Source: https://czasopismo.legeartis.org/2019/03/pierwsza-kara-naruszenie-rodo/
Timestamp: 2020-08-14 04:31:52+00:00
Document Index: 74893420

Matched Legal Cases: ['art. 14', 'art. 43', 'art. 6', 'art. 6', 'art. 14', 'art. 46', 'art. 47', 'art. 49', 'art. 14', 'art. 14', 'art. 6', 'art. 6', 'art. 9', 'art. 22', 'art. 21', 'art. 10', 'art. 172', 'art. 10', 'art. 14', 'art. 172']

Pierwsza kara za naruszenie RODO za brak obowiązku informacyjnego
Pierwsza kara za naruszenie RODO — 943 tys. złotych za brak wykonania obowiązku informacyjnego (art. 14 RODO)
by Olgierd Rudak • 26 marca 2019 • 36 komentarzy
A więc już jest: dokładnie 10 miesięcy i 1 dzień po Dniu-R polski UODO nałożył pierwszą karę na polskiego przedsiębiorcę za naruszenie przepisów europejskiego RODO („Prezes UODO nałożyła pierwszą karę pieniężną”). Treść decyzji została udostępniona tutaj: ZSPR.421.3.2018 wprawdzie jeszcze nie znamy (powinna znaleźć się gdzieś tutaj) — imponuje natomiast kwota 943 tysięcy złotych — ale już dziś można pokusić się o kilka łatwo przyswajalnych zdań:
Pierwsza kara za naruszenie RODO mogła być także nałożona za niewłaściwie oznaczony monitoring — także w takim przypadku należy zadbać o prawidłową informację, zaś monitoring w toaletach to sprawa więcej niż śliska… (fot. Olgierd Rudak, CC-BY-SA 3.0)
pierwsza kara za naruszenie RODO nałożona została na przedsiębiorcę, który przetwarza dane osobowe „pozyskane ze źródeł publicznie dostępnych” (m.in. CEIDG), w tym przedsiębiorców (ale też ex-przedsiębiorców) — bo pamiętajcie, że po licznych woltach legislacyjnych dane osobowe osób prowadzących działalność gospodarczą znów są danymi osobowymi i stosuje się do nich postanowienia RODO (por. „Dane osobowe przedsiębiorców wpisanych w CEIDG”);
motyw (14) rozporządzenia 2016/679
Ochrona zapewniana niniejszym rozporządzeniem powinna mieć zastosowanie do osób fizycznych – niezależnie od ich obywatelstwa czy miejsca zamieszkania – w związku z przetwarzaniem ich danych osobowych. Niniejsze rozporządzenie nie dotyczy przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej.
fakt, że dane osobowe pochodzą z publicznych rejestrów nie skutkuje wyłączeniem stosowania RODO — ludzie pamiętają, że coś-tam, coś-tam było w ustawie o ochronie danych osobowych (a było tylko to, że rejestr zawierający dane osobowe „powszechnie dostępne” nie podlegał rejestracji, art. 43 ust. 1 pkt 9 ustawy), natomiast prawda jest taka, że także tworząc prywatne bazy przedsiębiorców należy przestrzegać RODO;
nie oznacza to, że każdy chętny musiałby się sam zapisać do takiej bazy — nadal zgoda (art. 6 ust. 1 lit. a RODO) nie jest jedyną przesłanką przetwarzania danych osobowych, wystarczy „prawnie uzasadniony interes” realizowany przez administratora (art. 6 ust. 1 lit. f RODO);
art. 14 ust. 1 RODO
f) gdy ma to zastosowanie — informacje o zamiarze przekazania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia.
pozyskując dane osobowe „w sposób inny niż od osoby, której dane dotyczą” należy jednak pamiętać o obowiązku informacyjnym — zainteresowany musi być wprost poinformowany m.in. o osobie administratora, celach i podstawie prawnej przetwarzania danych osobowych (a jeśli ma to być prawnie uzasadniony interes — trzeba go dokładnie sprecyzować), kategoriach danych osobowych, odbiorcach danych osobowych, okresie przechowywania danych, prawie dostępu do danych, a także ich sprostowania i usunięcia, etc. etc. (art. 14 RODO);
obowiązek informacyjny ma na celu oczywiście zapewnić zainteresowanemu możliwość pokierowania swoim losem — generalnie nie można raz-na-zawsze zastrzec zakazu handlu danymi osobowymi (do tego chyba niezbędne byłoby powołanie centralnego repozytorium takich danych — które już samo z siebie musiałoby zawierać takie dane osobowe…), ale otrzymanie takiej informacji ma dać możliwość powiedzieć „proszę mnie wykreślić!”;
art. 14 ust. 2 RODO
b) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) — prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;
d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) — informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
f) źródło pochodzenia danych osobowych, a gdy ma to zastosowanie — czy pochodzą one ze źródeł publicznie dostępnych;
g) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz — przynajmniej w tych przypadkach — istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
dla jasności: brak wypełnienia obowiązku informacyjnego jest takim samym naruszeniem RODO jak każde inne (mam na myśli sankcje), natomiast osobiście uważam je za do pewnego stopnia nad-naruszenie: bo jeśli nie dowiem się, że moje dane są przetwarzane, nie będę mógł przeciwdziałać skutkom tego przetwarzania (choćby skorzystać z prawa do sprzeciwu, art. 21 RODO);
i jeszcze, bo widzę, że ja od kilkunastu lat na tutejszych łamach temat wałkuję, a świadomość niektórych rekinów biznesu nadal w powijakach: (i) nawet wyrażenie zgody na przetwarzanie danych w celach marketingowych nie oznacza zgody na wysyłanie spamu lub telefonowanie z ofertami (osobiście zwykłem mawiać „przetwarzajcie mnie ile chcecie, ale nie ważcie się do mnie dzwonić”); (ii) warunkiem wysyłania informacji handlowych jest (prawie zawsze) wyraźna zgoda adresata (art. 10 uośude); (iii) warunkiem zatelefonowania w celu związanym z marketingiem bezpośrednim lub wysłania reklamowego esemesa jest zawsze wyraźna zgoda odbiorcy (art. 172 pt); (iv) tych trzech zgód nie można ze sobą łączyć, nie wolno ich „zaszyć” w regulaminie (por. „Wymuszenie zgody na otrzymywanie informacji handlowych”), nie można ich domniemywać z innych czynności (także krzyżowo).
Tags: art. 10 uośude art. 14 RODO art. 172 PT CEIDG dane osobowe działalność gospodarcza RODO spam
← Czy przedsiębiorca może pozwać ubezpieczyciela o stosowanie klauzuli abuzywnej?
Czy przejęcie majątku spółki jawnej przez jednego ze wspólników jest dodatkową „sankcją” przeciwko wspólnikowi, który wypowiedział umowę spółki? →