RODO bisnode: skutki prawne dla strony albo administratora

Wejście w życie Ogólnego Rozporządzenia o Ochronie Danych (RODO) zrewolucjonizowało podejście do prywatności w całej Unii Europejskiej. W Polsce jednym z najgłośniejszych i najbardziej brzemiennych w skutki wydarzeń związanych z tymi przepisami była sprawa spółki Bisnode (obecnie Dun & Bradstreet). Decyzja Prezesa Urzędu Ochrony Danych Osobowych (UODO) z 2019 roku, nakładająca na tę firmę gigantyczną karę finansową, wyznaczyła nowe standardy interpretacji obowiązków informacyjnych. Sprawa ta, wielokrotnie analizowana przez sądy administracyjne, w tym Naczelny Sąd Administracyjny, do dziś budzi emocje i stanowi kluczowy punkt odniesienia dla każdego podmiotu przetwarzającego dane osobowe pozyskane ze źródeł publicznych. W niniejszej szczegółowej analizie przyjrzymy się prawnym aspektom tego sporu, analizując jego konsekwencje zarówno z perspektywy administratorów danych, jak i osób, których dane dotyczą.

Wprowadzenie do sprawy Bisnode – tło faktyczne i prawne

Aby w pełni zrozumieć wagę sprawy Bisnode, należy cofnąć się do momentu, w którym polski organ nadzorczy podjął działania kontrolne wobec spółki. Bisnode zajmowała się profesjonalnym obrotem informacją gospodarczą, tworząc bazy danych wykorzystywane do celów marketingowych, analitycznych oraz oceny wiarygodności płatniczej. Kluczowym źródłem pozyskiwania tych informacji były publicznie dostępne rejestry, takie jak Centralna Ewidencja i Informacja o Działalności Gospodarczej (CEIDG) oraz Krajowy Rejestr Sądowy (KRS). Dane te dotyczyły przede wszystkim osób fizycznych prowadzących jednoosobową działalność gospodarczą, a także wspólników czy reprezentantów spółek. Spółka przetwarzała dane milionów obywateli bez ich bezpośredniej wiedzy, opierając się na założeniu, że skoro dane są jawne i publicznie dostępne, to ich dalsze przetwarzanie nie wymaga skomplikowanych procedur komunikacyjnych. Kluczowym problemem okazał się jednak artykuł 14 RODO, który nakłada na administratora pozyskującego dane z innych źródeł niż bezpośrednio od osoby, której dane dotyczą, obowiązek przekazania jej określonych informacji o przetwarzaniu. Spółka uznała, że bezpośrednie poinformowanie ponad 6 milionów osób wiązałoby się z niewspółmiernie dużym wysiłkiem i ogromnymi kosztami finansowymi, przekraczającymi jej możliwości operacyjne. W związku z tym ograniczyła się do zamieszczenia stosownej klauzuli informacyjnej na swojej stronie internetowej oraz wysłania wiadomości e-mail jedynie do tej części osób, do których adresy poczty elektronicznej posiadała w swoich zasobach. Dla pozostałych kilku milionów osób obowiązek ten nie został zrealizowany w sposób bezpośredni.

Istota sporu: Obowiązek informacyjny a niewspółmierny wysiłek

Głównym punktem sporu między spółką a Prezesem UODO stała się interpretacja art. 14 ust. 5 lit. b RODO. Przepis ten przewiduje wyłączenie obowiązku informacyjnego w sytuacji, gdy jego wykonanie okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku. Spółka argumentowała, że koszt wysłania tradycyjnych listów poleconych lub nawet zwykłych przesyłek pocztowych do milionów przedsiębiorców z CEIDG zniszczyłby rentowność jej biznesu i stanowił barierę nie do pokonania. Wskazywano, że nakłady finansowe rzędu kilku milionów złotych na samą dystrybucję listów są rażąco nieproporcjonalne do celu, jakim jest poinformowanie o przetwarzaniu danych, które i tak są jawne w rejestrach państwowych. Z kolei Prezes UODO zaprezentował niezwykle rygorystyczne stanowisko. Organ nadzorczy uznał, że wysoki koszt finansowy nie może być tożsamy z pojęciem 'niewspółmiernie dużego wysiłku'. Zdaniem organu, podmiot profesjonalnie zajmujący się przetwarzaniem danych i czerpiący z tego zyski komercyjne musi kalkulować koszty zgodności z prawem (tzw. compliance) jako element ryzyka prowadzonej działalności. Ochrona praw i wolności osób fizycznych, w tym ich prawo do informacji o tym, kto i w jakim celu przetwarza ich dane, ma charakter nadrzędny nad interesem ekonomicznym przedsiębiorcy. UODO podkreślił, że brak realizacji tego obowiązku pozbawia obywateli możliwości skorzystania z innych przysługujących im praw, takich jak prawo do sprzeciwu, sprostowania czy usunięcia danych.

