Source: https://odoserwis.pl/j/939/opublikowano-uzasadnienie-wyroku-wsa-w-warszawie-w-sprawie-ze-skargi-bisnode-polska-sp-z-oo-na-decyzje-prezesa-urzedu-ochrony-danych-osobowychl
Timestamp: 2020-07-13 22:17:03
Legal References Found: art. 14
 art. 14
 art. 14
 art. 58
 art. 83
 art. 83
 art. 14
 art. 15
 art. 9
 art. 14
 art. 14
 art. 7
 art. 77
 art. 80

Document Content:
Wyrok WSA w sprawie kary na spółkę Bisnode, | odoserwis.pl
Opublikowano uzasadnienie...
uchyla punkt 1 zaskarżonej decyzji w zakresie w jakim nakazuje ona B. Sp. z o.o. z siedzibą w W. dopełnienie obowiązku podania informacji określonych w art. 14 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. EU L 119 z dnia 4 maja 2016 r., str. 1, ze zmianą ogłoszoną w Dz.Urz.UE.L 127 z dnia 23 maja 2018 r., str. 2) osobom fizycznym, których dane osobowe B. Sp. z o.o. z siedzibą w W. przetwarza, prowadzącym w przeszłości jednoosobową działalność gospodarczą, którym informacje te nie zostały podane,
uchyla punkt 2 zaskarżonej decyzji,
zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz B. Sp. z o.o. z siedzibą w W. kwotę 20.235 zł (słownie: dwadzieścia tysięcy dwieście trzydzieści pięć złotych), tytułem zwrotu kosztów postępowania.
Organ ustalił też, że w bazie danych systemu (...) Spółki ("(...)-wewnętrzny system (...)") znajdują się dane dotyczące ok. 3,59 mln osób fizycznych prowadzących aktualnie jednoosobową działalność gospodarczą oraz osób fizycznych, które zawiesiły tę działalność oraz 2,33 mln osób fizycznych prowadzących w przeszłości działalność gospodarczą. W systemie tym Spółka przetwarza dane osobowe osób fizycznych prowadzących działalność gospodarczą, które zostały pozyskane ze źródeł ogólnie dostępnych, w tym z rejestrów publicznych, m.in. z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, z Bazy REGON Głównego Urzędu Statystycznego, z Monitora Sądowego i Gospodarczego. Spółka w odniesieniu do osób fizycznych prowadzących działalność gospodarczą przetwarza imię, nazwisko, nazwę przedsiębiorstwa, adres rejestrowy oraz inne adresy, rodzaj działalności PKD, numer telefonu (opcjonalnie), adres e-mail (opcjonalnie), adres strony www (opcjonalnie), zakazy/uprawnienia/ograniczenia/ koncesje na prowadzenie określonej działalności, związane z przedsiębiorcą zdarzenia prawne. W dniu (...) kwietnia 2018 r., tj. przed dniem rozpoczęcia obowiązywania rozporządzenia 2016/679, Spółka wysłała informację o przetwarzaniu danych osobowych zatytułowaną "(...) Polska - RODO - obowiązek informacyjny" na wszystkie adresy poczty elektronicznej posiadane w bazie danych systemu (...) przypisane do przedsiębiorców prowadzących jednoosobową działalność gospodarczą. W trakcie ww. kampanii informacyjnej Spółka wysłała 902 837 wiadomości elektronicznych. Spółka zamieściła także na swojej stronie internetowej o adresie (...), w zakładce "Dane i prywatność"/"Informacja o przetwarzaniu danych osobowych", informację o przetwarzaniu danych osobowych przez (...). Organ wskazał, że Spółka opublikowała również na swojej stronie internetowej (...), w zakładce "Dane i prywatność"/Informacja o przetwarzaniu danych osobowych", pod adresem (...), pełną klauzulę informacyjną, odpowiadającą wymogom art. 14 ust. 1 i ust. 2 rozporządzenia 2016/679. Organ ustalił, że Spółka podjęła decyzję, aby nie realizować obowiązku informacyjnego, poprzez wysłanie krótkich wiadomości tekstowych (SMS) wobec osób, których dane pozyskała ze źródeł publicznie dostępnych (w tym osób fizycznych prowadzących działalność gospodarczą), ponieważ nie posiada numerów telefonów w odniesieniu do każdej z tych osób, a także ze względu na wysokie koszty takiej akcji. Ze względu na wysokie koszty Spółka nie zdecydowała się również na spełnienie tego obowiązku drogą tradycyjnej korespondencji.
