O ochronie danych osobowych -- oraz ochronie innych praw i wolności -- w serwisach społecznościowych zapisano już megatony papieru. Niegdysiejszy zgiełk wokół Naszej Klasy już nieco przycichł, jednak sprawa, z którą zwrócił się do mnie jeden z Czytelników Lege Artis skłania mnie do częściowego odgrzebania sprawy.

Rzecz dotyczy zdjęcia klasowego, na którym jest zaprezentowany nasz Czytelnik. Zdjęcie zostało dodane do Naszej Klasy bez jego zgody i wiedzy, a pomimo kilkukrotnych próśb, administrator serwisu nie zdecydował się na jego usunięcie. Zirytowany Czytelnik zwrócił się o pomoc do Generalnego Inspektora Ochrony Danych Osobowych, który decyzją z 27 maja 2008 r. odmówił uwzględnienia wniosku skarżącego (stąd można pobrać skan decyzji).

Kto chce, ten sobie -- całkiem niedługi -- dokument przeczyta i dowie się, dlaczego GIODO uważa, że wrzucenie czyjegoś zdjęcia na portal społecznościowy i powiązanie zdjęcia z nazwiskiem -- wbrew woli sportretowanej osoby -- nie stanowi naruszenia ustawy o ochronie danych osobowych. Ja jednak chciałbym zwrócić uwagę na kluczowe zdanie w uzasadnieniu (na zrzucie ekranu).
Oto zdaniem Generalnego Inspektora w przypadku będącym przedmiotem skargi nie doszło do naruszenia prawa, albowiem podstawą uprawnienia jest wskazany w art. 23 ust. 1 pkt 5 ustawy prawnie uprawniony cel realizowany przez administratora danych. Cel ten miałby -- zdaniem organu -- polegać na tym, że Nasza Klasa świadczy na rzecz usługobiorców usługę drogą elektroniczną polegającą na przechowywaniu danych w systemie teleinformatycznym.

Uważam, że stanowisko GIODO opiera się na wielokrotnie błędnym założeniu, ponieważ:

• okoliczność, iż dane osobowe są przetwarzane w celu wykonania umowy, której stroną nie jest osoba, której dane podlegają przetworzeniu, nie spełnia warunku ustawowego zezwolenia na przetwarzanie tych danych,
•  przetwarzanie danych polega w tym przypadku także na rozpowszechnianiu wizerunku skarżącego, co zgodnie z art. 81 prawa autorskiego bez dwóch zdań wymaga uzyskania od zainteresowanego odrębnej zgody,
• a w dodatku nieprawdą jest, iż ograniczenie dostępu do danych do grupy zarejestrowanych użytkowników portalu nie godzi w prawa i wolności skarżącego -- jak najbardziej godzi, w pierwszym rzędzie w konstytucyjne prawo do prywatności.

Idąc tropem wskazówek GIODO mogłoby się bowiem okazać, iż świadczenie każdego rodzaju usługi przez dowolny podmiot na rzecz dowolnej osoby będzie wystarczającą podstawą do gromadzenia, przetwarzania i rozpowszechniania dowolnych danych dotyczących dowolnych osób.

Nieostry i nie dość precyzyjny art. 23 ust. 1 pkt 5 ustawy, będący podstawą rozstrzygnięcia, do dziś budzi poważne kontrowersje w doktrynie. Jednak nie sposób nie zauważyć, iż główny nurt (także orzecznictwa) wyraźnie zmierza do ustalenia, iż uzasadniony interes administratora powinien wiązać się z jego stosunkami (handlowymi, gospodarczymi) z osobą, której dane podlegają przetwarzaniu.

Co więcej, w orzecznictwie przyjęło się, iż nawet 'ustalenie, iż administrator danych osobowych realizuje cel prawnie usprawiedliwiony nie może przesądzić o dopuszczalności przetwarzania danych osobowych (udostępnienia tych danych innemu podmiotowi) bez zgody osoby, której dane dotyczą. Konieczne jest dokonanie oceny, czy jest to niezbędne dla realizacji tego celu, a co najważniejsze, dokonanie wyważenia interesów administratora danych i osoby, której dane dotyczą, przy uwzględnieniu celu ustawy o ochronie danych osobowych, którym jest ochrona prywatności w rozumieniu art. 47 Konstytucji RP' (tak NSA w wyroku z 30 marca 2006 r., I OSK 628/05).

Mam niejasne wrażenie, iż dość liberalne stanowisko GIODO podyktowane jest... no właśnie, sam nie wiem czym.