Skarga pasażera autobusu stała się początkiem sporu o ochronę danych osobowych. Podróżny zarzucił kierowcy, że ten wymagał od niego podania na głos imienia i nazwiska, zamiast zaakceptować okazany elektroniczny bilet. W efekcie jego dane osobowe stały się dostępne dla innych pasażerów, co – zdaniem skarżącego – naruszało zasady ochrony prywatności.
Prezes Urzędu Ochrony Danych Osobowych (PUODO) podjął interwencję, wskazując, że przewoźnik gromadził dane osobowe pasażerów przy sprzedaży internetowej biletów, a kierowca, weryfikując je podczas kontroli, de facto je przetwarzał. PUODO uznał, że takie działanie narusza przepisy RODO, a konkretnie art. 5 ust. 1 lit. f oraz art. 6 ust. 1 lit. b, i udzielił spółce upomnienia.
Spółka zaskarżyła tę decyzję do WSA i wygrała: sąd uchylił decyzję PUODO, uznając, że ten nie miał podstaw do interwencji, bo podawanie imienia i nazwiska przy zakupie biletu, a potem przedstawianie się na głos w autobusie nie jest przetwarzaniem danych osobowych w rozumieniu RODO.
WSA stwierdził, że „przywołano zdarzenie, które nie dotyczyło publicznego ujawnienia określonego zbioru danych osobowych (za taki można by uznać listę pasażerów dla określonego kursu), lecz wykorzystania imienia i nazwiska konkretnego pasażera dla identyfikacji osoby, uprawnionej do przejazdu (nabywcy biletu). […] Przetwarzanie danych w tym przypadku (ich ewentualne ujawnienie) nie jest objęte regułami RODO, determinującymi ramy kompetencji do rozstrzygania spraw w trybie administracyjnym. […] Niewłaściwość organu (bądź oczywisty brak interesu prawnego danego Wnioskodawcy), stanowi przesłankę odmowy wszczęcia postępowania”.
Jeśli zatem pasażer uważa, że przedstawianie się na głos w autobusie narusza jego prawo do prywatności, może wytoczyć przewoźnikowi sprawę cywilną – PUODO tu jednak interweniować nie może.
Prezes UODO z taką argumentacją się nie zgodził. W skardze kasacyjnej stwierdził, że zarówno RODO, jak i ustawa o ochronie danych osobowych stanowią o tym, że postępowanie o naruszenie danych osobowych prowadzi właśnie on jako organ nadzorczy ds. ochrony danych. Zatem PUODO miał nie tylko prawo, ale i obowiązek zająć się skargą pasażera. I obowiązku tego dopełnił. W sprawie tej nie ma też znaczenia, że dane osobowe były przetwarzane w sposób niezautomatyzowany – przez kierowcę. Zostały przetworzone przez niego i ujawnione nieupoważnionym osobom.
NSA zgodził się tu z PUODO: wykładnia przepisów o ochronie danych osobowych, jaką zastosował WSA, jest błędna. Imię i nazwisko to dane osobowe, które identyfikują człowieka, a we wskazanym przypadku były przetwarzane w ramach zbioru danych. Spółka (administrator danych) stworzyła go, pobierając dane od klientów przy zakupie internetowym biletów. Jeśli kierowca sprawdzał je, korzystając z tego zbioru, to jako przedstawiciel administratora przetwarzał je i ujawnił. W konsekwencji legalność takiego udostępnienia powinna zostać oceniona przez Prezesa UODO, w związku z otrzymaną przez niego skargą.
Źródło: UODO