Organ wskazał, że z wyjaśnień Spółki przedstawionych w piśmie z dnia (...) lutego 2019 r. wynika, że dane przez nią przetwarzane są danymi dostępnymi publicznie, zgromadzonymi w oficjalnych, publicznych rejestrach, zakres tych danych jest stosunkowo wąski, a ryzyko dla praw i wolności osób, których dane dotyczą, związane z ich przetwarzaniem - niskie. Spółka posiada łącznie 7.594,636 rekordów danych dotyczących osób fizycznych, w tym przedsiębiorców prowadzących jednoosobową działalność gospodarczą oraz osób będących wspólnikami lub członkami organów spółek, fundacji i stowarzyszeń. Spółka spełniła indywidualny obowiązek informacyjny wobec 682 439 osób, w stosunku do których posiada w ramach rekordu bazy danych adresy poczty elektronicznej. W odniesieniu do 181 142 osób Spółka dysponuje wyłącznie numerami telefonów komórkowych, a w odniesieniu do 6.490.226 osób dysponuje wyłącznie adresami korespondencyjnymi, z czego 2.924.443 rekordy dotyczą nieaktywnych działalności gospodarczych. Organ wskazał, że z wyjaśnień Spółki wynika, że realizacja obowiązku informacyjnego w jego podstawowej formie (tj. indywidualnego kontaktu z każdą osobą, której dane dotyczą) powodowałaby po stronie Spółki "niewspółmierny wysiłek", o którym mowa w art. 14 ust. 5 lit. b rozporządzenia 2016/679, rozumiany jako obciążenie organizacyjne (tzn. konieczność oddelegowania pracowników i zasobów rzeczowych - komputerów, urządzeń biurowych - do realizacji wyłącznie tego zadania) oraz finansowe (tzn. koszt druku, przygotowania do wysyłki i nadania, w tym papieru, tonera, kopert, znaczków pocztowych, obsługi zwrotów korespondencji, ewentualnie wynagrodzenie podmiotów, którym Spółka mogłaby zlecić wykonanie tego zadania), które w krytyczny sposób zakłóciłyby funkcjonowanie Spółki w stopniu, który mógłby wiązać się z koniecznością zakończenia prowadzenia działalności w Polsce.
Organ przytoczył treść art. 58 ust. 2 lit. i oraz art. 83 ust. 2 rozporządzenia 2016/679. Stwierdził, że w rozpatrywanej sprawie zaistniały przesłanki warunkujące nałożenie na Spółkę administracyjnej kary pieniężnej. Decydując o nałożeniu na Spółkę administracyjnej kary pieniężnej oraz ustalając jej wysokość, zgodnie z art. 83 ust. 2 lit. a-k rozporządzenia 2016/679 organ wziął pod uwagę m.in. to, że nie został spełniony obowiązek informacyjny, wynikający z art. 14 ust. 1-3 rozporządzenia 2016/679, wobec osób fizycznych prowadzących aktualnie lub w przeszłości jednoosobową działalność gospodarczą (aktywnych, zawieszonych i historycznych zamknięta), stan ten trwa do chwili obecnej, czyli nie jest to jednorazowe zdarzenie ograniczone w czasie, a dotyczy łącznie 6.671.368 rekordów, według danych zawartych w wyjaśnieniach Spółki z dnia (...) lutego 2019 r.; stwierdzone w niniejszej sprawie naruszenie ma poważny charakter, dotyczy bowiem podstawowych praw i wolności osób, których dane Spółka przetwarza, narusza również podstawową w odniesieniu do przetwarzania danych osobowych zasadę rzetelności i przejrzystości (art. 5 ust. 1 lit. a rozporządzenia 2016/679). Naruszenie przez Spółkę obowiązku podania podstawowych informacji o przetwarzaniu oraz pouczenia o przysługujących podmiotom danych prawach z tym związanych (wskazanych w art. 15-21 rozporządzenia 2016/679), pociąga za sobą m.in. ryzyko odebrania im możliwości skorzystania z tych praw; wagę naruszenia zwiększa również okoliczność, że na Spółce przetwarzającej dane osobowe w sposób profesjonalny, w ramach swojej podstawowej działalności, w celach zarobkowych, i na bardzo dużą skalę (liczba podmiotów danych dotkniętych naruszeniem - 6.671,368), ciąży większa odpowiedzialność i większe wymagania niż na podmiocie przetwarzającym dane osobowe w ramach działalności ubocznej, incydentalnie lub na niewielką skalę. Okolicznością obciążającą jest to, że stwierdzone naruszenie trwa do chwili obecnej; Spółka podjęła świadomą decyzję (motywowaną chęcią uniknięcia dodatkowych nakładów finansowych) o niezrealizowaniu wobec osób fizycznych prowadzących aktualnie (w tym aktywnych, zawieszonych) lub w przeszłości jednoosobową działalność gospodarczą obowiązku, o którym mowa w art, 14 ust, 1-3 rozporządzenia 2016/679 "ze względu na milionowe koszty", co oznacza, że należy przypisać jej umyślność w naruszeniu wskazanych przepisów prawa. Organ wskazał też, że w toku postępowania nie ustalono, żeby konsekwencją stwierdzonego naruszenia było powstanie