Z pytaniem prejudycjalnym do TSUE zwrócił się Sąd Rejonowy dla m.st. Warszawy. Wierzyciel, mimo prawomocnego nakazu zapłaty, nie mógł odzyskać swoich należności od firmy NMW sp. z o.o – komornik umorzył postępowanie, stwierdzając, że spółka nie ma majątku.
Czytaj: RODO: Nie każde dane firm są na sprzedaż>>
Baza danych jedynym majątkiem spółki
W związku z tym wierzyciel wytoczył proces wobec członka zarządu na podstawie art. 299 par. 1 ustawy z dnia 15 września 2000 r. Kodeks spółek handlowych (t.j. Dz. U. z 2022 r. poz. 1467; zwana dalej „k.s.h.”), który statuuje odpowiedzialność odszkodowawczą członka zarządu spółki-dłużnika za brak możliwości zaspokojenia się z majątku tej spółki.
Czytaj w LEX: Koszty procesu i postępowania egzekucyjnego a odpowiedzialność członków zarządu w sp. z o.o. >>>
Pozwany wniósł o oddalenie powództwa, podnosząc, że spółka majątek posiada – należą do niego m.in. dwie ogromne bazy danych, w których zgromadzono informacje o setkach tysięcy użytkowników. W orzecznictwie przyjmuje się natomiast, że bezskuteczność egzekucji wobec spółki oznacza stan, w którym z okoliczności sprawy wynika niezbicie, że spółka nie ma majątku, z którego wierzyciel mógłby uzyskać zaspokojenie swojej należności. I tu sąd powziął wątpliwości, a mianowicie, czy przepisy RODO pozwalają na to, by takie bazy sprzedać bez zgody osób, których dane się w nich znajdują.
Czytaj w LEX: Odpowiedzialność cywilna z tytułu naruszenia praw producenta bazy danych >>>
Czy interes wierzyciela to interes publiczny?
Polski sąd w uzasadnieniu wskazuje, że w takiej sytuacji – na czas postępowania egzekucyjnego - administratorem danych osobowych staje się komornik sądowy. Ten, jako funkcjonariusz publiczny nie może odmówić wykonania wniosku o wszczęcie postępowania egzekucyjnego, a wniosek nakazuje prowadzenie egzekucji z całego majątku należącego do dłużnika, w tym z bazy danych.
Wątpliwości sądu rodzi natomiast kwestia celu samego postępowania egzekucyjnego. Z RODO wynika, że „prawo państwa członkowskiego musi służyć realizacji celu leżącego w interesie publicznym oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu”. Natomiast postępowanie egzekucyjne służy interesowi wierzyciela.
- Z drugiej strony zapewnienie wierzycielowi możliwości realnego wykonania wyroku sądowego, który wydawany jest w imieniu Rzeczypospolitej Polskiej, służy wzmacnianiu zaufania obywateli do państwa i leży w ogólnopojętym interesie wymiaru sprawiedliwości, który może być postrzegany jako rodzaj interesu publicznego – wskazuje sąd w uzasadnieniu.
Czytaj w LEX: Obowiązki administratorów związane z naruszeniami ochrony danych osobowych >>>
RODO nie ogranicza praw do baz danych
Mateusz Kupiec, prawnik w kancelarii Traple Konarski Podrecki i Wspólnicy wskazywał, że rozstrzygnięcie w tej sprawie będzie wymagać od TSUE nie tylko zbadania ratio legis przepisów ustawy o komornikach sądowych oraz KPC. - Kluczowe znaczenie będzie miało określenie, czy ograniczenie autonomii informacyjnej użytkowników platformy spółki NMW sp. z o.o. polegające na przekazaniu ich danych osobie trzeciej jest proporcjonalne, zwłaszcza że w tej konkretnej sprawie jedynym możliwym sposobem prowadzenia egzekucji z bazy danych spółki jest jej zbycie – podkreślał.
