istotne) nie mają rozeznania co do przysługujących im uprawnień (m.in. tych z art. 32 OchrDanOsU, a także w związku z ewentualnym naruszeniem ich dóbr osobistych). Przepisy KC zawierają wyłączenie obowiązku uzyskania zgody przedstawiciela ustawowego tylko i wyłącznie w przypadku zawarcia umowy należącej do umów powszechnie zawieranych w drobnych bieżących sprawach życia codziennego, z zastrzeżeniem, że nie pociąga to za sobą rażącego pokrzywdzenia osoby niezdolnej do czynności prawnych (art. 14 § 2 KC). Zgody na przetwarzanie danych osobowych nie można, zdaniem autorów niniejszego komentarza, porównywać do drobnych bieżących spraw życia codziennego, a więc konieczne jest uzyskanie zgody przedstawiciela ustawowego. W przypadku osób z ograniczoną zdolnością do czynności prawnych należy odwołać się do przepisu art. 17 KC, który wskazuje, że do ważności czynności prawnej, przez którą osoba ograniczona w zdolności do czynności prawnych zaciąga zobowiązanie lub rozporządza swoim prawem, potrzebna jest zgoda jej przedstawiciela ustawowego. Ważność umowy zależy od potwierdzenia jej przez przedstawiciela ustawowego. Choć wyrażenie zgody na przetwarzanie danych osobowych nie stanowi sensu stricto rozporządzenia swoim prawem, to można traktować jej działanie podobnie, gdyż zakłada pełną świadomość (rozeznanie) po stronie niepełnoletniej osoby co do skutków jej działań. Konkludując, jeżeli porównywać wyrażenie zgody na przetwarzanie danych osobowych do oświadczenia woli zmierzającego do podjęcia czynności prawnej, należy przyjąć, że zarówno w stosunku do osób nieposiadających zdolności do czynności prawnych, jak i osób z ograniczoną zdolnością do czynności prawnych dla skuteczności zgody na przetwarzanie danych wymagana jest zgoda przedstawiciela ustawowego osoby, której dane dotyczą [podobnie angielski Information Commisioner w poradniku opublikowanym na stronie www.ico.go.uk – przyjmuje, że konieczna jest szczególna ochrona osób niepełnoletnich i tym samym niezbędne jest wyrażenie zgody przez ich przedstawicieli ustawowych. Za uzasadnione uznaje on stanowisko przyjęte przez organizację Trustu (www.trustuk.org.uk), by zbierać dane od osób poniżej 12 roku życia po uprzednim uzyskaniu zgody takich przedstawicieli. Na gruncie prawa angielskiego za dziecko uznaje się osobę poniżej lat 16]. Takie rozwiązanie gwarantuje większą ochronę prywatności osób niepełnoletnich.

86

86. Zgoda przedstawiciela ustawowego na przetwarzanie danych osoby niepełnoletniej. W związku z powyższymi rozważaniami powstaje jeszcze jedno pytanie – czy wystarczająca będzie zgoda przedstawiciela ustawowego na przetwarzanie danych osoby niepełnoletniej? W przypadku osób z ograniczoną zdolnością do czynności prawnych przepisy KC mówią o konieczności potwierdzenia czynności prawnej dla jej ważności, a więc należy je traktować jako dodatkowe względem oświadczenia osoby niepełnoletniej. Tym samym, zdaniem autorów niniejszego komentarza, w przypadku osób niepełnoletnich, które ukończyły 13 lat (lub są częściowo ograniczone w zdolności do czynności prawnych), powinny zostać złożone łącznie dwa oświadczenia – osoby, której dane dotyczą, i jej przedstawiciela ustawowego. Do odwołania zgody wystarczyłoby jednak oświadczenie tylko osoby niepełnoletniej lub przedstawiciela ustawowego. W przypadku zaś osób w wieku poniżej 13 lat (lub całkowicie ograniczonych w zdolności do czynności prawnych), przepisy KC przypisują takim osobom brak rozeznania co do skutków podejmowanych działań. W konsekwencji, należałoby więc przyjąć, że oświadczenie przedstawiciela ustawowego powinno być uznane za wystarczające (ale tylko do ukończenia przez osobę, której dane dotyczą, 13 roku życia).

