Wyrok w sprawie monitorowania e-mail poczty personelu

W marcu tego roku UODO nałożył na spółkę Bisnode karę za naruszenie RODO. WSA częściowo uchylił karę.

Operator witryny internetowej wyposażonej w przycisk „Lubię to” Facebooka może być wspólnie z Facebookiem administratorem w odniesieniu do gromadzenia i przekazywania Facebookowi danych osobowych osób odwiedzających jego witrynę. Trybunał podkreślił, że operator witryny internetowej jako (współ) administrator musi przekazać w momencie gromadzenia danych pewne informacje tym osobom odwiedzającym stronę internetową.

Trybunał doszedł do wniosku że pojęcie administratora danych obejmuje administratora fanpage’a prowadzonego na portalu społecznościowym. Administrator fanpage’a i Facebook mogą wspólnie ponosić odpowiedzialność za przetwarzanie danych użytkowników fanpage’a.

Podczas kontroli zgodności przetwarzania danych osobowych z przepisami RODO przeprowadzoną przez Prezesa Urzędu Ochrony Danych Osobowych ustalono, że w procesie przetwarzania danych osobowych Burmistrz W., jako administrator danych, naruszył przepisy o ochronie danych osobowych. W swojej decyzji PUODO nakazuje przechowywanie rejestru mieszkańców przez okres przewidziany prawem dla dokumentów dotyczących spraw meldunkowych oraz wskazanie w klauzuli informacyjnej podmiotu świadczącego usługi serwisowe systemu informatycznego w zakresie nazwy i adresu siedziby tego podmiotu.

Obowiązek informacyjny musi być spełniony wobec osób, których dane osobowe ze źródeł publicznie dostępnych

W przypadku, gdy Spółka została wykreślona z rejestru przedsiębiorców Krajowego Rejestru Sądowego, oznacza to, że podmiot, wobec którego zostało wszczęte niniejsze postępowanie już nie istnieje. Powyższe powoduje tym samym niemożność wydania przez Generalnego Inspektora Ochrony Danych Osobowych wobec tego podmiotu jakiejkolwiek decyzji merytorycznej.

Zgodnie z przepisem art. 105a ust. 3 Prawa bankowego, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.

Obowiązek informacyjny przewidziany w art. 33 ww. ustawy ma na celu zagwarantowanie osobom, których dane osobowe są przetwarzane, dostępu do informacji o okolicznościach ich przetwarzania. Prawidłowe i rzetelne wypełnienie przez administratora danych tego obowiązku jest niezbędne do zapewnienia osobie, której dane osobowe dotyczą, kontroli prawidłowości procesu przetwarzania jej danych osobowych oraz umożliwienia jej korzystania z uprawnień określonych w ustawie o ochronie danych osobowych.

Obowiązek informacyjny przewidziany w art. 33 ustawy o ochronie danych osobowych ma na celu zapewnienie osobom, których dane osobowe są przetwarzane, dostępu do informacji o okolicznościach ich przetwarzania. Prawidłowe i rzetelne wypełnienie przez administratora danych tego obowiązku jest niezbędne do zapewnienia osobie, której dane osobowe dotyczą, kontroli prawidłowości procesu przetwarzania danych osobowych.

Ustawodawca implementując przepisy europejskie do polskiego prawa ochrony danych osobowych wykreślił możliwości nieinformowania osoby o jej uprawnieniach związanych z przetwarzaniem danych osobowych w sytuacji, gdy jej dane są zawarte w powszechnie dostępnych i jawnych rejestrach. W sytuacji, gdy skarżący pozyskuje dane osobowe z KRS w celu ich przetwarzania jest zobowiązany do wypełnienia obowiązku informacyjnego określonego w art. 25 ust. 1 u.o.d.o.

Administrator danych osobowych chcąc kierować do swojego klienta oferty handlowe mające na celu zachęcić go do skorzystania z proponowanych przez niego produktów własnych nie musi legitymować się wyrażoną w tym zakresie zgodą tej osoby, na przetwarzanie jej danych osobowych w tym celu.

Zgodnie z art. 24 ust. 1 ustawy o ochronie danych osobowych, w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku, 2) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych, 3) prawie dostępu do treści swoich danych oraz ich poprawiania, 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

Jeśli ustawodawca zezwala GIODO na wydanie decyzji w kwestii sprostowania, uzupełnienia, uaktualnienia, udostępnienia, nieudostępnienia czy nawet czasowego lub stałego wstrzymania przetwarzania danych lub ich usunięcia ze zbioru (art. 18 ust. 1 ww. ustawy o ochronie danych osobowych), a wiadomym jest, że wpierw osoba zainteresowana musi znać, w jaki sposób i w jakim kształcie jej dane osobowe są przetwarzane, by mogła ustosunkować się co do prawidłowości ich przetwarzania, to tym bardziej Generalny Inspektor Ochrony Danych Osobowych uprawniony jest do wydania nakazu, celem doprowadzenia do realizacji obowiązku informacyjnego, o którym mowa w art. 33 ustawy o ochronie danych osobowych.

Prawo do ochrony danych osobowych, rzetelnej informacji o ich gromadzeniu i przetwarzaniu i żądania sprostowania oraz usunięcia danych nieprawdziwych jest konstytucyjnie zagwarantowanym prawem każdego człowieka, chronionym w art. 51 Konstytucji, zamieszczonym w tytule "Wolności i prawa osobiste". Bezpośrednio zaś z art. 33 ust. 1 pkt 1 w związku z art. 32 ust. 1 pkt 3, 5 i 6 ustawy o ochronie danych osobowych wynika obowiązek udzielenia przez administratora danych osobowych osobie zainteresowanej pełnej, szczegółowej, rzetelnej, wszechstronnej i zrozumiałej dla niej informacji o tym, jakie dane o niej gromadzi, przetwarza i udostępnia, w jakim celu to czyni i komu przekazuje. Niewywiązywanie się z powyższego obowiązku wskazuje na naruszenie art. 23 i 24 Kodeksu cywilnego.