Sprawa, którą we wtorek rozstrzygnął NSA, miała swój początek w marcu 2019 r. Wówczas to firma Bisnode Polska (obecnie Dun & Bradstreet) została ukarana przez prezesa UODO kwotą ponad 940 tys. zł. Powodem było to, że spółka przetwarzała w celach zarobkowych dane z publicznych rejestrów, takich jak CEiDG, nie informując o tym wszystkich osób, których dane dotyczą (jedynie te, do których posiadała adresy e-mail). Uniemożliwiała im tym korzystanie ze swoich praw (usunięcie lub sprostowanie danych, sprzeciwienie się ich przetwarzaniu).
Firma zaskarżyła tę decyzję do WSA w Warszawie, który częściowo przyznał rację urzędowi. Co do zasady sąd uznał, że spółka była zobligowana do spełnienia obowiązku informacyjnego wynikającego z art. 14 RODO. Decyzja UODO odnosiła się jednak nie tylko do osób, które w momencie jej wydania prowadziły działalność gospodarczą, ale też do tych, które już ją zawiesiły lub prowadziły w przeszłości. WSA uchylił decyzję co do tej ostatniej grupy. A ponieważ liczba osób, których prawa naruszono, ma wpływ na wymiar kary, sąd przekazał sprawę do ponownego rozpoznania UODO.
Bisnode wniosła jednak skargę kasacyjną od wyroku WSA. Wskazała w niej, że błędnie przyjęto, iż ciążył na niej obowiązek informacyjny, bo mogła skorzystać z wyjątku przewidzianego w art. 14 ust. 5 lit. b) RODO, który stanowi, że informacji o przetwarzaniu danych można nie udzielać, gdy „okazuje się to niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku”.
Czytaj więcej
Aby uniknąć kontuzji, warto zadbać o prawidłowość procesu uzyskiwania informacji.
Podczas rozprawy pełnomocnicy spółki poświęcili dużo miejsca kwestii owej niewspółmierności, wskazując, że wysłanie do każdego z 3,5 mln przedsiębiorców figurujących w rejestrze listu poleconego z informacją o przetwarzaniu danych byłoby kosztem niewspółmiernym do potencjalnych szkód doznanych przez osoby, których dane dotyczą. Jako przedsiębiorcy powinny bowiem liczyć się z tym, że ich dane z rejestrów publicznych będą przetwarzane. Przyjęcie interpretacji UODO może sprawić, że samo przeglądanie takich rejestrów przez przedsiębiorcę będzie się wiązać z koniecznością informowania o tym wielu innych przedsiębiorców.