Decyzja organu (UODO) i jej konsekwencje finansowe

W marcu 2019 roku Prezes UODO wydał decyzję, która wstrząsnęła polskim rynkiem ochrony danych osobowych. Na spółkę nałożono administracyjną karę pieniężną w wysokości ponad 943 tysięcy złotych (ok. 220 tysięcy euro). Była to pierwsza tak wysoka kara nałożona w Polsce na podstawie przepisów RODO. Poza dotkliwą sankcją finansową, decyzja zawierała nakaz nakazujący spółce spełnienie obowiązku informacyjnego wobec wszystkich osób, których dane były przetwarzane, a które nie zostały o tym fakcie uprzednio poinformowane bezpośrednio. Termin na wykonanie tego nakazu wynosił zaledwie trzy miesiące. Dla spółki oznaczało to konieczność poniesienia wydatków wielokrotnie przewyższających samą karę finansową, co mogło doprowadzić do paraliżu finansowego przedsiębiorstwa. Decyzja ta wywołała ogromne zaniepokojenie w branży marketingu bezpośredniego, brokerów danych, a także wśród instytucji finansowych i ubezpieczeniowych, które na co dzień korzystają z zewnętrznych baz danych.

Wyroki sądów administracyjnych – ewolucja stanowiska

Spółka zaskarżyła decyzję organu do Wojewódzkiego Sądu Administracyjnego (WSA) w Warszawie. WSA w swoim wyroku z grudnia 2019 roku częściowo podzielił argumentację spółki, co przyniosło pewną ulgę rynkowi, aczkolwiek nie oznaczało pełnego sukcesu skarżącej. Sąd uchylił decyzję UODO w części dotyczącej nałożenia kary oraz nakazu informowania tych osób, które w dacie wydania decyzji nie prowadziły już aktywnej działalności gospodarczej (ich działalność była zawieszona lub wykreślona). Sąd uznał, że w odniesieniu do tej grupy osób wysiłek związany z dotarciem do nich mógłby rzeczywiście zostać uznany za niewspółmierny. Jednakże w stosunku do osób aktywnie prowadzących działalność gospodarczą, WSA potwierdził, że administrator miał bezwzględny obowiązek skierować do nich bezpośrednią informację. Sprawa ostatecznie trafiła do Naczelnego Sądu Administracyjnego (NSA). NSA w wyroku z 2022 roku w dużej mierze utrzymał linię interpretacyjną wskazującą na konieczność rygorystycznego przestrzegania praw osób fizycznych. Sąd potwierdził, że koszty finansowe same w sobie nie mogą automatycznie zwalniać z realizacji obowiązków wynikających z RODO. Wyrok ten ugruntował zasadę, że jawność rejestrów publicznych nie wyłącza stosowania przepisów o ochronie danych osobowych, a podmioty komercyjne muszą liczyć się z kosztami informowania osób, których dane pozyskują.

