III OSK 2581/21

SENTENCJA Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Mirosław Wincenciak Sędziowie Sędzia NSA Piotr Korzeniowski Sędzia del. WSA Maciej Kobak (spr.) Protokolant: asystent sędziego Krzysztof Książek po rozpoznaniu w dniu 28 listopada 2023 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych Prezesa Urzędu Ochrony Danych Osobowych oraz J.K. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 29 października 2019 roku, sygn. akt II SA/Wa 562/19 w sprawie ze skargi Fundacji [...] z siedzibą w Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2019 r. nr [...] w przedmiocie nakazania usunięcia danych osobowych I. oddala skargi kasacyjne; II. zasądza od Prezesa Urzędu Ochrony Danych Osobowych oraz od J.K. na rzecz Fundacji [...] z siedzibą w Z. po 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego. UZASADNIENIE Wyrokiem z 23 października 2019 r., sygn. akt II SA/Wa 562/19 Wojewódzki Sąd Administracyjny w Warszawie (dalej: "WSA"), po rozpoznaniu sprawy ze skargi Fundacji [...] z siedzibą w Z. (dalej: "Fundacja") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Organ") z [...] stycznia 2019 r. nr [...] w przedmiocie nakazania usunięcia danych osobowych – uchylił zaskarżoną decyzję (pkt I wyroku); zasądził od Organu na rzecz Fundacji kwotę 697 zł tytułem zwrotu kosztów postępowania (pkt II wyroku). Wyrok ten zapadł w następujących okolicznościach faktycznych i prawnych sprawy. Do Urzędu Ochrony Danych Osobowych wpłynęła skarga J.K. (dalej: "Uczestnik") na przetwarzanie jego danych osobowych przez Fundację. Uczestnik wniósł o zastosowanie art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: "RODO"), poprzez nakazanie usunięcia jego danych osobowych ze strony internetowej mojepanstwo.pl i ograniczenie ich użytkowania, w szczególności poprzez zakaz ich profilowania. Uczestnik wskazał, że bez podstawy prawnej przetwarzane są jego dane wrażliwe: poglądy polityczne, przekonania religijne i światopoglądowe; w związku z czym spotkały go bezpośrednie represje, straty finansowe, ucierpiało także jego dobre imię i reputacja. Decyzją z [...] stycznia 2019 r. nr [...] Organ nakazał Fundacji usunięcie danych osobowych Uczestnika udostępnionych w prowadzonym przez Fundację serwisie internetowym rejestr.io, dostępnym pod adresem https://rejestr.io/. W uzasadnieniu decyzji Organ podał, że Fundacja przetwarza dane osobowe Uczestnika, jako członka organów Stowarzyszenia "[...]", "Fundacji [...]" i Stowarzyszenia "[...]". Fundacja pozyskała dane osobowe Uczestnika ze strony internetowej Ministerstwa Sprawiedliwości, ujawnione w Krajowym Rejestrze Sądowym (dalej: "KRS"). Zakres pozyskanych przez Fundację danych osobowych objął: imiona, nazwisko, numer ewidencyjny PESEL, funkcje pełnione w organach ww. podmiotów oraz informacje o uczestnictwie w komitecie założycielskim pierwszego z ww. stowarzyszeń. Zakres danych tożsamy jest z zakresem danych osobowych Uczestnika, ujawnionych w KRS; dane te są przetwarzane w ramach serwisu [...] (dawniej [...].pl). Pismem z [...] maja 2018 r. Uczestnik zwrócił się do Fundacji z żądaniem usunięcia swoich danych osobowych ze strony internetowej. Następnie w piśmie z [...] czerwca 2018 r., powołując się na art. 21 ust. 1 i 2 RODO wskazał, że w związku tym, iż pełni funkcje non profit w ww. podmiotach, dotknęły go represje w postaci ostracyzmu społecznego. Fundacja w piśmie z [...] czerwca 2018 r. wyjaśniła, że w sprawie nie zachodzi szczególna sytuacja, która mogłaby skutkować uwzględnieniem sprzeciwu i zaprzestaniem przetwarzania danych osobowych Uczestnika, istnieje natomiast nadrzędny interes w udostępnianiu jego danych. Przetwarzanie jest realizowane na warunkach określonych w art. 9 ust. 2 lit e) RODO. Zdaniem Organu, w niniejszej sprawie istotnym jest, że publikowane informacje o uczestnictwie Uczestnika w strukturach określonych organizacji - z uwagi na ujawniony w KRS przedmiot ich działalności - niosą za sobą określony przekaz odnośnie jego poglądów politycznych, wyznania oraz światopoglądu. W Rubryce 3 Działu 3 KRS nr [...] w odniesieniu do stowarzyszenia "[...]" dokonano wpisu na temat celu działania cyt.: "rozpowszechnianie liturgii trydenckiej oraz doktryny katolickiej wśród mieszkańców obszaru działania, działania modlitewne, prawne oraz medialne mające na celu obronę kościoła, jego symboli, jak również obronę jego pasterzy i świętych oraz wyznawanych przez niego wartości". W tej samej części KRS nr [...] w odniesieniu do "Fundacji [...]" wpisano: "działanie na rzecz ochrony dóbr kultury i tradycji". W KRS nr [...] w odniesieniu do stowarzyszenia "[...]" wpisano "podtrzymywanie i upowszechnianie tradycji narodowej, pielęgnowanie polskości oraz rozwoju świadomości narodowej, obywatelskiej i kulturowej, działalność na rzecz rodziny, macierzyństwa, rodzicielstwa". Fakt pełnienia w ww. organizacjach istotnych funkcji oznacza, zdaniem Organu, znaczące zaangażowanie Uczestnika w ich działalność. Organ nie podzielił stanowiska Fundacji, że jej działania znajdują prawne uzasadnienie w art. 9 ust. 2 lit. e) RODO. Przepis ten, zdaniem Organu, wymaga, aby fakt upublicznienia przez osobę, której dane dotyczą, był oczywisty, co rozumieć można w ten sposób, aby nie istniały wątpliwości co do tego, że ten właśnie podmiot danych podał do publicznej wiadomości informacje na swój temat. Uczestnik, decydując się na uczestnictwo w podmiotach, podlegających wpisowi do KRS, miał świadomość konsekwencji, polegających na ujawnieniu informacji na jego temat w KRS, ale nie jest to jednak tożsame z oczywistym i bezpośrednim upublicznieniem przez niego tych danych, wiążącym się zarazem z rezygnacją z ochrony jego prywatności w obszarze danych szczególnie chronionych. W ocenie Organu nie została spełniona żadna z pozostałych przesłanek wymienionych w art. 9 ust. 2 RODO, która - jako wyjątek od zasady przewidzianej w art. 9 ust. 1 RODO - stanowiłaby prawne uzasadnienie dla kwestionowanego publikowania danych osobowych. W takiej sytuacji zasadne było żądanie Uczestnika, dotyczące nakazania Fundacji usunięcia jego danych ze strony internetowej. Fundacja wniosła do WSA skargę na decyzję Organu, zarzucając naruszenie przepisów prawa materialnego: 1) art. 9 ust. 2 lit. e) RODO poprzez jego błędną wykładnię polegającą na uznaniu, że przyjęcie funkcji w podmiotach podlegających wpisowi do KRS przez Uczestnika, powodujące upublicznienie jego danych osobowych w KRS nie jest równoznaczne z sytuacją, w której dane osobowe zostały w sposób oczywisty upublicznione przez osobę, której dane dotyczą - co doprowadziło do nieuzasadnionego przyjęcia, że Fundacja przetwarza dane osobowe bez podstawy prawnej, podczas gdy art. 9 ust. 2 lit. e) RODO stanowi prawne uzasadnienie przetwarzania przez Fundację danych osobowych Uczestnika; 2) art. 9 ust. 1 RODO poprzez jego zastosowanie i przyjęcie, że Fundacja przetwarzając dane osobowe Uczestnika, pozyskane z KRS na potrzeby prowadzenia serwisu internetowego rejestr.io, naruszyła generalny zakaz przetwarzania danych osobowych, które mogą być uznane za wrażliwe, podczas gdy podstawą prawną przetwarzania tych danych jest art. 9 ust. 2 lit. e) RODO; 3) art. 5 ust. 1 lit. a) RODO poprzez jego zastosowanie i przyjęcie, że Fundacja narusza obowiązek spoczywający na administratorze danych na podstawie tego przepisu tj. obowiązek zagwarantowania, aby dane osobowe były przetwarzane zgodnie z prawem - podczas gdy w sprawie została spełniona przesłanka określona w art. 9 ust. 2 lit. e) RODO, a w konsekwencji zaistniała podstawa dopuszczalności przetwarzania przez Fundację danych osobowych Uczestnika, będących przedmiotem sprawy; 4) art. 58 ust. 2 lit. c) RODO poprzez jego zastosowanie i nakazanie Fundacji spełnienia żądania Uczestnika w przedmiocie usunięcia jego danych osobowych, udostępnionych w serwisie internetowym rejestr.io. W odpowiedzi na skargę Organ wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Opisanym na wstępie wyrokiem WSA uchylił zaskarżoną decyzję i zasądził od Organu na rzecz Fundacji kwotę 697 zł tytułem zwrotu kosztów postępowania. W uzasadnieniu wyroku WSA stwierdził, że uzasadniony jest zarzut naruszenia przez Organ art. 9 ust. 2 lit. e) RODO. Zdaniem WSA jest oczywiste i nie wymagające rozbudowanych rozważań, że przyjęcie funkcji w podmiotach podlegających