Omówienie decyzji UODO – styczeń 2019 r. – część 1 - GDPR.pl

1.Decyzja ZSOŚS.440.106.2018 z dnia 4 stycznia 2019 r.

Opis istoty decyzji: skarga dotyczyła udostępnienia danych przez Komendanta Stołecznego Policji Sądowi Rejonowemu, a skarżący był funkcjonariuszem policji w powyższej komendzie. W toku postępowania Prezes UODO ustalił, że funkcjonariusz był wzywany w charakterze świadka, a Sąd Rejonowy zwrócił się z prośbą do Komendanta o „doręczenie załączonego wezwania świadkowi J. R.” oraz o „wpłynięcie na funkcjonariusza J. R., by stawił się przed sądem”. Komendant Stołeczny Policji pismem z września 2015 r. udostępnił dane osobowe w postaci adresu zamieszkania oraz danych dotyczących stanu zdrowia skarżącego na rzecz Sądu Rejonowego dla W.

Oceniając sprawę Prezes UODO stwierdził, że zwrócenie się przez sąd o doręczenie wezwania oraz wpłynięcie na świadka by stawił się na rozprawę jest zgodne z art. 134 § 1 KPK. Jednakże przekazanie przez Komendanta kopii zwolnień lekarskich oraz adresu do korespondencji nie może zostać uznane za zgodne z przepisami.

Zgodnie z art. 15 KPK organy udzielają pomocy do przeprowadzenia postępowania w terminie przez sąd określonym, a Policja i inne organy w zakresie postępowania karnego wykonują polecenia sądu, referendarza sądowego i prokuratora oraz prowadzą pod nadzorem prokuratora śledztwo lub dochodzenie w granicach określonych w ustawie. Organ zobowiązany do przekazania wezwania do stawienia się na rozprawę zgodnie z art. 134 § 1 KPK (doręczenie zastępcze), nie może przenosić ciążącego na nim obowiązku na sąd. Błędnym jest również założenie, iż można przekazać jakiekolwiek dane do bezpośredniego kontaktu organu ze świadkiem, czy też jakiekolwiek inne dane, o które wprost sąd nie występował. Tak więc w niniejszej sprawie doszło do naruszenia przepisów o ochronie danych osobowych, jednakże sytuacja była nieodwracalna i organ nie mógł wydać decyzji nakazującej przywrócenie stanu zgodnego z prawem.

W związku z tym, Prezes UODO odmówił uwzględnienia wniosku.

2. Decyzja ZSOŚS.440.631.2018 z dnia 4 stycznia 2019 r.

Opis istoty decyzji: skarżąca zarzuciła nieprawidłowości w przetwarzaniu jej danych osobowych spółkom, poprzez ujawnienie jej imienia, nazwiska, oraz poprzedniego adresu zamieszkania na stronie internetowej jednej ze spółek, którą to stroną zarządza druga z nich. Ponadto przy jej danych widniała informacja o przedawnionym długu.

W toku postępowania Prezes UODO ustalił, że na stronie internetowej znajdują się dane skarżącej w postaci imienia, nazwiska, miasta zamieszkania oraz nazwy ulicy, podana jest wartość wierzytelności brutto, oferowana kwota sprzedaży oraz informacja o przeterminowaniu wierzytelności. Jedna ze spółek nabyła wierzytelności od banku, a następnie zawarła umowę na korzystanie z Internetowej Giełdy Długów (publiczna platforma ogłoszeń sprzedaży wierzytelności).

Oceniając powyższy stan faktyczny Prezes UODO stwierdził, że sprzedaż wierzytelności jest dopuszczalna na podstawie art. 509 § 1 KC, więc jej nabycie odbyło się na podstawie przepisu prawa w rozumieniu ustawy o ochronie danych osobowych. Natomiast przetwarzanie danych od momentu nabycia odbywało się na podstawie prawnie uzasadnionego interesu spółki, czyli obecnie art. 6 ust. 1 lit. f) RODO. Następnie doszło do powierzenia przetwarzania danych osobowych, zgodnie z art. 28 ust. 3 RODO. W związku z tym istniała podstawa prawna do przetwarzania danych przez spółki.