Tymczasem RODO stosuje się co do zasady do każdej całkowicie zautomatyzowanej operacji na bazie danych osobowych. Publicznoprawna ochrona danych osobowych oraz prywatnoprawna ochrona baz danych (jako przedmiotu prawa własności intelektualnej) są od siebie niezależne.
- Oznacza to, że wbrew obawom polskiego sądu RODO nie ogranicza praw sui generis do baz danych osobowych, lecz jedynie nakłada na administratorów danych znajdujących się w takich bazach równoległe obowiązki w zakresie przestrzegania zasad przetwarzania danych określonych w tym rozporządzeniu – mówi Mateusz Kupiec. - W konsekwencji przed przekazaniem bazy danych osobowych nabywcy, pierwotny administrator (najczęściej jej producent) musi między innymi ustalić właściwą podstawę udostępnienia znajdujących się w niej danych osobowych oraz „wyczyścić” ją z danych osób, które wniosły sprzeciw wobec przetwarzania ich danych lub wycofały zgodę na przetwarzanie (jeżeli nie robił tego na bieżąco) – mówił Mateusz Kupiec.
Czytaj w LEX: Okiem IOD-a: Czy pod rygorami RODO kupowanie danych osobowych może być legalne? >>>
Rzecznik TSUE: to czasem dopuszczalne
Rzecznik generalny TSUE Priit Pikamäe zaproponował, by trybunał na pytanie polskiego sądu odpowiedział twierdząco. Jego zdaniem operacje przeprowadzane przez komornika sądowego w celu oszacowania wartości baz danych i ich sprzedaży w drodze publicznej licytacji wchodzą w zakres stosowania RODO. Istotnie, akty
te obejmują co najmniej pobieranie, przeglądanie, wykorzystywanie oraz udostępnianie nabywcy danych osobowych, i w konsekwencji należy je uznać za „przetwarzanie” danych w rozumieniu tego rozporządzenia. Co więcej, rzecznik generalny stanął na stanowisku, że komornika sądowego należy uznać za administratora ych danych. Ponadto rzecznik generalny zauważył, że rozpatrywane przetwarzanie jest zgodne z prawem, jeżeli jest niezbędne do wykonania zadania realizowanego w ramach sprawowania władzy publicznej powierzonej komornikowi sądowemu.
Wreszcie rzecznik generalny stwierdził, że cel przetwarzania danych przez komornika sądowego różni się od celu pierwotnego, jakim było umożliwienie korzystania z platformy sprzedaży internetowej. Aby takie dalsze przetwarzanie można było uznać za zgodne z RODO, musi ono stanowić w demokratycznym społeczeństwie
niezbędny i proporcjonalny środek do osiągnięcia jednego z celów leżących w interesie ogólnym, o których mowa w tym rozporządzeniu. Zdaniem rzecznika generalnego figurujący wśród nich cel dotyczący egzekucji roszczeń cywilnoprawnych może co do zasady uzasadniać przetwarzanie danych rozpatrywane w niniejszej sprawie.
UODO: Kupno bazy danych nie legalizuje przetwarzania
Sprzedaż baz danych to obecnie dość powszechna praktyka i zdarzają się sytuację, w których wkracza Urząd Ochrony Danych Osobowych, stając po stronie osób, które żądają usunięcia ich danych z takiej bazy. UODO w jednej z decyzji podkreślił, że „sama umowa sprzedaży bazy danych, stanowiąca źródło pozyskania przez administratora numeru telefonu skarżącego, nie jest bowiem przesłanką legalizującą proces przetwarzania danych osobowych do celów marketingowych”. Według organu odmienne stanowisko oznaczałoby możliwość swoistego następczego wykreowania podstawy prawnej dla tego procesu przetwarzania.
- Trudno jest mówić o nienaruszeniu praw i wolności osoby, której dane są sprzedawane, zwłaszcza gdy nie jest przy tym wobec niej wypełniany obowiązek informacyjny – wskazywał UODO i nakazał usunięcie danych skarżącego z bazy.
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.