wpisowi do KRS, oznacza wyrażenie zgody na upublicznienie tych danych, z uwagi na jawność KRS i ogólną dostępność do jego treści. Jeżeli nawet Skarżący nie miał świadomości publiczności i jawności danych, zawartych w KRS, to nie może się skutecznie na tę niewiedzę powoływać, gdyż zgodnie z łacińską paremią "nieznajomość prawa szkodzi". Konsekwencją jawności KRS jest możliwość wykorzystywania zawartych w nim danych przez inne podmioty - a w sprawie niniejszej - przez Fundację. WSA wskazał, że z tej samej przyczyny uzasadniony jest zarzut nr 2 skargi. Z uwagi na treść art. 9 ust. 1 RODO, Fundacja, przetwarzając dane osobowe Uczestnika, pozyskane z KRS, na potrzeby prowadzenia serwisu internetowego rejestr.io, nie naruszyła zakazu przetwarzania danych osobowych. W ocenie WSA w sprawie nie doszło również do naruszenia art. 5 ust. 1 lit. a) RODO, albowiem Fundacja przetwarza dane osobowe Uczestnika zgodnie z prawem na podstawie art. 9 ust. 2 lit. e) RODO. WSA podkreślił, że do upublicznienia danych osobowych doszło nie przez działanie Fundacji, ale przez działanie osoby, której dane dotyczą. Uczestnik wyrażając zgodę na pełnienie funkcji w ramach ww. organizacji, zgodził się na upublicznienie swych danych w KRS. W polskim systemie prawnym nie ma możliwości formalnego pełnienia funkcji w ramach stowarzyszenia, czy fundacji bez upublicznienia danych osobowych osoby, mającej pełnić te funkcje. Podjęcie aktywności w strukturze podmiotu podlegającemu wpisowi do KRS jest ściśle związane z decyzją o ograniczeniu w pewnym stopniu prywatności - w związku z działalnością w sferze publicznej oraz przez wzgląd na wzmocnienie bezpieczeństwa obrotu gospodarczego. Aktywność w stowarzyszeniach i fundacji jest również nierozerwalnie związana z możliwością publicznej oceny funkcjonowania podmiotu działającego w ramach obrotu, jak również oceny jej członków. WSA wyjaśnił, że o możliwości przetwarzania danych ujawnionych w KRS poza Rejestrem co do zasady przesądza instytucja ponownego wykorzystywania informacji sektora publicznego (art. 5 ust. 1 w zw. z art. 2 ustawy z 25 lutego 2016 r. o ponownym wykorzystywaniu informacji sektora publicznego (t. j. Dz. U. 2018 r., poz. 1243 z późn. zm. – dalej: "u.p.w.i.s.p."). Zgodnie z art. 7 ust. 2 u.p.w.i.s.p. przepisy tej ustawy nie naruszają przepisów o ochronie danych osobowych; są to dwie równorzędne regulacje, podlegające współstosowaniu. W konsekwencji WSA uznał za zasadny zarzut naruszenia art. 58 ust. 2 lit. c RODO, albowiem w okolicznościach sprawy nie było podstaw do zastosowania tego przepisu i nakazania usunięcia udostępnionych danych osobowych. Organ i Uczestnik wnieśli skargi kasacyjne od powyższego wyroku. Organ zaskarżył wyrok w całości, zarzucając na podstawie art. 174 pkt 1 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2023 r., poz. 1634 – dalej: "p.p.s.a."): - naruszenie prawa materialnego przez błędną jego wykładnię, tj. art. 9 ust. 2 lit. e) RODO, poprzez uznanie, iż Uczestnik obejmując określone funkcje w podmiotach podlegających wpisowi do KRS upublicznił swoje dane osobowe w sposób oczywisty w rozumieniu art. 9 ust. 2 lit. e) RODO; - naruszenie prawa materialnego przez błędną jego wykładnię, tj. art. 4 pkt 11 RODO poprzez uznanie, iż Uczestnik przyjmując określone funkcje w podmiotach podlegających wpisowi do KRS wyraził zgodę na upublicznienie jego danych osobowych. Organ wniósł o uchylenie zaskarżonego wyroku i przekazanie sprawy WSA do ponownego rozpoznania, a także o zasądzenie zwrotu kosztów postępowania. W uzasadnieniu skargi kasacyjnej Organ podtrzymał stanowisko wyrażone w zaskarżonej decyzji. W ocenie Organu przepis art. 9 ust. 2 lit. e) RODO wymaga, aby fakt upublicznienia przez osobę, której dane dotyczą, był oczywisty, co rozumieć należy w ten sposób, że nie istnieją wątpliwości, co do tego, że to właśnie podmiot danych podał do publicznej wiadomości informacje na swój temat. Chodzi zatem wyłącznie o taką sytuację, gdy osoba, której dane dotyczą, sama, bezpośrednio podaje je do publicznej wiadomości. Tylko bowiem wtedy okoliczność rezygnacji z ochrony tych informacji przez samego ich dysponenta - wyłącznie