Pytanie o to, co stanie się z danymi osobowymi użytkowników, pojawia się zawsze przy okazji likwidacji portalu społecznościowego – w przeszłości takie sytuacje dotyczyły m.in. serwisów Grono.net czy NaszaKlasa.pl (później nk.pl). Teraz, po prawie 20 latach działalności, zamyka się serwis GoldenLine.pl
Prowadząca portal spółka w kwietniu br. została postawiona w stan likwidacji. Niedawno użytkownicy GoldenLine.pl zostali poinformowani, że ich konta oraz wszystkie zamieszczone w serwisie treści zostaną usunięte. Ci, którzy chcą zarchiwizować swoje dane, mogą pobrać ich kopię tylko do 30 listopada br. Czy to oznacza, że po tej dacie wszystkie dane osobowe użytkowników zostaną bezpowrotnie i fizycznie skasowane, a użytkownicy nie muszą obawiać się, co się z nimi stanie? Biuro prasowe grupy Agora, do której należy likwidowana spółka, nie odpowiedziało na przesłane przez serwis Prawo.pl pytania. O możliwe scenariusze zapytaliśmy też ekspertów.
Likwidacja spółki a RODO
Tomasz Mankiewicz, adwokat w kancelarii Russell Bedford Dmowski i Wspólnicy, podkreśla, że sam fakt rozpoczęcia procedury likwidacyjnej w żadnym razie nie zmniejsza obowiązków administratora danych osobowych wynikających z RODO. – W okresie likwidacji ochrona danych osobowych użytkowników jest tożsama jak w czasie normalnego funkcjonowania spółki i fakt otwarcia likwidacji nie uchyla żadnych obowiązków administratora danych osobowych, którym jest likwidowana spółka - mówi.
- Jak wynika z polityki prywatności dostępnej na GoldenLine.pl, dane osobowe użytkowników tego serwisu przetwarzane są przez administratora, którym jest Goldenline sp. z o.o. w likwidacji - uściśla Mateusz Wyka, adwokat z KKPW.
Przeczytaj także: SN: Likwidacja spółki nie zwalnia zarządu z odpowiedzialności >>>
Witold Chomiczewski, radca prawny i wspólnik zarządzający w Lubasz i Wspólnicy, przypomina, że zgodnie z RODO przetwarzanie danych osobowych musi odbywać się na jednej z przesłanek legalizujących przetwarzanie.
- Podstawą może być m.in. zgoda użytkownika, wykonanie umowy z użytkownikiem czy prawnie uzasadniony interes administratora. Może ono trwać tak długo, jak długo istnieje cel przetwarzania danych osobowych – wyjaśnia.
Podsumowując, samo postawienie spółki administrującej portalem w stan likwidacji z perspektywy danych użytkowników nie ma wielkiego znaczenia. Wszystko zmieni się dopiero, gdy portal GoldenLine.pl zniknie z sieci.
Zamknięcie portalu a przetwarzanie danych osobowych
- Administrator powinien zaprzestać przetwarzania danych w celu prowadzenia portalu internetowego, jeśli portal ten zaprzestał działalności – wskazuje dr Paweł Litwiński, adwokat z kancelarii Barta Litwiński.
- Aktualnie wszystkie umowy z użytkownikami o prowadzenie kont w serwisie Goldenline zostaną rozwiązane. Jak należy założyć, prowadząca portal spółka nie będzie już wysyłać żadnych newsletterów. Oznacza to, że w zakresie wykonania umów odpadnie podstawa prawna przetwarzania, zaś w odniesieniu do newslettera nie będzie już celu, dla którego realizacji dane powinny być przetwarzane. W konsekwencji, dane osobowe użytkowników powinny zostać usunięte – mówi mec. Chomiczewski.
Cena promocyjna: 44.25 zł
|Cena regularna: 59 zł
|Najniższa cena w ostatnich 30 dniach: 53.1 zł
Mecenas Wyka zwraca uwagę, że spółka po przeprowadzeniu przez jej likwidatorów czynności likwidacyjnych określonych w kodeksie spółek handlowych zostanie wykreślona z Krajowego Rejestru Sądowego. - Z tą chwilą osobowość prawna administratora ustanie, a likwidacja charakteryzuje się między innymi brakiem następcy prawnego po likwidowanej spółce. Użytkownicy serwisu nie będą mieli więc możliwości kontaktu z administratorem – mówi.
