Source: http://legeartis-mkl.pl/news/600/61/Ponad-201-tys-zl-kary-za-naruszenie-RODO/
Timestamp: 2020-01-25 16:28:03
Legal References Found: art. 7
 art. 12
 art. 5
 art. 17
 art. 6
 art. 5
 art. 24

Document Content:
Ponad 201 tys. zł kary za naruszenie RODO
Spółka ClickQuickNow prowadzi działalność gospodarczą w przedmiocie pozyskiwania danych internautów na cele marketingowe. Zgodnie z ustaleniami Prezesa UODO 98 % przetwarzanych danych osobowych pochodziło z konkursów, następnie dane z formularzy były przekazywane na rzecz innych podmiotów.
Z ustaleń dokonanych w postępowaniu Prezesa UODO wynika, że procedura wycofania zgody na przetwarzanie danych osobowych w spółce przedstawia się następująco:
1) klikając w link „odwołanie zgody” użytkownik przekierowywany jest na stronę internetową, gdzie otrzymuje pytanie o powód rezygnacji wraz ze wskazaniem odpowiedzi : „A: otrzymuję reklamy, które mnie nie interesują”, „B: otrzymuję reklamy za często”,
2) po udzieleniu odpowiedzi na pytanie użytkownik zostaje przekierowany na stronę, na której otrzymuje odpowiedź : „Pani odwołanie zgody dziś […]! Pod tym komunikatem znajduje się zapis: „Dziękuję za odpowiedź! W takiej sytuacji informuję, że przysługuje Pani prawo dostępu do danych, ich usunięcia, ograniczenia przetwarzania, przenoszenia, wniesienia sprzeciwu, żądania sprostowania oraz cofnięcia zgód w każdym czasie pod adresem […], w tym również prawo do złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych. Z mojej strony to wszystko. […] […],
3) zatem ostatnim krokiem, by zrealizować prawo do wycofania zgody jest wysłanie maila na odpowiedni adres wraz z żądaniem wycofania zgody na przetwarzanie.
Zdaniem spółki powyższa procedura nie jest bardziej skomplikowana, niż procedura uzyskania zgody na przetwarzanie danych osobowych. Natomiast zdaniem Prezesa UODO brak odpowiedzi na pytanie o powód rezygnacji uniemożliwia osobie, której dane dotyczą skuteczne odwołanie zgody. Ponadto, z ustaleń organu wynika, że komunikat jaki otrzymuje użytkownik po udzieleniu odpowiedzi: „Pani odwołanie zgody dziś […] !” wprowadza w błąd, ponieważ użytkownicy są przekonani, że już dokonali wycofania zgody, a w rzeczywistości to nie nastąpiło. Dodatkowo, w związku z komunikatem o potrzebie wysłania maila spółka otrzymuje wiele wiadomości niezawierających treści żądania, na które w żaden sposób nie reaguje, tłumacząc się, że „Spółka nie może realizować żądań osoby niezidentyfikowanej, a ponadto nie wiadomo o co adresat e-maila wnosi.” Zdaniem PUODO „puste” maile „zawierają takie informacje jak: adres e-mail nadawcy, datę i godzinę oraz wskazanie adresata”, co powoduje, że „określenie adresata w taki sposób wskazuje świadome działania nadawcy takiego e-maila, tzn., że odwołuje on zgodę.”
W decyzji Prezes UODO wskazał, że uchybienia polegają na:
1. Niezapewnieniu osobom, których dane dotyczą łatwego skorzystania z ich uprawnienia w zakresie wycofania zgody na przetwarzanie ich danych osobowych (naruszenie art. 7 ust. 3 oraz art. 12 ust. 1 rozporządzenia 2016/679).
2. Naruszeniu zasad przejrzystości i rzetelności w procesie odwołania zgody, poprzez kierowanie do osób, których dane dotyczą sprzecznych ze sobą komunikatów, co skutkuje tym, że osoba odwołująca zgodę wprowadzana jest w błąd i nie może odwołać zgody (naruszenie art. 5 ust. 1 lit. a rozporządzenia 2016/679).
3. Naruszeniu prawa do usunięcia danych (prawo do bycia zapomnianym), poprzez stosowanie procesu odwołania zgody, który utrudnia skuteczne odwołanie zgody – naruszenie art. 17 ust. 1 lit. b rozporządzenia 2016/679.
4. Przetwarzaniu bez podstawy prawnej danych osób, które nie są klientami Spółki (naruszenie art. 6 ust. 1 rozporządzenia 2016/679 oraz naruszenie zasady zgodności przetwarzania z prawem, o której mowa w art. 5 ust. 1 lit. a rozporządzenia 2016/679).
5. Niezastosowaniu odpowiednich środków technicznych i organizacyjnych, które umożliwiałyby osobie, której dane dotyczą skuteczne skorzystanie z jej praw (naruszenie art. 24 ust 1 rozporządzenia 2016/679).
Spółka nie zgadza się w wielu miejscach z argumentacją Prezesa UODO i zamierza złożyć skargę na decyzję do sądu administracyjnego.
Treść decyzji można znaleźć tutaj: https://uodo.gov.pl/decyzje/ZSPR.421.7.2019
Mikołaj Milecki
Tagi: kara za naruszenie RODO, decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia 16 października 2019 r. ZSPR.421.7.2019, prawo do wycofania zgody na przetwarzanie danych osobowych,