RODO aktualności – 20.05.2025 r. 

• Kontekst: Polska chce zakończyć negocjacje nad nowym unijnym rozporządzeniem dotyczącym egzekwowania RODO jeszcze w czasie swojej prezydencji w Radzie UE.
• Egzekwowanie RODO:
  • Celem jest usprawnienie i ujednolicenie rozpatrywania spraw transgranicznych w zakresie ochrony danych osobowych w całej UE.
  • Różne procedury stosowane przez krajowe organy ochrony danych utrudniają skuteczne egzekwowanie RODO – nowe przepisy mają to zmienić.
• CSAM – ochrona dzieci w internecie:
  • Trwają prace nad rozporządzeniem ws. zwalczania niegodziwego traktowania dzieci w sieci (CSAM).
  • Polska opowiada się za kompromisem, który połączy skuteczną ochronę dzieci z poszanowaniem prywatności użytkowników.
  • Polska sprzeciwia się tzw. masowemu skanowaniu prywatnej komunikacji.
• Uproszczenie unijnego prawa:
  • Polska i KE są zgodne, że należy uprościć prawo UE, szczególnie z myślą o MŚP – działania wpisują się w tzw. „pakiet uproszczeniowy” Omnibus.
  • Minister Gawkowski zaznaczył konieczność zintegrowania RODO z przepisami dotyczącymi sztucznej inteligencji (AI Act).
  • Podkreślono potrzebę jasnych wytycznych Komisji Europejskiej, lepszej koordynacji między organami oraz rozwoju „piaskownic regulacyjnych” dla AI.

Kontekst: Sprawa dotyczyła skargi obywatela na nieprawidłowe przetwarzanie jego danych osobowych – w tym w celach marketingowych – przez P. S.A. mimo wycofania zgody i wielokrotnych próśb o usunięcie danych. Orzeczenie WSA jest istotne, ponieważ porusza szereg zagadnień związanych z podstawami przetwarzania danych, informacjami handlowymi oraz uzasadnionym interesem administratora.

• Spółka P. S.A. zawarła z obywatelem pięć umów pożyczkowych i przetwarzała jego dane osobowe, mimo żądań ich usunięcia.
• Uczestnik wyraźnie cofnął zgodę na kontakt marketingowy już w 2019 r., a mimo to w 2023 r. otrzymał ofertę pożyczki mailowo.
• Spółka tłumaczyła wysłanie oferty błędem technicznym, jednak sąd uznał, że takie działania nadal naruszają przepisy RODO.
• Prezes UODO w czerwcu 2024 r. nakazał usunięcie danych dotyczących umów i wniosków pożyczkowych, które zakończyły się przed 2016 r., oraz udzielił spółce upomnienia za bezprawne przesłanie informacji handlowej w styczniu 2023 r.
• WSA uchylił decyzję UODO tylko w zakresie nakazu usunięcia danych – sąd uznał, że dane mogą być przetwarzane zgodnie z ustawą AML (o przeciwdziałaniu praniu pieniędzy), która umożliwia przechowywanie dokumentów do 5 lat od zakończenia ostatniego stosunku gospodarczo-finansowego.
• Sąd uznał, że relacja klienta z instytucją (np. poprzez zawarte umowy) stanowi jeden stosunek gospodarczy, a nie kilka osobnych – co wydłuża okres przechowywania danych.
• Podzielono stanowisko, że email z ofertą wysłany w styczniu 2023 r. miał charakter marketingowy – jego celem było zachęcenie do skorzystania z usług spółki, co wymagało uprzedniej zgody osoby, której dane dotyczą.
• Sąd podkreślił, że naruszenie RODO nastąpiło niezależnie od tego, czy wiadomość została wysłana przez omyłkę lub na skutek błędu technicznego – administrator danych odpowiada za zgodność procesu przetwarzania z prawem.

Wnioski:

• Administrator danych osobowych musi zachować pełną kontrolę nad procesem przetwarzania i zapewnić jego zgodność z obowiązującym prawem.
• Brak zgody na kontakt marketingowy obowiązuje bezwzględnie – nawet jednorazowe naruszenie (nawet przez przypadek) podlega odpowiedzialności.
• Przechowywanie danych osobowych w instytucjach finansowych jest dopuszczalne przez 5 lat liczonych od końca ostatniego stosunku gospodarczo-finansowego z klientem – a nie od zakończenia poszczególnych umów.

