ZSPU.440.705.2018

 Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), art. 7 ust. 1 w zw. z 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm.) oraz art. 6 ust. 1 lit. f) i art. 57 ust. 1 lit. a) i lit. f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1 i Dz.U.UE.L.2018.127.2), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani M. B., zam.: […], na przetwarzanie przez Fundację […], jej danych osobowych publikowanych w serwisie […], Prezes Urzędu Ochrony Danych Osobowych

odmawia uwzględnienia wniosku.

Uzasadnienie

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pani M. B. […], zwanej dalej również Skarżącą, na przetwarzanie jej danych osobowych przez Fundację […], zwaną dalej również Fundacją.

Skarżąca sformułowała pod adresem Fundacji zarzut nieuprawnionego przetwarzania jej danych osobowych publikowanych w prowadzonym przez Fundację serwisie […] (poprzednio: […]) wskazując cyt.: „(…) przetwarzanie jest niezgodne z prawem, gdyż moje interesy lub podstawowe prawa i wolności mają nadrzędny charakter wobec interesów realizowanych przez administratora (…)”.

Skarżąca zarzuciła zarazem Fundacji, że prezentowane przez nią w serwisie […] (wcześniej: […]) informacje na jej temat wskazują na istnienie nieprawdziwych powiązań organizacyjnoprawnych pomiędzy podmiotami, w organach których sprawuje określone funkcje. Jak bowiem wskazała Skarżąca cyt.: „(…) Fundacja (…) zamieściła na stronach internetowych tego portalu graf obrazujący moje powiązania jako Członka Zarządu Spółki […] i członka Zarządu stowarzyszenia […] (…) z osobami pełniącymi funkcje w Zarządzie Spółki […] (…)”. Tymczasem – jak zaznaczyła Skarżąca – cyt.: „(…) Każdy z tych podmiotów prowadzi działalność gospodarczą niezależnie od interesów drugiego z nich i interesów osób zarządzających drugim z tych podmiotów. Podmioty te nie stanowią spółek powiązanych w rozumieniu (…) Kodeksu spółek handlowych. Nie działają one także w ramach jednej grupy kapitałowej (…) żaden z tych podmiotów nie posiada udziału w kapitale drugiego (…) Skoro nie ma żadnych powiązań kapitałowych (…) nie ma żadnych powodów dla których na stronach internetowych portalu […] miałyby być zamieszczone informacje nt. powiązań pomiędzy tymi podmiotami  (…)”.

W związku z powyższym zarzutem Skarżąca wniosła o cyt.: „(…) nakazanie administratorowi Fundacji […] usunięcie uchybień w procesie przetwarzania danych osobowych poprzez usunięcie moich danych ze stron internetowych portalu […] przetwarzanych niezgodnie z prawem (…)”.

W toku postępowania wyjaśniającego przeprowadzonego w przedmiotowej sprawie Prezes Urzędu Ochrony Danych Osobowych, zwany dalej również Prezesem UODO, ustalił, co następuje.

