Upublicznienie protokołu PIP z danymi firmy – czy to narusza RODO?

Czy wolno opublikować protokół PIP w internecie?

Co do zasady publiczne udostępnienie protokołu kontroli Państwowej Inspekcji Pracy przez osobę trzecią wymaga bardzo ostrożnej oceny prawnej. Taki dokument zwykle zawiera dane identyfikujące przedsiębiorcę, pracowników albo inne osoby, a więc jego publikacja może stanowić „przetwarzanie danych osobowych” w rozumieniu art. 4 pkt 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), ponieważ obejmuje m.in. ujawnianie przez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie danych.

Jeżeli dokument został wrzucony na ogólnodostępny portal, forum, serwis społecznościowy lub stronę internetową, ryzyko naruszenia prawa jest istotne. Dotyczy to zwłaszcza sytuacji, gdy w protokole widnieją imię, nazwisko, podpis, dane kontaktowe, stanowiska, opisy naruszeń albo inne informacje pozwalające bezpośrednio lub pośrednio zidentyfikować osoby.

Nie ma przepisu, który dawałby osobie prywatnej ogólne prawo do dowolnego publikowania protokołów PIP z pełnymi danymi innych osób. Dlatego każdorazowo trzeba zbadać, czy istniała podstawa legalizująca takie działanie.

Jakie dane z protokołu PIP są chronione?

Zgodnie z art. 4 pkt 1 RODO danymi osobowymi są informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. W praktyce będą to nie tylko imię i nazwisko, ale także podpis, stanowisko, numer telefonu, adres e-mail, informacje o przebiegu zatrudnienia, a czasem również zestaw danych, który dopiero łącznie pozwala rozpoznać konkretną osobę.

Jeżeli chodzi o przedsiębiorcę prowadzącego jednoosobową działalność gospodarczą, RODO nadal ma zastosowanie do jego danych jako osoby fizycznej. Sam fakt prowadzenia działalności nie wyłącza ochrony wynikającej z RODO. Wynika to z zakresu podmiotowego rozporządzenia oraz z motywu 14 RODO, który wyłącza osoby prawne, ale nie osoby fizyczne prowadzące działalność.

Inaczej trzeba ocenić dane spółki jako osoby prawnej. Sama nazwa spółki z o.o. nie jest daną osobową. Jednak już dane członków zarządu, pełnomocników, pracowników czy podpisujących dokument mogą być danymi osobowymi.

W praktyce protokół PIP może zawierać także informacje o pracownikach lub świadkach. Wtedy ryzyko naruszenia jest jeszcze większe, bo mogą pojawić się dane z dokumentacji pracowniczej, opisy zdarzeń, informacje o zdrowiu lub bezpieczeństwie pracy. W podobnych sytuacjach warto zwrócić uwagę także na problem dane osobowe w protokole kontroli.

Czy publikacja przez osobę prywatną podlega RODO?

RODO nie stosuje się do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze – art. 2 ust. 2 lit. c RODO. Ten wyjątek istnieje, ale nie można go rozumieć zbyt szeroko.

Jeżeli ktoś publikuje cudzy dokument na ogólnodostępnej stronie, forum albo w mediach społecznościowych w sposób dostępny dla nieograniczonego kręgu odbiorców, zwykle trudno uznać, że nadal działa wyłącznie w sferze prywatnej. Taki kierunek wynika z orzecznictwa Trybunału Sprawiedliwości UE, zwłaszcza z wyroku z 6 listopada 2003 r. w sprawie C-101/01 Lindqvist, w którym wskazano, że udostępnienie danych w internecie dla nieograniczonego kręgu odbiorców wykracza poza czynności osobiste lub domowe.

To oznacza, że osoba publikująca protokół może sama stać się administratorem danych w rozumieniu art. 4 pkt 7 RODO i musi wykazać, że miała podstawę prawną do ujawnienia dokumentu.

Kiedy publikacja może być zgodna z prawem?

Samo podleganie RODO nie oznacza jeszcze automatycznie, że publikacja była bezprawna. Każde przetwarzanie danych musi jednak mieć podstawę z art. 6 ust. 1 RODO.

W opisanym przypadku najczęściej rozważana byłaby podstawa z art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora lub strony trzeciej. Taka podstawa może wchodzić w grę np. wtedy, gdy publikacja służy ochronie praw innych osób, ostrzeżeniu przed poważnym zagrożeniem, obronie przed roszczeniami albo realizacji prawa do wypowiedzi.

