Generalny Inspektor Ochrony Danych Osobowych odpowiedział w drodze decyzji DOLIS/DEC-50/16 na bardzo istotne pytanie: czy krajowy organ ochrony danych osobowych posiada kompetencje w zakresie stosowania środków prawnych wobec przetwarzania danych osobowych osób zamieszkałych na terytorium Rzeczypospolitej Polskiej w serwisie Facebook. Odpowiedź była twierdząca.
Postępowanie zostało zainicjowane przez osobę, posiadającą status pokrzywdzonego w postępowaniu prowadzonym przez Prokuraturę i dotoczyło przetwarzania jej danych osobowych w zakresie: adresu zamieszkania, numeru PESEL, numeru dokumentu tożsamości. Dane te zostały opublikowane w 2015 r. na 2 profilach utworzonym na portalu Facebook, na serwerach należących do podmiotu prowadzącego portal internetowy Facebook. Dane te znajdowały się na fotokopiach akt śledztwa prowadzonego przez Prokuraturę, a dokładnie w protokołach przesłuchań (red. dla śledzących bieżące wydarzenia polityczne nie będzie trudnością identyfikacja osoby skarżącej).
Generalny Inspektor Ochrony Danych Osobowych w pierwszej kolejności zbadał aspekt podmiotowy działalności spółki Facebook Poland Sp. z o.o i stwierdził, że Facebook Poland prowadzi działalność w zakresie badania rynku opinii publicznej, doradztwa w zakresie prowadzenia działalności gospodarczej i zarządzania, agencji reklamowych, związanej z reprezentowaniem mediów. GIODO zaznaczył, że spółka Facebook Poland Sp. z o.o. jest własnością jedngo wspólnika tj. spółki Facebook Global Holdings II, LLC. Ponadto jak stwierdził GIODO w ramach swojej działalności Facebook Poland na terytorium Rzeczypospolitej Polskiej świadczy usługi doradztwa marketingowego na rzecz podmiotów m.in. z terytorium Rzeczypospolitej Polskiej w zakresie korzystania z usług reklamowych oferowanych w ramach serwisu internetowego Facebook (stwierdzono ten fakt po kontroli, na podstawie umowy o współpracy zawartej przez Facebook Poland z Facebook Ireland Limited). Jak wynika z treści decyzji spółka Facebook Poland w toku procedury wyjaśniającej zajęła standardowe stanowisko, że administratorem danych osobowych użytkowników przetwarzanych w ramach serwisu Facebook, z wyłączeniem danych osobowych użytkowników zamieszkujących w Kanadzie i Stanach Zjednoczonych Ameryki jest Facebook Ireland Limited.
Jak zwrócił uwagę GIODO Facebook Poland Sp. z o.o. posiada odrębną od Facebook Inc. osobowość prawną i stanowi spółkę zależną od Facebook Inc. W tym aspekcie Facebook Poland prowadzi działalność gospodarczą zgodnie art. 4 ust. 1 lit a Dyrekywy 95/46/WE. („przetwarzanie danych odbywa się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium Państwa Członkowskiego;”). Wobec tego Państwo Członkowskie może stosować, w odniesieniu do przetwarzania danych osobowych, przepisy prawa krajowego przyjmowane na mocy dyrektywy także jeżeli ten sam administrator danych prowadzi działalność gospodarczą na terytorium kilku Państw Członkowskich. Co więcej taki Administrator danych musi podjąć niezbędne działania, aby zapewnić, że każde z tych przedsiębiorstw wywiązuje się z obowiązków przewidzianych w odpowiednich przepisach prawa krajowego. W celu uzasadnienia takiego stanowiska GIODO przytoczył wyrok Trybunału Sprawiedliwości Unii Europejskiej z dnia 13 maja 2014 r. w sprawie C-131/12 – Google Spain i Google. W przedmiotowej sprawie TSUE w pkt. 55 orzeczenia stwierdził:
„Uwzględniając ten cel dyrektywy 95/46 (vide. pkt 54 wyroku „niedopuszczenie do pozbawienia jednostek ochrony, do której mają one prawo na mocy tej dyrektywy, i dlatego przewidział on w przypadku tejże ochrony szczególnie szeroki terytorialny zakres jej zastosowania”) oraz brzmienie jej art. 4 ust. 1 lit. a), należy stwierdzić, że przetwarzanie danych osobowych dla potrzeb funkcjonowania wyszukiwarki internetowej takiej jak Google Search – której operatorem jest mające siedzibę w państwie trzecim przedsiębiorstwo dysponujące w państwie członkowskim działalnością gospodarczą – jest dokonywane „w kontekście prowadzenia działalności gospodarczej”, jeśli ma ona na celu zapewnienie w tym państwie członkowskim promocji i sprzedaży powierzchni reklamowych przez wyszukiwarkę, co zapewnia rentowność oferowanej przez tę wyszukiwarkę usługi.”