1. Fundacja jest podmiotem, którego celem działania - wedle informacji zawartych w Dziale 3 dotyczącego jej Krajowego Rejestru Sądowego (nr KRS […]) jest cyt.: „wspomaganie rozwoju demokracji poprzez upowszechnianie praw obywatela w zakresie dostępu do informacji publicznej”. Z kolei wedle zapisów Statutu Fundacji - opublikowanego przez nią na jej stronie internetowej – […]: „(…) Fundacja przyjmuje za swoje zadanie wspomaganie rozwoju demokracji poprzez upowszechnianie praw obywatela w zakresie dostępu do informacji publicznej (…)” (§ 5); „(…) Fundacja realizuje swoje cele poprzez: (…) budowanie narzędzi informatycznych, programistycznych i technologicznych, wspierających zaangażowanie obywateli w sprawy publiczne (…) podejmowanie działań w zakresie ustanawiania i promowania standardów i dobrych praktyk w zakresie dostępu i ponownego wykorzystania informacji z sektora publicznego (…)” (§ 6 pkt 4 i 5).
2. Fundacja przetwarza dane osobowe Skarżącej jako aktualnego: członka organu reprezentacji (wiceprezesa zarządu) stowarzyszenia […] (nr KRS […]), członka organu nadzoru […] Sp. z o.o. (nr KRS […]) oraz członka organu reprezentacji (członka zarządu) […] Sp. z o.o. (nr KRS […]; podmiot poprzednio funkcjonujący pod nazwą […] Sp. z o.o. – wydruk z KRS w aktach sprawy). Ponadto Fundacja przetwarza dane osobowe Skarżącej dotyczące przeszłego (w okresie […]) jej uczestnictwa w charakterze wspólnika w […] Sp. z o.o. (nr KRS […]). Przedmiotowe dane osobowe zostały przez Fundację pozyskane cyt.: „(…) ze źródła publicznie dostępnego tj. ze strony internetowej Ministra Sprawiedliwości prowadzonej dla Krajowego Rejestru Sądowego (…)” (pismo Fundacji z dnia […] grudnia 2018 r. – w aktach sprawy). Zakres pozyskanych przez Fundację danych osobowych Skarżącej objął następujące, ujawnione w Krajowym Rejestrze Sądowym, zwanym dalej KRS, informacje na jej temat: imię i nazwisko, numer ewidencyjny PESEL, funkcje pełnione w organach podmiotów wpisanych do KRS oraz informacje na temat liczby i wartości udziałów w tych podmiotach (jednym z nich) - i był to zakres danych tożsamy z zakresem danych osobowych Skarżącej ujawnionych w KRS. Fundacja do chwili obecnej przetwarza dane osobowe Skarżącej w ww. zakresie cyt.: „(…) w celu udostępniania danych osobowych w serwisach internetowych prowadzonych przez Fundację, w tym dla wspierania jawności i pewności obrotu gospodarczego (…) Aktualnie dane Skarżącej są przetwarzane w ramach serwisu […] (dawniej w serwisie […]) w zbiorze danych serwisu […] (…)” (pismo Fundacji z dnia […] grudnia 2018 r., analogicznie wyjaśnienia zawarła Fundacja w piśmie z dnia […] marca 2019 r. - pismo w aktach sprawy). Przetwarzane przez Fundację dane osobowe Skarżącej, służące funkcjonowaniu serwisu […] (wcześniej: […]) odpowiadają swoją treścią danym obecnie ujawnianym w KRS – zarówno w obszarze informacji o funkcjach pełnionych aktualnie w organach ww. podmiotów, jak również w o przeszłym uczestnictwie w jednym z ww. podmiotów w charakterze wspólnika (wydruki z KRS – w aktach sprawy).
3. Fundacja przetwarza numer PESEL Skarżącej w celach identyfikacyjnych – numer
   ten podlega cyt.: „(…) automatycznej analizie (…) w celu uzyskania informacji o roku urodzenia osób, których dane są przetwarzane, co pozwala administratorowi na wprowadzenie funkcjonalności wyświetlania roku urodzenia osób o tych samych imionach i nazwiskach (dla ich rozróżnienia od innych, tak samo nazywających się osób występujących w Krajowym Rejestrze Sądowym (…)” (pismo Fundacji z dnia […] sierpnia 2018 r. skierowane do Skarżącej drogą elektroniczną – wydruk pisma w aktach sprawy (…)”. Również wedle zapisów zawartych w dokumencie p.n. „Polityka prywatności” publikowanym przez Fundację na jej stronie internetowej – […] cyt.: „(…) Profilowanie (…) polega na (…) automatycznej analizie numeru PESEL, w celu uzyskania informacji o roku urodzenia osób, których dane są przetwarzane, co pozwala Administratorowi na wprowadzenie funkcjonalności wyświetlania roku urodzenia osób o tych samych imionach i nazwiskach (dla ich rozróżnienia od innych, takiej samo nazywających się osób, występujących w Krajowym Rejestrze Sądowym (…) ([…]).
4. Fundacja publikuje w prowadzonym przez nią serwisie internetowym […] (wcześniej […]) dane osobowe Skarżącej w zakresie obejmującym jej imię, nazwisko, informacje o funkcjach pełnionych aktualnie w organach ww. podmiotów, informację o liczbie i wartości udziałów posiadanych w przeszłości w jednym z nich (w zakresie tej informacji jednoznaczne wskazując na jej historycznych charakter – Fundacja podaje bowiem precyzyjnie przedział czasowy – […] , w którym Skarżąca występowała w charakterze wspólnika […] Sp. z o. o.) oraz informację cyt.: „(…) w zakresie płci (poprzez ikonę graficzną) (…)” (pismo Fundacji z dnia […] grudnia 2018 r. – w aktach sprawy).
