RODO beck: odmowa i dalsze kroki prawne w praktyce prawnej

Wejście w życie Ogólnego Rozporządzenia o Ochronie Danych (RODO) w sposób fundamentalny zmieniło krajobraz prawny w Europie, nakładając na administratorów danych szereg rygorystycznych obowiązków, a osobom fizycznym przyznając bezprecedensowe narzędzia kontroli nad ich informacjami osobistymi. W codziennej praktyce prawnej niezwykle istotnym, a zarazem skomplikowanym obszarem jest funkcjonowanie systemów informacji prawnej (SIP), takich jak platformy wydawnictwa C.H. Beck. Systemy te gromadzą, przetwarzają i udostępniają gigantyczne wolumeny danych, w tym dane osobowe autorów publikacji, pełnomocników procesowych, sędziów, a także stron postępowań sądowych, których dane widnieją w treści publikowanych orzeczeń. Co jednak zrobić w sytuacji, gdy osoba, której dane dotyczą, składa wniosek o realizację swoich praw (np. prawo do usunięcia danych, prawo do sprzeciwu czy prawo dostępu), a administrator systemu odpowiada odmownie? Niniejsze opracowanie stanowi szczegółowe kompendium wiedzy na temat procedury odwoławczej, analizując obowiązki administratora, dopuszczalne przesłanki odmowy oraz dalsze kroki prawne, jakie może podjąć wnioskodawca.

Teza publikacji: Granice ochrony danych w systemach informacji prawnej

Realizacja praw podmiotów danych na gruncie RODO w ramach profesjonalnych systemów informacji prawnej nie ma charakteru absolutnego. Musi być ona każdorazowo ważona z innymi prawami podstawowymi, takimi jak wolność wypowiedzi i informacji, prawo do prowadzenia badań naukowych oraz potrzeba zapewnienia pewności obrotu prawnego poprzez dostęp do orzecznictwa. Niemniej jednak, każda odmowa realizacji praw przez administratora takiego jak Beck musi opierać się na precyzyjnie zidentyfikowanej podstawie prawnej i być poparta rzetelnym uzasadnieniem faktycznym. Dowolność lub szablonowość działania administratora stanowi rażące naruszenie przepisów, otwierające wnioskodawcy drogę do skutecznego zaskarżenia takiej decyzji.

Na czym polega problem odmowy realizacji praw RODO?

Główny problem w praktyce prawnej wiąże się z kolizją dóbr. Z jednej strony mamy prawo jednostki do prywatności i decydowania o swoich danych (w tym prawo do bycia zapomnianym – art. 17 RODO), z drugiej zaś – interes publiczny i gospodarczy wydawcy oraz użytkowników bazy danych (prawników, sędziów, naukowców), którzy potrzebują dostępu do kompletnych i rzetelnych materiałów źródłowych. Kiedy użytkownik lub osoba trzecia (np. osoba, której nazwisko pojawia się w bazie orzeczeń lub strukturach powiąń kapitałowych) żąda usunięcia swoich danych, administrator staje przed trudnym zadaniem oceny, czy żądanie to jest zasadne. Odmowa realizacji wniosku jest formalnym aktem administratora, który twierdzi, że jego prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) lub inne przepisy prawa (np. cele dokumentacyjne, wolność słowa) przeważają nad interesami i prawami osoby, której dane dotyczą.

Kogo dotyczy ten problem?

Krąg podmiotów dotkniętych tym problemem jest niezwykle szeroki i obejmuje m.in.:

Praktyków prawa (adwokatów, radców prawnych, notariuszy): których dane kontaktowe, zawodowe oraz informacje o prowadzonych sprawach są indeksowane w bazach danych;
Strony postępowań sądowych: których dane osobowe (często wrażliwe) mogą przypadkowo lub w wyniku niedostatecznej anonimizacji znaleźć się w publikowanych wyrokach i decyzjach administracyjnych;
Autorów i współautorów: publikacji naukowych, komentarzy czy glos, którzy chcą wycofać swoje dane lub sprzeciwiają się ich dalszemu komercyjnemu wykorzystywaniu;
Przedsiębiorców i członków organów spółek: których powiązania biznesowe są mapowane i prezentowane w modułach analizy powiązań gospodarczych systemów takich jak Beck.

Podstawa prawna i obowiązki administratora

Podstawą prawną wszelkich działań związanych z obsługą wniosków są przepisy Rozdziału III RODO (art. 12-22). Administrator ma bezwzględny obowiązek ułatwiania osobom, których dane dotyczą, wykonywania ich praw. Oznacza to, że procedury zgłaszania żądań powinny być jasne, przejrzyste i łatwo dostępne.

