Source: https://www.e-regulaminy.pl/2019/03/28/pierwsza-kara-rodo/
Timestamp: 2019-06-17 07:20:17
Legal References Found: art. 14
 art. 14
 art. 14
 art. 14
 art. 14
 art. 14

Art. 14
 Art. 29
 art. 14
 art. 14
 art. 14
 art. 14
 art. 14
 art. 14

Document Content:
Pierwsza kara RODO - e-Regulaminy.pl
Od wejścia w życie Rozporządzenia 679/2016 (RODO), w Polsce nie zapadła do tej pory ani jedna decyzja organu nadzorczego, nakładająca karę finansową. Mimo, że przepisy Rozporządzenia wzbudziły szczególne poruszenie w naszym kraju, to właśnie nasz organ nadzorczy wykazał się nadzwyczajną powściągliwością. Dla porównania, w tym samym czasie niemiecki odpowiednik UODO wydał już ok. 65 decyzji.
Ta sytuacja właśnie uległa zmianie. 15 marca br. Urząd Ochrony Danych Osobowych nałożył pierwszą karę finansową za naruszenie przepisów Rozporządzenia 679/2016 (RODO). Poruszenie „branży” budzi nie tylko przesłanka nałożenia rzeczonej kary, ale również sama kwota. Cytując sentencję decyzji: „943.470,00 PLN (słownie: dziewięćset czterdzieści trzy tysiące czterysta siedemdziesiąt złotych)”. Zatem prawie 1 milion złotych!
Ogólnie - czego dotyczy naruszenie?
Kara została nałożona za brak realizacji obowiązku informacyjnego. Choć należy przyznać, w szczególnej (z perspektywy przeciętnego przedsiębiorcy) odsłonie. Ukarano podmiot, który w obrębie swojego serwisu internetowego agregował dane osobowe przedsiębiorców. Bez ich wiedzy, ze źródeł trzecich. Naturalnie, w tej sytuacji powinien poinformować osoby, których dotyczą dane o tym fakcie, na podstawie art. 14 RODO. Dodatkowo powinien udzielić innych, wyczerpujących informacji. Po co? Na przykład, aby podmioty danych mogły skorzystać ze swoich uprawnień, choćby sprzeciwiając się takiemu przetwarzaniu. Tymczasem jak było?
Szczegóły – stan faktyczny ustalony przez UODO
Przyjrzyjmy się zatem bliżej temu, co ustalił UODO:
Prezes UODO, na podstawie zebranego materiału dowodowego, ustalił następujący stan faktyczny sprawy. (…)
2. W systemie informatycznym o nazwie „N[…]” (zwanym dalej: „system N[…]”) Spółka przetwarza dane osobowe osób fizycznych prowadzących działalność gospodarczą, które zostały pozyskane ze źródeł ogólnie dostępnych, w tym z rejestrów publicznych, m.in. z Centralnej Ewidencji i Informacji o Działalności Gospodarczej, z Bazy REGON Głównego Urzędu Statystycznego, z Monitora Sądowego i Gospodarczego ([…]).
3. W bazie danych „systemu N[…]” znajdują się dane dotyczące ok. 3,59 mln osób fizycznych prowadzących aktualnie jednoosobową działalność gospodarczą oraz osób fizycznych, które zawiesiły tę działalność oraz 2,33 mln osób fizycznych prowadzących w przeszłości działalność gospodarczą ([…]).
5. W dniu 27 kwietnia 2018 r., tj. przed dniem rozpoczęcia obowiązywania rozporządzenia 2016/679, Spółka wysłała informację o przetwarzaniu danych osobowych zatytułowaną „[…] – RODO – obowiązek informacyjny” na wszystkie adresy poczty elektronicznej posiadane w bazie danych systemu N[…] przypisane do przedsiębiorców prowadzących jednoosobową działalność gospodarczą ([…]). W trakcie ww. kampanii informacyjnej Spółka wysłała 902 837 wiadomości elektronicznych ([…]).
6. Spółka zamieściła także na swojej stronie internetowej o adresie www.[…].pl, w zakładce „Dane i prywatność”/”Informacja o przetwarzaniu danych osobowych”, informację o przetwarzaniu danych osobowych przez X. ([…]). Spółka opublikowała również na swojej stronie internetowej www.[…].pl, w zakładce „Dane i prywatność” / Informacja o przetwarzaniu danych osobowych”, pod adresem https://www.[…].pl/rodo/, pełną klauzulę informacyjną, odpowiadającą wymogom art. 14 ust. 1 i ust. 2 rozporządzenia 2016/679.
