Aktualności z Cyberbezpieczeństwa

Przetwarzanie danych osobowych bez podstawy prawnej

Pozyskanie danych o stanie zdrowia wymaga wyraźnej zgody, co potwierdził Wojewódzki Sąd Administracyjny w Warszawie. Sąd oddalił skargę spółki Kancelaria PIONIER, która była ukarana przez Prezesa Urzędu Ochrony Danych Osobowych za przetwarzanie danych osobowych bez podstawy prawnej. Spółka działała w zakresie reprezentowania osób poszkodowanych w wypadkach komunikacyjnych, uzyskując informacje o potencjalnych klientach z różnych źródeł, w tym mediów społecznościowych.

Ustna zgoda od osób poszkodowanych na przetwarzanie danych nie była zgodna z RODO. Sąd stwierdził, że administrator musi uzyskać wyraźną zgodę na przetwarzanie takich danych. Nie można również argumentować, że przetwarzanie danych jest niezbędne do wykonania umowy, ponieważ dane były zbierane przed nawiązaniem jakiejkolwiek umowy.

Sąd podkreślił, że były one przetwarzane w celu oceny opłacalności zawarcia umowy oraz możliwego przyszłego kontaktu z potencjalnym klientem. Zebrane dowody wykazały, że przetwarzanie danych miało inną intencję niż wykonanie umowy.

Funkcja korzysta z technologii sztucznej inteligencji (AI).


          Pozyskując od osoby dane o jej stanie zdrowia konieczna jest jej wyraźna zgoda - potwierdził Wojewódzki Sąd Administracyjny w Warszawie. Sąd oddalił skargę wspólników spółki cywilnej Kancelarii PIONIER na decyzję Prezesa Urzędu Ochrony Danych Osobowych, nakładającą na tego administratora karę w wysokości ponad 45 tys. zł za to, że przetwarzał dane osobowe bez podstawy prawnej.

Spółka ta w swojej działalności docierała do osób poszkodowanych głównie w wypadkach komunikacyjnych, by nawiązać z nimi współpracę w zakresie reprezentowania ich m.in. przed towarzystwami ubezpieczeniowymi, w sprawach sądowych  w celu uzyskania na ich rzecz odszkodowań, zadośćuczynienia i rent, a także zwrotu kosztów leczenia i rehabilitacji. Informacje o potencjalnych klientach uzyskiwała na podstawie m.in. wiadomości prasowych, publikacji internetowych, w tym treści dostępnych w mediach społecznościowych, a także informacji przekazywanych lub rozpowszechnianych przez organizacje zajmujące się działalnością dobroczynną. Podczas spotkania przedstawiciel Kancelarii PIONIER odbierał ustną zgodę na przetwarzanie danych osobowych do czasu ewentualnego zawarcia umowy z tymi osobami o świadczenie usług.

Zarówno zdaniem WSA, jak i organu nadzorczego tak odebrana zgoda nie była zgodna z RODO i nie mogła być podstawą przetwarzania danych osobowych. Administrator pozyskując dane o stanie zdrowia powinien uzyskać wyraźną zgodę na przetwarzanie danych osobowych.

Wojewódzki Sąd Administracyjny wskazał również, że podstawą do przetwarzania danych przez administratora w tym przypadku nie może być również przesłanka wskazująca, że  przetwarzanie danych jest niezbędne do wykonania umowy (art. 6 ust. 1 lit. b). Sąd wskazał, że z zebranego przez UODO materiału dowodowego w toku kontroli w spółce wynika, że zebranie tych danych nie było niezbędne do wykonania umowy, gdyż osoby, od których pozyskano dane, nie były jeszcze klientami. Dane te natomiast były przetwarzane w innym celu, czyli badania opłacalności zawarcia umowy z potencjalnym klientem oraz ewentualnie nawiązania ponownego kontaktu z taką osobą.