Obowiązek informacyjny i termin na odpowiedź

Zgodnie z art. 12 ust. 3 RODO, administrator ma obowiązek udzielić odpowiedzi na wniosek bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. W sprawach szczególnie skomplikowanych lub przy dużej liczbie wniosków, termin ten może zostać przedłużony o kolejne dwa miesiące. Jednakże, aby przedłużenie było skuteczne, administrator musi przed upływem pierwszego miesiąca poinformować wnioskodawcę o opóźnieniu i podać jego przyczyny.

Przesłanki odmowy – kiedy administrator ma prawo powiedzieć „nie”?

Administrator może odmówić realizacji żądania (np. usunięcia danych lub ograniczenia przetwarzania) tylko w ściśle określonych przypadkach. Najczęstsze przesłanki odmowne w kontekście baz takich jak Beck to:

Niezbędność do korzystania z prawa do wolności wypowiedzi i informacji (art. 17 ust. 3 lit. a RODO): Dotyczy to w szczególności publikacji prasowych, komentarzy naukowych oraz glos, gdzie dane autora są integralną częścią dzieła.
Cele archiwalne w interesie publicznym, cele badań naukowych lub historycznych (art. 17 ust. 3 lit. d RODO): Systemy informacji prawnej pełnią kluczową rolę w dokumentowaniu historii prawa i orzecznictwa, co może uzasadniać odmowę usunięcia danych z archiwalnych wyroków.
Ustalenie, dochodzenie lub obrona roszczeń (art. 17 ust. 3 lit. e RODO): Jeśli dane są niezbędne do obrony prawnej samego administratora lub osób trzecich.
Wykazanie, że prawnie uzasadnione interesy administratora są nadrzędne wobec interesów wnioskodawcy (art. 21 ust. 1 RODO): W przypadku wniesienia sprzeciwu wobec przetwarzania.

Procedura postępowania krok po kroku po otrzymaniu odmowy

Otrzymanie pisma odmownego od administratora systemu Beck nie kończy sprawy. Wnioskodawca ma do dyspozycji konkretne narzędzia prawne. Poniżej przedstawiamy procedurę postępowania krok po kroku.

Krok 1: Analiza formalna i merytoryczna pisma odmownego

Pierwszym krokiem jest dokładna weryfikacja otrzymanej odmowy. Należy sprawdzić, czy administrator dochował terminu na odpowiedź oraz czy pismo zawiera wymagane prawem elementy. Zgodnie z art. 12 ust. 4 RODO, jeżeli administrator nie podejmuje działań w związku z żądaniem, ma on obowiązek niezwłocznie (najpóźniej w terminie miesiąca) poinformować o:

powodach niepodjęcia działań (uzasadnienie merytoryczne);
możliwości wniesienia skargi do organu nadzorczego (Prezesa UODO);
możliwości skorzystania ze środków ochrony prawnej przed sądem.

Brak któregokolwiek z tych elementów stanowi samodzielne naruszenie procedury RODO przez administratora.

Krok 2: Wezwanie do usunięcia uchybień lub ponowny wniosek

Jeśli uzasadnienie odmowy opiera się na błędnych przesłankach faktycznych (np. administrator twierdzi, że dane są zanonimizowane, podczas gdy w rzeczywistości łatwo zidentyfikować wnioskodawcę), warto skierować do administratora ostateczne wezwanie przedsądowe. W piśmie tym należy precyzyjnie obalić argumentację administratora, wskazując na konkretne wyroki sądów lub decyzje UODO w analogicznych sprawach. Daje to administratorowi szansę na polubowne załatwienie sprawy bez angażowania organów państwowych.

Krok 3: Skarga do organu nadzorczego (Prezesa UODO)

Gdy wezwanie nie przynosi skutku, kluczowym krokiem jest wniesienie skargi do Prezesa Urzędu Ochrony Danych Osobowych. Skarga jest wolna od opłat skarbowych i może być złożona tradycyjnie (pisemnie) lub elektronicznie przez platformę ePUAP. W skardze należy wskazać:

pełne dane skarżącego oraz administratora (np. Wydawnictwo C.H. Beck);
szczegółowy opis naruszenia (jakich danych dotyczy wniosek, kiedy został złożony, jaka była treść odmowy);
żądanie nakazania administratorowi spełnienia wniosku (np. usunięcia danych lub ograniczenia ich przetwarzania);
dowody potwierdzające racje skarżącego (kopia wniosku, kopia odmowy, zrzuty ekranu dokumentujące obecność danych w systemie).

Krok 4: Droga sądowa – powództwo cywilne

Niezależnie od postępowania przed Prezesem UODO, osobie, której dane dotyczą, przysługuje prawo do wniesienia pozwu do sądu powszechnego (sądu okręgowego) na podstawie art. 79 RODO. W ramach powództwa cywilnego można domagać się nakazania określonego zachowania (np. usunięcia danych) oraz – co niezwykle istotne – odszkodowania lub zadośćuczynienia za szkodę majątkową lub niemajątkową (krzywdę) wywołaną naruszeniem przepisów RODO (art. 82 RODO).

