NSA zgadza się z Prezesem UODO: wypytywanie pasażera autobusu o nazwisko to przetwarzanie danych

Sprawę zainicjowała skarga pasażera autobusu na to, że kierowca zażądał od niego podania na głos imienia i nazwiska. Nie wystarczyło mu pokazanie elektronicznego biletu. W ten sposób dane pasażera poznały inne osoby w autobusie, a nie było do tego podstaw.

Prezes UODO badał sprawę i stwierdził, że przewoźnik autobusowy zbierał dane osobowe pasażerów, sprzedając im przez internet bilety. Kierowca potem sprawdzał dane pasażera z tym spisem. PUODO udzielił spółce upomnienia, że taki sposób postępowania nie jest właściwy i narusza przepisy o RODO. A konkretnie – jego art. 5 ust. 1 lit. f i art. 6 ust 1 lit. b.

Spółka zaskarżyła tę decyzję do WSA i wygrała: sąd uchylił decyzję PUODO, uznając, że ten nie miał podstaw do interwencji, bo podawanie imienia i nazwiska przy zakupie biletu, a potem przedstawianie się na głos w autobusie nie jest przetwarzaniem danych osobowych w rozumieniu RODO.

WSA stwierdził, że „przywołano zdarzenie, które nie dotyczyło publicznego ujawnienia określonego zbioru danych osobowych (za taki można by uznać listę pasażerów dla określonego kursu), lecz wykorzystania imienia i nazwiska konkretnego pasażera dla identyfikacji osoby, uprawnionej do przejazdu (nabywcy biletu). […] Przetwarzanie danych w tym przypadku (ich ewentualne ujawnienie) nie jest objęte regułami RODO, determinującymi ramy kompetencji do rozstrzygania spraw w trybie administracyjnym. […] Niewłaściwość organu (bądź oczywisty brak interesu prawnego danego Wnioskodawcy), stanowi przesłankę odmowy wszczęcia postępowania”.

Jeśli zatem pasażer uważa, że przedstawianie się na głos w autobusie narusza jego prawo do prywatności, może wytoczyć przewoźnikowi sprawę cywilną – PUODO tu jednak interweniować nie może.

Prezes UODO z taką argumentacją się nie zgodził. W skardze kasacyjnej stwierdził, że zarówno RODO, jak i ustawa o ochronie danych osobowych stanowią o tym, że postępowanie o naruszenie danych osobowych prowadzi właśnie on jako organ nadzorczy ds. ochrony danych. Zatem PUODO miał nie tylko prawo, ale i obowiązek zająć się skargą pasażera. I obowiązku tego dopełnił. W sprawie tej nie ma też znaczenia, że dane osobowe były przetwarzane w sposób niezautomatyzowany – przez kierowcę. Zostały przetworzone przez niego i ujawnione nieupoważnionym osobom.

NSA zgodził się tu z PUODO: wykładnia przepisów o ochronie danych osobowych, jaką zastosował WSA, jest błędna. Imię i nazwisko to dane osobowe, które identyfikują człowieka, a we wskazanym przypadku były przetwarzane w ramach zbioru danych. Spółka (administrator danych) stworzyła go, pobierając dane od klientów przy zakupie internetowym biletów. Jeśli kierowca sprawdzał je, korzystając z tego zbioru, to jako przedstawiciel administratora przetwarzał je i ujawnił. W konsekwencji legalność takiego udostępnienia powinna zostać oceniona przez Prezesa UODO, w związku z otrzymaną przez niego skargą.

WSA: sygn. akt II SA/Wa 1801/20

III OSK 6134/21 z dnia 11 lutego 2025 r.

ZSPR.440.941.2019