Niebezpiecznik

UODO miał rację nakładając 4 lata temu pierwszą, milionową karę “za RODO”, co potwierdził wyrokiem Naczelny Sąd Administracyjny. Owszem, sprawa będzie ponownie rozpatrzona i być może zmieni się wysokość kary, ale sąd najwyższej instancji potwierdził najważniejsze – nie można łatwo uniknąć obowiązku informacyjnego RODO powołując się na “nadmierny wysiłek”.

Tak. Naczelny Sąd Administracyjny oddalił skargę kasacyjną spółki Bisnode, na którą przed czterema laty UODO nałożył karę w wysokości niemal miliona złotych (dokładnie ponad 943 tys.).

Aby dobrze zinterpretować to wydarzenie cofnijmy się myślami do marca 2019 roku. To było jeszcze przed pandemią. W Polsce minął pierwszy szok po wprowadzeniu RODO. Nauczyciele już nie mówili do uczniów numerkami i nikt nie powtarzał “bzdur” o “absurdach RODO” w rodzaju “nie można dawać nazwisk na nagrobkach”. A jednak strach przed RODO powrócił niczym grom z jasnego nieba bo oto UODO nałożył pierwszą karę! Prawie milion złotych! Karę dostała firma Bisnode (obecnie Dun & Bradstreet) i na swój sposób absurdalne było to, że UODO zanonimizował nazwę firmy w opublikowanej decyzji, choć wszyscy wiedzieli o kogo chodzi. To były ciekawe czasy :).

Obowiązek informowania vs. “niewspółmierny wysiłek”

Bisnode to wywiadownia gospodarcza, która oferuję usługi sprawdzania kontrahentów, w tym przedsiębiorców jednoosobowych. Dane znajdujące się w rękach Bisnode były pozyskane także ze źródeł publicznie dostępnych, m.in. z Centralnej Ewidencji i Informacji Działalności Gospodarczej (CEiDG).  Tu trzeba wiedzieć, że samo wcześniejsze opublikowanie danych w CEIDG nie oznacza, że można je tak po prostu pobrać, włożyć do innej bazy i dalej przetwarzać. Trzeba spełnić warunki nakładane przez RODO, a jednym z tych warunków jest poinformowanie ludzi o tym, że ich dane są w ten sposób przetwarzane.

Firma Bisnode poinformowała o przetwarzaniu tylko część przedsiębiorców tzn. tych, którzy podali swój e-mail w CEIDG. Jeśli ktoś nie podał to się nie dowiedział. Bisnode uznała, że może tak postąpić powołując się na art. 14 pkt 5 lit b RODO. Przepis ten mówi, że obowiązek informowania nie musi być spełniony jeśli “wymagałoby niewspółmiernie dużego wysiłku”. Zapewne już wyczuwacie, że zawsze można dyskutować z tym, co oznacza słowo “niewspółmierny”.

UODO uznał, że Bisnode mogła poinformować przedsiębiorców o przetwarzaniu ich danych m.in. telefonicznie albo korespondencyjnie (przecież w CEIDG są dane, które to umożliwiają). Uznano również, że naruszenie miało charakter umyślny. Bisnode doskonale wiedziała, jakiego obowiązku nie spełnia i nie podjęła żadnych działań zmierzających do usunięcia naruszenia.

Ukarana firma od razu po wydaniu decyzji zapowiedziała walkę w sądzie.

Uchylenie kary… tak jakby

W grudniu 2012 roku informowaliśmy o uchyleniu decyzji o karze dla Bisnode przez Wojewódzki Sąd Administracyjny (sygn. II SA/Wa 1030/19). Nagle przebudziły się zastępy anty-rodowych komentatorów uznając to za radosny moment. Powtarzano, że UODO jest zły i okrutny, a “te jego kary jednak nic nie znaczą”. To była jednak zła interpretacja “uchylenia”.