Najczęstsze błędy popełniane przez wnioskodawców i administratorów

Analiza praktyki orzeczniczej pozwala na zidentyfikowanie powtarzających się błędów po obu stronach sporu:

Błędy administratorów: stosowanie automatycznych szablonów odmownych bez analizy konkretnego przypadku; ignorowanie faktu, że dane w orzeczeniach sądowych, mimo usunięcia imienia i nazwiska, nadal pozwalają na identyfikację osoby poprzez unikalny kontekst sprawy; nieuzasadnione przedłużanie terminów odpowiedzi.
Błędy wnioskodawców: formułowanie żądań w sposób zbyt ogólny (np. „żądam usunięcia wszelkich wzmianek o mnie z internetu”); brak wykazania szczególnej sytuacji przy wnoszeniu sprzeciwu na podstawie art. 21 RODO; nieuzasadnione przekonanie, że prawo do bycia zapomnianym ma charakter absolutny i pozwala na usunięcie danych z oficjalnych rejestrów publicznych czy baz orzecznictwa sądowego, które są legalnie przetwarzane.

Praktyczny przykład (Case Study)

Aby lepiej zobrazować mechanizm działania procedury odwoławczej, posłużmy się praktycznym przykładem. Pan Jan, będący radcą prawnym, odkrył, że w systemie informacji prawnej Beck, w module analizy powiązań, jego nazwisko jest stale kojarzone ze spółką, w której pełnił funkcję członka zarządu 15 lat temu. Spółka ta została dawno wykreślona z KRS, a Pan Jan nie chce, aby jego obecny wizerunek zawodowy był łączony z tamtą, nieudaną działalnością gospodarczą. Pan Jan złożył do administratora wniosek o usunięcie tych danych (art. 17 RODO) oraz sprzeciw wobec dalszego ich przetwarzania (art. 21 RODO).

Administrator odpowiedział odmownie, argumentując, że dane pochodzą z oficjalnych, historycznych rejestrów publicznych (KRS), a ich prezentacja w systemie leży w prawnie uzasadnionym interesie użytkowników bazy (zapewnienie rzetelnej wiedzy o historii gospodarczej podmiotów). Pan Jan nie zgodził się z tą argumentacją i wniósł skargę do Prezesa UODO. Wskazał, że upływ 15 lat, wykreślenie spółki oraz jego obecny status zawodowy sprawiają, że dalsze profilowanie i prezentowanie tych danych w celach komercyjnych narusza jego prawa i wolności, a cel archiwalny można osiągnąć bez aktywnego linkowania jego profilu zawodowego z nieistniejącym podmiotem.

Prezes UODO po przeprowadzeniu postępowania uznał skargę Pana Jana za częściowo uzasadnioną. Organ wskazał, że choć samo przechowywanie danych historycznych w celach dokumentacyjnych jest dopuszczalne, to jednak ich aktywne prezentowanie w dynamicznych grafach powiązań komercyjnych, po tak długim czasie od ustania członkostwa w organie nieistniejącej spółki, wykracza poza ramy niezbędności i narusza zasadę adekwatności. Nakazano administratorowi ograniczenie przetwarzania poprzez usunięcie powiązania z grafu widocznego dla standardowych użytkowników systemu.

Skutki prawne braku zgodności z RODO

Dla administratorów systemów informacji prawnej, lekceważenie wniosków użytkowników lub nieuzasadnione odmowy niosą za sobą poważne konsekwencje. Prezes UODO posiada uprawnienia do nakładania administracyjnych kar pieniężnych, które zgodnie z art. 83 ust. 5 RODO mogą wynosić do 20 000 000 EUR lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego. Ponadto, każda decyzja organu stwierdzająca naruszenie ułatwia poszkodowanemu dochodzenie roszczeń odszkodowawczych na drodze cywilnej, gdzie wykazanie winy administratora staje się formalnością.

Podsumowanie i rekomendacje dla praktyków

Procesowanie wniosków RODO w relacji z dużymi wydawnictwami prawniczymi i administratorami baz danych wymaga doskonałej znajomości przepisów oraz precyzji argumentacji. Odmowa administratora nie powinna być traktowana jako ostateczne rozstrzygnięcie, lecz jako punkt wyjścia do merytorycznej dyskusji lub formalnego sporu przed Prezesem UODO. Kluczem do sukcesu jest wykazanie, że przetwarzanie danych w danym zakresie lub przez dany czas przestało być niezbędne do celów, w których zostały zebrane, a interesy i prawa osoby fizycznej przeważają nad interesem gospodarczym administratora. Zarówno dla pełnomocników reprezentujących klientów, jak i dla samych administratorów, kluczowe znaczenie ma stałe monitorowanie orzecznictwa TSUE oraz decyzji krajowych organów nadzorczych, które na bieżąco kształtują granice prywatności w cyfrowym świecie.