Na stronie Urzędu Ochrony Danych Osobowych pojawiła się oficjalna informacja o nałożeniu przez Prezesa Urzędu Ochrony Danych Osobowych pierwszej administracyjnej kary pieniężnej za naruszenie RODO! [1]. Informacja to wywołała spore poruszenie, a decyzja organu jest szeroko komentowana na łamach prasy i w środowisku prawniczym. Nałożona kara wynosi ponad 943 tysięcy złotych (!).
Brak wykonania obowiązku informacyjnego
Prezes Urzędu nie ujawniła nazwy administratora, który dopuścił się naruszenia. Wiemy tylko, że była to spółka. Z udostępnionych informacji wynika także, na czym polegało naruszenie oraz czym kierowała się Prezes Urzędu wymierzając wysokość kary. Otóż, powodem naruszenia było brak wykonania obowiązku informacyjnego wobec ponad 6 milionów osób fizycznych, których dane ukarana spółka pozyskiwała ze źródeł publicznie dostępnych (m. in. z CEIDG). Dane te były przetwarzane przez spółkę w celach zarobkowych. W ramach przeprowadzonego postępowania organ nadzoru ustalił, iż administrator spełnił obowiązek informacyjny, podając informacje wymagane przepisami art. 14 ust. 1-3 RODO jedynie wobec tych osób, do których posiadał adresy e-mail. W przypadku pozostałych osób, administrator zrezygnował z bezpośredniego przekazania informacji składających się na klauzulę informacyjną argumentując to wysokimi kosztami wiążącymi się z realizacją przesyłek pocztowych. Administrator uznał, że wystarczającym działaniem będzie wykonanie obowiązku informacyjnego wobec takich osób wyłącznie poprzez zamieszczenie klauzuli informacyjnej na jego stronie internetowej. Działania takie Prezes Urzędu uznała za naruszające RODO, a podnoszony przez spółkę argument dotyczący kosztów jako niezasadny. W ocenie organu, administrator odebrał ponad 6 milionom osób możliwość skorzystania z praw, jakie przysługują im na gruncie RODO – tak naprawdę nie miały one świadomości, iż ich dane są przetwarzane przez spółkę. Nie mogły więc one zatem na przykład sprzeciwić się dalszemu przetwarzaniu ich danych, żądać ich sprostowania czy usunięcia. Prezes Urzędu uznała, że stwierdzone naruszenie ma poważny charakter, gdyż dotyczy podstawowych praw i wolności osób, których dane przetwarza spółka, jak również dotyczy jednej z podstawowych kwestii, jaką jest informacja o tym, że dane są przetwarzane, a co więcej uzasadnieniem ku nałożeniu kary oraz jej wysokości było to, iż administrator nie podjął żadnych działań zmierzających do usunięcia naruszenia ani nie zadeklarował takiego zamiaru. Nadto, w ocenie organu działanie spółki miało charakter umyślny, ponieważ miała ona świadomość istnienia obowiązku podania stosownych informacji, jak i konieczności bezpośredniego informowania osób.
Co dalej?
Spółce przysługuje możliwość wniesienia skargi do sądu administracyjnego. Jesteśmy ciekawi, jakie będą dalsze losy sprawy, a Wy? Co sądzicie o decyzji PUODO?
Wpis nie stanowi porady ani opinii prawnej w rozumieniu przepisów prawa oraz ma charakter wyłącznie informacyjny. Stanowi wyraz poglądów jego autora na tematy prawnicze związane z treścią przepisów prawa, orzeczeń sądów, interpretacji organów państwowych i publikacji prasowych. Kancelaria Ostrowski i Wspólnicy Sp.K. i autor wpisu nie ponoszą odpowiedzialności za ewentualne skutki decyzji podejmowanych na jego podstawie.
[1] https://uodo.gov.pl/pl/138/786