87

87. Dane osobowe dzieci. Próbę zmierzenia się z zagadnieniem decydowania przez dzieci albo/lub przez ich prawnych opiekunów o przetwarzaniu danych osobowych dzieci, na gruncie przepisów prawa unijnego (w szczególności dyrektywy 95/46/WE) podjęła Grupa robocza [(Article 29 Data Protection Working Party) w opinii 2/2009 przyjętej 11.2.2009 r. (Opinion 2/2009 on the protection of children’s personal data (General Guidelines and the special case of schools)]. Ponieważ przepisy dyrektywy 95/46/WE nie zawierają szczególnej regulacji dotyczącej danych osobowych dzieci, Grupa robocza w powołanym dokumencie starała się zamieścić wskazówki co do stosowania ogólnych przepisów w zakresie ochrony danych osobowych z uwzględnieniem specyfiki tej szczególnej kategorii osób fizycznych, jakimi są dzieci. Na potrzeby tego dokumentu przyjęto, że za dzieci uznaje się osoby fizyczne poniżej 18 lat – jeżeli nie uzyskały pełnoletności w świetle przepisów prawa, nie osiągając jeszcze tego wieku. W związku z powyższym na gruncie postanowień opinii 2/2009 pojęcie „dziecka” można odnieść, na gruncie przepisów Kodeksu cywilnego, do pojęcia osoby fizycznej, która nie posiada pełnej zdolności do czynności prawnych. Grupa robocza zwróciła ponadto w tym dokumencie uwagę na fakt, że bez względu na stopień rozwoju dziecka zawsze priorytetowe znaczenie należy przypisywać interesowi dziecka.

88

88. Wyrażenie zgody przez dziecko. Kluczową kwestią, którą – jak wskazano powyżej – trudno jednoznacznie rozstrzygnąć, nie tylko na gruncie polskiego porządku prawnego, lecz także na gruncie przepisów prawa unijnego, jest okoliczność, kiedy dziecko może samodzielnie wyrazić zgodę na przetwarzanie danych osobowych i kiedy powinno działać łącznie ze swoim przedstawicielem ustawowym, a kiedy wystarczy w tym zakresie samodzielne działanie przedstawiciela ustawowego (w imieniu dziecka). Grupa robocza wyróżnia w tym zakresie różne fazy – uwzględniając proces rozwoju i osiągania dojrzałości przez dziecko – wskazując, że udział dziecka w podejmowaniu decyzji, o przetwarzaniu jego danych osobowych, powinien – w miarę osiągania dojrzałości – zmierzać do wzięcia pod uwagę (taking into account) jego zdania (opinii) przy podejmowaniu odpowiednich decyzji przez przedstawiciela ustawowego, przez łączne (wraz z przedstawicielem ustawowym) podejmowanie decyzji, aż do korzystania w tym zakresie z pełnej autonomii (opinia 2/2009, s. 6). Powyższe wskazówki Grupy roboczej zawarte w opinii 2/2009 nie określają jednak, jaki wiek powinien wyznaczać poszczególne fazy współdziałania przedstawiciela ustawowego z dzieckiem. Z związku z tym ich wartość praktyczna (np. dla prowadzenia działań związanych z przetwarzaniem danych dzieci) jest mała. Natomiast, co do samej koncepcji, przystają one do stanowiska zajętego przez autorów niniejszego komentarza.

