Niewspółmiernie duży wysiłek czyli oś sporu w sprawie BisNode. Częściowy komentarz do wyroku WSA.

Na dniach ukazało się uzasadnienie wyroku Wojewódzkiego Sądu Administracyjnego z 11 grudnia 2019 r. w sprawie pierwszej kary PUODO na spółkę BisNode (sprawa II SA/Wa 1030/19). Choć z tego wyroku wynika kilka ciekawych kwestii prawnych na gruncie RODO, to jednak osią sporu w sprawie BisNode była niewątpliwie interpretacja pojęcia „niewspółmiernie dużego wysiłku” sformułowanego w art. 14 ust. 5 lit. b RODO.

Ale po kolei…

Dla niezorientowanych, PUODO nałożył pierwszą polską karę na spółkę BisNode za brak wykonania obowiązku informacyjnego wobec osób – przedsiębiorców, którzy wykonywali lub wykonują działalność gospodarczą czy też ją zawiesili. BisNode czerpie dane głównie z CEIDG i wykorzystuje je do celów komercyjnych. Spółka broniła się m.in. tym, że kierowanie listów poleconych do osób, do których nie miała kontaktu mailowego lub telefonicznego stanowiłoby niewspółmiernie duży wysiłek z art. 14 ust. 5 lit. b RODO, czyli z jednej z przesłanek pozwalających na wyłączenie obowiązku informacyjnego z art. 14 ust. 1 – 4 RODO. Przytoczmy zatem, co mówi ten przepis:

„Ust. 1– 4 (art. 14) nie mają zastosowania, gdy – i w zakresie, w jakim udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku; w szczególności w przypadku przetwarzania do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, z zastrzeżeniem warunków i zabezpieczeń, o których mowa w art. 89 ust. 1, lub o ile obowiązek, o którym mowa w ust. 1 niniejszego artykułu, może uniemożliwić lub poważnie utrudnić realizację celów takiego przetwarzania. W takich przypadkach administrator podejmuje odpowiednie środki, by chronić prawa i wolności oraz prawnie uzasadnione interesy osoby, której dane dotyczą, w tym udostępnia informacje publicznie”.

I teraz zobaczmy, co powiedział Sąd…

Otóż WSA w Warszawie, podtrzymując w zasadzie dotychczasową linię orzeczniczą formułuje w następującą tezę: duże koszty, z którymi wiążę się spełnienie obowiązku informacyjnego nie stanowią niewspółmiernie dużego wysiłku. Krótko mówiąc: prawa osób, których dane dotyczą, a w szczególności prawo do bycia poinformowanym o przetwarzaniu danych nie może ustępować wobec kosztów i nakładów finansowych lub organizacyjnych administratora.

BisNode wskazywało, że niewspółmiernie duży wysiłek, o którym mowa w art. 14 ust. 5 lit. b rozporządzenia „rozumie jako obciążenie organizacyjne (konieczność oddelegowania pracowników i zasobów rzeczowych – komputerów, urządzeń biurowych – do realizacji wyłącznie tego zadania) oraz finansowe (koszt druku, przygotowania do wysyłki i nadania, w tym papieru, tonerów, kopert i znaczków pocztowych, obsługi zwrotów korespondencji, ewentualnie wynagrodzenie podmiotów, którym skarżąca mogłaby zlecić wykonanie tego zadania), nieadekwatne do ryzyka dla osób, których dane dotyczą, które jednocześnie w krytyczny sposób zakłóciłoby funkcjonowanie przedsiębiorstwa skarżącej w stopniu, który mógłby wiązać się z koniecznością zakończenia prowadzenia przez nią działalności w Polsce”. Z kolei WSA, nie zgadzając się z tym poglądem, wskazało wyraźnie, że przy niewspółmiernie dużym wysiłku chodzi o sytuację, kiedy udzielenie informacji, o których mowa w art. 14 ust. 1 i 2 RODO jest obiektywnie możliwe, ale niebywale utrudnione (graniczące z brakiem możliwości udzielenia informacji). Administrator – zdaniem WSA – w celu udzielenia tych informacji musiałby podjąć szereg działań, które zmierzałyby dopiero do tego, aby udzielenie informacji stało się możliwe. Wysiłek administratora musi zatem przeważać nad prawem do bycia poinformowanym, a nie może być utożsamiany z wysokimi wydatkami finansowymi administratora.

Jednocześnie WSA odmówił zwrócenia się do Trybunału Sprawiedliwości Unii Europejskiej z pytaniem prejudycjalnym w tej sprawie ustalenia znaczenia pojęcia „niewspółmiernie dużego wysiłku”, o co wnosił pełnomocnik BisNode.

Co to oznacza dla administratorów? Otóż żadne wymówki typu „za drogo”, „za dużo listów”, „za dużo osób” nie przekonają organu. Koszty wykonania obowiązku informacyjnego pełnią rolę służebną wobec praw osób, których dane dotyczą. Nawet jeżeli wykonanie obowiązku informacyjnego będzie bardzo trudne, to nie oznacza że będzie ono niemożliwe lub obiektywnie na tyle trudne, że graniczące z niemożliwością. Organ i WSA (choć decyzja PUODO w dużej części jest uchylona, co nie oznacza, że wyrok WSA jest faktycznie korzystny dla BisNode) stawiają zatem administratorom bardzo wysoką poprzeczkę, której muszą sprostać. Ten wyrok wpisuje się w obecną narrację orzecznictwa europejskiego, które interpretuje przepisy dotyczące przetwarzania danych osobowych głównie przez prawa osób, z pominięciem – lub przynajmniej ograniczeniem – interesów administratorów. Czy to dobrze? Nie do końca, gdyż w naszej ocenie trudno oprzeć się wrażeniu, że argumentacja BisNode dotycząca bardzo trudnych do wykonania zadań pod kątem organizacyjnym i finansowym rzeczywiście stanowiła bardzo duży wysiłek przy wykonaniu obowiązku informacyjnego. Pułap postawiony przez organ i WSA wydaje się zatem niezwykle ostry, choć nie ulega wątpliwości, że przetwarzanie czyichś danych (nawet jeśli są jawne) w celach komercyjnych zawsze musi za sobą pociągać liczenie się z tym, że dane tych osób zasługują na ochronę.

Skomentuj

Wprowadź swoje dane lub kliknij jedną z tych ikon, aby się zalogować:

Logo WordPress.com

Komentujesz korzystając z konta WordPress.com. Wyloguj /  Zmień )

Zdjęcie na Google

Komentujesz korzystając z konta Google. Wyloguj /  Zmień )

Zdjęcie z Twittera

Komentujesz korzystając z konta Twitter. Wyloguj /  Zmień )

Zdjęcie na Facebooku

Komentujesz korzystając z konta Facebook. Wyloguj /  Zmień )

Połączenie z %s