Podstawowym celem ustawy o ochronie danych osobowych z 29 sierpnia 1997r. jest dążenie do zabezpieczenia prywatności. Warto zatem wskazać kogo chroni ta ustawa.
Art. 2 ust. 1. stanowi, że „Ustawa określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych”. Z brzmienia tego przepisu jednoznacznie wynika, że działaniem ustawy objęte są tylko przypadki przetwarzania danych osób fizycznych. Nie ma zatem podstaw do stosowania przepisów ustawy do przetwarzania danych odnoszących się wyłącznie do osób prawnych lub jednostek organizacyjnych nieposiadających osobowości prawnej.
Ciekawie wygląda jednak kwestia danych osobowych przedsiębiorców i dlatego przywołam dwa orzeczenia .
Pierwsze to wyrok Sądu Administracyjnego z dnia 28 listopada 2002 (sygn. II SA 3389/2001), w którym wyczytamy, że jeżeli przedsiębiorca objął zakresem danych indywidualnych dotyczących firmy swoje dane osobowe, w sytuacji gdy dane te pokrywają się, nie może on jako osoba fizyczna domagać się ochrony swoich danych osobowych, które są wykorzystywane nie jako dane osobowe, lecz jako dane firmy. Decydując się na utożsamianie tych danych godzi się tym samym na szersze ich ujawnianie i słabszą ochronę.
Powyższe orzeczenie zapadło w sprawie, w której to Tomasz G. wniósł o wszczęcie postępowania i wydanie decyzji nakazującej zaprzestania przetwarzania jego danych dla celów marketingowych przez operatora sieci telefonii komórkowej, który wysyłał na telefon skarżącego wiadomości tekstowe reklamujące pewien program telewizyjny. W toku postępowania ustalono, że telefon jest na firmę Pana Tomasza G i jako taki jest wykorzystywany zarówno do celów zawodowych jak i prywatnych. W konsekwencji Sąd odmówił ochrony Tomaszowi G. z powodów, które opisałem wyżej.
Drugie orzeczenie to wyrok Sądu Administracyjnego w Warszawie z dnia 16 listopada 2011r. (sygn. II SA/Wa 1009/2011), w którym stwierdzono, że art. 2 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych jednoznacznie wskazuje, że działaniem ustawy objęte są tylko przypadki przetwarzania danych osób fizycznych. Zatem zasady postępowania przy przetwarzaniu danych innych podmiotów, w tym przedsiębiorców, także w zakresie w jakim składają się z danych osobowych z mocy art. 2 ust. 1 ustawy, nie podlegają regulacjom tej ustawy.
Powyższe poglądy krytykowano w literaturze, np. glosa krytyczna M. Jackowskiego (Glosa do wyroku NSA z dnia 28 listopada 2002 r., II SA 3389/01., Państwo i Prawo.2004.10.126). Osoby, które jednak akceptowały stanowisko sądów powoływały się na to, że art. 7a ust. 2 ustawy z dnia 19 listopada 1999 r. Prawo działalności gospodarczej wyłączał dane osobowe zawarte w ewidencji działalności gospodarczej spod przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.
Wszystko pięknie, tylko art. 7a ust. 2 ustawy z dnia 19 listopada 1999 r. Prawo działalności gospodarczej aktualnie nie obowiązuje. A co za tym idzie pogląd Sądów Administracyjnych należy uznać na gruncie aktualnych przepisów za nieuzasadniony.
Obecnie podmioty, które wyszukują dane osobowy w Centralnej Ewidencji Informacji Działalności Gospodarczej (w skrócie CEIDG) w celu np. przedstawienia swojej fantastycznej oferty przez telefon, muszą wcześniej uzyskać zgodę takiej osoby. A zatem Pan Tomasz G. z pierwszego wyroku który przytoczyłem dziś wygrałby sprawę przed sądem.
Warto również pamiętać, że od 1 lipca 2011r. podmioty będące administratorami danych osobowych przedsiębiorców będących osobami fizycznymi są zobowiązane do realizowania względem tych osób obowiązków informacyjnych o których mowa w art. 24 i 25 ustawy o ochronie danych osobowych. Co więcej przedsiębiorca będący osobą fizyczną może złożyć wniosek o udzielenie informacji do administratora danych i wówczas ten powinien w terminie 30 dni poinformować go m.in. o kategoriach danych przetwarzanych w zbiorze, sposobie zebrania, celu i zakresie ich przetwarzania, ewentualnym udostępnieniu ich innym podmiotom.
