Biuletyn Informacji Publicznej RPO

• Ze względu na wagę sprawy Rzecznik Praw Obywatelskich zwraca się do prezesa Urzędu Ochrony Danych Osobowych Jana Nowaka o jej zbadanie  
• Danymi osobowymi są wszelkie informacje mogące zidentyfikować osobę fizyczną – stanowi unijne rozporządzenie RODO
• AKTUALIZACJA: Sprawa ta nie powinna być rozpatrywana z punktu widzenia naruszenia przepisów o ochronie danych osobowych – odpowiada Prezes UODO
• – O tym, czy w konkretnym przypadku opublikowanie materiału prasowego nastąpiło z naruszeniem prawa, orzekają właściwe rzeczowo i miejscowo sądy powszechne – dodaje. Wskazuje, że w przypadku naruszenia dóbr osobistych osoby w publikacji, audycji radiowej lub telewizyjnej, w tym osoby już nie żyjącej, rodzina czy bliscy zmarłego mogą dochodzić ochrony praw i ewentualnego zadośćuczynienia przed właściwym sądem cywilnym
• AKTUALIZACJA2: Działalność dziennikarska wyłącza stosowanie tylko niektórych przepisów RODO, a nie całości RODO – zwraca uwagę RPO w odpowiedzi. Problemem jest nie sam fakt nieprawidłowych działań dziennikarzy, ale potrzeba ustalenia, jak doszło do uzyskania przez nich tych informacji
• AKTUALIZACJA3: Jan Nowak ponownie podkreśla, że kompetencje organu nadzorczego do spraw ochrony danych osobowych są w tego rodzaju sprawach wyłączone
• AKTUALIZACJA4: Problemem jest nie sam fakt nieprawidłowych działań dziennikarzy, ale potrzeba ustalenia, w jaki sposób doszło do uzyskania przez nich informacji - podkreśla RPO. Celem postępowania Prezesa UODO powinno być zbadanie legalności przekazania takich danych dziennikarzom przez administratora 

Rzecznik Praw Obywatelskich podjął z własnej inicjatywy sprawę  samobójczej śmierci 15-letniego syna posłanki. Z informacji mediów wynika, że w grudniu 2022 r. Polskie Radio Szczecin, informując o skazaniu w 2021 r. b. urzędnika Urzędu Marszałkowskiego woj. zachodniopomorskiego za czyny pedofilskie, miało zamieścić informacje umożliwiające identyfikację skrzywdzonego chłopca. 

RPO wystąpił już do Krajowej Rady Radiofonii i Telewizji o informacji nt. postępowania w związku ujawnieniem danych umożliwiających identyfikację oraz do Prokuratora Okręgowego w Szczecinie, która wszczęła śledztwo.

Zgodnie z art. 4 pkt 1 rozporządzenia RODO z 27 kwietnia 2016 r., danymi osobowymi są wszelkie informacje mogące zidentyfikować osobę fizyczną. Przekazany przez media zestaw informacji pozwalał, jak wynika z doniesień prasowych, na zidentyfikowanie nastolatka.

RODO wyraźnie nakazuje pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji, stąd też przetwarzanie danych osobowych w celach dziennikarskich (a także przy działalności literackiej, artystycznej i wypowiedzi akademickiej) podlega istotnym odstępstwom. W godzeniu konfliktów nie można jednak pomijać, że każda z tych wartości — zarówno prawo ochrony prywatności, jak i wolność prasy oraz wolność słowa — są gwarantowane konstytucyjnie (art. 47 i 51 Konstytucji oraz 14 i 54 Konstytucji RP). Nie mają jednak także charakteru bezwzględnego.

Zgodnie z art. 107 ustawy z 10 maja 2018 r. przetwarzanie danych osobowych, których przetwarzanie nie jest dopuszczalne albo dokonywane jest przez osobę nieuprawnioną, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności. Jeśli chodzi  o dane wrażliwe, zwłaszcza dot. strefy seksualnej, przewiduje się karę do 3 lat pozbawienia wolności.

