OCHRONA DANYCH OSOBOWYCH I JEDNA ZE SPRAW O OGROMNYCH LICZBACH

 ~Rex-Lex:©THIS IS PRIVATE PROPERTY© File:de Registered With UK Copyright Service File:date:Reg.No.284742248© Estate®~DEPARTAMENT:

OCHRONA DANYCH OSOBOWYCH

❗❗❗

Każde naruszenie praw osób, których dane dotyczą , pociąga za sobą najwyższe kary  na mocy  RODO, do  20 mln euro lub do 4% ich całkowitego światowego obrotu  z poprzedniego roku podatkowego, w zależności od tego, która z tych wartości jest wyższa.

Stanowi to realne ryzyko dla organizacji, zarówno finansowe, jak i reputacyjne, ponieważ operacjonalizacja praw osób, których dane dotyczą, pozostaje jednym z wyzwań związanych z zapewnieniem zgodności.

Operacjonalizacja praw osób, których dane dotyczą

Gdy organizacja gromadzi i przetwarza dane osobowe w dużych ilościach, kluczem jest automatyzacja procesu. Rozwiązania dotyczące prywatności, takie jak Data Privacy Manager , służą jako platforma do organizowania i zarządzania prawami osób, których dane dotyczą.

Automatyzuje cały proces , dzięki czemu  systemy informatyczne, w których przechowywane są dane, mogą  terminowo i dokładnie realizować żądania użytkowników . Proces staje się  zautomatyzowanym przepływem pracy z jasnym wglądem w proces.

Od zarejestrowania żądania, poprzez proces akceptacji żądania i przetwarzania danych, aż po powiadomienie osoby, której dane dotyczą, o wyniku żądania.

Co najważniejsze, Data Privacy Manager stanowi jedno centralne miejsce do nadzorowania wniosków i zapewnia IOD wszelkie informacje niezbędne do zarządzania żądaniami osób, których dane dotyczą, w granicach terminu odpowiedzi.

https://dataprivacymanager.net/what-are-data-subject-rights-according-to-the-gdpr/

------------#A TU JEDNA ZE SPRAW O OGROMNYCH LICZBACH⤵️

Infolinia Urzędu 606-950-000

Menu

Międzynarodowe

Krajowe

Decyzje Prezesa UODO

 » Prawo  » Decyzje Prezesa UODO



PREZES

URZĘDU OCHRONY

DANYCH OSOBOWYCH

Warszawa, dnia 15 marca 2019 r.

DECYZJA

ZSPR.421.3.2018

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096, z późn. zm.) oraz art. 7 ust. 1 i 2, art. 60 i art. 101 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000, z późn. zm.) w związku z art. 12 ust. 1, art. 14 ust. 1 - 3 i art. 58 ust. 2 lit. d i lit. i oraz z art. 83 ust. 5 lit. b rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r.  w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z 23.05.2018, str. 2), po przeprowadzeniu postępowania administracyjnego w sprawie przetwarzania danych osobowych przez X. Sp. z o. o., Prezes Urzędu Ochrony Danych Osobowych

stwierdzając naruszenie przez X. Sp. z o. o., przepisów art. 14 ust. 1-3 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z 23.05.2018, str. 2), polegające na niepodaniu informacji zawartych w art. 14 ust. 1 i 2 wyżej powołanego rozporządzenia wszystkim osobom fizycznym, których dane osobowe X. Sp. z o. o. przetwarza, prowadzącym aktualnie lub w przeszłości jednoosobową działalność gospodarczą oraz osobom fizycznym, które zawiesiły wykonywanie tej działalności:

nakazuje X. Sp. z o. o., dopełnienie obowiązku podania informacji określonych w art. 14 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z 23.05.2018, str. 2), osobom fizycznym, których dane osobowe X. Sp. z o. o. przetwarza, prowadzącym aktualnie lub w przeszłości jednoosobową działalność gospodarczą oraz osobom fizycznym, które zawiesiły wykonywanie tej działalność, którym informacje te nie zostały podane – w terminie trzech miesięcy od dnia doręczenia niniejszej decyzji;

nakłada na X. Sp. z o. o., za naruszenie stwierdzone w niniejszej decyzji, administracyjną karę pieniężną w wysokości 943.470,00 PLN (słownie: dziewięćset czterdzieści trzy tysiące czterysta siedemdziesiąt złotych).

UZASADNIENIE

W dniach od […] do […] września 2018 r. oraz w dniach od […] do […] września 2018 r. (sygn. akt […]) upoważnieni pracownicy Urzędu Ochrony Danych Osobowych przeprowadzili kontrolę w X. Sp. z o. o. (zwanej dalej również: „Spółką”), w celu zbadania zgodności przetwarzania przez Spółkę danych osobowych z przepisami o ochronie danych osobowych, tj. rozporządzeniem Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z 23.05.2018, str. 2), zwanym dalej: „rozporządzeniem 2016/679” i ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000, z późn. zm.), zwaną dalej: „Ustawą”.

Kontrolą objęto przetwarzanie przez Spółkę danych osobowych pozyskiwanych ze źródeł publicznie dostępnych, w tym z rejestrów publicznych (m.in. Rejestru Przedsiębiorców Krajowego Rejestru Sądowego, Centralnej Ewidencji i Informacji o Działalności Gospodarczej, Bazy REGON Głównego Urzędu Statystycznego).

Prezes Urzędu Ochrony Danych Osobowych (zwany dalej: „Prezesem UODO”) pismem z dnia […] stycznia 2019 r. (o numerze: […]), zawiadomił Spółkę o wszczęciu z urzędu postępowania administracyjnego w sprawie niedopełnienia obowiązku informacyjnego, o którym mowa w art. 14 rozporządzenia 2016/679 wobec tych osób fizycznych prowadzących działalność gospodarczą, co do których Spółka nie posiadała adresu e-mail w swojej bazie danych, przy czym dotyczy to zarówno przedsiębiorców, którzy aktualnie prowadzą działalność gospodarczą bądź tę działalność zawiesili, jak i o tych, którzy tej działalności już nie prowadzą, lecz prowadzili ją w przeszłości.

Prezes UODO, na podstawie zebranego materiału dowodowego, ustalił następujący stan faktyczny sprawy.

W ramach swojej działalności Spółka oferuje w szczególności raporty handlowe […]. Przedmiotem przeważającej działalności Spółki jest pozostała działalność usługowa w zakresie informacji, gdzie indziej niesklasyfikowana (PKD 63,99,Z). W zakresie działalności Spółki mieści się także m. in. wydawanie wykazów oraz list (np. adresowych, telefonicznych), przetwarzanie danych, zarządzanie stronami internetowymi (hosting) i podobna działalność, a także pozostałe doradztwo w zakresie prowadzenia działalności gospodarczej i zarządzania ([…]).

W systemie informatycznym o nazwie „N[…]” (zwanym dalej: „system N[…]”) Spółka przetwarza dane osobowe osób fizycznych prowadzących działalność gospodarczą, które zostały pozyskane ze źródeł ogólnie dostępnych, w tym z rejestrów publicznych, m.in. z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, z Bazy REGON Głównego Urzędu Statystycznego, z Monitora Sądowego i Gospodarczego ([…]).

W bazie danych „systemu N[…]” znajdują się dane dotyczące ok. 3,59 mln osób fizycznych prowadzących aktualnie jednoosobową działalność gospodarczą oraz osób fizycznych, które zawiesiły tę działalność oraz 2,33 mln osób fizycznych prowadzących w przeszłości działalność gospodarczą ([…]).

W „systemie N[…]” Spółka przetwarza w szczególności dane adresowe (adres rejestrowy, adres do korespondencji, adres operacyjny) odnoszące się do osób fizycznych prowadzących działalność gospodarczą ([…]).

W dniu 27 kwietnia 2018 r., tj. przed dniem rozpoczęcia obowiązywania rozporządzenia 2016/679, Spółka wysłała informację o przetwarzaniu danych osobowych zatytułowaną „[…] – RODO – obowiązek informacyjny” na wszystkie adresy poczty elektronicznej posiadane w bazie danych systemu N[…] przypisane do przedsiębiorców prowadzących jednoosobową działalność gospodarczą ([…]). W trakcie ww. kampanii informacyjnej Spółka wysłała 902 837 wiadomości elektronicznych ([…]).

Spółka zamieściła także na swojej stronie internetowej o adresie www.[…].pl, w zakładce „Dane i prywatność”/”Informacja o przetwarzaniu danych osobowych”, informację o przetwarzaniu danych osobowych przez X. ([…]). Spółka opublikowała również na swojej stronie internetowej www.[…].pl, w zakładce „Dane i prywatność” / Informacja o przetwarzaniu danych osobowych”, pod adresem https://www.[…].pl/rodo/, pełną klauzulę informacyjną, odpowiadającą wymogom art. 14 ust. 1 i ust. 2 rozporządzenia 2016/679.

Spółka podjęła decyzję, aby nie realizować obowiązku informacyjnego, poprzez wysłanie krótkich wiadomości tekstowych (SMS) wobec osób, których dane pozyskała ze źródeł publicznie dostępnych (w tym osób fizycznych prowadzących działalność gospodarczą), ponieważ nie posiada numerów telefonów w odniesieniu do każdej z tych osób, a także ze względu na wysokie koszty takiej akcji. Ze względu na wysokie koszty Spółka nie zdecydowała się również na spełnienie tego obowiązku drogą tradycyjnej korespondencji wysłanej do osób, których dane przetwarza ([…]).

