Kierowca autobusu też może przetwarzać dane osobowe pasażera. NSA orzekł

We wtorek Naczelny Sąd Administracyjny (NSA) uwzględnił skargę kasacyjną prezesa Urzędu Ochrony Danych Osobowych (UODO) w sporze o naruszenie RODO. 

Sprawa dotyczyła przewoźnika autobusowego, na którą do UODO poskarżył się jeden z pasażerów. Mężczyzna uważał, że spółka dopuściła się naruszeń przepisów przez udostępnienie jego wrażliwych danych w zakresie imienia i nazwiska nieupoważnionym podczas wsiadania do autobusu. Pasażer alarmował, że kierowca wymagał od niego głośnego przedstawienia się pomimo okazania elektronicznego biletu uprawniającego do przejazdu. Ponadto kierowca – weryfikując dane – głośno je powtórzył, przez co pozostali pasażerowie uzyskali nieuprawniony do nich dostęp.

Dane do biletu a RODO. Przejazd autobusem i problem ochrony danych osobowych

Mężczyzna podkreślił, że wielokrotnie bezskutecznie zwracał uwagę pracownikowi spółki na nieprawidłowość stosowanej praktyki. Przy czym w jego ocenie dotyczy ona nie tylko jego, ale i wszystkich pasażerów. I domagał się nakazania przewoźnikowi dostosowania operacji przetwarzania danych osobowych do przepisów RODO, zaprzestania naruszeń, wymierzenia kary oraz zapłaty na jego rzecz zadośćuczynienia w kwocie 300 zł za każde z naruszeń. W sumie chodziło o kwotę 4800 zł.

Czytaj więcej

Dane osobowe

Kontrola biletów a ochrona danych osobowych i RODO

Czy kontroler biletów może zażądać okazania dowodu osobistego i spisać z niego dane osobowe? Czy RODO coś w tym względzie zmieniło? Urząd Ochrony Danych Osobowych stawia sprawę jasno.

Urzędnicy nie zbagatelizowali zgłoszenia. Wszczęli postępowanie i ustalili, że spółka pozyskała dane osobowe pasażera w zakresie imienia, nazwiska, adresu zamieszkania, adresu e-mail, loginu, numeru telefonu oraz konta bankowego, na podstawie dobrowolnego ich udostępnienia w związku z zakupem biletu autobusowego za pośrednictwem strony internetowej. 

Nie było też wątpliwości, że przewoźnik przetwarza dane w celu zawarcia bądź realizacji umowy przewozu, ewentualnie reklamacji. Spółka tłumaczyła, że pasażer okazuje kierowcy bilet, który weryfikuje widniejące na nim dane z umieszczonymi na liście podróżnych, w tym datę i godzinę kursu, jak również miejsce podróży. Chodzi o potwierdzenie prawa do przejazdu oraz uniknięcie pomyłki przez pasażera autobusu.

Z wyjaśnień przewoźnika wynikało także, że lista podróżnych – zawierająca imię i nazwisko – jest dostępna wyłącznie do wglądu kierowcy, który ma stosowne upoważnienie i przechowuje ją w materiałowej, zamykanej teczce, niedostępnej dla osób trzecich. Spółka zapewniała, że kierowcy nie weryfikują na głos danych osobowych w zakresie imienia i nazwiska pasażerów z listą. Przyznała jednak, że do takiej praktyki doszło w spornym przypadku. 

Weryfikacja pasażera a ochrona danych osobowych

Prezes UODO udzielił spółce upomnienia za nieprawidłowości w procesie przetwarzania danych osobowych, tj. udostępnienie nieuprawnionym osobom danych w zakresie imienia i nazwiska wnioskodawcy, podczas identyfikacji jego uprawnienia do skorzystania z usługi przewozowej. Pozostałych jego żądań zaś nie uwzględnił. 

Taki obrót sprawy nie satysfakcjonował jednak samego przewoźnika, który poskarżył się do sądu i w pierwszej instancji wygrał. Wojewódzki Sąd Administracyjny (WSA) w Warszawie nie tylko uchylił decyzję UODO, ale w ogóle umorzył postępowanie w sprawie. Doszedł bowiem do wniosku, że UODO nie miało podstaw, aby w niej interweniować.

Czytaj więcej

Dane osobowe

Bilet internetowy tylko z dokumentem tożsamości

Czy przewoźnik kolejowy ma prawo legitymować pasażera z biletem kupionym przez internet? Urząd Ochrony Danych Osobowych rozstrzygnął problem, który od lat był spornym tematem między pasażerami a kontrolującymi. Skargi podróżnych w tej sprawie wpływają również do Urzędu Transportu Kolejowego.

W ocenie WSA wymienienie imienia i nazwiska przez pasażera, a później ich powtórzenie przez kierowcę nie mogły być traktowane jako przetworzenie danych osobowych w rozumieniu RODO. Wyspecjalizowany organ nie był więc właściwy da oceny legalności tych zdarzeń. W spornym przypadku nie pozostawało to w żadnym związku z procesem mechanicznego przetwarzania danych bądź posługiwania się nimi, które mogło stanowić wyodrębnioną bazę, jako zespół informacji uporządkowanych wedle pewnych kryteriów w dniu zdarzenia.

Jak tłumaczył WSA, jeżeli w przekonaniu pasażera w związku z weryfikacją w autobusie doszło do naruszenia jego praw osobistych, np. prawa do prywatności, to przysługują mu stosowne roszczenia względem sprawcy. A właściwym w tym zakresie jest sąd cywilny, a nie UODO.

Zbiory danych i ich przetwarzanie 

Na taki finał sprawy zielonego światła nie dał jednak NSA. Uznał, że sąd pierwszej instancji dokonał błędnej wykładni przepisów o RODO, przede wszystkim co do zakresu ich stosowania i pośrednio definicji zbioru danych.

Sąd przypomniał, że ochrona danych osobowych, ukonstytuowana m.in. w traktatach unijnych, ma co do zasady charakter szeroki. I przez pryzmat tej zasady należy również interpretować przepisy RODO oraz regulacji krajowych.

NSA nie miał cienia wątpliwości, że w spornej sprawie samo imię i nazwisko to istotne dane osobowe, które identyfikują. I choć zawsze trzeba je analizować i oceniać kontekstowo w realiach danej sprawy, to zdaniem sądu w spornym przypadku imię i nazwisko były przetwarzane w ramach zbioru danych.

Jak bowiem przypomniał sędzia sprawozdawca Maciej Kobak, zbiór danych został zdefiniowany w art. 4 pkt 3 RODO. I wynika z niego, że jest to pewien zestaw danych osobowych uporządkowanych według określonych kryteriów. Przy czym nie musi to być zestaw danych, który jest jakoś zcentralizowany. On może być rozproszony. Jak tłumaczył NSA, generalnie chociaż o to, żeby dany administrator miał możliwość sięgnięcia do tych danych i ich zestawienia.