Skutki prawne dla administratora danych osobowych

Wyrok w sprawie Bisnode niesie za sobą fundamentalne skutki prawne dla każdego administratora danych osobowych, który buduje swoje bazy w oparciu o publiczne rejestry (web scraping, data mining). Po pierwsze, administratorzy nie mogą zakładać, że pobieranie danych z CEIDG czy KRS zwalnia ich z RODO. Każda osoba fizyczna prowadząca jednoosobową działalność gospodarczą jest chroniona przepisami RODO w takim samym stopniu, jak konsument. Po drugie, kryterium 'niewspółmiernego wysiłku' musi być interpretowane niezwykle wąsko. Koszt zakupu znaczków pocztowych czy usług kurierskich nie jest wystarczającym powodem, aby zaniechać wysyłki informacji. Administrator musi wykazać, że podjął wszelkie możliwe, technologicznie i organizacyjnie dostępne próby kontaktu. Jeśli posiada adres e-mail lub numer telefonu, musi ich użyć do przekazania klauzuli informacyjnej. Po trzecie, brak realizacji obowiązku informacyjnego naraża administratora na gigantyczne kary finansowe ze strony UODO, a także na roszczenia odszkodowawcze na drodze cywilnej ze strony osób, których dane dotyczą. Administratorzy muszą wdrożyć odpowiednie procedury audytu swoich baz danych, precyzyjnie dokumentując proces podejmowania decyzji o sposobie realizacji obowiązku informacyjnego.

Skutki prawne dla strony (osoby, której dane dotyczą)

Dla osób fizycznych, w tym przedsiębiorców prowadzących jednoosobowe działalności gospodarcze, rozstrzygnięcie sprawy Bisnode to ogromne zwycięstwo w walce o prawo do prywatności. Kluczowym skutkiem prawnym jest wzmocnienie ich kontroli nad własnymi danymi. Każda osoba, której dane zostały pobrane z CEIDG przez zewnętrzną firmę marketingową lub brokera danych, ma prawo otrzymać jasny i czytelny komunikat o tym: kto jest administratorem jej danych, w jakim celu będą one przetwarzane, jak długo będą przechowywane oraz komu mogą być przekazywane. Dzięki temu strona uzyskuje realne narzędzia ochrony. Może wnieść sprzeciw wobec przetwarzania jej danych w celach marketingowych, co dla administratora oznacza natychmiastowy obowiązek zaprzestania takich działań. Osoba ta może również złożyć wniosek o usunięcie jej danych (prawo do bycia zapomnianym) lub o ograniczenie ich przetwarzania. W przypadku braku reakcji ze strony administratora, strona ma prawo złożyć skargę do Prezesa UODO, co może zainicjować postępowanie kontrolne wobec niesubordynowanego podmiotu.

Procedura postępowania dla administratora – jak uniknąć kary?

Aby zminimalizować ryzyko prawne i uniknąć losu spółki Bisnode, każdy administrator danych powinien wdrożyć ustrukturyzowaną procedurę postępowania. Poniżej przedstawiamy kluczowe kroki:

Krok 1: Identyfikacja źródeł danych. Należy precyzyjnie ustalić, skąd pochodzą dane w bazie (np. CEIDG, KRS, portale społecznościowe) i czy zostały pozyskane bezpośrednio, czy pośrednio.
Krok 2: Analiza posiadanych danych kontaktowych. Administrator musi sprawdzić, jakimi kanałami komunikacji dysponuje. Jeśli w bazie znajdują się adresy e-mail, obowiązek informacyjny należy bezwzględnie spełnić drogą elektroniczną w terminie najpóźniej miesiąca od pozyskania danych.
Krok 3: Test proporcjonalności (LIA oraz analiza wysiłku). W sytuacjach, gdy administrator posiada jedynie adresy fizyczne, a liczba rekordów jest ogromna, należy sporządzić pisemną, szczegółową analizę prawno-finansową. Dokument ten musi wykazywać, dlaczego w danym przypadku wysiłek jest niewspółmierny, biorąc pod uwagę charakter danych i ryzyko dla praw osób fizycznych.
Krok 4: Wdrożenie alternatywnych środków. Nawet jeśli test proporcjonalności wykaże niewspółmierny wysiłek, administrator musi podjąć inne działania, np. opublikować bardzo widoczną, szczegółową informację na swojej stronie internetowej oraz w mediach społecznościowych.
Krok 5: Monitorowanie terminów. RODO nakłada sztywne terminy – obowiązek informacyjny przy pozyskaniu pośrednim musi być spełniony w rozsądnym terminie, najpóźniej w ciągu miesiąca, a jeśli dane mają być użyte do komunikacji z tą osobą – najpóźniej przy pierwszej takiej komunikacji.