uprawnionego do podejmowania takich decyzji - jest bezdyskusyjna. Każdy inny przypadek budzi uzasadnione wątpliwości. W niniejszej sprawie, kwestionowane dane osobowe Skarżącego podane zostały do publicznej wiadomości nie bezpośrednio przez niego, lecz przez zapewniającego powszechny dostęp do informacji zawartych w KRS - Ministra Sprawiedliwości. Skarżący, decydując się na uczestnictwo w podmiotach podlegających wpisowi do KRS, miał świadomość konsekwencji powyższego polegających na ujawnieniu informacji na jego temat w KRS i to wyłącznie w KRS. Z kolei zgodnie z art. 4 pkt 11 RODO, "zgoda" osoby, której dane dotyczą, oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, w którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych. Skoro jest to jednoznaczne oświadczenie woli nie może być ono dorozumiane z innych czynności faktycznych. Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele. Uczestnik zaskarżył wyrok w całości, zarzucając na podstawie art. 174 pkt 1 p.p.s.a. naruszenie prawa materialnego, a mianowicie: - art. 9 ust. 1 i 2 RODO w zw. z art. 21 ust. 1 i 2 RODO poprzez jego niezastosowanie i przyjęcie, że Fundacja przetwarzająca dane osobowe Uczestnika, pozyskane z KRS w celach zarobkowych, pomimo zaistnienia szczególnych okoliczności, uzasadniających wniesienie sprzeciwu przez Uczestnika - nie naruszyła zakazu przetwarzania i personalizowania danych osobowych, które mogą być uznane za wrażliwe; - art. 9 ust. 2 lit. e) RODO poprzez jego błędne zastosowanie i przyjęcie, że Fundacja przetwarzająca dane osobowe Uczestnika, pozyskując informacje o pełnionych funkcjach w podmiotach prawnych z KRS, a następnie personalizując je i rozpowszechniając w celach zarobkowych - nie naruszyła generalnego zakazu przetwarzania i personalizowania danych osobowych, które mogą być uznane za wrażliwe. Wobec powyższego Uczestnik wniósł o zmianę orzeczenia poprzez uchylenie w całości wyroku WSA i utrzymanie w mocy decyzji Organu. W uzasadnieniu skargi kasacyjnej Uczestnik wskazał, że przywołane przez WSA przepisy ustawy o KRS stanowią jedynie podstawę prawną do przetwarzania danych osobowych przez organy administracji publicznej w KRS. Co prawda stanowią one również podstawę do jawności życia publicznego, jednak w żadnym wypadku nie mówią o możliwości tworzenia dalszych, spersonalizowanych rejestrów - przez inne osoby prawne. Decydując się na uczestnictwo w organach określonych stowarzyszeń i fundacji Uczestnik liczył się z ujawnieniem swoich danych w KRS, zakres obowiązujących wówczas przepisów był inny, m. in. w elektronicznym wyciągu z KRS nie można było pobrać wyciągu pełnego, ustąpienie z funkcji skutkowało więc niemal natychmiastowym (po wydaniu odpowiedniego postanowienia) usunięciem możliwości elektronicznego ujawnienia danych. Uczestnik wskazał, że jawność rejestrów nie pozwala na identyfikację danej osoby, gdyż wyszukiwarka KRS nie pozwala na bezpośrednią identyfikację. Z kolei personalizacja zastosowana przez Fundację, umożliwia identyfikację osoby fizycznej - gdyż personalizuje dane wrażliwe Uczestnika, umożliwiając pełną identyfikację jego poglądów, co stoi w sprzeczności z przepisami RODO, jak i z intencją ustawodawcy. W odpowiedzi na skargę kasacyjną Organu, Fundacja wniosła o jej oddalenie i zasądzenie zwrotu kosztów postępowania. W odpowiedzi na skargę kasacyjną Uczestnika, Fundacja wniosła o jej oddalenie. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z treścią art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargami kasacyjnymi wyroku. W tych okolicznościach badaniu podlegały wyłącznie zarzuty podniesione w skargach kasacyjnych na uzasadnienie przytoczonych podstaw kasacyjnych. Obie wniesione skargi kasacyjne są niezasadne i jako takie podlegają oddaleniu na podstawie art. 184 p.p.s.a. I. W skardze kasacyjnej Organu podniesiono wyłącznie zarzuty błędnej wykładni prawa materialnego, tj. art. 4 pkt 11 i art. 9 ust. 2 lit. e) RODO. Zarzut błędnej wykładni prawa materialnego, w systemowym schemacie, polega na niewłaściwym odtworzeniu z przepisów prawa, normatywnego wzorca powinnego zachowania. Sprowadza się on więc do zakwestionowania sposobu