Oceniając kwestię ujawnienia danych skarżącej na Internetowej Giełdzie Długów, UODO stwierdził, że takie działanie znajduje prawne uzasadnienie w przepisach RODO, tj. w art. 28 ust. 3 w związku z art. 6 ust. 1 lit. f. Prezes UODO podkreślił również, że spółka nie ujawniła wszystkich danych, którymi dysponowała w odniesieniu do skarżącej, ale tylko taki ich zakres, który był konieczny do skonkretyzowania wierzytelności. Uzasadnia to zatem konkluzję, iż w analizowanym przypadku udostępnienie danych na stronie internetowej dokonane zostało w zakresie niezbędnym dla wypełnienia prawnie usprawiedliwionego celu administratora danych, w sposób niewykraczający poza ten cel, i z zachowaniem zasady minimalizacji danych (art. 5 ust. 1 lit. c RODO).

UODO dodał również, że zgodnie z art. 4 ustawy o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych udostępnianie informacji gospodarczych osobom trzecim nieoznaczonym w chwili przeznaczania tych informacji do udostępniania następuje wyłącznie za pośrednictwem biura informacji gospodarczej, chyba że przepisy prawa przewidują inny tryb udostępniania danych. Wynikający z przepisu zakaz udostępniania przez przedsiębiorców nieposiadających statusu biura informacji gospodarczej – w drodze ogłoszenia publicznego – informacji obejmujących dane osobowe dłużnika nie jest zatem zakazem bezwzględnym i tym samym dopuszcza zastosowanie w niniejszej sprawie wspomnianego art. 6 ust. 1 lit. f RODO.

Natomiast w kwestii ewentualnego przedawnienia długu, Prezes UODO stwierdził, że taka ocena wykracza poza jego ustawowe kompetencje. W związku z powyższym Prezes UODO oddalił skargę.

3. Decyzja 440.998.2018 z dnia 18 stycznia 2019 r.

Opis istoty decyzji: skarżący zarzucił towarzystwu ubezpieczeniowemu przetwarzanie jego danych, chociaż wniósł sprzeciw i zwrócił się o zakazanie ich przetwarzania i poinformowanie go, o ile to możliwe o wszystkich odbiorcach, którym ujawniono jego dane osobowe.
Po przeprowadzeniu postępowania wyjaśniającego Prezes UODO ustalił, że towarzystwo pozyskało dane skarżącego w związku z zawarciem umowy ubezpieczenia pojazdu. W kolejnych latach 2001-2009 skarżący zawierał z towarzystwem umowy ubezpieczenia pojazdu mechanicznego w zakresie odpowiedzialności cywilnej posiadacza pojazdu oraz autocasco. Dane obejmowały: imię, nazwisko, adres zameldowania oraz dane pojazdu.zawartych przez skarżącego, w celu prawnie uzasadnionego interesu Towarzystwa do ustalania, dochodzenia i obrony przed roszczeniami związanymi z wypłatą świadczenia w związku z zajściem zdarzenia ubezpieczeniowego. Oceniając powyższy stan faktyczny, Prezes UODO stwierdził, że skarżący nie wykazał istnienia po swojej stronie szczególnej sytuacji, która uzasadnia wniesienie sprzeciwu. Ponadto jak stwierdził UODO trzeba zaznaczyć, „(…) że poza sytuacją, w której mamy do czynienia z marketingiem bezpośrednim, prawo do sprzeciwu nie jest uprawnieniem bezwzględnie skutecznym. Administrator może, odmawiając zaprzestania przetwarzania danych osobowych powoływać się na: 1) istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania danych nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub 2) istnienia podstaw do ustalenia, dochodzenia lub obrony roszczeń. W takim przypadku, pomimo wniesienia sprzeciwu przez osobę, której dane dotyczą, administrator może nadal przetwarzać jej dane osobowe.” (por. RODO Ogólne rozporządzenie o ochronie danych. Komentarz, Redakcja naukowa Edyta Bielak-Jomaa, Dominik Lubasz, Wolters Kluwer, Warszawa 2018 r. str. 557). Dodatkowo Prezes UODO stwierdził, że w związku z tym, że towarzystwo wykazało istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania danych osobowych Skarżącego, żądanie ograniczenia przetwarzania na podstawie art. 18 ust. 1 lit. d) RODO nie miało uzasadnienia, w związku z czym nie powstał wynikający z art. 19 RODO obowiązek powiadomienia o sprostowaniu lub usunięciu danych osobowych lub o ograniczeniu przetwarzania, ani w szczególności obowiązek poinformowania skarżącego o odbiorcach, którym ujawniono dane osobowe. W związku z powyższym Prezes UODO oddalił skargę.

Przemysław Sierzputowski

Zapraszamy do zapoznania się z wcześniejszymi decyzjami UODO opublikowanymi na naszym portalu: