Dane członka zarządu osoby prawnej to też dane osobowe (TSUE)

Czy dane członka zarządu osoby prawnej — imię, nazwisko, informacje kontaktowe — mogą być traktowane jako dane osobowe? Czy posługiwanie się takimi informacjami w celu weryfikacji uprawnienia do reprezentacji podmiotu oznacza przetwarzanie danych osobowych? Czy jednak osoby prawne danych osobowych nie mają, zatem ochrona wynikająca z RODO nie przysługuje piastunom stanowisk uprawnionych do ich reprezentacji? wyrok Trybunału ... Dowiedz się więcej Tekst Dane członka zarządu osoby prawnej to też dane osobowe (TSUE) pojawił się poraz pierwszy w Czasopismo Lege Artis.

Kwi 4, 2025 - 01:35

Dane członka zarządu osoby prawnej to też dane osobowe (TSUE)

Czy dane członka zarządu osoby prawnej — imię, nazwisko, informacje kontaktowe — mogą być traktowane jako dane osobowe? Czy posługiwanie się takimi informacjami w celu weryfikacji uprawnienia do reprezentacji podmiotu oznacza przetwarzanie danych osobowych? Czy jednak osoby prawne danych osobowych nie mają, zatem ochrona wynikająca z RODO nie przysługuje piastunom stanowisk uprawnionych do ich reprezentacji?

rytir Franta — Ujęcie czeskie, ilustracyjne (fot. Olgierd Rudak, CC BY-SA 4.0)

wyrok Trybunału Sprawiedliwości UE z 3 kwietnia 2025 r. w/s Ministerstvo zdravotnictví (C-710/23)
1) Udostępnienie imienia, nazwiska, podpisu i danych kontaktowych osoby fizycznej reprezentującej osobę prawną stanowi przetwarzanie danych osobowych. Bez znaczenia w tym względzie jest okoliczność, że udostępnienia tego dokonano wyłącznie w celu umożliwienia zidentyfikowania osoby fizycznej upoważnionej do działania w imieniu tej osoby prawnej.
2) Art. 6 ust. 1 lit. c) i e) w zw. z art. 86 RODO] nie stojąna przeszkodzie orzecznictwu sądów krajowych nakładającemu na administratora, który jest organem publicznym odpowiedzialnym za pogodzenie prawa publicznego dostępu do dokumentów urzędowych z prawem do ochrony danych osobowych, poinformowania danej osoby fizycznej i skonsultowania się z nią przed przekazaniem dokumentów urzędowych zawierających takie dane, o ile taki obowiązek nie jest niemożliwy do wykonania ani nie wymaga niewspółmiernie dużego wysiłku, a tym samym nie pociąga za sobą nieproporcjonalnego ograniczenia prawa publicznego dostępu do tych dokumentów.

opis stanu faktycznego:

sprawa zaczęła się od złożonego przez obywatela Czeskiej Republiki do Ministerstva zdravotnictví wniosku o udostępnienie informacji nt. osób, które podpisały umowę na testy przesiewowe przeciwko COVID-19, a także certyfikatów potwierdzających dopuszczenie testów do wykorzystania;

urzędnicy przekazali informacje o testach — ale odmówiono ujawnienia danych osób, które podpisały się pod certyfikatami (jak też częściowo informacji o osobach prawnych), a to z powołaniem się na ochronę ich prywatności;
skarga na odmowę trafiła do sądu, który stwierdził, iż zgodnie z czeskim prawem ministerstwo nie mogło odmówić udostępnienia informacji bez uzyskania stanowiska osób, których dane miały być ujawnione, ale też niedostatecznie zbadało przesłanki wskazane w art. 6 ust. 1 RODO;

motyw 14 RODO
[RODO] nie dotyczy przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej.