Był haczyk. W wyroku uchylającym decyzję UODO sędzia podkreśliła, że każda osoba ma prawo wiedzieć, co dzieje się z jej danymi. Tak naprawdę decyzja została uchylona z uwagi na uchybienia proceduralne. Sąd uznał, że Bisnode była zobligowana do spełnienia obowiązku informacyjnego wynikającego z art. 14 RODO, ale tylko wobec osób, które w momencie jej wydania aktywnie prowadziły działalność gospodarczą lub ją zawiesiły. UODO brał pod uwagę także osoby prowadzące działalność w przeszłości, co wpływało na liczbę osób objętych postępowaniem i tym samym na wymiar kary.

Nawet w tym rzekomo uchylającym wyroku przyznano rację Urzędowi Ochrony Danych. Sąd stwierdził, że…

wysoki koszt wysyłki (…) informacji pocztą tradycyjną nie może przesądzać o tym, że zachodzi przesłanka „niewspółmiernie dużego wysiłku”.

To nie było takie uchylenie, jakiego Bisnode mogłaby sobie życzyć. Owszem, UODO po takim wyroku musiał ponownie przeprowadzić postępowanie administracyjne zgodnie ze wskazaniami Sądu. Zmieniła się liczba podmiotów danych dotkniętych naruszeniem, ale to nie było wyrzucenie sprawy do kosza.

Bisnode postanowiła walczyć dalej. Wniosła skargę kasacyjną do NSA.

NSA: Wyjątki nie mogą być zasadami

Przedwczoraj Naczelny Sąd Administracyjny oddalił skargę kasacyjną spółki Bisnode od wspomnianego już wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie (Sygnatura akt: III OSK 2538/21).

W skardze kasacyjnej Bisnode podniosła, że nie musiała spełniać obowiązku informacyjnego z wykorzystaniem tradycyjnej korespondencji lub telefonów z uwagi na  “niewspółmiernie duży wysiłek”. NSA nie przychylił się do takiego rozumowania i potwierdził słuszność stanowiska UODO.

Zdaniem Naczelnego Sądu Administracyjnego podstawową zasadą jest transparentność przetwarzania. Przepis dotyczący “niewspółmiernego wysiłku” to wyjątek, a wyjątki należy interpretować zawężająco. Branie pod uwagę “niewspółmiernego wysiłku” miałoby sens np. przy przetwarzaniu danych dla celów publicznych, statystycznych, badawczych, archiwalnych czy historycznych. Bisnode jest jednak firmą, która pobiera dane, zarabia na nich. Skoro chce to robić zgodnie z prawem, nie powinna bazować na wyjątkach.

Czy to kończy sprawę? Właściwie nie. Prezes UODO zobowiązany jest teraz ponownie rozpatrzyć sprawę w zakresie w jakim sąd uchylił decyzję administracyjną, tj. w zakresie dotyczącym przetwarzania danych osób prowadzących w przeszłości działalność gospodarczą oraz w zakresie wysokości nałożonej kary administracyjnej.

Z karami “za RODO” trzeba się liczyć

Przypomnijmy, że w tym roku swój finał miała inna sprawa związana z dużą karą nałożoną przez UODO. Sprawa Morele.net.

Naczelny Sąd Administracyjny w marcu tego roku uchylił wyrok w sprawie kary, która miała wynieść 3 mln zł. Mimo, że spółka Morele.net naprawdę kary uniknie to należy podkreślić, że głównym problemem było niedopuszczenie w sprawie opinii biegłego. NSA wytknął też Urzędowi Ochrony Danych Osobowych zbyt lakoniczne uzasadnienie decyzji i podważył jego zdolność do zbadania sprawy (kontrowersyjne!). Podobne kary nakładane w przyszłości po prostu mogą się obronić jeśli UODO odpowiednio o to zadba.

Podsumowując – uważajcie z mówieniem, że  “te kary UODO to i tak są uchylane“. Nie zawsze są, a nawet jeśli do tego dochodzi to nie w każdej instancji i nie zawsze w sposób, jakiego ktoś mógłby sobie życzyć.