Dane osobowe w serwisach społecznościowych

Analiza spraw z zakresu danych osobowych wskazuje, że istotne trudności interpretacyjne wywołuje już sama ocena, kiedy określona informacja o osobie fizycznej zamieszczona w sieci Internet ma charakter danej osobowej. Przykładem takiej sytuacji jest decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia 3 września 2008 r. dotycząca serwisu nk.pl[1]. W decyzji tej, wydanej na podstawie odwołania od wcześniejszej decyzji GIODO z dnia 27 maja 2008 r.[2], Generalny Inspektor uznał, że informacje o imieniu i nazwisku skarżącego, w połączeniu z informacjami o nazwie i adresie szkoły podstawowej oraz oznaczeniu klasy, do której uczęszczał, wraz z jego wizerunkiem z 1978/1979 roku nie umożliwiają jego identyfikacji, a tym samym nie stanowią jego danych osobowych. Stan faktyczny, będący podstawą wydania analizowanej decyzji przedstawiał się w skrócie w ten sposób, że jeden z użytkowników serwisu umieścił w nim wizerunek skarżącego sprzed lat (jako ucznia danej klasy szkoły podstawowej, oznaczonej z nazwy i adresu szkoły), a inny uzupełnił tą informacje poprzez przypisanie – w formie komentarza do fotografii – imienia i nazwiska skarżącego. Jak wynika z uzasadnienia decyzji, o zajęciu takiego stanowiska przez Generalnego Inspektora zadecydowało przyjęcie założenia, że po upływie 30 lat od utrwalenia wizerunku skarżącego, brak jest możliwości dokonania, na podstawie kwestionowanych informacji, jego identyfikacji przez „przeciętnego odbiorcę”. W konsekwencji uznania, że wyżej wymienione informacje nie stanowią danych osobowych, GIODO umorzył postępowanie, nie uwzględniając tym samym skargi skarżącego, który domagał się usunięcia wyżej wymienionych informacji, umieszczonych w serwisie bez jego zgody.

Powyżej przedstawione stanowisko Generalnego Inspektora uznać należy za nietrafne[3]. Przedstawiona w nim wykładnia „identyfikowalności” jako jednego z elementów rozstrzygających o zaliczeniu informacji do danych osobowych, jest sprzeczna z powszechnym sposobem rozumienia tego pojęcia w orzecznictwie Europejskiego Trybunału Sprawiedliwości[4], dokumentach Grupy Roboczej ds. Ochrony Danych Ustanowionej na Mocy Art. 29[5], czy wypowiedziach polskiej nauki prawa[6]. Konstrukcja „danych osobowych” nie zakłada bowiem odwoływania się do modelu „przeciętnego odbiorcy”. Dla przyjęcia, że mamy do czynienia z daną osobową wystarcza, że choć jedna osoba mająca dostęp do tych informacji ma możliwość, bezpośrednią lub pośrednią, identyfikacji danej osoby, nie jest więc konieczne ustalenie, że możliwość taką mają „przeciętni odbiorcy”. Z tych przyczyn, w analizowanej sprawie nk.pl bezspornie doszło do przetwarzania danych osobowych. Nawet bowiem, jeżeli przyjąć – a co nie zostało do końca wyjaśnione w uzasadnieniu decyzji Generalnego Inspektora – że użytkownik serwisu, który umieścił w sieci Internet wizerunek skarżącego, nie miał od początku możliwości jego identyfikacji na podstawie tych informacji (bezpośrednia identyfikacja), to bezspornie przecież możliwość taka pojawiła się po dopisaniu przez innego użytkownika serwisu, imienia i nazwiska skarżącego (pośrednia identyfikacja) [7]. Co więcej, hipotetycznie nawet zakładając dalej, że mimo poszerzenia zakresu posiadanych informacji, użytkownik, który umieścił w serwisie wizerunek skarżącego nadal by nie miał możliwości jego identyfikacji, to zgodnie z treścią przypisu nr 26 preambuły do dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych[8] dla uznania, że informacje te mają charakter danych osobowych, i tak wystarczające byłoby ustalenie, że (choć jedna) osoba trzecia, której tą informację (wizerunek) udostępniono, może dokonać jej identyfikacji[9]. Warunek ten bezspornie został spełniony w stosunku do tego użytkownika serwisu, który podpisał wizerunek imieniem i nazwiskiem skarżącego.

W podsumowaniu powyższych uwag należy stwierdzić, że ze względu na sposób funkcjonowania serwisów społecznościowych[10], praktycznie każda informacja o osobie fizycznej w nim umieszczona powinna być traktowana jako dana osobowa[11]. Nawet bowiem jeżeli takiego charakteru nie ma ona ani dla użytkownika ją umieszczającego, ani też  administratora serwisu, to jednak nigdy nie można wykluczyć, że późniejszej identyfikacji tej osoby nie dokonają inni użytkownicy tego serwisu.