GI-DEC-DS-216/02
2007-05-04
Warszawa, dnia 5 grudnia 2002 r.
(dotyczy udostępnienia przez spółkę danych osobowych rodziców uczestników obozu młodzieżowego)
DECYZJA
Na podstawie art. 104 § l ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) oraz art. 12 pkt 2 w związku z art. 23 ust. 1 pkt 5 i art. 29 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tj. Dz. U. z 2002 r. Nr 101, poz. 926), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku Skarżącego, dotyczącego nakazania Spółce udostępnienia Skarżącemu danych osobowych rodziców uczestników obozu młodzieżowego,
odmawiam uwzględnienia wniosku.
UZASADNIENIE
Do Generalnego Inspektora Ochrony Danych Osobowych wpłynął wniosek Skarżącego, który zwrócił się o nakazanie Spółce udostępnienia Skarżącemu danych osobowych rodziców osób (uczestników obozu młodzieżowego), które zostały poszkodowane w wypadku w dniu 14 lipca 2002 r.
Jak wynika z treści wniosku, w dniu 14 lipca 2002 r., miał miejsce wypadek komunikacyjny autobusu, którym jechali uczestnicy wycieczki. W ww. wypadku zginęła jedna z córek, a poważnie ranna została druga córka Skarżącego. Ponadto, w wypadku zginęły cztery inne osoby.
Skarżący wystąpił do Spółki, z wnioskiem o udostępnienie danych ze zbioru danych osobowych rodzin poszkodowanych w wypadku, w celu utworzenia stowarzyszenia rodzin ofiar wypadku. Jak wynika z treści przedmiotowego wniosku (kopia w aktach sprawy), Skarżący, powołując się na art. 29 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tj. Dz. U. z 2002 r. Nr 101, poz. 926), zwanej dalej ustawą, zażądał udostępnienia mu informacji w zakresie adresów, numerów telefonów rodzin osób poszkodowanych w ww. wypadku autobusu.
Na wniosek Skarżącego ww. Spółka nie udzieliła odpowiedzi.
Generalny Inspektor Ochrony Danych Osobowych, w toku przeprowadzonego w niniejszej sprawie postępowania wyjaśniającego, poinformował Spółkę o skardze wniesionej przez Skarżącego do Generalnego Inspektora oraz odebrał wyjaśnienia złożone przez ten podmiot w sprawie.
Z wyjaśnień złożonych przez członka zarządu, Zastępcę Dyrektora Spółki wynika, że podmiot ten nie udostępnił Skarżącemu danych osobowych, o które wnioskował, ze względu na brak zgody osób, których dane dotyczą w zakresie udostępniania ich danych osobom trzecim. W wyjaśnieniach wskazano w szczególności na przesłankę wynikającą z art. 29 ust. 2 ustawy, w myśl którego dane osobowe, z wyłączeniem danych szczególnie chronionych, mogą być udostępnione, jeżeli ich udostępnienie nie naruszy praw i wolności osób, których dane dotyczą.
Po przeanalizowaniu powyższego, Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:
Wyjaśnić należy, że stosownie do przepisu art. 3 ust. 1 ustawy, ustawę stosuje się do organów państwowych oraz samorządu terytorialnego, a także do innych państwowych i komunalnych jednostek organizacyjnych oraz podmiotów niepaństwowych realizujących zadania publiczne, a przez przetwarzanie danych - stosownie do definicji z art. 7 pkt 2 ustawy – rozumieć należy jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Zgodnie z art. 29 ustawy, w przypadku udostępniania danych osobowych w celach innych niż włączenie do zbioru, administrator danych, o którym mowa w art. 3 ust. 1, udostępnia posiadane w zbiorze dane osobom lub podmiotom uprawnionym do ich otrzymania na mocy przepisów prawa. Dane osobowe, z wyłączeniem danych, o których mowa w art. 27 ust. 1, mogą być także udostępnione w celach innych niż włączenie do zbioru, innym osobom i podmiotom niż wymienione w ust. 1, jeżeli w sposób wiarygodny uzasadnią potrzebę posiadania tych danych, a ich udostępnienie nie naruszy praw i wolności osób, których dane dotyczą (ust. 2).
W analizowanym stanie faktycznym, podmiot, do którego wystąpił Skarżący, jest spółką prawa handlowego i dlatego nie można zakwalifikować go do kategorii podmiotów wymienionych w art. 3 ust. 1 ustawy. Dlatego też konieczne jest zastosowanie w niniejszej sprawie ogólnych zasad odnoszących się do wszelkich sposobów przetwarzania danych osobowych, a więc ustanowionych w art. 23 ust. 1 ustawy, a nie przepisu art. 29 ustawy regulującego jedynie przypadki udostępniania danych osobowych w celach innych niż włączenie do zbioru przez podmioty wymienione w art. 3 ust. 1 ustawy.