Z wyjaśnień Spółki przedstawionych w piśmie z dnia […] lutego 2019 r. wynika, że dane przez nią przetwarzane są danymi dostępnymi publicznie, zgromadzonymi w oficjalnych, publicznych rejestrach, zakres tych danych jest stosunkowo wąski, a ryzyko dla praw i wolności osób, których dane dotyczą, związane z ich przetwarzaniem – niskie. Spółka posiada łącznie 7.594.636 rekordów danych dotyczących osób fizycznych, w tym przedsiębiorców prowadzących jednoosobową działalność gospodarczą oraz osób będących wspólnikami lub członkami organów spółek, fundacji i stowarzyszeń. Spółka spełniła indywidualny obowiązek informacyjny wobec 682 439 osób, w stosunku do których posiada w ramach rekordu bazy danych adresy poczty elektronicznej. W odniesieniu do 181 142 osób Spółka dysponuje wyłącznie numerami telefonów komórkowych, a w odniesieniu do 6.490.226 osób dysponuje wyłącznie adresami korespondencyjnymi, z czego 2.924.443 rekordy dotyczą nieaktywnych działalności gospodarczych. Z wyjaśnień Spółki wynika także, że gdyby miała wykonać obowiązek informacyjny ustanowiony w art. 14 ust. 1 - 2 rozporządzenia 2016/679, indywidualnie wobec wszystkich osób fizycznych, których dane są przedmiotem postępowania, z wykorzystaniem poczty tradycyjnej, to koszt takiej operacji wyniósłby ponad 33.749.175,00 złotych (kwota uzyskana z przemnożenia liczby podmiotów danych, do których nie została wysłana klauzula informacyjna drogą korespondencji elektronicznej, przez koszt nadania za pośrednictwem Poczty Polskiej listu poleconego w wariancie ekonomicznym, bez dodatkowych kosztów administracyjnych), co stanowi […] obrotu Spółki z roku 2018.

Ponadto, z wyjaśnień Spółki wynika, że realizacja obowiązku informacyjnego w jego podstawowej formie (tj. indywidualnego kontaktu z każdą osobą, której dane dotyczą) powodowałaby po stronie Spółki „niewspółmierny wysiłek”, o którym mowa w art. 14 ust. 5 lit. b rozporządzenia 2016/679, rozumiany jako obciążenie organizacyjne (tzn. konieczność oddelegowania pracowników i zasobów rzeczowych - komputerów, urządzeń biurowych - do realizacji wyłącznie tego zadania) oraz finansowe (tzn. koszt druku, przygotowania do wysyłki i nadania, w tym papieru, tonera, kopert, znaczków pocztowych, obsługi zwrotów korespondencji, ewentualnie wynagrodzenie podmiotów, którym Spółka mogłaby zlecić wykonanie tego zadania), które w krytyczny sposób zakłóciłyby funkcjonowanie Spółki w stopniu, który mógłby wiązać się z koniecznością zakończenia prowadzenia działalności w Polsce.

Spółka stosuje do przetwarzanych przez siebie danych osobowych wysokiej klasy zabezpieczenia techniczne, […]. Spółka posiada wdrożone szczegółowe procedury i instrukcje dla pracowników zapewniające bezpieczeństwo przetwarzania danych.

Spółka powołała się również na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 12 lipca 2016 r. sygn. akt DIS/DEC-587/16/62309, w analogicznej sprawie, w której po orzeczeniu Naczelnego Sądu Administracyjnego z dnia 24 stycznia 2013 r. (o sygn. akt I OSK 1827/11) oraz Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 24 kwietnia 2013 r. (o sygn. akt II SA/Wa 507/13), GIODO stwierdził, że obowiązek informacyjny istnieje a odpowiednim środkiem służącym jego realizacji było zamieszczenie wymaganych informacji na stronie internetowej spółki będącej administratorem danych. W ocenie Spółki w niniejszym postępowaniu nie istnieją przesłanki, aby ocena dokonana przez Prezesa UODO była w tym zakresie odmienna.

Spółka załączyła do pisma z dnia […] lutego 2019 r.: oświadczenie Zarządu o przychodach netto ze sprzedaży i zrównanych z nimi za rok 2018 w wysokości 34.778.450,50 PLN, oraz sprawozdanie finansowe Spółki za rok obrotowy od 01.01.2017 r. do 31.12.2017 r., z którego wynika wysokość przychodów netto ze sprzedaży i zrównanych z nimi: 29.026.755,76 PLN.

Po przeanalizowaniu zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych stwierdza, co następuje.

Prezes UODO jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i organem nadzorczym w rozumieniu rozporządzenia 2016/679 (art. 34 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych).

Stosownie do art. 57 ust. 1 rozporządzenia 2016/679, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia (lit. a), prowadzi postępowania w sprawie stosowania niniejszego rozporządzenia (lit. h). Instrumentami realizacji zadań, o których mowa w art. 57 rozporządzenia 2016/679 są w szczególności uprawnienia naprawcze nadane mocą art. 58 ust. 2, nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu (lit. d) i zastosowanie, oprócz lub zamiast środków, o których mowa w niniejszym ustępie, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy (lit. i).

Zgodnie z art. 14 ust. 1 rozporządzenia 2016/679, jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą, administrator podaje osobie, której dane dotyczą, następujące informacje:

swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;

gdy ma to zastosowanie - dane kontaktowe inspektora ochrony danych;

cele przetwarzania, do których mają posłużyć dane osobowe, oraz podstawę prawną przetwarzania;

kategorie odnośnych danych osobowych;

informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;

gdy ma to zastosowanie - informacje o zamiarze przekazania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu udostępnienia.

Natomiast z treści art. 14 ust. 2 rozporządzenia 2016/679 wynika, że poza informacjami, o których mowa w ust. 1, administrator podaje osobie, której dane dotyczą, następujące informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania wobec osoby, której dane dotyczą:

okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;

jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) - prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;

informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;

jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;

informacje o prawie wniesienia skargi do organu nadzorczego;

źródło pochodzenia danych osobowych, a gdy ma to zastosowanie - czy pochodzą one ze źródeł publicznie dostępnych;

informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

Artykuł 14 ust. 3 rozporządzenia 2016/679 wskazuje, w jakim czasie administrator winien zrealizować obowiązek informacyjny, o którym mowa w ust. 1 i 2, czyli:

w rozsądnym terminie po pozyskaniu danych osobowych - najpóźniej w ciągu miesiąca - mając na uwadze konkretne okoliczności przetwarzania danych osobowych;

jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą - najpóźniej przy pierwszej takiej komunikacji z osobą, której dane dotyczą; lub

jeżeli planuje się ujawnić dane osobowe innemu odbiorcy - najpóźniej przy ich pierwszym ujawnieniu.

Mając na uwadze dokonane w tej sprawie ustalenia należy wskazać, że obowiązek, o którym mowa w art. 14 rozporządzenia 2016/679, został przez Spółkę dopełniony wyłącznie w odniesieniu do 682 439 osób fizycznych prowadzących działalność gospodarczą, których dane osobowe Spółka przetwarza w systemie informatycznym „N[…]”, odnośnie których Spółka posiadała adres elektroniczny (adres e-mail) i wysłała korespondencję elektroniczną zawierającą „Informację o przetwarzaniu danych osobowych” (liczba na dzień dokonanych ustaleń w toku kontroli).

Natomiast, przedmiotowy obowiązek wynikający z art. 14 rozporządzenia 2016/679 nie został przez Spółkę spełniony w stosunku do pozostałych osób fizycznych prowadzących działalność gospodarczą, których dane są przetwarzane w systemie „N[…]”, czyli takich, których adresów poczty elektronicznej (e-mail) Spółka nie posiadała. Z ustaleń Prezesa UODO wynika, że Spółka nie spełniła tego obowiązku wobec tych osób fizycznych prowadzących działalność gospodarczą, co do których nie posiadała adresu e-mail w swojej bazie danych, przy czym zarówno chodzi o przedsiębiorców, którzy prowadzą aktualnie działalność gospodarczą („nie zamknęli” tej działalności są aktywni, bądź zawieszeni), jak i o tych, którzy zaprzestali prowadzenia działalności gospodarczej.

Spółka zamieściła także na swojej stronie internetowej o adresie www.[…].pl, w zakładce „Dane i prywatność”/”Informacja o przetwarzaniu danych osobowych”, informację o przetwarzaniu danych osobowych przez Spółkę, w zakresie przewidzianym w art. 14 ust. 1 i ust. 2 rozporządzenia 2016/679.

W kontekście powyższego Prezes UODO stwierdza, że samo umieszczenie informacji, wymaganych w art. 14 ust. 1 i ust. 2 rozporządzenia 2016/679, na stronie internetowej Spółki, w sytuacji posiadania przez Spółkę danych adresowych (a niekiedy również numerów telefonów) osób fizycznych prowadzących jednoosobową działalność gospodarczą (aktualnie lub w przeszłości), umożliwiających przesłanie pocztą tradycyjną korespondencji zawierającej wymagane tym przepisem informacje (lub przekazanie ich drogą kontaktu telefonicznego), nie może być uznane za wystarczające spełnienie przez Spółkę obowiązku, o którym mowa w art. 14 ust. 1-3 rozporządzenia 2016/679.

Przesłanka wyłączająca spełnienie obowiązku informacyjnego, przewidziana w art. 14 ust. 5 lit. b) rozporządzenia 2016/679, tj. wyłączająca zastosowanie art. 14 ust. 1 do ust. 4 rozporządzenia 2016/679, gdy - i w zakresie, w jakim: udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku, nie znajdzie zastosowania w niniejszej sprawie w odniesieniu do osób fizycznych prowadzących działalność gospodarczą, których dane osobowe Spółka przetwarza w bazie systemu N[…].

W ocenie Prezesa UODO wysłanie bowiem informacji, o których mowa w art. 14 rozporządzenia 2016/679 pocztą tradycyjną, na adres osoby fizycznej prowadzącej działalność gospodarczą, lub w drodze kontaktu telefonicznego, nie jest czynnością „niemożliwą” oraz nie wymaga „niewspółmiernie dużego wysiłku”, w sytuacji posiadania przez Spółkę w bazie systemu informatycznego N[…] danych adresowych, w odniesieniu do osób fizycznych prowadzących jednoosobową działalność gospodarczą (aktualnie lub w przeszłości), a także dodatkowo - numerów telefonów - w odniesieniu do części tych osób. Wskazać w tym miejscu należy, że w odróżnieniu do ww. osób fizycznych, odmienna jest sytuacja osób będących udziałowcami lub członkami organów spółek i innych osób prawnych, których dane Spółka przetwarza.