89

89. Cofnięcie zgody przez dziecko. Dla praktyki stosowania przepisów ochrony danych osobowych następujące tezy (wskazówki) Grupy roboczej mogą mieć jednak istotne znaczenie. Otóż, w opinii (opinia 2/2009, s. 5) wskazano, że jeżeli przetwarzanie danych dziecka rozpoczęło się na podstawie zgody przedstawiciela ustawowego, dziecko, którego dotyczą dane, może – po osiągnięciu dojrzałości – (cofnąć) odwołać to oświadczenie. Teza ta, zdaniem autorów niniejszego komentarza (choć nieidąca aż tak daleko, jak ich stanowisko) zasługuje na aprobatę. Przekładając ją na grunt polskich przepisów, należałoby przyjąć, że co najmniej od chwili osiągnięcia pełnoletności (pełnej zdolności do czynności prawnych) osoba fizyczna może cofnąć (odwołać) zgodę na przetwarzanie danych osobowych, którą uprzednio w jego imieniu (w imieniu dziecka) wyraził przedstawiciel ustawowy. Druga istotna dla praktyki wskazówka Grupy roboczej (opinia 2/2009, s. 5) podkreśla, że w ww. sytuacji, tzn. po uzyskaniu przez dziecko dojrzałości (pełnoletności), administrator danych powinien uzyskać od takiej osoby fizycznej wyraźną zgodę na przetwarzanie danych osobowych – by mógł kontynuować przetwarzanie jej danych osobowych. Stanowisko, które zajęła w tym zakresie Grupa robocza, zdaniem autorów niniejszego komentarza, zasługuje również na akceptację. Należy jednak zastrzec, że nie będzie ono budzić wątpliwości, w sytuacji gdy oświadczenie takie zostało złożone wyłącznie przez przedstawiciela ustawowego. Nie można bowiem zaakceptować tego stanowiska w sytuacji złożenia oświadczenia o wyrażeniu zgody na przetwarzanie danych osobowych łącznie przez przedstawiciela ustawowego oraz dziecko (zakładając, że jest ono w wieku, który zakłada możliwość właściwego rozeznania co do podejmowanych działań, a takie założenie można, jak wskazano powyżej, poczynić – co do zasady – w stosunku do osób, które mają ograniczoną zdolność do czynności prawnych). Analogiczne stanowisko Grupa robocza zajęła w odniesieniu do wykonania obowiązku informacyjnego, przyjmując, że w przypadku wykonania go wyłącznie w stosunku do przedstawiciela ustawowego, po uzyskaniu dojrzałości dziecko powinno być również należycie poinformowane o okolicznościach przetwarzania jego danych osobowych. Tak jak przyjęto powyżej, z powołanym zastrzeżeniem, również ta teza Grupy roboczej zasługuje na akceptację.

90

90. Standardy w zakresie ochrony danych osobowych dzieci. Należy jednak podkreślić, że przyjęcie ww. stanowisk jako standardów w zakresie ochrony danych osobowych dzieci wymaga aktywnego podjęcia działań przez administratora danych. Wykonanie powyższych założeń może w praktyce nastręczać poważne trudności ze względu na okoliczność, że niesie ono ze sobą konieczność przetwarzania przez administratora danych informacji o dacie urodzenia (na podstawie którejkolwiek z przesłanek wskazanych w art. 23 ustawy). Ponadto nawet mimo ewentualnego posiadania informacji o dacie urodzin w przypadkach, w których osoba fizyczna osiągnie pełnoletniość (pełną zdolność do czynności prawnych), nie kończąc 18 roku życia (np. na podstawie 10 § 2 KC), administrator danych nie będzie posiadał wiedzy o tej okoliczności.

91

91. Naruszenie prywatności dziecka w wyniku działań przedstawiciela ustawowego. Jak wskazała Grupa robocza (opinia 2/2009, s. 8), w przypadku, w którym dochodzi do naruszenia prywatności dziecka w wyniku działań przedstawiciela ustawowego (zakładając, że dziecko ma świadomość tego naruszenia), dziecko powinno mieć prawo do bycia wysłuchanym przez odpowiednie władze, włączając w to organy odpowiedzialne za ochronę danych osobowych. Na gruncie polskich przepisów takie uprawnienie dziecka może się sprowadzać do złożenia skargi – i wszczęcia na tej podstawie postępowania przez Generalnego Inspektora Ochrony Danych Osobowych. Do postępowania takiego znajdą jednak zastosowanie, na mocy art. 22 ustawy o ochronie danych osobowych, przepisy Kodeksu postępowania administracyjnego. Zgodnie z art. 30 § 2 KPA za osoby fizyczne niemające zdolności do czynności prawnych (a więc dzieci, które nie ukończyły lat 13) musiałyby działać w postępowaniu przez przedstawiciela ustawowego – potencjalnego naruszyciela zasad ochrony danych osobowych dziecka.

92

92. Forma oświadczenia. Jak podkreśla się w literaturze (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona, 2004, s. 418), nie ma przeszkód prawnych, by zgoda została złożona przez należycie umocowanego pełnomocnika ani też by administrator danych upoważnił określoną osobę do przyjmowania takich oświadczeń. Złożenie oświadczenia o wyrażeniu zgody na przetwarzanie danych osobowych (z wyjątkiem oświadczenia odnoszącego się do danych sensytywnych – art. 27 ust. 2 pkt 1 OchrDanOsU) nie wymaga zachowania szczególnej formy. W praktyce, ze względu na ewentualne utrudnienia dowodowe, stosuje się formę pisemną, natomiast nierzadko zgodę taką pozyskuje się za pośrednictwem telefonu, Internetu (przez strony www) czy też środków komunikacji elektronicznej (SMS, e-mail).