7. Spółka podjęła decyzję, aby nie realizować obowiązku informacyjnego, poprzez wysłanie krótkich wiadomości tekstowych (SMS) wobec osób, których dane pozyskała ze źródeł publicznie dostępnych (w tym osób fizycznych prowadzących działalność gospodarczą), ponieważ nie posiada numerów telefonów w odniesieniu do każdej z tych osób, a także ze względu na wysokie koszty takiej akcji. Ze względu na wysokie koszty Spółka nie zdecydowała się również na spełnienie tego obowiązku drogą tradycyjnej korespondencji wysłanej do osób, których dane przetwarza ([…]).
9. Ponadto, z wyjaśnień Spółki wynika, że realizacja obowiązku informacyjnego w jego podstawowej formie (tj. indywidualnego kontaktu z każdą osobą, której dane dotyczą) powodowałaby po stronie Spółki „niewspółmierny wysiłek”, o którym mowa w art. 14 ust. 5 lit. b rozporządzenia 2016/679, rozumiany jako obciążenie organizacyjne (tzn. konieczność oddelegowania pracowników i zasobów rzeczowych - komputerów, urządzeń biurowych - do realizacji wyłącznie tego zadania) oraz finansowe (tzn. koszt druku, przygotowania do wysyłki i nadania, w tym papieru, tonera, kopert, znaczków pocztowych, obsługi zwrotów korespondencji, ewentualnie wynagrodzenie podmiotów, którym Spółka mogłaby zlecić wykonanie tego zadania), które w krytyczny sposób zakłóciłyby funkcjonowanie Spółki w stopniu, który mógłby wiązać się z koniecznością zakończenia prowadzenia działalności w Polsce.
Widzimy więc, iż ukarany podmiot agregował dane i nie dopełnił obowiązku informacyjnego. Co istotne jednak, zrealizował go w części obejmującej te rekordy, które nie zawierały adresu e-mail.
Umieścił także właściwe informacje na swojej stronie internetowej. Na tym jednak poprzestał, uznając iż dalsza realizacja obowiązku informacyjnego stanowi „niewspółmierny wysiłek”, który to stanowi przesłankę wyłączającą obowiązek udzielenia obowiązku informacyjnego na podstawie art. 14 RODO.
Po przeanalizowaniu stanu faktycznego, wydając przełomową decyzję, UODO przytoczył oczywistą treść art. 14 RODO, stwierdził brak realizacji określonego w nim obowiązku informacyjnego oraz orzekł że:
Zatem ocena jest niekorzystna dla podmiotu ukaranego. Nie zaszły bowiem – zdaniem UODO – przesłanki wyłączające stosowanie obowiązku informacyjnego z art. 14 RODO. Dlaczego?
Niewspółmiernie duży wysiłek – at. 14 RODO
Art. 14 RODO nakłada obowiązek udzielenia oznaczonych informacji osobom, których dane zostały zebrane z innych źródeł niż te osoby. Jednocześnie zawiera on wyłączenie. Obowiązek informacyjny nie musi byś stosowany m. in. wówczas, gdy wymaga to „niewspółmiernie dużego wysiłku”.
Łatwo zauważyć, że pojęcie to jest nieostre. Podobnie jak w uprzednim stanie prawnym. Dlatego przy ocenie możliwości jego zastosowania raczej należy skłaniać się ku wykładni zawężającej. Podmiot ukarany rzeczoną karą postanowił jednak zastosować wykładnię rozszerzającą. Cóż, jak widać decyzja kosztowała prawie milion złotych – przynajmniej w rozumieniu UODO.
Jak zostało to ocenione przez UODO i jakie wnioski możemy przyjąć odnośnie wykładni pojęcia „niewspółmiernie dużego wysiłku”? W przełomowej decyzji znajdują się wymienione poniżej argumenty:
Wytyczne Grupy Roboczej Art. 29 (tak, tak, ona wciąż pozostaje wyrocznią) dotyczące konieczności „czynnego powiadamiania”.
Zakres danych osobowych, którymi dysponowała ukarana spółka, w tym adresy korespondencyjne i numery telefonów. Zdaniem organu, dysponując tymi danymi, spółka mogła zrealizować obowiązek informacyjny.
Podsumowując, o tym czy udzielenie informacji z art. 14 RODO decyduje zakres przetwarzanych danych. Jeżeli pozwala on na dotarcie do podmiotów danych – nie ma zmiłuj.
Dodatkowo, wydając przedmiotową decyzję, organ zauważył także, że:
Spółka podjęła świadomą decyzję (spowodowaną chęcią uniknięcia dodatkowych nakładów finansowych) o niezrealizowaniu wobec osób fizycznych prowadzących aktualnie (w tym aktywnych, zawieszonych) lub w przeszłości jednoosobową działalność gospodarczą obowiązku, o którym mowa w art. 14 ust. 1-3 rozporządzenia 2016/679 „ze względu na milionowe koszty” ([…]), co oznacza, że należy przypisać jej umyślność w naruszeniu wskazanych przepisów prawa (umyślny lub nieumyślny charakter naruszenia);
usprawiedliwianie przez Spółkę niewykonania obowiązku wynikającego z art. 14 ust. 1 - 3 rozporządzenia 2016/679 wysokimi kosztami finansowymi, aż do próby przerzucenia odpowiedzialności - gdyby go wykonała - za ewentualny spadek jej konkurencyjności na rynku, czy też utratę płynności finansowej, aż do konieczności zakończenia prowadzonej działalności, stanowi okoliczność zdecydowanie działającą na niekorzyść Spółki.
