Przetwarzanie danych osobowych przez towarzystwa ubezpieczeniowe – skarga do ETPCz

28 października 2009 r. została złożona przeciwko Polsce skarga do Europejskiego Trybunału Praw Człowieka przez Jacka K. w sprawie przetwarzania jego danych osobowych przez firmę ubezpieczeniową. Skarga została sporządzona z pomocą prawną pro bono udzieloną przez kancelarię adwokacką Karola Rutkowskiego.

Praktyka przetwarzania danych przez ING Nationale-Nederlanden, na której działania skarżył się przed organami krajowymi Jacek K. sprowadzała się do uzyskiwania numerów telefonów potencjalnych klientów od kontrahentów przedsiębiorstwa, w szczególności ich przyjaciół czy rodziny, poprzez tzw. referencje (kartka tak zatytułowana z krótką prośbą o podanie danych i około 10 pozycjami do uzupełnienia). Z Jackiem K. skontaktował się przedstawiciel rynkowy ING N.-N., wykorzystując dane kontaktowe pozyskane wcześniej od znajomego Skarżącego.

Zanim Skarżący zwrócił się o rozstrzygnięcie do ETPCz, interweniował on u samej firmy, a następnie u Generalnego Inspektora Ochrony Danych Osobowych (GIODO) oraz sądów: Wojewódzkiego Sądu Administracyjnego w Warszawie oraz Naczelnego Sądu Administracyjnego (NSA). Wszystkie trzy ostatnie wymienione organy przyjęły tą samą interpretację na niekorzyść Jacka K.: jeśli dane podmiotu ochrony danych osobowych, po ich zebraniu i wykorzystaniu przez administratora zostały przezeń usunięte z jego zasobów, GIODO nie może wszcząć następnie postępowania ze skargi podmiotu danych przeciwko administratorowi. Innymi słowy, „wyprzedzające” usunięcie danych przez administratora pozbawia podmiot możliwości wszczęcia postępowania dotyczącego przede wszystkim – jak w sprawie Jacka K. - operacji wcześniejszego zebrania danych, a nie ich dalszego wykorzystania.

Skarżący zarzucił państwu polskiemu, naruszenie artykułów 6 ust. 1 oraz 8 Europejskiej Konwencji Praw Człowieka. Twierdzi, że jego prawo do prywatności zostało naruszone wprawdzie pierwotnie przez podmiot prywatny, na którego działania nie przysługuje skarga do Trybunału, ale wtórne naruszenie dokonane zostało przez państwo w wyniku nie udzielenia Skarżącemu ochrony sądowej.

Helsińska Fundacja Praw Człowieka zaangażowana była w sprawę niemal od samego początku jako uczestnik na prawach strony w postępowaniu przed GIODO. Efektem jej działania, poza zapewnieniem pomocy pro bono ze strony ww. kancelarii prawnej, było przygotowanie kompleksowej opinii prawnej, która prezentuje w szczególności standardy międzynarodowe w zakresie ochrony prywatności, w tym przetwarzania danych osobowych.

Podniesiony w sprawie Jacka K. problem „referencji” został zbadany przez GIODO, ale z urzędu, bez bezpośredniego udziału Jacka K. W wyniku tego postępowania, 10 sierpnia br. Generalny Inspektor zarządził  „zaprzestanie [przez ING N.-N.] pozyskiwania danych osobowych na "Formularzach wizyty serwisowej", przetwarzanych w celach marketingowych, bez zgody osób, których dane dotyczą”. GIODO stwierdził bezprawność wymienionych działań, gdyż dane zbierane są na cele marketingowe innego podmiotu niż ten zbierający (różne podmioty w ramach Grupy ING), oraz z powodu naruszenia praw i wolności konstytucyjnych przez niewyważenie interesów podmiotów danych osobowych oraz administratora danych. GIODO stwierdził w swojej decyzji: „Przetwarzanie danych powinno być (...) korzystne dla osoby, której dane dotyczą i nie naruszać jej praw do decydowania o tym, czy chce aby jej dane były wykorzystywane przez dany podmiot i w jakim celu będą one przetwarzane. Trudno natomiast doszukiwać się korzyści z otrzymywanych ofert marketingowych w przypadku osób, które nie są zainteresowane ich otrzymywaniem”. Ta decyzja GIODO nie jest prawomocna.