W rejestrach publicznych (w szczególności w Rejestrach KRS) brak jest bowiem danych teleadresowych tych osób, w związku z czym Spółka musiałaby poszukiwać tych danych w innych źródłach, co już mogłoby stanowić dla Spółki „niewspółmiernie duży wysiłek.

W piśmie z dnia […] lutego 2019 r. Spółka przedstawiła kalkulację kosztów związanych z ewentualnym dokonaniem osobom fizycznym, których dane osobowe przetwarza, wysyłki informacji, o których mowa w art. 14 ust. 1-2 rozporządzenia 2016/679, pocztą tradycyjną, tj. przesyłką poleconą w wariancie ekonomicznym, które to koszty wyniosłyby ponad 33.749.175,00 PLN (stanowiąc […] obrotu Spółki z roku 2018).

Tymczasem, z ustalonych okoliczności stanu faktycznego niniejszej sprawy wynika, że Spółka prowadzi działalność na polskim rynku od ponad 25 lat, a na dzień […] lutego 2019 r. osiada w bazie danych łącznie 7.594.636 rekordów zawierających dane osobowe przedsiębiorców oraz osób będących wspólnikami lub członkami organów spółek, fundacji czy stowarzyszeń. Ze złożonych wyjaśnień wynika również, że na dzień ich złożenia Spółka nie spełniła indywidualnego obowiązku informacyjnego łącznie wobec 6.671.368 osób. Odnośnie 181.142 osób Spółka dysponuje wyłącznie numerami telefonów komórkowych, co oznacza, że może spełnić obowiązek informacyjny za pośrednictwem tego narzędzia komunikacji. Jeśli zaś chodzi o 6.490.226 osób, co do których Spółka dysponuje wyłącznie adresami korespondencyjnymi, zwrócić należy uwagę na treść art. 12 ust. 1 rozporządzenia 2016/679. Przepis ten przewiduje podjęcie przez administratora z własnej inicjatywy, bez udziału podmiotu danych, realizację obowiązku o charakterze informacyjnym, o którym mowa m. in. w art. 14 rozporządzenia 2016/679 W ocenie Prezesa UODO, z przepisu tego nie wynika, żeby prawodawca nałożył na administratora obowiązek wysyłania takiej informacji np. przesyłką poleconą, byleby tylko administrator mógł stosownymi dowodami wykazać, że ów obowiązek informacyjny został przez niego spełniony wobec podmiotów, których dane osobowe przetwarza. Istotą spełnienia obowiązku jest takie działanie administratora w sposób czynny, aktywny wobec osoby, której dane dotyczą, poprzez podanie tej osobie określonych przepisami rozporządzenia 2016/679 informacji.

Konieczność czynnego powiadamiania akcentuje Grupa Robocza Art. 29, w wytycznych w sprawie przejrzystości na podstawie rozporządzenia 2016/679 przyjętych dnia 29 listopada 2017 r. (ostatnio zmienionych i przyjętych w dniu 11 kwietnia 2018 r.). Niezależnie od wskazanych wyżej metod spełnienia obowiązku informacyjnego, w ocenie Prezesa UODO Spółka może zrealizować go w dowolny sposób, a w kontekście motywu 171 rozporządzenia 2016/479 - w którym ustawodawca unijny wskazał, że przetwarzanie, które w dniu rozpoczęcia stosowania niniejszego rozporządzenia już się toczy powinno w terminie dwóch lat od wejścia w życie niniejszego rozporządzenia zostać dostosowane do jego przepisów - znaczenie ma termin, w którym określone obowiązki miały być wypełnione.

Przetwarzane dane osobowe Spółka pozyskała z publicznie dostępnych źródeł informacji. Zakres danych, które Spółka przetwarza w celach komercyjnych, to – w odniesieniu do wszystkich osób fizycznych, których dane przetwarza - m. in.: imię, nazwisko, PESEL (pozyskane z KRS), zaś w odniesieniu do osób fizycznych prowadzących działalność gospodarczą, to m. in. pozyskane z CEIDG i Bazy REGON GUS: imię, nazwisko, nazwa przedsiębiorstwa, adres rejestrowy oraz inne adresy, rodzaj działalności PKD, numer telefonu (opcjonalnie), adres e-mail (opcjonalnie), adres strony www (opcjonalnie), zakazy/uprawnienia/ograniczenia/koncesje na prowadzenie określonej działalności, związane z przedsiębiorcą zdarzenia prawne (zgodnie z zakresem danych wskazanych w załączniku nr 63 - karta akt sprawy numer 464).

Prezes UODO zauważa zatem, że rozpatrywana sytuacja Spółki nie jest analogiczna do tej, która była przedmiotem oceny Naczelnego Sądu Administracyjnego w wyroku z dnia 24 stycznia 2013 r. (o sygn. akt I OSK 1827/11) ani w zakresie ilości danych, które Spółka pozyskuje z publicznie dostępnych źródeł, ani spełnienia obowiązku informacyjnego. W sprawie tamtej NSA wskazał: „Z ustaleń dokonanych przez organ wynika, iż skarżąca spółka w ramach prowadzonej działalności komercyjnej świadczenia usług polegających na udzielaniu informacji przetwarza dane o osobach prawnych oraz jednostkach organizacyjnych nieposiadających osobowości prawnej, których dane są ujawnione w Krajowym Rejestrze Sądowym (Monitor Sądowy i Gospodarczy). W zbiorach tych znajdują się również dane osobowe osób fizycznych w zakresie: imię, nazwisko, nr PESEL, pełniona funkcja, rok urodzenia. Monitory Sądowy i Gospodarczy nie zawierają danych o adresach osób fizycznych. Zasadnie skarżąca spółka podważa w tej sytuacji nałożenie przez organ ogólnie obowiązku spełnienia obowiązku informacyjnego, bez wskazania w jaki sposób i jakimi środkami administrator danych winien je uzyskać.” Natomiast, w niniejszej sprawie Spółka dysponuje znacznie szerszym zakresem danych osobowych, w tym adresami korespondencyjnymi osób fizycznych i numerami telefonów, co oznacza, że mogła spełnić obowiązek podania danych, o których mowa w art. 14 ust. 1 i 2 rozporządzenia 2016/679, wobec osób fizycznych, których dane przetwarza.

Mając na uwadze powyższe ustalenia, Prezes Urzędu Ochrony Danych Osobowych, korzystając z przysługującego mu uprawnienia określonego w art. 58 ust. 2 lit. d rozporządzenia 2016/679, nakazuje Spółce - w terminie do trzech miesięcy od daty otrzymania niniejszej decyzji - dopełnienie obowiązku podania informacji, o których mowa w art. 14 ust. 1 i 2 rozporządzenia 2016/679, tym osobom fizycznym prowadzącym aktualnie lub w przeszłości jednoosobową działalność gospodarczą , których dane osobowe przetwarza, a którym informacje te nie zostały podane.

Zgodnie z art. 58 ust. 2 lit. i rozporządzenia 2016/679, każdemu organowi nadzorczemu przysługuje uprawnienie do zastosowania, oprócz lub zamiast innych środków naprawczych przewidzianych w art. 58 ust. 2 tego rozporządzenia, administracyjnej kary pieniężnej na mocy art. 83 rozporządzenia, zależnie od okoliczności konkretnej sprawy. Prezes UODO stwierdza, że w rozpatrywanej sprawie zaistniały przesłanki warunkujące nałożenie na Spółkę administracyjnej kary pieniężnej.

Stosownie do treści art. 83 ust. 2 rozporządzenia 2016/679, administracyjne kary pieniężne nakłada się, zależnie od okoliczności każdego indywidualnego przypadku, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a-h oraz lit. j.

Prezes UODO decydując o nałożeniu na Spółkę administracyjnej kary pieniężnej oraz ustalając jej wysokość, zgodnie z art. 83 ust. 2 lit. a-k rozporządzenia 2016/679 wziął pod uwagę następujące okoliczności tej sprawy:

nie został spełniony obowiązek informacyjny, wynikający z art. 14 ust. 1 - 3 rozporządzenia 2016/679, wobec osób fizycznych prowadzących aktualnie lub w przeszłości jednoosobową działalność gospodarczą (aktywnych, zawieszonych i historycznych - działalność zamknięta), stan ten trwa do chwili obecnej, czyli nie jest to jednorazowe zdarzenie ograniczone w czasie, a dotyczy łącznie 6.671.368 rekordów, według danych zawartych w wyśnieniach Spółki z dnia […] lutego 2019 r. (charakter, waga oraz czas trwania naruszenia);

stwierdzone w niniejszej sprawie naruszenie ma poważny charakter, dotyczy bowiem podstawowych praw i wolności osób, których dane Spółka przetwarza, narusza również podstawową w odniesieniu do przetwarzania danych osobowych zasadę rzetelności i przejrzystości (art. 5 ust. 1 lit a rozporządzenia 2016/679). Naruszenie przez Spółkę obowiązku podania podstawowych informacji o przetwarzaniu oraz pouczenia o przysługujących podmiotom danych prawach z tym związanych (wskazanych w art. 15-21 rozporządzenia 2016/679), pociąga za sobą m.in.

ryzyko odebrania im możliwości skorzystania z tych praw; wagę naruszenia zwiększa również okoliczność, że na Spółce przetwarzającej dane osobowe w sposób profesjonalny, w ramach swojej podstawowej działalności, w celach zarobkowych, i na bardzo dużą skalę (liczba podmiotów danych dotkniętych naruszeniem – 6.671.368), ciąży większa odpowiedzialność i większe wymagania niż na podmiocie przetwarzającym dane osobowe w ramach działalności ubocznej, incydentalnie lub na niewielką skalę. Podkreślić ponadto należy, co jest okolicznością obciążającą w niniejszej sprawie, że stwierdzone naruszenie trwa do chwili obecnej (charakter, waga i czas trwania naruszenia);