W tej sprawie nie będzie miał zastosowania wyjątek przewidziany w motywie 27 RODO, ponieważ dane osobowe nastolatka udostępniono w czasie, gdy żył, a więc podlegały one ochronie prawnej wynikającej z przepisów prawa UE. W odniesieniu do takiej sytuacji zaktualizowały się kompetencje organu nadzorczego ochrony danych osobowych.

Marcin Wiącek prosi Jana Nowaka o poinformowanie o podjętych czynnościach po zbadaniu sprawy.

Odpowiedź Prezesa Urzędu Ochrony Danych Osobowych

W odpowiedzi na pismo Rzecznika prezes UODO Jan Nowak informuje, że sprawa ta nie powinna być rozpatrywana z punktu widzenia naruszenia przepisów o ochronie danych osobowych.

Podkreśla, że RODO w art. 85 ust. 1 i ust. 2 określa, że państwa członkowskie przyjmują w swoim porządku krajowym regulacje, które pozwolą pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji. Z kolei z art. 2 ust. 13 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) wynika, że do działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy z dnia 26 stycznia 1984 r. - Prawo prasowe (Dz. U. z 2018 r. poz. 1914) nie stosuje się szeregu przepisów RODO, w szczególności art. 5-9 regulujących przesłanki przetwarzania danych osobowych. Do oceny publikacji zastosowanie mają wówczas m.in. przepisy ustawy Prawo prasowe.

PUODO wskazuje, że wyłączenie stosowania niektórych przepisów RODO nie oznacza, że dziennikarze nie mają obowiązku chronić praw osób, których dane przetwarzają. Są do tego zobowiązani na podstawie przepisów Prawa prasowego. Artykuł 12 ust. 1 ww. ustawy wymaga od dziennikarzy szczególnej staranności i rzetelności przy zbieraniu i wykorzystaniu materiałów prasowych, zwłaszcza sprawdzenia zgodności z prawdą uzyskanych wiadomości lub podania ich źródła (pkt 1), jak również ochronę dóbr osobistych, a ponadto interesów działających w dobrej wierze informatorów i innych osób, które okazują zaufanie dziennikarzom (pkt 2). Artykuł 14 wprost wskazuje na obowiązek uzyskania zgody na publikację określonych informacji. Zgodnie z ust. 6 ww. przepisu nie wolno bez zgody osoby zainteresowanej publikować informacji oraz danych dotyczących prywatnej sfery życia, chyba że wiąże się to bezpośrednio z działalnością publiczną danej osoby.

Przepisy rozdziału 7 i 8 Prawa prasowego regulują odpowiedzialność prawną za naruszenie prawa spowodowane opublikowaniem materiału prasowego. Zgodnie z art. 37 tej ustawy, o ile nie stanowi ona inaczej, "do odpowiedzialności za naruszenie prawa spowodowane opublikowaniem materiału prasowego stosuje się zasady ogólne". O tym, czy w konkretnym przypadku opublikowanie materiału prasowego nastąpiło z naruszeniem prawa, orzekają właściwe rzeczowo i miejscowo sądy powszechne.

Zatem w przypadku naruszenia dóbr osobistych osoby opisanej w publikacji, czy przedstawionej w audycji radiowej lub telewizyjnej, w tym osoby już nie żyjącej, rodzina czy bliscy zmarłego mogą dochodzić ochrony praw i ewentualnego zadośćuczynienia przed właściwym sądem cywilnym, który rozpoznaje sprawy w trybie i na zasadach określonych w ustawie z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego.

Dodatkowo zauważyć należy, że badanie naruszenia zasad etyki dziennikarskiej jest domeną Krajowej Rady Radiofonii i Telewizji, która ma zapewnione instrumenty prawne w tym zakresie, i która - co wynika z pisma Pana Rzecznika - została już o sprawie poinformowana, podobnie jak organy ścigania.

Z uwagi na powyższe, a także ze względu na wyłączenia przepisów o ochronie danych osobowych wobec przetwarzania danych osób zmarłych, organ ochrony danych nie ma podstaw prawnych do poprowadzenia postępowania w indywidualnej sprawie.

