Jakiś czas temu ogromne zainteresowanie wzbudziła blisko milionowa kara dla przedsiębiorcy, który nie dopełnił obowiązku informacyjnego w stosunku do ponad 6 milionów osób. Pierwsza w Polsce kara nałożona na mocy Rozporządzenia o Ochronie Danych Osobowych (RODO) została uchylona. Sąd miał zastrzeżenia co do wysokości kary, jednakże nie co do zasadności podniesionych zarzutów.

Wojewódzki Sąd Administracyjny po raz pierwszy zajmuje stanowisko wobec kilku dość istotnych kwestii związanych z RODO. Najważniejsze kwestie z punktu widzenia przedsiębiorcy to szersze wskazanie formy spełnienia obowiązku informacyjnego, oraz interpretacja spornego pojęcia „niewspółmiernego wysiłku”.

Zainteresowanie Urzędu Ochrony Danych Osobowych spółką Bisnode wynikało zapewne z faktu, że podmiot ten profesjonalnie zajmował się obrotem danych. Spółka oferowała swoim klientom raporty handlowe, których zakres obejmował dane finansowe, rejestrowe, powiązania osobowe i kapitałowe, opis działalności przedsiębiorstwa i jego kondycji finansowej. W tym celu spółka przetwarzała dane osób fizycznych prowadzących działalność gospodarczą, które były pozyskiwane z rejestrów publicznych takich jak: Centralna Ewidencja i Informacja Działalności Gospodarczej, Monitor Sądowy i Gospodarczy, oraz dane osób fizycznych wpisanych do KRS.

Urząd skupił się na kwestii informowania o przetwarzaniu danych osobowych w związku z dyspozycją art. 14 RODO – czyli informowania w przypadku pozyskiwania danych z innego źródła niż od samego podmiotu.

Spółka stanęła na stanowisku, że poinformowanie tak ogromnej ilości osób, których dane uzyskiwane są z publicznych rejestrów jest działaniem antybiznesowym i wiąże się z ogromnymi kosztami. Zdaniem spółki osoby te mają świadomość, że ich dane będą udostępnione w takim rejestrze. W tym zakresie spółka powołała się na art. 14 ust. 5 lit. b) RODO pozwalający na odstąpienie od informowania w sytuacji, w której takie działanie wymagałoby niewspółmiernie dużo wysiłku utrudniając realizację celów zaplanowanego przez Spółkę przetwarzania.

Wojewódzki Sąd Administracyjny stwierdził, że figurowanie osoby fizycznej w CEIDG nie zwalnia podmiotu przetwarzającego dane osobowe z obowiązku informacyjnego wobec tej osoby. Należy listownie bądź telefonicznie poinformować taką osobę o fakcie przetwarzania jej danych osobowych.  Sąd uznał, że obowiązek ten nie musi być jednak spełniony wobec osób, które zawiesiły swoją działalność i wciąż widnieją w rejestrze – ponieważ skontaktowanie się z tymi osobami może okazać się bardzo trudne. Sędzia prowadząca tę sprawę podkreśliła ten fakt stwierdzeniem, że każda osoba ma prawo wiedzieć co dzieje się z jej danymi. Zaznaczyła również, że przetwarzane dane muszą być prawidłowe i aktualne.

Sąd odniósł się również do wyłączenia wynikającego z art. 14 ust. 5 lit. b rozporządzenia 2016/679 na które powołała się spółka i stwierdził, że zastosowanie tego artykułu nie może być tożsame z wysokością kosztów jakie administrator będzie musiał ponieść w związku z koniecznością dopełnienia obowiązku, który jest w pełni możliwy do realizacji. W ocenie Sądu w art. 14 ust. 5 lit. b rozporządzenia 2016/679 – „jest mowa o niewspółmiernie dużym wysiłku – gdy chodzi o sytuację, kiedy udzielenie informacji, o których mowa w art. 14 ust. 1 i 2 tego rozporządzenia jest obiektywnie możliwe, ale niebywale utrudnione (graniczące z brakiem możliwości udzielenia informacji)”. Jednym słowem kwestie finansowe nie mogą być ważniejsze od realizacji praw osoby fizycznej, a co za tym idzie podmiot przetwarzający dane ma obowiązek poinformować osobę fizyczną o tym, że pobiera jej dane z publicznego rejestru w celu ich przetworzenia.

Spółka ma jeszcze szansę zaskarżenia orzeczenia do Naczelnego Sądu Administracyjnego. Utrzymanie tego postanowienia w obecnej formie, istotnie wpłynie na model biznesowy wykorzystywany przez wiele podmiotów na rynku. Korzystanie z publicznych baz przedsiębiorców jest bowiem powszechne na całym świecie i dotychczas nie było to przedmiotem tak dużych kontrowersji.