Spółka podjęła świadomą decyzję (motywowaną chęcią uniknięcia dodatkowych nakładów finansowych) o niezrealizowaniu wobec osób fizycznych prowadzących aktualnie (w tym aktywnych, zawieszonych) lub w przeszłości jednoosobową działalność gospodarczą obowiązku, o którym mowa w art. 14 ust. 1-3 rozporządzenia 2016/679 „ze względu na milionowe koszty” ([…]), co oznacza, że należy przypisać jej umyślność w naruszeniu wskazanych przepisów prawa (umyślny lub nieumyślny charakter naruszenia);

w toku postępowania nie ustalono, żeby konsekwencją stwierdzonego naruszenia było powstanie po stronie podmiotów danych szkód, jednakże dalsze przetwarzanie danych osobowych bez wiedzy osób, których dotyczą, niewątpliwie utrudnia czy ogranicza skorzystanie przez te osoby z przysługujących im uprawnień, np. prawa do usunięcia danych, sprostowania, czy złożenia sprzeciwu wobec przetwarzania danych osobowych (na dzień […] września 2018 r. z uprawnienia tego skorzystało 12630 osób -  […]). W konsekwencji, brak spełnienia obowiązku informacyjnego, prowadzi do uprzywilejowanej pozycji Spółki w realizacji jej praw w stosunku do praw osób, których dane dotyczą i stanowią istotny element przedmiotu działalności Spółki. Powołać w tym miejscu należy stanowisko Naczelnego Sądu Administracyjnego wyrażone w wyroku z dnia 16 grudnia 2004 r. (sygn. akt OSK 829/04), że ochrona dóbr jednych nie może odbywać się kosztem naruszenia praw innych, co można pośrednio lub bezpośrednio wywieźć z wielu przepisów Konstytucji RP, np. z: art. 2, art. 32 ust. 1 i art. 83 (działania podjęte dla zminimalizowania szkody);

stwierdzone naruszenie nie ma związku z wdrożeniem i jakością stosowanych przez Spółkę – na mocy art. 25 i 32 rozporządzenia 2016/679 – środków organizacyjnych i technicznych, dlatego też nie istnieje konieczność ustalania w tym kontekście stopnia odpowiedzialności Spółki (stopień odpowiedzialności administratora z uwzględnieniem środków technicznych i organizacyjnych);

nie zostało stwierdzone, żeby Spółka uprzednio dopuściła się naruszenia przepisów rozporządzenia 2016/679, które miałoby istotne znaczenie dla niniejszego postepowania;

zarówno w toku przeprowadzonej kontroli, jak i w trakcie trwania niniejszego postępowania Spółka współpracowała z Prezesem UODO, w wyznaczonym terminie Spółka przesłała wyjaśnienia i udzieliła odpowiedzi na pismo Prezesa UODO, a jednocześnie wraz z pismem przesłała stosowne dokumenty na potwierdzenie złożonych wyjaśnień. Jednakże współpraca ta miała na celu zapewnienie jedynie prawidłowego przebiegu postepowania, a nie usunięcie stwierdzonego w toku kontroli naruszenia, czy też usunięcie jego skutków (stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków);

dane osobowe osób fizycznych prowadzących działalność gospodarczą (aktualnie lub w przeszłości), które Spółka przetwarza, pochodzą z publicznie dostępnych źródeł informacji i obejmują: imię, nazwisko, nazwę przedsiębiorstwa, adres rejestrowy oraz inne adresy, rodzaj działalności PKD, numer telefonu (opcjonalnie), adres e-mail (opcjonalnie), adres strony www (opcjonalnie), zakazy/uprawnienia/ograniczenia/koncesje na prowadzenie działalności gospodarczej, związane z przedsiębiorcą zdarzenia prawne (zgodnie z zakresem danych wskazanych w załączniku nr 63 - karta akt sprawy numer 464).

Strona wskazała, że dysponuje także: adresami e-mail, adresami korespondencyjnymi osób fizycznych oraz numerami telefonów (kategorie danych osobowych, których dotyczy naruszenie). Stwierdzone naruszenie nie dotyczy szczególnych kategorii danych osobowych, o których mowa w art. 9 rozporządzenia 2016/679 (Spółka nie przetwarza takich danych);

Prezes UODO pozyskał informację o niewypełnieniu przez Spółkę obowiązku z art. 14 ust. 1-3 rozporządzenia 2016/679, w trakcie kontroli przeprowadzanej w Spółce z urzędu (sposób, w jaki organ nadzorczy dowiedział się o naruszeniu);

w tej samej sprawie nie zostały wcześniej zastosowane wobec Spółki środki, o których mowa w art. 58 ust. 2 rozporządzenia 2016/679 (przestrzeganie środków nałożonych w tej samej sprawie na administratora);

Spółka nie stosuje zatwierdzonych kodeksów postępowania na mocy art. 40 rozporządzenia 2016/679 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42 rozporządzenia 2016/679 (stosowanie kodeksów postępowania lub mechanizmów certyfikacji);

uzasadnianie przez Spółkę niewykonania obowiązku wynikającego z art. 14 ust. 1 - 3 rozporządzenia 2016/679 wysokimi kosztami finansowymi, aż do próby przerzucenia odpowiedzialności - gdyby go wykonała - za ewentualny spadek jej konkurencyjności na rynku, czy też utratę płynności finansowej, aż do konieczności zakończenia prowadzonej działalności, stanowi okoliczność zdecydowanie działającą na niekorzyść Spółki. Zwrócić należy bowiem uwagę, że chociaż Spółka pozyskuje dane ze wskazanych źródeł publicznych, to stanowią one przedmiot jej wieloletniej działalności komercyjnej, zaś osoby, których te dane dotyczą, nie posiadają informacji o przetwarzaniu przez Spółkę takich danych. W ocenie Prezesa UODO odpowiedzialność wobec tych osób spoczywa zatem na Spółce, szczególnie w zakresie realizacji obowiązku wynikającego z art. 14 ust. 1 - 3 rozporządzenia 2016/679. Niewykonanie ww. obowiązku z uwagi na wskazane przez Spółkę koszty finansowe, świadczy o obniżeniu wartości praw osób, których dane osobowe Spółka przetwarza, w stosunku do wartości finansów Spółki, której to argumentacji nie można uznać za zasadną w świetle wymogów rozporządzenia 2016/679. Wskazać także należy, że Spółka pozyskuje przecież środki finansowe w ramach prowadzonej działalności gospodarczej, której przedmiotem jest udostępnienie danych osobowych osób fizycznych jej klientom (tj. m.in. podmiotom gospodarczym, w tym osobom prowadzącym jednoosobową działalność gospodarczą, czy też organom publicznym), jako odrębnym administratorom, w związku z produktami oferowanymi przez Spółkę. W bazie danych N[…], Spółka przechowuje również dane osób, które nie prowadzą już działalności gospodarczej ponieważ jak wynika z ustaleń kontroli „(…) klienci Spółki zwracają się z pytaniami, czy wśród ich dostawców nie ma podmiotów wykreślonych. Informacja o klientach nieaktywnych jest częścią produktu Spółki polegającego na dostarczaniu informacji gospodarczych.” ([…]).

W ocenie Prezesa UODO dodatkową okolicznością obciążającą jest motywacja, którą kierowała się Spółka decydując, że wystarczającym sposobem przekazania informacji, o których mowa w art. 14 ust 1 i 2 rozporządzenia 2016/679, przedsiębiorcom, których adresami e-mail nie dysponuje, będzie opublikowanie ich na swojej stronie internetowej. Spółka nie ukrywa, że za tą decyzją stała kalkulacja kosztów związanych z bezpośrednimi formami dotarcia do osób, których dane przetwarza, a więc chęć uniknięcia dodatkowych związanych z tym kosztów. Spółka przy tym ma świadomość, że prawidłową, gwarantującą odpowiedni poziom zabezpieczenia praw i wolności podmiotów danych, formą podania im wymaganych informacji jest bezpośredni kontakt zainicjowany przez Spółkę. Świadczy o tym fakt wybrania w pierwszej kolejności takiego kontaktu w przypadku przedsiębiorców, których adresami e-mail Spółka dysponowała (w tym przypadku kontakt bezpośredni nie wiązał się jednak z praktycznie żadnymi kosztami).

Rezygnacja z bezpośredniego kontaktu tylko z powodu związanych z tym kosztów należy ocenić negatywnie, szczególnie, że operacje na danych osobowych stanowią przedmiot podstawowej, czysto komercyjnej, profesjonalnej, wieloletniej działalności Spółki. Od Spółki, jako profesjonalisty w tego rodzaju działalności, należy wymagać takiego ukształtowania strony biznesowej swojej działalności, które uwzględniałoby wszelkie koszty niezbędne dla zapewnienia jej zgodności z przepisami prawa (w tym przypadku z przepisami o ochronie danych osobowych).

Zgodnie z art. 83 rozporządzenia 2016/679 – określającym ogólne warunki nakładania administracyjnych kar pieniężnych - każdy organ nadzorczy zapewnia, by stosowane na mocy niniejszego artykułu za naruszenia niniejszego rozporządzenia administracyjne kary pieniężne, o których mowa w ust. 4, 5 i 6, były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające (ust. 1).

Decydując czy nałożyć administracyjną karę pieniężną, a także ustalając jej wysokość, za najistotniejszy Prezes UODO uznał umyślny charakter naruszenia, czyli świadome podjęcie decyzji o nierealizowaniu obowiązku informacyjnego. Niezwykle istotne jest także to, że decyzja ta miała i ma wpływ na bardzo dużą ilość osób, wobec których obowiązek informacyjny nie został spełniony. Znaczenie mają także konsekwencje niespełniania tego obowiązku jakimi są: niewiedza osób, których dane dotyczą o procesach przetwarzania ich danych oraz o możliwości skorzystania z przysługujących im praw zagwarantowanych przepisami rozporządzenia 2016/679. Także czas trwania naruszenia ocenić należy negatywnie mając na uwadze termin wejścia w życie rozporządzenia 2016/679 i termin rozpoczęcia jego stosowania. Znaczenie w tej sprawie ma także to, że naruszenie dotyczy – zgodnie z art. 83 ust. 5 lit b rozporządzenia 2016/679 – jednego z podstawowych praw osób, do którego zastosowanie ma wyższa kwota administracyjnej kary pieniężne.

