Pierwsza kara w Polsce dot. RODO - prawie 1 mln zł za nieinformowanie o przetwarzaniu danych przedsiębiorców

Decyzja o karze została ogłoszona przez szefową Urzędu Ochrony Danych Osobowych we wtorek. Grzywna dotyczy firmy, która tworzyła bazę danych osób prowadzących działalność na podstawie ogólnodostępnych informacji o nich zawartych w Centralnej Ewidencji i Informacji o Działalności Gospodarczej, Krajowym Rejestrze Sądowym, Centralnej Ewidencji Pojazdów i Kierowców, Monitorze Sądowym i Gospodarczym oraz zestawieniach Głównego Urzędu Statystycznego. Dane były oferowane użytkownikom, którzy chcieli łatwo zweryfikować wiarygodność tych przedsiębiorców.

W ramach postępowania UODO ustalono, że spółka o zbieraniu i przetwarzaniu ich danych poinformowała tych przedsiębiorców, którzy w którymś z tych rejestrów podali swoje adresy mailowe. W innych przypadkach powołała się na przepis RODO stanowiący, że nie trzeba informować o przetwarzaniu danych, jeżeli wymagałoby to niewspółmiernie dużego wysiłku w porównaniu do zysków czerpanych z takiej działalności.

Zamiast tego spółka zamieściła jedynie na swojej stronie internetowej informację o przetwarzaniu danych.

Facebook walczył, by nie dopuścić do wprowadzenia RODO i innych przepisów chroniących dane osobowe

Nie podano nazwy ukaranej firmy. Piotr Drobek z UODO we wtorek na konferencji prasowej zaznaczył, że w sprawie chodzi o ponad 6 mln rekordów z danymi, z czego połowa dotyczy osób nieprowadzących już działalności gospodarczej. Gromadząca je firma mailowo poinformowała o tym ok. 90 tys. przedsiębiorców, z których ponad 12 tys. w odpowiedzi nie wyraziło zgody na przetwarzanie ich danych.

- Kara w wysokości ponad 943 tys. zł została nałożona za niespełnienie obowiązku informacyjnego wynikającego z rozporządzenia o ochronie danych.  Brak spełnienia tego obowiązku spowodował, że osoby, których dane były przetwarzane, nie mogły zrealizować praw wynikających z przepisów RODO, choćby żądania usunięcia danych czy też sprostowania danych osobowych - uzasadniła Edyta Bielak-Jomaa.

Bardzo wiele osób, których dane przetwarzała ukarana spółka, nie miało o tym pojęcia. Administrator danych ich o tym nie powiadomił. Tym samym odebrał im możliwość skorzystania z praw, jakie im przysługują na gruncie #RODO pic.twitter.com/uocBsJ3fn0

— Urząd Ochrony Danych Osobowych (@UODOgov_pl) 26 marca 2019

Zgodnie z obowiązującą w Polsce Ustawą o ochronie danych osobowych, wiosną ub.r. dostosowaną do RODO, za naruszenie prawa do ochrony danych może zostać nałożona kara wynosząca do 20 mln euro lub 4 proc. wpływów firmy.

Lawina skarg do UODO, francuski urząd ukarał Google

W styczniu br. Edyta Bielak-Jomaa poinformowała, że od wprowadzenia RODO pod koniec maja ub.r. konsultanci UODO na specjalnej infolinii odpowiadają na ponad 90 pytań dziennie, a do tej pory do Urzędu wpłynęło już ponad 3 tys. skarg związanych z nieprawidłowym przetwarzaniem danych osobowych. Bielak-Jomaa dodała, że niebawem zostaną wydane pierwsze decyzje o karach finansowych.

Przykładowo Fundacja Panoptykon zajmująca się ochroną prywatności obywateli skierowała do UODO skargę na Google i IAB dotyczącą wykorzystywania dane użytkowników w procesie aukcji reklam internetowych, nad czym internauci zdaniem organizacji nie mają dostatecznej kontroli. - Przepisy RODO są wystarczająco szczelne, problem w tym że przy obecnych mechanizmach aukcji trudno je zastosować. Trzeba zmusić głównych graczy do zmiany całego systemu - mówiła portalowi Wirtualnemedia.pl Kataryna Szymielewicz, prezeska Panoptykona.

W styczniu br. francuski urząd ochrony danych osobowych ukarał Google kwotą 50 mln euro za łamanie europejskich przepisów dotyczących prywatności użytkowników. Uznał bowiem, że amerykański koncern w niedostatecznie jasny sposób informował internautów o sposobach wykorzystywania ich danych.