5. W toku postępowania wyjaśniającego w przedmiotowej sprawie Fundacja wskazała w szczególności cyt.: „(…) Fundacja (…) jest organizacją działającą na rzecz rozwoju demokracji, otwartej i przejrzystej władzy publicznej oraz zaangażowania obywatelskiego. Korzystając z uprawnień gwarantowanych w ustawie z dnia 6 września 2001 roku o dostępie do informacji publicznej (…) oraz ustawie z dnia 25 lutego 2016 r. o ponownym wykorzystywaniu informacji sektora publicznego (…) Fundacja gromadzi zbiory danych powszechnie dostępnych i udostępnia je obywatelom w ramach serwisów internetowych prowadzonych przez Fundację. Fundacja w zakresie swojej statutowej działalności wspiera rozwój demokracji poprzez upowszechnienie praw obywatela w zakresie dostępu do informacji publicznej i tworzy rozwiązania informatyczne, które pozwalają obywatelom w łatwiejszy sposób dotrzeć do danych udostępnionych przez państwo (…)” oraz cyt.: „(…) Realizowanie przez Fundację jej prawnie uzasadnionego interesu jako administratora danych osobowych znajduje swoje gospodarcze i prawne uzasadnienie w kontekście statutowej działalności organizacji (…)” (pisma Fundacji z dnia […] grudnia 2018 r. i z dnia […] marca 2019 r.).
6. Odnosząc się do zarzutów Skarżącej Fundacja podkreśliła cyt.: „(…) Fundacja nie prezentuje, ani nie prezentowała na portalu […] nieprawdziwych informacji na temat powiązań pomiędzy Stowarzyszeniem […] a spółką […] Sp. z o.o. (obecna nazwa […] Sp. z o.o.) (…) Fundacja przetwarza dane osobowe Skarżącej pobrane z Krajowego Rejestru Sądowego w zakresie dotyczącym podmiotów podlegających wpisowi do KRS, w których strukturze została ujawniona Skarżąca. Dane prezentowane przez Fundację na portalu […] są odzwierciedleniem danych dotyczących Skarżącej ujawnionych w KRS (…) nie można zatem zgodzić się z rzekomą możliwością wprowadzania w błąd kogokolwiek, co do zakresu aktywności zawodowej Skarżącej jak również negatywnego wpływu na postrzeganie Skarżącej w środowisku. Fundacja prezentuje dane Skarżącej na portalu […] (…) również w formie graficznej (graf). W ramach grafu Fundacja przedstawia powiązania dotyczące osób i sprawowanych przez nie funkcji, w ramach podmiotów wpisanych do Krajowego Rejestru Sądowego. W przypadku gdy dana osoba (tak jak w przypadku Skarżącej) sprawuje funkcje w kilku podmiotach, wówczas graf obrazuje uczestnictwo danej osoby w każdym z tych podmiotów (…) Fundacja nie prezentuje na portalu […] informacji, iż Spółka […] Sp. z o.o., wcześniej […] Sp. z o. o. i Stowarzyszenie […] działają w ramach jednej grupy kapitałowej, bądź prowadzą działalność tego samego rodzaju. Prezentowanie na portalu […] w ramach jednego grafu Spółki i Stowarzyszenia wynika z powiazań określonych osób z tymi podmiotami (chodzi o osoby pełniące funkcje jednocześnie w Spółce i w Stowarzyszeniu, tak jak w przypadku Skarżącej (…)” (pismo Fundacji z dnia […] marca 2019 r.– w aktach sprawy).
7. W piśmie z dnia […] sierpnia 2018 r. zatytułowanym jako „Wniosek o usunięcie danych osobowych ze stron internetowych portalu […]” i zaadresowanym do […] Sp. z o.o. (które Fundacja uznała za adresowane w istocie do niej samej; kopia pisma w aktach sprawy) Skarżąca wskazała cyt.: „(…) wnoszę sprzeciw wobec przetwarzania przez Państwa firmę moich danych osobowych, w tym zamieszczania ich na stronach internetowych Państwa portalu […] w powiązaniu ze Spółką […] Spółka z o.o. […] i stowarzyszeniem […] (…) Państwa firma rozpowszechnia nieprawdziwe informacje na temat powiązań Spółki […] Sp. z o.o. i ww. stowarzyszenia. Takie powiązania nie istnieją ponieważ oba te podmioty nie działają w ramach jednej grupy kapitałowej, ani nie prowadzą tego samego rodzaju działalności (…) Rozpowszechnianie powyższych informacji przez Państwa firmę wprowadza w błąd moich współpracowników i klientów co do zakresu mojej aktywności zawodowej i źle wpływa na postrzeganie mojej osoby w środowisku (…) wnoszę o niezwłoczne usunięcie moich danych osobowych ze stron internetowych portalu […]”.
8. Fundacja odmówiła uwzględnienia ww. żądania Skarżącej (wydruk pisma Fundacji z dnia […] sierpnia 2018 r. skierowanego do Skarżącej drogą elektroniczną i stanowiącego odpowiedź na jej wniosek z dnia […] sierpnia 2018 r. – w aktach sprawy). Fundacja uzasadniła tę odmowę w sposób analogiczny do tego, w jaki uczyniła to w toku postępowania wyjaśniającego przed Prezesem Urzędu Ochrony Danych Osobowych w niniejszej sprawie. Fundacja podniosła w szczególności cyt.: „(…) Fundacja (…) uznała, że w sprawie nie zaszła szczególna sytuacja, która mogłaby skutkować uwzględnieniem sprzeciwu Skarżącej, zaprzestaniem przetwarzania jej danych oraz (…) ich usunięciem (…) nadto, interesy, prawa czy wolności Skarżącej nie są w żadnym wymiarze zagrożone w związku z przetwarzaniem przez Fundację jej danych osobowych. Nie sposób zgodzić się z twierdzeniami Skarżącej zawartymi w skardze, iż przetwarzanie jej danych przez Fundację może mieć negatywny wpływ na prowadzoną przez Skarżącą w chwili obecnej działalność biznesową, a nawet rozwój kariery zawodowej Skarżącej w przyszłości. Fundacja uznaje te twierdzenia za pozbawione podstaw, sama Skarżąca nie podjęła nawet próby wytłumaczenia, na czym rzekomy negatywny wpływ miałby polegać (…)”.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych, zwany dalej również Prezesem UODO, zważył, co następuje.