rozumienia przepisu prawa przez Sąd pierwszej instancji, który przełożył się na wadliwą ocenę legalności działania organu administracji publicznej, którego podstawę ów przepis stanowił. W niniejszej sprawie Organ wywodzi, że Sąd pierwszej instancji błędnie przyjął, iż ujawnienie danych osobowych w Krajowym Rejestrze Sądowym jest równoznaczne z oczywistym upublicznieniem tych danych przez osobę, której one dotyczą w rozumieniu art. 9 ust. 2 lit. e) RODO. W ocenie Naczelnego Sądu Administracyjnego zarzut ten jest niezasadny. Będący podstawą analizowanego zarzutu kasacyjnego art. 9 ust. 2 lit. e RODO wyraża odstępstwo od generalnego zakazu przetwarzania szczególnych danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby – art. 9 ust. 1 RODO. Zgodnie z jego treścią zakaz przetwarzania takich danych nie obowiązuje, jeżeli "przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą". Ponieważ żadna z wniesionych skarg kasacyjnych nie kwestionuje ustaleń faktycznych poczynionych przez Sąd pierwszej instancji należy przyjąć, iż są one bezsporne. Tak z uzasadnienia wyroku WSA, jak i z akt sprawy wynika, że Fundacja przetwarzała dane osobowe uczestnika J.K. w zakresie: imion, nazwiska, numeru PESEL oraz funkcji w organach podmiotów ujawnionych w KRS, tj. w Stowarzyszeniu "[...]", w "Fundacji [...]" i w Stowarzyszenia "[...]". Zgodnie z art. 1 ust. 2 pkt 2 w zw. z art. 49 ust 1 ustawy o KRS stowarzyszenia i fundacje podlegają obowiązkowemu wpisowi do KRS na zasadach dotyczących przedsiębiorców – przepisu rozdziału 2 ustawy o KRS. Stosownie do rygorów przewidzianych w art. 39 pkt 2 ustawy o KRS w dziale drugim Rejestru wpisuje się oznaczenie organów nadzoru wraz z ich składem osobowym. Z kolei zgodnie z art. 52 ust. 1 ustawy o KRS przy rejestracji stowarzyszenia w dziale 1 Rejestru wpisuje się osoby wchodzące w skład komitetu założycielskiego, chyba że został powołany organ reprezentacji. Z kolei zgodnie z art. 35 pkt 1 ustawy o KRS ilekroć do Rejestru wpisuje się osobę fizyczną zamieszcza się w nim jej nazwisko i imię (imiona) oraz numer PESEL. W takim układzie normatywnym umieszczenie imion, nazwiska oraz numeru PESEL J.K. w KRS było prawnie uzasadnione, podobnie jak wykazanie, że jest: członkiem komisji rewizyjnej (organ nadzoru) Stowarzyszenia "[...]", członkiem komisji rewizyjnej (organ nadzoru) "Fundacji [...]" i członkiem komisji rewizyjnej (organ nadzoru) oraz członkiem komitetu założycielskiego Stowarzyszenia "[...]". Zgodnie z treścią art. 8 ust. 1 ustawy o KRS Rejestr jest jawny. Każdy ma prawo dostępu do danych zawartych w Rejestrze za pośrednictwem Centralnej Informacji, podobnie jak każdy ma prawo otrzymać, również drogą elektroniczną, poświadczone odpisy, wyciągi, zaświadczenia i informacje z Rejestru (art. 8 ust. 2 i ust. 3 ustawy o KRS). Z kolei w myśl art. 15 ust. 1 zdanie pierwsze "[o]d dnia ogłoszenia w Monitorze Sądowym i Gospodarczym nikt nie może zasłaniać się nieznajomością ogłoszonych wpisów." Z architektury normatywnej przepisów ustawy o KRS wynika zatem, że z jednej strony ustawodawca ustanowił zasadę jawności danych rejestrowych, a z drugiej wyłączył możliwość powoływania się na brak znajomości wpisów w KRS od dnia ich ogłoszenia w Monitorze Sądowym i Gospodarczym. Zgodnie z art. 1 ust. 1 i ust. 3 pkt 1 ustawy z dnia 22 grudnia 1995r. o wydawaniu Monitora Sądowego i Gospodarczego (Dz. U. 2023 r. poz. 1395) Monitor Sądowy i Gospodarczy jest ogólnokrajowym dziennikiem urzędowym przeznaczonym do zamieszczania obwieszczeń lub ogłoszeń, w tym wszystkich wpisów w Krajowym Rejestrze Sądowym. W tym stanie rzeczy należy podzielić stanowisko Sądu pierwszej instancji, iż podjęcie decyzji o wejściu w skład osobowy organu nadzoru lub organu przedstawicielskiego podmiotu podlegającego obowiązkowemu wpisowi do KRS, w związku z ustawowo gwarantowaną jawnością danych rejestrowych, ustawowym nakazem ujawnienia składu osobowego tych organów oraz danych osobowych osób fizycznych wchodzących w ich skład, jest równoznaczne z oczywistym upublicznieniem tych danych przez osobę, której te dane dotyczą w rozumieniu art. 9 ust. 2 lit e RODO. "Oczywiste upublicznienie danych