po stronie podmiotów danych szkód, jednakże dalsze przetwarzanie danych osobowych bez wiedzy osób, których dotyczą, niewątpliwie utrudnia czy ogranicza skorzystanie przez te osoby z przysługujących im uprawnień, np. prawa do usunięcia danych, sprostowania, czy złożenia sprzeciwu wobec przetwarzania danych osobowych (organ podał, że na dzień (...) września 2018 r. z uprawnienia tego skorzystało 12630 osób). W konsekwencji, brak spełnienia obowiązku informacyjnego, prowadzi do uprzywilejowanej pozycji Spółki w realizacji jej praw w stosunku do praw osób, których dane dotyczą i stanowią istotny element przedmiotu działalności Spółki. Organ podał, że zarówno w toku przeprowadzonej kontroli, jak i w trakcie trwania niniejszego postępowania Spółka współpracowała z Prezesem UODO, w wyznaczonym terminie Spółka przesłała wyjaśnienia i udzieliła odpowiedzi na pismo Prezesa UODO, a jednocześnie wraz z pismem przesłała stosowne dokumenty na potwierdzenie złożonych wyjaśnień. Jednakże współpraca ta miała na celu zapewnienie jedynie prawidłowego przebiegu postępowania, a nie usunięcie stwierdzonego w toku kontroli naruszenia, czy też usunięcie jego skutków. Organ ustalił, że stwierdzone naruszenie nie dotyczy szczególnych kategorii danych osobowych, o których mowa w art. 9 rozporządzenia 2016/679. Wskazał, że uzasadnianie przez Spółkę niewykonania obowiązku wysokimi kosztami finansowymi, aż do próby przerzucenia odpowiedzialności - gdyby go wykonała - za ewentualny spadek jej konkurencyjności na rynku, czy też utratę płynności finansowej, aż do konieczności zakończenia prowadzonej działalności, stanowi okoliczność zdecydowanie działającą na niekorzyść Spółki. Organ zwrócił uwagę, że chociaż Spółka pozyskuje dane ze źródeł publicznych, to stanowią one przedmiot jej wieloletniej działalności komercyjnej, zaś osoby, których te dane dotyczą, nie posiadają informacji o przetwarzaniu przez Spółkę takich danych. W ocenie Prezesa UODO odpowiedzialność wobec tych osób spoczywa zatem na Spółce, szczególnie w zakresie realizacji obowiązku wynikającego z art. 14 ust. 1-3 rozporządzenia 2016/679. Niewykonanie ww. obowiązku z uwagi na wskazane przez Spółkę koszty finansowe, świadczy o obniżeniu wartości praw osób, których dane osobowe Spółka przetwarza, w stosunku do wartości finansów Spółki, której to argumentacji nie można uznać za zasadną w świetle wymogów rozporządzenia 2016/679. Organ wskazał, że Spółka pozyskuje przecież środki finansowe w ramach prowadzonej działalności gospodarczej, której przedmiotem jest udostępnienie danych osobowych osób fizycznych jej klientom (tj.m.in. podmiotom gospodarczym, w tym osobom prowadzącym jednoosobową działalność gospodarczą, czy też organom publicznym), jako odrębnym administratorom, w związku z produktami oferowanymi przez Spółkę. W bazie danych (...), Spółka przechowuje również dane osób, które nie prowadzą już działalności gospodarczej ponieważ jak wynika z ustaleń kontroli klienci Spółki zwracają się z pytaniami, czy wśród ich dostawców nie ma podmiotów wykreślonych. Informacja o klientach nieaktywnych jest częścią produktu Spółki polegającego na dostarczaniu informacji gospodarczych.
1. W ocenie Sądu zaskarżona decyzja Prezesa UODO w części w jakiej nakazuje Spółce dopełnienie obowiązku podania informacji określonych w art. 14 ust. 1 i 2 rozporządzenia 2016/679 osobom fizycznym prowadzącym w przeszłości jednoosobową działalność gospodarczą, którym informacje te nie zostały podane, wydana została z naruszeniem prawa procesowego, tj. art. 7, art. 77 § 1 i art. 80 k.p.a., które mogło mieć istotny wpływ na wynik sprawy. W ocenie Sądu brak jest na tym etapie postępowania podstaw do stwierdzenia nieważności zaskarżonej decyzji we wskazanym zakresie, jak chciałaby tego Spółka. Przede wszystkim zauważyć należy, że organ nie dokonał żadnych ustaleń, co do faktycznej możliwości wykonania przez Spółkę wobec tych osób obowiązku, o którym mowa wyżej, z uwzględnieniem konieczności osiągnięcia rzeczywistego celu jego realizacji. Organ nie ustalił bowiem, czy istnieje możliwość faktycznego dotarcia informacji, o których mowa w powołanych przepisach rozporządzenia 2016/679 do adresata będącego w tym przypadku osobą fizyczną, która nie prowadzi już działalności gospodarczej (w decyzji określona jako osoba fizyczna prowadząca w przeszłości jednoosobową działalność gospodarczą).
Wyrok WSA sygn. II SA/WA 1030/19