Prezes UODO jest organem właściwym w sprawie ochrony danych osobowych i organem nadzorczym w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1 i Dz.U.UE.L.2018.127.2), zwanego dalej RODO (art. 34 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm.), zwanej dalej ustawą). Prezes UODO prowadzi postępowania w sprawie naruszenia przepisów o ochronie danych osobowych (art. 60 ustawy), przy czym w sprawach nieuregulowanych w ustawie, do postępowań administracyjnych przed Prezesem UODO, w szczególności unormowanych w rozdziale 7 ustawy – postępowań w sprawie naruszenia przepisów o ochronie danych osobowych, stosuje się ustawę z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), zwaną dalej również Kpa (art. 7 ust. 1 ustawy). Stosownie do art. 57 ust. 1 RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym (lit. f). Instrumentami realizacji zadań przewidzianych w art. 57 ust. 1 RODO są w szczególności określone w art. 58 ust. 2 RODO, uprawnienia naprawcze, w tym możliwość: nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia (art. 58 ust. 2 lit. c)), nakazania administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu (art. 58 ust. 2 lit. d)).

Art. 4 pkt 2 RODO definiuje przetwarzanie danych jako operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Zgodnie z art. 6 ust. 1 RODO, przetwarzanie danych (każda czynność mieszcząca się w tym pojęciu) jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Ustawa z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym (Dz. U. z 2018 r., poz. 986 ze zm.), zwana dalej ustawą o KRS, wprowadza w art. 8 zasadę jawności formalnej Krajowego Rejestru Sądowego, zwanego dalej Rejestrem. Powołany przepis stanowi wprost, że Rejestr jest jawny (ust. 1), że każdy ma prawo dostępu do danych zawartych w Rejestrze za pośrednictwem Centralnej Informacji (ust. 2) oraz, że każdy ma prawo otrzymać, również drogą elektroniczną, poświadczone odpisy, wyciągi, zaświadczenia i informacje z Rejestru (ust. 3). Art. 12 ust. 1 ww. ustawy statuuje generalną zasadę, iż dane zawarte w Rejestrze nie mogą być z niego usunięte (chyba że ustawa stanowi inaczej). Natomiast zgodnie z art. 13 ust. 1 omawianej ustawy, wpisy do Rejestru podlegają obowiązkowi ogłoszenia w Monitorze Sądowym i Gospodarczym (zwanym dalej Monitorem), chyba, że ustawa stanowi inaczej.

