Sąd częściowo uchylił decyzję prezesa Urzędu Ochrony Danych Osobowych w sprawie milionowej kary dla wywiadowni Bisnode. Prawniczej batalii to nie kończy
Nikt nie wygrał, nikt nie przegrał, kary nie ma, ale może będzie — taki jest aktualny stan prawniczej batalii między wywiadownią gospodarczą Bisnode a Urzędem Ochrony Danych Osobowych (UODO). W połowie marca prezes UODO nałożył na Bisnode 0,94 mln zł kary za naruszenie przepisów rozporządzenia RODO. Chodziło o to, że wywiadownia przetwarzała dane osobowe z publicznie dostępnych baz, takich jak Centralna Ewidencja i Informacja o Działalności Gospodarczej (CEIDG).
Zdaniem UODO w związku z tym spółka powinna poinformować listownie o przetwarzaniu danych wszystkie osoby, o których pobrała wiadomości z publicznych baz. Zrobiła to jednak tylko wobec 90 tys. osób, podczas gdy przetwarzaniem objęła 6 mln rekordów z CEIDG, z czego 3 mln dotyczyły osób, które już nie prowadzą działalności gospodarczej. Poinformowani zostali ci, których adresy mejlowe widniały w ewidencji. Ci, którzy podawali tylko numery telefonów czy adresy korespondencyjne, poinformowani nie zostali. Bisnode od początku nie zgadzało się z karą i zapowiadało jej zaskarżenie. We wtorek Wojewódzki Sąd Administracyjny (WSA) w Warszawie częściowo przychylił się do argumentacji spółki i — również częściowo — uchylił decyzję prezesa UDOO.
— Uchylenie obejmuje część decyzji w zakresie obejmującym karę pieniężną oraz nakaz spełnienia obowiązku informacyjnego wobec podmiotów nieaktywnych wpisanych do CEIDG. Oznacza to, że Bisnode nie jest zobowiązane do uiszczenia zasądzonej w marcu kary w wysokości bliskiej 1 mln zł oraz że prezes UODO musi zbadać, czy Bisnode ma realną możliwość spełnienia obowiązku informacyjnego wobec przedsiębiorców nieaktywnych w CEIDG — mówi Andrzej Osiński, prezes Bisnode.
Rozbieżne interpretacje
UODO tymczasem podkreśla, że sąd... przyznał rację urzędowi.
„WSA w Warszawie w sprawie spółki Bisnode uznał, że podmiot pozyskujący dane osobowe przedsiębiorców z jawnych rejestrów w celu świadczenia usług komercyjnych jest zobligowany spełnić obowiązek informacyjny bezpośrednio wobec tych osób, tym samym zgodził się z decyzją prezesa UODO w sprawie nałożenia na spółkę kary pieniężnej” — podał UODO w komunikacie.
Urząd przyznaje jednak, że kwestia kary będzie musiała zostać rozstrzygnięta na nowo.
„Oddalenie skargi Bisonde w części dotyczącej osób, które prowadzą aktualnie lub mają zawieszoną działalność gospodarczą, i uchylenie decyzji UODO w części dotyczącej osób prowadzących taką działalność w przeszłości oznacza, iż zmieniła się liczba podmiotów danych dotkniętych naruszeniem. Liczba ta miała znaczenie dla wymierzenia kary oraz określenia jej wysokości. Z tego powodu, zgodnie z wyrokiem, prezes UODO będzie musiał ponownie przeanalizować te kwestie w postępowaniu administracyjnym. Wyrok nie jest prawomocny” — poinformował UODO w komunikacie.
W uzasadnieniu sąd stwierdził, że UODO nie sprawdził, na ile Bisnode miało realną możliwość spełnienia obowiązku informacyjnego wobec nieaktywnych przedsiębiorców, dlatego zasądzona w marcu kara jest za wysoka. Część wyroku dotycząca obowiązku informacyjnego wobec podmiotów aktywnych w CEIDG pozostała jednak w mocy, więc dla Bisnode batalia sądowa się nie kończy.
— W najbliższych dniach Bisnode podejmie decyzję o złożeniu skargi kasacyjnej do Naczelnego Sądu Administracyjnego w pozostałej części zaskarżonej decyzji prezesa UODO, to jest spełnienia obowiązku informacyjnego wobec podmiotów aktywnych z CEIDG — zapowiada Andrzej Osiński.
Brak szkód
Przed sądem prawnicy Bisnode argumentowali, że spółka przetwarza dane osobowe, które są dostępne publicznie dla każdego i w każdym czasie, więc ryzyko naruszenia praw związanych z przetwarzaniem danych osobowych jest bardzo niskie, a wysiłek w celu poinformowania wszystkich osób o przetwarzaniu ich danych byłby do tego niewspółmierny.
— Decyzja prezesa UODO z 15 marca wyraźnie potwierdza, że żadne szkody w tym zakresie nie zostały wyrządzone. Wynika to z faktu, że przedsiębiorca umieścił swoje dane kontaktowe dotyczące prowadzonej działalności gospodarczej w rejestrze CEIDG, a jest on publicznie dostępny dla całego świata. Bisnode, jak również wiele innych podmiotów w Unii Europejskiej przetwarza dane publicznie dostępne i robi to zgodnie z zaleceniami Europejskiej Rady Ochrony Danych, jak również ze stanowiskiem zajmowanym przez stowarzyszenia branżowe w Europie — mówi prezes Bisnode.
Unijne różnice
Wywiadownia stoi na stanowisku, że do żadnego naruszenia przepisów nie doszło.
— Widzimy, że już kilka spośród europejskich organów ochrony danych ma odmienne zdanie niż polski organ. Jesteśmy zaskoczeni tym, że prezes UODO w ogóle nie bierze tego po uwagę, mimo że RODO miało być stosowane jednolicie we wszystkich państwach UE — mówi Andrzej Osiński.
Podkreśla, że już w kilku krajach Unii Europejskiej organy ochrony danych za dobrą praktykę uznały brak konieczności wysyłki listu w wersji papierowej do każdej osoby.
— Zaakceptowały, że ten obowiązek można spełnić poprzez publikację odpowiedniej treści ogłoszenia na stronach internetowych. Przyjmując takie podejście organów innych niż polski, Bisnode wywiązał się na polskim gruncie z obowiązku informacyjnego — uważa Andrzej Osiński.
Sprawdź program konferencji "RODO w marketingu", 29 stycznia 2020, Warszawa >>
