Decyzją z dnia 15 marca 2019 r. (dalej – Decyzja) Prezes Urzędu Ochrony Danych Osobowych (dalej – Prezes UODO) nałożył na Spółkę naruszającą zasady wynikające z Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE 119 z 04.05.2016 r. ze zm., dalej – RODO) pierwszą karę administracyjną w wysokości blisko miliona złotych.
Podstawa prawna naruszenia
RODO, w art. 14 ust. 1-3, nakłada na administratora danych osobowych obowiązek przekazywania osobie, której dane dotyczą, wyszczególnionych w przepisie informacji (takich jak m.in. informacje o podmiocie przetwarzającym dane, celu ich przetwarzania i okresie ich przechowywania), określając jednocześnie termin w jakim czynności informacyjne powinny zostać zrealizowane. To właśnie za naruszenie obowiązku informacyjnego Prezes UODO nałożył karę administracyjną w wysokości 943 470 złotych.
Stan faktyczny
Ukarana przez Prezesa UODO Spółka oferuje w ramach swojej działalności m.in. sporządzanie raportów handlowych na rzecz podmiotów trzecich, wydawanie wykazów oraz list (np. adresowych, telefonicznych), zarządzanie stronami internetowymi. Spółka przetwarzała dane osobowe w celach zarobkowych, w sposób profesjonalny. Dane te dotyczyły osób fizycznych prowadzących działalność gospodarczą (zarówno obecnie, jak i w przeszłości) i były pozyskiwane ze źródeł ogólnodostępnych – w tym z rejestrów publicznych (m.in. Centralna Ewidencja i Informacja o Działalności Gospodarczej, Monitor Sądowy i Gospodarczy, Baza REGON Głównego Urzędu Statystycznego).
Jednak nie wszystkie osoby, których dane Spółka przetwarzała, zostały o tym fakcie poinformowane. W sytuacji, w której dana osoba podawała w CEIDG swój adres e-mail, dostawała ona stosowną informację od Spółki odnośnie faktu przetwarzania swoich danych. W stosunku do pozostałych osób, Spółka zrezygnowała z przesyłania informacji o przetwarzaniu danych osobowych i poprzestała na zamieszczeniu stosownego komunikatu na swojej stronie internetowej. Spółka zrezygnowała z osobistego kontaktu, celem spełnienia obowiązku informacyjnego, powołując się na art. 14 ust. 5 lit b) RODO.
Zgodnie z dyspozycją ww. przepisu, administrator nie musi realizować obowiązku informacyjnego, w sytuacji gdy wymagałoby to z jego strony niewspółmiernie dużego wysiłku. Zdaniem Spółki wysłanie tradycyjnej korespondencji listowej do wszystkich osób, których adresów e-mail Spółka nie posiadała (czyli ponad sześć i pół miliona osób), wiązałoby się ze znacznymi kosztami finansowymi, które mogłyby doprowadzić nawet do utraty płynności finansowej przez Spółkę.
Decyzja Prezesa UODO
Zdaniem Prezesa UODO, w tym przypadku, samo umieszczenie informacji związanych z obowiązkiem informacyjnym na stronie internetowej spółki, nie może być uznane za wystarczające spełnienie obowiązku informacyjnego.
Prezes UODO stwierdził także, że w tej sprawie nie wystąpiła przesłanka wyłączająca obowiązek informacyjny w postaci „niewspółmiernie dużego wysiłku”. Uznano, że spółka posiadała już w bazie dane adresowe, więc nie musiała podejmować wysiłku celem ich odnalezienia. Zgodnie z uzasadnieniem Decyzji, konieczność poniesienia kosztów związanych z wypełnieniem obowiązku informacyjnego nie stanowi „niewspółmiernie dużego wysiłku”.
Prezes UODO odczytał wyjaśniania ukaranej spółki o wysokich kosztach korespondencji listowej, jako chęć uniknięcia dodatkowych kosztów związanych z obowiązkiem informacyjnym. Jego zdaniem, takie podejście nie współgra z koniecznością zapewnienia gwarancji odpowiedniego poziomu zabezpieczenia praw i wolności podmiotów, których dane są przetwarzane. Motywacja spółki została potraktowana jako okoliczność dodatkowo obciążająca w tym postępowaniu. Jak wskazano w uzasadnieniu Decyzji „Od Spółki, jako profesjonalisty w tego rodzaju działalności, należy wymagać takiego ukształtowania strony biznesowej swojej działalności, które uwzględniałoby wszelkie koszty niezbędne dla zapewnienia jej zgodności z przepisami prawa”.
Prezes UODO uznał ponadto, że naruszenie miało charakter umyślny. Z kolei blisko milionowa kara została uzasadniona tym, że „wysokość kary powinna być na tyle duża, żeby Spółka, jako ukarany podmiot nie wkalkulowała jej w koszty swojej działalności”. Poza administracyjną kara pieniężną, spółka została zobowiązana do wykonania ciążącego na niej obowiązku informacyjnego w terminie trzech miesięcy od dnia doręczenia jej Decyzji.
Podsumowanie
Komentowana Decyzja jest ostateczna, jednak Spółce przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w terminie 30 dni od dnia jej doręczenia. Wniesienie skargi jest wysoce prawdopodobne. Spółka, w oświadczeniu zamieszczonym na swojej stronie internetowej, stwierdziła, że nie zgadza się z Decyzją. W ewentualnym postępowaniu odwoławczym powinno zostać wyjaśnione pojęcie „nadmiernie wysokiego wysiłku”, gdyż nałożona kara wynika właśnie z odmiennego zrozumienia tego pojęcia przez organ i administratora danych. Wydaje się, że dobrym rozwiązaniem byłoby zwrócenie się w kwestii interpretacji tego pojęcia do Trybunału Sprawiedliwości Unii Europejskiej.
