RODO: prawie 1 mln zł kary za niespełnienie obowiązku informacyjnego

UODO: pierwsza kara za naruszenie RODO to prawie 1 mln zł

Karę w wys. ponad 943 tys. zł. nałożył na spółkę Urząd Ochrony Danych Osobowych za niespełnienie obowiązku informacyjnego dot. przetwarzania danych - poinformowała we wtorek prezes UODO Edyta Bielak-Jomaa. To pierwsza kara UODO po wejściu w życie RODO.

Nazwa ukaranej firmy nie została podana; jest to spółka pozyskująca dane ze źródeł publicznie dostępnych m.in. z Centralnej Ewidencji i Informacji Działalności Gospodarczej (CEiDG). Firmie przysługuje odwołanie od decyzji UODO do sądu.

Polecamy: Serwis Inforlex RODO 3 m-ce + książka RODO dla kadrowych i HR

"Kara w wysokości ponad 943 tys. zł została nałożona za niespełnienie obowiązku informacyjnego wynikającego z rozporządzenia o ochronie danych. (...) Brak spełnienia tego obowiązku spowodował, że osoby, których dane były przetwarzane, nie mogły zrealizować praw wynikających z przepisów RODO, choćby żądania usunięcia danych czy też sprostowania danych osobowych" - powiedziała prezes UODO Edyta Bielak-Jomaa, przedstawiając uzasadnienie tej decyzji. Jak mówiła, z postępowania wynika, że firma miała świadomość konieczności poinformowania osób, których dane przetwarzała, o tym fakcie; miała też możliwość spełnienia tego obowiązku.

"W przypadku spółki, o której dzisiaj mówimy, sprawa dotyczy ponad 6 mln rekordów, a obowiązek informacyjny został spełniony wobec ok. 90 tys. osób, do których spółka wysłała korespondencję drogą elektroniczną" - podkreślił Piotr Drobek z UODO. Według UODO, firma nie kontaktowała się bezpośrednio z osobami, których adresu mailowego nie miała, zamieściła tylko informację na swojej stronie internetowej, co zdaniem Urzędu jest niewystarczające. Jak mówili przedstawiciele UODO, w toku postępowania spółka broniła się, że koszt listów poleconych, jakie musiałaby wysłać do pozostałych osób, byłby bardzo wysoki. Jednak zdaniem Prezes UODO przepisy nie nakładają na administratora obowiązku wysyłania listów poleconych.

"W odniesieniu do 90 tys. osób, które zostały poinformowane, ponad 12 tys. osób w reakcji na przesłaną informację złożyło sprzeciw wobec przetwarzania danych w celach marketingowych. To pokazuje, jak ważne jest spełnienie obowiązku informacyjnego" - podkreślił Piotr Drobek. Jak dodał, RODO nie dopuszcza wyłączeń odnośnie ochrony danych osobowych dotyczących osób fizycznych prowadzących działalność gospodarczą i wobec nich także należy spełnić obowiązek informacyjny. "W tej konkretnej sprawie ok. 3 mln rekordów dotyczyło osób, które nie prowadzą już działalności gospodarczej, czyli osób, które już nie są aktywnymi przedsiębiorcami" - powiedział.