Zgodnie natomiast z brzmieniem art. 23 ust. 1 ustawy, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba, że chodzi o usunięcie dotyczących jej danych, 2) zezwalają na to przepisy prawa, 3) jest konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia koniecznych działań przed zawarciem umowy, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest niezbędne do wypełnienia prawnie usprawiedliwionych celów administratorów danych, o których mowa w art. 3 ust. 2, lub osób trzecich, którym są przekazywane te dane – a przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczą.
Wyjaśnić należy, iż każda z powyżej wskazanych przesłanek przetwarzania danych osobowych ma charakter autonomiczny i niezależny, a zatem przesłanki te co do zasady są równoprawne, dlatego też jedynie spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Jednym z podstawowych obowiązków administratora danych jest bowiem wykazanie co najmniej jednej z materialnych przesłanek legalizujących proces przetwarzania (m.in. udostępnienia) danych osobowych, określonych w art. 23 ust. 1 pkt 1-5 ustawy. Równoprawność wyżej wskazanych przesłanek legalizujących proces przetwarzania danych osobowych odnosi się do wszelkich form przetwarzania danych, zdefiniowanych w art. 7 pkt 2 ustawy, a w szczególności ich udostępniania. Jednakże, w niniejszej sprawie, Spółka nie posiada żadnej z przesłanek określonych w art. 23 ust. 1 ustawy, która stanowiłaby podstawę prawną dla udostępnienia Skarżącemu danych osobowych, o które wystąpił. W szczególności dla uzasadnienia legalności udostępnienia Skarżącemu danych ze zbioru Spółki podmiot ten powinien dysponować zgodą osób, których dane osobowe dotyczą, przepisem prawa sankcjonującym udostępnienie tych danych bez zgody osób, których dotyczą lub inną z przesłanek określonych dyspozycją art. 23 ust. 1 ustawy. Jak wskazuje materiał dowodowy zgromadzony w toku postępowania wyjaśniającego, Spółka nie posiada upoważnienia członków rodzin uczestników obozu do udostępnienia ich danych osobowych osobom trzecim. Brak również przepisu prawa, który stanowiłby podstawę prawną udostępnienia tych danych osobowych Skarżącemu. Ponadto, do analizowanego stanu faktycznego nie znajduje zastosowania przepis art. 23 ust. 1 pkt 3 ustawy – udostępnienie przedmiotowych danych nie jest bowiem konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia koniecznych działań przed zawarciem umowy, jak również przepis art. 23 ust. 1 pkt 4 ustawy – udostępnienie przedmiotowych danych nie jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego.
Generalny Inspektor analizując sprawę wziął również pod uwagę bardzo istotny jej aspekt, jakim jest dobro rodzin osób poszkodowanych. W tej sprawie wysoce prawdopodobne jest bowiem, że udostępnienie Skarżącemu danych osobowych rodzin osób poszkodowanych w wypadku mogłoby spowodować przywrócenie rodzinom tragicznych wspomnień związanych z wypadkiem. Generalny Inspektor, nie podważając tragizmu przeżyć Skarżącego, ocenił zatem, że nakazanie udostępnienia przedmiotowych danych osobowych spowodować mogłoby naruszenie ochrony praw i wolności osób, których dane dotyczą. Wydanie takiego nakazu nastąpiłoby więc niezgodnie z prawem. Działanie takie jest niedopuszczalne i spowodowałoby wadliwość decyzji Generalnego Inspektora Ochrony Danych Osobowych. Ze względu na przytoczone powyżej argumenty udostępnienie Skarżącemu danych członków rodzin uczestników obozu nie może również nastąpić na podstawie art. 23 ust. 1 pkt 5 ustawy.
W związku z powyższym, po dokonaniu analizy stanu faktycznego i prawnego sprawy Generalny Inspektor Ochrony Danych Osobowych nie może uwzględnić wniosku Skarżącego i nakazać Spółce udostępnienia Skarżącemu przedmiotowych danych osobowych.
Jednocześnie zauważyć należy, że wystąpienie z wnioskiem do administratora danych osobowych nie jest jedynym możliwym sposobem kontaktu z rodzicami osób, które zostały poszkodowane w wypadku. Skarżący może bowiem spróbować nawiązać z nimi kontakt np. poprzez zamieszczenie ogłoszenia prasowego, czy założenie strony internetowej. Taka forma nawiązania kontaktu gwarantuje, że do Skarżącego zgłoszą się wyłącznie te osoby, które będą zainteresowane podjęciem wspólnych działań m.in. w celu zawiązania stowarzyszenia.
W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak we wstępie.