osobowych" musi być rozumiane jako świadoma decyzja konkretnej osoby co do tego, że jej dane osobowe staną się powszechnie dostępne. Podejmując decyzję o zasiadaniu w organach stowarzyszeń i fundacji podlegających rejestracji w KRS J.K. podjął jednocześnie oczywistą decyzję o upublicznieniu swoich danych osobowych w zakresie imion, nazwiska, numeru PESEL oraz funkcji, jakie pełni w tych podmiotach. Oczywistość tej decyzji wynika z faktu, że powszechna jawność tych danych jest gwarantowana ustawowo – art. 8 ust. 1 ustawy o KRS - czego J.K. albo był świadomy, albo świadomy być powinien. Nie można zgodzić się z Organem, że to nie J.K. upublicznił swoje dane, lecz Minister Sprawiedliwości w ramach realizacji ustawowego obowiązku zapewnienia powszechnego dostępu do informacji zawartych w KRS. Krajowy Rejestr Sądowy jest wyłącznie medium stanowiącym nośnik upublicznianej informacji. Upublicznienie swoich danych osobowych w rozumieniu art. 9 ust. 2 lit. e RODO polega na podjęciu jednoznacznej decyzji o ich udostępnieniu i faktycznym przekazaniu tych danych na takie forum, które powoduje, że dane te stają się powszechnie jawne. Okoliczność, że udostępniający swoje dane osobowe nie jest podmiotem decyzyjnym, sprawczym w przestrzeni technicznego umieszczenia tych danych na tym forum pozostaje bez znaczenia. Akceptacja stanowiska prezentowanego w tej materii przez skarżący kasacyjnie Organ, wyłączałaby z zakresu stosowania art. 9 ust. 2 lit e RODO, wszystkie przypadki upubliczniania swoich danych osobowych w Internecie, prasie, książkach, etc, albowiem i w tych układach to nie udostępniający ostatecznie decyduje o technicznym umieszczeniu tych danych w przestrzeni publicznej. Należy wyeksponować, że w swoim uzasadnieniu Sąd pierwszej instancji ani raz nie powołał się na art. 4 pkt 11 RODO i już tylko z tego względu zarzut jego błędnej wykładni nie mógł zostać uwzględniony. Powołany przepis w ogóle nie miał w sprawie zastosowania, albowiem wyłączenie zakazu przetwarzania szczególnych danych osobowych (art. 9 ust. 1 RODO) w trybie art. 9 ust. 2 lit. e RODO nie wymaga zgody podmiotu, którego dane te dotyczą. Prawodawca unijny, w myśl zasady volenti non fit iniuria (chcącemu nie dzieje się krzywda) przesądził, że upublicznienie swoich danych osobowych jest równoznaczne z wyrażeniem zgody na ich przetwarzanie. Wyrażenie zgody na przetwarzanie szczególnych danych osobowych w trybie art. 9 ust. 2 lit a RODO, na które powołuje się Organ w skardze kasacyjnej, odnosi się do takich układów, w których dane te nie zostały upublicznione. Zakres stosowania art. 9 ust. 2 lit a RODO nie obejmuje zatem układu faktycznego niniejszej sprawy. Potwierdzeniem przyjętych założeń jest treść art. 14 ust. 2 lit. f RODO, który wprowadza obowiązek podania przez administratora danych osobie, której te dane dotyczą, a nie zostały od niej pozyskane, źródła pochodzenia tych danych, w tym również poinformowania, czy pochodzą one ze źródeł publicznie dostępnych. Ustawodawca unijny przesądza zatem, że dopuszcza się przetwarzanie danych osobowych podmiotu, który nie wyraził na to zgody, jeżeli dane te pozyskano ze źródeł publicznie dostępnych. Krajowy Rejestr Sądowy, wobec ustawowo gwarantowanej jawności zamieszczanych w nim danych, niewątpliwie należy kwalifikować, jako "źródło publicznie dostępne" w rozumieniu art. 14 ust. 2 lit. f RODO. Odnosząc się do powołanej na rozprawie przez pełnomocnika skarżącego kasacyjnie organu argumentacji podanej w uzasadnieniu wyroku Naczelnego Sądu Administracyjnego z dnia 19 września 2023 r., sygn. III OSK 2538/21 należy zwrócić uwagę, że wzmiankowana sprawa miała inny przedmiot, kształtowany odmiennym układem faktyczno-prawnym. Sformułowane na jej gruncie oceny prawne dotyczyły rozumienia art. 14 ust. 5 lit. b RODO, który przewiduje wyjątek od obowiązku informacyjnego spoczywającego na administratorze danych. Naczelny Sąd Administracyjny w przedmiotowej sprawie wywiódł, że pozyskanie danych osobowych z rejestrów publicznie dostępnych przez podmiot, który następnie przetwarza je w celach komercyjnych, nie realizuje interesu publicznego i z tego względu z założenia nie może wchodzić