TL;DR dla IOD
Cztery użyteczne punkty. 1) Odpowiedzialność osoby prawnej nie wymaga, aby kierownictwo wiedziało: wystarczy wina administratora. 2) Opinia prawna, wewnętrzna czy zewnętrzna, nie chroni, jeśli stanowisko jest nie do obrony, a posiadanie pieniędzy na dobre doradztwo staje się argumentem przeciw Państwu. 3) Statystyczny wskaźnik prawdopodobieństwa przypisany osobie identyfikowalnej jest daną osobową, także wtedy gdy jest szacunkiem. 4) Zarzuty dotyczące oceny skutków i rejestru uchylono jako pochłonięte przez naruszenie główne, ale dokumenty i tak były błędne.
O co chodzi w sprawie
Postępowanie toczy się od 2019 r. i już dwukrotnie trafiło do Najwyższego Trybunału Administracyjnego. Spółka - orzeczenie zachowuje anonimowość i mówi o przedsiębiorczyni - zbierała i zarządzała danymi osobowymi adresatów reklamy oraz udostępniała je odpłatnie klientom prowadzącym reklamę, w tym wyborczą. Między majem 2018 r. a lutym 2019 r. obliczyła i przechowywała dla około 2,2 miliona osób tak zwane afinacje partyjne: statystyczne wartości prawdopodobieństwa wskazujące, na ile dana osoba mogłaby interesować się reklamą określonych partii, częściowo sprzedawane osobom trzecim. Przetwarzała ponadto, w celach marketingowych i bez zgody, dane o częstotliwości przesyłek pochodzące z działalności dostawczej.
Austriacki organ nadzorczy wymierzył 18 milionów euro oraz 1,8 miliona euro wkładu w koszty postępowania karnego. Federalny Sąd Administracyjny obniżył je do 16 milionów euro i 1,6 miliona euro kosztów, umarzając część dotyczącą afinacji przeprowadzkowych i zawężając okres zarzucany w odniesieniu do częstotliwości przesyłek, ale potwierdzając bezprawne przetwarzanie afinacji partyjnych jako szczególnej kategorii danych oraz zarzuty co do nieprawidłowości oceny skutków i rejestru czynności przetwarzania.
Obrona: mieliśmy program zgodności
W skardze spółka twierdziła, że nie działała w sposób zawiniony: ustanowiła szeroki system zgodności, zleciła weryfikację stanu prawnego zarówno wewnętrznie, jak i ekspertom, a wówczas przyjmowała, że statystycznie obliczane wartości prawdopodobieństwa nie są danymi osobowymi.
Dlaczego Trybunał to odrzucił
Do ukarania osoby prawnej nie jest potrzebne działanie ani wiedza organów zarządzających: wystarczy, że administrator działał umyślnie lub nieumyślnie. A miarą winy jest to, czy administrator mógł mieć jasność co do bezprawności swojego postępowania - świadomość naruszenia nie jest warunkiem. Zakwalifikowanie afinacji partyjnych jako niebędących danymi osobowymi było stanowiskiem nie do obrony: już przed 2018 r. praktyka decyzyjna organów wyjaśniła, że informacja przypisana osobie identyfikowalnej jest daną osobową, także gdy opiera się na szacunkach. A ponieważ spółka dysponowała znacznymi środkami na analizę prawną i mimo to błędnie zinterpretowała istniejącą praktykę, rażące niedbalstwo zostaje potwierdzone.
To odwrócenie warto zapamiętać, gdy klient mówi „wzięliśmy opinię”. Opinia nie jest tarczą: jeśli stanowisko wykraczało poza znaną praktykę, zdolność do zatrudnienia dobrych doradców staje się powodem, dla którego nie ma usprawiedliwienia. Sąd pierwszej instancji był jeszcze bardziej bezpośredni: wewnętrzny system kontroli nie zapobiegł podstawowym błędom prawnym.
Ocena skutków i rejestr: upadają, ale nie dlatego, że były poprawne
W ocenie skutków i w rejestrze czynności spółka zaprzeczyła przetwarzaniu danych szczególnych kategorii. Trybunał widzi tu pochłonięcie: dane nie zostały ujęte w dokumentach w następstwie błędnej oceny, że nie są danymi osobowymi, a zatem także nie szczególnymi kategoriami. Bezprawie naruszenia obowiązków dokumentacyjnych jest już w pełni objęte ukaraniem samego bezprawnego przetwarzania, a dodatkowe ukaranie jest niedopuszczalne. W tym zakresie postępowanie umorzono.
Jak to czytać w praktyce
Nie należy oczekiwać odrębnej kary z art. 30 i art. 35, gdy wada dokumentów jest następstwem jednego błędu kwalifikacyjnego. Ale uwaga na sytuację odwrotną: rejestr i ocena skutków i tak były błędne, a jedna błędna kwalifikacja propaguje się na wszystkie zależne od niej dokumenty. Przy przeglądzie rejestru użyteczne pytanie nie brzmi „czy pozycje są wypełnione”, lecz „na jakiej kwalifikacji się opierają”.
Koszty postępowania jako ukryta kara
Wśród okoliczności łagodzących Trybunał uwzględnił środki podjęte w celu zapobieżenia naruszeniu, oświadczenia o zaniechaniu złożone wobec licznych osób, których dane dotyczą, oraz nadzwyczajnie długi czas trwania postępowania, około 66 miesięcy. Nie uznał natomiast za konieczne policzenia braku wcześniejszych naruszeń jako dodatkowej okoliczności łagodzącej, ponieważ sąd już potraktował go jako brak okoliczności obciążającej.
Najnowszy punkt pojawia się na końcu: ustalenie wkładu w koszty postępowania na 1,3 miliona euro jest sprzeczne z prawem Unii, gdyż prowadzi do kary dodatkowej, której nie da się uzasadnić merytorycznie. Trybunał obniżył ten wkład do 100 000 euro.
Co zrobić teraz, w praktyce
1) Proszę poszukać u klientów wskaźników: skłonności, afinacji, scoringu zainteresowań, wyliczanych segmentów. Jeśli są przypisane osobie identyfikowalnej, są danymi osobowymi, także gdy są szacunkami, a jeśli szacują poglądy polityczne, zdrowie, religię lub orientację seksualną, są danymi z art. 9. 2) Proszę nie odkładać opinii prawnej tak, jakby była gwarancją: należy udokumentować także praktykę organów, z której korzystano, oraz datę, bo miarą jest to, czy można było się zorientować. 3) Proszę zweryfikować rejestr od tyłu: zacząć od kwalifikacji (dane osobowe tak czy nie, szczególna kategoria tak czy nie) i sprawdzić, które pozycje i które oceny skutków od nich zależą. Jeden błąd na górze rodzi dziesięć na dole. 4) Jeśli klient otrzyma karę wraz z wkładem w koszty proporcjonalnym do kwoty, to orzeczenie jest argumentem do jego zakwestionowania. 5) Proszę pamiętać, że opieszałość organu działa na korzyść ukaranego: 66 miesięcy uznano za okoliczność łagodzącą.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