Najważniejsze ustalenia i fakty:

• Związek zawodowy działający w spółce J. S.A. zwrócił się do pracodawcy o udostępnienie danych pracowników niezbędnych do przeprowadzenia referendum strajkowego.
• Pracodawca przekazał jedynie wykaz numerów SAP (identyfikatorów wewnętrznych), odmawiając przekazania danych osobowych w żądanej formie.
• W sierpniu 2019 r. Prezes UODO wydał decyzję nakazującą spółce udostępnienie danych osobowych pracowników związkowi zawodowemu.
• Decyzja została następnie unieważniona przez samego Prezesa UODO we wrześniu 2020 r., jako wydana z przekroczeniem kompetencji wynikających z RODO, w szczególności art. 58 ust. 2.
• Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że Prezes UODO nie miał prawa do unieważnienia własnej decyzji z sierpnia 2019 r. w sytuacji, gdy toczyło się już postępowanie sądowe dotyczące tej decyzji.
• NSA oddalił skargę kasacyjną związku zawodowego, podtrzymując stanowisko, że Prezes UODO nie miał podstawy prawnej do wydania decyzji nakazującej udostępnienie danych osobowych związkowi zawodowemu.

Kluczowe wnioski z orzeczenia NSA:

• Art. 58 ust. 2 lit. d RODO służy realizacji celu RODO – ochronie danych osobowych – i nie może być podstawą do nakazania udostępnienia danych osobowych osobom trzecim.
• Decyzja Prezesa UODO z 2019 r. była sprzeczna z celem RODO i nie miała podstawy prawnej w przepisach unijnych.
• Prezes UODO nie może prowadzić postępowania z urzędu w sytuacji, gdy sprawa toczy się już przed sądem administracyjnym.
• Związek zawodowy nie może być uznany za "osobę, której dane dotyczą" w rozumieniu RODO, dlatego jego skarga nie była właściwa do rozpoznania przez UODO.

Podsumowując, sądy administracyjne (WSA i NSA) podważyły decyzję Prezesa UODO z 2019 roku, uznając, że przekroczył on swoje kompetencje wynikające z RODO, a uprawnienia przyznane mu na mocy tego rozporządzenia nie umożliwiają nakazywania udostępniania danych osobowych osobom trzecim – nawet w celach związanych z działalnością związkową.

• Prezes UODO Mirosław Wróblewski wystosował apel do polityków, aby nie naruszali przepisów dotyczących ochrony danych osobowych, zwłaszcza w okresie kampanii wyborczych.
• UODO przypomina, że ujawnianie danych osobowych — imienia, nazwiska, adresu czy numeru PESEL — może prowadzić do poważnych naruszeń prywatności i dóbr osobistych obywateli.
• Prezes UODO zdecydował się na interwencję w sprawie ujawnienia danych osobowych obywatela przez:
  • Rafała Trzaskowskiego – podał imię i nazwisko tej osoby.
  • Karola Nawrockiego – ujawnił imię, nazwisko i adres przebywania obywatela.
• W obu przypadkach dane ujawnione publicznie zostały szeroko rozpowszechnione w mediach i internecie, co zdaniem UODO tworzy wyjątkowe okoliczności wymagające działania z urzędu.
• Prezes UODO podejmuje też działania wobec posła Przemysława Czarnka, który podczas konferencji prasowej ujawnił dane dwóch osób, w tym:
  • Imiona, nazwiska, imiona rodziców
  • PESEL, numer i seria dowodu osobistego, NIP
  • Adres zamieszkania
• Poseł Czarnek został wezwany przez Prezesa UODO do złożenia wyjaśnień pismem z dnia 9 maja br.
• UODO przypomina, że każdy, kto upublicznia dane osobowe innych osób (np. w internecie lub podczas wystąpień), może naruszać ich dobra osobiste, co podlega ochronie na podstawie Kodeksu cywilnego.
• Na zakończenie kampanii wyborczej, UODO planuje zaproponować Marszałkowi Sejmu organizację szkoleń z ochrony danych osobowych dla biur poselskich i klubów parlamentarnych.
• Podobne szkolenia zostaną również zaproponowane Krajowemu Biuru Wyborczemu w ramach istniejącej współpracy.
• UODO pozytywnie ocenia fakt, że większość dziennikarzy dba o anonimizację danych przekazywanych przez polityków, wykazując odpowiedzialność w ochronie prywatności obywateli.