w zakres stosowania art. 14 ust. 5 lit. b RODO. Ocen prawnych sformułowanych przez NSA w przywołanym wyroku nie można więc adekwatnie aplikować w realiach niniejszej sprawy. Z analogicznych przyczyn na grunt niniejszej sprawy nie przekładały się oceny prawne sformułowane przez Naczelny Sąd Administracyjny w uzasadnieniu wyroku z dnia 30 listopada 2021 r., sygn. III OSK 4558/21, powołanego przez pełnomocnika strony skarżącej – Fundacji. Wprawdzie Naczelny Sąd Administracyjny w powołanej sprawie zwrócił uwagę, że każdy ma prawo do ponownego wykorzystania danych ujawnionych w KRS, niezależnie od tego, czy działa w celach komercyjnych, czy też nie, jednakże uczynił to w kontekście stosowania art. 5 ust. 1 ustawy z 26 lutego 2016 r. o ponownym wykorzystywaniu informacji sektora publicznego (Dz. U. 2019 r. poz. 1446 ze zm.) w związku z art. 4 ust. 1 RODO. II. Naczelny Sąd Administracyjny nie znalazł podstaw do uwzględnienia skargi kasacyjnej uczestnika J.K. (dalej: Uczestnik). Nie można zgodzić się, że Sąd pierwszej instancji naruszył art. 9 ust. 1 i 2 RODO w zw. z art. 21 ust. 1 i 2 RODO poprzez ich niezastosowanie i przyjęcie, że Fundacja przetwarzająca dane osobowe Uczestnika, pozyskane z KRS w celach zarobkowych, pomimo zaistnienia szczególnych okoliczności, uzasadniających wniesienie sprzeciwu przez Uczestnika - nie naruszyła zakazu przetwarzania i personalizowania danych osobowych, które mogą być uznane za wrażliwe. Zarzut błędnego niezastosowania przepisu prawa materialnego sprowadza się do podważenia stanowiska Sądu pierwszej instancji, że w ustalonych w sprawie okolicznościach faktycznych nie było przesłanek do wydania rozstrzygnięcia na jego podstawie. Uczestnik nie podważa zatem ustaleń faktycznych Sądu pierwszej instancji, lecz wskazuje, że wchodziły one w zakres stosowania normy prawnej zrekonstruowanej w oparciu o art. 9 ust. 1 i 2 RODO w zw. z art. 21 ust. 1 i 2 RODO, co zobowiązywało Sąd do włączenia tych przepisów w podstawę prawną wydanego wyroku. Naczelny Sąd Administracyjny tego stanowiska nie podziela. Sformułowany zarzut jest częściowo wadliwy konstrukcyjnie. Po pierwsze, zarzucając brak zastosowania art. 9 ust. 2 RODO Uczestnik nie powołał się na konkretny przepis, wyodrębniony w ramach tej jednostki redakcyjnej. Art. 9 ust. 2 RODO dzieli się bowiem na litery od a do j, z których każda stanowi odrębny przepis określający samodzielną podstawę odstąpienia od generalnego zakazu przetwarzania wrażliwych danych osobowych. Trudno zakładać, że intencją Uczestnika było sformułowanie zarzutu błędnego niezastosowania art. 9 ust. 2 lit. e RODO, albowiem w drugim zarzucie kasacyjnym sformułowano zarzut wadliwego zastosowania tego przepisu. Oba zarzuty logicznie się wykluczają. W tym stanie rzeczy zarzut niezastosowania art. 9 ust. 2 RODO nie mógł zostać uwzględniony. Merytoryczne odniesienie się do zarzutu niezastosowania art. 9 ust. 1 w zw. z art. 21 ust. 1 i ust. 2 RODO wymaga wstępnego odnotowania, że zgodnie z niekwestionowanymi w skardze kasacyjnej ustaleniami Fundacja przetwarzała dane osobowe Uczestnika w zakresie imion, nazwiska, numeru PESEL oraz funkcji w organach podmiotów ujawnionych w KRS, tj. w Stowarzyszeniu "[...]", w "Fundacji [...]" i w Stowarzyszenia "[...]". Personalizacja danych osobowych Uczestnika polegała natomiast na automatycznej analizie numeru PESEL w celu uzyskania informacji o roku jego urodzenia. Dane osobowe Uczestnika przetwarzane przez Fundację zostały pozyskane z Centralnej Informacji KRS w związku z zajmowaniem przez niego funkcji w organach ww. stowarzyszeń oraz fundacji. W ocenie Naczelnego Sądu Administracyjnego przetwarzane dane osobowe Uczestnika nie mieszczą się w kategorii danych osobowych wrażliwych, to jest takich, które ujawniają jego pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane biometryczne w celu jednoznacznego jego zidentyfikowania lub dane dotyczące jego zdrowia, seksualności lub orientacji seksualnej. Nie mieszczą się zatem w zakresie stosowania art. 9 ust. 1 RODO. Naczelny Sąd Administracyjny zwraca uwagę, że cała argumentacja Uczestnika, powielająca oceny prawne Organu sformułowane w uzasadnieniu