W ocenie Prezesa Urzędu Ochrony Danych Osobowych, zastosowana administracyjna kara pieniężna spełnia w ustalonych okolicznościach niniejszej sprawy funkcje, o których mowa w art. 83 ust. 1 rozporządzenia 2016/679, tzn. jest w tym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca.

Należy uznać, że kara będzie skuteczna, jeżeli jej nałożenie doprowadzi do tego, że Spółka dostosuje swoje procesy przetwarzania danych do stanu zgodnego z prawem. Wysokość kary powinna być na tyle duża, żeby Spółka, jako ukarany podmiot nie wkalkulowała jej w koszty swojej działalności. Ponadto skuteczność tego rodzaju środka powinna wiązać się dla administratora, jakim jest Spółka, z dolegliwością finansową, niewątpliwą w przypadku podmiotu prowadzącego działalność czysto komercyjną, motywującego swoje działania (w tym również te związane ze stwierdzonym naruszeniem) chęcią powiększenia swoich zysków czy też uniknięcia dodatkowych, niepotrzebnych w jego ocenie, kosztów czy nakładów finansowych. Zastosowanie administracyjnej kary pieniężnej w niniejszym przypadku jest niezbędne zważywszy także na to, że Spółka będąc świadomą istnienia naruszenia, nie podjęła ani nawet nie zadeklarowała podjęcia, żadnych działań mających na celu jego usunięcie.

W ocenie Prezesa UODO zastosowana kara pieniężna jest proporcjonalna do stwierdzonego naruszenia, szczególnie biorąc pod uwagę znaczą wagę naruszenia, liczbę podmiotów danych objętych naruszeniem i czas trwania naruszenia. Wskazuje na to Prezes UODO po dokonaniu wnikliwego i szczegółowego odniesienie się w niniejszej decyzji do wszystkich przesłanek, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679.

Odstraszający charakter kary pieniężnej wiąże się z zapobieganiem popełniania naruszeń przez karanie za ich popełnienie. Kara ma odstraszać zarówno Spółkę, przed ponownym naruszeniem, jak i inne podmioty.

Nakładając niniejszą decyzją karę pieniężną za naruszenie przepisów o ochronie danych osobowych Prezes Urzędu Ochrony Danych Osobowych wziął pod uwagę oba aspekty: po pierwsze – charakter represyjny, Spółka naruszyła przepisy, po drugie – charakter prewencyjny, zarówno Spółka jak i inni administratorzy będą skutecznie zniechęceni do naruszania w przyszłości prawa ochrony danych osobowych. 

Celem nałożonej kary jest doprowadzenie do wykonania przez Spółkę obowiązku wynikającego z art. 14 ust. 1-3 rozporządzenia 2016/679, a w konsekwencji przetwarzania danych zgodnie z przepisami o ochronie danych osobowych.

W ustalonych okolicznościach niniejszej sprawy, tj. wobec stwierdzenia naruszenia obowiązku wynikającego z art. 14 ust. 1-3 rozporządzenia 2016/679, zastosowanie znajdzie art. 83 ust. 5 lit. b rozporządzenia 2016/679, zgodnie z którym naruszenia przepisów dotyczących praw osób, których dane dotyczą (w tym prawa do uzyskania informacji, o których mowa w art. 14 ust. 1 i 2 tego rozporządzenia), podlegają a administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

Stosownie do treści art. 103 Ustawy równowartość wyrażonych w euro kwot, o których mowa w art. 83 rozporządzenia 2016/679, oblicza się w złotych według średniego kursu euro ogłaszanego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia każdego roku, a w przypadku gdy w danym roku Narodowy Bank Polski nie ogłasza średniego kursu euro w dniu 28 stycznia - według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów Narodowego Banku Polskiego.

Prezes Urzędu Ochrony Danych Osobowych, na podstawie art. 83 ust. 5 lit. b rozporządzenia 2016/679, w związku z art. 103 Ustawy, za naruszenie opisane w sentencji niniejszej decyzji, wymierza Spółce – stosując średni kurs euro z dnia 28 stycznia 2019 r. (1 EUR = 4.2885 PLN) – administracyjną karę pieniężną w kwocie 943.470,00 PLN (co stanowi równowartość 220 000 EUR).

W ocenie Prezesa UODO, zastosowana kara pieniężna spełnia w ustalonych okolicznościach niniejszej sprawy przesłanki, o których mowa w art. 83 ust. 1 rozporządzenia 2016/679 ze względu na powagę stwierdzonych naruszeń w kontekście podstawowych wymogów i zasad rozporządzenia 2016/679 – rzetelności i przejrzystości oraz prawa do informacji.

Odnosząc się do zasady przejrzystości – ustanowionej mocą art. 5 ust. 1 lit. a rozporządzenia 2016/679, zgodnie z którym dane muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą – wskazać trzeba, że ma ona kluczowe znaczenie dla rzetelnego przetwarzania danych osobowych, zwłaszcza w kontekście istotnego rozbudowania mocą przepisów rozporządzenia 2016/679 obowiązków dotyczących informowania podmiotów danych i umożliwienia osobom, których dane dotyczą realizacji ich uprawnień. Jednym z aspektów obowiązków informacyjnych wynikających z zasady przejrzystości jest aspekt formalny dotyczący wykonania obowiązku informacyjnego (w tym z art. 14 rozporządzenia 2016/679) w ogóle, a także wypełnienie tego w odpowiednim czasie i formie. Spełnienie obowiązku informacyjnego zgodnie z zasadą przejrzystości ma na celu uświadomienie osobom, których dane dotyczą ryzyk, zasad, zabezpieczeń, i praw związanych z przetwarzaniem danych osobowych oraz sposobów wykonania praw związanych z przetwarzaniem.

Mając powyższe na uwadze Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął jak w sentencji niniejszej decyzji.

Decyzja jest ostateczna. Od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00 - 193 Warszawa). Od skargi należy wnieść wpis stosunkowy, zgodnie z art. 231 w związku z art. 233 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U.

z 2018 1302, t. j. z dnia 2018.07.05). Strona ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek Strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.

Zgodnie z art. 105 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000, z późn. zm.), administracyjną karę pieniężną należy uiścić w terminie 14 dni od dnia upływu terminu na wniesienie skargi do Wojewódzkiego Sądu Administracyjnego, albo od dnia uprawomocnienia się orzeczenia sądu administracyjnego, na rachunek bankowy Urzędu Ochrony Danych Osobowych w NBP O/O Warszawa nr 28 1010 1010 0028 8622 3100 0000.



2019-03-26 

Prezes i Urząd

Aktualności

Prawo

Edukacja

Schengen

Współpraca

Zamówienia publiczne

Archiwum giodo.gov.pl

Infolinia UODO

606-950-000

czynna w dni robocze od: 10:00-14:00



Urząd Ochrony Danych Osobowych

ul. Stawki 2, 00-193 Warszawa

kancelaria@uodo.gov.pl

Godziny pracy: 8.00-16.00

© UODO 2018 - 2022 Wszelkie prawa zastrzeżone.

Polityka prywatności | Deklaracja dostępności | Strona główna | Kontakt

Polskie runy wyjaśnione – Winicjusz Kossakowski

Polskie runy wyjaśnione – Winicjusz Kossakowski: Zapraszam do wysłuchania wykładu Winicjusza Kossakowskiego o polskich runach, zaprezentowanego podczas Słowiańskiego Wiecu w Radzimowicach, 25 czerwca 2016. Organizatorem wiecu był Wiktor Urbańczyk. Wątki lekcji o runach: skąd pochodzi słowo „runy” wyjaśnienie powstawania poszczególnych znaków denar Mieszka I jak nazywał się Mieszko I różnica między Bolek a Bolko dlaczego polska nauka uznaje wszystko jako niemieckie […]

Nasciturus

 DAMIAN ŚWIĘCIOCH 

Koło Naukowe Prawa Cywilnego UJ 

Wydział Prawa i Administracji Uniwersytetu Jagiellońskiego Status prawny nasciturusa w polskim prawie cywilnym. 

 Nasciturus

W artykule zostaną przedstawione w ujęciu prawno-socjologicznym najważniejsze zagadnienia dotyczące regulacji statusu prawnego nasciturusa w polskim prawie cywilnym. Nasciturus jest pojęciem łacińskim, pochodzącym ze źródeł prawa rzymskiego, w którym to prawnicy rzymscy posiadali rozbudowaną terminologię wobec dziecka poczętego, ale jeszcze nienarodzonego. W oparciu o źródła jurydyczne w średniowieczu sformułowano zasadę, że dziecko poczęte uważane było za już urodzone, jeżeli chodziło o jego korzyści (nasciturus pro iam nato habetur, quotiens de commodis eius agitur). W łacinie nasciturus oznacza dosłownie „mający się urodzić”, pochodzi od słowa nasi, czyli „rodzić się”. Współcześnie termin ten używany jest na określenie płodu w łonie matki, dziecka poczętego, a jeszcze nienarodzonego1. Ponadto należy podkreślić, że pojęcie nasciturus jest terminem pozaustawowym. Słownik wyrazów obcych i zwrotów obcojęzycznych posługuje się następującą definicją pojęcia nasciturus, określając go jako płód ludzki, który może na podstawie przepisu ustawy nabyć prawo (np. do spadku) pod warunkiem, że urodzi się jako żywe dziecko2. W naukach medycznych termin „płód” ma charakter techniczny, służy on do oznaczenia jakiegoś znaczącego z punktu widzenia tych nauk stopnia rozwoju organizmu określonego osobnika, posiadając konotację „przedmiotową”3. Jednakże pojęcie to bez wątpienia oznacza organizm ludzki i tak też powinno być rozumiane na gruncie nauk biomedycznych. W ujęciu socjologicznym oraz filozoficznym należy stwierdzić, że uznajemy siebie za byty osobowe, ludzkie, co w wymiarze etycznym skutkuje zakazem traktowania się we wzajemnych relacjach w sposób przedmiotowy. Taki pogląd należy rozszerzyć na pojęcie dziecka poczętego, ale nienarodzonego, gdyż według teoretyków należy on do gatunku ludzkiego. 

