O sprawie było już głośno w czerwcu br., kiedy Generalny Inspektor Ochrony Danych Osobowych wydał decyzję, w której odmówił uwzględnienia wniosku skarżącego o usunięcie podpisu pod zdjęciem zamieszczonym w serwisie społecznościowym Nasza-klasa.pl oraz ukaranie portalu za niedopełnienie obowiązku usunięcia bezprawnych treści ze strony. Skarżący złożył wniosek o ponowne rozpatrzenie sprawy. GIODO uchylił wcześniej wydaną przez siebie decyzję i umorzył postępowanie jako bezprzedmiotowe. Zdaniem GIODO zdjęcie oraz podpis obejmujący imię i nazwisko pod zdjęciem nie stanowią danych osobowych, a tym samym ustawa o ochronie danych osobowych nie ma do nich zastosowania.

Analizując treść obu rozstrzygnięć, nie można nie odnieść wrażenia, że pracownicy Biura GIODO nie do końca przeanalizowali przepisy, na których bazują ich rozstrzygnięcia. Co więcej, wydaje się, że sprawę potraktowali dość pobieżnie, czego wynikiem są decyzje, których uzasadnienia budzą dodatkowe wątpliwości.

„To tylko przechowywanie danych”

Po zapoznaniu się z całością zebranego w tej sprawie materiału dowodowego GIODO wydał 27 maja 2008 roku decyzję w związku ze skargą osoby, której zdjęcie zostało bez jej zgody umieszczone w serwisie Nasza-klasa.pl (była to fotografia uczniów jednej ze szkół podstawowych; jedną z osób na zdjęciu był właśnie skarżący). Inny użytkownik serwisu opublikował na forum imiona i nazwiska osób umieszczonych na fotografii, wskazując położenie każdej z osób na ww. zdjęciu. Skarżący żądał usunięcia jego imienia i nazwiska pod zdjęciem. Wielokrotnie kontaktował się z serwisem Nasza-klasa.pl za pomocą formularza kontaktowego. W końcu sprawa trafiła do GIODO, który stwierdził, że nie ma podstaw do uwzględnienia wniosku.

GIODO w uzasadnieniu decyzji przyjął, że „informacje o imieniu i nazwisku skarżącego oraz informacje o szkole i klasie, do której uczęszczał, w połączeniu z jego wizerunkiem umożliwiają identyfikację skarżącego, a tym samym są danymi osobowymi [...] Ponadto administratorem danych osobowych skarżącego [...] jest Nasza-klasa sp. z o.o. [...] Przez administratora danych osobowych rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych”. GIODO przyjął zatem, że serwis społecznościowy jest administratorem ww. danych osobowych, żeby następnie uznać, iż Nasza-klasa.pl „świadczy na rzecz zarejestrowanych użytkowników portalu [...] usługę drogą elektroniczną, która polega na przechowywaniu danych na rzecz zarejestrowanych użytkowników w systemie teleinformatycznym”. Albo więc przetwarza dane jako administrator, albo jedynie je przechowuje. Widocznie GIODO nie rozgranicza tutaj tych dwóch pojęć, starając się łączyć administratora danych z podmiotem przetwarzającym dane na zlecenie administratora. Skoro Nasza-klasa sp. z o.o. przechowuje jedynie dane umieszczone w serwisie przez użytkowników, to nie ona, ale ci użytkownicy decydują o celach i środkach przetwarzania ww. danych i użytkownicy są administratorami danych w tym zakresie (pomijam tutaj kwestię danych osobowych samych użytkowników, tutaj bez wątpliwości administratorem ich danych jest Nasza-klasa.pl).

Tym samym odpowiedzialność serwisu w tym zakresie ogranicza się zgodnie z ustawą o świadczeniu usług drogą elektroniczną do przypadków, kiedy portal nie wie o bezprawnym charakterze przechowywanych danych lub związanej z nimi działalności, a w razie otrzymania urzędowego zawiadomienia lub uzyskania wiarygodnej informacji o bezprawnym charakterze danych lub związanej z nimi działalności niezwłocznie uniemożliwi dostęp do tych danych. Pierwsze miało miejsce (wiarygodne zawiadomienie o bezprawnym charakterze danych – wielokrotne próby kontaktu skarżącego z serwisem), a drugie już nie (serwis nie uniemożliwił dostępu do tych danych). Oznacza to, że w tych okolicznościach serwis Nasza-klasa.pl powinien ponieść stosowną odpowiedzialność. Jednakże GIODO stwierdził, że nie ma podstaw do wydania decyzji nakazującej usunięcie danych, nie istnieją bowiem podstawy do zakwestionowania legalności przetwarzania danych.