wydanej w sprawie decyzji, błędnie zakłada, że dane przetwarzane przez Fundację ujawniają jego poglądy polityczne, wyznanie oraz światopogląd. Swoje wnioski Uczestnik opiera na fakcie ujawnienia profilu działalności ujawnionych w KRS podmiotów, w których pełni funkcje członka organu nadzoru oraz komitetu założycielskiego. Uczestnik nie dostrzega dwóch kwestii. Po pierwsze, ujawnienie profilu działalności wzmiankowanych stowarzyszeń oraz fundacji jedynie pośrednio i hipotetycznie określa jego poglądy polityczne, wyznanie i światopogląd. Co jednak kluczowe, ujawnienie profilu działalności tych podmiotów nastąpiło wyłącznie w KRS, nie zaś na portalu internetowym prowadzonym przez Fundację. Fundacja w tym zakresie w ogóle danych osobowych Uczestnika nie przetwarzała. Z wyłożonych względów zarzut niezastosowania art. 9 ust. 1 RODO nie mógł zostać uwzględniony. Z analogicznych względów nie było również podstaw do zastosowania art. 21 ust. 1 RODO. Stosownie do treści powołanego przepisu "[o]soba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw - z przyczyn związanych z jej szczególną sytuacją - wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f), w tym profilowania na podstawie tych przepisów. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń." Uczestnik próbuje wykazać, że jego "szczególna sytuacja" w rozumieniu art. 21 ust. 1 RODO polega na zagrożeniu wynikającym z ujawnienia jego danych osobowych identyfikujących jego poglądy polityczne, wyznanie i światopogląd. Jak już wyżej wykazano, przedmiotowe dane osobowe nie były przetwarzane przez Fundację, lecz w ramach systemu Centralnej Informacji KRS. Dane osobowe Skarżącego przetwarzane przez Fundację zostały pozyskane z KRS, w ramach ustawowo gwarantowanej jawności i dostępności ujawnionych w nim informacji. W przekonaniu Naczelnego Sądu Administracyjnego, pozyskanie danych osobowych z publicznie dostępnych rejestrów z założenia nie może skutkować wyłączeniem możliwości ich przetwarzania na podstawie art. 21 ust. 1 RODO, z uwagi na "szczególną sytuację" osoby, której te dane dotyczą. Decyzja ustawodawcy o publicznym dostępie do tych danych inkorporuje w sobie ocenę, że ich ujawnienie z założenia nie może być szkodliwe. Przekłada się to na wniosek, że dopuszczalność przetwarzania takich danych, udostępnionych publicznie, jest nadrzędna wobec interesów, praw i wolności osoby, której te dane dotyczą – art. 21 ust. 1 in fine RODO. Artykuł 21 ust. 2 RODO dotyczy usunięcia danych osobowych przetwarzanych na potrzeby marketingu bezpośredniego, co nie miało miejsca w układzie faktycznym niniejszej sprawy, stąd zarzut niezastosowania tego przepisu należało ocenić, jako oczywiście niezasadny. Co do zasady należy podzielić zarzut błędnego zastosowania przez Sąd pierwszej instancji art. 9 ust. 2 lit. e) RODO. Wychodząc z założenia, że Fundacja w ogóle nie przetwarzała danych osobowych wrażliwych Uczestnika, o których mowa w art. 9 ust. 1 RODO, wyłączenie stosowania tego przepisu z uwagi na oczywiste upublicznienie jego danych osobowych – art. 9 ust. 2 lit. e RODO - było bezprzedmiotowe. Zarzut ten nie może jednak prowadzić do skorzystania przez Naczelny Sąd Administracyjny z przyznanych mu kompetencji kasacyjnych, albowiem prowadziłoby to do naruszenia zakazu orzekania na niekorzyść skarżącego kasacyjnie – art. 134 § 2 w zw. z art. 192 P.p.s.a. Naruszenie zakazu reformationis in peius może bowiem przybrać postać sformułowania ocen prawnych pogarszających sytuację prawną skarżącego kasacyjnie. Ocena prawna wyrażająca stanowisko, że Fundacja w ogóle nie przetwarzała danych osobowych wrażliwych Uczestnika, o których mowa w art. 9 ust. 1 RODO, przy ponownym rozpoznaniu sprawy, przesądzałaby a limine o wadliwości wydanej przez Organ decyzji i tym samym o konieczności uwzględnienia skargi. Uwzględniając podane oceny prawne Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a. oddalił skargi kasacyjne Organu i Uczestnika. O kosztach postępowania kasacyjnego rozstrzygnięto na podstawie art. 200 i art. 205 § 1 i § 2 p.p.s.a. w zw. z § 14 ust. 1 pkt 2 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz. U. 2023 r. poz. 1935).