DOLiS/DEC-515/09 dot. DOLiS-440-57/09 - Wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych poprzez usunięcie ze strony internetowej sp. z o.o. danych osobowych w zakresie wizerunku, imienia, nazwiska i adresów poczty elektronicznej.

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 12 pkt 2, art. 18 ust. 1 pkt 6, art. 23 ust. 1, art. 26 ust. 1 oraz art. 35 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego ze skargi Pana X zam. w (...) dotyczącej przetwarzania jego danych osobowych przez (...) Sp. z o.o. z siedzibą w (...),

nakazuję (...) Sp. z o.o. z siedzibą w (...) wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych Pana X zam. w (...), poprzez usunięcie ze strony internetowej (...) Sp. z o.o. danych osobowych Pana X w zakresie wizerunku, imienia, nazwiska i adresów poczty elektronicznej (...)

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana X zam. w (...), zwanego dalej również Skarżącym, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez (...) Sp. z o.o. z siedzibą w (...), zwaną dalej również Spółką. W uzasadnieniu skargi Pan X wskazał, że był pracownikiem Spółki i po ustaniu stosunku pracy jego pracodawca "nie wyłączył" przypisanych mu w związku z zatrudnieniem, służbowych adresów e - mail oraz nie usunął ze swojej strony internetowej zdjęć zawierających wizerunek Skarżącego oraz jego danych osobowych zawartych w opisach tych zdjęć. Jak wskazał dalej Skarżący, po ustaniu stosunku pracy z (...) Sp. z o.o. rozpoczął prowadzenie własnej działalności gospodarczej w dziedzinie informatyki i w związku z faktem ciągłej aktywności wskazanych adresów e - mail doszło do kilku pomyłek, w wyniku których korespondencja dotycząca tajemnic handlowych firmy Skarżącego została wysłana przez jego kontrahentów na nieużywany już przez niego pracowniczy adres e - mail, co doprowadziło do jej ujawnienia firmie konkurencyjnej. Skarżący występował kilkakrotnie do (...) Sp. z o.o. o usunięcie jego adresów mailowych oraz innych danych znajdujących się na stronie internetowej Spółki, ale Spółka nie zastosowała się do jego żądania. W świetle powyższych okoliczności Skarżący wniósł o podjęcie działań przez Generalnego Inspektora Ochrony Danych Osobowych zmierzających do usunięcia ze strony internetowej Spółki wskazanych przez niego danych osobowych.

W toku postępowania administracyjnego przeprowadzonego w niniejszej sprawie Generalny Inspektor Ochrony Danych Osobowych odebrał wyjaśnienia od zarządu Spółki, w których wskazano, iż: "P. X był pracownikiem Spółki do dnia 31 grudnia 2008 r. Będąc pracownikiem Spółki prowadził działalność konkurencyjną poprzez nagabywanie klientów Spółki proponując świadczenie usług w ramach własnej działalności gospodarczej. (...) skutkiem działalności konkurencyjnej Skarżącego była utrata przez Spółkę kluczowego klienta wraz ze spółkami powiązanymi z tym klientem co spowodowało powstanie znacznej szkody po stronie Spółki. (...) Spółka jest na etapie gromadzenia materiału dowodowego w celu wszczęcia postępowanie przeciwko p. X o prowadzenie działalności konkurencyjnej. Utrzymanie adresów e - mail wymienionych w skardze czyni niezbędnym do przeprowadzenia postępowania cywilnego przeciwko p. X (...). Jako, że w materiale dowodowym znajduje się m.in. e - mail klienta Spółki skierowany na jeden z adresów e - mail, których usunięcia żąda p. X, świadczący o prowadzeniu działalności konkurencyjnej, czasowe pozostawienie tych kont Spółka uważa za niezbędne. Ponadto Spółka wskazała, iż "usunie wskazane w skardze adresy e - mail niezwłocznie po zakończeniu gromadzenia materiału dowodowego nie później jednak niż w terminie 4 miesięcy od dnia 1 marca 2009 r.". Jako podstawę prawną przetwarzania danych osobowych Skarżącego w zakresie opisanym w skardze Spółka wskazała art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) uzasadniając, że utrzymywanie przedmiotowych kont e - mail oraz zdjęć jest niezbędne dla realizacji prawnie usprawiedliwionego celu Spółki, jakim jest dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej, roszczeń za szkodę wyrządzoną Spółce przez Skarżącego, a do których dochodzenia uprawnieni są na podstawie przepisów ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (tekst jedn.: Dz. U. z 2003 r. Nr 153, poz. 1503).

Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:

W świetle przepisów ustawy o ochronie danych osobowych o legalności przetwarzania danych osobowych można mówić wówczas, gdy zachodzić jedna z przesłanek określonych w art. 23 ust. 1 ustawy o ochronie danych osobowych, zwanej dalej ustawą. W ustalonym stanie faktycznym sprawy bezsprzeczne jest, że Skarżący nie wyrażał zgody na przetwarzanie jego danych osobowych we wskazany w skardze sposób, przez (...) Sp. z o.o. po ustaniu stosunku pracy, (art. 23 ust. 1 pkt 1 ustawy), jak też, że przetwarzanie jego danych w tym zakresie nie jest prowadzone dla wykonania zawartej z nim umowy (art. 23 ust. 1 pkt 3 ustawy). Nie jest to także potrzebne dla realizacji dobra publicznego (art. 23 ust. 1 pkt 4 ustawy). Natomiast w ocenie (...) Sp. z o.o. podstawę przetwarzania przez Spółkę danych osobowych Skarżącego stanowi prawnie usprawiedliwiony cel administratora danych (art. 23 ust. 1 pkt 5 ustawy), jakim m.in. jest dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (art. 23 ust. 4 pkt 2 ustawy).

Stosownie do art. 23 ust. 1 pkt 5 ustawy, przetwarzanie danych osobowych jest dopuszczalne, gdy jest to niezbędne dla wypełniania prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

W przedmiotowej sprawie Spółka (...) wskazała, iż podejrzewa, że ze strony Skarżącego doszło do naruszeń w zakresie prowadzenia przez niego działalności konkurencyjnej i w celu dochodzenia od niego roszczeń z tego tytułu Spółka gromadzi materiał dowodowy, którego istotnym elementem są pracownicze konta e - mail Skarżącego, bowiem jak wskazano, na jeden z tych adresów, były klient Spółki przesłał e - mail świadczący o prowadzeniu przez Skarżącego, w okresie zatrudnienia, działalności konkurencyjnej. Powyższa argumentacja nie zasługuje na uwzględnienie. Prawdą jest, że Spółka ma prawo dochodzić swych roszczeń i w tym celu i na tej podstawie przetwarzać dane osobowe, jednakże w niniejszej sprawie ciągła aktywność przedmiotowych adresów e - mail oraz udostępnianie na stronie internetowej Spółki zdjęć

Skarżącego niewątpliwie narusza jego prawa i wolności chociażby w zakresie dotyczącym jego wizerunku. Skarżący nie jest już pracownikiem Spółki. Prowadzi obecnie własną działalność gospodarczą, z którą chce być utożsamiany. Ciągła aktywność, a zarazem możliwość przesłania wiadomości na przedmiotowe adresy e-mail, pośrednio jednak nadal utożsamia osobę Skarżącego ze Spółką co w obecnej sytuacji daje fałszywy obraz osoby Skarżącego. Ponadto osoba, do której, zgodnie z jej identyfikatorem zawartym w adresie, kierowana jest korespondencja nie ma możliwość zapoznania się nią, co z kolei stanowi przejaw naruszenia wolności tej osoby do prawa komunikowania się oraz ochrony jej korespondencji.

Tą samą argumentację należy odnieść do kwestii udostępniania przez Spółkę danych osobowych Skarżącego w postaci jego wizerunku oraz danych osobowych w zakresie jego imienia i nazwiska, poprzez zamieszczenie na stronie internetowej Spółki zdjęć z wizerunkiem Skarżącego oraz zawartych w ich opisie danych tj. jego imienia i nazwiska. Przez fakt, iż przedmiotowe zdjęcia nadal widnieją na stronie internetowej Spółki, Skarżący jest z nią nadal utożsamiany, mimo, iż obecnie nie jest on już jej pracownikiem. Ponadto, analizując tę kwestię w zakresie wskazanej przez Spółkę podstawy legalności ich przetwarzania, nie można zgodzić się ze stanowiskiem Spółki jakoby udostępnianie danych osobowych Skarżącego w ten sposób było niezbędne dla dochodzenia, przez Spółkę, roszczeń z tytułu prowadzonej działalności gospodarczej. Przedmiotowe zdjęcia wskazywać i potwierdzać mogą jedynie, niepodważany przez żadną ze stron postępowania fakt, iż Pan X był pracownikiem Spółki. Nie dostarczają one natomiast żadnego dowodu na potwierdzenie podejrzenia prowadzenia przez Skarżącego działalności sprzecznej z przepisami ustawy o zakazie konkurencji, a więc by ich dalsze przetwarzanie było niezbędne dla dochodzenia przez Spółkę roszczenia z tytułu prowadzonej działalności gospodarczej. Trudno uznać także, by postawą ich przetwarzania były inne z wymienionych w art. 23 ust. 1 ustawy przesłanki legalnego przetwarzania danych osobowych.