93

93. Wycofanie zgody na przetwarzanie danych osobowych. W nauce prawa zagadnienie dopuszczalności wycofania zgody na przetwarzanie danych osobowych budziło pierwotnie wiele kontrowersji. Zdaniem G. Szpor, skoro w ustawie nie przewidziano możliwości wycofania zgody, takie uprawnienie nie przysługuje osobie, której dane dotyczą (G. Szpor, Publicznoprawna, s. 4; podobnie A. Mednis, Ustawa, s. 104). Obecnie jednak za dominujące należy uznać stanowisko dopuszczające odwołanie zgody na przetwarzanie danych osobowych [por. P. Fajgielski, Podstawy prawne dopuszczalności przetwarzania danych osobowych, w: Współczesne problemy prawa publicznego. Studia z prawa publicznego (red. S. Fundowicz), t. I, Lublin 1999, s. 116; R. Szałowski, Ochrona, s. 76; A. Drozd, Ustawa, s. 79–80]. Pewnych argumentów przeciwko temu stanowisku dostarczała wykładnia systematyczna przepisów ustawy o ochronie danych osobowych oraz przepisów szczególnych odnoszących się do przetwarzania danych osobowych – w art. 4 ust. 1 pkt 2 UsElU oraz w art. 174 pkt 3 PrTelekom dopuszczono bowiem wyraźnie możliwość odwołania raz udzielonej zgody, w tym zgody na przetwarzanie danych osobowych, która w pewnych sytuacjach wymagana jest przez przepisy tych ustaw. Można było więc argumentować, iż skoro przepisy szczególne o ochronie danych osobowych w rozumieniu art. 5 OchrDanOsU przyznają osobie, której dane dotyczą, uprawnienie do odwołania zgody na przetwarzanie danych osobowych, natomiast stosownego uprawnienia brak w przepisach ustawy ogólnej, uprawnienie takie nie przysługuje na gruncie ustawy o ochronie danych osobowych. Wątpliwości te zostały jednoznacznie rozstrzygnięte przez ustawę z 29.10.2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw, która zmieniając art. 7 pkt 5 OchrDanOsU przesądziła, że zgoda na przetwarzanie danych osobowych może zostać odwołana w każdym czasie.

94

94. Odbiorca danych. Artykuł 7 pkt 6 OchrDanOsU zawiera legalną definicję „odbiorcy danych”, która została wprowadzona do ustawy nowelizacją z 22.1.2004 r. Określenie zakresu definicyjnego tego terminu jest bardzo istotne ze względu na okoliczność, że do tego pojęcia odwołują się przepisy ustawy kształtujące obowiązki w zakresie podstaw przetwarzania danych (art. 23 ust. 1 pkt 5 OchrDanOsU), obowiązki informacyjne (art. 24 ust. 1 pkt 2 i art. 25 ust. 1 pkt 2 OchrDanOsU), prawa osób, których dane dotyczą (art. 32 ust. 1 pkt 5 OchrDanOsU), oraz obowiązki w zakresie rejestracji zbiorów danych (art. 41 ust. 1 pkt 4a OchrDanOsU). Definicja „odbiorcy danych” jest skonstruowana w sposób negatywny. Określa ona, że odbiorcą danych jest każdy, któremu udostępniono dane z wyłączeniem: a) osoby, której dane dotyczą, b) osoby upoważnionej do przetwarzania danych, c) przedstawiciela, o którym mowa w art. 31a, d) podmiotu, o którym mowa w art. 31, e) organów państwowych lub organów samorządu terytorialnego, którym dane są udostępniane w związku z prowadzonym postępowaniem. W związku z powyższym z kręgu odbiorców danych są wyłączone, oprócz osoby, której dane dotyczą, także osoby upoważnione do przetwarzania danych, o których mowa w art. 37 OchrDanOsU (a więc osoby wykonujące, dopuszczone do przetwarzania danych i posiadające stosowne upoważnienie), przedstawiciele administratorów z siedzibą w państwach trzecich, o których mowa w art. 31a, podmioty, którym zgodnie z art. 31 OchrDanOsU zlecono czynności z zakresu przetwarzania danych (processor), a także wskazane w ustawie organy.