1. Zarys historyczny 

Kolejnym zagadnieniem jest płaszczyzna historyczna dotycząca instytucji nasciturusa. Początki prywatnoprawnej ochrony dziecka poczętego, ale nienarodzonego, sięgają czasów prawa rzymskiego. Jurysprudencja rzymska posługiwała się wówczas rozbudowaną terminologią określającą status nienarodzonego. Venter było pojęciem wieloznacznym, oznaczającym łono macierzyńskie lub płód, czyli tego, kto znajdował się w łonie ciężarnej kobiety. Jako synonim słowa venter używany był termin uterus, który oznaczał brzuch, łono zapłodnione. W prawie rzymskim posługiwano się także sformułowaniem qui nasci sperantur, które jurysprudencja rzymska uważała za zwrot oznaczający dziecko poczęte. Zgodnie z przekazem jurysty Paulusa starożytni troszczyli się o dziecko w łonie matki. Do czasu urodzenia zachowywało ono wszelkie prawa, które były dla niego korzystne, na przykład w zakresie prawa spadkowego4. Wobec powyższego należy uznać, że w starożytnym Rzymie nasciturus dysponował tzw. potencjalną podmiotowością prawną, która pełniła funkcję gwarancyjną praw pozostających w zawieszeniu aż do czasu spełnienia warunku urodzenia się. Oznaką żywego urodzenia według Prokulianów był krzyk dziecka, tymczasem Sabinianie i prawo justyniańskie przyjmowało za żywe urodzenie wydanie jakichkolwiek oznak życia5. Co więcej, aspekt potencjalnej podmiotowości prawnej potwierdziła wypowiedź Juliana, który stwierdził, że ci, którzy znajdują się w łonie matki, są uważani za istoty istniejące w porządku naturalnym, czyli w rzeczywistym świecie, w zakresie prawie całego ius civile6. Należy podkreślić, że juryści rzymscy co do zasady uznawali, że dziecko nienarodzone jest człowiekiem. Z wypowiedzi rzymskich prawników wynika, że płód traktowany był na równi z dzieckiem już urodzonym, ilekroć chodziło o jego korzyści. Dziecko poczęte było uprawnione do dziedziczenia beztestamentowego, jednakże powołanie to było skuteczne, o ile poczęty się urodził. Prawnicy klasyczni podkreślali możliwość dziedziczenia beztestamentowego dziecka nieurodzonego, powołując się na ustawę XII tablic. Warunkiem nabycia uprawnień spadkowych było istnienie spadkobiercy za życia spadkodawcy, a więc spadkobierca musiał być urodzony lub przynajmniej poczęty, gdyż prawa spadkowe musiały mieć w chwili śmierci spadkodawcy podmiot, do którego miały się odnosić7. Konsekwencją powyższych regulacji było pozostawianie praw spadkowych w zawieszeniu pomiędzy śmiercią spadkodawcy a urodzeniem spadkobiercy. Dziecko poczęte mogło być także powołane do dziedziczenia beztestamentowego w prawie pretorskim. W wyniku przyznania praw podmiotowych nasciturusowi, w starożytnym Rzymie ustanowiono pieczę nad dzieckiem poczętym. Instytucja zwana cura ventris polegała na administrowaniu prawami, dobrami nieurodzonego dziecka, co nie oznacza, że piecza była ustanawiana tylko dla majątku, ale także dla nieurodzonego. Cura była władzą sprawowaną w interesie zarówno osoby jej poddanej, jak i kuratora, zaś sam on troszczył się i zarządzał majątkiem nasciturusa, przyjmował to zadanie jako obowiązek osobowy8. Wynikało to z faktu, że prawo rzymskie traktowało dziecko poczęte jako wprowadzone w posiadanie określonego majątku do czasu jego urodzenia, usunięcia ciąży bądź poronienia. Ustanowiony kurator ventris miał za cel zapewnić ciężarnej matce, wprowadzonej w posiadanie w imieniu nasciturusa, środków niezbędnych do podtrzymania ciąży i doprowadzenia do porodu9. Kurator ustalał także alimenty niezbędne dla zaspokojenia bieżących potrzeb matki. Osobą uprawnioną do wystąpienia z żądaniem wyznaczenia kuratora była ciężarna kobieta. Potencjalnymi wnioskodawcami mogli być także agnaci, a w następnej kolejności kognaci i gentylowie, czyli ci, którzy dziedziczyli po zmarłym. Dopuszczono również możliwość wnioskowania o powołanie przez pretora jako curator ventris osób spoza kręgu najbliższych krewnych, potencjalnymi wnioskodawcami mogli być również wierzyciele zmarłego10. Kuratora wybierano po rozważnym namyśle co do jego osoby; musiał posiadać odpowiednie cechy i umiejętności, bowiem miał on być odpowiedzialny za zarządzanie majątkiem nasciturusa oraz chronić jego interesy. Cura ventris trwała od jej ustanowienia i wyrażenia zgody przez kuratora, aż do porodu. 

2. Zdolność prawna nasciturusa. 

Po części ogólnoteoretycznej pragnę przedstawić zagadnienie statusu prawnego nasciturusa na gruncie przepisów Kodeksu cywilnego11 (dalej: k.c.). Od lat toczy się żywa dyskusja dotycząca zdolności prawnej dziecka poczętego, ale nienarodzonego. Dotychczas wykształciły się aż cztery zasadnicze kierunki poglądów, z których każdy był odmienny. W myśl najwęższej koncepcji nie przyznaje się nasciturusowi żadnej zdolności prawnej, ucinając w ten sposób jakąkolwiek dyskusję nad tematem podmiotowości prawnej nasciturusa. Natomiast najstarsza koncepcja przyznaje poczętemu zdolność prawną jeszcze przed urodzeniem, ale pod warunkiem rozwiązującym martwego urodzenia12. Kolejny pogląd wyraża zdanie, że dziecku poczętemu, ale nienarodzonemu przysługuje pełna zdolność prawna, który to stoi w całkowitej opozycji względem pierwszej przywołanej przeze mnie tezy. Przedstawione powyżej teorie są najmniej popularne i nie przyjęły się w praktyce. Doktryna wykształciła natomiast koncepcję zdolności prawnej pod warunkiem zawieszającym, która obowiązuje do dziś. Zgodnie z jej brzmieniem nasciturusowi przysługuje zdolność prawna od momentu poczęcia, jednak pod warunkiem zawieszającym żywego urodzenia. W razie martwego urodzenia, uważa się, że zdolności prawnej nigdy nie było. Niniejsza teoria znajduje najszersze poparcie w doktrynie, a ponadto została potwierdzona przez poszczególne przepisy Kodeksu cywilnego. W tym miejscu należy wspomnieć również o wprowadzonym w 1993 roku nowym przepisie art. 8 § 2 k.c., który brzmiał „zdolność prawną ma również dziecko poczęte, jednakże prawa i zobowiązania majątkowe uzyskuje ono pod warunkiem, że urodzi się żywe”. Powyższa norma regulowała warunkową zdolność prawną poczętego expressis verbis. Nowy przepis składał się z dwóch części o wyraźnie odmiennym charakterze, w pierwszej przyznano nasciturusowi pełną zdolność prawną w odniesieniu do praw niemajątkowych, zaś w drugiej przyznano mu zdolność warunkową do praw majątkowych13. Oznaczało to zrównanie pozycji prawnej dziecka poczętego z sytuacją osób fizycznych w zakresie praw niemajątkowych. Jednakże prawa majątkowe były nabywane przez nasciturusa pod warunkiem zawieszającym. Powyższy stan prawny określony w art. 8 § 2 k.c. obowiązywał jedynie przez 3 lata i w drodze nowelizacji z 30 sierpnia 1996 roku został uchylony. Bez wątpienia niekorzystne z punktu widzenia zakresu omawianej ochrony jest to, że uchylenie art. 8 § 2 k.c. stanowi wyraz woli ustawodawcy, co musi być zawsze brane pod uwagę przy interpretacji obecnej normy art. 8 § 1 k.c., a w szczególności wskazuje na odmienność położenia prawnego nasciturusa w porównaniu z pozycją osoby fizycznej14. Regulacja art. 8 § 2 k.c. ma już znaczenie jedynie historyczne. Jednakże działania ustawodawcy w zakresie art. 8 § 2 k.c. spowodowały, że część doktryny wyraża, jak już na wstępie zaznaczyłem, pogląd o braku zdolności prawnej nasciturusa. Jako przykład należy wskazać wypowiedź dr. Rafała Majda, który pisze, że dziecko poczęte nie ma zdolności prawnej zarówno w czystej postaci, jak i w formie warunkowej. Prawo polskie nie przewiduje kategorii normatywnej takiej jak warunkowa zdolność prawna, co więcej, wykładnia celowościowa prowadzi także do wniosku, że ustawodawca nie chce przyznać warunkowej zdolności prawnej; gdyby tak było, to 8 § 2 k.c. nie zostałby uchylony15. Kwestia zdolności prawnej nasciturusa budzi w literaturze spore kontrowersje, dochodzi do starć odmiennych teorii. Konkludując powyższy fragment, należy podkreślić, że wypracowany na gruncie art. 8 k.c. kompromis w postaci uznania zdolności prawnej pod warunkiem zawieszającym jest właściwy oraz niezbędny dla stosowania pozostałych przepisów k.c. względem dziecka poczętego, ale nienarodzonego. Przechodząc na grunt socjologii prawa, należy poruszyć kwestie sporu o człowieczeństwo oraz przynależność dziecka poczętego, ale nienarodzonego, do społeczeństwa. Dzieci poczęte są uważane za równoprawnych członków wspólnoty politycznej, jakim jest państwo, i bez wątpienia nie pozostają one poza obrębem regulacji prawnych. To właśnie podmiotowość prawna determinuje, że nasciturus jest człowiekiem, tzn. jest osobą. Posiadanie tego atrybutu jest swoistym warunkiem sine qua non posiadania jakichkolwiek praw w ramach danego systemu prawnego16. Nasciturus posiada wypracowaną przez doktrynę tzw. zdolność prawną pod warunkiem zawieszającym, wobec czego posiada zdolność do bycia podmiotem prawa i obowiązków.

-tzn. iż poczęcie jest urodzeniem od tego momentu chroni poczętą istotę syst. prawny. 

Usunięcie art. 8 § 2 k.c. było elementem obligatoryjnym w celu uregulowania kwestii aborcji. 

3. Nasciturus w prawie spadkowym;

Zgodnie z treścią art. 927 § 1 k.c. „nie może być spadkobiercą osoba fizyczna, która nie żyje w chwili otwarcia spadku, ani osoba prawna, która w tym czasie nie istnieje”. Natomiast jak stanowi § 2 „jednakże dziecko w chwili otwarcia spadku już poczęte może być spadkobiercą, jeżeli urodzi się żywe”. W myśl art. 927 § 1 k.c. zdolność do dziedziczenia mają wyłącznie osoby fizyczne, które żyją w chwili otwarcia spadku, i osoby prawne, które w tej chwili istnieją. Nie może być spadkobiercą osoba fizyczna, która nie żyje w chwili otwarcia spadku, jak też osoba, która zmarła jednocześnie ze spadkodawcą, oraz osoba, w stosunku do której działa domniemanie jednoczesnej śmierci uregulowane w art. 32 k.c. Jedynym dopuszczonym wyjątkiem od zasady przedstawionej powyżej jest norma uregulowana w § 2, zgodnie z którą dziecko w chwili otwarcia spadku już poczęte, czyli nasciturus, może być spadkobiercą, jeżeli urodzi się żywe, ponieważ istnieje ono w porządku prawnym. Przepis ten wprowadza swoistą fikcję prawną. W momencie urodzenia dziecko staje się spadkobiercą, tak jakby już żyło w chwi-li otwarcia spadku. Wówczas należy zastosować domniemanie żywych narodzin, które jest uregulowane w art. 9 k.c.17. Artykuł ten stanowi wzruszalne domniemanie, które może być obalone w każdym postępowaniu, w którym zagadnienie, czy dziecko urodziło się rzeczywiście żywe, ma znaczenie dla rozstrzygnięcia istoty sprawy w innej sprawie. Jedynie urodzenie dziecka żywego jest istotne dla ustalenia zdolności prawnej człowieka, ponieważ urodzenie martwe nie powoduje skutku w postaci przyznania zdolności prawnej. Dziecko, które przychodzi na świat martwe, nie uzyskuje statusu osoby fizycznej, a więc nie może być podmiotem praw i obowiązków w zakresie prawa cywilnego18. Przyjmuje się, że dziecko poczęte może być zarówno spadkobiercą testamentowym, jak i ustawowym. Należy kolejny raz pokreślić, że zdolność do dziedziczenia dziecka poczętego ma charakter warunku zawieszającego, co oznacza, że dziecko uzyskuje ją pod warunkiem, że urodzi się żywe. Niniejsza regulacja prawna stanowi wyraz ochrony interesu prawnego nasciturusa i jest przejawem przyznania expressis verbis zdolności prawnej pod warunkiem zawieszającym. Nasciturus ma prawo do udziału w masie spadkowej na równi z innymi osobami fizycznymi oraz osobami prawnymi. Z perspektywy aksjologii prawa, czyli zależności zachodzących pomiędzy wartościami społecznymi a powyższym prawnym systemem normatywnym, należy wskazać, że objęcie normowaniem nasciturusa w polskim prawie spadkowym jest wartością wpływającą znacząco na postrzeganie dziecka poczętego, ale nienarodzonego. Uwzględnienie praw nasciturusa w zakresie dziedziczenia wskazuje na zrównanie jego pozycji z osobami fizycznymi. Celem ustawodawcy w ujęciu socjologicznym było zapewnie dziecku poczętemu, ale nienarodzonemu, praw do dziedziczenia, czyli kwestii zadbania o jego interesy. 

4. Delikt wyrządzony nasciturusowi;

Prawo cywilne na gruncie art. 446 oraz art. 446¹ przewiduje roszczenia dla nasciturusa, który poniósł szkodę w wyniku śmierci osoby bliskiej, będącej następstwem deliktu, albo w wyniku czynu niedozwolonego, który został skierowany bezpośrednio przeciwko niemu. Jeżeli wskutek uszkodzenia ciała lub wywołania rozstroju zdrowia nastąpiła śmierć poszkodowanego, przepis art. 446 § 2 zdanie pierwsze k.c. przyznaje osobom, względem których ciążył na zmarłym ustawowy obowiązek alimentacyjny, możliwość żądania od zobowiązanego naprawienia szkody poprzez wypłatę renty, która ma charakter odszkodowawczy i jest obliczona stosownie do potrzeb poszkodowanego oraz do możliwości zarobkowych i majątkowych zmarłego przez czas prawdopodobnego trwania obowiązku alimentacyjnego19. Krąg podmiotów uprawnionych został ograniczony wyłącznie do tych osób bliskich, którym zmarły dobrowolnie i stale dostarczał środków utrzymania. Ustawodawca zawęża więc prawo do renty dla osoby bliskiej, wymagając faktycznych świadczeń przez zmarłego na jej rzecz wykonywanych w pieniądzu lub w naturze. Zgodnie z powyższym uprawnienie to przysługuje również dziecku, które może żądać naprawienia szkód doznanych przed urodzeniem, w tym przypadku zasądzenia renty. Potwierdzeniem powyższych regulacji jest orzeczenie Sądu Najwyższego z dnia 8 października 1952 roku, w którym sąd wyjaśnił, że dziecko poczęte, które przyszło na świat po śmierci ojca za-bitego wskutek nieszczęśliwego wypadku, ma prawo do renty20. Co więcej, zgodnie z normą wyrażoną w art. 4461 k.c. „z chwilą urodzenia dziecko może żądać naprawienia szkód dokonanych przed urodzeniem”. Doktryna przyjmuje, że powyższy przepis stanowi podstawę żądania naprawienia wszelkich szkód doznanych przez  dziecko, a więc szkód majątkowych i niemajątkowych. Podmiotem uprawnionym jest samo dziecko, po uprzednim urodzeniu się żywym. Podmiotem zobowiązanym do naprawienia szkody jest osoba, która ponosi odpowiedzialność za zdarzenie szkodzące. Niniejsza norma prawna wskazuje na odpowiedzialność za szkody prenatalne, które dotyczą zazwyczaj zdarzeń powodujących szkody, do których dochodzi w okresie życia płodowego dziecka. Wobec powyższego nasciturus podlega ochronie w polskim prawie cywilnym przed szkodą wywołaną czynem niedozwolonym. W tym fragmencie artykułu pragnę odnieść się do refleksji w kwestii statusu antropologicznego początków życia ludzkiego, bowiem należy chronić rozumienie człowieka przed redukcją do biologii czy do embriologii21. Niniejsza norma prawna z zakresu prawa deliktowego wskazuje, że ochronie podlega także dziecko poczęte, ale nienarodzone, bowiem jest ono człowiekiem, częścią społeczeństwa. Zachowania osób trzecich powodujące szkody wskutek czynów niedozwolonych nie pozostają bezkarne. Dziecko może dochodzić swoich praw od momentu urodzenia za szkody wywołane podczas życia prenatalnego. 

5. Zawieranie umów z nasciturusem;

W doktrynie przeważa pogląd, który nie dopuszcza do zawierania umów z dzieckiem poczętym, ale nienarodzonym. Na jego uzasadnienie przytacza się nie tylko brak generalnej normy przyznającej nasciturusowi osobowość prawną, lecz także argument, że dziecko poczęte może nabywać prawa, jednak nie może być już osobą zobowiązaną z dokonanej czynności prawnej22. Ponadto twierdzi się, że nasciturus jest osobą nieokreśloną co do tożsamości, tzn. nie jest zidentyfikowany według imienia i nazwiska, ani także numeru PESEL, wobec czego nie może występować w obrocie prawnym. Oczywiście dopuszczalne jest zawieranie umów na korzyść nasciturusa, a więc możliwe jest zawarcie na przykład umowy darowizny w celu nieodpłatnego przysporzenia nasciturusowi korzyści kosztem majątku darczyńcy. 