Nie wystarczy jednak samo powołanie się na „interes społeczny” lub „prawo do informacji”. Trzeba jeszcze wykazać:

• istnienie rzeczywistego, zgodnego z prawem interesu,
• niezbędność publikacji właśnie w takiej formie,
• że interes ten nie jest nadrzędny wobec praw i wolności osoby, której dane dotyczą.

Tę ocenę nazywa się testem równowagi. Jeżeli dałoby się osiągnąć cel przez anonimizację dokumentu, zamazanie podpisu, usunięcie nazwisk lub ograniczenie kręgu odbiorców, publikacja pełnego protokołu może zostać uznana za nadmierną i sprzeczną z zasadą minimalizacji danych z art. 5 ust. 1 lit. c RODO.

Znaczenie ma też zasada zgodności z prawem, rzetelności i przejrzystości z art. 5 ust. 1 lit. a RODO oraz zasada ograniczenia celu z art. 5 ust. 1 lit. b RODO.

Kiedy publikacja będzie najczęściej bezprawna?

Ryzyko bezprawności jest duże szczególnie wtedy, gdy:

• protokół został opublikowany w całości, bez anonimizacji,
• ujawniono podpis, adres, dane pracowników lub inne zbędne informacje,
• celem była zemsta, wywarcie presji albo publiczne napiętnowanie przedsiębiorcy,
• dokument trafił do nieograniczonego kręgu odbiorców,
• autor publikacji nie potrafi wskazać konkretnej podstawy prawnej z art. 6 ust. 1 RODO,
• można było osiągnąć cel w sposób mniej ingerujący w prywatność.

W takim układzie może dojść do naruszenia zasad przetwarzania danych osobowych, a także do naruszenia dóbr osobistych, takich jak dobre imię, prywatność czy wizerunek przedsiębiorcy jako osoby fizycznej.

Jeżeli dokument zawiera dane innych osób i został dodatkowo rozpowszechniony w sieci, problem może przypominać także sytuacje związane z publikacja danych w sieci, gdzie samo ujawnienie dokumentu z danymi może prowadzić do odpowiedzialności cywilnej i administracyjnej.

Czy podpis przedsiębiorcy też podlega ochronie?

Tak. Podpis może stanowić daną osobową, jeżeli pozwala zidentyfikować osobę fizyczną lub jest powiązany z innymi danymi w dokumencie. W praktyce skan podpisu ujawniony publicznie może stwarzać dodatkowe ryzyka, np. wykorzystania w obrocie, podszywania się albo dalszego nieuprawnionego rozpowszechniania.

Dlatego publikowanie dokumentów z czytelnym podpisem bez ważnej podstawy prawnej jest szczególnie ryzykowne.

Czy PIP może sama ujawniać protokoły?

To odrębna kwestia. Uprawnienia organu publicznego do udostępniania dokumentów nie są tożsame z uprawnieniami osoby prywatnej. Państwowa Inspekcja Pracy działa na podstawie przepisów szczególnych, w tym ustawy z 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy, przepisów o dostępie do informacji publicznej oraz przepisów o ochronie danych osobowych. Nawet jeśli określone informacje mogą być udostępniane przez organ w odpowiednim trybie, nie oznacza to automatycznie, że każdy może później swobodnie publikować pełny dokument w internecie.

W praktyce osoba prywatna nie może skutecznie tłumaczyć swojej publikacji samym faktem, że dokument „istnieje” albo że „ktoś go już miał”. Znaczenie ma własna podstawa prawna do dalszego rozpowszechniania.

Jakie prawa ma osoba, której dane ujawniono?

Jeżeli doszło do bezprawnego ujawnienia danych, osoba, której dokument dotyczy, może podjąć kilka równoległych działań.

W razie naruszenia można też zgłaszać materiał administratorowi portalu lub hostingu, żądając jego usunięcia jako treści bezprawnej. W praktyce taki krok bywa najszybszy, szczególnie gdy liczy się ograniczenie dalszego rozpowszechniania.

Czy można powołać się na dobra osobiste, gdy sprawca jest osobą prywatną?

Tak. Nawet jeśli w konkretnym stanie faktycznym ktoś próbowałby twierdzić, że działał w sferze prywatnej i RODO nie ma zastosowania, nie zamyka to drogi do ochrony cywilnoprawnej. Zgodnie z art. 23 Kodeksu cywilnego dobra osobiste człowieka, w szczególności cześć, nazwisko, pseudonim, wizerunek czy tajemnica korespondencji, pozostają pod ochroną prawa cywilnego. Na podstawie art. 24 § 1 Kodeksu cywilnego można żądać zaniechania naruszeń, usunięcia ich skutków, a na zasadach z art. 448 Kodeksu cywilnego także zadośćuczynienia lub zapłaty odpowiedniej sumy na cel społeczny.

