Prezes UODO nałożył karę za nieudzielenie niezbędnych informacji do rozstrzygnięcia sprawy

Stan faktyczny

Do Urzędu Ochrony Danych Osobowych (dalej jako: UODO) wpłynęła skarga obywatela Niemiec (dalej jako: Skarżący), na przetwarzanie przez East Power jego danych osobowych w celach marketingowych pomimo zgłoszonego sprzeciwu. East Power jest właścicielem serwisu internetowego, prowadzi działalność m.in. w zakresie pośrednictwa pracy, w tym pracy tymczasowej oraz zarządzania zasobami ludzkimi.

Prezes UODO w ramach wszczętego postępowania administracyjnego prowadzonego celem rozpatrzenia wniesionej skargi zwrócił się do East Power o ustosunkowanie się do treści skargi oraz o odpowiedź na następujące pytania dotyczące sprawy: na jakiej podstawie prawnej, w jakim celu i zakresie East Power aktualnie przetwarza dane osobowe Skarżącego oraz z jakiego źródła dane te pozyskała. Prezes UODO spytał także czy Skarżący zwrócił się z żądaniem usunięcia jego danych osobowych przez East Power, oraz dlaczego i na jakiej podstawie prawnej, w przypadku zwrócenia się Skarżącego o usunięcie jego danych osobowych, nie zastosowano się do jego żądania.

Pismo pozostało jednak bez odpowiedzi. W związku z powyższym Prezes UODO ponownie zwrócił się do East Power z wezwaniem do ustosunkowania się do treści skargi oraz do udzielenia odpowiedzi na wskazane powyżej pytania. W piśmie stanowiącym odpowiedź na powyższe wezwanie, Prezes Zarządu Spółki oświadczył, że „Spółka nie przetwarzała, ówcześnie ani aktualnie, danych osobowych Skarżącego” oraz że „Spółka nie udostępniała, ówcześnie ani aktualnie, danych osobowych Skarżącego”. Dodatkowo w piśmie oświadczył, że „Spółka uzyskała dane osobowe Skarżącego z sieci Internet”, gdzie „są one udostępnione w wyszukiwarce Google”.

Powyższe wyjaśnienia Prezes UODO uznał za niewystarczające, związku z czym zwrócił się do Spółki o udzielenie dodatkowych wyjaśnień w sprawie, w szczególności o wyjaśnienie: na jakiej podstawie prawnej, w jakim celu i zakresie East Power aktualnie przetwarzała bądź aktualnie przetwarza dane osobowe Skarżącego. Dodatkowo Prezes UODO chciał zweryfikować relacje łączącą East Power z osobą, która skierowała tego dnia na adres email Skarżącego wiadomość o charakterze – w ocenie Skarżącego – marketingowym, oraz zweryfikować w jaki sposób East Power ustosunkowała się do żądania Skarżącego o usunięcie jego danych osobowych i zaprzestanie wysyłania do niego treści marketingowych. Ostatnie pytanie dotyczyło rozpatrzenia żądania Skarżącego – czemu Spółka nie zastosowała się do żądania oraz na jakiej podstawie prawnej to nastąpiło.

Na opisywane powyżej pismo, East Power ponownie nie udzieliła odpowiedzi. Spółka została pouczona, że brak odpowiedzi na wezwania Prezesa UODO może skutkować nałożeniem na East Power administracyjnej kary pieniężnej.

W związku z nieudzieleniem przez East Power informacji niezbędnych do rozstrzygnięcia sprawy zainicjowanej skargą, Prezes UODO wszczął z urzędu wobec Spółki postępowanie administracyjne w przedmiocie nałożenia na East Power administracyjnej kary pieniężnej, w związku z naruszeniem przez Spółkę art. 58 ust. 1 lit a i e RODO. O wszczęciu postępowania East Power poinformowana została pismem, w którym została wezwana również (celem ustalenia podstawy wymiaru kary) do przedstawienia sprawozdania finansowego East Power za rok 2019 lub, w przypadku jego braku, oświadczenia o wysokości obrotu i wyniku finansowego osiągniętego przez Spółkę w 2019 r.

Prezes Zarządu Spółki w ramach odpowiedzi na pismo złożył wyjaśnienia, wskazując że East Power aktualnie nie przetwarza danych osobowych Skarżącego, a wcześniej pozyskane informacje zostały zebrane „z powszechnie dostępnych baz danych” i przetwarzane były w zakresie imienia, nazwiska oraz adresu e-mail Skarżącego „w celu jednorazowego doręczenia Skarżącemu wiadomości e-mail”. Osoba, która była pracownikiem East Power, a która dokonała wysyłki wiadomości działała w ramach przedstawionego mu zakresu czynności.

Spółka w ramach składanych wyjaśnień nie przedstawiła w załączeniu sprawozdania finansowego za rok 2019. East Power nie złożyła także oświadczenia o wysokości obrotu i wyniku finansowego osiągniętego w 2019 roku, którego Prezes UODO zażądał na wypadek niemożności przedstawienia sprawozdania finansowego.

Z uzasadnienia Decyzji Prezesa UODO 

Spółka naruszyła ciążący na niej obowiązek zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do merytorycznego rozstrzygnięcia tej sprawy. Takie działanie East Power stanowi naruszenie art. 58 ust. 1 lit. e RODO oraz art. 31 RODO (administrator i podmiot przetwarzający obowiązani są współpracować z organem nadzorczym w ramach wykonywania przez niego zadań). East Power trzykrotnie była wzywana do udzielenia wyjaśnień niezbędnych do rozpatrzenia sprawy, a pisma przez nią przygotowane Prezes UODO uznał za niepełne oraz wewnętrznie sprzeczne (East Power z jednej strony stwierdziła, że uzyskała dane osobowe Skarżącego z sieci Internet, a z drugiej oświadczyła, że „nie przetwarzała, ówcześnie ani aktualnie, danych osobowych Skarżącego”).

Wyżej opisane postępowanie East Power wskazuje na brak woli współpracy z Prezesem UODO w ustaleniu stanu faktycznego sprawy i prawidłowym jej rozstrzygnięciu lub co najmniej rażące lekceważenie swoich obowiązków dotyczących współpracy z Prezesem UODO w ramach wykonywania przez niego zadań określonych RODO. Powyższe stwierdzenie uzasadnia dodatkowo okoliczność, że East Power w żaden sposób nie próbowała usprawiedliwić faktu braku jakiejkolwiek odpowiedzi na dwa wezwania do złożenia wyjaśnień, nie kontaktowała się również z UODO celem zasygnalizowania ewentualnych wątpliwości, które mogłaby powziąć odnośnie zakresu informacji, których udzielenia żądał Prezes UODO.

Utrudnianie i uniemożliwianie uzyskania dostępu do informacji, których Prezes UODO żądał i żąda od East Power, a które niewątpliwie są w posiadaniu Spółki, stoi na przeszkodzie wnikliwemu rozpatrzeniu sprawy, skutkuje również nadmiernym i nieuzasadnionym przedłużaniem postępowania, co stoi w sprzeczności z podstawowymi zasadami rządzącymi postępowaniem administracyjnym (art. 12 ust. 1 KPA).

W niniejszej sprawie zaistniały zatem przesłanki uzasadniające nałożenie na Spółkę, na podstawie art. 83 ust. 5 lit. e RODO kary pieniężnej w związku z niezapewnieniem przez Spółkę dostępu do informacji niezbędnych Prezesowi UODO do rozstrzygnięcia sprawy. Prezes UODO wziął pod uwagę następujące okoliczności wpływające obciążająco na ocenę naruszenia. Po pierwsze Prezes UODO wziął pod uwagę działania East Power w niniejszej sprawie, polegające na utrudnieniu i uniemożliwieniu dostępu do żądanych przez Prezesa UODO informacji, a skutkujące utrudnieniem i nieuzasadnionym przedłużeniem prowadzonego przez niego postępowania. Zdaniem Prezesa UODO powyższe należy więc uznać za godzące w cały system ochrony danych osobowych, i z tego względu mające dużą wagę i naganny charakter. Wagę naruszenia zwiększa dodatkowo okoliczność, że dokonane przez Spółkę naruszenie nie było zdarzeniem jednorazowym i incydentalnym; działanie Spółki było ciągłe i długotrwałe.

Spółka zatem wykazywała się brakiem woli współpracy w zapewnieniu organowi wszelkich informacji niezbędnych do rozstrzygnięcia sprawy, w toku której organ zwracał się do niej o ich udzielenie. Świadczy o tym w szczególności brak jakiejkolwiek odpowiedzi na dwa spośród trzech skierowanych do niej, i odebranych przez nią, wezwań Prezesa UODO. Również wyjaśnienia, które East Power ostatecznie złożyła Prezesowi UODO świadczą o braku woli współpracy z organem lub co najmniej rażącym lekceważeniu swoich obowiązków związanych z tą współpracą, niedopuszczalnym szczególnie w przypadku podmiotu, zajmującego się przetwarzaniem danych osobowych w sposób profesjonalny. Podkreślić należy, że Spółka na żadnym etapie postępowania, jak również w niniejszym postępowaniu, nie podjęła próby usprawiedliwienia takiego postępowania.

Prezes UODO uznał, że nałożenie na Spółkę administracyjnej kary pieniężnej jest niezbędne. Biorąc pod uwagę dotychczasowe zachowanie East Power jest jedynym środkiem znajdującym się w dyspozycji Prezesa UODO, który umożliwi uzyskanie dostępu do informacji niezbędnych w prowadzonym postępowaniu. Dodatkowo, z uwagi na fakt nieprzedstawienia przez Spółkę żądanych przez Prezesa UODO danych finansowych za rok 2019, ustalając wysokość administracyjnej kary pieniężnej w niniejszej sprawie, Prezes UODO wziął pod uwagę, w oparciu o art. 101a ust. 2 ustawy z 10.5.2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000 ze zm., dalej jako: OchronaDanychU) szacunkową wielkość Spółki oraz specyfikę, zakres i skalę prowadzonej przez nią działalności.