Islandzki organ nadzorczy (Persónuvernd) w swojej niedawnej decyzji uznał, że administrator nie naruszył przepisów RODO, przechowując numer telefonu osoby, której dane dotyczą, w swojej bazie danych, ponieważ jego prawnie uzasadniony interes w zakresie badań przeważał nad interesem osoby, której dane dotyczą. Sprawa dotyczyła instytutu Galuppa najstarszego instytutu badania opinii na świecie, założony w 1935 roku przez George’a Gallupa.
Postępowanie skargowe
Instytut zajmując się badaniem opinii publicznej w Islandii pozyskuje numery telefonów osób zapraszanych do ankiet ze strony www.ja.is. Jedna z osób, których dane dotyczą, złożyła skargę do organu nadzorczego, twierdząc, że nie wyraziła zgody na przetwarzanie jej danych. Dodatkowo skarżący wykazał, że jego numer telefonu był zastrzeżony, a instytut nie upewnił się, czy wyraził on zgodę na przetwarzanie jego danych. Spółka nie poinformowała zdaniem skarżącego o zarejestrowaniu numeru w jej bazie danych ani w jakich celach przetwarza jego dane.
Stanowisko spółki
Instytut na swoją obronę wskazał, że przetwarzanie danych osobowych jest oparte na uzasadnionym interesie spółki. Instytut jest jednym z liderów badań opinii a jakość próby i frekwencja są podstawą rzetelnego badania, dlatego robi wszystko, aby każdy z pełnoletnich obywateli miał równe szanse by wziąć udział w badaniu. Instytut stwierdził, że jego baza numerów właśnie temu służy a dodatkowo oszczędza czas i zmniejsza nakład pracy, nie ma bowiem potrzeby wielokrotnego sięgania do wyszukiwania numerów dostępnych w sieci czy wygenerowanych zatem zmniejsza się także prawdopodobieństwo naruszenia prywatności.
Instytut, wskazał, że wykorzystuje bazę danych numerów telefonów do ustalenia kto nie chce być zaproszony do udziału w badaniach, a następnie osoby te są usuwane z bazy badawczej. Spółka dalej wskazuje, że nie może wiedzieć, że osoba, której numer nie jest wskazany w krajowej liście Robinsona, nie wyraża zgody na przechowywanie jej numeru, dopóki się z nią nie skontaktuje.
Podstawa przetwarzania
Organ zwrócił uwagę, że zgodnie z art. 6 RODO dane osobowe mogą być przetwarzane, jeżeli jest to niezbędne do realizacji prawnie uzasadnionych interesów administratora lub strony trzeciej, chyba że interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych przeważają.
Organ zgodził się z Instytutem, że gdyby ten musiał wyszukiwać numery telefonów dla każdego badania, wiązałoby się to z dużą pracochłonnością i mogłoby mieć negatywny skutek na jakość badań. Ponadto Instytut wykorzystuje bazę danych numerów telefonów do ustalenia listy osób, które oświadczyły, że nie chcą być zapraszane do udziału w badaniach. Organ uznał zatem, że Instytut stworzył własną „Listę Robinsona” a całość procesu pozyskiwania i wykorzystywania danych w ten sposób może być prawnie uzasadnionym interesem.
UOKiK nałożył karę za marketing telefoniczny bez uprzedniej zgody
Obowiązek informacyjny
Ciekawe było także rozstrzygnięcie co do realizacji obowiązku informacyjnego. I tak, organ oczywiście potwierdził, że istnieje obowiązek udzielenia osobom, których dane dotyczą, informacji na podstawie art. 14 RODO. Niemniej jednak zgodnie z art. 14 lit. b pkt 5 RODO obowiązku takiego nie ma, gdy udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku; w szczególności w przypadku przetwarzania do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych (…)lub o ile obowiązek, o którym mowa w ust. 1 niniejszego artykułu, może uniemożliwić lub poważnie utrudnić realizację celów takiego przetwarzania. W takich przypadkach administrator podejmuje odpowiednie środki, by chronić prawa i wolności oraz prawnie uzasadnione interesy osoby, której dane dotyczą, w tym udostępnia informacje publicznie. Zdaniem organu wyjątek ten ma w niniejszej sprawie zastosowanie. Organ powołał się dodatkowo na motyw 62 z którego wynika, że nałożenie obowiązku udzielenia informacji nie jest jednak konieczne, jeżeli osoba, której dane dotyczą, dysponuje już tymi informacjami, jeżeli utrwalenie lub ujawnienie danych są wyraźnie przewidziane prawem, lub jeżeli poinformowanie osoby, której dane dotyczą, okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku. Sytuacja braku możliwości lub niewspółmiernie dużego wysiłku może zachodzić w szczególności przypadku, gdy przetwarzanie służy celom archiwalnym w interesie publicznym, celom badań naukowych lub historycznych lub celom statystycznym. Uwzględnić przy tym należy liczbę osób, których dane dotyczą, okres przechowywania danych oraz wszelkie przyjęte odpowiednie zabezpieczenia.
Dysponowanie informacjami o których mowa wyżej ma zdaniem urzędu swoje uzasadnienie w praktyce Instytutu, jaką jest informowanie na początku rozmowy wszystkich osób, które wyrażą zgodę na udział w ankiecie (a więc są już w bazie danych Instytutu i zostały wylosowane do badania) o przetwarzaniu ich danych osobowych oraz odsyłanie do polityki prywatności dostępnej na stronie Instytutu, opisującej wszystkie aspekty ochrony danych. To zdaniem organu oznacza, że obowiązek informacyjny jest spełniony prawidłowo, a przetwarzanie danych osobowych jest rzetelne i przejrzyste. Ponadto w tym wypadku osobie, której dane dotyczą, przysługuje prawo wniesienia sprzeciwu wobec przetwarzania, a administrator (Instytut) bezwzględnie tego prawa przestrzega.
Biorąc, to wszystko pod uwagę organ nadzoru stwierdził, że Instytut nie naruszył przepisów RODO.
Decyzja jest ciekawa nie tylko z powodów o których piszę wyżej, ale także jako przykład niezwykle wyważonego i racjonalnego podejścia organu z uwzględnieniem realizacji wszystkich praw przysługujących podmiotowi danych. Ta realizacja nie musi być toporna jak to często bywa, a może być elastyczna jak w przypadku Instytutu. Warto pamiętać, że badania opinii nie mają w sobie nic z marketingu a w istocie służą społeczeństwu, jakkolwiek górnolotnie to zabrzmi.
Źródło: https://www.personuvernd.is/urlausnir/vinnsla-personuupplysinga-af-halfu-gallup#
Autorem artykułu jest: r.pr. Tomasz Osiej
