flaga - język polski english version flag

Jesteś tutaj:  Strona główna » Aktualności » Milionowa kara za naruszenie danych osobowych – uzasadnienie

11 lutego 2020 r.

Milionowa kara za naruszenie danych osobowych – uzasadnienie

TEMATY: 

Jakiś czas temu ogromne zainteresowanie wzbudziła blisko milionowa kara dla przedsiębiorcy, który nie dopełnił obowiązku informacyjnego w stosunku do ponad 6 milionów osób. Pierwsza w Polsce kara nałożona na mocy Rozporządzenia o Ochronie Danych Osobowych (RODO) została uchylona. Sąd miał zastrzeżenia co do wysokości kary, jednakże nie co do zasadności podniesionych zarzutów.

Wojewódzki Sąd Administracyjny po raz pierwszy zajmuje stanowisko wobec kilku dość istotnych kwestii związanych z RODO. Najważniejsze kwestie z punktu widzenia przedsiębiorcy to szersze wskazanie formy spełnienia obowiązku informacyjnego, oraz interpretacja spornego pojęcia „niewspółmiernego wysiłku”.

Zainteresowanie Urzędu Ochrony Danych Osobowych spółką Bisnode wynikało zapewne z faktu, że podmiot ten profesjonalnie zajmował się obrotem danych. Spółka oferowała swoim klientom raporty handlowe, których zakres obejmował dane finansowe, rejestrowe, powiązania osobowe i kapitałowe, opis działalności przedsiębiorstwa i jego kondycji finansowej. W tym celu spółka przetwarzała dane osób fizycznych prowadzących działalność gospodarczą, które były pozyskiwane z rejestrów publicznych takich jak: Centralna Ewidencja i Informacja Działalności Gospodarczej, Monitor Sądowy i Gospodarczy, oraz dane osób fizycznych wpisanych do KRS.

Urząd skupił się na kwestii informowania o przetwarzaniu danych osobowych w związku z dyspozycją art. 14 RODO – czyli informowania w przypadku pozyskiwania danych z innego źródła niż od samego podmiotu.

Spółka stanęła na stanowisku, że poinformowanie tak ogromnej ilości osób, których dane uzyskiwane są z publicznych rejestrów jest działaniem antybiznesowym i wiąże się z ogromnymi kosztami. Zdaniem spółki osoby te mają świadomość, że ich dane będą udostępnione w takim rejestrze. W tym zakresie spółka powołała się na art. 14 ust. 5 lit. b) RODO pozwalający na odstąpienie od informowania w sytuacji, w której takie działanie wymagałoby niewspółmiernie dużo wysiłku utrudniając realizację celów zaplanowanego przez Spółkę przetwarzania.

Wojewódzki Sąd Administracyjny stwierdził, że figurowanie osoby fizycznej w CEIDG nie zwalnia podmiotu przetwarzającego dane osobowe z obowiązku informacyjnego wobec tej osoby. Należy listownie bądź telefonicznie poinformować taką osobę o fakcie przetwarzania jej danych osobowych.  Sąd uznał, że obowiązek ten nie musi być jednak spełniony wobec osób, które zawiesiły swoją działalność i wciąż widnieją w rejestrze – ponieważ skontaktowanie się z tymi osobami może okazać się bardzo trudne. Sędzia prowadząca tę sprawę podkreśliła ten fakt stwierdzeniem, że każda osoba ma prawo wiedzieć co dzieje się z jej danymi. Zaznaczyła również, że przetwarzane dane muszą być prawidłowe i aktualne.

Sąd odniósł się również do wyłączenia wynikającego z art. 14 ust. 5 lit. b rozporządzenia 2016/679 na które powołała się spółka i stwierdził, że zastosowanie tego artykułu nie może być tożsame z wysokością kosztów jakie administrator będzie musiał ponieść w związku z koniecznością dopełnienia obowiązku, który jest w pełni możliwy do realizacji. W ocenie Sądu w art. 14 ust. 5 lit. b rozporządzenia 2016/679 – „jest mowa o niewspółmiernie dużym wysiłku – gdy chodzi o sytuację, kiedy udzielenie informacji, o których mowa w art. 14 ust. 1 i 2 tego rozporządzenia jest obiektywnie możliwe, ale niebywale utrudnione (graniczące z brakiem możliwości udzielenia informacji)”. Jednym słowem kwestie finansowe nie mogą być ważniejsze od realizacji praw osoby fizycznej, a co za tym idzie podmiot przetwarzający dane ma obowiązek poinformować osobę fizyczną o tym, że pobiera jej dane z publicznego rejestru w celu ich przetworzenia.

Spółka ma jeszcze szansę zaskarżenia orzeczenia do Naczelnego Sądu Administracyjnego. Utrzymanie tego postanowienia w obecnej formie, istotnie wpłynie na model biznesowy wykorzystywany przez wiele podmiotów na rynku. Korzystanie z publicznych baz przedsiębiorców jest bowiem powszechne na całym świecie i dotychczas nie było to przedmiotem tak dużych kontrowersji.

AI AI Act autor biznes darowizna deweloper dobra osobiste dobro osobiste domena drzewa działalność gospodarcza dział spadku dług czynszowy e-commerce franki grunty international contracts kariera klauzula bestsellerowa konsument koronawirus kredyt hipoteczny księga wieczysta majątek małżonków majątek wspólny masa spadkowa małoletni metraż mieszkanie najem nasi klienci nasze sukcesy nieruchomości nieruchomość obsługa spółek ochrona dóbr osobistych ochrona środowiska odszkodowanie opiniowanie umów oprogramowanie plan zagospodarowania podatek podatki podwyższenie kapitału podział majątku podział nieruchomości powierzchnia użytkowa pracodawca Prawnik Twojego biznesu prawo autorskie prawo internetu proces budowlany przedsiębiorstwo przekształcenie spółki przepisy budowlane przetarg - obsługa przyroda rejestracja spółek rejestracja znaku reprezentacja w sądzie RODO rozdzielność majątkowa rozwód ryczałt separacja sklep internetowy spadek spadkodawca sportowcy sprzedaż nieruchomości spółka Systemy AI Sztuczna inteligencja sąsiad testament udziały w spółce umowa deweloperska umowa inwestycyjna venture capital windykacja wspólnota mieszkaniowa wydawnictwo wydziedziczenie wynajem własność intelektualna zachowek zamówienie publiczne zarząd spółki zdrowie związek sportowy