Imiona, nazwiska i numery PESEL osób fizycznych wchodzących w skład organów reprezentacji i organów nadzoru spółek z ograniczoną odpowiedzialnością, wspólników tych spółek (ze wskazaniem ilości i wartości przypadających im udziałów) oraz osób wchodzących w skład organów reprezentacji stowarzyszeń, podlegają wpisowi odpowiednio: do jawnego rejestru przedsiębiorców oraz do jawnego rejestru stowarzyszeń, innych organizacji społecznych i zawodowych, fundacji oraz samodzielnych publicznych zakładów opieki zdrowotnej na mocy: art. 35 pkt 1, art. 36 pkt 6, art. 38 pkt 8 lit. c), art. 39 pkt 1 i 2 i art. 49 ust. 1 i 2 ustawy o KRS.

Mając na uwadze, że Fundacja przetwarza tożsamy zakres informacji na temat Skarżącej z zakresem jej danych ujawnionych w KRS oznacza to, że przetwarza ona również (przy czym nie publikuje) nr PESEL Skarżącej. Wobec tego należy wskazać, że zgodnie z art. 15 ust. 2 ustawy z dnia 24 września 2010 r. o ewidencji ludności (Dz. U. z 2018 r., poz. 1382 ze zm.) numer ten jest jedenastocyfrowym symbolem numerycznym, jednoznacznie identyfikującym osobę fizyczną, zawierającym datę urodzenia, numer porządkowy, oznaczenie płci oraz liczbę kontrolną, przy czym data urodzenia zawarta jest w pierwszych sześciu cyfrach w następującej kolejności: dwie ostatnie cyfry roku urodzenia, miesiąc urodzenia wraz z zakodowanym stuleciem urodzenia oraz dzień urodzenia, kolejne cztery cyfry to numer porządkowy i płeć osoby (ostatnia cyfra numeru porządkowego zawiera oznaczenie płci: cyfrę parzystą, w tym "0", dla kobiet, a cyfrę nieparzystą dla mężczyzn), a ostatnia, jedenasta cyfra numeru PESEL jest liczbą kontrolną umożliwiającą elektroniczną kontrolę poprawności nadanego numeru identyfikacyjnego. Oznacza to, że każdy podmiot przetwarzający numer PESEL określonej osoby przetwarza tym samym również informację o dacie jej urodzenia (wieku) oraz płci.