W tym momencie najbardziej istotnym stało się wyjaśnienie czy przetwarzanie przedmiotowych danych odbywa się w kontekście prowadzenia przez ich administratora działalności gospodarczej na terytorium Rzeczypospolitej Polskiej – stosownie do treści art. 4 ust. 1 lit a) dyrektywy 95/46/WE. I tu GIODO po analizie informacji dotyczących praw własności do serwisu Facebook, dokumentów w zakresie korzystania z serwisu i wykorzystania danych jego Użytkowników stwierdził, że to Facebook Inc., a nie Facebook Ireland Ltd. określa zasady przetwarzania danych osobowych i z tych też względów Facebook Inc. pełni rolę administratora danych przetwarzanych w ramach serwisu Facebook.
Kolejno GIODO stwierdził, że jednocześnie Facebook Poland Sp. z o.o. posiada odrębną od Facebook Inc. osobowość prawną i stanowi spółkę zależną od Facebook Inc., a wykonywana przez nią działalność gospodarcza jest prowadzona w formie zorganizowanej i w sposób stały oraz jest nierozerwalnie związana z działalnością prowadzoną przez Facebook Inc. i co wskazuje na to, że działalność gospodarcza prowadzona przez Facebook Poland jest w istocie kontynuowaniem działalności Facebook Inc. (w zakresie świadczenia usługi doradztwa marketingowego na rzecz podmiotów m.in. z terytorium Rzeczypospolitej Polskiej w zakresie korzystania z usług reklamowych oferowanych w ramach serwisu internetowego Facebook na terytorium Rzeczypospolitej Polskiej).
GIODO wskazuje jednoznacznie, że krajowe prawo dotyczące ochrony prywatności państwa członkowskiego ma zastosowanie, jeżeli działalność prowadzona przez przedsiębiorstwo założone w tym państwie członkowskim, jest nierozerwalnie związana z działalnością administratora i to niezależnie od kwestii, czy przedsiębiorstwo prowadzi działania w zakresie przetwarzania czy nie (vide pkt. 56 wyroku TSUE z dnia 13 maja 2014 r. w sprawie C-131/12 – Google Spain i Google). Co w prostym tłumaczeniu oznacza tyle, że Facebook Poland Sp. z o.o. został uznany administratorem danych użytkowników serwisu Facebook z terytorium Rzeczypospolitej Polskiej i jednocześnie jest odpowiedzialny za ich przetwarzanie, co w dalszej kolejności uzasadnia stanowisko, że do prowadzenia postępowań dotyczących przetwarzania danych osobowych polskich użytkowników w serwisie Facebook właściwy jest polski organ ochrony danych osobowych. Co więcej zgodnie z art. 4 ust. 1 lit. a) Dyrektywy 95/46/WE na Facebook Poland ciąży obowiązek zastosowania wszelkich środków, w tym celu aby prawo krajowe o ochronie danych osobowych było stosowane i przestrzegane na terytorium Rzeczypospolitej Polskiej w związku z przetwarzaniem danych osobowych w ramach serwisu Facebook.
Mając powyższe uzasadnienie GIODO stwierdził w zakresie objętym skargą, że:
Mając to wszystko na uwadze GIODO nakazał Facebook Poland Sp. z o.o. usunięcie danych osobowych Skarżącego, przetwarzanych na serwerach właściciela portalu internetowego Facebook.
Decyzja ma bardzo doniosłe znaczenie. Oto polski organ ochrony danych osobowych w oparciu m.in. o europejskie normy prawa i przyjęte orzecznictwo w zakresie ochrony danych osobowych zabezpiecza interes polskiego Użytkownika serwisu Facebook. Jest to dość mocny sygnał do tego, że Facebook musi mieć na uwadze prawa Użytkowników do dochodzenia swoich praw w przed organem ich Państwa. Tak bardzo odważny krok GIODO oznacza znaczący zwrot w kierunku zwiększenia możliwości dochodzenia praw użytkownika serwisu przed krajowym organem ochrony danych osobowych, nie tylko w Polsce, ale również w Europie. Nie zapominajmy, że krajowe organy ochrony danych osobowych w Europie korzystają z wniosków płynących z decyzji każdego z tych podmiotów oraz w zakresie własnego decydowania często biorą pod uwagę argumenty przytoczone w uzasadnieniu decyzji wydanej przez organ ochrony danych osobowych innego państwa członkowskiego UE. Z niecierpliwością będziemy monitorować dalszy bieg sprawy.
Więcej na:
– GIODO każe Facebookowi skasować dane Polaka (Niebezpiecznik.pl)
