Utrudnianie cofnięcia zgody na przetwarzanie danych osobowych narusza RODO (wyrok w/s ClickQuickNow)

Każdy ma prawo zgodzić się na przetwarzanie jego danych osobowych, to oczywista oczywistość. Każdy ma też zagwarantowane prawo odwołania tej zgody, zaś proces powinien być równie łatwy i przyjazny, jak zgody złożenie. Czy jednak utrudnianie cofnięcia zgody przetwarzanie danych osobowych może być traktowane jako naruszenie przepisów RODO? Czy proste wyrażenie zgody na formularzu internetowym oznacza, że administrator powinien zaproponować podobne mechanizmy w przypadku chęci jej odwołania?

nieprawomocny wyrok WSA w Warszawie z 10 lutego 2021 r. (II SA/Wa 2378/20)
1) Pytanie osoby, której dane dotyczą, o przyczyny wycofania zgody jest pozbawione jakiejkolwiek podstawy prawnej i jest działaniem umyślnym mającym na celu utrudnienie czy wręcz uniemożliwienie realizacji praw osób, których dane dotyczą. Takie działanie stanowi jednocześnie naruszenie zasady zgodności z prawem, przejrzystości i rzetelności przetwarzania danych.
2) Proces odwołania zgody powinien przebiegać w sposób łatwy, nieskomplikowany i za pomocą tego samego kanału w informacyjnego, za pomocą którego pozyskano zgodę.

Orzeczenie dotyczy jednej z pierwszych kar za nieprawidłowości w przetwarzaniu danych osobowych w celach marketingowych, polegających na utrudnieniach w odwołaniu zgód i skorzystaniu z prawa do bycia zapomnianym, a także udzielaniu użytkownikom niewłaściwych informacji (por. „Dlaczego ClickQuickNow dostało karę za naruszenie RODO?”).

art. 7 ust. 3 rozporządzenia o ochronie danych osobowych
Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie
.

W skardze na decyzję spółka podtrzymała swe stanowisko, iż wysłanie prośby listelem jest łatwym i skutecznym sposobem odwołania zgody, zaś przesyłanie dodatkowych wyjaśnień nie powinno być traktowane jako utrudnianie skasowania danych.

art. 12 ust. 2 rozporządzenia o ochronie danych osobowych
Administrator ułatwia osobie, której dane dotyczą, wykonanie praw przysługujących jej na mocy art. 15–22. (…)

Wojewódzki Sąd Administracyjny przypomniał, że wśród podstawowych reguł RODO kardynalną pozycję zajmuje zasada rozliczalności, zgodnie z którą administrator ma obowiązek przestrzegać i być w stanie wykazać, że przestrzega wszystkich zasad przetwarzania danych osobowych. Do wymogów tych należy obowiązek przetwarzania danych w sposób zgodny z prawem, rzetelny (pojęcie to odnosi się do „wartości moralnych”) i przejrzysty.
Każdy ma prawo cofnąć udzieloną zgodę na przetwarzanie danych osobowych„zgoda nie może przybrać charakteru rozporządzenia, które spowodowałoby trwałe przeniesienie lub wygaśnięcie” prawa do ochrony danych osobowych. Obowiązkiem administratora jest poinformowanie każdego o możliwości wycofania zgody (art. 13 ust. 2 lit. c) RODO) oraz ułatwianie wykonywania praw wynikających z rozporządzenia. Oznacza to, że oświadczenie o cofnięciu zgody powinno być równie łatwe do złożenia, jak wyrażenie samej zgody (art. 7 ust. 3 RODO) — co oznacza, że może być łatwiejsze, ale zaoferowane sposoby nie mogą ograniczać prawa do odwołania zezwolenia na przetwarzanie danych osobowych — zaś cofnięcie zgody powinno skutkować usunięciem danych (o ile administrator nie ma innej podstawy przetwarzania, art. 17 ust. 1 lit. b) RODO).

Przekładając te reguły na stan faktyczny WSA podzielił pogląd PUODO, iż spółka ClickQuickNow udzielała użytkownikom sprzecznych informacji: po otrzymaniu żądania odpisywano „Pani odwołanie zgody dziś [data]!”, co może być interpretowane jako potwierdzenie — ale zamiast tego wysyłano kolejny komunikat, w którym opisywano całą procedurę wycofania zgody (bez jej przejścia cofnięcie było bezskuteczne).
Sprzeczny z RODO jest także wymóg podania przyczyny cofnięcia zgody, zwłaszcza że brak podania przyczyny skutkował przerwaniem całego procesu, zaś jej podanie… wywoływało lawinę kolejnych komunikatów, ale wcale nie oznaczało spełnienia żądania.

Utrudnianie cofnięcia zgody na przetwarzanie danych osobowych narusza zarówno przepisy pozwalające skorzystać z prawa do odwołania udzielonego zezwolenia, ale także zasadę zgodności z prawem i zasadę rozliczalności, zaś wprowadzenie tak skomplikowanej i zamieszanej procedury naruszyło obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych — co w ocenie WSA oznacza, że decyzja organu była prawidłowa.

subskrybuj
Powiadom o
guest

Witryna wykorzystuje Akismet, aby ograniczyć spam. Dowiedz się więcej jak przetwarzane są dane komentarzy.

0 komentarzy
Inline Feedbacks
zerknij na wszystkie komentarze
0
komentarze są tam :-)x