Fundacja prowadzi działalność cyt.: „(…) na rzecz rozwoju demokracji, otwartej i przejrzystej władzy oraz zaangażowania obywatelskiego (…) Fundacja gromadzi zbiory danych powszechnie dostępnych i udostępnia je obywatelom w ramach serwisów internetowych prowadzonych przez Fundację. Fundacja w zakresie swojej statutowej działalności wspiera rozwój demokracji poprzez upowszechnienie praw obywatela w zakresie dostępu do informacji publicznej i tworzy rozwiązania informatyczne, które pozwalają obywatelom w łatwiejszy sposób dotrzeć do danych udostępnionych przez państwo (…)” (pismo Fundacji z dnia […] grudnia 2018 r. zawierające wyjaśnienia w przedmiotowej sprawie, analogiczne wyjaśnienia zawarte w korespondencji z dnia […] marca 2019 r.). W ramach realizacji powyższych celów Fundacja podejmuje działania polegające na częściowo odpłatnym, a częściowo nieodpłatnym udostępnianiu obywatelom w serwisie internetowym […] (poprzednio: […]) danych pochodzących z powszechnie dostępnych źródeł (KRS/Monitor). Tak określone cele i zadania Fundacji mają bez wątpienia prawne usprawiedliwiony charakter. Ich realizacja jest zarazem uwarunkowana przetwarzaniem danych osobowych ujawnionych w publicznie dostępnych rejestrach, w tym danych osobowych Skarżącej jako osoby pełniącej określone funkcje w podmiotach podlegających wpisowi do Rejestru. Brak zarazem podstaw do przyjęcia, że realizacja ww., prawnie uzasadnionego interesu administratora (Fundacji), polegającego na prowadzeniu działalności związanej z upowszechnianiem treści zawartych w KRS/Monitorze, musiała ustąpić wobec nadrzędnych w stosunku do niej interesów lub podstawowych praw i wolności Skarżącej, wymagających ochrony danych osobowych. Jak bowiem wskazano, przetwarzane przez Fundację w kwestionowany sposób dane osobowe Skarżącej, są danymi powszechnie dostępnymi. Jednocześnie zakres danych osobowych Skarżącej publikowanych w serwisie internetowym […] (wcześniej: […]) jest adekwatny (nie nadmierny) w kontekście realizowanego celu informacyjnego (dane te są w istocie publikowane w zakresie węższym w porównaniu do zakresu danych ujawnionych KRS - nie obejmują bowiem numeru PESEL), natomiast ich treść jest zbieżna z treścią danych ujawnionych w KRS. Prezes UODO nie znajduje podstaw, by zakwestionować legalność pozyskania i dalszego przetwarzania przez Fundację, w zbiorze utworzonym dla potrzeb funkcjonowania serwisu […] informacji o numerze PESEL – w celu umożliwienia jednoznacznego odróżnienia Skarżącej od innych osób o tych samych imionach i nazwisku. Jednocześnie raz jeszcze podkreślić należy, że numer ten nie jest przez Fundację publikowany w ww. serwisie internetowym. Co zaś tyczy się kwestii publikowania przez Fundację w ww. serwisie informacji o płci Skarżącej – jak ujęła to sama Fundacja cyt.: „(…) poprzez ikonę graficzną (…) ” wskazać należy, że informację tego rodzaju niosą za sobą już same dane Skarżącej w zakresie jej imienia.

Odnosząc się do kwestii publikowania przez Fundację tych danych osobowych Skarżącej, które dotyczą przeszłego występowania przez nią w charakterze wspólnika […] Sp. z o.o., podkreślić należy, że przeszłe uczestnictwo Skarżącej w ww. spółce w podanym charakterze pozostaje faktem, a informacje na temat tego rodzaju aktywności Skarżącej w szeroko rozumianym obrocie gospodarczym mogą nadal pozostawać w sferze publicznego zainteresowania. Z tego samego względu informacje te są nadal publikowane w KRS. Uwzględniając publiczny charakter ww. informacji (które – wobec nieusuwalności danych ujawnionych w KRS - nadal są publicznie dostępne w tym Rejestrze), ich merytorycznej poprawności oraz waloru informacyjnego fakt, iż mają one obecnie walor historyczny, pozostaje bez wpływu na możliwość ich dalszego przetwarzania (w tym publikowania) przez Fundację.

Podsumowując dotychczasowe rozważania, przetwarzanie przez Fundację publicznie dostępnych danych osobowych Skarżącej - jako osoby pełniącej określone funkcje w podmiotach podlegających wpisowi do Rejestru, w tym ich publikacja – znajduje oparcie w powołanym
art. 6 ust. 1 lit. f) RODO.

W tym miejscu nadmienić warto, że w podobnej sprawie, w której istotą sprawy była możliwość wykorzystania danych osobowych pozyskanych z publicznego rejestru, Naczelny Sąd Administracyjny, w wyroku z dnia 3 grudnia 2015 r. (sygn. akt: I OSK 1166/14) stwierdził, iż cyt.: „(…) ustawa o ochronie danych osobowych nie wprowadza specjalnych obowiązków w zakresie pozyskiwania danych z publicznych rejestrów (tu: z Krajowego Rejestru Sądowego). Celem rejestrów publicznie dostępnych jest bowiem udostępnienie informacji na potrzeby obrotu prawnego. Zapoznawanie się z takimi danymi jest legalnie, co wynika wprost z art. 8 ust. 1 ustawy (…) o Krajowym Rejestrze Sądowym (…) statuującego zasadę jawności rejestru oraz art. 10 ust. 1 (…) określającego prawo każdego zainteresowanego do przeglądania akt (…)”.

