Ponad 943 tys. zł za nieprawidłowe przetwarzanie danych osobowych

Prezes Urzędu Ochrony Danych Osobowych nałożył karę w wysokości ponad 943 tys. zł za nieprawidłowe przetwarzanie danych osobowych polegającym na niedopełnieniu obowiązku informacyjnego.

Warszawska Spółka przetwarzająca w celach zarobkowych dane osób prowadzących działalność gospodarczą, wykorzystywała publicznie dostępne dane, które zostały przez nich podane w rejestrach CEiDG, KRS, GUS, CEPiK, Monitorze Sądowym i Gospodarczym. Następnie tworzyła bazy danych pozwalające na weryfikację ich wiarygodności.

Spółka o przetwarzaniu danych poinformowała tylko podmioty, które podały w oficjalnych rejestrach swój adres mailowy. Wobec pozostałych opublikowała stosowną informację na swojej stronie internetowej. W ocenie Spółki obowiązek wydrukowania listów, zapakowania ich w koperty i wysyłka pocztą do tych osób byłby niewspółmiernie duży do zysków jakie planowała osiągnąć. Powołała się przy tym na art. 14 pkt 5 lit b RODO, który umożliwia odstąpić od obowiązku informowania o przetwarzaniu danych jeżeli wymagałoby to niewspółmiernie dużego wysiłku.

Mając na uwadze powyższe Organ stwierdził niedopełnienie obowiązku informacyjnego przez Spółkę wobec osób fizycznych prowadzących działalność gospodarczą, przedsiębiorców, którzy aktualnie ją prowadzą bądź tę działalność zawiesili oraz tych, którzy prowadzili ją w przeszłości (art. 14 RODO). W ocenie PUODO odebrał możliwość tym osobom skorzystania z praw, jakie im przysługują na gruncie RODO.

Prezes UODO nałożył karę w wysokości ponad 943 000 zł oraz nakazał wysyłkę listów do osób prowadzących działalność gospodarczą, które nie zostały poinformowane o fakcie przetwarzania ich danych.