Rozpoznawana w czwartek przez unijny Trybunał Sprawiedliwości sprawa dotyczyła pytania zadanego przez sąd belgijski rozpoznający skargę przedsiębiorcy na decyzję organu ochrony danych osobowych. Firma będąca dostawcą usług telekomunikacyjnych prowadziła spisy abonentów, zawierające takie dane, jak nazwisko, adres zamieszkania i numer telefonu. Dotyczyło to wszystkich abonentów, z wyjątkiem tych, którzy wyraźnie domagali się, by ich nie umieszczano. Spółka uzyskiwała dane od operatorów, a także przekazywała je innemu dostawcy spisów abonentów. Jeden z użytkowników zażądał, by nie umieszczano jego danych w spisie. Początkowo spółka je usunęła, ale potem otrzymała od operatora aktualizację danych, a że nie były one poufne – zamieszczono je w spisie. Po ponownym żądaniu abonenta spółka znów je usunęła oraz zwróciła się do Google’a, by zlikwidował odpowiednie linki do strony spółki. Poinformowała też o żądaniu innych dostawców.
W tym czasie jednak abonent złożył skargę do belgijskiego organu ochrony danych, który nałożył na firmę karę 20 tys. euro za naruszenie przepisów RODO. To właśnie na tę decyzję spółka wniosła skargę, wskazując, zgodnie z zasadą opt-out, że może umieszczać w spisach wszystkich abonentów, oprócz tych, którzy żądali usunięcia ich danych. Organ twierdził, że wymagana jest zgoda abonenta na zamieszczenie danych.
Czytaj więcej
Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę Fundacji Promocji Mediacji i Edukacji Prawnej Lex Nostra na decyzję UODO nakładającą administracyjną karę pieniężną za niezgłoszenie organowi nadzorczemu naruszenia ochrony danych osobowych bez zbędnej zwłoki oraz niezawiadomienie o incydencie osób, których dane dotyczą.
Trybunał Sprawiedliwości UE (C 129-21) podzielił tę ostatnią opinię, wskazując, że zgoda (świadoma, konkretna, dobrowolna, jednoznaczna) należycie poinformowanego abonenta jest kluczowa oraz że obejmuje ona wszelkie późniejsze przetwarzanie tych danych przez podmioty trzecie. Jednocześnie abonenci muszą mieć prawo do wycofania swoich danych z takich spisów.
Luksemburski trybunał przypomniał też, że administrator danych ma obowiązek zastosować odpowiednie środki (techniczne, organizacyjne), by poinformować innych dostawców spisów, którym przekazał dane, o skierowanym do niego żądaniu ich usunięcia. Musi też podjąć rozsądne działania, by poinformować o tym przeglądarki internetowe. Aby wycofać zgodę na zamieszczanie danych w spisie, wystarczy skierować taki wniosek tylko do jednego z podmiotów, które przetwarzają dane na podstawie tej zgody.