W kontekście argumentacji przedstawionej w niniejszej sprawie przez Fundację celem wykazania legalności je działań, zasadne jest również przytoczenie przepisów ustawy z dnia 25 lutego 2016 r. o ponownym wykorzystywaniu informacji sektora publicznego (Dz. U. 2018 r., poz. 1243 ze zm.). Zgodnie z art. 2 ust. 1 tej ustawy, przez informację sektora publicznego należy rozumieć każdą treść lub jej część, niezależnie od sposobu utrwalenia, w szczególności w postaci papierowej, elektronicznej, dźwiękowej, wizualnej lub audiowizualnej, będącą w posiadaniu podmiotów, o których mowa w art. 3. Ww. ustawa definiuje zarazem ponowne wykorzystywanie jako wykorzystywanie przez osoby fizyczne, osoby prawne i jednostki organizacyjne nieposiadające osobowości prawnej, zwane "użytkownikami", informacji sektora publicznego, w celach komercyjnych lub niekomercyjnych innych niż pierwotny publiczny cel, dla którego informacja została wytworzona (art. 2 ust. 2). Ustawa statuuje powszechne prawo do ponownego wykorzystywania informacji sektora publicznego udostępnionych w systemie teleinformatycznym, a w szczególności na stronie podmiotowej Biuletynu Informacji Publicznej podmiotu zobowiązanego lub w centralnym repozytorium informacji publicznej, o którym mowa w art. 9a ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2018 r. poz. 1330 ze zm.), lub w inny sposób (art. 5 pkt 1 ustawy o ponownym wykorzystywaniu informacji sektora publicznego). Ponowne wykorzystanie informacji może zostać ograniczone - podmiot zobowiązany udostępnia na swojej stronie podmiotowej Biuletynu Informacji Publicznej w menu przedmiotowym w kategorii "Ponowne wykorzystywanie” warunki ponownego wykorzystywania, jeżeli zostały przez niego określone (art. 11 ust. 1 pkt 1 ustawy o ponownym wykorzystywaniu informacji sektora publicznego) – wykorzystanie informacji pochodzących z KRS nie zostało jednak obwarowane takimi warunkami.

W konsekwencji powyższej oceny odnośnie legalnego charakteru działań Fundacji w obszarze przetwarzania kwestionowanych danych osobowych Skarżącej, nie zasługuje na uwzględnienie żądanie Skarżącej dotyczące zaprzestania tego procesu.

Stosownie do brzmienia art. 17 ust. 1 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności: a) dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane; b) osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania; c) osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania; d) dane osobowe były przetwarzane niezgodnie z prawem; e) dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator; f) dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1. W rozpoznawanej sprawie, dane osobowe Skarżącej w dalszym ciągu są niezbędne w kontekście celów realizowanych przez Fundację (brak przesłanki z art. 17 ust. 1 lit. a) RODO), podstawą ich przetwarzania jest prawnie usprawiedliwiony interes realizowany przez administratora
(art. 6 ust. 1 lit. f) RODO) a nie zgoda Skarżącej (brak przesłanki z art. 17 ust. 1 lit. b), kwestionowany proces przetwarzania danych osobowych Skarżącej jest realizowany w sposób legalny (brak przesłanki z art. 17 ust. 1 lit. d) RODO), nie istnieje przepis, który obligowałby Fundację do usunięcia kwestionowanych danych osobowych Skarżącej (brak przesłanki z art. 17 ust. 1 lit. e) RODO), dane osobowe Skarżącej nie zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust.1 RODO (brak przesłanki z art. 17 ust. 1 lit. f) RODO). W rozpoznawanej sprawie nie można również przyjąć istnienia przesłanki do skutecznego żądania usunięcia danych określonej w art. 17 ust. 1 lit. c) RODO. Powołany przepis nakazuje usunąć dane w sytuacji wniesienia przez osobę, której one dotyczą sprzeciwu na mocy art. 21 ust. 1 i ust. 2 RODO – te z kolei regulacje dotyczą sprzeciwu wobec przetwarzania danych osobowych odpowiednio w sytuacji: gdy przetwarzanie to jest realizowane na podstawie art. 6 ust. 1 lit. e) lub f) RODO oraz gdy celem przetwarzania danych jest cel marketingowy. W niniejszej sprawie dane osobowe Skarżącej są przetwarzane w celach niezwiązanych z marketingiem.

