Czy RODO chroni osoby zmarłe w świetle prawa prywatności?

RODO co do zasady nie chroni danych osoby zmarłe. Wynika to wprost z motywu 27, który wyłącza dane zmarłych spod rozporządzenia, przy czym pozostawia państwom członkowskim swobodę wprowadzania własnych regulacji krajowych. Jednocześnie ochrona nie znika całkowicie, ponieważ o legalności przetwarzania decyduje także moment operacji na danych oraz to, czy przetwarzana informacja dotyczy osób żyjących, a zakres ochrony może wynikać z przepisów krajowych i sektorowych, nie tylko z RODO.

Nie. RODO dotyczy danych osobowych osób fizycznych rozumianych jako osoby żyjące, a motyw 27 wprost stanowi, że rozporządzenie nie ma zastosowania do danych osoby zmarłe. Taki zakres ochrony oznacza, że podstawowe mechanizmy i prawa wynikające z RODO służą człowiekowi w czasie jego życia.

Jednak brak ochrony na podstawie RODO nie oznacza dowolności w wykorzystywaniu informacji o zmarłym. Ograniczenia mogą wynikać z innych reżimów prawnych, w tym ochrony dóbr osobistych bliskich, prawa spadkowego, prawa bankowego oraz przepisów dotyczących tajemnicy zawodowej i pamięci o osobie zmarłej.

Wyłączenie obejmuje wszelkie operacje przetwarzania dotyczące danych osoby zmarłe i kieruje uwagę na prawo krajowe jako potencjalne źródło ochrony pośmiertnej. Motyw 27 nie wprowadza obowiązku przyjęcia jednolitej regulacji na poziomie państw członkowskich. Daje im kompetencję do kształtowania zasad ochrony po śmierci, jeżeli uznają to za potrzebne w swoim porządku prawnym.

Konsekwencją takiej konstrukcji jest zróżnicowanie rozwiązań krajowych i przeniesienie ciężaru oceny zgodności przetwarzania danych o zmarłych na przepisy sektorowe i cywilne. Samo RODO pozostaje poza zakresem stosowania w odniesieniu do danych zmarłego, chyba że przetwarzanie dotyczy danych żyjących osób lub nastąpiło za jego życia.

Kluczowe jest ustalenie, czy operacja na danych miała miejsce za życia danej osoby. Jeżeli przetwarzanie nastąpiło w czasie życia, to podlegało reżimowi RODO bez względu na to, że postępowanie lub spór rozpoczął się już po śmierci tej osoby. Istotna jest chwila przetwarzania, a nie data wszczęcia postępowania.

Jeżeli operacja przetwarzania dotyczy wyłącznie informacji o zmarłym i następuje już po jego śmierci, zastosowanie RODO co do zasady jest wyłączone z uwagi na motyw 27, a ocena legalności wymaga oparcia się o prawo krajowe i regulacje sektorowe.

Ochrona pośmiertna w państwach członkowskich może wynikać z różnych przepisów, ponieważ motyw 27 odsyła do prawa krajowego. W praktyce obejmuje to w szczególności cywilnoprawną ochronę dóbr osobistych bliskich, zasady prawa spadkowego, tajemnice zawodowe i bankowe, a także regulacje tej samej rangi dotyczące dokumentacji i pamięci o osobie zmarłej.

W Polsce nie funkcjonuje ogólna, kompleksowa ustawa przyznająca jednolitą pośmiertną ochronę wszystkich danych zmarłych. System jest rozproszony, a obowiązujące ograniczenia i uprawnienia wynikają z wielu gałęzi prawa, w tym z ochrony kultu pamięci i przepisów sektorowych.

Informacje o zmarłym mogą jednocześnie identyfikować lub pozwalać pośrednio na identyfikację osób żyjących. W takim zakresie wchodzi w grę ochrona z RODO, ponieważ dotyczy danych osób żyjących rozumianych jako osoby, których prywatność i tożsamość nadal podlegają rozporządzeniu. Jeżeli poprzez dane o zmarłym ujawniane są informacje o krewnych lub innych osobach żyjących, to ten fragment informacji mieści się w zakresie RODO.

Odpowiedzialność administratora obejmuje wówczas spełnienie wymogów legalności przetwarzania, minimalizacji, przejrzystości i bezpieczeństwa w zakresie odnoszącym się do żyjących osób, niezależnie od tego, że część informacji dotyczy zmarłego.

Prawa bliskich i spadkobierców nie wynikają automatycznie z RODO, ponieważ zmarły nie jest już podmiotem danych w rozumieniu rozporządzenia. Bliscy mogą jednak działać we własnym interesie prawnym lub na podstawie innych przepisów, w szczególności przepisów o ochronie dóbr osobistych, prawa spadkowego oraz regulacji sektorowych.

Wykorzystywanie danych zmarłego może naruszać dobra osobiste bliskich, w tym ich prawo do kultu pamięci osoby zmarłej, co uzasadnia dochodzenie ochrony na drodze cywilnej zgodnie z prawem krajowym. Taki reżim jest niezależny od RODO i opiera się na przepisach chroniących wartości osobiste i rodzinne.