Niezależnie od powyższego wskazać także należy, iż za brakiem podstawy prawnej aktualnego przetwarzania danych osobowych Skarżącego, we wskazanym zakresie, przez (...) Sp. z o.o. przemawia również regulacja wyrażona w art. 26 ust. 1 ustawy, a ściślej w jej pkt 2 i 3, stanowiąca o obowiązku administratora do zbierania danych osobowych dla oznaczonych zgodnych z prawem celów i nie poddawanie ich dalszemu przetwarzaniu niezgodnemu z tymi celami (pkt 2) oraz jego zobowiązaniu aby zebrane przez niego dane były merytorycznie poprawne i adekwatne w stosunku do celu dla jakiego były zbierane (pkt 3). W niniejszej sprawie dane osobowe Skarżącego zebrane były przez Spółkę w związku z jego zatrudnieniem. Pracownicze adresy e - mail utworzone zostały w ściśle określonym celu, a mianowicie w celu kontaktowania się przez Pana X z klientami Spółki, a zatem do działań związanych i wynikających ze stosunku pracy. Skarżący nie jest już pracownikiem Spółki, nie wykonuje obecnie zadań wynikających z łączącego go ze Spółką stosunku pracy, zatem ustał cel przetwarzania jego danych zawartych w adresach e - mail, a także jego wizerunku, a ich aktualne przetwarzanie w ten sposób stanowi przetwarzanie niezgodne z celem dla którego dane te były zbierane. Pozostawiając na stronie internetowej zdjęcia zawierające wizerunek Skarżącego oraz utrzymując ciągłą aktywność jego pracowniczych adresów e - mail administrator utrzymuje również stan niegodny z prawdą, nie odpowiadający najnowszemu stanowi rzeczy. Skarżący nie jest pracownikiem Spółki i nie ma podstaw by nadal był z nią utożsamiany, a administrator obowiązany jest uwzględnić ten stan rzeczy w zakresie przetwarzanych o nim informacji. Jak wskazał Sąd Najwyższy w wyroku z dnia 19 listopada 2003 r. sygn. I PK 590/2002 "ujawnienie przez pracodawcę nazwiska (imienia) pracownika bez jego zgody nie stanowi bezprawnego naruszenia dobra osobistego, jeżeli jest usprawiedliwione zadaniami i obowiązkami pracodawcy związanymi z prowadzeniem zakładu, jest niezbędne i nie narusza praw oraz wolności pracownika". W ocenie Generalnego Inspektora Ochrony Danych Osobowych Spółka ma prawo przetwarzać dane osobowe Skarżącego aktualnie wyłącznie w celu archiwalnym, ewentualnie w związku z prowadzonym przeciwko niemu postępowaniem sądowym, a utrzymywanie przedmiotowych adresów e-mail i przetwarzanie danych osobowych Skarżącego na stronie internetowej w tym celu się nie mieści.

Za koniecznością usunięcia przez Spółkę danych osobowych Skarżącego przemawia również regulacja wyrażona w art. 35 ust. 1 ustawy, zgodnie z którą w razie wykazania przez osobę, której dane osobowe dotyczą, że są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są zbędne do realizacji celu, dla którego zostały zebrane, administrator danych jest obowiązany, bez zbędnej zwłoki, do uzupełnienia, sprostowania danych, czasowego lub stałego wstrzymania przetwarzania kwestionowanych danych lub ich usunięcia ze zbioru, chyba że dotyczy on danych osobowych, w odniesieniu do których tryb ich uzupełnienia, uaktualnienia lub sprostowania określają odrębne ustawy. W przedmiotowej sprawie przetwarzanie przez (...) Sp. z o.o. danych osobowych Skarżącego poprzez ich udostępnianie na stronie internetowej i w przypisanych mu adresach e - mail jest zbędne dla realizacji celu, dla którego zostały zebrane. Skarżący nie jest już pracownikiem Spółki, wystąpił do Spółki w wnioskiem o przywrócenie stanu zgodnego z prawem tj. usunięcie jego danych osobowych ze strony internetowej Spółki i usunięcie przedmiotowych adresów e - mail zatem obowiązkiem administratora było niezwłoczne uwzględnienie tego stanu rzeczy.

Mając zatem na uwadze powyższe, Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Decyzja jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych i art. 129 § 2 Kodeksu postępowania administracyjnego strona niezadowolona z niniejszej decyzji może zwrócić się do Generalnego Inspektora Ochrony Danych Osobowych (adres: 00-193 Warszawa, ul. Stawki 2) z wnioskiem o ponowne rozpatrzenie sprawy, w terminie 14 dni od dnia doręczenia niniejszej decyzji.