11 grudnia zapadł pierwszy nieprawomocny wyrok w sprawie pierwszej kary prezesa Urzędu Ochrony Danych Osobowych dla spółki Bisnode za nieprzestrzeganie RODO nałożonej decyzją z 15 marca 2019 roku. WSA uchylił częściowo decyzję, a dokładnie karę pieniężną oraz nakaz spełnienia obowiązku informacyjnego wobec podmiotów nieaktywnych wpisanych do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG). To oznacza, że Bisnode nie jest zobowiązana do uiszczenia kary w wysokości blisko miliona złotych. Sąd jednak nie podzielił argumentów spółki, że spełnienie obowiązku informacyjnego wobec aktywnych przedsiębiorców wiązałoby się z niewspółmiernym wysiłkiem.
Czytaj więcej o wyroku: Najwyższa kara za naruszenie RODO uchylona przez sąd >>
Jolanta Ojczyk: Czy spółka odwoła się od wyroku Wojewódzkiego Sądu Administracyjnego w sprawie decyzji prezesa Urzędu Ochrony Danych Osobowych?
Andrzej Osiński, prezes zarządu Bisnode Polska: Bisnode rozważa obecnie złożenie skargi kasacyjnej do Naczelnego Sądu Administracyjnego. Z ostateczną decyzją spółka wstrzymuje się do czasu otrzymania pisemnego wyroku sądowego wraz z uzasadnieniem. Jednocześnie warto zaznaczyć, że w ostatnim czasie otrzymaliśmy silne wsparcie od przedsiębiorców z całej Europy jak i innych podmiotów przetwarzających dane pochodzące z rejestrów publicznych.
Czytaj w LEX: Podstawy skargi kasacyjnej w postępowaniu sądowoadministracyjnym >
Jakie argumenty przedstawili państwo w sądowym sporze z prezesem UODO?
Bisnode kwestionując decyzję PUODO szczególną uwagę zwrócił na fakt niewspółmierności wysiłku związanego ze spełnieniem obowiązku informacyjnego bezpośrednio wobec każdej z osób, których dane dotyczą, w świetle podejścia opartego na ryzyku, stanowiącego istotę przepisów RODO. W złożonej przez nas skardze podkreślono, że w działalności Bisnode występuje bardzo niskie ryzyko naruszenia praw lub wolności związane z przetwarzaniem danych osobowych, które są przecież dostępne publicznie dla każdego i w każdym czasie. Każdy, w każdym czasie i z dowolnego miejsca może pozyskać te dane, bo taki jest cel rejestru przedsiębiorców, o czym przedsiębiorcy wiedzą od momentu wpisania ich do rejestru. Jednocześnie, decyzja z 15 marca br. wyraźnie potwierdza, że działanie Bisnode nie wyrządziło żadnej szkody osobom, których dane są przetwarzane. Bisnode, jak również wiele innych podmiotów w Unii Europejskiej, przetwarza dane pochodzące z publicznie dostępnych rejestrów i robi to zgodnie z zaleceniami tzw. Grupy Roboczej Art. 29 (obecnie: Europejskiej Rady Ochrony Danych), jak również ze stanowiskiem zajmowanym przez stowarzyszenia branżowe w Europie, które opowiadają się za warstwowym spełnianiem obowiązku informacyjnego w relacji do związanego z tym ryzyka.
Czytaj w LEX: Analiza decyzji administracyjnych Prezesa UODO z lat 2018-2019 >
Sąd wskazał, że koszty nie świadczą o niewspółmiernym wysiłku. Jakie byłyby koszty spełnienia obowiązku informacyjnego?
Decyzja w części nie uchylonej przez sąd, o ile miałaby być wykonana, rodziłaby przymus dla Bisnode lub innych podmiotów z branży wydatku rzędu 15 milionów złotych na wysyłkę listów zwykłych lub 18 milionów złotych na wysyłkę listów poleconych. Dla porównania - gdyby cała decyzja była nieuchylona przez sąd, koszt przekraczałby 33 milionów złotych według aktualnych cenników Poczty Polskiej. Rozumiemy, że ani sąd ani wcześniej prezes UODO nie posiadał podstaw do oceny, jaki jest praktyczny wpływ tej decyzji dla funkcjonowania firmy z segmentu MŚP. Przeciętny obrót roczny firm w branży wywiadowni gospodarczych nie przekracza 4 mln zł – dla takich podmiotów wydatki podane powyżej oznaczałby brak realnych perspektyw zwrotu z takiej inwestycji. Dlatego naszym zdaniem ta decyzja tworzy sztuczną barierę wejścia na rynek dla małej firmy z Polski, chcącej działać zgodnie z RODO w Polsce, w porównaniu do podmiotów zarejestrowanych w innych krajach UE. Dlaczego zatem to, co wolno robić we Włoszech, nie jest akceptowane przez prezesa UODO? Przecież taka była idea ujednolicenia przepisów i po to między innymi powstało RODO. Stanowisko polskiego organu ochrony danych jest odmienne od tego, które zaprezentowało już kilku spośród europejskich organów ochrony danych. Należy zatem podkreślić, że już w kilku krajach Unii Europejskiej organy ochrony danych za dobrą praktykę uznały brak konieczności wysyłki listu w wersji papierowej, pocztą tradycyjną, indywidualnie do każdej osoby. Organy te zaakceptowały, że ten obowiązek można spełnić poprzez publikację odpowiedniej treści ogłoszenia na stronach internetowych. Mamy nadzieję, że organ weźmie to pod uwagę ponownie rozpatrując sprawę. Przyjmując takie podejście organów innych niż polski, Bisnode wywiązał się na polskim gruncie z obowiązku informacyjnego.
UODO uważa, że co do zasady sąd przyznał mu rację, a uchylenie kary związane jest jedynie ze zmianą liczby podmiotów danych dotkniętych naruszeniem. Jak pan ocenia to stanowisko ?
W tym momencie nie oceniamy komunikatu wydanego w tej sprawie przez prezesa UODO. Natomiast jak wspomniałem, rozważamy możliwość złożenia skargi kasacyjnej do Naczelnego Sądu Administracyjnego i kwestionowanie w odpowiednim zakresie stanowiska zajętego przez Wojewódzki Sąd Administracyjny i wcześniej przez PUODO.
Czytaj w LEX: Okiem IOD-a: Wypełnienie obowiązków informacyjnych wobec osoby, której dane dotyczą >
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.