W ocenie Prezesa UODO kolejną okolicznością obciążającą jest motywacja, którą kierowała się Spółka decydując, że wystarczającym sposobem przekazania informacji, o których mowa w art. 14 ust 1 i 2 rozporządzenia 2016/679, przedsiębiorcom, których adresami e-mail nie dysponuje, będzie opublikowanie ich na swojej stronie internetowej. Spółka nie ukrywa, że za tą decyzją stała kalkulacja kosztów związanych z bezpośrednimi formami dotarcia do osób, których dane przetwarza, a więc chęć uniknięcia dodatkowych związanych z tym kosztów. Spółka przy tym ma świadomość, że prawidłową, gwarantującą odpowiedni poziom zabezpieczenia praw i wolności podmiotów danych, formą podania im wymaganych informacji jest bezpośredni kontakt zainicjowany przez Spółkę.
Rezygnacja z bezpośredniego kontaktu tylko z powodu związanych z tym kosztów należy ocenić negatywnie, szczególnie, że operacje na danych osobowych stanowią przedmiot podstawowej, czysto komercyjnej, profesjonalnej, wieloletniej działalności Spółki. Od Spółki, jako profesjonalisty w tego rodzaju działalności, należy wymagać takiego ukształtowania strony biznesowej swojej działalności, które uwzględniałoby wszelkie koszty niezbędne dla zapewnienia jej zgodności z przepisami prawa (w tym przypadku z przepisami o ochronie danych osobowych).
A zatem znaczenie miała okoliczność podjęcia „akcji informacyjnej” z art. 14 i jej przerwanie właśnie z uwagi na koszty, pomimo świadomości że co do zasady obowiązek informacyjny powinien być spełniony.
Ponadto, koszty realizacji obowiązku informacyjnego nie wpływają – zdaniem organu – na możliwość zastosowania wyłączenia obowiązku informacyjnego z powołaniem na „niewspółmiernie duży wysiłek.
Jest to istotna wykładnia, którą na pewno będziemy uwzględniać podczas warsztatów z realizacji obowiązku informacyjnego, realizowanych w ramach organizowanych przez nas Kursach dla Inspektorów Ochrony Danych.
Decyzja wydana przez UODO została zanonimizowana (choć wg niektórych z miernym skutkiem). Niezależnie, podmiot na który nałożono sankcję ujawnił się w formie oficjalnego oświadczenia. Dostępne jest ono tutaj.
Spółka uważa, iż zrealizowała obowiązek informacyjny określony w art. 14 RODO, poprzez umieszczenie informacji na swoich stronach internetowych.
Spółka kwestionuje wykładnię UODO w przedmiocie proporcjonalnego wysiłku, wskazując że wysłała obowiązek informacyjny drogą elektroniczną (w zakresie rekordów, które to umożliwiały), a w pozostałym zakresie (tradycyjne adresy pocztowe i numery telefonów) było zbyt kosztowne i jako takie nieproporcjonalne.
Realizacja obowiązku informacyjne przez kanały cyfrowe, pocztą elektroniczną lub umieszczanie ogłoszeń jest bardziej pożądane zarówno przez odbiorców, jak i wysyłających.
Jaki będzie tej historii finał?
Spółce przysługuje prawo odwołania się od decyzji UODO. Wszystko wskazuje na to, że zostanie ono wykorzystane. Finalnie zatem, o utrzymaniu decyzji w mocy decydować będzie Sąd Administracyjny. Przed składem orzekającym stoi bezprecedensowe wyzwanie. Orzeczenie w niniejszej sprawie może bowiem mieć wpływ na losy licznych na rynku podmiotów, agregujących dane.
Jak licznych? Wystarczy wpisać dane dowolnej jednoosobowej działalności gospodarczej w Google.
Pełna treść decyzji jest do pobrania tutaj.
Kontrola PUODO / Kontrola RODO – co robić?
Chcesz wiedzieć, jak przygotować się do kontroli PUODO / kontroli RODO? Przyjdź na nasze warsztaty RODO, podczas których omawiamy postępowanie kontrolne i naruszeniowe. Działamy na podstawie konkretnych pism organu nadzorczego, w konkretnych sprawach.
Opieramy się także na doświadczeniu z kontroli uprzedniego GIODO, w których uczestniczyliśmy.
← „Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców.”