Kolejne pismo RPO

W reakcji na odpowiedź PUODO Rzecznik zwraca uwagę, że choć przetwarzanie danych osobowych w celach dziennikarskich podlega istotnym odstępstwom, to w godzeniu prawa do ochrony danych osobowych z wolnością wypowiedzi i informacji nie można jednak pomijać okoliczności, że każda z tych wartości - zarówno prawo ochrony prywatności, jak i wolność prasy oraz wolność słowa - są gwarantowane konstytucyjnie (art. 47 i 51 Konstytucji RP oraz 14 i 54 Konstytucji RP), a także gwarantowane są jako prawa podstawowe chronione Kartą Praw Podstawowych UE (art. 7 i 8 oraz art. 11 KPP).

Wyjątki i odstępstwa od przepisów RODO w odniesieniu do działalności dziennikarskiej doprecyzował w art. 2 ustawy o ochronie danych osobowych. Zgodnie z nim do działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu prawa prasowego nie stosuje się enumeratywnie wskazanych przepisów RODO. Idea zatem klauzuli prasowej polega na wyłączeniu konkretnych przepisów rozporządzenia 2016/679, a nie całości RODO.

Działalność dziennikarska nie wyłącza także odpowiedzialności za opublikowanie materiału prasowego naruszającego dobra osobiste, które pozostają pod ochroną krajowego prawa cywilnego, niezależnie od ochrony przewidzianej w rozporządzeniu 2016/679.

Wyłączenie stosowania wskazanych w ustawie o ochronie danych osobowych przepisów nie oznacza, że dziennikarze, pisarze i artyści nie mają obowiązku chronić osoby, których dane przetwarzają, a jedynie, że ochrona prawna została ukształtowana inaczej.

Rzecznik zwraca uwagę PUODO na rozstrzygnięcie cypryjskiego organu nadzoru w sprawie publikacji prasowej, który potwierdził, że klauzula prasowa tylko ogranicza, a nie wyłącza stosowanie rozporządzenia 2016/679. Organ ten nałożył karę w związku z bezprawnym ujawnieniem w prasie nazwisk i wizerunków oficerów cypryjskiej policji, w związku z publikacją materiału o bezprawnym zatrzymaniu obywatela.

W ocenie Rzecznika dyskusyjne jest stanowisko PUODO, wskazujące na niewłaściwość urzędu w związku z działalnością dziennikarską oraz faktem, że chodzi o osobę zmarłą.  

Prezes UODO jest organem właściwym w sprawie ochrony danych osobowych, co oznacza zdecydowanie szerszy zakres, także kompetencyjny, niż określony wyłącznie w art. 34 ust. 2 zgodnie z którym Prezes Urzędu Ochrony Danych Osobowych jest organem nadzorczym w rozumieniu RODO.

W sprawie śmierci nastolatka, której dotyczyło wystąpienie Rzecznika, problemem jest nie sam fakt nieprawidłowych działań dziennikarzy, ale potrzeba ustalenia, w jaki sposób doszło do uzyskania informacji przez dziennikarzy.

Problem ten jest niezwykle istotny, zwłaszcza wobec faktu, że postępowanie - z uwagi na dobro i interes małoletniego - było prowadzone z wyłączeniem jawności. Z odpowiedzi Prezesa wynika, że ta kwestia nie była badana.

RPO przypomina wyrok WSA w Warszawie, który zapadł ze skargi RPO na postanowienie Prezesa UODO w przedmiocie odmowy wszczęcia postępowania. Sprawa dotyczyła również działalności dziennikarskiej. Zaskarżone postanowienie zostało przez WSA uchylone (wyrok WSA w Warszawie z 29 września 2021 r., sygn. akt II SA/Wa 778/21). RPO wskazywał, że w sprawie nie chodziło o ocenę dopuszczalności przetwarzania danych dotyczących zdrowia osoby wskazanej we wniosku przez dziennikarzy, czy też media. Celem postępowania prowadzonego przez PUODO powinno być zbadanie legalności przekazania takich danych dziennikarzom (mediom) przez administratora danych osoby wskazanej we wniosku, a nie sam fakt opublikowania tych informacji przez media.