- Likwidację można porównać do śmierci osoby fizycznej, sam proces likwidacji natomiast do medycyny paliatywnej – barwnie tłumaczy Dariusz Tarabasz, adwokat z kancelarii adwokackiej Czyżewscy. – I dodaje: Odpowiedzialność za cały proces ponoszą konkretne osoby – likwidatorzy. Jest to ich zadanie i do tego zostali wyznaczeni. Jeżeli przy okazji swojej funkcji wyrządzą szkodę konkretnej osobie, np. ujawniając jej dane lub przekazując podmiotowi trzeciemu bez jej zgody, to pozostaje dochodzenie swoich praw na drodze sądowej.
Mateusz Wyka uważa, że nawet gdyby likwidowany był tylko serwis internetowy, a prowadząca go spółka kontynuowała działalność, administrator danych osobowych użytkowników likwidowanego portalu internetowego powinien zaprzestać przetwarzania danych - odpadają bowiem podstawy do ich dalszego przetwarzania.
Przetwarzanie danych po likwidacji portalu
Dr Paweł Litwiński zaznacza, że zaprzestanie przetwarzania danych nie oznacza jednak prostego obowiązku usunięcia tych danych. - Baza danych osobowych jest składnikiem majątkowym przedsiębiorstwa i powinna podlegać procedurze likwidacji, tak samo jak wszystkie inne składniki majątku. Likwidator powinien te dane usunąć, gdy stwierdzi, że nie ma już żadnego innego celu ich przetwarzania, np. wynikającego z obowiązków podatkowych – tłumaczy.
Zgadza się z tym mec. Chomiczewski. - W pewnych sytuacjach spółką prowadzącą portal nadal będzie miała podstawę, by czyjeś dane przetwarzać. Takim przypadkiem będzie, przykładowo, trwający spór z użytkownikiem. Tu podstawą dla przetwarzania będzie prawnie uzasadniony interes administratora – mówi. Jak dodaje, ewentualne dalsze przetwarzanie danych mogłoby być uzasadnione realizacją obowiązków prawno-podatkowych w sytuacji, gdyby portal oferował także usługi płatne.
Inne stanowisko prezentuje mec. Wyka. W jego ocenie w przypadku likwidacji spółki, wszelkie dane osobowe użytkowników powinny zostać trwale usunięte przez likwidatorów spółki, ponieważ nie będzie jakiegokolwiek celu ich przetwarzania. - W szczególności, że z przyczyny wspomnianego już braku następstwa prawnego po likwidowanej spółce, nie będzie konieczności zachowania danych osobowych na przykład na cel ochrony przed potencjalnymi roszczeniami, które mogłyby ujawnić się w przyszłości – uważa prawnik.
- Należy pamiętać, że dane księgowe, pracownicze oraz dotyczące roszczeń cywilnych muszą zostać zarchiwizowane i przechowywane nawet po ustaniu bytu prawnego przedsiębiorstwa – dodaje Tomasz Mankiewicz.
Prawa użytkownika
Dariusz Tarabasz zwraca uwagę, że zasady usunięcia danych i prawo do takiego kroku powinny zostać określone w umowie – w tym przypadku regulaminie. - Użytkownik musi mieć jasną informację, do kiedy usługi będą świadczone i co stanie się z danymi. Na ewentualne przekazanie podmiotom trzecim musi wyrazić zgodę – wskazuje.
Dr Litwiński przypomina także, że użytkownik w każdej chwili może skorzystać z prawa do bycia zapomnianym i zwrócić się o usunięcie jego danych przez administratora serwisu, nawet jeśli jest on w likwidacji. - Podstawa w tym przypadku jest wprost wyrażona w art. 17 ust. 1 lit. a RODO i jest nią zakończenie celu, w którym dane te zostały zebrane – wyjaśnia.
- Likwidatorzy powinni przy tym poinformować użytkowników, że po określonej dacie dane osobowe użytkowników zgromadzone na potrzeby funkcjonowania GoldenLine.pl zostaną trwale usunięte – wskazuje mec. Wyka.