6. Reprezentacja nasciturusa na podstawie Kodeksu rodzinnego i opiekuńczego. 

Zgodnie z treścią art. 182 Kodeksu rodzinnego i opiekuńczego23 (dalej: k.r.o.) „dla dziecka poczętego, lecz jeszcze nieurodzonego, ustanawia się kuratora, jeżeli jest to potrzebne do strzeżenia przyszłych praw dziecka. Kuratela ustaje z chwilą urodzenia się dziecka”. Niniejsza norma prawna wyraża możliwość ustanowienia kuratora, jeżeli jest to potrzebne do strzeżenia praw dziecka poczętego. Rolą kuratora ventris jest podejmowanie w interesie dziecka poczętego zarówno czynności zabezpieczających nabycie i realizację jego przyszłych praw, jak i dokonywanie czynności prawnych w imieniu dziecka nienarodzonego na przykład złożenie oświadczenia woli o przyjęciu darowizny24. W literaturze przeważa pogląd, że rodzice nie są w okresie życia płodowego dziecka jego przedstawicielami ustawowymi, gdyż nie przysługuje im władza rodzicielska25. Władza rodzicielska przysługuje rodzicom dopiero od momentu urodzenia dziecka. Z tego właśnie względu powstała współczesna instytucja curator ventris. Kuratela stanowi prawną formę częściowej i ograniczonej czasowo pieczy nad określoną osobą lub nad jej majątkiem. Kuratela ventris została powołana przez ustawodawcę w powyższym art. 182 k.r.o. Kuratora ventris ustanawia się z urzędu lub na wniosek oznaczonej osoby. Powyższe zagadnienie regulują przepisy Kodeksu postępowania cywilnego26. Sąd opiekuńczy w postępowaniu każdorazowo dokonuje oceny zasadności i celowości powołania kuratora, zaś samo ustanowienie konkretnej osoby następuje w formie postanowienia sądu z chwilą ogłoszenia. Sąd przyjmuje następnie przyrzeczenie od kuratora o treści „przyrzekam uroczyście, że powierzone mi obowiązki kuratora wykonam z całą sumiennością i zgodnie z interesem społecznym, mając zawsze na względzie dobro osoby podlegającej mojej pieczy”. Treść ta stanowi swoiste zaświadczenie oraz upoważnienie kuratora do działania w imieniu dziecka poczętego, ale nienarodzonego. Zakres praw i obowiązków kuratora uzależniony jest od konkretnego przypadku. Jednakże zawsze kuratela polega na dbaniu o dobro i interesy nasciturusa; jako przykład można przywołać następujący przypadek braku powołania nasciturusa jako potencjalnego spadkobiercy wskazanego w testamencie. Wówczas kurator będzie miał za zadanie wystąpić z wnioskiem o stwierdzenie nabycia spadku lub z wnioskiem o zabezpieczenie dowodów w celu dochodzenia w przyszłości roszczeń odszkodowawczych27. Przechodząc do kolejnego zagadnienia dotyczącego statusu prawnego nasciturusa, warto poruszyć treść art. 75 § 1 k.r.o., który brzmi „można uznać ojcostwo przed urodzeniem się dziecka już poczętego”. Wskazany przepis dotyczy uznania ojcostwa nasciturusa, które polega na złożeniu oświadczenia w urzędzie stanu cywilnego miejsca zamieszkania matki. Należy podkreślić, że dziecko może zostać uznane, jeżeli ojcostwo nie wynika ani z domniemania pochodzenia od męża matki, ani jego pochodzenie nie zostało ustalone w drodze sądowego ustalenia ojcostwa. Przepis ten jest kolejnym przykładem uregulowanej pozycji prawnej nasciturusa w polskim prawie cywilnym. Pełni on doniosłą funkcję uznania ojcostwa oraz umożliwia nabycie władzy rodzicielskiej wraz z urodzeniem dziecka. Podsumowując powyższy fragment, pragnę odnieść się do filozoficznych i socjologicznych teorii na temat człowieczeństwa embrionu ludzkiego. Dyskusje odnoszące się do antropologicznego statusu embrionu ludzkiego w okresie prenatalnym mają charakter nie tylko czysto teoretyczny, lecz wynikają również z potrzeb praktycznych. Przykładem tego jest regulacja reprezentacji nasciturusa na gruncie norm k.r.o. Wskazują one bowiem, że dziecku poczętemu, ale nienarodzonemu ustanawia się kuratora celem zabezpieczenia jego praw i interesów. Oznacza to, że nasciturus jest podmiotem praw, istnieje w rzeczywistości, w społeczeństwie. Dziecko poczęte, ale nienarodzone jest istotą ludzką, która podlega prawu i jest przez nie chronione. 

Podsumowanie; 

Niniejszy artykuł miał na celu analizę statusu prawnego nasciturusa w polskim prawie cywilnym. Przedstawione regulacje ujęte zostały na płaszczyźnie prawno-socjologicznej z elementami aksjologii. Na wstępie pracy rozważeniu poddane zostało pojęcie nasciturus. Terminologia na przełomie wieków była bardzo obszerna oraz rozbudowana, a przecież wyznaczenie kręgu podmiotów znajdujących się w zakresie pojęcia nasciturus ma istotne znaczenie w przypadku stosowania konkretnych norm prawnych. Ostatecznie należy uznać, że współcześnie termin ten używany jest na określenie płodu w łonie matki, dziecka poczętego, a jeszcze nienarodzonego, zaś samo pojęcie nasciturus jest terminem pozaustawowym. Następnie w pracy zawarty został wątek historyczny, który wskazał na początki regulacji prawnych dotyczących dziecka poczętego, ale nienarodzonego. Wiele współczesnych norm prawa cywilnego dotyczących powyższej materii znajduje swą genezę w treści praw stworzonych w starożytnym Rzymie. Wobec czego niezmiernie istotne jest, aby rozumieć je na gruncie prawa rzymskiego. Kolejne części artykułu dotyczyły normatywnych regulacji z zakresu insty-tucji nasciturusa w ujęciu socjologicznym. Przedstawione zagadnienia obejmowały obszary zdolności prawnej, prawa spadkowego, odpowiedzialności deliktowej, zawierania umów oraz reprezentacji dziecka poczętego, ale nienarodzonego.

Umowa społeczna

    Umowa społeczna jest teorią prawno-polityczną, która występuje w doktrynach prawa natury, w wyniku której powstanie państwa i społeczeństwa nastąpiło dzięki łączeniu się jednostek, uprzednio żyjących w wolności naturalnej, a także w drodze porozumienia się, czyli dzięki umowie. Teoria umowy społecznej przedstawia racjonalne uzasadnienie historyczne poglądu, że legalna państwowa władza powinna wywodzić się ze zgody społeczeństwa. Taka umowa określa kto posiada prawa polityczne, a kto rezygnuje z nich na rzecz innych dóbr.

    Umowa społeczna należy - obok "społeczeństwa obywatelskiego" czy zasady "pomocniczości", do pojęć filozofii politycznej i społecznej. Umowa społeczna dotyczy genezy państwa i społeczeństwa, jest dokumentem negocjowanym przez partnerów społecznych i rząd, zakłada, iż państwo powstało w wyniku niezależnej umowy między członkami społeczeństwa, bądź między nimi, a władcą. Umowa ta należy do zasobu kluczowych pojęć służących myśleniu i mówieniu o "sprawach ludzkich". W toku każdej niemal dyskusji dotykającej podstaw moralności czy polityki ktoś uzna odwołanie się do tego pojęcia za niezbędne. Teoria umowy społecznej pojawiła się już w starożytności (Platon, Epikur, Cyceron, św. Augustyn), rozwijała się również w średniowieczu (William z Ockham, Marsyliusz z Padwy, Mikołaj z Kuzy). Historia umowy społecznej ma dwa różne wątki, jest:

• historią uczonych analiz,
• historią narzędzia politycznej propagandy i perswazji.

Umowa społeczna wg Rousseau:

Na ogół "umowa społeczna" kojarzy się z nazwiskiem Rousseau i tytułem jego podstawowego traktatu politycznego. wg tego autora celem zawarcia umowy społecznej jest ochrona wolności i wzmożenie sił każdej jednostki. Środkiem zaś -"zupełne oddanie się każdego członka ze wszystkimi uprawnieniami całej społeczności". Umowa społeczna nie unicestwiła egoistycznych dążeń jakie dyktuje człowiekowi jego interes własny. Zupełność oddania się stwarza zaś stan homeostazy pomiędzy takimi dążeniami poszczególnych jednostek - nikt nie jest w stanie polepszyć swego położenia kosztem innych. Dzięki temu wspólne dobro - zachowanie społeczeństwa w postaci przyjętej w umowie - znajduje ostateczne oparcie w interesie własnym każdego człowieka z osobna. A zatem umowa społeczna z konieczności musi polegać na zupełnym, czyli bezwarunkowym, oddaniu się jednostki społeczeństwu.

Dwa rodzaje umowy społecznej w ujęciu Jamesa M. Buchanna:

Autor nawiązuje do koncepcji Tomasza Hobbesa, by odpowiedź na pytania dotyczące granic uprawnionej ingerencji państwa oraz granic indywidualnej swobody zarówno w stanie natury jak i w stanie obywatelskim. Reprezentuje tendencje nazywaną:

1. "ekonomizacją" nauk społecznych,
2. filozofią społeczno- polityczną.

    Uważał, że do umów z pewnością dojdzie, gdy dwa indywidua zauważą, że właśnie drogą umowną można uniknąć wysiłków związanych z walką o dobro, bądź z obroną uzyskanego już stanu posiadania. Treścią umów będą ustalenia nakładające ograniczenia na sposoby zachowania się (nie każdy sposób zachowania będzie dopuszczalny).

4 rodzaje umowy społecznej;

1. Umowa wyraźna- niektórzy uznają, że powstanie społeczeństwa było poprzedzone ustanowieniem umowy, z której wynikają polityczne obowiązki. Z kolei inni twierdzą, że charakter kontraktowy posiada konstytucja, która zostaje przedłożona do podpisu obywatelom, kiedy osiągną należyty wiek, który pozwoli im na składanie jakże ważnych prawnie oświadczeń woli.
2. Umowa dorozumiana- taka umowa może wynikać ze społecznych zachowań, lecz nie jest wyraźnie sformułowana z tego powodu, ponieważ zdolność do zawierania takich umów pojawia się u jednostki w długim czasie zaraz po tym, jeżeli jej zachowanie ukaże jej milczące zezwolenie na otaczający ją bezpośredni porządek.
3. Umowa hipotetyczna- państwo jest w posiadaniu legitymacji do umowy, jeśli zostałaby zaakceptowana przez obywateli oraz nakładałaby ona na nich zobowiązania odnośnie państwa.
4. Umowa quasi-kontraktowa- kontrakt dostarczania wzorca optymalnego do porozumienia zobowiązań, które wynika w wyniku interakcji pomiędzy jego stronami. Istnienie takich zobowiązań należy rozpatrywać tam, gdzie interakcje te są dobrowolne, a także wynikają z nich jasne, oczywiste i zamierzone korzyści dla wszystkich stron.

    Procedura umowy społecznej czyli kreowania aktu porozumienia w koncepcji Rousseau dokonuje się dzięki zjednoczeniu ludzi we wspólnotę w celu ochrony życia, mienia, a także wolności dla każdego z osobna członka przez ochronę wszystkich. Takie zjednoczenie służące równości i wolności każdego jest możliwe tylko poprzez prawo, a nie władzy. Prawo u Rousseau to świadectwo woli wszystkich. Nie ma istnienia umowy, która dawałaby korzyści tylko jednej stronie. Jest nonsensem posądzać lud, że sam dobrowolnie zrzeknie się swoich praw na rzecz jakiegoś ciała zbiorczego lub na rzecz jednostki. Ani jednostka, ani tym bardziej lud nie mogą się zrzec swego człowieczeństwa. Umowa, która przynosi uszczerbek danej jednostce bądź ludowi, jest sprzeczna z naturą.