Art. 21 ust. 1 RODO przyznaje osobie, której dane dotyczą prawo do tego, by w dowolnym momencie wnieść sprzeciw - z przyczyn związanych z jej szczególną sytuacją - wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f), w tym profilowania na podstawie tych przepisów wskazując zarazem, że administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. W sytuacji, gdy żądanie przewidziane w art. 21 ust. 1 RODO jest zasadne, osoba, której dane dotyczą ma prawo domagać się realizacji prawa do bycia zapomnianym (patrz przytoczony uprzednio art. 17 ust. 1 lit. c) RODO). Podkreślenia wymaga jednak, że w przedmiotowej sprawie nie ma podstaw by uznać, że za uwzględnieniem sprzeciwu Skarżącej przemawia jej szczególna sytuacja. Jak podkreśla się w literaturze przedmiotu, cyt.: „(…) szczególna sytuacja uzasadniająca zaprzestanie przetwarzania danych osobowych wnioskodawcy wiązać się może z groźbą ujawnienia przez takie przetwarzanie danych związanych ze sferą prywatności lub życia rodzinnego, w przypadku gdy wykorzystywanie tych danych w konkretnej sytuacji nie jest bezwzględnie konieczne (…)” (P. Fajgielski „Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz” WKP 2018). W niniejszej sprawie ani w toku postępowania przed Prezesem UODO, ani w ramach korespondencji wymienionej z Fundacją, Skarżąca nie wykazała istnienia po jej stronie żadnej szczególnej sytuacji uzasadniającej żądanie zaprzestania przetwarzania przez Fundację jej danych osobowych.

Argumenty przedstawione przez Skarżącą w podanym zakresie sprowadzają się do przedstawienia jej subiektywnych przekonań i wyobrażeń na temat możliwego społecznego odbioru faktu kwestionowanego publikowania jej danych osobowych przez skarżony podmiot. W skardze inicjującej niniejsze postępowanie Skarżąca podniosła bowiem cyt.: „(…) Fundacja przyjmuje za swoje zadanie wspomaganie rozwoju demokracji poprzez upowszechnianie praw obywatela w zakresie dostępu do informacji publicznej. Moim zdaniem, przytoczone powyżej cele działania Fundacji (…) odnoszą się do aktualnej sytuacji politycznej w kraju dając wsparcie jednej ze stron toczącego się w Polsce od lat sporu politycznego (…) ja nie życzę sobie, aby Fundacja o tak jednoznacznie określonym profilu działalności powiązanym z polityką krajową przetwarzała moje dane osobowe, aby nie kojarzyć się z żadną ze stron wspomnianego sporu (…) Przetwarzanie zatem moich danych osobowych przez tego administratora może mieć negatywny wpływ
na prowadzoną przez mnie (…) działalność biznesową, a nawet rozwój mojej kariery zawodowej w przyszłości (…)”. Ryzyko publicznej oceny funkcjonowania podmiotów działających w szeroko rozumianym obrocie gospodarczym, a także członków ich organów, jest natomiast niejako wpisane w ich działalność i nie ma żadnego przełożenia na jawność danych objętych KRS, czy możliwość ich dalszego, legalnego wykorzystania przez dowolne podmioty. Fakt, iż kwestionowane dane Skarżącej są danymi powszechnie dostępnymi skutkuje brakiem podstaw dla przyjęcia, że ich przetwarzanie przez Fundację dla potrzeb związanych z funkcjonowaniem serwisu […] wiąże się - choćby potencjalnie – z ingerencją w sferę jej prywatności, tym samym zaś, że po stronie Skarżącej zachodzi szczególna sytuacja, której mowa w art. 21 ust. 1 RODO, uzasadniająca jej sprzeciw zgłoszony w trybie tego przepisu.

Reasumując, proces kwestionowanego przetwarzania danych osobowych Skarżącej przez Fundację jest realizowany legalnie, zaś żądanie Skarżącej nie zasługuje na uwzględnienie.

W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął, jak w sentencji.

Zgodnie z art. 7 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm.), postępowanie przed Prezesem Urzędu Ochrony Danych Osobowych jest jednoinstancyjne. Niniejsza decyzja jest ostateczna. Na podstawie art. 52 § 1 i 2 oraz art. 53 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r., poz. 1302 ze zm.), stronie przysługuje, w terminie 30 dni od dnia doręczenia niniejszej decyzji, prawo do wniesienia na nią skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (na adres: 00 – 193 Warszawa, ul. Stawki 2). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o zwolnienie od kosztów sądowych.