W środę 11 grudnia zapadł pierwszy nieprawomocny wyrok w sprawie pierwszej kary prezesa Urzędu Ochrony Danych Osobowych dla spółki Bisnode za nieprzestrzeganie RODO. Wojewódzki Sąd Administracyjny w Warszawie uznał, że spółka powinna poinformować indywidualnych przedsiębiorców, że przetwarza ich dane, ale tylko tych, którzy aktualnie prowadzą działalność lub ją zawiesili. Uchylił jednak częściowo decyzję, w tym karę w wysokości 943 tysięcy złotych dla firmy Bisnode. W czwartek 12 grudnia Urząd Ochrony Danych Osobowych wydał stanowisko w tej sprawie. UODO zwraca przede wszystkim uwagę, że WSA przyznał mu rację, a uchylenie kary związane jest jedynie ze zmianą liczby podmiotów danych dotkniętych naruszeniem, co wpływa na jej wysokość.
Czytaj więcej o wyroku w sprawie Bisnode i kary za naruszenie RODO >>
Obowiązek informacyjny jest ważny, bez względu na koszty
UODO zaznacza, że sąd oddalił skargę w zakresie dotyczącym nakazu dopełnienia obowiązku informacyjnego wobec osób fizycznych prowadzących aktualnie działalność gospodarczą oraz osób fizycznych, które zawiesiły wykonywanie tej działalność, a którym informacje te nie zostały dotychczas podane. Tym samym zdaniem urzędu wyraźnie podkreślił, iż przedsiębiorca prowadzący działalność gospodarczą polegającą na pozyskiwaniu informacji, w tym danych osobowych osób prowadzących działalność gospodarczą, z ogólnodostępnych rejestrów publicznych (np. KRS, CEIDG, REGON) oraz analizowaniu, interpretowaniu a następnie udostępnianiu ich zainteresowanym klientom, musi spełnić obowiązek informacyjny poprzez bezpośrednie przekazanie informacji osobie, której dane dotyczą. UODO podkreśla, że zdaniem WSA ewentualny wysoki koszt wysyłki tej informacji pocztą tradycyjną nie stanowi podstawy do zwolnienia z obowiązku informacyjnego określonego w art. 14 RODO, a więc nie zachodzi przesłanka „niewspółmiernie dużego wysiłku.
UODO przeprowadzi ponownie postępowanie
Jednocześnie urząd przyznaje, że z uwagi na dostrzeżone uchybienia proceduralne, sąd uchylił decyzję prezesa UODO w części dotyczącej nakazu dopełnienia obowiązku informacyjnego wobec osób fizycznych prowadzących w przeszłości działalność gospodarczą. - W tym zakresie prezes UODO ma ponownie przeprowadzić postępowanie administracyjne zgodnie ze wskazaniami sądu. Oddalenie skargi tylko w części dotyczące osób, które prowadzą aktualnie lub mają zawieszoną działalność gospodarczą i uchylenie decyzji w części dotyczącej osób prowadzących taką działalność w przeszłości oznacza, iż zmieniła się liczba podmiotów danych dotkniętych naruszeniem. Liczba ta miała znaczenie dla wymierzenia kary oraz określenia jej wysokości. Z tego powodu, zgodnie z wyrokiem WSA, prezes UODO będzie musiał ponownie przeanalizować te kwestie w postępowaniu administracyjnym - czytamy w stanowisku UODO.
Urząd zaznacza, że wyrok nie jest prawomocny, ale nie informuje wprost, czy będzie się od niego odwoływał. Z komunikatu można jednak wnioskować, że prezes UODO nie podejmie takiego kroku. Wszystko wskazuje, że jeśli spółka też się nie odwoła, ponownie przeprowadzi postępowanie, biorąc pod uwagę naruszenie art. 5 RODO.
