Naczelny Sąd Administracyjny (NSA) zgodził się z Prezesem Urzędu Ochrony Danych Osobowych (UODO), że żądanie od pasażera autobusu podania imienia i nazwiska w obecności innych podróżnych stanowi przetwarzanie danych osobowych. Tym samym uchylił wcześniejszy wyrok Wojewódzkiego Sądu Administracyjnego (WSA), który uznał, że takie działanie nie narusza przepisów RODO.
Sprawa pasażera i decyzja UODO
Sprawa zaczęła się od skargi pasażera, któremu kierowca autobusu odmówił uznania elektronicznego biletu bez jednoczesnego podania na głos jego imienia i nazwiska. W ten sposób dane osobowe podróżnego stały się dostępne dla innych osób, co – jak uznał Prezes UODO – naruszało jego prawo do ochrony danych.
Urząd Ochrony Danych Osobowych przeprowadził postępowanie i stwierdził, że przewoźnik zbierał dane osobowe pasażerów w momencie sprzedaży biletów online, a następnie kierowca korzystał z tego zbioru, weryfikując tożsamość podróżnych. UODO uznał, że taki sposób postępowania nie jest zgodny z RODO, a konkretnie z jego art. 5 ust. 1 lit. f oraz art. 6 ust. 1 lit. b. W związku z tym przewoźnik otrzymał upomnienie.
WSA uchyla decyzję UODO
Spółka przewozowa nie zgodziła się z decyzją UODO i skierowała sprawę do Wojewódzkiego Sądu Administracyjnego (WSA), który uznał, że Prezes UODO nie miał podstaw do interwencji. Sąd argumentował, że podawanie imienia i nazwiska pasażera nie jest przetwarzaniem danych w rozumieniu RODO, ponieważ nie dochodziło do ujawnienia całego zbioru danych osobowych, a jedynie do weryfikacji uprawnienia do przejazdu. Zdaniem WSA nie było podstaw do administracyjnego rozstrzygnięcia tej sprawy przez UODO, a jeśli pasażer czuł się poszkodowany, mógł dochodzić swoich praw na drodze cywilnej.
NSA przyznaje rację UODO
Prezes UODO nie zgodził się z takim stanowiskiem i wniósł skargę kasacyjną do NSA, argumentując, że jego urząd jest właściwym organem do badania naruszeń ochrony danych osobowych. Naczelny Sąd Administracyjny w wyroku z dnia 11 lutego 2025 r. (sygn. III OSK 6134/21) przychylił się do tej argumentacji, uznając, że kierowca, wymagając podania imienia i nazwiska, faktycznie przetwarzał dane osobowe pasażera. Dane te były przechowywane w zbiorze stworzonym przez przewoźnika, a kierowca, jako jego przedstawiciel, korzystał z tego zbioru, co stanowiło formę przetwarzania danych.
Konsekwencje wyroku NSA
Decyzja NSA oznacza, że przewoźnicy muszą zwracać szczególną uwagę na sposób weryfikacji tożsamości pasażerów, aby nie naruszać przepisów RODO. Podawanie na głos imienia i nazwiska w obecności innych osób jest uznane za przetwarzanie danych, które wymaga odpowiedniego uzasadnienia prawnego.
Prezes UODO podkreślił, że orzeczenie NSA potwierdza konieczność przestrzegania przepisów o ochronie danych osobowych nawet w codziennych sytuacjach, takich jak kontrola biletów. Decyzja ta może wpłynąć na sposób działania przewoźników, którzy powinni dostosować swoje procedury do wymogów RODO, aby uniknąć podobnych naruszeń w przyszłości.