art. 86 RODO
Dane osobowe zawarte w dokumentach urzędowych, które posiada organ lub podmiot publiczny lub podmiot prywatny w celu wykonania zadania realizowanego w interesie publicznym, mogą zostać przez ten organ lub podmiot ujawnione zgodnie z prawem Unii lub prawem państwa członkowskiego, któremu podlegają ten organ lub podmiot, dla pogodzenia publicznego dostępu do dokumentów urzędowych z prawem do ochrony danych osobowych na mocy niniejszego rozporządzenia.

badając odwołanie wniesione przez ministerstwo Nejvyšší správní soud powziął wątpliwość, czy dane członka zarządu osoby prawnej mogą być chronione jak dane innych osób, a także czy przekazanie informacji o imieniu, nazwisku, danych kontaktowych i podpisu osoby pełniącej funkcję członka zarządów podmiotów można traktować jako przetwarzanie danych osobowych (drugie pytanie dotyczyło dopuszczalności wymogu udziału zainteresowanej osoby w postępowaniu), zatem wystąpił w trybie prejudycjalnym do TSUE;

orzeczenie TSUE:

definicyjnie dane osobowe to „wszelkie informacje” o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, czyli takiej, której tożsamość można ustalić na podstawie określonego identyfikatora, na przykład imienia i nazwiska;
stąd też informacje o osobach fizycznych, które są uprawnione do składania oświadczeń w imieniu określonych podmiotów (np. spółek czy innych osób prawnych) są traktowane jako dane osobowe;

To, że informacje te wpisują się w ramy działalności zawodowej, nie może odebrać im miana danych osobowych.

jako dane osobowe należy traktować także odręczny podpis osoby (wyrok TSUE z 4 października 2024 r., C‑200/23);
natomiast dane kontaktowe spółki mogą stanowić jako dane osobowe — jeśli są powiązane z zidentyfikowaną lub możliwą do identyfikacji osobą fizyczną;
jako argument do innej wykładni nie może posłużyć motyw 14 RODO: jest tam mowa o firmie i danych kontaktowych osób prawnych, a nie o danych osób piastujących określone funkcje;
a skoro przetwarzaniem jest praktycznie każda — niezależnie od celu — operacja przeprowadzona na danych osobowych — to ujawnienie imienia, nazwiska, danych kontaktowych i podpisu, choćby miało na celu wyłącznie identyfikację członka zarządu jako osoby uprawnionej do reprezentacji podmiotu, jest przetwarzaniem danych osobowych;
odnosząc się natomiast do kwestii uprzedniego zwrócenia się do takiej osoby z pytaniem o chęć zachowania jej tożsamości w prywatności, TSUE podkreślił, iż RODO jest w pewnym sensie „minimum” ochrony, a poszczególne państwa mogą zaostrzać warunki przetwarzania (art. 6 ust. 2 RODO);
tu jednak należy mieć na uwadze zasady jawności życia publicznego, w tym prawo dostępu do informacji publicznej, zaś wyważenie tych reguł może zależeć także od praktyki wynikającej z orzecznictwa krajowego nakazującego uwzględniać opinię osoby, której dane mają być ujawnione — aczkolwiek też pod warunkiem, że nie doprowadzi to do nieproporcjonalnego ograniczenia dostępu do dokumentów publicznych;
odpowiedzialność za wyważenie tych interesów spoczywa na organie, do którego trafił wniosek o udostępnienie informacji publicznej, ale też na sądzie rozpatrującym skargę na odmowę.

Zamiast komentarza: myślę, że omawiane orzeczenie doleje niemało oliwy do ognia w kontekście sporów o interpretację art. 5 ust. 2 udip — ale też przyda się pomstującym na publikację danych z publicznych rejestrów (choćby i KRS) w prywatnych serwisach internetowych (por. „Przetwarzanie danych osobowych zaciągniętych z KRS jest dozwolone”).

Tekst Dane członka zarządu osoby prawnej to też dane osobowe (TSUE) pojawił się poraz pierwszy w Czasopismo Lege Artis.

Czytaj Więcej