Przedsiębiorca prowadzący działalność gospodarczą polegającą na pozyskiwaniu informacji, w tym danych osobowych osób prowadzących działalność gospodarczą, z ogólnodostępnych rejestrów publicznych (np. KRS, CEIDG, REGON) oraz analizowaniu, interpretowaniu a następnie udostępnianiu tych informacji zainteresowanym klientom, musi spełnić obowiązek informacyjny wobec tych osób określony w art. 14 RODO ogólnego rozporządzenia o ochronie danych osobowych (RODO) poprzez bezpośrednie przekazanie informacji osobie, której dane dotyczą – tak wynika z wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 11.12.2019 r. (sygn. II SA/Wa 1030/19). Co więcej, zdaniem WSA ewentualny wysoki koszt wysyłki tej informacji pocztą tradycyjną nie stanowi podstawy do zwolnienia z obowiązku informacyjnego.
Chodzi o sprawę, w której Prezes Urzędu Ochrony Danych Osobowych nakazał w drodze decyzji administracyjnej dopełnienie obowiązku informacyjnego oraz nałożył na spółkę administracyjną karę pieniężną w wysokości ponad 943 tys. zł
Przypomnijmy, że spółkę ukarano w związku ze stwierdzeniem naruszenia obowiązku informacyjnego (art. 14 ust. 1-3 ogólnego rozporządzenia o ochronie danych osobowych), polegającego na niepodaniu informacji zawartych w art. 14 ust. 1 i 2 RODO wszystkim osobom fizycznym, których dane osobowe spółka przetwarza, prowadzącym aktualnie lub w przeszłości jednoosobową działalność gospodarczą oraz osobom fizycznym, które zawiesiły wykonywanie tej działalności.
Od tej decyzji spółka wniosła skargę do WSA. Spółka argumentowała m.in., że nie ciąży na niej obowiązek informacyjny z art. 14 RODO. Podmiot uznał, że jest zwolniony z tego obowiązku na podstawie art. 14 ust 5 lit b) RODO. Zdaniem spółki udzielenie takich informacji wymagałoby niewspółmiernie dużego wysiłku, z uwagi na wysoki koszt realizacji tego obowiązku poprzez wysyłkę tej informacji pocztą tradycyjną.
Ta argumentacja nie znalazła akceptacji WSA. Sąd uznał, iż wysoki koszt wysyłki tej informacji pocztą tradycyjną nie może przesądzać o tym, że zachodzi przesłanka „niewspółmiernie dużego wysiłku”.
Sąd w wyroku oddalił skargę w zakresie dotyczącym nakazu dopełnienia obowiązku informacyjnego wobec osób fizycznych prowadzących aktualnie działalność gospodarczą oraz osób fizycznych, które zawiesiły wykonywanie tej działalności, a którym informacje te nie zostały dotychczas podane.
Jednocześnie Sąd, z uwagi na dostrzeżone uchybienia proceduralne, uchylił decyzję Prezesa UODO w części dotyczącej nakazu dopełnienia obowiązku informacyjnego wobec osób fizycznych prowadzących w przeszłości działalność gospodarczą.
W tym zakresie Prezes UODO ma ponownie przeprowadzić postępowanie administracyjne zgodnie ze wskazaniami Sądu. Oddalenie skargi tylko w części dotyczące osób, które prowadzą aktualnie lub mają zawieszoną działalność gospodarczą i uchylenie decyzji w części dotyczącej osób prowadzących taką działalność w przeszłości oznacza, iż zmieniła się liczba podmiotów danych dotkniętych naruszeniem. Liczba ta miała znaczenie dla wymierzenia kary oraz określenia jej wysokości. Z tego powodu, zgodnie z wyrokiem WSA, Prezes UODO będzie musiał ponownie przeanalizować te kwestie w postępowaniu administracyjnym. Wyrok nie jest prawomocny.