RPO zwraca również uwagę, że udostępnienie danych osobowych nastolatka miało miejsce za jego życia, wobec czego PUODO pozostaje organem właściwym w sprawie.

W związku z tym Marcin Wiącek po raz kolejny zwraca się do Jana Nowaka o rozważenie zbadania legalności przetwarzania danych osobowych w zakresie ewentualnego udostępnienia dziennikarzom danych przez ich administratora.

Kolejna odpowiedź PUODO

W odpowiedzi z 27 czerwca 2023. r. Jan Nowak ponownie podkreślił, że kompetencje organu nadzorczego do spraw ochrony danych osobowych są w tego rodzaju sprawach wyłączone. Wynika to z przyjętej przez polskiego ustawodawcę zasady nieingerencji w działalność dziennikarską, mającej swoją podstawę w art. 85 ust. 1 i ust. 2 RODO, zgodnie z którym państwa członkowskie przyjmują w swoim porządku krajowym regulacje, które pozwolą pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji. (…)

Przesądzające znaczenie dla tej sprawy ma fakt, że przedmiotem postępowania wyjaśniającego przed organem nadzorczym nie może być sprawa o ochronę danych osoby zmarłej, ponieważ przepisy RODO dotyczą jedynie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (zgodnie z art. 1 ust. 1 RODO).

Podkreślenia wymaga, że również organy ścigania powołane są do tego, aby wszcząć postępowanie, jeżeli zachodzi uzasadnione podejrzenie popełnienia czynu zabronionego i ustalić istotne okoliczności sprawy. Nie jest to natomiast zadanie Urzędu Ochrony Danych Osobowych.

Następne pismo do Prezesa UODO 

Marcin Wiącek podtrzymuje pogląd, że Prezes UOODO jest właściwy do wyjaśnienia okoliczności ujawnienia danych osoby zmarłej, umożliwiających jej identyfikację, jeśli ich ujawnienie nastąpiło przed śmiercią tej osoby, gdy - tak jak w tej sprawie - nieuprawnione przetwarzanie danych osobowych mogło stanowić bezpośrednią przyczynę targnięcia się nastolatka na własne życie.

Rozporządzenie RODO „nie ma zastosowania do danych osobowych osób zmarłych. Państwa członkowskie mogą przyjąć przepisy o przetwarzaniu danych osobowych osób zmarłych".  Nie  wynika jednak z tego, że rozporządzenie nie ma zastosowania, gdy w chwili prowadzenia postępowania nie żyje osoba, której dane osobowe zostały przetworzone, gdy żyła. W tym  przypadku także doszło do przetwarzania danych osobowych osoby żyjącej, a nie osoby zmarłej. Z punktu widzenia motywu 27 RODO decydujące znaczenie ma więc moment, w którym następuje przetwarzanie danych osobowych (tj. w trakcie życia danej osoby czy też po jej śmierci), a nie to, czy osoba ta żyje w momencie wszczęcia postępowania przez organ ochrony danych osobowych.

Zgodnie z art. 4 pkt 1 RODO danymi osobowymi są wszelkie informacje mogące zidentyfikować osobę fizyczną. Przekazany zaś przez media w tej sprawie zestaw informacji pozwalał na zidentyfikowanie nastolatka.

Prezes wskazał wcześniej, że jego kompetencje są w tego rodzaju sprawach wyłączone, co wynika z zasady nieingerencji w działalność dziennikarską. Jednak idea klauzuli prasowej polega na wyłączeniu konkretnych przepisów rozporządzenia RODO, nie zaś jego całości. 

RPO ponownie podkreśla, że problemem jest nie sam fakt nieprawidłowych działań dziennikarzy, ale potrzeba ustalenia, w jaki sposób doszło do uzyskania przez nich informacji. Celem postępowania Prezesa UODO powinno być zbadanie legalności przekazania takich danych dziennikarzom przez administratora danych osoby wskazanej we wniosku, a nie sam fakt opublikowania tych informacji przez media.

Dlatego Rzecznik prosi Jana Nowaka o ponowne rozważenie tych argumentów i zajęcie stanowiska.

VII.564.533.2023