W każdym kraju, w którym obowiązuje RODO został wyznaczony co najmniej jeden organ nadzorczy. Organy zostały zobowiązane do prowadzenia wielu zadań, jednym z nich jest rozpatrywanie skarg wniesionych przez osoby, której dane dotyczą. Na podstawie skargi, organ zobowiązany jest do prowadzenia postępowania w jej przedmiocie, informowania o postępach w sprawie oraz o wynikach postępowania. Wszystko to powinno odbywać się w rozsądnym terminie.
Dotychczas słyszeliśmy o wielu kontrowersjach jakie pojawiały się w związku z działalnością niektórych organów ochrony danych. Można tutaj przypomnieć opieszałość w działaniach irlandzkiego organu ochrony danych osobowych. Jego poczynania były krytykowane przez Parlament Europejski, a ostatnio był również analizowane przez przedstawicieli parlamentu irlandzkiego.
W tym samym czasie hiszpański organ nadzorczy wydaje wiele decyzji w mniejszych i większych sprawach. Niedawno wydał decyzję w bardzo ciekawiej sprawie (PS/00066/2021), która poruszała kwestię wykorzystania bazy danych przez osobę nieuprawioną. Piszemy o tym jednakże nie tylko z powodu treści samego rozstrzygnięcia, ale także, albo przede wszystkim by pokazać jak prosto, zrozumiale i skutecznie mogą działać organy nadzoru.
Wracając do sprawy. Postępowanie organu hiszpańskiego zostało wszczęte w związku ze skargą jaka do niego wpłynęła pod koniec 2019 r. Skarżący powiadomił w swoim piśmie, że zakupił klinikę dentystyczną od osoby, której dotyczyła skarga. Wraz z zakupem kliniki dentystycznej nowy właściciel nabył również bazę klientów kliniki (pacjentów). Jednocześnie w umowie sprzedaży jednoznacznie wskazano, że poprzedni właściciel sprzedając bazę zobowiązuje się do nie wykorzystywania tejże bazy w swoich celach.
Pomimo tego korzystał on w dalszym ciągu z bazy danych klientów m.in. przesyłał do nich oferty marketingowe, czy informował o wykonywaniu usług stomatologicznych w nowym miejscu.
W oparciu o te fakty, hiszpański organ nadzorczy w marcu 2021 r. podjął decyzję o wszczęciu postępowania w związku z możliwym naruszeniem art. 6 RODO. Następnie organ powiadomił podmiot oskarżony o postępowaniu i zwrócił się o wyjaśnienia. Podmiot oskarżony w wyznaczonym terminie nie udzielił wyjaśnień. W konsekwencji czego hiszpański organ nadzorczy podjął działania zmierzające do wydania decyzji w postępowaniu.
Organ zdecydował o nałożeniu administracyjnej kary pieniężnej w wysokości 3000 euro na skarżony podmiot, stwierdzając że podmiot oskarżony przetwarza dane dawnych klientów pomimo braku podstawy prawnej ku temu. Podmiot przed skontaktowaniem się z byłymi klientami powinien uzyskać od nich zgodę na kontakt, czego nie uczynił.
Analizując tą, jak i inne sprawy toczące się w całej Europie spostrzegliśmy pewną zasadę. Potwierdza się, że skargi do organów najczęściej składają osoby, które nie są biegłe ani w materii ochrony danych (przede wszystkim) ani nie mają szczególnego rozeznania w gąszczu obowiązujących przepisów. One chcą po prostu, by ich prawa były respektowane i składają skargi tak jak czują to intuicyjnie. Dlatego tak ważne jest by wszystkie dokumenty urzędowe skierowane do osób fizycznych, a szczególnie decyzje były napisane w prosty i jednoznaczny sposób. Taka właśnie jest decyzja w ww. sprawie. Krótki opis stanu faktycznego, następnie przedstawienie stanowiska organu oraz wskazanie naruszonych przepisów, a na koniec przedstawienie uprawnień naprawczych, które zdecydował się nałożyć organ na podmiot skarżony. A wszystko to na zaledwie pięciu (!) stronach.
Chciałoby się czytać więcej podobnych decyzji, które syntetycznie przedstawiają okoliczności sprawy, wskazują naruszone przepisy oraz określają nałożoną sankcję. Bez nadmiernego uzasadnienia, które jedynie zwiększa długość dokumentu i liczbę kartek, które konieczne są do jego wydrukowania i finalnie nie przyczyniają się do lepszego zrozumienia przepisów.
