Zdaniem UODO w związku z tym spółka powinna poinformować listownie o przetwarzaniu danych wszystkie osoby, o których pobrała wiadomości z publicznych baz. Zrobiła to jednak tylko wobec 90 tys. osób, podczas gdy przetwarzaniem objęła 6 mln rekordów z CEIDG, z czego 3 mln dotyczyły osób, które już nie prowadzą działalności gospodarczej. Poinformowani zostali ci, których adresy mejlowe widniały w ewidencji. Ci, którzy podawali tylko numery telefonów czy adresy korespondencyjne, poinformowani nie zostali. Bisnode od początku nie zgadzało się z karą i zapowiadało jej zaskarżenie. We wtorek Wojewódzki Sąd Administracyjny (WSA) w Warszawie częściowo przychylił się do argumentacji spółki i — również częściowo — uchylił decyzję prezesa UDOO.

— Uchylenie obejmuje część decyzji w zakresie obejmującym karę pieniężną oraz nakaz spełnienia obowiązku informacyjnego wobec podmiotów nieaktywnych wpisanych do CEIDG. Oznacza to, że Bisnode nie jest zobowiązane do uiszczenia zasądzonej w marcu kary w wysokości bliskiej 1 mln zł oraz że prezes UODO musi zbadać, czy Bisnode ma realną możliwość spełnienia obowiązku informacyjnego wobec przedsiębiorców nieaktywnych w CEIDG — mówi Andrzej Osiński, prezes Bisnode.

Rozbieżne interpretacje

UODO tymczasem podkreśla, że sąd... przyznał rację urzędowi.

„WSA w Warszawie w sprawie spółki Bisnode uznał, że podmiot pozyskujący dane osobowe przedsiębiorców z jawnych rejestrów w celu świadczenia usług komercyjnych jest zobligowany spełnić obowiązek informacyjny bezpośrednio wobec tych osób, tym samym zgodził się z decyzją prezesa UODO w sprawie nałożenia na spółkę kary pieniężnej” — podał UODO w komunikacie.

Urząd przyznaje jednak, że kwestia kary będzie musiała zostać rozstrzygnięta na nowo.

„Oddalenie skargi Bisonde w części dotyczącej osób, które prowadzą aktualnie lub mają zawieszoną działalność gospodarczą, i uchylenie decyzji UODO w części dotyczącej osób prowadzących taką działalność w przeszłości oznacza, iż zmieniła się liczba podmiotów danych dotkniętych naruszeniem. Liczba ta miała znaczenie dla wymierzenia kary oraz określenia jej wysokości. Z tego powodu, zgodnie z wyrokiem, prezes UODO będzie musiał ponownie przeanalizować te kwestie w postępowaniu administracyjnym. Wyrok nie jest prawomocny” — poinformował UODO w komunikacie.

W uzasadnieniu sąd stwierdził, że UODO nie sprawdził, na ile Bisnode miało realną możliwość spełnienia obowiązku informacyjnego wobec nieaktywnych przedsiębiorców, dlatego zasądzona w marcu kara jest za wysoka. Część wyroku dotycząca obowiązku informacyjnego wobec podmiotów aktywnych w CEIDG pozostała jednak w mocy, więc dla Bisnode batalia sądowa się nie kończy.

— W najbliższych dniach Bisnode podejmie decyzję o złożeniu skargi kasacyjnej do Naczelnego Sądu Administracyjnego w pozostałej części zaskarżonej decyzji prezesa UODO, to jest spełnienia obowiązku informacyjnego wobec podmiotów aktywnych z CEIDG — zapowiada Andrzej Osiński.

Brak szkód

Przed sądem prawnicy Bisnode argumentowali, że spółka przetwarza dane osobowe, które są dostępne publicznie dla każdego i w każdym czasie, więc ryzyko naruszenia praw związanych z przetwarzaniem danych osobowych jest bardzo niskie, a wysiłek w celu poinformowania wszystkich osób o przetwarzaniu ich danych byłby do tego niewspółmierny.

— Decyzja prezesa UODO z 15 marca wyraźnie potwierdza, że żadne szkody w tym zakresie nie zostały wyrządzone. Wynika to z faktu, że przedsiębiorca umieścił swoje dane kontaktowe dotyczące prowadzonej działalności gospodarczej w rejestrze CEIDG, a jest on publicznie dostępny dla całego świata. Bisnode, jak również wiele innych podmiotów w Unii Europejskiej przetwarza dane publicznie dostępne i robi to zgodnie z zaleceniami Europejskiej Rady Ochrony Danych, jak również ze stanowiskiem zajmowanym przez stowarzyszenia branżowe w Europie — mówi prezes Bisnode.

Unijne różnice

Wywiadownia stoi na stanowisku, że do żadnego naruszenia przepisów nie doszło.

— Widzimy, że już kilka spośród europejskich organów ochrony danych ma odmienne zdanie niż polski organ. Jesteśmy zaskoczeni tym, że prezes UODO w ogóle nie bierze tego po uwagę, mimo że RODO miało być stosowane jednolicie we wszystkich państwach UE — mówi Andrzej Osiński.

Podkreśla, że już w kilku krajach Unii Europejskiej organy ochrony danych za dobrą praktykę uznały brak konieczności wysyłki listu w wersji papierowej do każdej osoby.

— Zaakceptowały, że ten obowiązek można spełnić poprzez publikację odpowiedniej treści ogłoszenia na stronach internetowych. Przyjmując takie podejście organów innych niż polski, Bisnode wywiązał się na polskim gruncie z obowiązku informacyjnego — uważa Andrzej Osiński.

Sprawdź program konferencji "RODO w marketingu", 29 stycznia 2020, Warszawa >>