NSA potwierdził, że nie można utrudniać wycofywania zgody

Spółka ClickOuickNow będzie musiała zapłacić karę nałożoną przez Prezesa UODO. Naczelny Sąd Administracyjny oddalił jej skargę kasacyjną od wyroku WSA w Warszawie w sprawie skargi na decyzję, w której PUODO nałożył na nią karę pieniężną w wysokości 201 559,50 zł.

Wyrok NSA, który zapadł 12 listopada 2024 roku, jest równoznaczny z koniecznością zapłacenia kary przez administratora danych. Sąd, podobnie jak wcześniej Wojewódzki Sąd Administracyjny w Warszawie, podzielił stanowisko zaprezentowane w decyzji Prezesa UODO z 16 października 2019 r. i argumenty organu nadzorczego o słuszności nałożenia kary, jak i jej wysokości.

Decyzja PUODO o nałożeniu kary związana była z naruszeniem przez ClickOuickNow przepisów ogólnego rozporządzenia o ochronie danych osobowych (RODO). W ocenie Prezesa UODO spółka utrudniała proces wycofania zgody na przetwarzanie danych osobowych stosując skomplikowane rozwiązania organizacyjne i techniczne, gdy ktoś próbował taką zgodę wycofać. Tym samym naruszała zasadę, zgodnie z którą wycofanie zgody powinno być równie łatwe jak jej wyrażenie.

Potwierdził to również NSA, który w ustnym uzasadnieniu wyroku zwrócił uwagę, że użycie przez administratora odsyłacza (linku), zamieszczonego w treści informacji handlowych, nie skutkowało szybkim odwołaniem zgody, a wręcz komunikaty przesyłane za pomocą tego linku wprowadzały w błąd osobę, która chciała odwołać zgodę.

Uzasadniając wyrok NSA wskazał też, że osoby, które próbowały wycofać zgodę na przetwarzanie danych osobowych były wprowadzane w błąd. Otrzymywały komunikat o treści: „Pani odwołanie zgody dziś 13.02.2019 !”, ale, co podkreślił Sąd, otrzymanie takiego komunikatu wcale nie oznaczało skutecznego odwołania zgody, a zobowiązywało daną osobę do podania przyczyny odwołania zgody. Natomiast brak wskazania przyczyny przerywał proces odwołania zgody. NSA zwrócił też uwagę, na skalę tego zjawiska - w bazie Spółki na dzień 31 stycznia 2019 r. przetwarzane były dane osobowe ponad 2,1 mln osób.

W decyzji dotyczącej spółki ClickOuickNow Prezes UODO stwierdził też, że spółka przetwarzała bez podstawy prawnej dane osób, które nie były jej klientami, a od których otrzymała żądania zaprzestania przetwarzania ich danych osobowych. W ten sposób ukarany administrator naruszał realizację prawa do żądania usunięcia danych osobowych.