UODO: prawie milion złotych kary za niedopełnienie obowiązku informacyjnego

Urząd Ochrony Danych Osobowych (UODO) nałożył pierwszą karę za niedopełnienie obowiązku informacyjnego, związanego z RODO. Sankcja, jaką musi zapłacić administrator danych, wynosi ponad 943 tys. zł. W wyjaśnieniu prezes UODO podkreśliła, że podmiot, który nie dopełnił obowiązku, miał pełną świadomość ciążącej na nim powinności. Wiele osób, których dane były przetwarzane, nie zostało o tym fakcie powiadomionych przez administratora, co zdaniem UODO uniemożliwiło im korzystanie ze swoich praw na gruncie RODO. W efekcie nie mogły one sprzeciwić się dalszemu przetwarzaniu ich danych czy zażądać ich sprostowania czy usunięcia.

Według UODO naruszenie miało poważnych charakter, co przełożyło się na wysokość nałożonej kary. Decyzja odnosiła się do postępowania związanego z działalnością spółki, która pozyskiwała dane źródeł publicznie dostępnych, m.in. z Centralnej Ewidencji i Informacji Działalności Gospodarczej (CEiDG), a następnie przetwarzała je w celach zarobkowych. Jak zweryfikował urząd, niedopełnienie obowiązku informacyjnego odbywało się zarówno wobec osób fizycznych prowadzących działalność gospodarczą, czyli przedsiębiorców, którzy aktualnie ją prowadzą, a także tych, którzy tę działalność zawiesili czy prowadzili w przeszłości.

Warto podkreślić, że administrator spełnił obowiązek informacyjny, podając informacje zawarte w przepisać art. 14 ust. 1-3 RODO, ale tylko wobec tych osób, do których miał adresy e-mail. Pozostałe osoby zostały niepoinformowane. Jak wyjaśnił w toku postępowania nie dopełnił obowiązku informacyjnego ze względu na wysokie koszty takiej operacji. W przypadku pozostałych osób tego nie zrobił – jak sam to wyjaśniał w toku postępowania – z uwagi na wysokie koszty takiej operacji. Dlatego jedynie na swojej stronie internetowej zamieścił klauzulę informacyjną.

UODO uznał, że zamieszczenie na stronie internetowej klauzuli informacyjnej jest niewystarczające. Mając dane kontaktowe do poszczególnych osób, administrator powinien spełnić obowiązek informacyjny, poinformować między innymi o tym, skąd ma dane tych osób, w jakim celu i jak długo zamierza je przetwarzać, a także o przysługujących osobom prawach na gruncie RODO.

WT