W toku kontroli przeprowadzonej w pewnej firmie inspektorzy upoważnieni przez Generalnego Inspektora Ochrony Danych Osobowych ustalili, iż strony - dwie spółki zawarły "umowę o współpracy w zakresie tworzenia bazy danych osobowych".
Niejasny kwestionariusz
Ustalono, iż w wyniku realizacji powołanej umowy tworzona jest m.in. baza danych spółki, która zawiera dane osobowe pozyskane od respondentów za pomocą kwestionariuszy opracowanych przez przedsiębiorcę i zawierających pytania ustalone przez spółkę. Respondentami, którzy wypełniają kwestionariusze są matki, które urodziły dziecko i ich partnerzy W kwestionariuszach pozyskiwane są dane osobowe matek, ich dzieci, oraz dane osobowe partnerów matek. Kwestionariusz zawiera klauzulę zgody na przetwarzanie danych osobowych.
GIODO nakazał firmie, aby w formularzu dała respondentom możliwość wyboru, czy godzą się na przetwarzanie danych w celach marketingowych. A także usunięciu z tzw. "bazy danych wycofań" danych osobowych respondentów, pozyskanych na podstawie "kwestionariusza Programu Edukacji Zdrowotnej", którzy odwołali zgodę na przetwarzanie danych osobowych.
WSA: osoby wprowadzono w błąd
Spółka zaskarżyła decyzję Generalnego Inspektora do Wojewódzkiego Sądu Administracyjnego.
WSA oddalił skargę przedsiębiorcy. Sąd uznał, że brak jest podstaw do przetwarzania przez spółkę danych osobowych respondentów, którzy nie wyrazili takiej zgody. Istotne znaczenie ma tu fakt, podkreślany również przez organ, że pozyskiwanie zgody na przetwarzanie danych osobowych, powoduje wprowadzenie w błąd osób, których dane dotyczą. Respondenci, którzy nie wyrazili zgody na ich przetwarzanie mają bowiem uzasadnione prawo, aby sądzić, iż ich dane nie będą w tych celach przetwarzane.
Kasacja oddalona
Naczelny Sąd Administracyjny oddalił skargę kasacyjną spółki. Mimo, że pełnomocnik spółki adwokat Jan Byrski przekonywał, iż usunięcie danych osobowych z bazy danych wycofanych jest środkiem nieproporcjonalnym. Co więcej - po usunięciu danych mogłoby się zdarzyć ponowne przetwarzanie, skoro spółka nie może porównać tych zbiorów. A ponadto twierdził, że brak udzielenia zgody na przetwarzanie to nie to samo, co sprzeciw.
Jednak NSA podkreślił, że takie rozumowanie jest sprzeczne z celem ustawy.
- Analiza klauzuli stosowanej przez spółkę nie prowadzi do wniosku, że zgoda dotyczy akceptacji przez ankietowanych przekazywania ich danych innej firmie - zaznaczyła sędzia Małgorzata Borowiec. - W tej klauzuli zawarty jest element przetwarzania i przekazywania dalej danych, bez wskazania celów każdego z tych działań.
Sąd zwrócił uwagę, że spółka powinna wyraźnie określić zakres zgody respondentów. Jednak nie było prawnie uzasadnionych celów, dla których spółka przetwarzała dane ( art.23 ust.1 pkt.2 ustawy o ochronie danych osobowych).
Co do tworzenia tzw. bazy danych wycofań (zgód na przetwarzanie) - było to działanie niedopuszczalne - stwierdził NSA.
Sygntura akt I OSK 1760/13, wyrok z 2 kwietnia 2015 r.
ID produktu: 40431114 Rok wydania: 2014 Autor: Mariusz Krzysztofek
Tytuł: Ochrona danych osobowych w Unii Europejskiej