Chodzi o decyzję nakładającą karę pieniężną w wysokości ponad 201 tys. zł m.in. za utrudnianie realizacji prawa do wycofania zgody na przetwarzanie danych osobowych. Wyrok w tej sprawie zapadł 10 lutego 2021 r. (sygn. akt II SA/Wa2378/20).
W decyzji nakładającej administracyjną karę pieniężną za naruszenie przepisów ogólnego rozporządzenia o ochronie danych (RODO), Urząd pokreślił, że ukarana spółka nie tylko w procesie wycofania zgody nie uwzględniła zasady, zgodnie z którą wycofanie zgody powinno być równie łatwe jak jej wyrażenie, a wręcz działała odwrotnie, tzn. stosowała dla wycofania zgody skomplikowane rozwiązania organizacyjne i techniczne.
Ponadto spółka przetwarzała bez podstawy prawnej dane osób, które nie są jej klientami, a od których otrzymała żądania zaprzestania przetwarzania ich danych osobowych. Naruszyła więc realizację prawa do żądania usunięcia danych osobowych (tzw. prawa do bycia zapomnianym).
Warto pamiętać, że zgodę na przetwarzanie danych osobowych definiuje art. 4 pkt 11 RODO i oznacza „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”. Zgoda ta jest odwoływalna i uprawnienie to przysługuje osobie, której dane dotyczą, w każdym czasie. Ma ona więc prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody musi być tak samo łatwe jak jej wyrażenie. Rozwiązanie takie nie powinno być w żaden sposób ukryte.
Wyrok WSA potwierdza, że nie można utrudniać wycofywania wcześniej wyrażonej zgody na przetwarzanie danych osobowych. Sama czynność powinna być łatwa i skuteczna.
Treść decyzji nakładającej na spółkę administracyjną karę pieniężną dostępna jest pod linkiem: https://uodo.gov.pl/decyzje/ZSPR.421.7.2019