W marcu 2019 r. Prezes Urzędu Ochrony Danych Osobowych nałożył pieniężną karę administracyjną w wysokości 943 tys. zł. za niedopełnienie przez spółkę Bisnode obowiązku informacyjnego względem 3,6 mln osób prowadzących aktualnie działalność gospodarczą i 2,33 mln osób, którzy taką działalność zawiesili. Spółka Bisnode odwołała się od nałożonej kary i skierowała sprawę do sądu.

 

Wyrok

 Wojewódzki Sąd Administracyjny w Warszawie opublikował uzasadnienie wyroku w sprawie dotyczącej odwołania od pierwszej głośnej kary nałożonej przez Prezesa Urzędu Ochrony Danych Osobowych dla spółki Bisnode za nieprzestrzeganie przepisów RODO.

WSA jednoznacznie stwierdził, iż obowiązek informacyjny należy wykonać wobec osób aktualnie prowadzących działalność gospodarczą oraz takich, które ją zawiesiły. W ocenie sądu spółka miała możliwość zrealizowania określonego w art. 14 RODO obowiązku informacyjnego względem tych osób, z uwagi na fakt, iż posiadała ich dane adresowe. Podkreślenia w tym miejscu wymaga fakt, że w ocenie sądu obowiązek informacyjny nie musi zostać natomiast spełniony wobec osób, które nie prowadzą już działalności gospodarczej.

Sąd podkreślił, że samo zamieszczenie obowiązku informacyjnego na stronie internetowej spółki nie może zostać uznane za wystarczające. Doprecyzował, iż nie można przyjąć założenia, aby każda osoba fizyczna prowadząca jednoosobową działalność gospodarczą oraz osoba fizyczna, która zawiesiła prowadzenie jednoosobowej działalności gospodarczej, których dane osobowe spółka przetwarza, miała wiedzę choćby o nazwie spółki, jej siedzibie czy o możliwości przetwarzania swoich danych osobowych przez tę spółkę dla celów komercyjnych (a zatem celów innych niż cel ujawnienia danych w publicznie dostępnych rejestrach, z których dane pozyskano). Okoliczność, że dane i informacje udostępniane w Centralnej Ewidencji i  Informacji o Działalności Gospodarczej są jawne i każdy ma do nich dostęp, nie oznacza, że można dowolnie je przetwarzać dla własnych celów.

Bardzo istotnym zagadnieniem analizowanym przez sąd w przedmiotowej sprawie była ocena „niewspółmiernie dużego wysiłku” ujęta jako przesłanka wyłączająca konieczność spełnienia obowiązku informacyjnego względem osób, których dane spółka pobrała z publicznego rejestru. Zdaniem sądu niewspółmiernie duży wysiłek nie może być utożsamiany z wysokością kosztów, jakie spółka zmuszona będzie ponieść w związku z koniecznością dopełnienia obowiązku informacyjnego. Zarówno kwestie organizacyjne jak i finansowe nie przeważają nad prawami osób fizycznych, których dane osobowe przetwarzane są przez spółkę.  

W ocenie Sądu w art. 14 ust. 5 lit b) RODO – gdy mowa o niewspółmiernie dużym wysiłku – chodzi o sytuację, kiedy udzielenie informacji, o których mowa w art. 14 ust. 1 i 2 RODO, jest obiektywnie możliwe, ale niebywale utrudnione (graniczące z brakiem możliwości udzielenia informacji). Spółka, aby udzielić tych informacji, zmuszona byłby do podjęcia szeregu działań, które zmierzałyby dopiero do tego, aby udzielenie informacji stało się możliwe. Zakres tych działań (czynności) musiałby mieć przy tym olbrzymią skalę.

Wnioski

Analiza opisanego powyżej uzasadnienia wyroku nasuwa jeden wniosek –  prawa osób, których dane dotyczą są nadrzędne nad interesem podmiotu będącego administratorem danych osobowych, zwłaszcza interesem finansowym.

Dodatkowo, należy zwrócić uwagę na jeszcze jeden, istotny wniosek wynikający z przytoczonego uzasadnienia, mianowicie fakt przyznania przedsiębiorcom tej samej ochrony wynikającej z RODO co konsumentom. Do tej pory praktyka rynkowa pokazywała zupełnie odwrotny trend, skupiano się bowiem w dużo większym stopniu na ochronie praw konsumentów niż na przedsiębiorcach prowadzących jednoosobowe działalności czy tych wpisanych do KRS.

Wyrok WSA w Warszawie z 11 grudnia 2019 r., II SA/WA 1030/19.

Karolina Żebrowska

Prawnik w Kancelarii Prawnej M. Topyła Sp. k.