Pierwszy wyrok w sprawie zaskarżonej kary finansowej za naruszenie RODO w Polsce

• 13.12.2019

• Autor: Michał Madecki

• Sankcje, kary finansowe RODO

Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 11 grudnia 2019 r., sygn. II SA/WA 1030/19, częściowo uchylił decyzję UODO w sprawie spółki Bisnode (o której informowaliśmy pod linkiem: https://rodoradar.pl/rodo-zaczyna-zbierac-swoje-zniwo-w-polsce/). Spółka w celach zarobkowych przetwarzała dane przedsiębiorców pozyskane z publicznych rejestrów, w tym z CEIDG, nie spełniając jednocześnie obowiązku informacyjnego wobec osób fizycznych prowadzących działalność gospodarczą. Prezes Urzędu Ochrony Danych Osobowych uznał, że naruszony został podstawowy obowiązek administratora i nałożył na spółkę karę finansową w wysokości 943 tys. zł. Spółka zaskarżyła decyzję do sądu administracyjnego, podnosząc, że wysyłka listów z klauzulą informacyjną do wszystkich podmiotów wiązałaby się z wydatkiem finansowym rzędu 30 milionów złotych, przez co zachodził wyjątek niewspółmiernie dużego wysiłku (art. 14 ust. 5 lit. b RODO), zwalniający z konieczności spełnienia obowiązku informacyjnego wobec indywidualnych osób.

WSA w Warszawie częściowo uchylił decyzję Prezesa UODO; jako najpoważniejszy zarzut wobec decyzji PUODO sąd wskazał, że część przetwarzanych przez spółkę danych miała charakter archiwalny, zatem obowiązku informacyjnego nie powinno się spełniać wobec osób, które już nie prowadzą działalności gospodarczej, ponieważ wiąże się to np. z tym, że ich adresy wskazane w CEIDG mogą nie być już aktualne. Kara nałożona przez Prezesa UODO dotyczy zatem zbyt dużego kręgu podmiotów, niż podmioty dotknięte naruszeniem, w związku z czym sąd uchylił karę finansową. Wyrok nie jest prawomocny.

Warto będzie zapoznać się z uzasadnieniem wyroku, na sporządzenie którego sąd ma dwa tygodnie. Najbardziej wyczekiwaną jego częścią będzie argumentacja dotycząca interpretacji pojęcia niewspółmiernie dużego wysiłku. Mając na uwadze, że RODO powinno być jednolicie interpretowane na terenie całej UE, można ubolewać, że polski sąd nie skorzystał z okazji do zadania pytania prejudycjalnego do Trybunału Sprawiedliwości Unii Europejskiej w tej precedensowej sprawie, aby ten miał okazję wypowiedzieć się co do wykładni tak istotnego dla wszystkich administratorów pojęcia.

Autor

Michał Madecki

Doświadczenie zawodowe zdobywał podczas pracy w Urzędzie Ochronie Danych Osobowych oraz kancelariach prawnych specjalizujących się w prawie ochrony danych osobowych, e-privacy, prawie własności intelektualnej, e-commerce, prawie pracy oraz obsłudze prawnej spółek handlowych. Brał udział w opiniowaniu projektów aktów prawnych z punktu widzenia przepisów dotyczących ochrony danych osobowych.