Powstaje też pytanie o termin, w którym dane powinny zostać usunięte. - Gdy umowy zostaną rozwiązane po upłynięciu okresów ich wypowiedzenia, dane użytkowników powinny być usunięte niezwłocznie, w czasie jaki zajmuje uzasadniony proces technologiczny – odpowiada Witold Chomiczewski. - Nie dotyczy to przypadków, w których administrator będzie miał podstawę do dalszego przetwarzania danych - zaznacza.
Zobacz wzór dokumentu w LEX: Analiza ryzyka dla używania portalu Facebook przez JST > >
Czy można sprzedać bazę danych osobowych
Skoro baza danych osobowych jest składnikiem majątkowym, to czy likwidator spółki Goldenline mógłby starać się ją sprzedać? Zaznaczmy, żaden komunikat nie wskazuje, by istniały takie plany – sytuację taką rozważamy wyłącznie teoretycznie.
W ocenie mec. Tarabasza sprzedaż danych nie jest sprawą prostą. - Co prawda właściciel może swobodnie dysponować mieniem, w tym pobierać z niego pożytki, sprzedać lub nawet zniszczyć swoją własność, jednak jest jeszcze jeden szczegół. Dane nie są własnością likwidowanej spółki – wskazuje prawnik.
Jak dodaje, dane osobowe nie są też rzeczami w rozumieniu kodeksu cywilnego i z tego powodu mówimy o ich „administratorze”, a nie „właścicielu”.
Dr Paweł Litwiński uważa natomiast, że likwidator może zastanawiać się nad sprzedażą takiej bazy danych. Wskazuje na opinię rzecznika generalnego Trybunału Sprawiedliwości UE w sprawie C-693/22, zgodnie z którą bazę danych osobowych może zbyć nawet w drodze licytacji komorniczej (zaznacza, że sprawa z powodów proceduralnych nie doczeka się wyroku TSUE).
Również mec. Mankiewicz uważa, że obrót danymi użytkowników jest prawnie skuteczny.
- W takiej sytuacji na likwidatorze będzie ciążył obowiązek poinformowania użytkowników o zamiarze przekazania ich danych osobowych podmiotowi trzeciemu i wskazania, kto będzie administratorem ich danych osobowych – wskazuje. - Warto podkreślić, że RODO nie pozostawia zupełnej dowolności w zakresie wyboru przedsiębiorcy, który będzie mógł pozyskać takie dane bez dodatkowej zgody samych użytkowników, kluczowe jest, ażeby dane te były przetwarzane i wykorzystywane w sposób zbliżony do tego, w jakim zakresie została wyrażona pierwotna zgoda użytkownika na ich przetwarzanie. W każdym wypadku użytkownik ma prawo wniesienia sprzeciwu co do przetwarzania danych osobowych i żądania ich usunięcia.
W ocenie Dariusza Tarabasza dane osobowe, jakimi dysponuje portal GoldenLine potencjalnie mogą mieć dużą wartość. Zgadza się z tym Tomasz Mankiewicz. - Zagregowane dane osobowe użytkowników portalu takiego jak Goldenline mogą stanowić bardzo atrakcyjne aktywa dla podmiotów z wielu branż i niewykluczone, że zmienią one swojego administratora – uważa.
Bardziej sceptyczny jest Paweł Litwiński, według którego należy odpowiedzieć na pytanie: co nabywca z taką bazą danych będzie mógł zrobić?
- Zależy to od różnych czynników, m.in. tego, na jakie cele były zbierane zgody na przetwarzania danych. Jeśli użytkownicy GoldenLine wyrażali zgody na przetwarzanie danych wyłącznie przez ten podmiot, bez możliwości udostępnienia ich innym podmiotom, taka baza danych w praktyce okaże się dla nabywcy mało wartościowa – uważa mec. Litwiński. - Jeśli doszłoby jednak do zbycia bazy danych, nabywca będzie miał obowiązek poinformować użytkowników, że został administratorem ich danych, a użytkownicy będą mogli zażądać ich usunięcia - zaznacza.
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.
