Wojewódzki Sąd Administracyjny w Warszawie w grudniu 2019 r. wydał wyrok w sprawie pierwszej kary finansowej nałożonej przez Prezesa Urzędu Ochrony Danych Osobowych (PUODO) na podstawie przepisów RODO (II SA/WA 1030/19). Kilka dni temu ukazało się uzasadnienie tego wyroku.
W rozpoznawanej przez WSA sprawie spółka, która przetwarzała dane osobowe osób fizycznych pozyskane z publicznych rejestrów (CEiDG) nie poinformowała o tym podmiotów tych danych w sposób tradycyjny, tj. poprzez listowną wysyłkę odpowiedniej informacji. Spółka argumentowała, iż z uwagi na treść art. 14 ust. 5 lit. b RODO nie była do tego zobowiązana. Zgodnie z tym przepisem informacja o przetwarzaniu danych osobowych nie musi być przekazywana podmiotowi tych danych w zakresie, w jakim udzielenie takiej informacji wymagałoby niewspółmiernie dużego wysiłku od administratora. Poprzez niewspółmiernie duży wysiłek Spółka rozumie obciążenia organizacyjne oraz finansowe, w tym koszty druku, przygotowania do wysyłki i nadania, koszty papieru, tonerów, kopert i znaczków pocztowych, obsługi zwrotów korespondencji, ewentualnie wynagrodzenie podmiotów, którym mogłaby zlecić wykonanie tego zadania.
W ocenie Sądu pojęcie niewspółmiernie dużego wysiłku nie może być jednak utożsamiane z wysokością kosztów, jakie administrator musiałby ponieść. Sąd podkreślił, że ani kwestie organizacyjne, ani kwestie finansowe nie przeważają nad prawami osób fizycznych, których dane osobowe są przez administratora przetwarzane w celach komercyjnych. Fakt, że każdy ma prawo i możliwość zapoznania się z danymi z rejestru CEIDG, nie jest równoznaczny z tym, że osoby fizyczne prowadzące jednoosobową działalność gospodarczą nie mają prawa do ochrony swoich danych osobowych, w tym kontroli ich przetwarzania.
Sąd wyjaśnił jednocześnie, że przez niewspółmiernie duży wysiłek, o którym mowa we wspomnianym przepisie RODO należy rozumieć sytuację, kiedy udzielenie informacji o zakresie i sposobie przetwarzania danych jest obiektywnie możliwe, ale niebywale utrudnione (graniczące z brakiem możliwości udzielenia informacji). Sytuacja wymagająca podjęcia szeregu czynności na olbrzymią skalę, które dopiero mogłyby doprowadzić do tego, aby udzielenie informacji stało się możliwe. W ocenie Sądu wysiłek ten musiałby być tak znaczny, żeby mógł przeważyć nad prawem podmiotu do bycia poinformowanym. Sąd podkreślił, że interpretacja przepisu zaprezentowana przez spółkę przeczyłaby istocie ochrony danych osób fizycznych w związku z przetwarzaniem ich danych osobowych. Interes finansowy administratora nie jest i nie może być wartością przeważającą nad prawem do uzyskania przez osobę fizyczną informacji wskazanych przez RODO. (APF)
Potrzebujesz wsparcia z zakresu RODO?
Jeżeli potrzebujesz wsparcia w zakresie RODO nasi prawnicy służą pomocą. SKONTAKTUJ SIĘ Z NAMI!