Wyrokiem z dnia11 grudnia 2019 r. Wojewódzki Sąd Administracyjny w sprawie o sygnaturze akt II SA/Wa 1030/19 w przedmiocie przetwarzania danych osobowych częściowo oddalił skargę spółki Bisnode, uznając, iż przedsiębiorca prowadzący działalność gospodarczą polegającą na pozyskiwaniu danych osobowych osób prowadzących działalność gospodarczą z ogólnodostępnych rejestrów publicznych oraz ich następczym analizowaniu i udostępnianiu poszczególnym podmiotom w celach komercyjnych jest obowiązany spełnić obowiązek informacyjny wobec tych osób określony w art. 14 ogólnego rozporządzenia o ochronie danych osobowych (RODO) poprzez bezpośrednie przekazanie informacji osobie, której dane dotyczą.
Nałożenie kar pieniężnych przez Prezes UODO
W marcu 2019 r. Prezes Urzędu Ochrony Danych Osobowych (UODO) decyzją administracyjną nakazała dopełnienie obowiązku podania informacji określonych w art. 14 ust. 1 i 2 RODO przez ukaraną spółkę oraz nałożyła pierwszą karę pieniężną w wysokości ponad 943 tysięcy złotych za niedopełnienie obowiązku informacyjnego przez przedsiębiorcę, który w celach zarobkowych przetwarzał dane osób pozyskane ze źródeł ogólnodostępnych, takich jak Centralna Ewidencja i Informacja o Działalności Gospodarczej, Krajowy Rejestr Sądowy, czy REGON.
Spółka Bisnode przetwarzała dane osobowe osób prowadzących obecnie bądź w przeszłości działalność gospodarczą, a także tych, którzy zawiesili wykonywanie działalności gospodarczej. Ukarana spółka, zgodnie z wymogami ogólnego rozporządzenia o ochronie danych tzw. RODO, co prawda spełniła obowiązek informacyjny wobec osób, których posiadała adresy e-mail, jednakże co do pozostałych osób zamieściła jedynie klauzulę informacyjną na swojej stronie internetowej, mając na względzie poniesienie wysokich kosztów przesyłek pocztowych.
W tych okolicznościach Prezes UODO uznała, iż administrator danych nie dopełnił obowiązku informacyjnego w stosunku do osób, do których nie wysłał powiadomień listem, bowiem spółka dysponowała adresami korespondencyjnymi i numerami telefonów tych osób, wobec tego w ocenie Prezes UODO miała możliwość spełnienie obowiązku informacyjnego wobec osób, których dane przetwarzała.
Z uwagi na celowość działań spółki, tj. brak wysłania listów do osób, których dane były przetwarzane, pomimo świadomości istnienia obowiązku podania stosownych informacji oraz konieczności bezpośredniego informowania tych osób, organ uznał, iż naruszenie prawa przez spółkę miało charakter umyślny.
Zdaniem Prezes UODO spółka pozbawiła wskazane osoby możliwości skorzystania z podstawowych praw, jakie przysługują im na gruncie RODO, w tym między innymi prawa do wniesienia sprzeciwu przeciw dalszemu przetwarzaniu ich danych przez spółkę, żądania ich sprostowania, bądź usunięcia, konsekwencją czego było uznanie stwierdzonych naruszeń za poważne, a nałożenie kary pieniężnej za konieczne.
Niewspółmiernie duży koszt dla przedsiębiorcy
Od wydanej przez organ decyzji spółka wniosła skargę do sądu administracyjnego. Ukarana spółka podnosiła, iż nie ciąży na niej obowiązek informacyjny wymieniony w art. 14 RODO, bowiem podlega zwolnieniu na podstawie art. 14 ust 5 lit b) RODO, tj. twierdziła, iż udzielenie takich informacji wymagałoby niewspółmiernie dużego wysiłku, z uwagi na wysoki koszt realizacji tego obowiązku poprzez wysyłkę informacji przesyłką pocztową.
Wyrok WSA
Wojewódzki Sąd Administracyjny (WSA) rozpatrujący zaskarżoną decyzję, uznał jednakże, iż ewentualny wysoki koszt wysyłki tej informacji przesyłką pocztową nie stanowi podstawy do zwolnienia z obowiązku informacyjnego, co potwierdza stanowisko wyrażone przez Prezes UODO.
WSA w wyroku oddalił skargę w zakresie dotyczącym nakazu dopełnienia obowiązku informacyjnego w odniesieniu do osób fizycznych prowadzących aktualnie działalność gospodarczą oraz tych które działalność zawiesiły, natomiast w stosunku do osób, które w przeszłości prowadziły działalność, z uwagi na dostrzeżone uchybienia proceduralne uchylił decyzję Prezesa UODO w tej części, co wiąże się z ponownym przeprowadzeniem postępowanie administracyjnego w tym zakresie, zgodnie ze wskazaniami sądu.
Powyższa sprawa stanowi punkt odniesienia dla przedsiębiorców, którzy rozważają możliwość skorzystania ze zwolnienia wskazanego w art. 14 ust 5 lit b) RODO tj. sytuacji, gdy spełnienie obowiązku informacyjnego wymagałoby niewspółmiernie dużego wysiłku z uwagi na wysoki koszt realizacji tego obowiązku. Mając na względzie powyżej wskazane stanowisko organu, jak i wyrok sądu, należy wskazać, iż wysoki koszt wysyłki tej informacji przesyłką pocztową nie stanowi podstawy do zwolnienia z obowiązku informacyjnego, a zatem w tej sytuacji przedsiębiorca nie może się powołać na tzw. „niewspółmiernie duży wysiłek”.
Jednakże na względzie należy mieć również okoliczności danego przypadku, bowiem jak wynika z relacji zamieszczonej na stronie Prezesa UODO, ukarana spółka nie podejmowała żadnych działań zmierzających do usunięcia stwierdzonych naruszeń. Istotne znaczenie w rozpatrywanej sprawie ma również fakt, iż dane były przetwarzane przez administratora na dużą skalę, bowiem niedopełnienie obowiązku informacyjnego dotyczyło wedle stanu na wydanie decyzji administracyjnej ponad 6 miliona osób, natomiast spośród około 90 tysięcy osób, które spółka poinformowała o przetwarzaniu danych ponad 12 tysięcy osób wniosło sprzeciw wobec przetwarzania ich danych.
Znamiennym jest także, że wobec zmiany liczby podmiotów dotkniętych naruszeniem w wyniku wydanego wyroku WSA, tj. uchylenia decyzji w części dotyczącej osób, które prowadziły działalność w przeszłości, Prezes UODO będzie także musiała ponownie przeanalizować kwestie wysokości nałożonych na spółkę kar.
Ppowyższy przypadek należy odróżniać od podobnej sprawy rozstrzyganej kilka lat temu przez Generalnego Inspektora Ochrony Danych Osobowych dotyczącej również przetwarzania danych przedsiębiorców na podstawie danych uzyskanych z ogólnodostępnych rejestrów, jednakże wówczas podmiot przetwarzający dane nie dysponował adresami przedsiębiorców, a zatem nie miał możliwości ich poinformowania.
Autor: Anna Sulima, radca prawny Russell Bedford Poland