Najczęstsze błędy popełniane przez administratorów

Analiza praktyki rynkowej po wyroku w sprawie Bisnode wskazuje na kilka powtarzających się błędów, które mogą prowadzić do dotkliwych sankcji:

Błędne przekonanie, że dane firmowe w CEIDG nie podlegają RODO. Ustawa o ochronie danych osobowych oraz samo RODO jasno definiują dane osobowe jako wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Przedsiębiorca prowadzący jednoosobową działalność gospodarczą to osoba fizyczna, a jego imię, nazwisko, NIP, REGON czy adres firmy to jego dane osobowe.
Całkowite ignorowanie obowiązku informacyjnego. Liczenie na to, że organ nadzorczy nie zainteresuje się mniejszymi podmiotami, jest bardzo ryzykowną strategią. UODO prowadzi kontrole zarówno planowe, jak i reaktywne, wywołane skargami obywateli.
Brak rzetelnej dokumentacji. W razie kontroli administrator nie jest w stanie przedstawić żadnych dowodów na to, że dokonał analizy ryzyka i rzetelnie ocenił proporcjonalność swoich działań, co automatycznie stawia go na przegranej pozycji przed organem nadzorczym.

Praktyczny przykład (Case Study)

Wyobraźmy sobie firmę 'SaaS Solutions', która dostarcza oprogramowanie dla biur rachunkowych. W celu pozyskania nowych klientów, dział marketingu pobrał z CEIDG bazę 50 000 rekordów zawierających dane kontaktowe nowo zarejestrowanych jednoosobowych działalności gospodarczych o profilu księgowym. Baza zawierała imiona, nazwiska, adresy fizyczne oraz w 15 000 przypadków – adresy e-mail. Jak powinna postąpić firma, aby działać zgodnie z wytycznymi ze sprawy Bisnode?

W odniesieniu do 15 000 rekordów posiadających adresy e-mail, firma 'SaaS Solutions' ma bezwzględny obowiązek wysłać spersonalizowaną klauzulę informacyjną drogą elektroniczną w ciągu 30 dni od pobrania danych. Koszt wysyłki e-maili jest znikomy, więc nie ma mowy o niewspółmiernym wysiłku. W odniesieniu do pozostałych 35 000 rekordów, gdzie firma posiada tylko adresy fizyczne, wysyłka tradycyjnych listów generowałaby koszt rzędu kilkudziesięciu tysięcy złotych. Firma musi przeprowadzić formalny test proporcjonalności. Jeśli wykaże w nim, że koszt ten zagraża płynności finansowej projektu, a przetwarzane dane mają charakter wyłącznie podstawowy (biznesowy kontakt), może podjąć decyzję o ograniczeniu bezpośredniego informowania tej grupy, pod warunkiem opublikowania szczegółowej informacji na swojej stronie www oraz wdrożenia procedury natychmiastowego informowania tradycyjną pocztą w przypadku podjęcia jakiejkolwiek próby kontaktu telefonicznego lub osobistego z danym przedsiębiorcą. Cała ta procedura musi być udokumentowana i zatwierdzona przez zarząd spółki.

Podsumowanie i wnioski na przyszłość

Sprawa RODO Bisnode trwale zmieniła krajobraz ochrony danych osobowych w Polsce. Pokazała, że prawo do prywatności nie jest pustym zapisem, a organy nadzorcze oraz sądy potrafią egzekwować je z pełną surowością, nawet wobec podmiotów działających w oparciu o legalnie pozyskane, publiczne rejestry. Dla administratorów oznacza to konieczność porzucenia drogi na skróty i inwestycji w rzetelne procedury compliance. Dla stron – obywateli i przedsiębiorców – to gwarancja, że ich dane nie staną się bezimiennym towarem przekazywanym bez ich wiedzy i kontroli. Kluczem do sukcesu w dobie RODO jest transparentność, rzetelność oraz umiejętność wyważenia interesów biznesowych z prawami człowieka.