W praktyce przy publikacji protokołu PIP szczególnie często powołuje się naruszenie dobrego imienia, prywatności i prawa do kontroli nad rozpowszechnianiem danych.

Co zrobić krok po kroku po wykryciu publikacji?

1. Zabezpiecz dowody: zrzuty ekranu, adresy URL, datę publikacji, liczbę odsłon, komentarze, dane autora konta, archiwizację strony.
2. Oceń zakres ujawnionych danych: czy widoczny jest podpis, dane pracowników, PESEL, adres, informacje o stanie zdrowia, zarzutach lub uchybieniach.
3. Wyślij wezwanie do usunięcia materiału i zaprzestania dalszego przetwarzania danych, powołując art. 17 ust. 1 RODO, a gdy to zasadne także art. 21 ust. 1 RODO.
4. Zgłoś naruszenie administratorowi portalu lub serwisu społecznościowego.
5. Rozważ skargę do Prezesa UODO i równolegle roszczenia cywilne.
6. Jeżeli publikacja wyrządza szkody reputacyjne lub biznesowe, rozważ także wezwanie przedsądowe i pozew o ochronę dóbr osobistych.

Jeżeli dokument zawiera dane wielu osób, najlepiej działać szybko, bo każde dalsze udostępnienie zwiększa skalę naruszenia.

Od czego zależy ostateczna ocena prawna?

W tego typu sprawie nie da się udzielić uczciwej odpowiedzi całkowicie „zero-jedynkowej” bez znajomości szczegółów. Kluczowe są zwłaszcza:

• czy publikacji dokonała osoba prywatna, pracownik, były pracownik, związek zawodowy, konkurent czy medium,
• czy dokument był dostępny publicznie, czy tylko w zamkniętej grupie,
• czy dane zostały zanonimizowane,
• czy publikacja służyła rzeczywistej ochronie interesu publicznego,
• czy protokół dotyczył poważnych naruszeń, czy drobnych uchybień,
• czy istniał mniej inwazyjny sposób przekazania informacji.

Dlatego w jednych sprawach publikacja może zostać uznana za nieproporcjonalne ujawnienie danych, a w innych – za działanie mieszczące się w granicach prawnie uzasadnionego interesu lub wolności wypowiedzi. Zawsze jednak wymaga to konkretnej analizy stanu faktycznego.

FAQ

Czy imię i nazwisko właściciela firmy z protokołu PIP to dane osobowe?

Tak, jeśli właściciel jest osobą fizyczną, np. prowadzi jednoosobową działalność gospodarczą. Wtedy jego dane są chronione przez art. 4 pkt 1 RODO.

Czy podpis na protokole też jest chroniony?

Tak. Podpis może identyfikować konkretną osobę, a dodatkowo jego ujawnienie zwiększa ryzyko nadużyć. Publiczna publikacja podpisu bez wyraźnej podstawy prawnej jest ryzykowna.

Czy osoba prywatna może powołać się na wyjątek domowy?

Czasem tak, ale nie zwykle wtedy, gdy wrzuca dokument do internetu dla nieograniczonego kręgu odbiorców. Taka publikacja najczęściej wykracza poza art. 2 ust. 2 lit. c RODO.

Czy można żądać usunięcia protokołu z portalu?

Tak. W zależności od stanu faktycznego można powołać się m.in. na art. 17 ust. 1 RODO, zgłosić naruszenie administratorowi portalu i dochodzić ochrony dóbr osobistych.

Czy przysługuje odszkodowanie lub zadośćuczynienie?

Tak, ale trzeba wykazać naruszenie i szkodę. Podstawą mogą być art. 82 ust. 1 RODO oraz art. 448 Kodeksu cywilnego, zależnie od rodzaju roszczenia.

Źródła

• art. 2 ust. 2 lit. c, art. 4 pkt 1, art. 4 pkt 2, art. 4 pkt 7, art. 5 ust. 1 lit. a-c, art. 6 ust. 1, art. 17 ust. 1, art. 21 ust. 1, art. 77 ust. 1, art. 82 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO)
• motyw 14, motyw 18 i motyw 26 RODO
• art. 23, art. 24 § 1, art. 448 ustawy z 23 kwietnia 1964 r. – Kodeks cywilny
• art. 60 ustawy z 10 maja 2018 r. o ochronie danych osobowych
• ustawa z 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy
• wyrok Trybunału Sprawiedliwości UE z 6 listopada 2003 r., C-101/01, Lindqvist