„To nawet nie są dane osobowe”

Decyzja GIODO została „zaskarżona” (przepisy zezwalają jedynie na złożenie wniosku o ponowne rozpatrzenie sprawy). GIODO 5 września 2008 roku (sygn. akt DOLiS/DEC 515/08/22858,22857 wraz z uzasadnieniem) uchylił, co prawda, swoją wcześniejszą decyzję (opisaną i skomentowaną powyżej), ale jednocześnie umorzył postępowanie, uznając je za bezprzedmiotowe. Ponowna analiza przedstawionego stanu faktycznego doprowadziła GIODO do wniosku, że ww. informacje – zdjęcie, imię, nazwisko, szkoła i jej adres, lata, w których dane osoby do niej uczęszczały, i informacje, w jakiej klasie – nie są danymi osobowymi. GIODO powołał się tutaj na klauzulę z art. 6 ust. 3 ustawy o ochronie danych osobowych, która mówi, że informacji nie uważa się za umożliwiającą określenie tożsamości osób, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań. W związku z tym, że nie ma przedmiotu postępowania, tj. danych osobowych, sprawę zdaniem GIODO należało umorzyć. Według mnie GIODO się myli.

Niewątpliwie danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby, a nie tylko takie informacje, które same służą identyfikacji. Sama pojedyncza informacja jako taka w zasadzie nigdy (z wyjątkiem np. zdjęcia) nie pozwala na określenie tożsamości osoby, której dotyczy. Za osobę możliwą do zidentyfikowania przyjmuje się osobę, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jego cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Czynnikami określającymi cechy osoby mogą być: wygląd zewnętrzny, np. wizerunek na zdjęciu (jako cecha fizyczna), status majątkowy (cecha ekonomiczna), pochodzenie, poglądy polityczne, przekonania religijne i inne (jako cechy umysłowe, kulturowe i społeczne). Jest to katalog otwarty, który nie wyczerpuje wszystkich rodzajów informacji dostępnych o danej osobie. Oznacza to, że mając pewne informacje, które same nie określają tożsamości osoby, mamy otwartą drogę dla ustalenia tożsamości osoby, z którą te informacje są związane. Taki pogląd jest szeroko reprezentowany w doktrynie.

Zdjęcie jest szczególnym przykładem informacji, która często umożliwia sama w sobie identyfikację danej osoby. Jednakże w niniejszym wypadku obok zdjęcia skarżącego użytkownik serwisu zamieścił jeszcze inne, dodatkowe informacje, które umożliwiają identyfikację osoby umieszczonej na przedmiotowej fotografii. Całkowicie bez znaczenia jest fakt, że jest to zdjęcie z dalekiej przeszłości. Informacja może odnosić się do tego, co istniało, istnieje lub co może istnieć. Tym samym osoba umieszczona na zdjęciu mogła zostać zidentyfikowana już na podstawie ww. informacji. Ktoś, kto chciałby się upewnić lub zebrać więcej informacji na temat tejże osoby, mógłby to zrobić raczej bez zbędnego trudu. Obecnie istnieje wiele źródeł informacji oraz dostępne są różnego rodzaju narzędzia, dzięki którym z łatwością potrafimy na podstawie takich jak wymienione dane zidentyfikować daną osobę.

„Potrzeba niewspółmiernych kosztów, czasu i działań”

Nie ulega wątpliwości, że dane zamieszczone w serwisie Nasza-klasa.pl (imię, nazwisko, data rozpoczęcia i zakończenia nauki w szkole podstawowej oraz lokalizacja szkoły) są danymi dotyczącymi zidentyfikowanej osoby. Należy wziąć pod uwagę, że na podstawie dat rozpoczęcia i zakończenia nauki można określić niemal ze 100% dokładnością wiek osoby, a z uwagi na fakt, że zazwyczaj uczęszcza się do szkoły podstawowej najbliższej miejscu zamieszkania, także byłe, a niekiedy i obecne jej miejsce zamieszkania. Te dane w połączeniu z wiedzą o nazwiskach szkolnych kolegów, koleżanek danej osoby lub jej wychowawcy dają naprawdę duży zasób wiedzy o osobie fizycznej. Argument GIODO, że ustalenie tożsamości skarżącego wymagałoby „zaangażowania niewspółmiernych kosztów, czasu i działań”, jest więc bezpodstawny.

----
Autor artykułu Tomasz Olech jest prawnikiem w Zespole prawa własności intelektualnej oraz obszaru prawnego IT Kancelarii Prawnej Renata Urowska i Wspólnicy sp. k. z Poznania.