Naczelny Sąd Administracyjny (NSA) 12 listopada 2024 roku oddalił skargę kasacyjną spółki ClickOuickNow, utrzymując w mocy decyzję Prezesa Urzędu Ochrony Danych Osobowych (UODO) o nałożeniu kary pieniężnej w wysokości 201 559,50 zł. Wyrok ten zamyka wieloletni spór dotyczący naruszeń przepisów RODO przez administratora danych.
Utrudnione wycofanie zgody na przetwarzanie danych
Podstawą nałożenia kary była decyzja Prezesa UODO z 16 października 2019 roku, w której wskazano, że spółka ClickOuickNow utrudniała proces wycofania zgody na przetwarzanie danych osobowych. Zamiast umożliwiać użytkownikom łatwe odwołanie zgody – zgodnie z zasadą, że powinno to być równie proste, jak jej wyrażenie – spółka wprowadziła skomplikowane rozwiązania techniczne i organizacyjne.
NSA, podobnie jak wcześniej Wojewódzki Sąd Administracyjny (WSA) w Warszawie, podzielił stanowisko UODO. W ustnym uzasadnieniu wyroku sąd podkreślił, że odsyłacze (linki) zamieszczone w informacjach handlowych ClickOuickNow wprowadzały użytkowników w błąd. Po kliknięciu w link osoby próbujące wycofać zgodę były zmuszane do podania przyczyny swojej decyzji, a brak jej wskazania uniemożliwiał skuteczne odwołanie zgody.
Wprowadzanie użytkowników w błąd
Sąd szczegółowo omówił praktyki stosowane przez spółkę, które naruszały prawa osób, których dane były przetwarzane. Użytkownicy otrzymywali komunikaty, które sprawiały wrażenie, że zgoda została wycofana, np. o treści: „Pani odwołanie zgody dziś 13.02.2019!”, podczas gdy faktycznie proces ten nie był zakończony. Tego typu działania były niezgodne z prawem i podważały zaufanie do procedur stosowanych przez spółkę.
Skala problemu
NSA zwrócił uwagę na ogromną skalę zjawiska. Na dzień 31 stycznia 2019 roku ClickOuickNow przetwarzała dane osobowe ponad 2,1 miliona osób. W decyzji Prezesa UODO wskazano również, że spółka przetwarzała dane osób, które nie były jej klientami i od których otrzymała żądanie zaprzestania przetwarzania danych. W ten sposób naruszano prawo do usunięcia danych osobowych, jedno z podstawowych praw gwarantowanych przez RODO.
Wyrok NSA oznacza, że spółka ClickOuickNow musi zapłacić nałożoną karę pieniężną. Decyzja sądu nie tylko kończy postępowanie, ale również stanowi ważny precedens w zakresie egzekwowania zasad ochrony danych osobowych.