95

95. Włączenie do zbioru danych. Definicja ta zakłada, że odbiorcą danych jest podmiot, któremu dane zostały udostępnione. W chwili obecnej – to jest po nowelizacji OchrDanOsU ustawą z 29.10.2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw, która uchyliła m.in. art. 29 – na gruncie przepisów OchrDanOsU nie można już wyróżnić dwóch form udostępniania danych osobowych – w celu włączenia do zbioru danych lub w celu innym niż włączenie do zbioru danych. W świetle przepisów OchrDanOsU w brzmieniu sprzed nowelizacji w pierwszym z tych dwóch przypadków podstawą udostępnienia były przesłanki określone w art. 23 i art. 27 OchrDanOsU. W drugim zaś przypadku dane mogły być udostępnione podmiotom, które są uprawnione na podstawie przepisów prawa (art. 29 ust. 1 ustawy), lub też podmiotom i osobom, jeżeli w sposób wiarygodny uzasadnią potrzebę uzyskania danych (art. 29 ust. 2 OchrDanOsU). Na gruncie obowiązujących obecnie przepisów nie ma podstaw do wyróżnienia dwóch form udostępnienia danych osobowych, a więc nie ma podstaw również do wyodrębniania kategorii odbiorców danych ze względu na przepisy art. 29 ustawy. Podsumowując powyższe uwagi, pojęciem „odbiorcy danych” są objęci administratorzy danych, którym dane zostały udostępnione, bez względu na ich charakter prawny oraz podstawę prawną udostępnienia.

96

96. Państwo trzecie. Ustawa w art. 7 pkt 7 zawiera definicję „państwa trzeciego”, którym jest państwo nienależące do EOG. Przepis ten został wprowadzony do polskiej ustawy na mocy ustawy zmieniającej z 22.1.2004 r. Jest on konsekwencją przystąpienia RP do Unii Europejskiej i przyjęcia, że w ramach państw należących do EOG (a więc państw członkowskich Unii Europejskiej oraz państw członkowskich Europejskiego Stowarzyszenia Wolnego Handlu – European Free Trade Association – EFTA) doszło do harmonizacji przepisów dotyczących ochrony danych osobowych przez implementację do krajowych porządków prawnych postanowień dyrektywy 95/46/WE. W przypadku podmiotu mającego siedzibę w „państwie trzecim” przepisy polskiej ustawy znajdą zastosowanie w przypadku przetwarzania danych za pomocą środków technicznych zlokalizowanych na terytorium RP (por. uwagi do art. 3 OchrDanOsU). Status „państwa trzeciego” w rozumieniu przepisów komentowanej ustawy powoduje również stosowanie szczególnych obowiązków w zakresie ustanowienia przedstawiciela (art. 31a OchrDanOsU) oraz przekazywania do tych państw danych osobowych (art. 47–48 OchrDanOsU).

Zapraszamy do zakupu pełnej wersji książki

Przypisy

A. Tekst ustawy

[1] Tekst jednolity ogłoszono dnia 6.07.2002 r.

[2] Odnośnik dodany ustawą z dnia 24.08.2007 r. (Dz.U. Nr 176, poz. 1238), która wchodzi w życie 10.10.2007 r. Treść odnośnika publikujemy na końcu ustawy.

[3] Art. 2 ust. 2 w brzmieniu ustawy z dnia 22.01.2004 r. (Dz.U. Nr 33, poz. 285), która wchodzi w życie z dniem uzyskania przez RP członkostwa w Unii Europejskiej.

[4] Art. 3 w brzmieniu ustawy z dnia 22.01.2004 r. (Dz.U. Nr 33, poz. 285), która wchodzi w życie z dniem uzyskania przez RP członkostwa w Unii Europejskiej.

[5] Art. 3a dodany ustawą z dnia 22.01.2004 r. (Dz.U. Nr 33, poz. 285), która wchodzi w życie z dniem uzyskania przez RP członkostwa w Unii Europejskiej.

[6] Art. 7 zmieniony ustawą z dnia 22.01.2004 r. (Dz.U. Nr 33, poz. 285), która wchodzi w życie z dniem uzyskania przez RP członkostwa w Unii Europejskiej; pkt 5 w brzmieniu ustawy z dnia 29.10.2010 r. (Dz.U. Nr 229, poz. 1497), która wchodzi w życie 7.03.2011 r.