Niektóre prawa majątkowe powiązane z informacją o zmarłym mogą podlegać dziedziczeniu. Organ nadzorczy wskazywał, że prawo do informacji o rachunku bankowym może mieć charakter majątkowy i przechodzić na spadkobiercę, o ile nie jest ściśle związane z osobą zmarłego i nie zostało wyłączone przez przepisy szczególne. Warunkami dziedziczenia są cywilnoprawny i majątkowy charakter prawa, brak ścisłego związku z osobą zmarłego oraz brak ustawowego wyłączenia z dziedziczenia.

Administrator danych nie może zasłaniać się wyłącznie RODO przy odmowie dostępu w sytuacji, gdy dostęp wynika z innych przepisów, na przykład z prawa spadkowego lub bankowego. Podstawa prawna może wynikać z obowiązku ustawowego lub prawnie uzasadnionego interesu, a nie wyłącznie ze zgody.

Równocześnie mogą występować co najmniej dwa poziomy ochrony. Po pierwsze ochrona na gruncie RODO w tej części, w której dana informacja identyfikuje osoby żyjące. Po drugie ochrona na podstawie prawa krajowego w sferze dóbr osobistych, pamięci o zmarłym i interesów majątkowych spadkobierców. Taki model współistnienia reżimów zapewnia komplementarną ochronę, mimo że same dane osoby zmarłe nie są objęte rozporządzeniem.

W polskim porządku prawnym brak aktualnie jednej kompleksowej ustawy wdrażającej motyw 27 RODO w sposób tworzący jednolity system ochrony danych wszystkich zmarłych. Ochrona jest rozproszona, a praktyczne instrumenty wynikają z prawa cywilnego, spadkowego, bankowego oraz z przepisów dotyczących tajemnic zawodowych i pamięci o osobie zmarłej.

Oceniając uprawnienia i obowiązki po śmierci osoby, kluczowe jest odwołanie się do konkretnych norm sektorowych. RODO nie może stanowić jedynego uzasadnienia odmowy, gdy inny przepis nakłada obowiązek ujawnienia informacji lub przyznaje spadkobiercom prawo do uzyskania danych o charakterze majątkowym.

RODO reguluje ochronę danych osobowych, a nie całe prawo prywatności. Wyłączenie danych osoby zmarłe spod RODO nie oznacza, że informacje o zmarłym mogą być wykorzystywane bez ograniczeń. Ochrona może istnieć równolegle na podstawie prawa cywilnego, spadkowego, bankowego i innych ustaw zapewniających respektowanie pamięci i dóbr osobistych.

W praktyce może dojść do kumulacji reżimów, gdzie część informacji podlega RODO ze względu na żyjących adresatów identyfikacji, a pozostały zakres jest regulowany przez prawo krajowe. Taka konfiguracja wymaga od administratora rozróżnienia podstaw prawnych i adekwatnego uzasadnienia przetwarzania w każdej z tych sfer.

Zgoda nie jest jedyną podstawą legalizującą przetwarzanie czy ujawnienie. Uprawnienie może wynikać z obowiązku prawnego lub z prawnie uzasadnionego interesu administratora bądź osoby trzeciej, w tym z następstwa prawnego spadkobierców w zakresie praw majątkowych, jeśli spełnione są warunki dziedziczenia. W takim układzie administrator powinien odnieść się do właściwych przepisów sektorowych, a nie wyłącznie do RODO.

Jeżeli dana informacja równocześnie identyfikuje osoby żyjące, administrator ma obowiązki wynikające z RODO w tym właśnie zakresie, obejmujące między innymi ocenę podstawy prawnej i zapewnienie odpowiednich zabezpieczeń przetwarzania.

Ocena wymaga przejścia przez trzy pytania: po pierwsze czy informacja dotyczy osoby fizycznej, po drugie czy ta osoba żyła w chwili przetwarzania, po trzecie czy informacja ujawnia dane osób żyjących. Odpowiedzi determinują, czy stosujemy RODO, czy prawo krajowe i sektorowe.

W praktyce należy odróżnić trzy sytuacje. Po pierwsze dane przetworzone za życia, gdzie RODO miało zastosowanie. Po drugie dane przetwarzane dopiero po śmierci, gdzie ciężar oceny spoczywa na prawie krajowym. Po trzecie dane zmarłego ujawniające informacje o żyjących, które w tej części podlegają RODO. Taka struktura pozwala zachować spójność z motywem 27 i z zasadą, że decydujący jest moment przetwarzania.

Odpowiedź na pytanie czy RODO chroni osoby zmarłe w świetle prawo prywatności brzmi negatywnie, ale z istotnymi zastrzeżeniami. Motyw 27 wyłącza dane zmarłych spod rozporządzenia, dopuszczając krajowe regulacje. Ochrona może wynikać z dóbr osobistych, prawa spadkowego, bankowego i tajemnic zawodowych, a jeżeli przetwarzanie miało miejsce za życia lub dotyczy żyjących, RODO zachowuje zastosowanie. Administrator powinien każdorazowo określić właściwy reżim prawny, pamiętając że zgoda nie jest jedyną podstawą przetwarzania i że sam brak zastosowania RODO nie tworzy dowolności w wykorzystywaniu informacji o zmarłym.